Granska ett personuppgiftsbiträdesavtal mot den verkliga tjänsten

Ett personuppgiftsbiträdesavtal blir användbart när dess beskrivning stämmer med den faktiska tjänsten. Ett avtal som ser fullständigt ut kan ändå beskriva fel data, utelämna en supportleverantör eller utlova radering som produkten inte kan utföra.

För en CTO kopplar granskningen rättsliga åtaganden till arkitektur, konfiguration och driftrutiner. Kollegor inom juridik eller dataskydd tolkar klausulerna; teknikteamet fastställer om klausulerna beskriver verkligheten. Resultatet ska vara ett försvarbart beslut om tjänsten, med stöd i underlag och en tydlig lista över olösta villkor – inte bara en undertecknad PDF.

Fastställ leverantörens roll innan ni granskar klausulerna

Börja med att avgöra om leverantören agerar personuppgiftsbiträde för den aktuella behandlingen. Enligt dataskyddsförordningen (GDPR) behandlar ett personuppgiftsbiträde personuppgifter för den personuppgiftsansvariges räkning. Inte varje leverantörsrelation har den rollen, och en och samma leverantör kan ha olika roller för olika aktiviteter.

En värdbaserad supportplattform kan behandla kundärenden enligt era instruktioner och samtidigt vara självständigt personuppgiftsansvarig för en del av sin egen kontoadministration. Om dess villkor också tillåter att ärendeinnehåll används för ändamål som leverantören själv bestämmer behöver den aktiviteten analyseras separat. Att kalla allt för ”förbättring av tjänsten” avgör inte rollen.

Ta fram en kort beskrivning av omfånget innan ni kommenterar avtalet:

• Identifiera den avtalsslutande enheten, produkten, abonnemangsnivån och aktiverade funktioner.
• Beskriv varför er organisation använder tjänsten och vems personuppgifter den hanterar.
• Skilj behandling enligt instruktion från eventuella ändamål som leverantören själv definierar.
• Namnge den interna tjänsteägaren och granskaren inom juridik eller dataskydd.

Ett personuppgiftsbiträdesavtal är ingen rättslig grund enligt artikel 6, och det uppfyller inte automatiskt kraven för internationella överföringar. De frågorna förblir separata. Om er organisation själv är personuppgiftsbiträde, identifiera den överordnade personuppgiftsansvariges instruktioner och villkor för godkännande innan leverantören anlitas som underbiträde.

Bygg en granskningsmatris för artikel 28

Artikel 28 i GDPR kräver ett bindande avtal eller en annan kvalificerande rättsakt som reglerar biträdets verksamhet. Där ska föremålet för och varaktigheten av behandlingen, behandlingens art och ändamål, typen av personuppgifter, kategorierna av registrerade samt den personuppgiftsansvariges skyldigheter och rättigheter anges.

Dessa uppgifter ska identifiera den faktiska behandlingen. ”Alla uppgifter som krävs för att tillhandahålla tjänsterna” kan göra att granskare inte kan avgöra om personalregister, kundmeddelanden eller känsliga bilagor omfattas. Kontrollera bilagorna mot den konfigurerade produkten, inklusive valfria integrationer.

Använd följande matris för att granska biträdets obligatoriska skyldigheter. Kolumnen för underlag innehåller praktiska granskningsrekommendationer, inte ett lagstadgat krav på att varje nämnt dokument ska inhämtas.

Biträdet ska också omedelbart informera den personuppgiftsansvarige om det anser att en instruktion strider mot tillämplig dataskyddslagstiftning. Kontrollera vart den underrättelsen skickas och vem som kan lösa frågan.

Markera varje krav som täckt, oklart eller saknat, med en hänvisning till klausulen. Klassificera inte en utelämnad obligatorisk punkt som en vanlig kommersiell preferens. Artikel 28.1 kräver också att personuppgiftsansvariga endast anlitar biträden som ger tillräckliga garantier; avtalstext ensam kan inte fastställa det.

Följ en representativ post genom tjänsten

Välj en realistisk post och följ den från insamling till bortskaffande. För en kundsupporttjänst kan det vara ett ärende som innehåller ett namn, en e-postadress, en kontoidentifierare och en bilaga. Använd helst syntetiska data vid testning.

