GDPR för SaaS- och techbolag präglas av en dubbelroll: företaget är personuppgiftsbiträde när det behandlar uppgifter för kundens räkning enligt instruktion, och personuppgiftsansvarigt när det självt bestämmer behandlingens ändamål och väsentliga medel, exempelvis för egen marknadsföring och personaladministration. Att hålla isär dessa roller är utgångspunkten för hela dataskyddsarbetet, eftersom skyldigheterna skiljer sig åt. Ovanpå det kommer den kedja av underbiträden – hostingleverantörer, analysverktyg, supportsystem – som ett modernt SaaS-bolag bygger på, och som ofta sträcker sig till USA. För svenska techbolag är dataskydd dessutom allt oftare ett säljkrav: enterprise-kunder granskar leverantörens efterlevnad innan avtal skrivs.
Viktigaste punkterna
- Ett SaaS-bolag kan vara biträde och ansvarigt för olika behandlingar – den faktiska rollen styr skyldigheterna.
- Som biträde krävs ett personuppgiftsbiträdesavtal med varje kund och kontroll över hela underbiträdeskedjan (art. 28.4).
- Underbiträden i USA kräver en giltig överföringsmekanism efter Schrems II – EU–USA:s dataskyddsramverk eller standardavtalsklausuler med bedömning.
- Produktanalys som skickar data till tredje land berörs direkt av IMY:s Google Analytics-beslut.
- Inbyggt dataskydd är inte bara ett krav enligt art. 25 utan ett konkurrensargument i upphandlingar.
Dubbelrollen: biträde och ansvarig
Den enskilt viktigaste distinktionen för ett SaaS-bolag är vem som bestämmer ändamålen. När kunden bestämmer behandlingens ändamål och väsentliga medel kan SaaS-bolaget behandla kundens uppgifter för kundens räkning. SaaS-bolaget behandlar dem bara enligt kundens instruktioner och är därmed personuppgiftsbiträde. För egen marknadsföring och personaladministration bestämmer bolaget normalt självt ändamålen och är personuppgiftsansvarigt. Kontouppgifter och loggar behöver däremot bedömas per användning: de kan behandlas på kundens instruktion eller för ett eget ändamål. IMY:s vägledning om rollerna utgår från vem som faktiskt bestämmer över behandlingen; avtalets etikett eller datakategorin avgör inte ensam.
| Datakategori | Bolagets roll |
|---|---|
| Kundens data i tjänsten | Biträde när behandlingen sker för kundens räkning enligt instruktion |
| Kontoinnehavare/användare | Bedöm ändamål och väsentliga medel för respektive behandling |
| Leads och marknadsföring | Personuppgiftsansvarig |
| Anställda | Personuppgiftsansvarig |
| Produktanalys och loggar | Beror på ändamål – ofta ansvarig |
Konsekvensen är att bolaget behöver två spår i sitt dataskyddsarbete: biträdesspåret (avtal, instruktioner, underbiträden, säkerhet) och det egna ansvarsspåret (rättslig grund, information, gallring). Att blanda ihop dem är ett vanligt fel – till exempel att tro att kundens biträdesavtal täcker bolagets egen marknadsföring.
Gränsdragningen får också praktiska följder för hur bolaget svarar på registrerades förfrågningar. Om en av kundens användare begär tillgång till eller radering av sina uppgifter är det kunden – den personuppgiftsansvarige – som ska besvara begäran, medan SaaS-bolaget bara ska bistå enligt biträdesavtalet. När begäran gäller en behandling som bolaget självt ansvarar för ska bolaget däremot besvara den. Ett bolag som inte har klart för sig vilken roll det har i varje enskilt fall riskerar antingen att agera utan grund på kundens data eller att missa sin egen skyldighet. Att kartlägga dataflödena och rollerna för varje kategori är därför den första och viktigaste övningen ett växande SaaS-bolag bör göra.
Biträdesavtal och underbiträden
Som biträde ska bolaget teckna ett personuppgiftsbiträdesavtal med varje kund, och avtalet ska binda bolaget vid de skyldigheter artikel 28.3 räknar upp. Den känsligaste punkten är underbiträden: bolaget får inte anlita ett underbiträde utan kundens tillstånd, och samma dataskyddsskyldigheter ska åläggas underbiträdet genom avtal (art. 28.4). Ett SaaS-bolag har i praktiken alltid underbiträden – molnhosting, e-postutskick, support, betalning, analys – och måste därför föra en aktuell förteckning över dem och en process för att informera kunderna om ändringar. Kunderna, som är personuppgiftsansvariga, förlitar sig på att denna kedja är dokumenterad och laglig.
Tredjelandsöverföring efter Schrems II
Den vanligaste dolda risken i ett SaaS-bolags underbiträdeskedja är att ett led finns i USA. Efter EU-domstolens Schrems II-dom krävs för överföring till tredjeland en giltig mekanism och ofta en kompletterande bedömning av mottagarlandets skyddsnivå. Sedan EU–USA:s dataskyddsramverk (Data Privacy Framework) trädde i kraft 2023 kan överföringar till certifierade amerikanska mottagare vara lagliga, men bolaget måste kontrollera att just dess underbiträde omfattas och komplettera med standardavtalsklausuler där så inte är fallet. Reglerna behandlas i vår guide om tredjelandsöverföring.
