Gemensamt personuppgiftsansvar enligt GDPR, avtal

Termer som förekommer i avtalet har samma innebörd som enligt GDPR, i den mån en term förekommer där. Detta innebär också att termernas konkreta innebörd kan komma att ändras över tid, i takt med utvecklingen av rättspraxis.

Avtalet gäller bara för sådana behandlingar som enligt huvudavtalet görs under gemensamt personuppgiftsansvar enligt artikel 26 i dataskyddsförordningen och som därmed faller under detta avtal. Om en av parterna behandlar personuppgifterna för något annat ändamål sker det på eget och självständigt personuppgiftsansvar och ansvarar ensam för att behandlingen är förenlig med dataskyddsförordningen och dataskyddsregelverket i övrigt. Vidare gäller inte avtalet i sådana behandlingar för vilken en part är personuppgiftsansvarig och en annan part endast genomför behandling som personuppgiftsbiträde åt den personuppgiftsansvarige parten. För sådana behandlingar ska istället ett separat personuppgiftsbiträdesavtal upprättas enligt artikel 28 i dataskyddsförordningen. Om behandlingen som parterna gemensamt personuppgiftsansvariga för kräver ett persongiftsbiträde bör båda parterna normalt underteckna ett sådant avtal. Det finns också möjlighet att ge den gemensamma kontaktpunkten enligt klausul 14.1 fullmakt att teckna PUB-avtal.

Utgångspunkten är att avtalet har 30 dagars uppsägningstid. Dock kan parterna förkorta eller förlänga denna tid vid behov. Det kan t.ex. krävas längre tid än 30 dagar i vissa fall för interna beslutsprocesser hos avtalsparterna. Vidare kan tekniska åtgärder behövas för att säkerställa att den gemensamma behandlingen upphör, t.ex. om uppgifter lagras på en gemensam lagringsyta.

5.3

Det är inte alltid som negativa konsekvenser eller skador p.g.a. behandling av personuppgifter upptäcks direkt när skadan uppstår. Exempelvis kan en dataläcka eller annan personuppgiftsincident upptäckas först viss tid efteråt. Om uppkomsten av denna incident, eller annan behandling som gett upphov till skada, kan knytas till en tidpunkt då avtalet gällde, gäller alltså punkt 13 om ansvarsfördelning, även om tidpunkten för upptäckande inträffar efter att avtalet upphört.

Även om parterna gemensamt bestämt ändamål och medel för behandlingen, kan den rättsliga grunden skilja sig åt för de olika parterna. Detta bl.a. med anledning av att de rättsliga grunderna vara tillämpliga i olika utsträckning hos de potentiella avtalsparterna. Exempelvis kan verksamheter inom kommuner och regioner kan ofta stödja sig på artikel 6.1 e (allmänt intresse), medan privata aktörer oftare utför sin behandling med stöd av 6.1 f (berättigat intresse).

6.3

Kraven enligt GDPR på tekniska och organisatoriska åtgärder nämns i artikel 5, 24, 25 och 32. IMY har viss information om tänkbara åtgärder på sin webbplats.

Säkerhet för personuppgifter, IMY

Enskildas rättigheter framgår av artiklarna 12-22 i dataskyddsförordningen. Det kan också förekomma bestämmelser om detta i särskilda registerförfattningar, se t.ex. 8 kapitlet i patientdatalagen (2008:355).

6.5

För anställda och vissa andra uppdragstagare inom verksamheter som omfattas av offentlighets- och sekretesslagen (OSL) gäller ett förbud att röja uppgifter som omfattas av sekretess, se 2 kap. 1 § OSL). Vidare finns tystnadsplikt för bland andra anställda även inom enskilda verksamheter som inte omfattas av OSL i vissa fall, t.ex. enligt 6 kap 12 § patientsäkerhetslagen (2012:659) och 29 kap 14 § skollagen (2010:800). I den mån en part inte omfattas av någon sådan lagstadgad tystnadsplikt måste sekretessen upprätthållas på annat sätt, t.ex. genom avtal. Avtal måste dock i det enskilda fallet bedömas vara en tillräcklig åtgärd för att upprätthålla sekretessen, vilket t.ex. kan vara svårt om uppgifterna skyddas av stark sekretess med omvänt skaderekvisit (jfr JO 2015/16 s. 606, dnr 3032-2011).