Kartlägg insamling, inläsning via API, primär lagring, indexering, analys, supportåtkomst, exporter, integrationer, säkerhetskopior och radering. Fråga vilka komponenter som tar emot innehåll och vilka som enbart tar emot metadata. Loggar och diagnostiska spår innehåller ofta identifierare även när huvudapplikationen är korrekt avgränsad.

Registrera för varje steg den ansvariga enheten, behandlingens ändamål, platsen, åtkomstvägen och lagringstiden. Jämför resultatet med personuppgiftsbiträdesavtalet, säkerhetsbilagan, förteckningen över underbiträden och arrangemangen för överföringar.

Var särskilt uppmärksam på funktioner som administratörer kan aktivera utan att inköp är inblandat: transkribering, berikning, AI-sammanfattning, externa webhooks och inspelning av supportsessioner. Ett avtal som granskats för basprodukten beskriver inte nödvändigtvis den aktiverade tjänsten på ett tillräckligt sätt.

Leveransen kan vara ett enkelt dataflödesdiagram och en avvikelselogg. Varje avvikelse ska ange avtalsformuleringen, det observerade beteendet, konsekvensen, ägaren och lösningen. Till exempel är ”Avtalet beskriver kundstyrd lagringstid; diagnostikloggar sparas under en fast period” möjlig att agera på. ”Lagringstid oklar” räcker inte för att stänga frågan.

Pröva säkerhetslöftena mot implementeringen

Artikel 32 kräver säkerhetsåtgärder som är lämpliga i förhållande till risken. Den föreskriver ingen enhetlig teknisk konfiguration. Utvärdera åtgärderna mot uppgifternas känslighet, volym, exponering och de sannolika konsekvenserna av ett intrång.

En bilaga ska förklara tillräckligt för att tjänsten ska kunna bedömas, utan att detaljer som kan utnyttjas för angrepp behöver lämnas ut. Prioritera kundisolering, privilegierad åtkomst, autentisering, kryptering, resiliens, återställning, sårbarhetshantering och testning. Identifiera vilka kontroller leverantören driver och vilka inställningar ert team måste konfigurera.

Om avtalet utlovar begränsad supportåtkomst, fråga hur åtkomst begärs, godkänns, tidsbegränsas och loggas. Om det utlovar kryptering, skilj skydd under överföring från skydd i vila och fastställ sedan vem som kontrollerar nycklarna och vad behöriga användare fortfarande kan läsa. Kryptering löser inte problemet med alltför omfattande behörigheter i applikationen.

För tillgänglighet och återställning, fastställ vilka säkerhetskopior som finns, hur återställning testas och om de avtalade återställningsåtagandena omfattar den produkt ni köper. Håll kommersiella mål för drifttid åtskilda från skyldigheter inom säkerhet och dataskydd.

Certifikat och försäkringsrapporter kan stödja bedömningen, men deras omfång spelar roll. Kontrollera tjänsten, den juridiska enheten, bedömningsperioden, undantagen och kundens ansvar. En rapport om driftleverantören är inget underlag för varje kontroll i SaaS-applikationen, och certifiering fastställer inte efterlevnad av GDPR. Se utvärdering av säkerhetsförsäkran för den bredare granskningen av underlag.

Om säkerhetsbilagan införlivas via en webblänk, bevara den version som gäller. Granska om ändringar kan försämra skyddet och hur kunderna informeras. Behandla en odaterad sida som kan ändras som ett problem inom hanteringen av underlag som behöver lösas, i stället för att anta att den antingen automatiskt är tillräcklig eller automatiskt ogiltig.

Följ kedjan av underbiträden och bedöm överföringar separat

Artikel 28.2 kräver ett i förväg givet specifikt eller allmänt skriftligt godkännande för att ett annat personuppgiftsbiträde ska få anlitas. Vid allmänt godkännande måste biträdet informera den personuppgiftsansvarige om planerade tillägg eller ersättningar och ge möjlighet att invända. Artikel 28.4 kräver att de relevanta dataskyddsskyldigheterna förs vidare; det ursprungliga biträdet förblir fullt ansvarigt gentemot den personuppgiftsansvarige för att underbiträdet fullgör dessa skyldigheter.

