PERSONUPPGIFTS- BITRÄDESAVTAL

Transkript

1 TIO PUNKTER ATT TÄNKA PÅ NÄR DU SKRIVER PERSONUPPGIFTS- BITRÄDESAVTAL

2 n Den 25 maj 2018 började dataskyddsförordningen att gälla i alla EU:s medlemsländer. Dataskyddsförordningen kallas även för GDPR, efter förordningens engelska namn General Data Protection Regulation. I Fastighetsägarna, SABO och Hyresgästföreningens vägledning för person uppgiftsbehandling vid uthyrning och förvaltning av bostäder kan du läsa mer om de nya krav och regler som gäller enligt dataskyddsförordningen. I detta dokument vill vi lyfta fram tio viktiga punkter vid skrivande eller förhandlande av så kallade personuppgiftsbiträdesavtal enligt förordningen, ibland kallade PUB-avtal. Dokumentet är tänkt att kunna användas som en checklista. Vad man bör överväga när man ingår ett personuppgiftsbiträdesavtal är naturligtvis beroende av vilken verksamhet man bedriver och vilka personuppgifter som behandlas inom ramen för samarbetet. Denna checklista är inte en komplett uppräkning av alla krav som ställs och alla de varianter på klausuler som kan aktualiseras när man skriver ett personuppgiftsbiträdesavtal. Checklistan ska inte betraktas som juridisk rådgivning. Är du osäker, ta kontakt med en jurist med särskilda kunskaper inom dataskyddslagstiftning eller kontakta Datainspektionen. Framtagen november 2018

3 INLEDNING Vad är ett personuppgiftsbiträdesavtal? Den som behandlar personuppgifter är antingen personuppgiftsansvarig eller personuppgiftsbiträde. u PERSONUPPGIFTSANSVARIG är den som bestämmer för vilka ändamål personuppgifterna ska behandlas och hur behandlingen ska gå till. Det kan till exempel vara en bostadsrätts förening eller en hyresvärd. u PERSONUPPGIFTSBITRÄDE är den som behandlar personuppgifter på uppdrag av och för den personuppgiftsansvariges räkning. Leverantörer av IT-tjänster är ofta personuppgiftsbiträden och desamma kan gälla för exempelvis störningsjourfirmor. Den personuppgiftsansvarige och personuppgiftsbiträdet måste upprätta ett skriftligt så kallat personuppgiftsbiträdesavtal. Dataskyddsförordningen räknar upp vad ett sådant avtal ska innehålla, vilket främst anges i artikel 28 i dataskyddsförordningen. 3

4 Om bägge parter är personuppgiftsansvariga behövs inget personuppgiftsbiträdesavtal. CHECKLISTA 1. BEHÖVS ETT PERSONUPPGIFTS BITRÄDESAVTAL? Ett personuppgiftsbiträdesavtal behövs i de fall då ett personuppgiftsbiträde behandlar personuppgifter på uppdrag av en personuppgiftsansvarig. Kontrollera därför innan du skriver eller förhandlar ett personuppgiftsbiträdesavtal om avtalet verkligen behövs. Det är inte helt ovanligt att två parter ingår ett personuppgiftsbiträdesavtal även om det egentligen inte behövs. Om bägge parter är att betrakta som personuppgiftsansvariga enligt dataskyddsförordningen behövs inget personuppgiftsbiträdesavtal. En hyresvärd eller en bostadsrättsförening (personuppgiftsansvarig) använder en molntjänst för att lagra dokument digitalt. Leverantörer av molntjänsten är personuppgiftsbiträde. Parterna behöver ingå ett personuppgiftsbiträdesavtal. Ett företag (personuppgiftsbiträde) sköter den ekonomiska förvaltningen, exempelvis fakturerar medlemmarna för månadsavgiften, åt en bostadsrättsförening (personuppgiftsansvarig). Parterna behöver ingå ett personuppgiftsbiträdesavtal. En hyresvärd anlitar en städfirma för att städa allmänna utrymmen i fastigheten. Både hyresvärden och städfirman kommer att behandla personuppgifter, men endast inom ramen för sin egen verksamhet. Hyresvärden är personuppgiftsansvarig för sin egen behandling och städfirman är personuppgiftsansvarig för sin egen behandling. Städuppdraget innefattar inte att städfirman ska behandla personuppgifter på uppdrag av hyresvärden. Detsamma gäller som huvudregel vid anlitande av hantverkare. Inget personuppgiftsbiträdesavtal behövs. 2. ANGES RÄTT PARTER? Ett personuppgiftsbiträdesavtal beskriver initialt vilka parter som har ingått avtalet. Som huvudregel är både den personuppgiftsansvarige och personuppgiftsbiträdet juridiska personer, alltså antingen ett bolag, en förening, en myn- 4

