Sekretess i personuppgiftsbiträdesavtal: Vad skyddar dig?

Sekretess och skydd i personuppgiftsbiträdesavtal

När ett företag anlitar ett annat företag att hantera personuppgifter — till exempel en molnleverantör, löneadministratör eller marknadsbyrå — tecknas ett så kallat personuppgiftsbiträdesavtal (DPA). För många företagare är detta det första gången de möter de specifika kraven på dataskydd i en B2B-kontext. Det handlar inte bara om att "hålla tyst", utan om en juridisk skyldighet att skydda integriteten.

Snabbsvar: Sekretessen i ett biträdesavtal är lagstadgad via GDPR. Biträdet får endast behandla uppgifter på dina exakta instruktioner, måste vidta tekniska säkerhetsåtgärder (som kryptering) och får inte anlita underleverantörer utan ditt skriftliga tillstånd. Avtalslagen kan jämkar villkor som är oskäligt hårda för en part.

Varför finns sekretessklausulen?

Sekretess är kärnan i relationen mellan den personuppgiftsansvarige (du) och biträdet. Enligt art. 28.3 GDPR ska avtalet tydligt ange att biträdet endast får behandla personuppgifter på dokumenterade instruktioner från dig. Det betyder att biträdet inte får använda dina kunders data för sina egna ändamål, till exempel för egen marknadsföring eller profilering, om du inte uttryckligen har gett tillstånd.

Detta skyddar dig som beställare från att bli ansvarig för hur dina partners missbrukar data. Samtidigt skyddar det biträdet genom att ge en tydlig gräns för vad som är tillåtet. Om du är osäker på hur sekretess hanteras i andra sammanhang kan du läsa mer om nda-granskning: 5 fallgropar i sekretessavtal, där vi bryter ner skillnaden mellan allmän affärshemlighet och personuppgifter.

Tekniska och organisatoriska åtgärder

Sekretess är inte bara ett löfte; det kräver handling. Enligt art. 32 GDPR ska både du och biträdet vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder. Detta ska anpassas efter risken. Exempel på sådana åtgärder som ofta specificeras i avtalet är:

• Pseudonymisering och kryptering av data.
• Säkerställande av konfidentialitet, integritet och tillgänglighet.
• Möjlighet att återställa tillgången till personuppgifter vid ett fysiskt eller tekniskt incident.
• Regelmässig prövning av hur effektiva åtgärderna är.

När du granskar avtalet, leta efter en bilaga eller en specifik klausul som beskriver hur biträdet uppfyller dessa krav. Ett tomt löfte om "branschstandard" är ofta för vagt att vara tillräckligt vid en incident.

Underbiträden och kontroll

En vanlig riskpunkt är när biträdet i sin tur anlitar ett underbiträde (t.ex. en annan molnleverantör). Enligt art. 28.2 GDPR får biträdet inte göra detta utan ditt skriftliga förhandstillstånd. Detta tillstånd kan vara särskilt (för en specifik leverantör) eller allmänt (för en kategori av leverantörer). Vid allmänt tillstånd ska biträdet informera dig om planerade byten så att du har möjlighet att invända.

Detta är en viktig kontrollmekanism. Du vill veta vem som har tillgång till dina uppgifter. I komplexa leveranskedjor, liknande dem som regleras i återförsäljaravtal: risker, uppsägning & granskning, är det avgörande att ha överblick över hela kedjan för att kunna hantera risker.

När är villkoren oskäliga?

Även om GDPR sätter ramarna, är ett personuppgiftsbiträdesavtal också ett kommersiellt avtal som styrs av avtalslagen. Om biträdet kräver en ansvarsbegränsning som är så långtgående att den urholkar ditt skydd, eller om de kräver ensidiga rättigheter att ändra säkerhetsåtgärderna utan din medverkan, kan dessa villkor vara oskäliga.

Enligt 36 § AvtL får ett avtalsvillkor jämkas eller lämnas utan avseende om det är oskäligt med hänsyn till avtalets innehåll och omständigheterna. Särskild hänsyn tas till en part som är i underlägsen ställning. Detta är relevant om du som mindre beställare tvingas skriva på ett standardavtal från en stor leverantör med mycket obalanserade risker. Läs mer om hur riskfördelning fungerar i granska konsultavtal: riskfördelning och b2b-checklista eller ramavtal: riskfördelning och bindning för beställare och leverantör.

Checklista för granskning av sekretess och skydd

• Instruktioner: Är det tydligt att biträdet endast agerar på dina dokumenterade instruktioner?
• Säkerhet: Specificeras de tekniska åtgärderna (kryptering, backup) eller är det bara vaga löften?
• Underleverantörer: Krävs ditt skriftliga tillstånd för underbiträden, och har du rätt att invända?
• Återlämning: Vad händer med uppgifterna när avtalet upphör? De ska raderas eller återlämnas.
• Ansvar: Är ansvarsbegränsningar proportionerliga, eller är de oskäligt hårda enligt 36 § AvtL?

För att säkerställa att avtalet håller måttet och att riskerna är rätt fördelade, bör du alltid pröva avtalsgranskningen (/granska), formulerad som steget innan juristen.