Skaffa en användbar förteckning som visar varje leverantörs juridiska identitet, funktion, berörda uppgifter och behandlingsplatser. Inte varje leverantörsberoende är ett underbiträde, men leverantörer av infrastruktur, support och analys ska inte försvinna ur granskningen bara för att de verkar bakom produktens gränssnitt.

Utvärdera mekanismen för ändringar:

• Når aviseringen en bevakad adress eller en utsedd ägare?
• Finns det tillräckligt med information och tid för att bedöma den föreslagna ändringen?
• Hur lämnas en invändning in och hur hanteras den?
• Vad händer om inget godtagbart alternativ finns?

En avtalsenlig rättighet som ingen kan utöva i praktiken är en varningssignal. Prenumerera rätt team på aviseringarna och registrera vem som bedömer dem.

Lagring inom EU är relevant men avslutar inte bedömningen av överföringar. Granska faktiska mottagare, arrangemang för fjärråtkomst, supportplatser och vidareöverföringar. På samma sätt är utländskt ägande ensamt ingen fullständig beskrivning av en överföring: dokumentera de faktiska enheterna och åtkomstvägarna.

Där kapitel V är tillämpligt, identifiera den relevanta överföringsmekanismen och eventuella nödvändiga kompletterande bedömningar eller åtgärder. Håll analysen kopplad till leverantörsgranskningen men åtskild från efterlevnaden av artikel 28. Ett personuppgiftsbiträdesavtal och en regional lagringsinställning besvarar inte var för sig alla frågor om överföringar.

Gör biståndsskyldigheterna genomförbara

Anmälan av personuppgiftsincidenter och överlämning vid incidenter

Enligt artikel 33.2 ska ett personuppgiftsbiträde underrätta den personuppgiftsansvarige utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident. Den personuppgiftsansvarige bedömer separat anmälan till tillsynsmyndigheten, som ska göras utan onödigt dröjsmål och, om möjligt, inom 72 timmar efter att incidenten blivit känd, såvida det inte är osannolikt att incidenten medför en risk för fysiska personers rättigheter och friheter.

Ge inte biträdet den personuppgiftsansvariges tidsfrist som standardväntetid. Ett praktiskt avtal ska fastställa en snabb första underrättelse, namngivna kanaler och löpande uppdateringar. Ett överenskommet mål för underrättelse är en operativ rekommendation; det ersätter inte den lagstadgade standarden.

Begär den information som behövs för att bedöma berörda uppgifter, personer, system, sannolika konsekvenser, inneslutning och återställning. Den första underrättelsen kan vara ofullständig, så definiera hur uppdateringar och underlag följer. Den personuppgiftsansvarige måste också bedöma om en hög risk kräver information till de berörda personerna enligt artikel 34, med förbehåll för undantagen där, och dokumentera bedömningen av incidenten, inklusive skälen till att inte anmäla. Granska utlösaren för underrättelse noga: en process som väntar på en slutförd utredning av grundorsaken kan fördröja den personuppgiftsansvariges bedömning.

Testa överlämningen med en skrivbordsövning. Bekräfta att underrättelsen når incidenthanterare och dataskyddsgranskare även utanför kontorstid, och inte bara en kontoansvarig.

Förfrågningar från registrerade

Biträdets bistånd ska göra er egen process för att hantera de registrerades rättigheter genomförbar. Testa om poster kan lokaliseras i innehåll, bilagor, index och exporter, och om radering eller rättelse når de relevanta komponenterna.

Kom överens om svarsvägen och förväntad handläggningstid. Personuppgiftsansvariga har normalt en månad på sig att besvara en begäran, med förbehåll för GDPR:s villkor för förlängning; leverantörens bistånd måste lämna utrymme för identitetskontroller, rättslig bedömning och säker leverans. Leverantören ska normalt vidarebefordra förfrågningar som rör behandlingen enligt era instruktioner till er i stället för att själv avgöra utfallet.

Avgifter och begränsningar i tjänsten förtjänar granskning. Avgifter för ytterligare bistånd är inte automatiskt förbjudna, men de får inte göra det obligatoriska biståndet verkningslöst. Koppla rutinen till ert arbetsflöde för begäran om registerutdrag.