5 dighet eller en annan typ av organisation. Det är mycket sällan som det är en fysisk person. Kontrollera att rätt parter anges i avtalets inledning. Detta personuppgiftsbiträdesavtal har ingåtts mellan följande parter Fastighetsägaren AB, [organisationsnummer], [adress], ( Personuppgiftsansvarig ), och IT-leverantören AB, [organisationsnummer, [adress], ( Personuppgiftsbiträde ). 3. BESKRIVER PERSONUPPGIFTS BITRÄDESAVTALET VAD SOM SKA GÖRAS (SÅ KALLADE INSTRUKTIONER)? Ett personuppgiftsbiträde får enbart behandla personuppgifter enligt den personuppgiftsansvariges dokumenterade instruktioner. Personuppgiftsbiträdesavtalet är i sig en instruktion till personuppgiftsbiträdet, nämligen att behandla personuppgifter i enlighet med de klausuler som finns i avtalet. Därför måste det i personuppgiftsbiträdesavtalet anges vad ändamålet är med behandlingen, så att det kan fungera som en instruktion till personuppgiftsbiträdet. Personuppgiftsbiträdet ska behandla personuppgifter för att tillhandahålla tjänster inom ekonomisk förvaltning till bostadsrättsföreningen, som är personuppgiftsansvarig. Nyckel AB (Personuppgiftsbiträde) ska tillhandahålla ett inpasseringssystem med tillhörande drift och service till Fastighetsägaren AB:s fastighet [ange fastighetsbeteckning och adress], i enlighet med parternas huvudavtal, Avtal om Inpasseringssystem. 4. BESKRIVS VILKA PERSONUPPGIFTER SOM KAN KOMMA ATT BEHANDLAS? Ett personuppgiftsbiträdesavtal måste beskriva vilka typer av personuppgifter som personuppgiftsbiträdet kan komma att behandla. Det som måste finnas med är följande: n Vilka kategorier av registrerade ska personuppgiftsbiträdet behandla? Personuppgiftsbiträdet ska behandla personuppgifter om bostadsrättsföreningens medlemmar. Personuppgiftsbiträdet ska behandla personuppgifter om hyresvärdens hyresgäster, besökare och leverantörer. n Vilka kategorier av personuppgifter ska personuppgiftsbiträdet behandla? Personuppgiftsbiträdet ska behandla namn, telefonnummer, hemadress och personnummer. 5. UPPSTÄLLS KRAV PÅ SÄKERHET OCH SEKRETESS? Säkerhet Dataskyddsförordningen ställer krav på både den personuppgiftsansvarige och på personuppgiftsbiträdet när det kommer till säkerhet. Säkerheten måste uttryckligen regleras i personuppgiftsbiträdesavtalet. Personuppgifterna ska behandlas med en säkerhetsnivå som är lämplig i förhållande till risken med den behandling som ska utföras. Konkretiserat så innebär det att säkerheten ska vara högre vid behandling av personuppgifter i stor omfattning eller av känsliga personuppgifter, medan säkerheten kan vara betydligt lägre om behandlingen enbart omfattar exempelvis e-postadresser. på minsta möjliga skrivning om säkerhet Personuppgiftsbiträdet ska vidta de lämpliga tekniska och organisatoriska åtgärder som krävs enligt dataskyddsförordningen artikel 32 för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med den behandling som ska utföras enligt detta personuppgiftsbiträdesavtal. Skrivningen kan byggas ut med specifika säkerhetskrav, som exempelvis kryptering och säkerhetskopiering av personuppgifterna. Ju högre risk med behandlingen av personuppgifter, desto mer säkerhet bör krävas av den personuppgiftsansvarige gentemot personuppgiftsbiträdet. Sekretess Personuppgiftsbiträdet ska åläggas en skyldighet att se till att personuppgifterna behandlas med sekretess. på skrivning om sekretess Personuppgiftsbiträdet ska säkerställa att de personer som kan komma att ha tillgång 5

