Underbiträden: vad leverantören måste berätta och när

Er leverantörs underbiträden är de företag som behandlar era kunders och anställdas personuppgifter för leverantörens räkning: hostingleverantören, e-postutskickaren, supportverktyget, modelleverantören bakom AI-funktionerna. Ni har inte skrivit på något med dem, men GDPR gör dem till er sak på två sätt: leverantören får bara använda dem med ert godkännande (artikel 28.2), och ert eget register måste visa vem som tar emot uppgifterna (artikel 30.1 d). Den här guiden går igenom vad en leverantör måste berätta, när, och vad ni gör med det.

Vem räknas som underbiträde

Artikel 28.2 och 28.4 talar om “ett annat personuppgiftsbiträde”: en part som biträdet anlitar för att utföra behandling för den ansvariges räkning. Infrastruktur räknas när personuppgifter ligger på den — en molnleverantör som hostar databasen är underbiträde även om den aldrig tittar på uppgifterna. En betalleverantör som är egen personuppgiftsansvarig är det inte. Leverantörens koncernbolag i andra länder är det, om de kan komma åt uppgifterna. EDPB:s riktlinjer 07/2020 om begreppen personuppgiftsansvarig och personuppgiftsbiträde förutsätter att varje underbiträde kan identifieras av den ansvarige, och därför är en lista över underbiträden en lista med företagsnamn, inte “betrodda tredje parter”.

Artikel 28.2: särskilt eller allmänt godkännande

Biträdet “får inte anlita ett annat personuppgiftsbiträde utan att ett särskilt eller allmänt skriftligt förhandstillstånd har erhållits av den personuppgiftsansvarige”. Med särskilt godkännande godkänner ni varje underbiträde med namn; det är sällsynt i SaaS eftersom leverantören skulle behöva fråga varje kund innan ett nytt underbiträde anlitas. Med allmänt godkännande — nästan alla biträdesavtal för SaaS — låter ni leverantören välja, och i gengäld ska den “informera den personuppgiftsansvarige om eventuella planer på att anlita nya personuppgiftsbiträden eller ersätta personuppgiftsbiträden, så att den personuppgiftsansvarige har möjlighet att göra invändningar”. Tre delar: en aktuell lista, förvarning före ändringen, en möjlighet att invända. Skillnaderna mellan leverantörer sitter i de två sista:

• Förvarningstid. GDPR anger ingen; EDPB säger att den måste vara lång nog för att faktiskt kunna invända. Trettio dagar är vanligt, fjorton förekommer, “vi uppdaterar den här sidan” är ingen förvarning, och ett meddelande som kommer efter att ändringen trätt i kraft är ingen information om “planer”.
• Kanal. E-post till kontoägaren, en prenumerationslänk på sidan om underbiträden, ett RSS-flöde — eller “kolla sidan”. Bara de tre första når er utan att ni ber om det.
• Invändning. Bra avtal säger att leverantören försöker lösa invändningen och, om det inte går, låter er säga upp den berörda tjänsten utan påföljd och med återbetalning av förskottsbetalda avgifter. Svaga säger att ni får säga upp, punkt. Ett avtal utan någon konsekvens alls har inte gett er någon verklig möjlighet att invända.

Artikel 28.4: kedjan nedåt och vem som ansvarar

När ett biträde anlitar ett underbiträde ska “samma skyldigheter i fråga om dataskydd som i avtalet” mellan er och biträdet åläggas underbiträdet genom avtal, och om underbiträdet brister “ska det ursprungliga personuppgiftsbiträdet vara fullt ansvarig gentemot den personuppgiftsansvarige”. Ni behöver alltså inget avtal med underbiträdet — ni behöver veta att er leverantör har ett, och ett biträdesavtal som säger det. Ett underbiträde utanför EU och EES är dessutom en överföring enligt kapitel V: leverantören är skyldig er mekanismen — ett beslut om adekvat skyddsnivå (artikel 45), standardavtalsklausuler (artikel 46.2 c) eller bindande företagsbestämmelser (artikel 47) — och listan bör visa land för varje post så att ni kan kontrollera.

Artikel 30.1 d: listan hör hemma i ert eget register

Ert register över behandling ska innehålla “de kategorier av mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut, inbegripet mottagare i tredjeländer”. En leverantörs underbiträden är mottagare. Artikel 30.5 undantar organisationer under 250 anställda bara när behandlingen är tillfällig, inte omfattar särskilda kategorier och sannolikt inte medför en risk; ett litet företag med CRM, löneverktyg och supportsystem uppfyller inget av villkoren.

Två artiklar till leder till samma lista. Artikel 13.1 e och 14.1 e kräver att ni informerar de registrerade om mottagarna eller kategorierna av mottagare. Artikel 15.1 c ger dem rätt till den informationen på begäran, och EU-domstolen slog i Österreichische Post (C‑154/21, 12 januari 2023) fast att en registrerad som frågar ska få de faktiska mottagarna, inte bara kategorier, om det inte är omöjligt eller begäran är uppenbart ogrundad. Ni kan inte namnge mottagare ni inte har antecknat.

Vad leverantören måste berätta, i en lista

• Den aktuella listan över underbiträden: företagsnamn, behandlingsland, ändamål (hosting, e-post, support, AI-inferens) och ett datum på listan.
• Överföringsmekanismen för varje post utanför EU och EES.
• Förvarningstid och kanal för ändringar, och varje ändring innan den träder i kraft.
• Vad som händer när ni invänder.
• Att varje underbiträde är bundet av ett avtal med samma skyldigheter och att leverantören förblir ansvarig (artikel 28.4).

Frågorna att ställa till leverantören

1. Var finns den aktuella listan över underbiträden, och när ändrades den senast?
2. Hur får vi veta om ett nytt eller utbytt underbiträde, och hur många dagar innan det träder i kraft?
3. Om vi invänder, vilka alternativ har vi och inom vilken tid?
4. Vilka underbiträden behandlar våra uppgifter utanför EU och EES, och enligt vilken mekanism i kapitel V?
5. Vilket underbiträde driver era AI-funktioner, och lämnar våra uppgifter EU när de körs?

Behåll listan utan att behålla leverantörens sida

Listan på leverantörens webbplats är leverantörens; posten i ert register är er. Anteckna, per leverantör: underbiträdena som de lästes ett visst datum, land och ändamål för vart och ett, förvarningsvillkoren och vad som ändrats sedan förra läsningen. Bevaka sedan sidan, för det enda ett allmänt godkännande garanterar är att listan kommer att ändras — se Bevaka leverantörers villkor för ändringar. Samma lista, sedd från andra sidan, är skälet till att frågan om underbiträden finns i varje kunds säkerhetsformulär: era kunder behöver era underbiträden i sitt register precis som ni behöver era leverantörers i ert.

Så gör Maditon

Maditon läser en leverantörs sida om underbiträden och biträdesavtal, antecknar varje underbiträde med det stycke det lästes ur och visar listan under leverantören i ert register med läsningens datum. Saknade förvarningsvillkor eller en frånvarande rätt att invända dyker upp som fynd — frågor att ställa till leverantören, inte domar — och en ändring på sidan kommer i nästa dags e-post med differensen. För era egna kunders formulär härleds era underbiträden ur samma register, så den delen av ett svar förblir sann av sig själv. Se Vad gör Maditon med mina leverantörer? och Hur vet Maditon när en leverantör ändrar sina villkor?, eller börja på ert register i appen.