När ett personuppgiftsbiträde anlitar ett underbiträde fördelas ansvaret i tre led. Det biträde som anlitar underbiträdet ansvarar fullt ut gentemot den personuppgiftsansvariga om underbiträdet inte fullgör sina skyldigheter. Underbiträdet måste vara bundet av samma dataskyddsskyldigheter genom ett skriftligt avtal. Den personuppgiftsansvariga har ändå det slutliga ansvaret för att godkänna underbiträdet och kontrollera att det finns tillräckliga garantier. Ingen i kedjan kan alltså lämna över hela ansvaret till någon annan. Den här guiden går igenom vad det betyder i praktiken för dig som är jurist, dataskyddsombud, CISO eller VD: vem som godkänner vad, vad avtalen ska innehålla, vem som betalar när något går fel och hur du följer upp underbiträdena löpande.
Kort sagt
- Ett underbiträde anlitas av ett personuppgiftsbiträde för att utföra en del av behandlingen åt den personuppgiftsansvariga.
- Biträdet får bara anlita underbiträden med skriftligt förhandstillstånd, specifikt eller generellt. Även vid generellt tillstånd ska den ansvariga informeras och kunna invända.
- Biträdet svarar fullt ut gentemot den ansvariga för underbiträdets brister. Den ansvariga har det slutliga ansvaret för valet av underbiträde.
- Samma skyldigheter som finns i biträdesavtalet ska föras vidare i avtalet med underbiträdet.
- Den ansvariga bör alltid ha uppgifter om alla underbiträden lätt tillgängliga: namn, adress och kontaktperson.
Innehållsförteckning
- Tre roller i samma kedja
- När får biträdet anlita ett underbiträde?
- Ansvaret i underbiträdeskedjan
- Vad biträdesavtalet ska innehålla om underbiträden
- Leverantörsuppföljning: så följer du upp underbiträden
- Underbiträden utanför EU/EES
- Vårt perspektiv: ansvaret går inte att avtala bort
- Håll ordning på hela leverantörskedjan i Trustview
- Vanliga frågor
- Källor
Tre roller i samma kedja
Dataskyddsförordningen bygger på en tydlig rollfördelning. Den personuppgiftsansvariga bestämmer ändamålen med behandlingen och medlen för den. Personuppgiftsbiträdet behandlar personuppgifter för den ansvarigas räkning och enligt dennes instruktioner. Ett underbiträde är, enligt Integritetsskyddsmyndighetens (IMY) vägledning om personuppgiftsbiträdesavtal, ett biträde som det ursprungliga biträdet anlitar för en specifik behandling på den ansvarigas vägnar. Det ursprungliga biträdet ansvarar för att underbiträdet uppfyller sina dataskyddsskyldigheter.
I praktiken är kedjorna ofta långa. Ett HR-system köps av en svensk leverantör (biträde), som driftar tjänsten hos en molnleverantör (underbiträde), som i sin tur använder ett supportbolag i ett annat land (ytterligare ett underbiträde). Varje led är en möjlig svag länk.
| Roll | Vem är det typiskt? | Huvudsakligt ansvar |
|---|---|---|
| Personuppgiftsansvarig | Din organisation som köper tjänsten | Bestämmer ändamål och medel, godkänner underbiträden, har det slutliga ansvaret för att behandlingen är laglig |
| Personuppgiftsbiträde | Systemleverantören eller tjänsteleverantören | Behandlar enligt instruktioner, för vidare skyldigheter i kedjan, svarar fullt ut för underbiträdenas brister |
| Underbiträde | Molnleverantör, driftpartner, supportbolag | Uppfyller de skyldigheter som förts vidare i avtalet med biträdet |
Vill du fördjupa dig i gränsdragningen mellan de två första rollerna har vi skrivit om ansvarsfördelningen mellan registeransvarig och biträde. Är du osäker på om ni alls behöver ett avtal, börja med frågan om ni måste ha ett personuppgiftsbiträdesavtal.
När får biträdet anlita ett underbiträde?
Huvudregeln är enkel. Ett personuppgiftsbiträde får anlita ett underbiträde endast med skriftligt förhandstillstånd från den personuppgiftsansvariga. Det framgår av IMY:s sammanställning av vad biträden ska tänka på. Tillståndet kan ges på två sätt.
Specifikt tillstånd
Den ansvariga godkänner namngivna underbiträden, vanligtvis i en bilaga till biträdesavtalet. Varje nytt underbiträde kräver ett nytt godkännande. Modellen ger störst kontroll men kräver mer administration, särskilt hos leverantörer som byter underleverantörer ofta.
