Personuppgiftsbiträde (data processor)

Vad rollen kräver

GDPR artikel 28 säger att ett biträde bara får anlitas genom ett skriftligt avtal – ett personuppgiftsbiträdesavtal – och att avtalet måste ange behandlingens föremål, varaktighet, art och ändamål, typen av uppgifter, kategorierna av registrerade samt den personuppgiftsansvariges rättigheter.

Biträdets egna skyldigheter följer av det:

• att agera enbart enligt dokumenterade instruktioner och påtala en instruktion som biträdet anser strider mot lag,
• att hålla uppgifterna konfidentiella och vidta lämpliga säkerhetsåtgärder,
• att bistå den personuppgiftsansvarige vid svar på registrerades begäranden och vid incidentanmälan,
• att utan onödigt dröjsmål underrätta den ansvarige om en personuppgiftsincident,
• och att radera eller återlämna uppgifterna när uppdraget upphör.

Underbiträden

Ett biträde arbetar nästan aldrig ensamt. När det anlitar ett annat företag under sig – en molnleverantör, en e-posttjänst – är det företaget ett underbiträde, och upplägget kräver den personuppgiftsansvariges godkännande, oftast lämnat som ett allmänt godkännande med underrättelse vid förändringar. Det första biträdet förblir ansvarigt mot den personuppgiftsansvarige för vad dess underbiträden gör.

NorthernGo är ett genomarbetat exempel på hela kedjan. När du bygger en app där är det du som bestämmer vad appen samlar in, alltså är du personuppgiftsansvarig. NorthernGo behandlar uppgifterna enligt dina instruktioner som ditt biträde, med datalagring inom EU/EES, och bland dess underbiträden finns Supabase och Firebase. Verksamheten drivs som svensk enskild firma i Lycksele.

Missuppfattningen

Rollerna är det som oftast kastas om, och misstaget är nästan alltid att anta att den som lagrar uppgifterna också har huvudansvaret. Så är det inte. Att lagra uppgifter gör dig inte ansvarig – att bestämma ändamålet gör det. Kunden hos en appbyggare är normalt personuppgiftsansvarig, och byggaren är biträde.

Följden är praktisk snarare än teoretisk: som personuppgiftsansvarig kan du inte lägga ut skyldigheten att informera dina användare, att besvara en begäran om radering eller att ha en giltig rättslig grund. Ett biträde hjälper dig att göra det – det gör det inte åt dig.

Den här texten förklarar begreppen och är inte juridisk rådgivning.