{"id":17321,"date":"2024-05-06T08:00:00","date_gmt":"2024-05-06T06:00:00","guid":{"rendered":"https:\/\/cleura.com\/?p=17321"},"modified":"2026-02-05T09:38:40","modified_gmt":"2026-02-05T08:38:40","slug":"hur-fordelas-personuppgiftsansvar-vid-anvandning-av-molntjanster","status":"publish","type":"post","link":"https:\/\/cleura.com\/sv\/molnguiden\/guide\/hur-fordelas-personuppgiftsansvar-vid-anvandning-av-molntjanster\/","title":{"rendered":"Hur f\u00f6rdelas personuppgiftsansvar vid anv\u00e4ndning av molntj\u00e4nster?"},"content":{"rendered":"\n

F\u00f6rfattare: Arman Borghem, Regulatory and Compliance Advisor p\u00e5 Cleura<\/em><\/p>\n\n\n\n

N\u00e4r en verksamhet ska anlita en extern tj\u00e4nsteleverant\u00f6r som ska behandla personuppgifter, s\u00e5som en molntj\u00e4nstleverant\u00f6r, s\u00e5 \u00e4r det vanligt att parterna ing\u00e5r ett personuppgiftsbitr\u00e4desavtal (PUB-avtal) enligt dataskyddsf\u00f6rordningen (GDPR).<\/p>\n\n\n\n

Det \u00e4r ofta en rimlig utg\u00e5ngspunkt att ing\u00e5 ett personuppgiftsbitr\u00e4desavtal.<\/p>\n\n\n\n

Men ibland blir det fel – eller s\u00e5 \u00e5terspeglar det inte hela relationen mellan parterna.<\/p>\n\n\n\n

Den h\u00e4r artikeln framf\u00f6r n\u00e5gra resonemang kring hur personuppgiftsansvaret kan f\u00f6rdelas vid anv\u00e4ndning av molntj\u00e4nster<\/a>.<\/p>\n\n\n\n

Till en b\u00f6rjan beh\u00f6ver vi f\u00f6rst\u00e5 vem som \u00e4r personuppgiftsansvarig respektive personuppgiftsbitr\u00e4de f\u00f6r vilken personuppgiftsbehandling<\/em>.<\/p>\n\n\n\n

Innan du l\u00e4ser vidare rekommenderas att du har en grundf\u00f6rst\u00e5else f\u00f6r begreppen personuppgiftsansvarig och personuppgiftsbitr\u00e4de. Det kan exempelvis vara bra att ta del IMY:s information<\/a>. Europeiska dataskyddsstyrelsens (EDPB) riktlinje om begreppen personuppgiftsansvarig och personuppgiftsbitr\u00e4de<\/a> kan ge en \u00e4nnu djupare f\u00f6rst\u00e5else. Riktlinjen inneh\u00e5ller en analys av begreppen samt flera fiktiva exempel d\u00e4r EDPB har bed\u00f6mt hur personuppgiftsansvaret ska f\u00f6rdelas.<\/p>\n\n\n\n

I den h\u00e4r artikeln f\u00f6rs resonemang om hur personuppgiftsansvaret kan f\u00f6rdelas vid anv\u00e4ndning av molntj\u00e4nster. Fr\u00e5gan analyseras utifr\u00e5n ett fiktivt exempel med ett enk\u00e4tverktyg som molntj\u00e4nst. Dessutom ber\u00f6rs tv\u00e5 exempel fr\u00e5n verkligheten.<\/p>\n\n\n\n

Personuppgiftsansvarig och personuppgiftsbitr\u00e4de<\/h2>\n\n\n\n

En verksamhet som anv\u00e4nder en molntj\u00e4nst uppfattar sig ofta slentrianm\u00e4ssigt som personuppgiftsansvarig medan molntj\u00e4nstleverant\u00f6ren (t.ex. ett SaaS-bolag) definieras som personuppgiftsbitr\u00e4de. \u00c4ven om det st\u00e4mmer i m\u00e5nga fall, finns det ocks\u00e5 situationer d\u00e4r en s\u00e5dan rollf\u00f6rdelning inte blir korrekt.<\/p>\n\n\n\n

