Registeransvarig och biträde: vem bär ansvaret enligt GDPR?

En personuppgiftsansvarig bestämmer ändamål och medel för behandlingen. Ett personuppgiftsbiträde behandlar bara personuppgifter för den ansvariges räkning, enligt dennas instruktioner. Ansvaret kan inte skrivas bort med avtal, det kvarstår hos den som faktiskt styr behandlingen, oavsett vad kontraktet säger.

Huvudregeln är enkel att säga men svårare att tillämpa i praktiken:

• Bestämmer din organisation varför och hur data behandlas? Då är ni personuppgiftsansvariga.
• Agerar leverantören enbart på era instruktioner? Då är leverantören biträde.
• Delar två parter samma beslutsmakt över ändamål och medel? Då gäller reglerna om gemensamt ansvar.

Proffstips: Fråga alltid “vem bestämde att behandlingen skulle ske över huvud taget” innan ni fastställer roller. Den som konfigurerar ett system är inte automatiskt personuppgiftsansvarig, det är den som beslutade om syftet.

Både Dataskyddsförordningen (GDPR), Integritetsskyddsmyndigheten (IMY) och European Data Protection Board (EDPB) är samstämmiga på denna punkt, och det är den grund varje rollbedömning ska utgå från.

Kort sagt:

• Den personuppgiftsansvarige beslutar om ändamål och medel, medan ett biträde bara behandlar data enligt instruktioner, oavsett avtalets formuleringar.
• Om ett företag själv fattar beslut om databehandlingarna är det personuppgiftsansvarigt, även om det använder en extern tjänst.
• Gemensamt ansvar uppstår när flera aktörer tillsammans bestämmer ändamål och medel, vilket kräver tydliga avtal och ansvarsfördelningar.
• Ett skriftligt personuppgiftsbiträdesavtal (DPA) måste reglera behandlingens omfattning, säkerhetsåtgärder och villkor för underbiträden.
• Kontinuerlig kontroll av leverantörer, uppdaterad registerförteckning och tydlig dokumentation minskar juridiska risker.

Innehållsförteckning

• Vem är registeransvarig och vem är biträde i praktiken?
• När blir flera parter gemensamt personuppgiftsansvariga?
• Personuppgiftsbiträdesavtalet: krav enligt artikel 28
• Underbiträden och leverantörskedjan kräver löpande kontroll
• Registerförteckning och ansvar vid incidenter
• Handlingsplan: prioritera dessa steg i er organisation
• Vanliga fallgropar som skapar juridisk risk
• Så stöttar Trustview arbetet med register, avtal och leverantörer
• En reflektion: varför punktinsatser sällan räcker
• Ordna register och biträdeskontroller utan manuellt kaos
• Viktiga insikter
• Källor

Vem är registeransvarig och vem är biträde i praktiken?

Frågan om vem är personuppgiftsansvarig avgörs av vem som faktiskt fattar besluten, inte av vem som utför det tekniska arbetet. Ett moln­lagringsföretag som bara sparar data enligt kundens instruktioner är biträde. Ett HR-system som självt bestämmer hur uppgifter används för att förbättra sin egen produkt kan plötsligt bli personuppgiftsansvarig för den delen av behandlingen.

Ställ er dessa frågor internt vid varje ny leverantörsrelation:

1. Vem beslutade att behandlingen ska genomföras, och varför?
2. Vem väljer vilka kategorier av personuppgifter som samlas in?
3. Kan leverantören använda datan för egna ändamål, till exempel produktutveckling?
4. Vem bestämmer hur länge uppgifterna sparas?
5. Finns det ett skriftligt uppdrag som beskriver instruktionerna tydligt?

Svarar leverantören ja på fråga tre, är ni sannolikt inte längre i en ren biträdesrelation. Då krävs en annan bedömning, ofta gemensamt ansvar enligt artikel 26.

När blir flera parter gemensamt personuppgiftsansvariga?

Gemensamt personuppgiftsansvar uppstår när två eller flera aktörer tillsammans bestämmer ändamål och medel, till exempel vid en delad kundplattform eller ett samarbete kring marknadsföringsdata. Ett typiskt tecken är att båda parter drar nytta av behandlingen och båda har inflytande över vilka uppgifter som samlas in.

