Så läser du ett biträdesavtal enligt GDPR artikel 28

Varje leverantör som hanterar personuppgifter för er räkning — hosting, e-post, CRM, lön — är ett personuppgiftsbiträde enligt GDPR, och ni är personuppgiftsansvarig. Artikel 28.1 säger att ni bara får använda biträden som ger “tillräckliga garantier”, och artikel 28.3 att relationen ska vila på ett avtal med ett bestämt innehåll. Det avtalet är personuppgiftsbiträdesavtalet, biträdesavtalet. Den här guiden visar hur du läser ett på en halvtimme: hur varje obligatorisk punkt ser ut när den är ordentligt gjord, vad det betyder när avtalet är tyst och vilka frågor du skickar till leverantören innan du litar på det.

Varför biträdesavtalet är ert problem, inte bara leverantörens

Skyldigheten att ha ett biträdesavtal ligger på båda sidor: den ansvarige får inte låta ett biträde behandla uppgifter utan avtal, och biträdet får inte behandla utan instruktioner. Artikel 83.4 a placerar ett bristfälligt eller saknat avtal enligt artikel 28 i bötesintervallet upp till 10 miljoner euro eller 2 % av den globala omsättningen, för ansvariga och biträden lika. Artikel 28.9 kräver att avtalet är skriftligt, vilket inkluderar elektronisk form: ett biträdesavtal som publiceras som en sida på leverantörens webbplats och görs till en del av villkoren ni godkänt uppfyller det — och kan ändras genom att sidan redigeras.

Vad artikel 28.3 säger att avtalet ska innehålla

Artikeln har två delar. Inledningen kräver att avtalet anger behandlingens föremål och varaktighet, dess art och ändamål, typen av personuppgifter och kategorier av registrerade, samt den ansvariges skyldigheter och rättigheter — ett bra avtal lägger detta i en bilaga; “personuppgifter som behandlas i samband med Tjänsterna” är en platshållare, ingen beskrivning. Därefter räknar åtta led upp vad avtalet ska föreskriva att biträdet gör:

• a) behandlar uppgifterna bara enligt era dokumenterade instruktioner, även vid överföring till tredjeland, om inte lag kräver annat;
• b) ser till att de personer som behandlar uppgifterna omfattas av tystnadsplikt;
• c) vidtar alla säkerhetsåtgärder som artikel 32 kräver;
• d) respekterar villkoren i artikel 28.2 och 28.4 för att anlita ett annat biträde — reglerna om underbiträden;
• e) hjälper er, så långt det är möjligt, att svara på de registrerades begäranden enligt kapitel III;
• f) hjälper er att fullgöra artiklarna 32–36: säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd;
• g) raderar eller återlämnar alla personuppgifter när tjänsten upphör, efter ert val, och raderar befintliga kopior om inte lag kräver lagring;
• h) ger er den information som behövs för att visa att skyldigheterna följs, möjliggör och bidrar till granskningar, och säger till om biträdet anser att en instruktion strider mot lagen.

Var och en av punkterna är en klausul du ska kunna peka på i avtalet. Kan du inte det är avtalet ofullständigt, oavsett vad det lovar i övrigt. Kommissionens standardavtalsklausuler för avtal mellan ansvarig och biträde (genomförandebeslut (EU) 2021/915) är måttstocken: ett avtal som täcker mindre förtjänar en fråga.

Läs det klausul för klausul

Läs avtalet med listan ovan bredvid dig och markera varje punkt angiven, svagt angiven eller inte angiven.

Instruktioner (a). Leta efter meningen att avtalet och er användning av tjänsten utgör de dokumenterade instruktionerna. Se upp för motsatsen: en klausul som låter leverantören behandla uppgifter för “egna legitima affärsändamål” som analys eller produktförbättring. Då är leverantören personuppgiftsansvarig för de ändamålen — lagligt, men det måste stå uttryckligen och hör hemma i ert register.

Säkerhet (c). Avtalet bör hänvisa till en säkerhetsbilaga eller en publik säkerhetssida med konkreta åtgärder — kryptering under överföring och i vila, åtkomstkontroll, loggning, säkerhetskopior. “Lämpliga tekniska och organisatoriska åtgärder” utan någon lista upprepar lagtexten och lovar ingenting du kan kontrollera.

Underbiträden (d). Det ska finnas en aktuell lista, en mekanism för att meddela ändringar och en rätt att invända. Detaljerna finns i guiden om underbiträden; i själva avtalet kontrollerar du att listan är refererad och daterad.