Tredje land definieras i avsnitt 2. Utgångspunkten är att överföringar inte får ske till Tredje land, men undantag kan göras i vissa fall, t.ex. om landet i fråga omfattas av ett beslut av EU-kommissionen om adekvat skyddsnivå. Om ett land inte omfattas av ett sådant s.k. adekvansbeslut, krävs andra typer av skyddsåtgärder för överföringen som i praktiken är väldigt resurskrävande. I vissa särskilda fall kan det vara tillåtet att föra över personuppgifter till ett land utanför EU/EES även om landet saknar ett beslut om adekvat skyddsnivå och trots att inte lämpliga skyddsåtgärder har vidtagits. Dessa undantag regleras i artikel 49 i GDPR.

Adekvat skyddsnivå, IMY

Lämpliga skyddsåtgärder vid tredjelandsöverföring | IMY

Särskilda situation och enstaka överföringar, IMY

En rättslig lösning kan t.ex. vara att det finns ett adekvansbeslut avseende landet i fråga, att EU-kommissionens standardklausuler (SCC) tillämpas eller att det finns möjlighet att göra överföringen med stöd av artikel 49 i GDPR.

Standard Contact Clauses, Europakommissionen

En fråga som uppmärksammats särskilt är möjligheten att överföra personuppgifter till USA, vilket kan ske t.ex. vid användandet av amerikanska molntjänster. Eftersom det finns ett giltigt adekvansbeslut gällande USA, kan sådana överföringar ske utan att vidta lämpliga skyddsåtgärder enligt artikel 46 i dataskyddsförordningen (till exempel standardavtalsklausuler eller bindande företagsbestämmelser), under förutsättning att den mottagande organisationen ingår i förteckningen för ramen för dataskydd (EU–U.S. Data Privacy Framework, förkortad EU-US- DPF). Vilka dessa organisationer är framgår av information som publiceras av det amerikanska handelsdepartementet.

Advekansbeslut gällande USA, EU:s officiella tidning (PDF)

Organisationer inom ramen för dataskydd, Amerikanska handelsdepartementet

Överföringar till USA, IMY

Rättsläget kan komma att ändras om frågan prövas av EU-domstolen, som vid två tidigare tillfällen underkänt adekvansbeslut rörande överföringar av personuppgifter till USA som EU-kommissionen fattat beslut om. Det senaste adekvansbeslutet är dock alltjämt giltigt och kommer att vara det så länge det inte omprövas av EU-kommissionen enligt artikel 45.5 i dataskyddsförordningen, ogiltigförklaras av EU-domstolen eller frånträds av USA.

I den mån uppgifter som omfattas av sekretess enligt OSL kommer röjas i samband med överföring till en aktör i tredje land måste det finnas förutsättningar för att bryta sekretessen. En bestämmelse som kan bli aktuell att tillämpa är 10:2 a § OSL, om det är fråga om att aktören i tredje land endast ska ha tillgång till uppgifterna för teknisk bearbetning och teknisk lagring. Givetvis måste även övriga rättsliga förutsättningar för överföring av tredje land vara uppfyllda.

Klausulen ålägger den part som kontaktas av en registrerad att ta initiativ för att den enskildes rättigheter ska tillgodoses. Detta innebär dock inte att denne part är ensamt ansvarig för detta. Initiativet kan t.ex. bestå i att kontakta övriga parter till avtalet, för att i samförstånd komma överens om hur den enskildes rättigheter ska tillgodoses.

8.2

Liksom klausul 8.1 ålägger denna klausul den part som kontaktas av en registrerad att vidta vissa åtgärder, utan att det för den skull innebär att den part som kontaktats har det fulla ansvaret för att hantera frågan. Klagomålet ska hanteras av den eller de parter som är ansvariga för den specifika behandling som ifrågasätts. Det part som mottar klagomålet från den registrerade är dock ansvarig för att informera om innehållet i avtalet om gemensamt personuppgiftsansvar.

