Vägledande kommentarer, PUB-avtalsdokument

Av huvudavtalet bör framgå hur PUB-avtalet och andra dataskyddsrelaterade handlingar, till exempel instruktioner, förhåller sig till övriga avtalsdokument. Under en särskild rubrik (exempelvis ”Handlingarnas inbördes ordning”) slår parterna fast hur avtalsdokumenten ska förhålla sig till varandra om de skulle behöva tolkas.

3.3

Denna bestämmelse öppnar för parterna att komma överens om andra villkor i angivna avsnitt eller punkter. Lägg märke till att parterna inte äger rätt att ändra övriga avsnitt eller punkter i PUB-avtalet.

Regleringen under avsnitt 4 innehåller det övergripandet mandatet för personuppgiftsbiträdet att för den personuppgiftsansvariges räkning behandla dennes personuppgifter i enlighet med aktuellt personuppgiftsbiträdesavtal.

4.2

I avtalet ska föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade samt den personuppgiftsansvariges skyldigheter och rättigheter anges. Detta följer av artikel 28.3 i dataskyddsförordningen. Dessa obligatoriska uppgifter framgår inte enbart av personuppgiftsbiträdesavtalet utan ska framgå av instruktionerna till biträdet. Angivande av dessa uppgifter kan ske i SKR-koncernens ”Mall för den Personuppgiftsansvariges Instruktion för Behandling av Personuppgifter” (bilaga 1 till PUB-avtalet) eller i den personuppgifts­ansvariges egna mall för instruktioner. Flera punkter i instruktionerna kan med fördel användas som underlag för Personuppgiftsansvariges registerförteckning så det är klokt att försöka använda samma typ av terminologi och formuleringar som återfinns där.

Skälet till att instruktionerna inte framgår direkt av PUB-avtalet är att avtalets standardutförande då inte skulle kunna behållas. Instruktionerna är en icke-generisk del av PUB-avtalet (eller huvudavtalet; se nästa stycke) som ska innehålla dokumenterade omständigheter och instruktioner som är unika för den specifika behandlingen som PUB-avtalet reglerar, t.ex. föremålet för behandlingen och behandlingens varaktighet (med mera).

Det finns inga hinder mot att låta instruktionerna, liksom PUB-avtalet, ingå som bilagor till ett huvudavtal. I sådana fall ska emellertid PUB-avtalet och instruktionerna vara ”urskiljbara” från övriga villkor som gäller mellan parterna enligt huvudavtalet (se t.ex. tidigare Datainspektionens beslut 2014-06-09, dnr 1822-13).

4.3

Bestämmelsen i punkt 4.3 bygger på kravet i artikel 28.1 a att personuppgiftsbiträdet endast får behandla personuppgifter enligt dokumenterade instruktioner från den personuppgiftsansvarige, inbegripet överföringar av personuppgifter till ett tredje land eller en internationell organisation, såvida inte behandlingen krävs enligt unionsrätten eller enligt en medlemsstats nationella rätt som personuppgiftsbiträdet omfattas av. I sådana fall ska personuppgiftsbiträdet informera den person­uppgiftsansvarige om det rättsliga kravet innan uppgifterna behandlas, såvida sådan information inte är förbjuden med hänvisning till ett viktigt allmänintresse enligt unionsrätten eller enligt en medlemsstats nationella rätt.

All behandling av personuppgifter kräver en rättslig grund. Annars är det inte en tillåten behandling. De rättsliga grunderna för behandling av personuppgifter finns i artikel 6.1 i dataskyddsförordningen. Det är den personuppgiftsansvarige som ansvarar för lagenligheten i personuppgiftsbehandlingen, s.k. ansvarsskyldighet (se artikel 5.2).

Personuppgiftsbiträdet bär ett ansvar för att skydda personuppgifter enligt artikel 32 i dataskydds­förordningen. Om det ansvaret omfattar även laglighetsfrågor är oklart i nuläget. Bedömer person­uppgiftsbiträdet att behandlingen saknar rättsligt stöd har denne åtminstone en skyldighet enligt personuppgiftsbiträdesavtalet att uppmärksamma den personuppgiftsansvarige på förhållandet och be om kompletterande instruktioner. Det framgår av punkten 6.5 i personuppgiftsbiträdesavtalet.

5.2

Ändrade organisatoriska eller administrativa förhållanden hos personuppgiftsansvarige vilka påverkar personuppgiftsbiträdets skyldigheter ska utan onödigt dröjsmål meddelas denne. Det kan t.ex. röra sig om ändrade ansvarsförhållanden utifrån omorganisation, förändrade roller och ansvar, byte av IT-system eller ändrade arbetssätt som påverkar personuppgiftsbiträdets åtagande. Den personupp­giftsansvarige bör även hålla personuppgiftsbiträdet informerad om särskilda lagar, förordningar eller föreskrifter som gäller för den personuppgiftsansvarige och som personuppgiftsbiträdet behöver ta hänsyn till i samband med behandlingen, om inte personuppgiftsbiträdet själv kan förväntas känna till dessa enligt punkten 6.1 i personuppgifts­biträdesavtalet.

