Om du har lagt ut lönehantering, redovisning eller marknadsföring på andra företag som i dessa fall behandlar personuppgifter för ditt företags räkning, behöver du upprätta ett personuppgiftsbiträdesavtal. Du kan inte delegera ansvaret till personuppgiftsbiträdet, men med ett avtal säkerställer du att ni är överens om alla villkor för behandlingen. Det är den personuppgiftsansvarige som ansvarar för att avtalet finns på plats.
En organisation eller företag som behandlar personuppgifter är personuppgiftsansvarig. Den personuppgiftsansvarige bestämmer varför och på vilket sätt uppgifterna ska behandlas.
Om den som är personuppgiftsansvarig inte själv ska behandla de personuppgifter kan detta läggas ut detta på ett personuppgiftsbiträde. Dock kan inte personuppgiftsansvaret överlåtas. Även en fysisk person kan vara personuppgiftsansvarig till exempel om det gäller enskild firma.
Om hanteringen läggs är det den personuppgiftsansvarige som ska se till att det finns ett skriftligt avtal mellan er.
Personuppgiftsbiträde åtagande i avtalet
Endast behandla personuppgifter enligt dokumenterade instruktioner från den personuppgiftsansvarige.
Se till att personer som har behörighet att behandla personuppgifter hos biträdet omfattas av lagstadgad tystnadsplikt eller har skrivit på ett sekretessavtal eller liknande åtgärd för att försäkra sig om att uppgifter inte sprids.
Se till att säkerheten i tekniska system och i organisationen i övrigt är lämplig i förhållande till riskerna med behandlingen så att uppgifterna inte kan läcka ut.
Se till att det finns tekniska och organisatoriska möjligheter för den personuppgiftsansvarige att kunna svara på en enskilds begäran om att få utöva sina rättigheter, till exempel att få information och registerutdrag, rättelse samt radering.
Se till att skyldigheterna fullgörs för säkerhetsåtgärder, anmälan av personuppgiftsincidenter och information om sådana incidenter till de registrerade samt konsekvensbedömning och förhandssamråd som stöd till den personuppgiftsansvarige.
Radera eller återlämna alla personuppgifter till den personuppgiftsansvarige (beroende på vad den personuppgiftsansvarige väljer) när uppdraget avslutas och även radera alla kopior.
Säkerställa att den personuppgiftsansvarige får tillgång till den information som krävs för att visa att personuppgiftsbiträde fullgör sina skyldigheter samt att möjliggöra och bidra till inspektioner och andra granskningar som den personuppgiftsansvarige vill genomföra.
