personuppgiftsbiträde

Personuppgiftsbiträde är en person eller enhet som behandlar personuppgifter å en personuppgiftsansvarigs (controller) vägnar. Biträdet verkar alltså inte som ansvarig för vilka uppgifter som behandlas eller vilka syften som eftersträvas, utan följer den kontrolls vuxna vägledning som controller ger.

En grundläggande princip är att behandlingen får ske endast enligt dokumenterade instruktioner från den personuppgiftsansvariga. Biträdet får inte använda uppgifterna för egna ändamål eller annan behandling än vad som överenskommits. Biträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda uppgifterna och säkerställa konfidentialitet för personer som får tillgång till dem.

Rättsligt krävs ett skriftligt personuppgiftsbiträdesavtal som reglerar behandlingen. Avtalet ska bland annat ange processingens ämne och syfte, kategorier av personuppgifter och registrerade personer, varaktighet och plats för behandlingen, samt rättigheter och skyldigheter för båda parter. Biträdet ska hjälpa den personuppgiftsansvariga att uppfylla sina skyldigheter gentemot registrerade, exempelvis hantering av begäran om rättigheter, konsekvensbedömningar och incidenter. Vid personuppgiftsbrott ska biträdet omedelbart underrätta controller.

Vid användning av underbiträden krävs i princip godkännande och ett avtal som säger att underbiträdet följer samma skyddsnivå som biträdet. Överföring av uppgifter till tredje land kräver lämpliga skyddsåtgärder, såsom standardavtalsklausuler eller beslut om adekvat skyddsnivå.

När behandlingen upphört ska all personuppgift raderas eller återlämnas till controller, och biträdet ska dokumentera behandlingsaktiviteter enligt gällande regler.