Generellt tillstånd
Den ansvariga godkänner i förväg att biträdet får anlita underbiträden. Biträdet måste då informera om planerade tillägg eller byten av underbiträden, så att den ansvariga kan invända. Möjligheten att invända måste vara meningsfull. En invändningsrätt som i praktiken inte går att använda, till exempel för att fristen är orimligt kort eller för att invändningen saknar konsekvens, uppfyller inte kravets syfte.
För offentliga organisationer betonar Upphandlingsmyndigheten att leverantören bör ange alla underleverantörer som ska vara involverade och att nya underleverantörer ska godkännas av den upphandlande organisationen. Det är klokt att ställa de kraven redan i förfrågningsunderlaget, eftersom de är svåra att förhandla in efter tilldelning.
Kontrollfrågor innan du godkänner ett generellt tillstånd:
- Hur och var aviserar leverantören nya underbiträden: e-post, kundportal eller en publik lista?
- Hur lång tid har ni på er att invända?
- Vad händer om ni invänder: avstår leverantören från underbiträdet, eller kan ni säga upp avtalet utan kostnad?
- Vem hos er tar emot aviseringen och ansvarar för bedömningen?
Ansvaret i underbiträdeskedjan
Det är här frågan om ansvar blir konkret. Ansvaret fördelas på tre nivåer.
Biträdet svarar fullt ut för underbiträdet
Om ett underbiträde inte fullgör sina dataskyddsskyldigheter är det anlitande biträdet fullt ansvarigt gentemot den personuppgiftsansvariga, enligt IMY. Biträdet kan alltså inte hänvisa till att felet låg hos en underleverantör. Ansvaret följer uppdraget, inte den som utförde den felaktiga behandlingen.
Den ansvariga har det slutliga ansvaret
Att biträdet ansvarar för underbiträdet friar inte den personuppgiftsansvariga. Europeiska dataskyddsstyrelsen (EDPB) konstaterade i yttrande 22/2024 om förlitan på biträden och underbiträden, antaget den 7 oktober 2024, att den ansvariga har det slutliga ansvaret för att välja en viss underentreprenör och för att verifiera att tillräckliga garantier finns. Det gäller oavsett hur långt ned i kedjan underbiträdet befinner sig.
För ledningen betyder det att ”leverantören har ett biträdesavtal” inte räcker som svar till styrelsen eller tillsynsmyndigheten. Ni behöver kunna visa vad ni har kontrollerat och när. Läs mer om hur du visar att du följer GDPR, inte bara att du försöker.
Skadestånd och sanktionsavgifter
Huvudregeln är att den personuppgiftsansvariga är skadeståndsansvarig för skador som orsakas av överträdelser av dataskyddsreglerna. Ett personuppgiftsbiträde kan dock bli skadeståndsansvarigt om det har brutit mot de skyldigheter som särskilt gäller biträden, eller agerat utanför eller i strid med den ansvarigas instruktioner. Både ansvariga och biträden kan dessutom bli föremål för tillsyn och administrativa sanktionsavgifter, enligt IMY:s vägledning för biträden. För en bredare genomgång av hur revision och bevisning hänger ihop med ansvar, se denna text om GDPR-revision och dokumenterade bevis.
Att biträden inte är skyddade från sanktioner visar också det franska fall där tillsynsmyndigheten bötfällde ett personuppgiftsbiträde med 1 miljon euro.
Är ni osäkra på hur ansvaret fördelas i ett konkret avtal, eller om en ansvarsbegränsning i leverantörens standardvillkor håller, bör en jurist med inriktning på dataskydd granska avtalet innan ni skriver under.
Exempel: incident hos ett underbiträde
En kommun använder ett e-tjänstesystem från en svensk leverantör. Leverantören har ett generellt tillstånd och har anlitat ett driftbolag som underbiträde. Driftbolaget får ett intrång där medborgares uppgifter exponeras.
- Driftbolaget ska enligt sitt avtal med leverantören rapportera incidenten utan onödigt dröjsmål.
- Leverantören ska i sin tur rapportera till kommunen och svarar fullt ut gentemot kommunen för driftbolagets brister.
- Kommunen är personuppgiftsansvarig och ansvarar för att bedöma incidenten och anmäla den till IMY när det krävs.