6 till personuppgifterna är bundna av ett lämpligt sekretessåtagande eller omfattas av en lämplig lagstadgad tystnadsplikt. 6. ASSISTANS I VISSA SITUATIONER Personuppgiftsbiträdet ska åläggas en skyldighet att ge den personuppgiftsansvarige assistans i vissa situationer. Assistans ska ges gällande säkerhet, personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd och förhandssamråd. på minsta möjliga skrivning om assistans Personuppgiftsbiträdet ska, dels på den personuppgiftsansvariges uppmaning och dels löpande, bistå den personuppgiftsansvarige med att se till att skyldigheterna enligt dataskyddsförordningen artiklarna fullgörs, med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå. Med hänsyn till att assistans ska ges i flera olika situationer, så är det vanligt att assistansåtagandet beskrivs på en mängd olika sätt i personuppgiftsbiträdesavtalet. Det som är viktigt är att det i avtalet anges att den personuppgiftsansvarige ska få assistans från personuppgiftsbiträdet på det sätt som anges i exemplet ovan. En viktig fråga är förhandla är också huruvida personuppgiftsbiträdet ska ha rätt att ta extra betalt för denna assistans. 7. HUR SER ANSVARET FÖR SKADE STÅND OCH SANKTIONER UT? I ett personuppgiftsbiträdesavtal är ansvarsfrågan den del som parterna brukar ha mest delade åsikter om. Det beror på att ansvarsavsnittet kan skrivas väldigt förmånligt för den ena eller andra sidan, alltså antingen förmånligt för den personuppgiftsansvarige eller förmånligt för personuppgiftsbiträdet. Det är naturligtvis vanligast att den parten som har tagit fram personuppgiftsbiträdesavtalet har skrivit ansvarsavsnittet till förmån för sig själv. Här behöver man vara vaksam och eftersträva en rimlig ansvarsfördelning. på ansvarsskrivning till förmån för den personuppgiftsansvarige Personuppgiftsbiträdet åtar sig att utan begränsning hålla den personuppgiftsansvarige skadeslös för all skada, innefattande men inte begränsat till skadestånd från registrerade och eventuella sanktionsavgifter, som uppstår till följd av att personuppgiftsbiträdet och/eller dess underbiträden har behandlat personuppgifter i strid med givna instruktioner, detta personuppgiftsbiträdesavtal och/eller dataskyddsförordningen och annan tillämplig dataskyddslagstiftning. på ansvarsfriskrivning till förmån för personuppgiftsbiträdet Personuppgiftsbiträdet ansvarar inte för några skador som har orsakats av att personuppgiftsbiträdet behandlat personuppgifter i strid med detta personuppgiftsbiträdesavtal, förutom om skadan har orsakats uppsåtligen eller av grov oaktsamhet. Respektive part svarar för sina egna eventuella sanktionsavgifter. Personuppgiftsbiträdet behandlar i egenskap av personuppgiftsbiträde personuppgifter så som de fås från den Personuppgiftsansvarige och har inte något ansvar för eventuella följder av att erhållna personuppgifter visar sig vara felaktiga. Den Personuppgiftsansvarige ansvarar för att personuppgifterna samlats in och att de registrerade har fått information enligt dataskyddsförordningen samt att en laglig grund föreligger för behandlingen. 8. ANSVARSTAK I FORM AV MAXBELOPP Det är vanligt att ett personuppgiftsbiträdesavtal till förmån för personuppgiftsbiträdet innehåller ett maxbelopp för ansvaret. En sådan bestämmelse kan antingen ligga i personuppgiftsbiträdesavtalet, i parternas huvudavtal eller i så kallade allmänna villkor. Ett ansvarstak i form av ett maxbelopp kan innebära en stor risk för den personuppgiftsansvarige, särskilt när det rör sig om ett större antal registrerade personer. Om en skada skulle inträffa som innebär att registrerade har rätt till skadestånd, så kommer den personuppgiftsansvariga att behöva betala ut skadeståndet till de registrerade. Den personuppgiftsansvarige kommer emellertid inte kunna kräva hela beloppet från personuppgiftsbiträdet om det finns ett ansvarstak som är lägre än skadeståndet, även om det är biträdet som har orsakat skadan. Det är därför viktigt att identifiera huruvida avtalet innehåller ett ansvarstak. Ju lägre ansvarstak, desto större potentiell risk för den personuppgiftsansvarige. 6