Den Registrerade måste, i samband med Parts överföring av ett klagomål eller en del därav, informeras av den mottagande Parten om det väsentliga innehållet i detta avtal.

8.3

Parterna kan sinsemellan komma överens om att en av parterna tar ansvar för att informera registrerade för alla parternas räkning. Detta bör i så fall dokumenteras på lämpligt sätt, t.ex. i en bilaga till avtalet om gemensamt personuppgiftsansvar, t.ex. i samma bilaga som kan behöva upprättas enligt klausul 14.1 d om gemensam kontaktpunkt.

En av skyldigheterna kan vara att göra en anmälan om en personuppgiftsincident till IMY inom 72 timmar. En sådan skyldighet finns om det inte är osannolikt att personuppgiftsincidenten medför en risk för fysiska personers rättigheter och friheter. Det kan vara lämplig att parterna bestämmer vilken av parterna som ska vara ansvarig för att göra en anmälan enligt artikel 33 i dataskyddsförordningen. Det kan t.ex. vara samma part som utses att informera de registrerade enligt klausul 8.3. Det kan också vid inträffade incidenter och under pågående incidenthantering finnas behov av kontinuerliga samråd mellan parterna för att hålla varandra informerade om omständigheter av betydelse för att uppfylla kraven i artikel 33 i dataskyddsförordningen.

9.2

Beskrivningens innehåll överensstämmer med vad en anmälan till tillsynsmyndigheten (IMY) ska innehålla enligt artikel 33 i dataskyddsförordningen. Skrivningen om att viss information ska lämnas ”om det är möjligt” ger en ventil för att avvika från vad som ska ingå i beskrivningen, om det finns hinder mot att lämna ut viss information, t.ex. att den omfattas av sekretess enligt OSL.
Exempelvis kan uppgifter i denna typ av beskrivningar omfattas av sekretess i vissa fall enligt 18 kap. 8 § punkt 3 (information kan ändå lämnas till IMY med stöd av 10:17 OSL och överförs dit med stöd av 11:1 OSL). I dessa fall kan avtalsparter som omfattas av OSL behöva anpassa informationen för att inte bryta mot denna bestämmelse.

9.3

I många fall kan det ta tid att utreda konsekvenserna av en personuppgiftsincident och att vidta relevanta åtgärder. Klausulen gör det möjligt att informera övriga avtalsparter vid flera tillfällen, t.ex. om ny information tillkommer som inte var känt vid första informationstillfället.

Klausulen ger uttryck för att parterna åtar sig att samarbeta i de fall någon av parterna anser att en medavtalsparts efterlevnad av dataskyddsregleringen behöver granskas. Den part som blir föremål för granskning ska i möjligaste mån bistå den granskande parten. Det kan dock finnas begräsningar i vilka åtgärder som kan vidtas, t.ex. p.g.a. sekretess eller annan bindande lagstiftning. Den granskade parten bör inte ta initiativ till tillsyn som kräver alltför stora resurser från den part som ska granskas.

Klausulen är i linje med finalitetsprincipen och principen om uppgiftsminimering i GDPR (artikel 5). I den mån en part ändå fortsätter att behandla personuppgifter efter avtalets upphörande sker detta på eget och självständigt personuppgiftsansvar. Finalitetspricnipen, innebär att personuppgifter bara får behandlas för särskilt på förhand definierade ändamål och inte därefter behandlas på ett sätt som är oförenligt med dessa ändamål. I den mån det blir aktuellt att använda uppgifterna för andra ändamål än vad som uttryckts från början behöver noggranna överväganden göras. Sådana ytterligare behandlingsändamål kan också föranleda att den part som utför behandlingen gör detta som självständigt personuppgiftsansvarig (jfr kommentar till klausul 3.7.

Genom klausulen klargörs endast en rätt att påkalla förhandling om ändring av avtalet. Den ger inte någon part rätt att säga upp avtalet. Uppsägning regleras istället i avsnitt 5.

