Ett personuppgiftsbiträdesavtal, ofta förkortat PUB-avtal, är ett bindande avtal mellan en personuppgiftsansvarig och ett personuppgiftsbiträde. Det är det svenska namnet på det som på danska kallas databehandleraftale, och det krävs enligt artikel 28 i GDPR så snart någon behandlar personuppgifter för någon annans räkning.
Ansvarig och biträde
Den personuppgiftsansvariga är den som bestämmer ändamål och medel för behandlingen, alltså varför och hur uppgifterna ska användas. Personuppgiftsbiträdet behandlar uppgifterna på uppdrag av den ansvariga och bara enligt dokumenterade instruktioner. En webbutik är typiskt personuppgiftsansvarig, medan en leverantör som utför en tjänst åt butiken kan vara biträde.
Vad avtalet ska reglera
Enligt artikel 28 ska avtalet bland annat ange behandlingens föremål, varaktighet, art och ändamål, vilka typer av uppgifter och kategorier av registrerade det gäller, samt parternas skyldigheter. Biträdet ska bara agera på instruktion, hålla uppgifterna konfidentiella, vidta lämpliga säkerhetsåtgärder, ställa villkor för eventuella underbiträden, bistå med de registrerades rättigheter och radera eller återlämna uppgifterna när uppdraget är slut. Avtalet ska också ge rätt till granskning.
Varför det behövs
PUB-avtalet gör ansvaret tydligt. Utan det är det oklart vem som får göra vad med uppgifterna, och den ansvariga kan inte visa att behandlingen sker under kontrollerade former. Det är därför avtalet inte är en formalitet, utan ett krav i GDPR och en förutsättning för att lagligt kunna lägga ut behandling av personuppgifter på någon annan.