Personuppgiftsbiträdesavtal
Ett personuppgiftsbiträdesavtal är det skriftliga avtal som måste finnas på plats när en verksamhet låter någon annan behandla personuppgifter för dess räkning, till exempel ett förvaltningsbolag som för hyresgästregistret åt en ägare, eller en systemleverantör som lagrar uppgifterna i molnet. Avtalet slår fast vad leverantören får göra med uppgifterna, och det är ett krav enligt GDPR artikel 28. Parterna kan inte välja bort det, och en tjänst kan inte tas i bruk innan det är undertecknat.
Rollerna avgör vem som behöver avtalet. Den personuppgiftsansvarige bestämmer ändamålet med behandlingen, personuppgiftsbiträdet utför den på uppdrag. Personvernforordningen artikel 28.3 kräver att avtalet fastställer föremålet för behandlingen, varaktigheten, arten och ändamålet, typen av personuppgifter och kategorierna av registrerade. Vidare ska det ålägga personuppgiftsbiträdet att behandla uppgifterna endast enligt dokumenterade instruktioner, hålla dem konfidentiella, uppfylla säkerhetskraven i artikel 32, bistå den ansvarige när registrerade begär insyn eller radering, radera eller återlämna allt när uppdraget är över, och låta sig revideras. Avtalet ska vara skriftligt, och elektronisk form räcker.
Underleverantörer är den punkt där flest avtal är tunna. Ett personuppgiftsbiträde kan inte anlita ett annat personuppgiftsbiträde utan skriftligt tillstånd, och ges tillståndet generellt ska den ansvarige underrättas om nya eller utbytta underbiträden och kunna motsätta sig ändringen. Personuppgiftsbiträdet har fullt ansvar gentemot den personuppgiftsansvarige för att underbiträdet uppfyller sina skyldigheter. Därför har ett användbart avtal en bilaga som listar underbiträdena med namn, tjänst och driftsland. Ligger något av dem utanför EES måste överföringen ha egen grund enligt förordningens kapitel V. EU-kommissionens standardavtalsklausuler för personuppgiftsansvarig och personuppgiftsbiträde kan användas som mall, och Datatilsynet har en egen vägledning för innehållet.
Inom fastighet är rollfördelningen som regel tydlig när man väl letar efter den. Hyresvärden är personuppgiftsansvarig för uppgifter om hyresgästerna i ett hyresförhållande enligt husleieloven, medan förvaltaren, redovisningskonsulten och systemleverantören är personuppgiftsbiträden. Vid due diligence är datarumsleverantören personuppgiftsbiträde åt säljaren. Utbyte av hyresgästlistor mellan säljare och köpare i en fastighetstransaktion är däremot ett utlämnande mellan två personuppgiftsansvariga, och då hjälper inget personuppgiftsbiträdesavtal: varje part måste ha sin egen rättsliga grund. Brott mot artikel 28 kan ge sanktionsavgift på upp till 10 miljoner euro eller 2 % av global årsomsättning enligt artikel 83.4, och skadeståndsansvaret enligt artikel 82 träffar båda parter.
Placepoint är personuppgiftsansvarig för de fastighets- och bolagsdata vi hämtar in och förmedlar vidare, bland annat från grunnboken och matrikkelen. Skickar du själv in personuppgifter i tjänsten, till exempel ett födelsenummer i en sökning eller ett massuttag du beställer, behandlar vi dem på ditt uppdrag, och då ingår vi personuppgiftsbiträdesavtal enligt artikel 28. Vad mallen täcker står i Integration och säkerhet.
Från Placepoints ordbok: Personuppgiftsbiträdesavtal
Mer information: Datatilsynet: Databehandleravtale, Lovdata: Personvernforordningen artikel 28, Europeiska dataskyddsstyrelsen: Riktlinjer 07/2020 om personuppgiftsansvarig och personuppgiftsbiträde
Engelska: Data processing agreement (DPA), the controller-to-processor contract required by GDPR Article 28.
Vanliga frågor
När måste jag ingå personuppgiftsbiträdesavtal?
När en extern part behandlar personuppgifter på ditt uppdrag: förvaltare, redovisningskonsult, datarumsleverantör, IT-drift eller en molntjänst. Avtalet ska vara på plats innan behandlingen börjar. Är båda parter personuppgiftsansvariga, som säljare och köpare i en fastighetstransaktion, är det ett utlämnande och inte ett biträdesuppdrag, och då behöver varje part sin egen rättsliga grund enligt GDPR.
Vad måste avtalet innehålla?
Ändamål, varaktighet, typ av uppgifter och kategorier av registrerade, samt personuppgiftsbiträdets skyldigheter: bundenhet till instruktioner, konfidentialitet, säkerhetsåtgärder, hjälp vid insyn och radering, radering eller återlämnande vid avslut och möjlighet till revision. En bilaga bör lista underbiträdena med tjänst och driftsland, eftersom överföring ut ur EES kräver egen grund.
Vem har ansvaret om personuppgiftsbiträdet gör fel?
Den personuppgiftsansvarige svarar för valet av leverantör och för instruktionerna, men personuppgiftsbiträdet kan bötfällas direkt för sina egna skyldigheter och har fullt ansvar för de underbiträden det använder. Gentemot den registrerade kan båda hållas skadeståndsansvariga.
Behöver jag personuppgiftsbiträdesavtal med Placepoint?
För fastighets- och bolagsdata som vi förmedlar vidare, som uppgifter från grunnboken om hjemmelshaver (lagfaren ägare), är Placepoint personuppgiftsansvarig, och då är det inte ett biträdesuppdrag. Skickar du in personuppgifter i en sökning eller ett uttag behandlar vi dem på ditt uppdrag, och vi ingår personuppgiftsbiträdesavtal för det.