Parterna kan visserligen avtala att deras roller ska f\u00f6rdelas p\u00e5 ett visst s\u00e4tt. Men om parternas roller i verkligheten \u00e4r annorlunda, s\u00e5 har verkligheten p\u00e5 marken f\u00f6retr\u00e4de. Det \u00e4r allts\u00e5 GDPR:s legaldefinitioner1<\/a><\/sup> av personuppgiftsansvarig och personuppgiftsbitr\u00e4de i f\u00f6rh\u00e5llande till de verkliga omst\u00e4ndigheterna som avg\u00f6r rollf\u00f6rdelningen – inte vad som st\u00e5r i ett PUB-avtal. Ett sk\u00e4l s\u00e5 gott som n\u00e5got f\u00f6r verksamheter och SaaS-leverant\u00f6rer att se till att deras avtal speglar verkligheten.<\/p>\n\n\n\n

Personuppgiftsansvar \u00e4r inte en best\u00e4md roll som f\u00f6ljer en verksamhet i allt den g\u00f6r. En verksamhet \u00e4r alltid personuppgiftsansvarig eller personuppgiftsbitr\u00e4de f\u00f6r specifik personuppgiftsbehandling<\/em>.<\/p>\n\n\n\n

En verksamhet som anv\u00e4nder en molntj\u00e4nst kan allts\u00e5 vara personuppgiftsansvarig f\u00f6r viss personuppgiftsbehandling i molntj\u00e4nsten medan molntj\u00e4nstleverant\u00f6ren \u00e4r personuppgiftsansvarig f\u00f6r annan personuppgiftsbehandling i molntj\u00e4nsten.<\/p>\n\n\n\n

Samma personuppgifter skulle dessutom kunna behandlas p\u00e5 olika s\u00e4tt, f\u00f6r olika \u00e4ndam\u00e5l. Det kan d\u00e4rmed finnas olika personuppgiftsansvariga f\u00f6r olika behandlingar av samma personuppgifter. En viktig utg\u00e5ngspunkt \u00e4r d\u00e4rf\u00f6r att analysera situationen utifr\u00e5n personuppgiftsbehandling<\/em> snarare \u00e4n (enbart) personuppgifter.<\/p>\n\n\n\n

Exempel: enk\u00e4tverktyg<\/h2>\n\n\n\n

L\u00e5t s\u00e4ga att en verksamhet ska anv\u00e4nda en molntj\u00e4nst och d\u00e4rf\u00f6r ing\u00e5r ett kommersiellt avtal med molntj\u00e4nstleverant\u00f6ren. D\u00e4refter \u00f6verf\u00f6rs personuppgifter till molntj\u00e4nsten, och uppgifterna behandlas i molntj\u00e4nsten p\u00e5 olika s\u00e4tt<\/em>. Det sker allts\u00e5 flera olika personuppgiftsbehandlingar<\/em> i molntj\u00e4nsten. Fr\u00e5gan \u00e4r nu: vem best\u00e4mmer \u00e4ndam\u00e5len och medlen med respektive personuppgiftsbehandling i molntj\u00e4nsten?<\/p>\n\n\n\n

L\u00e5t s\u00e4ga att molntj\u00e4nsten \u00e4r en SaaS-l\u00f6sning i form av ett enk\u00e4tverktyg. Verksamheten kan genom inloggning via webbl\u00e4sare skapa enk\u00e4ter, skicka ut enk\u00e4terna, samla in svaren och analysera dessa. Samtidigt vill SaaS-leverant\u00f6ren anv\u00e4nda vissa uppgifter f\u00f6r egna \u00e4ndam\u00e5l.<\/p>\n\n\n\n

Verksamhetens \u00e4ndam\u00e5l och leverant\u00f6rens \u00e4ndam\u00e5l<\/h3>\n\n\n\n

Verksamheten anv\u00e4nder enk\u00e4tverktyget f\u00f6r att skapa och skicka ut en n\u00f6jdhetsenk\u00e4t till sina intressenters kontaktpersoner, som besvarar enk\u00e4ten. Verksamheten vill f\u00f6rst\u00e5 hur n\u00f6jd respektive kontaktperson \u00e4r med hur samverkan med verksamheten fungerar.<\/p>\n\n\n\n

I denna del \u00e4r det allts\u00e5 verksamhetens \u00e4ndam\u00e5l som g\u00f6r att kontaktpersonernas personuppgifter behandlas. Det talar f\u00f6r att verksamheten \u00e4r personuppgiftsansvarig f\u00f6r personuppgiftsbehandlingen n\u00e4r verksamheten skickar ut enk\u00e4ten och kontaktpersonerna besvarar den.<\/p>\n\n\n\n

