Svar:

I GDPR pratar man om två olika sorters roller, personuppgiftsansvarig och personuppgiftsbiträde.

Personuppgiftsansvarig är den som bestämmer varför personuppgifter ska behandlas (”ändamål”) och hur behandlingen ska gå till (”medel”). För att göra bedömningen av hur personuppgiftsansvaret fördelar sig är det ofta, när det gäller forskningssamarbeten, relevant att titta på om en part ensamt eller tillsammans med andra bestämmer forskningsfrågan, om parten bestämmer vilka typer av personuppgifter som behövs, insamlingsmetod, hur åtkomst/behörigheter ska fördelas och hur länge personuppgifterna ska behandlas.

Personuppgiftsbiträde är den som behandlar personuppgifter för den personuppgiftsansvariges räkning och endast (med visst utrymme att välja praktiska/icke-väsentliga lösningar) gör detta enligt instruktioner från den personuppgiftsansvarige. Om den andra parten endast behandlar personuppgifter enligt instruktion och inte har något eget forskningsändamål (eller annat ändamål) med behandlingen är denne ett personuppgiftsbiträde.

I forskningsprojekt uppstår ofta situationen att mer än en part är personuppgiftsansvarig, t.ex. att forskare vid UU och forskarkollega vid annat lärosäte gemensamt har kommit fram till en intressant forskningsfråga och de centrala uppläggen. Från ett GDPR-perspektiv föreligger då att gemensamt personuppgiftsansvar.

När det gäller gemensamt personuppgiftsansvar kräver GDPR att ett avtal (ett s.k. inbördes arrangemang) ingås mellan de gemensamt ansvariga där respektive roller och förhållande till de registrerade (de vars personuppgifter behandlas) beskrivs och regleras. Att ett gemensamt personuppgiftsansvar föreligger är inte detsamma som ett likadelat personuppgiftsansvar. Tvärtom förekommer det att en part har en större del av ansvaret, och en annan part mindre del av ansvaret beroende på hur den praktiska situationen ser ut. Det måste inte heller vara samma eller identiska ändamål utan det kan vara skilda ändamål som hänger nära samman. Det är viktigt att det i avtalet om gemensamt personuppgiftsansvar tydligt beskrivs hur dessa omständigheter fördelar sig mellan de personuppgiftsansvariga. Juridiska avdelningen har tagit fram en mall för avtal om gemensamt personuppgiftsansvar som finns under ”Allmänt om avtal och mallar” på intranätet https://www.uu.se/medarbetare/stod-och-verktyg/juridik/allmant-om-avtal-och-mallar.

Om man istället kommer fram till att den andra parten är ett personuppgiftsbiträde behöver ett personuppgiftsbiträdesavtal (även kallat PUBA) ingås och mall för detta finns under ”Allmänt om avtal och mallar” på intranätet, https://www.uu.se/medarbetare/stod-och-verktyg/juridik/allmant-om-avtal-och-mallar.

När man fyller i dessa mallar är det bra att vara tydlig så att det inte råder oklarhet om vad som ska regleras. Personuppgiftsbiträdet får enbart göra det som står i personuppgiftsbiträdesavtalet och gör personuppgiftsbiträdet något utöver detta blir biträdet personuppgiftsansvarig för den otillåtna behandlingen.