Personuppgiftsbiträdesavtal

Vad dokumentet används till

Ett personuppgiftsbiträdesavtal beskriver hur en leverantör får behandla personuppgifter för kundens räkning. Det behövs exempelvis när ett lönesystem eller en driftleverantör behandlar uppgifter på kundens instruktioner. Börja med att kartlägga den faktiska behandlingen; rubriken på leverantörens avtal avgör inte vilken roll parterna har.

Förbered underlaget

Gå igenom följande med den som ska använda och godkänna dokumentet. Beskriv det som gäller i just ert ärende så att villkoren går att kontrollera även efter överlämningen.

• Ange vilka behandlingar uppdraget omfattar och hur länge de ska pågå.
• Beskriv kategorier av personer och uppgifter, inklusive eventuella känsliga uppgifter.
• Dokumentera instruktioner, säkerhetsåtgärder och rutiner för incidenter och registerutdrag.
• Reglera underbiträden, granskningsmöjligheter och vad som händer med uppgifter efter avslut.
• Kartlägg lagringsplatser och åtkomst från andra länder före beslut.

Avgränsningar och vanliga misstag

IMY beskriver minimikraven enligt artikel 28: bland annat instruktioner, konfidentialitet, säkerhet, underbiträden och bistånd. Ett allmänt löfte att följa GDPR räcker inte som beskrivning av uppdraget. Avtalet löser inte på egen hand frågor om rättslig grund eller internationella överföringar.

Inför digital signering

Kontrollera att instruktioner och säkerhetskrav har versionsnummer och följer med den version som parterna ska underteckna. Undvik personregister i själva avtalet; kategorier och processbeskrivningar är normalt mer användbara för denna dokumentation.

Så hjälper Resly

I Resly kan systemägaren och dataskyddsansvarig granska instruktionerna innan kund och leverantör får signeringsinbjudan. Det ger en gemensam kontrollpunkt för behandlingens omfattning. Skapa en avtalspost från avtalslistan, ange ansvarig systemägare och länka försändelsen. Samla senare ändringar av instruktioner som nya försändelser till samma post.