Innehållsförteckning
Ansvarig eller biträde?
Den personuppgiftsansvarige bestämmer ändamålen med behandlingen och vilka medel som ska användas. Biträdet utför behandlingen enligt den ansvariges instruktioner. Om ett biträde på egen hand börjar bestämma ändamål och medel, till exempel använder uppgifterna för egna syften, ska det enligt artikel 28.10 anses vara personuppgiftsansvarigt för den behandlingen.
Krav på den som anlitar ett biträde
Den personuppgiftsansvarige får bara anlita biträden som ger tillräckliga garantier för att de vidtar lämpliga tekniska och organisatoriska åtgärder, så att behandlingen uppfyller förordningens krav och skyddar de registrerades rättigheter (artikel 28.1).
Personuppgiftsbiträdesavtal
Förhållandet ska regleras i ett avtal, eller annan bindande rättsakt, som anger behandlingens föremål, varaktighet, art och ändamål, typen av personuppgifter, kategorier av registrerade och den ansvariges rättigheter och skyldigheter (artikel 28.3). Avtalet ska bland annat föreskriva att biträdet
- endast behandlar uppgifterna på dokumenterade instruktioner, även när det gäller överföring till tredjeland,
- ser till att de som behandlar uppgifterna omfattas av tystnadsplikt eller har åtagit sig konfidentialitet,
- vidtar de säkerhetsåtgärder som krävs enligt artikel 32,
- följer reglerna för att anlita underbiträden,
- hjälper den ansvarige att besvara de registrerades begäranden och att fullgöra skyldigheterna enligt artiklarna 32–36,
- raderar eller återlämnar uppgifterna när uppdraget upphör, och
- ger den ansvarige den information som behövs för att visa att kraven följs och möjliggör granskningar.
Avtalet ska vara skriftligt, vilket även omfattar elektronisk form (artikel 28.9). EU-kommissionen har tagit fram standardavtalsklausuler som kan användas men inte är obligatoriska. Biträdet ska omedelbart säga till om det anser att en instruktion strider mot dataskyddsreglerna.
Underbiträden
Ett biträde får inte anlita ett annat biträde utan särskilt eller allmänt skriftligt förhandstillstånd från den ansvarige. Vid ett allmänt tillstånd ska biträdet informera om planerade byten, så att den ansvarige kan invända (artikel 28.2). Underbiträdet ska åläggas samma dataskyddsskyldigheter, och det ursprungliga biträdet är fullt ansvarigt gentemot den ansvarige om underbiträdet brister (artikel 28.4).
Biträdets egna skyldigheter
Förordningen ger även biträdet direkta skyldigheter, bland annat att
- föra register över de behandlingar som utförs för den ansvariges räkning (artikel 30.2),
- upprätthålla en lämplig säkerhetsnivå (artikel 32, se säkerhet för personuppgifter),
- utan onödigt dröjsmål underrätta den ansvarige om en personuppgiftsincident (artikel 33.2), och
- i vissa fall utse ett dataskyddsombud (artikel 37).
Biträdet kan få administrativa sanktionsavgifter och bli skadeståndsskyldigt, i det senare fallet om det har brutit mot de skyldigheter som särskilt riktar sig till biträden eller har agerat utanför eller i strid med den ansvariges lagliga anvisningar (artiklarna 82 och 83).