Personuppgiftsbehandlingen \u00e4ger visserligen rum<\/em> i enk\u00e4tverktyget, som leverant\u00f6ren tillhandah\u00e5ller, men denna personuppgiftsbehandling sker helt f\u00f6r verksamhetens \u00e4ndam\u00e5l. Leverant\u00f6ren av enk\u00e4tverktyget \u00e4r d\u00e5 endast ett personuppgiftsbitr\u00e4de f\u00f6r denna personuppgiftsbehandling, \u00e5 verksamhetens v\u00e4gnar.<\/p>\n\n\n\n

L\u00e5t oss dessutom anta att leverant\u00f6ren av enk\u00e4tverktyget vill m\u00e4ta n\u00e4r respondenter generellt sett tr\u00f6ttnar p\u00e5 att besvara enk\u00e4tfr\u00e5gor. Leverant\u00f6ren vill m\u00e4ta detta under 6 m\u00e5nader f\u00f6r samtliga enk\u00e4ter som leverant\u00f6rens kunder skapar, f\u00f6r att sedan analysera och ta fram statistik \u00f6ver hur m\u00e5nga enk\u00e4tfr\u00e5gor som \u00e4r l\u00e4mpliga att st\u00e4lla innan svarsfrekvensen g\u00e5r ner. Leverant\u00f6ren vill anv\u00e4nda denna kunskap f\u00f6r att:<\/p>\n\n\n\n

    \n
  1. addera tips och varningar i molntj\u00e4nsten om n\u00e5gon adderar m\u00e5nga fr\u00e5gor till en enk\u00e4t, samt<\/li>\n\n\n\n
  2. publicera en rapport p\u00e5 sin webbplats.<\/li>\n<\/ol>\n\n\n\n

    Leverant\u00f6ren vill g\u00f6ra detta p\u00e5 eget initiativ f\u00f6r att f\u00f6rb\u00e4ttra sin molntj\u00e4nst samt st\u00e4rka sitt varum\u00e4rke. Omst\u00e4ndigheterna talar f\u00f6r att leverant\u00f6ren d\u00e5 blir personuppgiftsansvarig f\u00f6r personuppgiftsbehandlingen n\u00e4r leverant\u00f6ren m\u00e4ter och analyserar respondenternas bortfall.<\/p>\n\n\n\n

    Samma personuppgifter – information om vilka respondenter som besvarat vilka fr\u00e5gor i enk\u00e4terna – skulle d\u00e5 bli f\u00f6rem\u00e5l f\u00f6r olika personuppgiftsbehandlingar<\/em> som utf\u00f6rs f\u00f6r olika \u00e4ndam\u00e5l<\/em>. Det ena \u00e4ndam\u00e5let h\u00f6r till verksamheten som skickar ut enk\u00e4ten, det andra \u00e4ndam\u00e5let h\u00f6r till leverant\u00f6ren av enk\u00e4tverktyget.2<\/a><\/sup><\/p>\n\n\n\n

    Det v\u00e4cker fr\u00e5gor om hur verksamheten och leverant\u00f6ren b\u00f6r reglera detta, vilken information som beh\u00f6ver l\u00e4mnas av vem, samt om och hur leverant\u00f6rens personuppgiftsbehandling f\u00f6r egna \u00e4ndam\u00e5l \u00f6ver huvud taget kan ske i enlighet med dataskyddsf\u00f6rordningen.<\/p>\n\n\n\n

    Personuppgiftsbitr\u00e4desavtalets gr\u00e4nser<\/h3>\n\n\n\n

    Den personuppgiftsbehandling i molntj\u00e4nsten som verksamheten best\u00e4mmer \u00e4ndam\u00e5let f\u00f6r (att f\u00f6rst\u00e5 kontaktpersonernas n\u00f6jdhet med hur samverkan fungerar), kr\u00e4ver att verksamheten och molntj\u00e4nstleverant\u00f6ren ing\u00e5r ett personuppgiftsbitr\u00e4desavtal.<\/p>\n\n\n\n

    Personuppgiftsbitr\u00e4desavtalet f\u00e5r dock endast<\/em> omfatta den behandling av personuppgifter som verksamheten best\u00e4mmer \u00e4ndam\u00e5len f\u00f6r.3<\/a><\/sup> Verksamheten \u00e4r ansvarig f\u00f6r att r\u00e4ttsligt bed\u00f6ma att denna personuppgiftsbehandling h\u00e5ller sig inom GDPR:s ramar. Det \u00e4r exempelvis verksamheten – inte molntj\u00e4nstleverant\u00f6ren – som ansvarar f\u00f6r att inh\u00e4mta korrekta samtycken fr\u00e5n kontaktpersonerna som besvarar enk\u00e4terna, om verksamheten f\u00f6rlitar sig p\u00e5 samtycke som r\u00e4ttslig grund f\u00f6r att samla in enk\u00e4tsvaren.<\/p>\n\n\n\n

