Personuppgifts­biträdes­avtal

Bakgrund

Detta avtal är en bilaga till Parternas avtal om redovisningstjänster (”Uppdragsavtalet”).

I samband med fullgörandet av Uppdragsavtalet kommer Uppdragstagaren i egenskap av personuppgiftsbiträde (”Personuppgiftsbiträdet”) att behandla personuppgifter för Uppdragsgivaren räkning som i sin tur är personuppgiftsansvarig (den ”Personuppgiftsansvarige”). Parterna har med anledning av detta överenskommit att i detta personuppgiftsbiträdesavtal reglera Parternas ansvar och skyldigheter i samband med Personuppgiftsbiträdets behandling av personuppgifterna (”Biträdesavtalet”).

Om definitionen av ett begrepp inte anges i Biträdesavtalet ska det anses ha samma betydelse som i artikel 4 i Dataskyddsförordningen[1].

Den Personuppgiftsansvariges ansvar

Den Personuppgiftsansvarige ansvarar för att behandlingen av personuppgifter sker enligt gällande rätt. Den Personuppgiftsansvarige får endast tillhandahålla Personuppgiftsbiträdet de personuppgifter som behövs för att utföra och administrera uppdraget. Den Personuppgiftsansvarige är ansvarig för att denne har rätt att överföra personuppgifter till Personuppgiftsbiträdet och att Personuppgiftsbiträdet har rätt att behandla personuppgifterna i samband med utförandet av tjänsterna enligt Uppdragsavtalet.

Föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade, mottagare av personuppgifter som omfattas av behandlingen samt de tekniska och organisatoriska skyddsåtgärder som ska vidtas anges i Bilaga A, i den utsträckning som behövs för att Personuppgiftsbiträdet ska kunna tillhandahålla tjänsterna, enligt Uppdragsavtalet. I händelse av att den Personuppgiftsansvarige avser ändra eller meddela nya instruktioner, som väsentligt påverkar Personuppgiftsbiträdets utförande av tjänsterna, ska Personuppgiftsbiträdet ha rätt att invända mot sådan ändring och Parterna äger då rätt att frånträda Biträdesavtalet och Uppdragsavtalet med omedelbar verkan. Den Personuppgiftsansvarige ska svara för alla kostnader och utgifter som Personuppgiftsbiträdet åsamkas med anledning av att den Personuppgiftsansvarige ändrar eller meddelar nya instruktioner.

Personuppgiftsbiträdets ansvar

Personuppgiftsbiträdet får endast behandla personuppgifter i enlighet med den Personuppgiftsansvariges dokumenterade instruktioner (som anges i Bilaga A eller som kompletterats skriftligen vid senare tillfälle) såvida inte denna behandling krävs enligt gällande rätt som Personuppgiftsbiträdet omfattas av, och i så fall ska Personuppgiftsbiträdet informera den Personuppgiftsansvarige om det rättsliga kravet innan uppgifterna behandlas, såvida inte sådan information är förbjuden med hänvisning till ett viktigt allmänt intresse enligt denna rätt.

Personuppgiftsbiträdet ska omedelbart informera den Personuppgiftsansvarige om Personuppgiftsbiträdet bedömer att en instruktion från den Personuppgiftsansvarige, kan anses strida mot gällande rätt. Den Personuppgiftsansvarige är dock alltid ansvarig för lämnade instruktioner.

Personuppgiftsbiträdet ska, med tanke på behandlingens art, i den mån det är möjligt bistå den Personuppgiftsansvarige med att besvara en registrerads begäran (såsom exempelvis begäran om registerutdrag eller rättelse/uppdatering av personuppgifter som rör den registrerade). För det fall en registrerad kontaktar Personuppgiftsbiträdet direkt med en sådan begäran ska Personuppgiftsbiträdet hänvisa registrerad till den Personuppgiftsansvarige och utan onödigt dröjsmål informera den Personuppgiftsansvarige om begäran. Personuppgiftsbiträdet får inte på egen hand besvara en registrerads begäran.

Personuppgiftsbiträdet ska underrätta den Personuppgiftsansvarige utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident. En sådan underrättelse ska innehålla den information som den Personuppgiftsansvarige rimligen behöver för att kunna uppfylla sina rättsliga skyldigheter, vilket bör inkludera åtminstone uppgift om personuppgiftsincidentens art, inbegripet när så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs av incidenten samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs samt en beskrivning av de åtgärder som Personuppgiftsbiträdet har vidtagit eller föreslår för att åtgärda incidenten, inbegripet, när så är lämpligt, åtgärder för att mildra potentiella negativa effekter. Den Personuppgiftsansvarige ansvarar för eventuell rapportering till behörig tillsynsmyndighet och information till berörda registrerade. Personuppgiftsbiträdet ska, med tanke på behandlingens art och den information som Personuppgiftsbiträdet har att tillgå, bistå den Personuppgiftsansvarige vid fullgörande av dess skyldigheter i samband med en personuppgiftsincident.

Tekniska och organisatoriska skyddsåtgärder

Personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas enligt Biträdesavtalet. Åtgärderna ska anpassas till en lämplig nivå med beaktande av typen av behandling, kategorierna av personuppgifter, särskilda risker med behandlingen samt kostnader för genomförandet av åtgärderna.