5.3

Enligt dataskyddsförordningen ansvarar den personuppgiftsansvarige för att informera den registrerade om behandlingen av personuppgifter eller om något undantag från informations­skyldigheten är tillämplig (se artikel 12–14). Den personuppgiftsansvarige ansvarar vidare för att tillvarata registrerades rättigheter. Personuppgiftsbiträdet har emellertid enligt PUB-avtalet en skyldighet att stödja den personuppgiftsansvarige i handläggningen av rättigheter, se punkten 6.4. Det följer direkt av artikel 28.3 f i dataskyddsförordningen.

Kommentar 6.4

Bestämmelsen i punkten 6.1 erinrar personuppgiftsbiträdet om att endast utföra behandlingen av personuppgifter inom ramen för avtalets villkor samt dokumenterade instruktioner. Den tydliggör också att instruktionerna uttryckligen måste tillåta om personuppgiftsbiträdet ska ha rätt att använda uppgifterna till andra eller egna syften och ändamål.

Personuppgiftsbiträdet har vidare ett flertal skyldigheter enligt dataskyddsförordningen, bl.a. att skydda personuppgifter (artikel 32), hålla en registerförteckning (artikel 30.2), och hjälpa den personuppgiftsansvarige att fullgöra sin skyldighet att svara på begäran om utövande av den registrerades rättigheter i enlighet med kapitel III (artikel 28.3 e).

Personuppgiftsbiträdet ska också utge skadestånd till registrerade och ansvara för skada upp­kommen till följd av behandlingen om denne inte har fullgjort de skyldigheter i dataskyddsförord­ningen som specifikt riktar sig till personuppgiftsbiträden eller agerat utanför eller i strid med den personuppgiftsansvariges lagenliga anvisningar (artikel 82.2).

6.2

Se kommentaren under punkten 5.1.

Kommentar 5.1

6.3

Personuppgiftsbiträdet ansvarar enligt punkten 6.3 själv för att anställda och osjälvständiga uppdragstagare (medarbetare) är informerade om biträdets skyldigheter enligt PUB-avtalet och tillhörande instruktioner. Det är personuppgiftsbiträdet som ansvarar för eventuella fel som dessa begår.

6.4

Bestämmelsen i punkten 6.4 är en direkt följd av dataskyddsförordningen, artikel 28.3 e. Huruvida personuppgiftsbiträdet ska kunna erhålla ersättning för att bistå den personuppgiftsansvarige är en fråga att överväga vid planeringen av en upphandling av en specifik tjänst alternativt uppmärk­sammas av leverantören vid anbudsgivningen. Dataskyddsförordningen reglerar ingen sådan rättig­het för personuppgiftsbiträdet. Å andra sidan kan vissa rättigheter kräva omfattande arbete av biträdet för att tillmötesgå den registrerades rättigheter, till exempel registerutdrag.

6.5

Situationen kan vanligtvis uppkomma vid ändrade organisatoriska eller administrativa förhållanden hos den personuppgiftsansvarige. Skulle situationen uppstå ska personuppgiftsbiträdet utan dröjsmål informera den personuppgiftsansvarige och tillfälligt upphöra med behandlingen. Skälet är att minimera eventuell skada som skulle kunna förvärras om behandlingen fortsatte efter under­rättelsen. Begäran från biträdet om nya eller kompletterande instruktioner ska hanteras skyndsamt av den personuppgiftsansvarige. När det gäller lagringstjänster kan det vara svårt att tillfälligt upphöra med behandlingen. Parterna kan istället komma överens om något annat, t.ex. att uppgifterna ska spärras från åtkomst.

Instruktionerna ska meddelas skriftligen, t.ex. per e-post, och kan formaliseras i efterhand genom utfärdande av en ny instruktion eller en kompletterande bilaga till PUB-avtalet eller huvudavtalet.

6.6

PUB-avtalet reglerar inte kostnader för personuppgiftsbiträdets behandling av den personuppgifts­ansvariges personuppgifter. Det förväntas att parterna reglerar priser och andra ersättningsanspråk i huvudavtalet. Motsvarande gäller om den personuppgiftsansvarige meddelar nya eller ändrade instruktioner som medför högre kostnader för personuppgiftsbiträdet än vad som avtalats i samband med upphandlingen av en tjänst. Personuppgiftsbiträdet ska påtala sina kostnadsanspråk snarast. Specifika tidsbegränsningar bör anges i huvudavtalet. Tidsbegränsningar på över ett år kan inte anses vara rimliga.

Syftet är att inleda en dialog om eventuella kostnadsökningar för biträdet i samband med ändrade förutsättningar. Resulterar dialogen i att parterna inte kan komma överens har biträdet med stöd av punkten 15.1 rätt att säga upp PUB-avtalet med trettio dagars varsel.