7 9. UNDERLEVERANTÖRER Frågan om i vilken utsträckning ett personuppgiftsbiträde ska få anlita underleverantörer som så kallade underbiträden diskuteras ofta i samband med att personuppgiftsbiträdesavtal förhandlas. Det finns två sätt att hantera frågan på: 1. Personuppgiftsbiträdet får endast anlita ett underbiträde efter att den personuppgiftsansvarige har gett sitt skriftliga godkännande till det. 2. Personuppgiftsbiträdet ges en generell rätt att anlita underbiträden, men måste informera den personuppgiftsansvarige innan så sker, så att den personuppgiftsansvarige har möjlighet att invända. Alternativ 1 är generellt mer förmånligt för den personuppgiftsansvarige, och alternativ 2 är generellt mer förmånligt för personuppgiftsbiträdet. Det handlar om vem som ska ha mest kontroll över förfarandet att anlita underbiträden. Vilket alternativ som är lämpligt skiljer sig från fall till fall. Om en bostadsrättsförening ska köpa in standardiserade IT-tjänster från ett multinationellt bolag, så varken vill eller kan bostadsrättsföreningen få igenom något annat än alternativ 2. Ska däremot en hyresvärd köpa in ett inpasseringssystem till en fastighet där en myndighet ska bedriva säkerhetsklassad verksamhet, så är det av stor vikt att fastighetsägaren har kontroll över hela kedjan av vilka som behandlar personuppgifter. I så bör alternativ 1 användas i avtalet. Det är också möjligt att ange en mer balanserad nivå som försöker tillgodose båda parternas intressen. Ett förslag på en sådan lösning är att bygga ut alternativ 2 med en skrivning om vad som ska hända om den personuppgiftsansvarige invänder. vis kan det anges att om den personuppgiftsansvarige invänder, men personuppgiftsbiträdet ändå anlitar underbiträdet, har den personuppgiftsansvarige rätt att säga upp avtalet med personuppgiftsbiträdet utan att det ska kunna anses vara ett avtalsbrott. 10. ÖVERFÖRING AV PERSON UPPGIFTER UTANFÖR EU/EES Ett personuppgiftsbiträdesavtal innehåller ofta en reglering om huruvida personuppgiftsbiträdet får överföra personuppgifter utanför EU/EES, till ett så kallat tredjeland, eller inte. Precis som för underbiträden så finns det två generella sätt att hantera frågan: 1. Personuppgiftsbiträdet får inte överföra några personuppgifter till tredjeland utan den personuppgiftsansvariges skriftliga tillstånd på förhand. 2. Personuppgiftsbiträdet får överföra personuppgifter till tredjeland, om så sker i enlighet med de bestämmelser som anges i dataskyddsförordningen och personuppgiftsbiträdet ansvarar utan begränsning för eventuella skador som kan uppkomma på grund av överföringen. Personuppgiftsbiträdet ska dock informera den personuppgiftsansvarige innan så sker. Överföring av personuppgifter till tredjeland får endast göras i vissa situationer enligt dataskyddsförordningen. vis kan Europeiska Kommissionen godkänna överföring till vissa länder som har så kallad adekvat skyddsnivå, eller så kan man använda de så kallade standardavtalsklausulerna. Dessa regler är komplicerade, vilket gör att frågan om att tillåta överföring till tredjeland också blir komplicerad. Generellt så är det mycket enklare att utföra all behandling inom EU/EES, varför alternativ 1 som huvudregel bör förespråkas av den personuppgiftsansvarige. Om personuppgiftsbiträdet vill få till stånd ett personuppgiftsbiträdesavtal med alternativ 2, alltså att överföring får göras utanför EU/ EES, eller om personuppgiftsbiträdet vill ha godkännande till en överföring enligt alternativ 1, så måste den personuppgiftsansvarige agera innan det kan godkännas. För det fall mottagarlandet har en adekvat skyddsnivå, eller om mottagaren är ansluten till EU och USA-samarbetet Privacy Shield, så är det som huvudregel inga problem att tillåta överföringen. Det bör alltså först utredas. Om adekvat skyddsnivå eller Privacy Shieldanslutning inte föreligger, så måste den personuppgiftsansvarige ställa sig frågan om det är förenligt med dataskyddsförordningen att överföra personuppgifterna till ett sådant tredjeland. Bestämmelserna finns i artiklarna i dataskyddsförordningen. Ifall överföringen skulle vara förenlig med dataskyddsförordningen, så måste den personuppgiftsansvarige även kontrollera att den information som ges till de registrerade innehåller en möjlighet för den personuppgiftsansvarige att överföra personuppgifter till tredjeland. Om inte, så måste även det hanteras av den personuppgiftsansvarige innan ett godkännande av en överföring kan ske. 7

8