Om kommunen aldrig informerades om driftbolaget, eller saknade en meningsfull möjlighet att invända, har leverantören dessutom brustit i villkoren för att anlita underbiträden.
Vad biträdesavtalet ska innehålla om underbiträden
Enligt IMY ska biträdesavtalet bland annat reglera att behandlingen sker enligt den ansvarigas instruktioner, vilka säkerhetsåtgärder som gäller och villkoren för att anlita underbiträden. Avtalet mellan biträdet och underbiträdet ska sedan säkerställa att samma skyldigheter förs vidare i kedjan.
En checklista för den del av avtalet som rör underbiträden:
- Tillståndsmodell: specifikt eller generellt tillstånd, och en lista över godkända underbiträden som bilaga.
- Aviseringsrutin: hur, när och till vem nya underbiträden aviseras, och hur lång invändningsfristen är.
- Följd av invändning: vad som händer om ni säger nej, inklusive rätt till uppsägning.
- Vidareförda skyldigheter: krav på att underbiträdet binds av motsvarande villkor om instruktioner, sekretess, säkerhet, incidentrapportering, radering och återlämnande.
- Uppgifter om underbiträdet: namn, adress, kontaktperson, vilken behandling det utför och var uppgifterna behandlas.
- Revision och information: biträdets skyldighet att ställa information till förfogande och medverka vid granskning, även när det gäller underbiträden.
- Tredjelandsöverföringar: vilken överföringsmekanism som används och vem som tar fram dokumentationen.
- Ansvar: ett uttryckligt åtagande att biträdet svarar för underbiträdets fullgörande.
En genomgång av vilka klausuler som behöver föras ned till nästa led finns i denna text om biträdesavtalets obligatoriska innehåll. För ledningsperspektivet på samma frågor, se även GDPR-efterlevnad för företagsledare.
Leverantörsuppföljning: så följer du upp underbiträden
Ett korrekt avtal är startpunkten, inte slutet. Upphandlingsmyndigheten rekommenderar att organisationen redan innan avtalet träder i kraft tydliggör vem som ansvarar för uppföljningen och sedan följer upp att villkoren efterlevs. EDPB:s yttrande ger två praktiska riktmärken:
- Den ansvariga bör alltid ha identiteten för alla underbiträden lätt tillgänglig, det vill säga namn, adress och kontaktperson, för att kunna uppfylla kraven i artikel 28.
- Den ansvariga behöver inte systematiskt begära in kopior av underbiträdesavtal, utan bör bedöma i det enskilda fallet om det behövs för att visa efterlevnad.
Så här kan en rimlig process se ut:
- Kartlägg kedjan. Koppla varje behandling i er registerförteckning till biträdet och dess underbiträden.
- Riskklassa leverantörerna. Känsliga personuppgifter, stora volymer och tredjelandsöverföringar motiverar tätare kontroll. Se vår guide om riskbaserad prioritering.
- Utse en ägare per leverantör. Någon måste ta emot aviseringar om nya underbiträden och fatta beslut inom invändningsfristen.
- Bestäm kontrollnivån. För högriskleverantörer kan ni begära in underbiträdesavtal, revisionsrapporter eller certifieringar. För lågrisk räcker ofta en uppdaterad underbiträdeslista och ett självskattningsformulär.
- Dokumentera besluten. Spara vad ni har granskat, vad ni kom fram till och varför. Det är er bevisning enligt ansvarsskyldigheten.
- Återkom regelbundet. Lägg in en årlig granskning för högrisk och vid varje förändring i kedjan, och rapportera avvikelser till ledningen. Läs om hur du rapporterar risk till styrelsen.
Ett vanligt exempel är Microsoft 365, där kedjan av underbiträden är lång och förändras över tid. Vi har skrivit om vad svenska organisationer måste göra med personuppgifter i Microsoft 365.
Underbiträden utanför EU/EES
När ett underbiträde behandlar uppgifter utanför EU/EES skärps kraven. Enligt EDPB:s yttrande 22/2024 får skyddsnivån inte undergrävas. Den som exporterar uppgifterna, ofta biträdet, ska ta fram dokumentationen om överföringen. Den personuppgiftsansvariga ska bedöma dokumentationen och kunna visa den för tillsynsmyndigheten.
I praktiken bör du begära:
- uppgift om vilka länder underbiträdena behandlar uppgifter i, inklusive support och fjärråtkomst,
- vilken överföringsmekanism som används,
- den överföringsbedömning (TIA) som exportören har gjort, och
- vilka kompletterande skyddsåtgärder som har vidtagits.