De tekniska och organisatoriska skyddsåtgärder som ska vidtas anges i Bilaga A.

Granskning

För det fall den Personuppgiftsansvarige begär att få granska att Personuppgiftsbiträdet fullgör sina skyldigheter enligt gällande rätt och Biträdesavtalet ska den Personuppgiftsansvarige skriftligen avisera sin begäran senast tjugo arbetsdagar dessförinnan. Innan granskningen påbörjas ska Parterna komma överens om en gransknings- och en tidsplan. Granskningen ska inte störa Personuppgiftsbiträdets löpande verksamhet och ska inte heller innebära rätt att få ta del av information som omfattas av lagstadgad eller avtalad tystnadsplikt. Personuppgiftsbiträdet ska förse den Personuppgiftsansvarige med den information som rimligen krävs för att visa att skyldigheterna har fullgjorts gentemot den Personuppgiftsansvarige. Granskningen ska vara proportionerlig i förhållande till den behandling Personuppgiftsbiträdet har utfört för den Personuppgiftsansvarige. Den Personuppgiftsansvarige har rätt att anlita en utomstående för denna granskning (”Granskare”). Parterna ska gemensamt godkänna Granskare och Personuppgiftsbiträdet har rätt att inte acceptera att en direkt konkurrent utses som Granskare. Granskaren ska åta sig eller annars vara bunden av tystnadsplikt avseende all information som Granskaren får tillgång till vid granskningen. Alla kostnader som uppkommer för Personuppgiftsbiträdet i samband med granskningen ska bäras av den Personuppgiftsansvarige.

Överföring av personuppgifter till tredje land

Personuppgifter som är under behandling eller är avsedda att behandlas får endast överföras till ett tredje land eller till en internationell organisation under förutsättning att det tredje landet eller den internationella organisationen säkerställer en adekvat skyddsnivå enligt beslut från EU-kommissionen. Dessa är listade på den Europeiska kommissionens hemsida. Om detta inte föreligger, så får överföring av personuppgifterna endast ske om lämpliga skyddsåtgärder har vidtagits samt på villkor att lagstadgade rättigheter för registrerade och effektiva rättsmedel för registrerade finns tillgängliga. Lämpliga skyddsåtgärder kan exempelvis utgöras av standardiserade dataskyddsbestämmelser som antagits av EU-kommissionen (standardavtalsklausuler, SCC) eller bindande företagsbestämmelser kombinerat med ytterligare skyddsåtgärder när så bedöms nödvändigt, vilket när tillämpligt ska utgöra en del av Biträdesavtalet. Europeiska dataskyddsstyrelsen har lämnat exempel på sådana skyddsåtgärder i ett yttrande.[2] När Personuppgiftsbiträdet har rätt att anlita ett Underbiträde som är etablerat i ett tredjeland för vilket det inte finns ett beslut från EU-kommissionen om adekvat skyddsnivå, befullmäktigas härmed Personuppgiftsbiträdet att ingå avtal med Underbiträdet som innehåller standardavtalsklausuler avseende överföring av personuppgifterna till det aktuella tredjelandet.

Tystnadsplikt

Personuppgiftsbiträdet ska säkerställa att dess anställda och Underbiträden som behandlar personuppgifter för den Personuppgiftsansvariges räkning har åtagit sig eller annars omfattas av tystnadsplikt som omfattar behandlingen av personuppgifterna. Bestämmelser om tystnadsplikt regleras i Uppdragsavtalet.

Skada

Ansvaret gentemot en registrerad som lidit skada på grund av en överträdelse av GDPR eller Biträdesavtalet ska fördelas mellan Parterna i enlighet med artikel 82 i Dataskyddsförordningen.

Vardera Part ska själv ansvara för eventuella administrativa sanktionsavgifter som en tillsynsmyndighet har utdömt som en följd av dess behandling.

Övriga frågor om skador och ansvar med anledning av Biträdesavtalet ska hanteras i enlighet med Uppdragsavtalet.

Giltighetstid

Biträdesavtalet gäller under den tid som Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning för fullgörandet av Uppdragsavtalet. Om Uppdragsavtalet upphör att gälla upphör även Biträdesavtalet att gälla.

När Biträdesavtalet upphör att gälla ska Personuppgiftsbiträdet, om inte annat framgår av Uppdragsavtalet, på den Personuppgiftsansvariges begäran radera eller återlämna alla personuppgifter till den Personuppgiftsansvarige.

Personuppgiftsbiträdet har dock rätt att bevara personuppgifter om det följer av gällande rätt eller för att dokumentera det specifika uppdraget. Personuppgiftsbiträdet ska anses vara personuppgiftsansvarig för sådan behandling.

Tillämplig lag och tvistelösning

Biträdesavtalet ska tolkas och tillämpas i enlighet med bestämmelserna i Uppdragsavtalet.

Tvistlösningsbestämmelsen i Uppdragsavtalet ska gälla.

[1] Europaparlamentet och rådets förordning (EU) 2016/679 från den 27 april 2016 om skydd för fysiska personer i fråga om behandling av personuppgifter och om den fria rörligheten för sådana uppgifter och om upphävande av direktiv 95/46/EG.

[2] https://edpb.europa.eu/system/files/2021-06/edpb_recommendations_202001vo.2.0_supplementarymeasurestransferstools_en.pdf