Artikel 26 i förordningen kräver ett inbördes arrangemang som reglerar:

• Vem som är kontaktpunkt för registrerade som vill utöva sina rättigheter.
• Hur ansvaret fördelas för information, samtycke och radering.
• Vilken part som hanterar dataskyddsincidenter mot tillsynsmyndigheten.

Utan ett sådant arrangemang riskerar registrerade att bollas mellan parterna, vilket i sig kan utgöra en överträdelse.

Personuppgiftsbiträdesavtalet: krav enligt artikel 28

Ett skriftligt personuppgiftsbiträdesavtal, ofta kallat PUB-avtal eller DPA, är obligatoriskt så snart ett biträde anlitas. Artikel 28 GDPR räknar upp vad avtalet måste reglera:

1. Föremålet, varaktigheten och syftet med behandlingen.
2. Biträdets skyldighet att endast agera på dokumenterade instruktioner.
3. Krav på lämpliga tekniska och organisatoriska säkerhetsåtgärder.
4. Villkor för anlitande av underbiträden, inklusive föregående tillstånd.
5. Biträdets skyldighet att bistå vid incidenter och vid begäranden från registrerade.
6. Vad som händer med uppgifterna när uppdraget avslutas, radering eller återlämning.

Att bedöma om ett biträde ger tillräckliga garantier kräver mer än att läsa avtalstexten. Certifieringar som ISO 27001 kan vara relevanta, liksom insyn i säkerhetsrevisioner och hantering av incidenter.

Proffstips: Läs igenom hela avtalet efter orden “får” och “kan” i klausuler om underbiträden. Om biträdet “får” anlita underleverantörer utan tydlig anmälningsplikt till er, är avtalet för löst skrivet.

Läs mer om när ett personuppgiftsbiträdesavtal krävs och vilka klausuler som ofta saknas i mallar som organisationer använder utan justering.

Underbiträden och leverantörskedjan kräver löpande kontroll

Ett biträde får inte anlita ett underbiträde utan föregående skriftligt tillstånd, vare sig det är specifikt eller generellt godkännande. Vid generellt tillstånd måste biträdet ändå informera er om ändringar, så att ni kan invända.

Kräv följande dokumentation innan ni godkänner ett underbiträde:

• Ett eget biträdesavtal mellan huvudbiträdet och underbiträdet med samma skyldigheter som gäller er.
• Bevis på tekniska och organisatoriska säkerhetsåtgärder, inte bara ett påstående om att de finns.
• Uppgift om var data lagras och behandlas geografiskt.

Många organisationer skriver avtal men verifierar aldrig leverantörens faktiska kapacitet, vilket är en återkommande brist i praktiken. En strukturerad leverantörsbedömning med återkommande revisioner minskar den risken betydligt.

Registerförteckning och ansvar vid incidenter

Registerförteckningen enligt artikel 30 ska omfatta kategorier av behandling, kategorier av registrerade, mottagare av uppgifter och en beskrivning av tekniska och organisatoriska åtgärder. Den måste hållas levande, inte skrivas en gång och glömmas bort.

Vid en personuppgiftsincident gäller olika roller enligt en tydlig integritetspolicy:

• Biträdet ska underrätta den personuppgiftsansvarige utan onödigt dröjsmål efter upptäckt.
• Den personuppgiftsansvarige anmäler till IMY inom 72 timmar från upptäckt, om risken för registrerade bedöms som verklig.
• Underlåtenhet att agera i tid, eller bristande dokumentation av bedömningen, är en vanlig grund för sanktioner.

Konsekvenserna av att blanda ihop dessa roller drabbar oftast den personuppgiftsansvarige hårdast, eftersom tillsynen riktar sig dit ansvaret formellt ligger.

Handlingsplan: prioritera dessa steg i er organisation

En strukturerad genomgång slår punktinsatser varje gång. Så här bygger ni ordning i tre steg:

1. Kartlägg. Identifiera varje behandling, vem som bestämmer ändamål och medel, och vilka dataflöden som passerar mellan parter.
2. Avtala. Säkerställ att varje biträdesrelation har ett komplett artikel 28-avtal och att gemensamma ansvarsförhållanden regleras enligt artikel 26.
3. Kontrollera. Bedöm leverantörer löpande, inte bara vid avtalsstart, och håll registerförteckningen uppdaterad när system eller flöden förändras.

