Att ha ett personuppgiftsbiträdesavtal på plats är en förutsättning för att leva upp till kraven i GDPR. Men det är långt ifrån tillräckligt.
Verkligt dataskydd handlar inte bara om vad som står i avtalet – utan om vad som faktiskt sker i praktiken. Följer era personuppgiftsbiträden sina åtaganden? Lever de upp till kraven på säkerhet, transparens och ansvarstagande? Och hur vet ni det – ett, två eller fem år efter att avtalet skrevs på?
Här får du konkreta tips på hur du systematiskt följer upp personuppgiftsbiträden över tid – med struktur, dokumentation och tydlig ansvarsfördelning.
Ett personuppgiftsbiträde är en extern aktör som behandlar personuppgifter för den personuppgiftsansvariges räkning – till exempel en IT-leverantör, molntjänst eller HR-tjänst. Det kan handla om allt från registerhantering till utskick, lagring eller analys.
För att säkerställa att dessa aktörer hanterar uppgifterna korrekt kräver GDPR att det finns ett skriftligt avtal – ett personuppgiftsbiträdesavtal – som tydligt reglerar syftet, säkerhetskraven och ansvarsfördelningen i behandlingen.
Men bara för att ett sådant avtal finns betyder det inte att biträdet automatiskt följer det. Och det är just därför löpande uppföljning är så viktig.
Det är lätt att tänka att avtalet är målet – men i realiteten är det bara starten på relationen.
Avtalet ska ange villkor, ansvar och instruktioner – men det säger ingenting om hur biträdet faktiskt hanterar personuppgifter i praktiken. Riskerna uppstår inte vid signering, utan när tekniken förändras, organisationen växer, tjänster läggs till eller rutiner inte följs.
Många dataskyddsombud och inköpare märker att det inte finns någon tydlig process för att följa upp personuppgiftsbiträden efter att avtal är på plats. Därför krävs det mer än bara juridik – det krävs ett arbetssätt.
Enligt GDPR artikel 28.1 ska den personuppgiftsansvarige endast anlita personuppgiftsbiträden som garanterar att de uppfyller kraven i förordningen – både vid avtalets ingående och därefter.
Om något går fel, som ett dataintrång eller en incident kopplad till biträdet, är det den personuppgiftsansvarige som är ytterst ansvarig.
Utan löpande uppföljning riskerar ni att:
Uppföljning handlar alltså om att visa att ni haft kontroll – inte bara trott att allt fungerat.
En god uppföljningsprocess är riskbaserad, återkommande och dokumenterad. Det betyder inte att varje biträde måste granskas lika ofta – men att det finns ett tydligt ramverk.
Följande delar bör ingå i en strukturerad uppföljning:
Tänk er en kommun som använder ett molnbaserat journalsystem för individärenden inom socialtjänsten. Leverantören är ett väletablerat bolag med ett giltigt personuppgiftsbiträdesavtal – men kommunen har inte följt upp dem på flera år.
Plötsligt framkommer det att leverantören har börjat använda ett nytt underbiträde i USA, utan att informera kommunen. Överföringen sker utan kompletterande skyddsåtgärder, vilket innebär en potentiell överträdelse av GDPR:s krav på tredjelandsöverföringar.
Kommunen riskerar tillsyn, förlorat förtroende och – i värsta fall – sanktionsavgift. Allt på grund av att det saknats en enkel rutin för regelbunden uppföljning.
Med rätt rutiner hade förändringen kunnat upptäckas i tid, riskbedömts och hanterats korrekt – med en uppdaterad biträdeslista och tydliga avtal.
Att underlåta uppföljning kan få större konsekvenser än många tror.
Konsekvenserna inkluderar:
Det handlar alltså inte bara om efterlevnad – utan om att minimera risk, bygga förtroende och visa ansvar. Ett välfungerande uppföljningssystem är en investering i långsiktig trygghet.
Uppföljning behöver inte vara komplicerat, men det kräver struktur. Här är några vanliga metoder:
Poängen är inte att skapa merarbete – utan att få verklig insyn i hur personuppgifter hanteras, och att kunna agera i tid vid avvikelser.
För att uppföljning inte ska kännas som en extra belastning är det smart att tänka livscykel – från upphandling till avslut.
Tips:
Ju mer naturligt uppföljningen är integrerad i era befintliga processer, desto större chans att den faktiskt genomförs – och gör nytta.
Det finns ingen fastställd frekvens i GDPR för hur ofta personuppgiftsbiträden ska följas upp – men principen om ansvarsskyldighet innebär att uppföljningen bör vara regelbunden, proportionerlig och riskbaserad.
Ett vanligt misstag är att bara göra en engångsgranskning. I praktiken kan detta leda till att viktiga förändringar hos biträdet går obemärkt förbi.
Generella rekommendationer:
Utöver det bör uppföljning alltid ske vid:
Att fastställa en egen uppföljningspolicy baserat på behandlingens känslighet kan minska både risk och arbetsbelastning.
Många organisationer har avtal men saknar kontroll. Här är några klassiska misstag:
Att etablera en tydlig struktur för uppföljning är ofta det som gör skillnaden mellan kontroll och osäkerhet.
Att följa upp personuppgiftsbiträden är bara ett av många viktiga områden inom dataskydd – men för många organisationer blir det lätt en isolerad uppgift utan struktur, ägarskap eller kontinuitet.
Med Privacy as a Service får ni ett helhetsgrepp om dataskyddsarbetet – inte bara på avtalsnivå, men i praktiken.
Tjänsten kombinerar:
Ni får hjälp att:
Med en personlig kontaktperson, tydlig projektplan och kontinuerlig uppföljning får ni inte bara kontroll på era personuppgiftsbiträden – ni får struktur och framdrift i hela dataskyddsarbetet.
Boka en demo idag och se hur Privacy as a Service kan hjälpa er att arbeta effektivt, långsiktigt och lagligt - på era villkor.