Enligt punkten 7.3 i PUB-avtalet utgör tillkommande eller ändrade krav på skyddsåtgärder från den personuppgiftsansvarige, efter parternas tecknande av avtalet, alltid nya Instruktioner enligt avtalet.

Punkten 7.1 är en erinran till personuppgiftsbiträdet om skyldigheten enligt artikel 28.3 c i data­skyddsförordningen att bistå den personuppgiftsansvarige med att se till att vidta alla åtgärder som krävs enligt artikel 32. I artikel 32 finns den övergripande skyldigheten för både personuppgifts­ansvariga och personuppgiftsbiträden att skydda personuppgifter och därmed undvika personuppgiftsincidenter.

7.2

Punkten 7.2 är en erinran till personuppgiftsbiträdet om skyldigheten enligt artikel 28.3c i dataskyddsförordningen att bistå den personuppgiftsansvarige med att se till att vidta alla åtgärder som krävs enligt artikel 32. Av artikel 32.1 framgår bland annat att personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt […] förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft i tjänsterna som omfattas av person­uppgiftsbehandlingen. Lämpliga säkerhetsåtgärder kan t.ex. vara åtgärder för pseudonymisering och kryptering av personuppgifter, åtgärder för att säkerställa fortlöpande konfidentialitet samt för­faranden för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärderna.

7.3

Se kommentaren under punkt 6.6.

Kommentar 6.6

7.4

Personuppgiftsbiträdets personal kan i vissa situationer behöva åtkomst till den personuppgifts­ansvariges personuppgifter för att till exempel utföra felsökning eller support. Rätten till sådan åtkomst ska framgå av den skriftliga instruktionen. Åtkomst som inte är uttryckligen tillåten ska betraktas som otillåten. Vem som får ha tillgång till vilken information kan till exempel framgå av registerförfattningar. Punkten avser personal som arbetar under personuppgiftsbiträdets ”direkta ansvar”. I artikel 4.10 i dataskyddsförordningen talas om personer som under den personuppgifts­ansvariges respektive persondatabiträdets direkta ansvar har befogenhet att behandla person­uppgifter.

7.5

Denna punkt i PUB-avtalet förutsätter komplettering i den skriftliga instruktionen. Som exempel kan instruktionen ställa krav på att personuppgiftsbiträdet ska logga hur personuppgifter hanteras, vilka uppgifter som ska loggas, när användare hos den personuppgiftsansvarige och personuppgifts­biträdet tar del av personuppgifter, datum och klockslag för olika händelser som ska loggas med mera.

Kravet på bevarande av personuppgifter i fem år är hämtat från Socialstyrelsens föreskrifter och allmänna råd (HSFL-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården där det ställs krav på vårdgivare att bevara åtkomstloggar minst fem år. Inget hindrar dock att den personuppgiftsansvarige i samråd med personuppgiftsbiträdet ändrar bevarandetiden i den skriftliga instruktionen och markerar att den tiden gäller i stället för bevarandetiden i punkt 7.5.

7.6

Punkten 7.6 säkerställer att personuppgiftsbiträdet enligt artikel 28.3 c i dataskyddsförordningen är skyldig att bistå den personuppgiftsansvarige med att se till att vidta alla åtgärder som krävs enligt artikel 32. Av artikel 32.2 framgår att bl.a. att personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt […] ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

Av artikel 28 3 b) i dataskyddsförordningen framgår att personer med behörighet att behandla personuppgifterna ska ha åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.

Bestämmelsen ska säkerställa att personuppgiftsbiträdet och samtliga fysiska personer som arbetar under dess ledning ska iaktta såväl sekretess som tystnadsplikt vid behandlingen.

Omfattas uppgifterna av offentlighets- och sekretesslagen (2009:400) (OSL) är de känsliga och omfattas av sekretess. Detta ställer särskilda krav på personuppgiftsbiträdets skydd av uppgifterna i form av kryptering, rutiner för åtkomst, kontroller vid verkställighet av beslut om utlämnande till tredje part och loggning som ska framgå av instruktionen.

PUB-avtalet i sig innefattar en tystnadsplikt, liksom krav på individuella sekretess förbindelser av det slag som framgår av punkten 8.2. Det är verktyg för att skydda sekretessbelagda uppgifter för obehörigt röjande eller otillåten behandling, givet att tystnadsplikten är förenad med kännbara skadestånd eller viten.

Tydliga instruktioner om dataskydd utgör vidare en viktig del av den personuppgiftsansvariges skydd av och kontroll över uppgifterna, till exempel förbud för personuppgiftsbiträdets personal att genom direktåtkomst ta del av den personuppgiftsansvariges uppgifter. Brott mot sådana instruktioner kan aktualisera brotten dataintrång eller trolöshet mot huvudman för biträdets personal.