Bistånd (e) och (f). Kontrollera tidsfristen för att anmäla personuppgiftsincidenter. Artikel 33.2 kräver att biträdet underrättar er “utan onödigt dröjsmål”; bra avtal anger 24, 48 eller 72 timmar, ju kortare desto bättre, eftersom er egen 72-timmarsfrist till tillsynsmyndigheten enligt artikel 33.1 börjar löpa när ni får kännedom.

Radering eller återlämnande (g). Leta efter en tidsperiod (“inom 30 dagar från uppsägning”) och efter vad som händer med säkerhetskopior. “Raderas i enlighet med vår lagringspolicy” utan tidsangivelse är inget åtagande.

Granskning (h). Små leverantörer erbjuder ofta tredjepartsrapporter och skriftliga svar i stället för granskning på plats. Godtagbart, så länge rätten till granskning finns på papperet och inte är prissatt bortom räckhåll.

Överföringar. Avtalet bör ange var uppgifterna behandlas och, för all behandling utanför EU och EES, mekanismen enligt kapitel V: ett beslut om adekvat skyddsnivå enligt artikel 45, 2021 års standardavtalsklausuler enligt artikel 46.2 c eller bindande företagsbestämmelser enligt artikel 47. En leverantör inom EU vars underbiträden sitter i USA behöver detta lika mycket.

Vad tystnad betyder

Tystnad i ett biträdesavtal är en lucka, varken samtycke eller löfte, och luckan är lika mycket den ansvariges som biträdets: artikel 28.3 säger att avtalet ska föreskriva dessa saker. Tre regler gör tystnaden läsbar.

För det första: tystnad beror på dokumenttypen. Ett biträdesavtal är skyldigt er en raderingsklausul; leverantörens allmänna villkor är det inte. Innan du skriver ner att en leverantör “saknar raderingsåtagande”, kontrollera dokumenten du inte läst — säkerhetssidan, sidan om underbiträden, villkoren.

För det andra: “inte angivet” är en fråga, inte en dom. En saknad tidsfrist för incidentanmälan betyder att ni inte vet leverantörens frist, inte att leverantören saknar en. Fråga, skriftligt, och anteckna svaret bredvid avtalet.

För det tredje: daterad tystnad är bevis; tystnad ur minnet är det inte. Notera versionen eller datumet du läste och vad som saknades då, så att ni kan visa vad som ändrades och när ifall leverantören lägger till eller tar bort en klausul.

Frågorna att ställa till leverantören

Skicka dessa när läsningen lämnar luckor. En leverantör som inte kan svara inom en vecka har berättat något.

1. Vilket dokument är ert gällande biträdesavtal, vilken version eller vilket datum har det, och var finns ändringshistoriken?
2. Behandlar ni några av våra uppgifter för egna ändamål? Vilka, och med vilken rättslig grund?
3. Var behandlas och lagras våra uppgifter, inklusive säkerhetskopior, och vilken överföringsmekanism täcker behandling utanför EU och EES?
4. Var finns den aktuella listan över underbiträden, hur meddelas ändringar och hur invänder vi?
5. Inom hur många timmar efter att ni fått kännedom om en personuppgiftsincident underrättar ni oss, och via vilken kanal?
6. Vad händer med våra uppgifter, inklusive säkerhetskopior, efter uppsägning, och inom vilken tid?

Var biträdesavtalet hör hemma i ert eget register

Artikel 30.1 d kräver att kategorierna av mottagare finns i ert register över behandling, och artikel 5.2 kräver att ni kan visa att reglerna följs; ett avtal ni läst en gång och inte hittar igen visar ingenting. Spara, per leverantör: avtalsversionen, datumet ni läste den, vad den anger och inte anger på punkterna ovan och leverantörens svar. Läs sedan om det när det ändras — ämnet för Bevaka leverantörers villkor för ändringar.

Så gör Maditon

Det här är det första Maditon gör för en leverantör: den hämtar biträdesavtalet leverantören publicerar, eller det påskrivna du laddar upp och kan markera som privat, och läser det i ordningen ovan. Varje fakta den plockar ut — incidentfristen, raderingsperioden, överföringsmekanismen — visas med det stycke den vilar på, och en andra läsning listar vad ett biträdesavtal är skyldigt att ange som det här inte anger. Varje fynd är en fråga att ställa till leverantören, aldrig en dom, och läsningen är ett utkast tills en namngiven användare i er organisation godkänner den. När leverantören redigerar sidan berättar den dagliga kontrollen vad som ändrats.

Hur läsningen går till: Hur läser Maditon en leverantörs dokument? Varför den inte flaggar varje utelämnande: Varför flaggar Maditon inte allt ett dokument utelämnar? Lägg till er första leverantör i appen.