13.2

Artikel 82 i dataskyddsförordningen ger enskilda registrerade rätt att ersättning av personuppgiftsansvariga för behandling som påstås ha orsakat dem skada. I svensk kontext skulle detta i praktiken handla om att föra en skadeståndstalan i allmän domstol. Enskilda kan visserligen också ge in klagomål till IMY som kan leda till sanktionsavgifter enligt artikel 83, men en sådan sanktionsavgift tillfaller staten och inte den enskilde (6 kap, 5 § i lagen [2018:218] med kompletterande bestämmelser till EU:s dataskyddsförordning). Ansvaret för sanktionsavgifter regleras i klausul 13.3 i avtalet. En skadeståndstalan kommer att kunna riktas mot var och en av de gemensamt personuppgiftsansvariga (artikel 82.1 i dataskyddsförordningen). Den som talan riktas mot kan dock undgå ansvar genom att visa att den inte är ansvarig för uppkommen skada (artikel 82.3 i dataskyddsförordningen). Artikel 82.4 i GDPR innehåller en viktig regel som säger att personuppgiftsansvariga och personuppgiftsbiträden under vissa förutsättningar ska ha ett solidariskt ansvar i förhållande till den registrerade. Det krävs då att dessa har ”medverkat vid samma behandling” och dessutom ska anses vara ansvariga enligt punkterna 2 och 3 i artikeln. Den registrerade kan rikta sin talan mot endast av de personuppgiftsansvariga. Den part som har fått betala full ersättning ska därefter, enligt artikel 82.5 i dataskyddsförordningen, ha rätt att föra regresstalan mot de övriga medverkande. Dataskyddsförordningen verkar också ge utrymme för att i enlighet med nationell rätt fördela ansvar mellan olika personuppgiftsansvariga som är förenade i samma rättsliga förfarande (se skäl 146).

Klausul 13.1-13-.2 återspeglar att parterna, i enlighet med vad bedöms framgå av artikel 82 i dataskyddsförordningen, i förekommande fall betalar skadestånd till den registrerade i den utsträckning som motsvaras av deras respektive ansvar för uppkommen skada. Fördelningen av eventuellt skadeståndsansvar måste bedömas i varje enskilt fall efter överenskommelse mellan parterna. Om parterna inte kan komma överens gäller avtalets klausuler om tvist.
En part bör inte ingå förlikning med en registrerad utan föregående kontakt med övriga personuppgiftsansvariga. Om så ändå sker bör denne personuppgiftsansvariga anses ha tagit på sig ansvaret för skadan och ensam betala det i förlikningen fastställda beloppet.
Om innebörden av artikel 82 i dataskyddsförordningen, se Öman, Sören, Dataskyddsförordningen (GDPR) m.m., en kommentar, Utgåva 2, Norstedts juridik/JUNO digital lagkommentar och Frydlinger, David m.fl., GDPR - juridik, organisation och säkerhet enligt dataskyddsförordningen, version 1, Norstedts juridik/JUNO, s. 331 ff. (e-bok).

13.3

Det är IMY som beslutar om sanktionsavgifter och vilka personuppgiftsansvariga och personuppgiftsbiträden som blir ansvariga för att erlägga sådan avgift. Den part som påförs en sådan sanktionsavgift kan överklaga beslutet till domstol, men har inte enligt dataskyddsförordningen eller avtalet någon regressrätt mot övriga avtalsparter. (jfr klausul 13.1-13.2 om skadestånd).

13.5

Parternas överenskommelse om vilken av parterna som ska vara gemensam kontaktpunkt bör dokumenteras i en bilaga till avtalet. I de fall parterna utsett en part som ansvarig för att uppfylla informationsplikten enligt artikel 13-14 i dataskyddsförordningen (jfr klausul 8.3) kan dokumentationen göras i samma bilaga.

En tillämpning av lagvalsreglerna skulle potentiellt sett kunna leda till att en eventuell tvist kan avgöras enligt något annat lands materiella lagstiftning. Genom klausulen säkerställs att eventuella tvister ska avgöras enligt svensk rätt och vid svensk domstol.

Avtalet bör undertecknas av samtliga personuppgiftsansvariga organisationer som omfattas av det gemensamma personuppgiftsansvaret. Om det är fler än två personuppgiftsansvariga organisationer behöver således antalet spalter med information om namn på organisation och utrymme för undertecknande utökas så antalet spalter motsvarar antalet parter.

16.2