För att ytterligare skydda uppgifterna och utöva kontroll över dem kan andra åtgärder vidtas som gör det mer eller mindre omöjligt för leverantören att faktiskt ta del av dessa. En sådan åtgärd är att uppgifterna lagras krypterade eller pseudonymiserade så att personuppgiftsbiträdet inte har åtkomst till dem, förutsatt att den personuppgiftsansvarige förfogar över kryptonyckeln.

8.2

Enligt artikel 32.4 i dataskyddsförordningen ska den personuppgiftsansvarige och personuppgiftsbiträdet vidta åtgärder för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansvarige, om inte unionsrätten eller medlemsstaternas nationella rätt ålägger den fysiska personen att göra det.

Punkten 8.2 säkerställer kravet på sekretess/tystnadsplikt och konkretiseras genom avtal med biträdet om sekretessförbindelser.

I vissa fall omfattas personuppgiftsbiträdet av en lagstadgad tystnadsplikt. Ett exempel på sådan tystnadsplikt finns i lagen (1997:736) om färdtjänst. Enligt 15 § i denna lag får personer som är eller har varit verksamma inom enskild verksamhet som bedrivs yrkesmässigt och som omfattas av denna lag inte obehörigen röja vad de i verksamheten fått veta om någons personliga förhållanden. Tystnadsplikten kombineras med en sekretessbrytande bestämmelse så att socialtjänsten och vårdgivare kan röja uppgifter om hälsa för färdtjänstchauffören.

Vid utkontraktering eller så kallad ”outsourcing” av teknisk bearbetning eller lagring av personupp­gifter till leverantör gäller numera en lagstadgad tystnadsplikt som framgår av lagen (2020:914) om tystnadsplikt vid utkontraktering.

Även auktoriserade tolkar och översättare omfattas av en lagstadgad tystnadsplikt, se lagen (1975:689) om tystnadsplikt för vissa tolkar och översättare. Brott mot lagstadgad tystnadsplikt är straffbart och förenad med böter eller fängelse som påföljd.

8.3

Enligt artikel 29 i dataskyddsförordningen gäller att personuppgiftsbiträdet och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende och som får tillgång till personuppgifter, endast får behandla dessa på instruktion från den personuppgiftsansva­rige, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt.

Punkten 8.3 ska säkerställa att personuppgiftsbiträdet skyndsamt ska underrätta personuppgifts­ansvarig om kontakter med tillsynsmyndigheten och ska invänta instruktioner samt att biträdet inte företräder den personuppgiftsansvarig mot tillsynsmyndigheten.

Personuppgiftsbiträdet ska endast bistå med informationsförmedling angående behandlingen till tillsynsmyndigheten efter instruktion eller enligt lagkrav.

8.4

Punkten 8.4 säkerställer att personuppgiftsbiträdet ska underrätta personuppgiftsansvarig om kontakter med tillsynsmyndigheten eller tredje man. Personuppgiftsbiträdet ska endast bistå med informationsförmedling angående Behandlingen till tillsynsmyndigheten efter instruktion eller enligt lagkrav.

Punkten 9.1 säkerställer att personuppgiftsbiträdet på lämpligt sätt ska tillhandahålla information till personuppgiftsansvarig, som visar att denne lever upp till den personuppgiftsansvariges krav på behandlingen och vidtar alla lämpliga tekniska och organisatoriska säkerhetsåtgärder som krävs enligt dataskyddsförordningen och PUB-avtalet. På så sätt behöver den personuppgiftsansvarige inte ta i anspråk den ingripande rätten till inspektioner enligt artikel 28.3 h.

Punkterna 9.1 – 9.3 utgör en eskaleringstrappa som den personuppgiftsansvarige förfogar över för att utöva kontroll över personuppgiftsbiträdets behandling. Den erbjuder också biträdet en möjlighet att förse den personuppgiftsansvarige med information som ger tillräcklig insyn i skyddet av person­uppgifter så att rätten till mer ingripande åtgärder, såsom inspektion, aldrig behöver aktualiseras.

Notera att personuppgiftsbiträdet ska kunna ge ”tillräckliga garantier” för skyddet av personupp­gifter enligt artikel 28.1 i dataskyddsförordningen genom lämpliga tekniska och organisatoriska åtgärder.

9.2

Punkt 9.2 anger att personuppgiftsbiträdet ska använda egenkontroll som metod för att visa för den personuppgiftsansvarige att behandling uppfyller kraven enligt PUB-avtalet och dataskyddsförord­ningen, artikel 28.3 h. Egenkontroll innebär i detta fall en årlig revision av informationssäkerheten som dokumenteras. Exempel på det är de uppföljningar av informationssäkerheten som gjorts och som är av större betydelse, de riskanalyser som har gjorts, de åtgärder som har vidtagits för förbättring av informationssäkerheten och som är av större betydelse samt den utvärdering personuppgiftsbiträdet har genomfört av skydd mot olovlig åtkomst, såväl intern som extern, till datornätverk och informationssystem.