Proffstips: Sätt ett återkommande kvartalsmöte där ni går igenom förändrade leverantörsrelationer. De flesta compliance-luckor uppstår inte vid avtalsskrivning, utan när ett system byts ut sex månader senare utan att någon uppdaterar dokumentationen.

Vanliga fallgropar som skapar juridisk risk

Den vanligaste missuppfattningen är att ett signerat biträdesavtal befriar organisationen från ansvar. Så fungerar det inte, avtalet är ett styrinstrument, inte en ansvarsfrigörelse.

Andra återkommande brister:

• Underbiträden godkänns utan att någon faktiskt granskar deras säkerhetsåtgärder.
• Gemensamma behandlingar saknar tydlig kontaktpunkt för registrerades förfrågningar.
• Registerförteckningen uppdateras aldrig efter att den skapats första gången.

Varje punkt går att åtgärda med tydligare rutiner, det kräver bara att någon äger frågan löpande.

Så stöttar Trustview arbetet med register, avtal och leverantörer

Trustview samlar registerförteckning, leverantörsbedömning, incidentlogg och åtgärdsuppföljning i samma plattform, så att ansvarsfördelningen mellan registeransvarig och biträde blir dokumenterad snarare än underförstådd.

• Automatiserade registerförteckningar som uppdateras när behandlingar ändras, i stället för statiska dokument som blir inaktuella.
• Strukturerad leverantörsbedömning som fångar upp underbiträden innan de blir en okänd risk i kedjan.
• Incidentloggning kopplad direkt till de tidsfrister som gäller enligt artikel 30 och 33.

Proffstips: Låt ansvarsfördelningen synas i systemet, inte bara i ett Word-dokument. Det gör det enklare att visa tillsynsmyndigheten att ni faktiskt styr och följer upp, inte bara att ni en gång skrev ett avtal.

En reflektion: varför punktinsatser sällan räcker

Organisationer som klarar sig bäst vid tillsyn är sällan de som har det mest imponerande avtalet. Det är de som har gjort rollbedömningen till en levande rutin, inte en engångsövning inför en revision.

Det vanligaste misstaget jag ser är att biträdesavtalet blir slutpunkten i arbetet i stället för startpunkten. Ett avtal utan uppföljning är bara ett löfte på papper. Kontinuerlig kontroll av leverantörskedjan, med rätt digitalt stöd, ger faktisk efterlevnad snarare än en känsla av trygghet.

— Jesper

Ordna register och biträdeskontroller utan manuellt kaos

Att hålla koll på vem som är registeransvarig och biträde för varje enskild behandling blir snabbt ohanterligt i kalkylark och delade dokument, särskilt när leverantörskedjan växer. Trustview samlar registerförteckning, biträdesavtal och leverantörsbedömningar på ett ställe, så att ni ser hela bilden utan att jaga information i olika mejltrådar.

Plattformen stödjer flera regelverk parallellt, GDPR, NIS2 och ISO 27000, vilket är särskilt värdefullt när samma leverantör omfattas av flera krav samtidigt. Vill du förstå om just er organisation behöver ett skriftligt biträdesavtal för en specifik leverantör, läs guiden om personuppgiftsbiträdesavtal eller boka en genomgång av Trustviews plattform för att se hur registerarbetet kan automatiseras i er verksamhet.

Viktiga insikter

Ansvaret för en personuppgiftsbehandling ligger alltid hos den som bestämmer ändamål och medel, oavsett vad ett avtal med ett biträde säger.

Källor

För djupare juridisk förankring, se IMY:s vägledning om roller, EDPB:s riktlinjer om controller och processor och EU-kommissionens material om standardavtalsklausuler. För praktisk implementation, läs Trustviews guide om behandlingsregister samt checklistan för leverantörsbedömningar.

This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.

• Personuppgiftsansvariga och personuppgiftsbiträden | IMY

Rekommendation

• Förklara registeransvarig: roll och ansvar enligt GDPR – TrustView
• Registerförteckning enligt GDPR: Praktisk guide – TrustView
• Dataskyddsombudets roll: ansvar och uppgifter enligt GDPR – TrustView