Du kanske har hört ordet ”personuppgiftsbiträdesavtal” någon gång, eller kanske förkortningen PUB-avtal? Det låter krångligt, men det är faktiskt inte så komplicerat som det verkar. I den här artikeln ska jag förklara vad det är och varför det är viktigt för dig och ditt företag.
Grunden: Vad är ett personuppgiftsbiträde?
För att förstå vad ett personuppgiftsbiträdesavtal är, måste vi börja med vad ett personuppgiftsbiträde är. Ett personuppgiftsbiträde är en person eller ett företag som hanterar personuppgifter åt någon annan, enligt den allmänna dataskyddsförordningen (GDPR).
Till exempel: Om ditt företag anlitar ett molntjänstföretag för att lagra kundinformation, då är det molntjänstföretaget personuppgiftsbiträde och ditt företag är personuppgiftsansvarig.
Det är viktigt att förstå skillnaden här, eftersom ansvaret för hur personuppgifter hanteras är olika beroende på vilken roll du har. Som personuppgiftsansvarig är det du som bestämmer varför och hur personuppgifterna ska behandlas, medan personuppgiftsbiträdet följer dina instruktioner.
Vad är då ett personuppgiftsbiträdesavtal?
Ett personuppgiftsbiträdesavtal (eller PUB-avtal som det också kallas) är ett avtal mellan dig som är personuppgiftsansvarig och det personuppgiftsbiträde du anlitar. Det här avtalet reglerar hur personuppgifter ska hanteras för att uppfylla GDPR:s krav.
I praktiken betyder det att du och biträdet skriftligt kommer överens om saker som:
- Vilka personuppgifter som ska behandlas (till exempel namn, adresser eller e-postadresser).
- Hur de ska behandlas (till exempel lagring, bearbetning eller radering).
- Säkerhetsåtgärder (till exempel kryptering eller åtkomstkontroll).
- Vad som händer vid ett dataintrång (till exempel vem som ansvarar för att informera drabbade).
Om du till exempel driver e-handel och anlitar ett betalningsföretag för att hantera kundernas betalningar, då behöver du och betalningsföretaget ha ett PUB-avtal. Det säkerställer att betalningsföretaget hanterar dina kunders uppgifter på ett säkert och lagligt sätt.
Varför är det så viktigt?
Ett PUB-avtal är viktigt för att skydda de personer vars uppgifter behandlas. Det ger tydlighet kring vem som ansvarar för vad och säkerställer att alla följer lagen. Som personuppgiftsansvarig är det du som har det yttersta ansvaret för att personuppgifterna behandlas på ett korrekt sätt.
Om du inte har ett korrekt personuppgiftsbiträdesavtal riskerar du böter eller andra konsekvenser om något går fel. Det kan också skada ditt rykte om det visar sig att uppgifter om dina kunder eller anställda inte har hanterats på ett säkert sätt. Så det här är inte bara en formalitet – det är en viktig del av att bedriva en trygg och laglig verksamhet.
Tänk dig att du driver en salong och sparar kundernas namn och telefonnummer i ett bokningssystem. Om bokningssystemets leverantör är ditt personuppgiftsbiträde, så är det PUB-avtalet som säkerställer att kunduppgifterna är skyddade och att leverantören följer GDPR.
Vad ska finnas med i ett PUB-avtal?
Enligt GDPR ska ett personuppgiftsbiträdesavtal innehålla:
- Ändamål och omfattning: Varför behandlas uppgifterna och hur mycket?
- Behandlingsinstruktioner: Hur får biträdet använda uppgifterna?
- Säkerhetsåtgärder: Vilka tekniska och organisatoriska skydd ska finnas?
- Hantering av underbiträden: Får personuppgifterna delas med andra? Och i så fall, hur ska det gå till?
- Radering av data: Vad händer med uppgifterna när samarbetet avslutas?
Det är också viktigt att avtalet specificerar hur kontroller och revisioner ska göras. Du har rätt att kontrollera att ditt personuppgiftsbiträde följer de krav som står i avtalet.
Hur skriver du ett PUB-avtal?
Om du känner dig osäker på hur du ska skriva ett PUB-avtal kan det vara en bra idé att höra av sig till oss. Det går absolut att skriva ett eget PUB-avtal men det är viktigt att avtalet är anpassat för din verksamhet och det specifika samarbetet du har med ditt personuppgiftsbiträde. Generiska avtal kan ibland missa viktiga detaljer som är relevanta för just dig och din organisation.
Kom ihåg att PUB-avtalet ska vara skriftligt och kan vara en del av ett större avtal, som till exempel ett samarbetsavtal eller ett licensavtal. Det viktigaste är att alla punkter som GDPR kräver finns med.
Sammanfattning
Ett personuppgiftsbiträdesavtal (PUB-avtal) är ett juridiskt avtal som beskriver hur ett personuppgiftsbiträde ska hantera personuppgifter för någon annan. Det är inte bara något du ”borde ha”, utan ett krav enligt GDPR. Med ett välskrivet avtal skyddar du inte bara dig själv och ditt företag, utan även de personer vars uppgifter behandlas.
Behöver du hjälp med att författa eller granska ett PUB-avtal? Tveka inte att ta hjälp av en jurist eller GDPR-expert. Det kan vara en investering som sparar dig stora bekymmer i framtiden!