9.3

Punkt 9.3 säkerställer att den personuppgiftsansvarige ska ha möjlighet att följa upp att person­uppgiftsbiträden lever upp till den personuppgiftsansvariges krav på personuppgiftsbehandlingen enligt artikel 28.3 c och artikel 32 i dataskyddsförordningen. Den personuppgiftsansvarige ska ges tillgång till all information som krävs för att visa att skyldigheterna enligt artikel 28.3 h har fullgjorts samt bidra till granskningar, inbegripet inspektioner. Dessa kan genomföras av den personuppgifts­ansvarige själv eller av en revisor eller granskningsperson som bemyndigats av den personuppgifts­ansvarige.

9.4

Punkt 9.4 möjliggör att granskningen av personuppgiftsbiträdet genomförs på ett alternativt sätt, t.ex. av en oberoende tredje part.

9.5

Punkt 9.5 säkerställer att personuppgiftsbiträdet även ska bereda tillsynsmyndigheten möjligheten att genomföra sådan granskning som denne har laglig rätt att utföra.

9.6

Punkt 9.6 säkerställer personuppgiftsbiträdets ansvar för kraven enligt artikel 28.3 för sina underbiträden. Personuppgiftsbiträdet ansvarar enligt artikel 28.4 fullt ut för underbiträdets behandling gentemot den personuppgiftsansvarige.

Punkt 10.1 säkerställer att personuppgiftsbiträdet ska understödja den personuppgiftsansvarige med de åtgärder som behövs för att tekniskt möjliggöra att den personuppgiftsansvarige hanterar de registrerades rättigheter (som rättelse och radering av personuppgifter, m.m.), enligt artikel 28.3 e i dataskyddsförordningen.

Personuppgiftsbiträdet kan behöva ta del av sekretessbelagda personuppgifter för att kunna verkställa raderingen. Villkoret innehåller ett medgivande (en instruktion) från den personuppgifts­ansvarige till biträdet att få ta del av sådana uppgifter för att kunna utföra arbetsuppgiften. Av artikel 16 i dataskyddsförordningen följer att den registrerade har rätt att begära att felaktiga personupp­gifter rättas.

Av artikel 17.3 b i dataskyddsförordningen följer dock att rätten att bli bortglömd inte gäller om behandlingen är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av eller för att utföra en uppgift av allmänt intresse.

10.2

Punkt 10.2 säkerställer att personuppgiftsbiträdet ska understödja den personuppgiftsansvarige med de åtgärder som behövs för att tekniskt möjliggöra att den personuppgiftsansvarige hanterar kraven enligt artikel 32.1 i dataskyddsförordningen.

Punkten 11.1 säkerställer att personuppgiftsbiträdet har förmåga att återställa tillgängligheten och tillgången till personuppgifterna i rimlig tid vid en fysisk eller teknisk incident enligt artikel 32.1 c. i dataskyddsförordningen. Det förutsätter att personuppgiftsbiträdet har en organisation och rutiner för alla slag av säkerhetsincidenthantering i sitt ledningssystem för informationssäkerhet (motsvarande).

11.2

Punkten 11.2 säkerställer personuppgiftsbiträdets skyldighet enligt artikel 28.3 f. i dataskydds­förordningen; att bistå den personuppgiftsansvarige med att se till att skyldigheterna enligt artikel 32–36 fullgörs med hänsyn till typen av behandling och den information som personuppgiftsbiträdet har att tillgå.

11.3, 11.4

Personuppgiftsbiträdet ska enligt artikel 33.2 i dataskyddsförordningen underrätta den personupp­giftsansvarig utan onödigt dröjsmål vid händelse av personuppgiftsincident och ska i övrigt stödja den personuppgiftsansvarige med en anmälan av en personuppgiftsincident till tillsynsmyndig­heten samt i förekommande fall till registrerade. Punkterna 11.3 och 11.4 säkerställer att det ska finnas rutiner för hantering och beskrivning samt rapportering av personuppgiftsincidenter som följer av dataskyddsförordningen.

11.5

Punkt 11.5 säkerställer att personuppgiftsbiträdet underrättar den personuppgiftsansvarig om personuppgiftsincidenten även om alla uppgifter som ska ingå i beskrivningen inte finns tillgängliga initialt. Information får då lämnas i omgångar utan vidare dröjsmål.

Punkt 12.1 anger att Personuppgiftsbiträdet, när PUB-avtalet ingås, ska ange alla underbiträden som det avser att anlita under avtalstiden. Bestämmelsen hindrar dock inte att personuppgiftsbiträdet anlitar nya underbiträden eller byter ut de underbiträden som de har angett i bilaga 2, se punkt 12.5 nedan jämte kommentarer.

12.2

I de fall där ett personuppgiftsbiträde anlitar ett annat personuppgiftsbiträde (underbiträde) för utförande av specifik behandling på den personuppgiftsansvariges vägnar, ska enligt artikel 28.4 i dataskyddsförordningen underbiträdet, genom ett avtal eller en annan rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt, åläggas samma skyldigheter i fråga om dataskydd som de som fastställs i avtalet eller den andra rättsakten mellan den personuppgiftsansvarige och personuppgiftsbiträdet.