Beroende på behandlingens art kan en överföring också påverka bedömningen av om en konsekvensbedömning behövs. Se vår genomgång av riskkriterier i DPIA.
Vårt perspektiv: ansvaret går inte att avtala bort
I vårt arbete med svenska organisationer ser vi samma mönster gång på gång. Biträdesavtalet är på plats, ofta på leverantörens mall, men ingen vet vilka underbiträden som faktiskt finns i kedjan i dag. Aviseringarna om nya underbiträden hamnar i en gemensam inkorg och invändningsfristen löper ut utan att någon har tagit ställning. Formellt finns ett generellt tillstånd, men den meningsfulla möjligheten att invända har i praktiken aldrig använts.
Vi menar att frågan om ansvar för underbiträden i grunden är en fråga om struktur, inte om juridisk text. Juridiken är förhållandevis tydlig: biträdet svarar fullt ut, den ansvariga har det slutliga ansvaret och skyldigheterna ska följa med nedåt i kedjan. Det svåra är att hålla ordning på det över tid, för hundratals leverantörer, med flera ansvariga och med kedjor som ändras utan förvarning.
Vårt råd är därför att behandla underbiträden som en del av registerförteckningen och riskarbetet, inte som en bilaga i ett avtalsarkiv. När varje behandling är kopplad till sina biträden och underbiträden, och varje förändring leder till en tilldelad uppgift med en ansvarig person, blir ansvaret något ni kan visa upp och inte bara något ni har avtalat om.
— Jesper
Håll ordning på hela leverantörskedjan i Trustview
Trustview är en svenskutvecklad plattform för compliance, privacy och informationssäkerhet, byggd av jurister med kunskap om svensk och europeisk lagstiftning. I plattformen kopplar ni registerförteckningen till era leverantörer, gör leverantörsbedömningar, DPIA och TIA, delegerar ansvar och följer upp åtgärder, med realtidsöversikt och automatiserade rapporter. Den stöder bland annat GDPR, NIS2, ISO 27000 och AI-förordningen.
Trustview kostar från 2 500 kr per månad. Se priser och kom igång med Trustview. Behöver ni hjälp att granska biträdesavtal eller villkor för underbiträden finns även juridisk rådgivning som tillägg.
Vanliga frågor
Vem ansvarar om ett underbiträde orsakar en personuppgiftsincident?
Biträdet som anlitade underbiträdet är fullt ansvarigt gentemot den personuppgiftsansvariga. Den ansvariga ansvarar fortfarande för att hantera incidenten och anmäla den till IMY när det krävs. Underbiträdet ska enligt sitt avtal rapportera vidare uppåt i kedjan utan onödigt dröjsmål.
Räcker ett generellt tillstånd för att anlita underbiträden?
Ja, ett generellt skriftligt tillstånd är tillåtet. Biträdet måste ändå informera om planerade nya eller utbytta underbiträden så att ni kan invända. Se till att avtalet anger hur aviseringen sker, hur lång invändningsfristen är och vad en invändning leder till.
Måste vi begära in kopior av alla underbiträdesavtal?
Nej, inte systematiskt. Enligt EDPB bör den ansvariga bedöma i det enskilda fallet om en kopia behövs för att kunna visa efterlevnad. Uppgifter om vilka underbiträdena är, med namn, adress och kontaktperson, bör däremot alltid finnas lätt tillgängliga.
Kan ett underbiträde få sanktionsavgift?
Både personuppgiftsansvariga och biträden kan bli föremål för tillsyn och administrativa sanktionsavgifter. Ett underbiträde är ett biträde i förhållande till det led som anlitat det och omfattas därför av de skyldigheter som gäller biträden. Det kan dessutom bli skadeståndsansvarigt om det bryter mot sina egna skyldigheter eller mot instruktioner.
Vad ska avtalet med ett underbiträde innehålla?
Avtalet ska föra vidare samma dataskyddsskyldigheter som biträdet har gentemot den ansvariga. Det gäller bland annat instruktioner, säkerhetsåtgärder, sekretess, incidentrapportering, radering och medverkan vid revision. Vid tredjelandsöverföringar ska även överföringsmekanismen och dokumentationen regleras.
Källor
- IMY: Personuppgiftsbiträdesavtal
- IMY: Att tänka på som personuppgiftsbiträde
- Upphandlingsmyndigheten: GDPR och offentlig upphandling
- EDPB: Opinion 22/2024 om biträden och underbiträden