Återlämnande, radering och säkerhetskopior

När tjänsten upphör kräver artikel 28 radering eller återlämnande enligt den personuppgiftsansvariges val, och radering av befintliga kopior om inte unionsrätten eller medlemsstaternas nationella rätt kräver lagring. Fastställ vad det innebär tekniskt innan ni köper.

Kontrollera exportens fullständighet, format och tillgänglighetsperiod samt om bilagor eller konfiguration är undantagna. För radering, skilj mellan aktiva poster, cacheminnen, repliker, loggar och säkerhetskopior. Om radering i säkerhetskopior följer en schemalagd cykel, dokumentera perioden, åtkomstbegränsningarna och de åtgärder som förhindrar att raderade poster återinförs genom återställning.

Fråga hur slutförandet styrks och hur lagstadgad lagring identifieras. Undvik att förlita er på ”kontot stängt” som bevis för att personuppgifter har tagits bort.

Granska granskningsrätt, ansvar och olösta klausuler

Bestämmelser om granskning ska ge meningsfull försäkran och samtidigt skydda andra kunder och legitima säkerhetsintressen. Rimlig tidsplanering, konfidentialitet och användning av oberoende rapporter kan göra granskningar genomförbara. En klausul som enbart hänvisar till certifikat, utan någon väg att få nödvändig information eller hantera väsentliga farhågor, bör dock granskas juridiskt mot artikel 28.3 h.

Fastställ eskaleringsvägen när underlagen är otillräckliga, en incident inträffar eller en tillsynsmyndighet begär information. Granska kostnader för granskning, varseltider och begränsningar tillsammans; deras sammantagna effekt är viktigare än en enskild formulering.

Ansvarsklausuler behöver en separat kommersiell bedömning. Skadestånd enligt artikel 82 beror på förordningens villkor för ansvar; biträden är inte automatiskt ansvariga för varje brist hos den personuppgiftsansvarige. Där flera parter är ansvariga enligt artikel 82 kan reglerna göra dem ansvariga för hela skadan för att säkerställa effektiv ersättning. Ett avtalat ansvarstak begränsar inte enskildas lagstadgade rättigheter. Dess effekt på fördelning och regress mellan parterna behöver granskas juridiskt.

Om leverantören vägrar ändringar, skilj mellan tre utfall:

• Förtydligande: inhämta auktoritativ formulering eller underlag som undanröjer oklarheten.
• Villkorat godkännande: godkänn ett lagligt arrangemang med dokumenterad kommersiell eller operativ kvarstående risk och angivna skyddsåtgärder.
• Gå inte vidare: stoppa eller gör om behandlingen där obligatoriska skyldigheter förblir ouppfyllda.

Ledningens godkännande kan inte göra ett olagligt arrangemang lagligt. Dataskyddsombudet, där ett sådant utsetts, ger råd och övervakar självständigt; den ansvariga verksamhetsägaren fattar beslut om tjänsten med stöd från juridik och dataskydd. Låt inte dataskyddsombudet äga beslutet om ändamålen med och medlen för behandlingen.

Granska AI-funktioner som ytterligare behandlingsvägar

AI-funktioner för in indata, utdata och mellanliggande artefakter som äldre bilagor kanske inte beskriver. Granska promptar, hämtade dokument, inbäddningar, genererade svar, återkoppling, poster från missbruksövervakning och åtkomst för mänsklig granskning där det är relevant.

Fastställ om kunddata används för att träna eller förbättra modeller, vems ändamål det tjänar och vilken enhet som utför behandlingen. ”Ingen träning” är inte detsamma som ”ingen lagring”, och inget av löftena bevisar att supportloggar eller övervakningsposter inte innehåller personuppgifter.

Kontrollera att åtagandena gäller den köpta nivån, de aktiverade slutpunkterna och de modelleverantörer som ligger nedströms. Bekräfta lagringsinställningar, undantag och raderingsbeteende. Om en leverantör hävdar anonymisering, fråga vad som stöder det påståendet i stället för att anta att modellartefakter är anonyma.