12.3

Personuppgiftsbiträdet och dess underbiträden ska avtala om en klausul i PUB-avtalet som ger den personuppgiftsansvariga rätt att säga upp underbiträdesavtalet och ha rätt att instruera underleve­rantören att radera eller återlämna personuppgifterna. Detta med anledning av att avtalet med underbiträdet ingåtts med personuppgiftsbiträdet, som inte längre existerar på grund av exempelvis obestånd. Personuppgiftsansvarig måste då ha rätt att säga upp underleverantörsavtalet och instruera hur avvecklingen ska gå till.

12.4

Punkt 12.4 säkerställer att personuppgiftbiträdet har fullt ansvar för underbiträdens behandlingar. Personuppgiftsbiträdet kan, med beaktande av samtliga punkter i PUB-avtalet, uppdra åt flera olika underbiträden att bistå i den behandling personuppgiftsbiträdet har i uppdrag att utföra. I alla fall där personuppgiftsbiträdet uppdrar åt ett eller flera underbiträden att bistå i dennes behandling, ansvar personuppgiftsbiträdet alltid fullt ut för dessas behandling mot den personuppgiftsansvarige. Den personuppgiftsansvariges instruktioner till personuppgiftsbiträdet ska givetvis inkluderas i personuppgiftsbiträdets PUB-avtal med sina underbiträden.

12.5

Enligt artikel 28.2 i dataskyddsförordningen får personuppgiftsbiträdet inte anlita ett annat person­uppgiftsbiträde utan att ett särskilt eller allmänt skriftligt förhandstillstånd har erhållits av den personuppgiftsansvarige. Om ett allmänt skriftligt tillstånd har erhållits, ska personuppgiftsbiträdet informera den personuppgiftsansvarige om eventuella planer på att anlita nya personuppgifts­biträden eller ersätta personuppgiftsbiträden, så att den personuppgiftsansvarige har möjlighet att göra invändningar mot sådana förändringar.

12.6

En grundläggande förutsättning för att den personuppgiftsansvarige ska kunna uppfylla säkerhets­kraven och kravet på kontroll av personuppgiftsbiträden är att den personuppgiftsansvarige har kännedom om vilka underbiträden som behandlar personuppgifter för dennes räkning.

Personuppgiftsbiträdet äger enligt punkten 12.5 och 12.6 rätt att anlita nya underbiträden och åtar sig att skriftligen meddela den personuppgiftsansvarige uppgifter om dessa såsom namn, organi­sationsnummer, adress, kategorier av registrerade som behandlas och var uppgifterna ska behandlas. Den personuppgiftsansvarige har dock rätt att motsätta sig anlitandet av det nya underbiträdet om den personuppgiftsansvarige inte anser att underbiträdet ger tillräckliga garantier för en säker behandling, se kommentar till punkten 16.4.

Kommentar 16.4

12.7

Punkt 12.7 säkerställer att den personuppgiftsansvarige har rätt att inom 30 dagar invända mot anlitandet av ett nytt underbiträde och har rätt att säga upp PUB-avtalet om denne anser att det finns en risk att det nya underbiträdet inte hanterar personuppgifterna på ett säkert sätt. Innan uppsägning sker kan det vara lämpligt att parterna först utreder möjligheterna för personuppgifts­biträdet att antingen själv utföra behandlingen eller byta ut underbiträdet till ett underbiträde som kan hantera personuppgifterna på ett säkert sätt.

12.9

Den personuppgiftsansvarige behöver även veta vilka underbiträden som inte längre är aktuella för att kunna uppfylla kravet på kontroll.

12.10

För att kunna uppfylla kravet på kontroll behöver den personuppgiftsansvarige även veta vilka underbiträden som personuppgiftsbiträdet tecknat avtal med och att dessa uppfyller kraven i artikel 28 i dataskyddsförordningen beträffande underbiträdets behandling. Detta krav avser inte de kommersiella villkoren mellan parterna.

Punkt 13.1 säkerställer att personuppgiftsbiträdets behandling av personuppgifterna sker inom EU/EES och av en fysisk eller juridisk person som är etablerad inom EU/EES, såvida parterna inte kommit överens om någonting annat. Dataskyddsförordningen medför att alla EU/EES-länder har ett likvärdigt skydd för personuppgifter. Det innebär att personuppgifter kan överföras fritt mellan dessa länder utan några begränsningar. För länder utanför EU/EES (s.k. tredje länder) finns generellt inte en lagstiftning som ger motsvarande garantier. Av den anledningen stadgar dataskyddsförordningen att överföring endast får ske under särskilda förhållanden. Möjligheterna för tillåten överföring av personuppgifter som är under behandling eller är avsedd att behandlas i ett tredje land kan delas in i följande tre grupper:

1. EU-kommissionen har beslutat att tredje landet säkerställer en adekvat skyddsnivå (se EU-kommissionens hemsida för en uppdaterad förteckning),
2. den som behandlar personuppgifterna har vidtagit lämpliga skyddsåtgärder inför överföringen och det finns lagstadgade rättigheter och effektiva rättsmedel för registrerade eller
3. det föreligger ett undantag enligt artikel 49.1 första stycket i dataskyddsförordningen.

