Ett personuppgiftsbiträde behandlar personuppgifter för den personuppgiftsansvariges räkning och enligt dennes instruktioner. Ett vanligt exempel är en extern leverantör som hanterar kunddata i ett system.
När ett företag arbetar med personuppgifter kan personuppgiftsbiträde vara en viktig del av bedömningen enligt GDPR. Reglerna gäller inte bara stora register. Även namn, e-postadresser, kundhistorik, bilder och annan information kan vara personuppgifter om de går att koppla till en person.
Ett vanligt exempel är ett företag som hanterar kundregister, personaluppgifter eller uppgifter i ett digitalt system. Om personuppgiftsbiträde är aktuellt behöver företaget kunna förklara varför uppgifterna behandlas, hur länge de sparas och vilka som får tillgång till dem.
Dataskydd handlar därför både om juridik och om praktiska rutiner. Företaget bör dokumentera sina bedömningar, begränsa åtkomsten och se till att uppgifter raderas eller ändras när reglerna kräver det. Det är också viktigt att skilja på den personuppgiftsansvariges ansvar och uppgifter som utförs av ett personuppgiftsbiträde.
Praktisk användning och kontroll
En konsekvensbedömning ska utgå från den planerade personuppgiftsbehandlingen, dess syfte, omfattning och vilka registrerade som berörs. Kartlägg datakällor, mottagare, lagringstid, tekniska system och eventuella överföringar utanför EU och EES. Bedöm sannolikhet och konsekvens för de registrerades rättigheter och friheter och dokumentera vilka skyddsåtgärder som minskar riskerna. Ansvarig organisation ska kunna visa hur bedömningen har gjorts och när den ska omprövas. Om hög risk kvarstår kan förhandssamråd med Integritetsskyddsmyndigheten krävas. Kontrollera den svenska myndighetens aktuella vägledning och dataskyddsförordningens lydelse innan behandlingen startar.
Kontrollen bör upprepas när regler, priser, räntor eller verksamhetens förutsättningar ändras. Ange vem som ansvarar för uppföljningen och när nästa bedömning ska göras. Spara ursprungliga uppgifter, beräkningsfil och beslutsdatum tillsammans. Jämför utfallet med planen och förklara större avvikelser. Kontrollera att samma definitioner och tidsperioder används i alla underlag. Om osäkerheten är stor bör resultatet visas som ett intervall och kompletteras med ett alternativt scenario.
Beskriv även vilka antaganden bedömningen bygger på och vilka uppgifter som saknas. Låt en annan person kontrollera beräkningen när beloppen är stora eller beslutet är svårt att ändra. Dokumentera slutsatsen kortfattat så att en senare granskning kan följa hur resultatet togs fram och varför den valda metoden användes.
