Vad är ett personuppgiftsbiträde?
Ett personuppgiftsbiträde är den som behandlar personuppgifter för en annan organisations räkning och enligt dess instruktioner.
Den organisation som bestämmer varför och hur personuppgifter behandlas är personuppgiftsansvarig. En leverantör som behandlar uppgifterna åt den är personuppgiftsbiträde. Begreppen kommer från dataskyddsförordningen.
En AI-leverantör som tar emot era frågor och dokument blir oftast personuppgiftsbiträde. Då krävs ett personuppgiftsbiträdesavtal som beskriver hur uppgifterna hanteras, skyddas och raderas.
Körs AI-tjänsten helt i er egen miljö behandlar leverantören inga uppgifter åt er. Då behövs inget sådant avtal för själva behandlingen.
Så fungerar det
Den personuppgiftsansvarige får bara anlita biträden som ger tillräckliga garantier för skyddet. Biträdet ska hjälpa den ansvarige att uppfylla sina skyldigheter, till exempel vid incidenter och när registrerade utövar sina rättigheter. Underbiträden får bara anlitas med den ansvariges tillstånd.
Därför spelar det roll
Ansvaret för behandlingen stannar hos er, även när en leverantör utför den. Ni behöver därför kunna visa att leverantören är vald med omsorg och att avtalet följs. Det är också avtalet som avgör vad som händer med uppgifterna när samarbetet tar slut.
Att tänka på
Om leverantören använder uppgifterna för egna syften, till exempel för att förbättra sina tjänster, agerar den inte längre bara som biträde. För den behandlingen blir den själv ansvarig.
Ett standardavtal från leverantören kan vara rimligt, men läs det. Det är ert ansvar att det räcker.
Biträdet får inte ändra behandlingen på egen hand. Vill en leverantör till exempel flytta uppgifterna till en ny plats eller byta underbiträde ska ni få veta det i förväg och kunna invända.
Vad det betyder för er
Läs vad biträdesavtalet säger om underbiträden, lagringsplats och radering när avtalet upphör.
Vanliga frågor
Är vår AI-leverantör ett personuppgiftsbiträde?
Oftast, om den behandlar era frågor och dokument åt er. Det avgörande är vem som bestämmer ändamål och medel. Den som bestämmer är personuppgiftsansvarig.
Vad ska ett personuppgiftsbiträdesavtal innehålla?
Bland annat vad som behandlas och varför, hur uppgifterna skyddas, vilka underbiträden som används och vad som händer när avtalet upphör. Kraven finns i artikel 28 i dataskyddsförordningen.
Vad är ett underbiträde?
En annan leverantör som biträdet anlitar för att behandla era uppgifter, till exempel för drift. Biträdet behöver ert skriftliga godkännande för att anlita underbiträden.
Behövs ett avtal om allt körs hos oss?
Behandlar leverantören inga personuppgifter åt er behövs inget biträdesavtal för den behandlingen. Får leverantören åtkomst, till exempel vid support, kan det ändras.
Källor: Dataskyddsförordningen, artikel 4 och 28, på EUR-LexPersonuppgiftsansvariga och personuppgiftsbiträden hos IMY
Relaterade begrepp
Läs mer
Alla begrepp Uppdaterad