Om personuppgifter ska behandlas utanför EU/EES är det parternas skyldighet att säkerställa att något av undantagen ovan är tillämpligt. Det finns specialbestämmelser utöver GDPR som reglerar överföring av personuppgifter till tredje land, exempelvis i förordning (2001:637) om behandling av personuppgifter inom socialtjänsten.

Den personuppgiftsansvarige ska också på förhand ha givit sitt skriftliga godkännande till överföringen och utfärdat instruktioner för detta ändamål.

I punkt 14.1 regleras ansvaret mellan parterna för det fall en registrerad lider skada till följd av att en eller båda parterna har behandlat personuppgifter i strid med dataskyddsförordningen. Punkten reglerar inte ansvar för annan typ av skada och påverkar inte parternas möjlighet att införa ansvarsbegränsningar för skador som beror på att huvudavtalet inte följs avseende exempelvis leveranser eller SLA (se vidare kommentaren under punkten 14.4 nedan).

Punkten hänvisar till artikel 82 i dataskyddsförordningen och syftet är att den ska tolkas i enlighet med rättsutvecklingen inom artikelns tillämpningsområde. I artikel 82 stadgas utförligt när en personuppgiftsansvarig respektive ett personuppgiftsbiträde kan bli ansvarig för ideella och materiella skador hos den registrerade och möjligheterna till regressrätt.

Den personuppgiftsansvarige är enligt artikel 82 ansvarig för skada som orsakats av behandling som strider mot dataskyddsförordningen. Personuppgiftsbiträdets ansvar är enligt artikel 82.2 begränsat till situationer där

1. denne inte har fullgjort de skyldigheter i dataskyddsförordningen som specifikt riktar sig till personuppgiftsbiträden eller
2. agerat utanför eller i strid med den personuppgiftsansvariges lagenliga anvisningar.

Av artikel 82.4 i dataskyddsförordningen följer dock att parterna är solidariskt ansvariga gentemot den registrerade om båda medverkat vid samma behandling och enligt artikel 82.3 inte kan visa att de inte på något sätt är ansvariga för den händelse som orsakat skadan.

Regressmöjligheten i artikel 82.5 ger den part som har betalat ut full ersättning rätt att från den andra parten återkräva den del av ersättningen som motsvarar den andra partens del av ansvaret enligt artikel 82.2.

14.2

Punkt 14.2 regerar att en eventuell administrativ sanktionsavgift ska bäras av den part som påförts avgiften av tillsynsmyndigheten. Av artikel 83 följer att avgiften har till syfte att i varje enskilt fall vara effektiv, proportionell och avskräckande. Vidare ska tillsynsmyndigheten bland annat vid påförandet av avgiften ta hänsyn till graden av ansvar hos den personuppgiftsansvarige eller personuppgifts­biträdet med beaktande av de tekniska och organisatoriska åtgärder som genomförts av dem i enlighet med artikel 25 och 32.

14.3

Punkt 14.3 reglerar parternas informationsskyldighet gentemot varandra och grundas på allmänna skadeståndsrättsliga principer om att lämpliga åtgärder ska vidtas för att minska uppkommen skada och följderna av en sådan.

14.4

Punkt 14.4 reglerar att parterna inte kan avtala om någon annan ansvarsfördelning gällande skade­stånd till registrerad som uppstår i samband med personuppgiftsbehandling eller administrativ sanktionsavgift än vad som stadgas i punkterna 14.1 och 14.2. Skälet är att det följer av artikel 28.1 och skäl 81 i dataskyddsförordningen att en personuppgiftsansvarig endast får anlita personuppgifts­biträden som kan ge ”tillräckliga garantier” om att genomföra lämpliga tekniska och organisatoriska åtgärder så att behandlingen uppfyller kraven i förordningen och säkerställer att den registrerades rättigheter skyddas. Att personuppgiftsbiträdet friskriver sig från eventuell skada, och därmed helt eller delvis övervältrar sitt ansvar för skyddet av personuppgifter på den personuppgiftsansvarige, torde inte vara förenligt med kravet på ”tillräckliga garantier ”.

Det ska framhållas att ansvar för skador på grund av exempelvis felaktiga eller försenade leveranser kan regleras i huvudavtalet utan hinder av punkten 14.4 i PUB-avtalet. Villkoret hindrar alltså inte parterna från att i huvudavtalet reglera eventuella ansvars begränsningar för skada som beror på att huvudavtalet inte följs.