Registrera det avtalade åtagandet och konfigurationsunderlaget tillsammans. Varje nytt ändamål kräver en egen bedömning av roll och laglighet; personuppgiftsbiträdesavtalet tillhandahåller inte den rättsliga grunden. Huruvida AI-förordningen är tillämplig är också en separat fråga, inget som uppfylls genom att villkoren för personuppgiftsbiträden undertecknas.

Räkneexempel: supportprogramvara med valfri sammanfattning

Anta, som illustration, att ett SaaS-företag vill ha en supportplattform som innehåller namn, e-postadresser i tjänsten, ärendetext och bilagor. Ärenden kan oavsiktligt innehålla känslig information. En valfri AI-funktion sammanfattar konversationer.

Utkastet till personuppgiftsbiträdesavtal beskriver ärendehantering och lagring inom EU. Den tekniska genomgången visar en leverantör för sammanfattning, supportåtkomst från en annan region och en lagringstid för diagnostikdata som skiljer sig från ärendenas lagringstid.

Granskningen leder till fyra konkreta åtgärder:

1. Komplettera omfånget. Lägg till bilagor, diagnostiska identifierare och AI-behandling i beskrivningen; kontrollera om leverantören använder något innehåll för egna ändamål.
2. Klarlägg leverantörskedjan. Inhämta modelleverantörens identitet, behandlingsplatser, lagringsåtaganden och täckning av godkännandet. Bedöm relevanta överföringar separat.
3. Validera livscykelbeteendet. Kör ett syntetiskt ärende genom export och radering. Inhämta en förklaring av lagringstiden för säkerhetskopior och diagnostikdata i stället för att anta att radering av ärendet tar bort varje kopia.
4. Fastställ ett villkor för driftsättning. Håll sammanfattningsfunktionen avstängd tills dess avtal och dataflöde har granskats. Upprätta vägar för underrättelser om personuppgiftsincidenter och ändringar av underbiträden före användning i produktion.

Beslutsposten skiljer mottagna underlag från frågor som fortfarande är öppna. Om kärntjänsten är godtagbar kan godkännandet uttryckligen undanta AI-funktionen. Den gränsen måste också finnas i konfigurationen och förändringshanteringen; en anteckning i granskningsfilen hindrar inte någon från att aktivera funktionen senare.

Bevara beslutet och öppna det igen när tjänsten ändras

Håll den gällande avtalsversionen, behandlingens omfång, dataflödesdiagrammet, försäkringsunderlagen, bedömningen av överföringar, avvikelseloggen och godkännandet samlade. Registrera accepterade kvarstående risker, villkor, ägare och datum för uppföljning. Bevara skälet till att ett arrangemang godkändes, inte bara dess status.

Granska på nytt när behandlingens ändamål, aktiverade funktioner, underbiträden, platser eller avtalsvillkor ändras väsentligt. Ta med betydande incidenter och nya belägg för brister i kontroller som utlösande faktorer. En schemalagd granskning kompletterar dessa utlösare i stället för att ersätta dem.

Secani kan stödja arbetsflödet genom att modellera tjänsten och externa leverantörer, koppla underlag till krav och beslut och tilldela granskningsluckor till ägare. Slutsatser som granskats av människor, källänkar, kommentarer och godkännanden bevarar resonemanget bakom godkännandet. Det kopplar avtalsgranskningen till hantering av tredjepartsrisker utan att programvara behandlas som en ersättning för juridiskt eller tekniskt omdöme.

Behöver avtalet en handskriven underskrift?

Artikel 28.9 kräver skriftlig form, vilket inbegriper elektronisk form. En handskriven underskrift krävs inte i sig. Bevara belägg för bindande godkännande och den version som gäller; be juridiska granskare att reda ut osäkerhet kring införlivande online eller motstridiga villkor.

Måste varje underbiträde namnges i personuppgiftsbiträdesavtalet?

Artikel 28 föreskriver ingen fast förteckning i själva dokumentet. En förteckning som hålls uppdaterad kan stödja godkännandet, förutsatt att arrangemanget ger den information, de aviseringar om ändringar och den möjlighet att invända som krävs. Bevara den förteckning som är relevant för er granskning.

Börja nästa leverantörsgranskning med ett representativt dataflöde och matrisen för artikel 28. Lös avvikelsen mellan avtalade löften och den drift som kan observeras innan ni godkänner behandling i produktion.