    Verksamheten \u00e4r ocks\u00e5 skyldig att uppfylla sina \u00f6vriga GDPR-skyldigheter, som att informera respondenterna om den personuppgiftsbehandling som verksamheten \u00e4r personuppgiftsansvarig f\u00f6r.<\/p>\n\n\n\n

    Molntj\u00e4nstleverant\u00f6rens m\u00e4tningar och analys av respondenternas bortfall h\u00f6r d\u00e4remot inte hemma i personuppgiftsbitr\u00e4desavtalet mellan verksamheten och leverant\u00f6ren. Den personuppgiftsbehandlingen \u00e4r leverant\u00f6ren personuppgiftsansvarig f\u00f6r. Leverant\u00f6ren ansvarar f\u00f6r att avg\u00f6ra om den \u00f6ver huvud taget har en r\u00e4ttslig grund och r\u00e4ttslig m\u00f6jlighet i \u00f6vrigt att genomf\u00f6ra denna personuppgiftsbehandling.<\/p>\n\n\n\n

    Till saken h\u00f6r att artikel 28.3<\/a> a GDPR kr\u00e4ver att ett personuppgiftsbitr\u00e4desavtal ska ange att personuppgiftsbitr\u00e4det \u201dendast f\u00e5r behandla personuppgifter p\u00e5 dokumenterade instruktioner fr\u00e5n den personuppgiftsansvarige\u201d.4<\/a><\/sup><\/p>\n\n\n\n

    Det betyder att om personuppgifterna redan har h\u00e4mtats in och behandlas i molntj\u00e4nsten inom ramen f\u00f6r personuppgiftsbitr\u00e4desavtalet, s\u00e5 beh\u00f6ver leverant\u00f6ren p\u00e5 n\u00e5got s\u00e4tt lagligen f\u00e5 tillg\u00e5ng till personuppgifterna utanf\u00f6r<\/em> personuppgiftsbitr\u00e4desavtalets ram f\u00f6r att f\u00e5 behandla dem f\u00f6r sina egna \u00e4ndam\u00e5l. Annars g\u00e4ller ju personuppgiftsbitr\u00e4desavtalets begr\u00e4nsningar, som hindrar leverant\u00f6ren fr\u00e5n att behandla personuppgifterna f\u00f6r sina egna \u00e4ndam\u00e5l.<\/p>\n\n\n\n

    Kan ett utl\u00e4mnande fr\u00e5n kund till leverant\u00f6r fungera?<\/h3>\n\n\n\n

    I f\u00f6ljande avsnitt framf\u00f6rs ett resonemang om ett potentiellt s\u00e4tt att hantera situationen, utan att utesluta att det kan finnas andra metoder.<\/p>\n\n\n\n

    En m\u00f6jlig v\u00e4g skulle kunna vara att verksamheten som anv\u00e4nder enk\u00e4tverktyget l\u00e4mnar ut<\/em> personuppgifterna till leverant\u00f6ren, utanf\u00f6r personuppgiftsbitr\u00e4desavtalets ram.<\/p>\n\n\n\n

    D\u00e5 skulle en sj\u00e4lvst\u00e4ndig personuppgiftsansvarig (verksamheten som anv\u00e4nder enk\u00e4tverktyget) l\u00e4mna ut personuppgifter om enk\u00e4tsvaren till en annan sj\u00e4lvst\u00e4ndig personuppgiftsansvarig (leverant\u00f6ren som tillhandah\u00e5ller enk\u00e4tverktyget). Utl\u00e4mnandet blir h\u00e4r en r\u00e4ttslig konstruktion, eftersom personuppgifterna rent praktiskt redan finns i enk\u00e4tverktyget d\u00e4r leverant\u00f6ren kan komma \u00e5t dem.<\/p>\n\n\n\n

    Utmaningen med denna l\u00f6sning \u00e4r att verksamhetens utl\u00e4mnande<\/em> av personuppgifterna till leverant\u00f6ren, i sig \u00e4r en personuppgiftsbehandling. Verksamheten som anv\u00e4nder enk\u00e4tverktyget (och som vill l\u00e4mna ut personuppgifterna s\u00e5 att leverant\u00f6ren kan anv\u00e4nda dem f\u00f6r sina egna \u00e4ndam\u00e5l), m\u00e5ste d\u00e4rmed:<\/p>\n\n\n\n