Punkt 15.1 reglerar vad som gäller mellan parterna för det fall avtalstiden inte följer av huvudavtalet. Det är fullt möjligt för parterna att avtala om annan avtals- eller uppsägningstid i huvudavtalet. Huvudavtalets reglering ska i sådant fall ha företräde (jmf. punkten 3.3).

Punkt 16.1 föreskriver att båda parterna har rätt till omförhandling om ägarförhållandena ändras väsentligt eller om tillämplig lagstiftning eller tolkningen av lagstiftningen ändras på ett för behandlingen avgörande sätt. En ny majoritetsägare från tredje land skulle kunna vara en väsentlig ändring av ägarförhållandena. Omförhandlingen ska i första hand syfta till att försöka hitta en lösning så att avtalet kan fortsätta löpa.

16.3

Punkt 16.3 ålägger båda parterna en skyldighet att utan dröjsmål meddela motparten om denne agerar i strid med PUB-avtalet. Därefter får parten rätt att omedelbart sluta utföra de uppgifter som åligger parten enligt PUB-avtalet. För det fall parten inte upphör med behandlingen finns en uppenbar risk att partens ansvar enligt dataskyddsförordningen ökar väsentligt. När motparten har rättat till de brister som parten har påtalat och den påtalande parten har accepterat förklaringen kan avtalet fortsätta löpa.

16.4

Punkt 16.4 säkerställer att artikel 28.2 jämte skäl 81 i dataskyddsförordningen infrias. I artikel 28.2 föreskrivs att ett personuppgiftsbiträde inte får anlita ett annat personuppgiftsbiträde utan att ett särskilt eller allmänt skriftligt förhandstillstånd har erhållits av den personuppgiftsansvarige. Om ett allmänt skriftligt tillstånd har erhållits ska personuppgiftsbiträdet informera den personuppgifts­ansvarige om eventuella planer på att anlita nya personuppgiftsbiträde eller ersätta personuppgifts­biträden, så att den personuppgiftsansvarige har möjlighet att göra invändningar mot sådana förändringar.

Villkoret ger den personuppgiftsansvarige rätt att säga upp avtalet för det fall den personuppgifts­ansvarige inte anser att underbiträdet har tillräcklig sakkunskap, tillförlitlighet och resurser för att genomföra tekniska och organisatoriska åtgärder som uppfyller kraven i dataskyddsförordningen (jmf skäl 81 i dataskyddsförordningen).

Den personuppgiftsansvarige ska så snart som möjligt meddela om personuppgiftsbiträdet ska radera eller återlämna samtliga personuppgifter till den personuppgiftsansvarige. Personuppgifts­biträdet ska, efter raderingen eller återlämnandet, inte längre ha några personuppgifter kvar.

17.3

För det fall det finns författningskrav som kräver att personuppgiftsbiträdet behåller uppgifter får biträdet behålla de uppgifter som behövs för att uppfylla kravet (jmf. 28.3 g i dataskyddsförord­ningen). I ett sådant fall finns laglig rätt att behandla uppgifterna enligt artikel 6.1 c. Personuppgifts­biträdet är ansvarig för den behandlingen. Det är därmed viktigt att på förhand ta reda på vilka krav på bevarande av personuppgifter som gäller i det land där uppgifterna behandlas.

17.4

Parterna har frihet att avtala om det elektroniska format som informationen ska återlämnas i.

17.6

Det är möjligt för parterna att komma överens om annan återlämnings- eller raderingstid. Detta ska i så fall anges eller justeras i instruktionen.

17.7

Detta gäller trots att personuppgiftsbiträdet är att se som personuppgiftsansvarig för behandling som sker efter att PUB-avtalet upphört att gälla.

Meddelande om PUB-avtalets administration får endast skickas till parts kontaktperson för administration och meddelande om dataskydd vid behandlingen får endast skickas till parts kontaktperson för dataskydd, om inte parterna kommit överens om något annat. E-post är det meddelandeformat som gäller om inte annat avtalats.

Punkterna 20.1-20.2 säkerställer att det alltid finns kontaktpersoner som kan ta emot meddelanden enligt avtalet. Parterna ansvarar för att kontaktpersonernas uppgifter är aktuella (uppdaterade) och korrekta så att det alltid finns mottagare av meddelanden enligt avtalet.

Eventuell tolkning eller tvist i anledning av PUB-avtalet, som parterna inte kan lösa på egen hand genom förhandling, ska avgöras av svensk allmän domstol och enligt svensk rätt. Punkten kan inte avtalas bort eller ändras enligt punkten 3.3.

Vilket lands lag som ska tillämpas brukar benämnas lagval. Det finns rättsliga regler som styr lagvalet. Vanligt är dock att parterna i klausuler om lagval och tvister avtalar att reglerna om lagval inte ska gälla, vilket är ett förfarande som har accepterats i praxis. Syftet med en sådan reglering är att skapa förutsägbara om vilket lands lagar som är tillämpliga.