IMY:s beslut mot Tele2 (12 miljoner kronor) och CDON (300 000 kronor) 2023 gällde just överföring av personuppgifter till USA via Google Analytics. För ett SaaS-bolag är detta direkt relevant på två sätt: dels för den egna produktanalysen, dels för att bolagets kunder ställer samma fråga om bolagets tjänst. Att kunna redogöra för var data behandlas och vilken mekanism som gäller är därför både en efterlevnads- och en säljfråga.
Privacy by design som säljargument
För ett techbolag är inbyggt dataskydd enligt artikel 25 inte bara en rättslig skyldighet utan ett affärskrav. Enterprise-kunder och offentliga upphandlare skickar allt oftare säkerhets- och dataskyddsfrågeformulär innan de köper: hur hanteras åtkomst, kryptering, gallring, loggning och datalokalisering? Ett bolag som byggt in dataskydd från start – dataminimering, kryptering, EU-baserad lagring som förval, dokumenterade underbiträden – klarar dessa granskningar snabbare och vinner affärer. Ett bolag som inte gjort det fastnar i due diligence eller tappar affären. Dataskydd är alltså inte bara en kostnad utan en kvalificeringsfaktor i B2B-försäljning.
Säkerhet, incidenter och loggning
Artikel 32 kräver lämplig säkerhet även av personuppgiftsbiträden. Incidentberedskapen ska motsvara verksamhetens risker och faktiska drift. När bolaget får kännedom om en personuppgiftsincident ska det enligt artikel 33.2 underrätta de berörda personuppgiftsansvariga utan onödigt dröjsmål. IMY:s vägledning om biträdets incidentansvar klargör att biträdet inte först ska avgöra om risken motiverar en myndighetsanmälan. Den ansvarige gör den bedömningen enligt artikel 33.1 och anmäler utan onödigt dröjsmål, om möjligt inom 72 timmar efter kännedom, om det inte är osannolikt att incidenten medför risk för enskildas rättigheter och friheter. Alla tekniska störningar är inte personuppgiftsincidenter, och alla kunder behöver inte vara berörda. Rutinen ska identifiera berörda behandlingar, rätt kontaktpersoner och hur information kompletteras.
Loggning är en annan central punkt. För att kunna utreda incidenter och visa efterlevnad behöver bolaget logga åtkomst till kunddata – men loggarna är i sig personuppgifter som ska minimeras och gallras. Ett väl designat SaaS-bolag bygger in loggning, kryptering i vila och i transit, rollbaserad åtkomst och separation mellan kunders data som grundfunktioner, inte som tillval. Detta är inbyggt dataskydd i praktiken, och det är precis dessa åtgärder enterprise-kunderna granskar innan de köper. En incidentrutin som är dokumenterad, testad och kopplad till kundavtalen är därför både en efterlevnads- och en förtroendefråga.
Vanliga frågor
Är vårt SaaS-bolag biträde eller ansvarigt?
Ni kan ha båda rollerna för olika behandlingar. När ni behandlar uppgifter för kundens räkning enligt instruktion är ni biträde. När ni själva bestämmer ändamål och väsentliga medel är ni ansvariga; vid gemensamt bestämmande kan gemensamt ansvar uppstå. Bedöm även kontouppgifter och loggar efter hur de faktiskt används.
Behöver vi tillstånd från kunderna för våra underleverantörer?
Ja. Som biträde får ni inte anlita ett underbiträde utan kundens tillstånd, och ni ska ålägga underbiträdet samma dataskyddsskyldigheter genom avtal (art. 28.4). I praktiken hanteras detta genom en förteckning över underbiträden i biträdesavtalet och en process för att informera kunderna om ändringar.
Får vi använda amerikanska molntjänster som underbiträden?
Ja, om överföringen har en giltig mekanism. Efter Schrems II krävs att den amerikanska leverantören omfattas av EU–USA:s dataskyddsramverk eller att ni tecknat standardavtalsklausuler och gjort en bedömning av skyddsnivån. Ni måste kunna redogöra för var data behandlas och vilken mekanism som gäller.
Slutsats
GDPR för SaaS- och techbolag börjar med rollbedömningen för varje behandling: vem bestämmer ändamål och väsentliga medel, och vem behandlar för någon annans räkning? Teckna biträdesavtal med varje kund, håll underbiträdeskedjan dokumenterad och laglig, säkra tredjelandsöverföringarna efter Schrems II och bygg in dataskydd från start – det senare är både ett krav enligt artikel 25 och ett säljargument i enterprise-affärer. Grunden finns i dataskyddsförordningen och i IMY:s vägledning, och överföringsreglerna preciseras av EDPB.
Fördjupande läsning: