Skillnaden mellan personuppgiftsansvarig och personuppgiftsbiträde avgörs av en enda fråga: vem bestämmer ändamålen och medlen för behandlingen? Den som beslutar varför och hur uppgifter behandlas är personuppgiftsansvarig; den som bara behandlar uppgifter för den ansvariges räkning enligt dennes instruktioner är personuppgiftsbiträde. Rollerna definieras i artikel 4.7 och 4.8 i dataskyddsförordningen. Den här guiden förklarar hur du avgör rollen, vad gemensamt personuppgiftsansvar innebär och några situationer där svenska verksamheter kan klassificera rollen fel.
För driftloggar behöver ni först förstå vilka uppgifter som faktiskt kan knytas till personer. Bedömningen av IP-adresser hjälper er avgränsa materialet innan ni bestämmer vem som styr loggningens ändamål och medel.
Viktigaste punkterna
- Den personuppgiftsansvarige bestämmer ändamål och medel; biträdet behandlar bara enligt instruktion.
- Rollen avgörs av faktiskt inflytande över behandlingen – inte av vad avtalet kallar parterna.
- Gemensamt personuppgiftsansvar (art. 26) uppstår när två parter tillsammans bestämmer ändamål och medel.
- Ett biträde som i strid med förordningen själv bestämmer ändamål och medel anses enligt artikel 28.10 vara ansvarigt för den behandlingen.
Den avgörande frågan: vem bestämmer ändamål och medel?
Rollen bestäms funktionellt, utifrån vem som har det verkliga inflytandet:
- Ändamålet = varför behandlas uppgifterna? Den som sätter syftet är ansvarig.
- Medlen = hur och med vilka verktyg? Den som bestämmer de väsentliga medlen är ansvarig.
Biträdet får bestämma icke-väsentliga medel – som vilken teknisk metod eller vilket serverval som används – men aldrig ändamålet. Om en leverantör faktiskt bestämmer ett separat ändamål för kunduppgifter, exempelvis egen marknadsföring, måste den rollen bedömas särskilt för just den behandlingen. Produktförbättring kan se olika ut: tjänstens tekniska underhåll på instruktion är inte automatiskt ett eget ändamål. Denna dubbelroll kan förekomma hos SaaS- och techbolag.
Ett typiskt exempel: ett företag anlitar en lönebyrå. Företaget bestämmer att lönerna ska hanteras och vilka anställda det gäller – det är ansvarigt. Lönebyrån utför behandlingen enligt uppdraget – den är biträde. Men om lönebyrån använder uppgifterna för att marknadsföra egna tjänster, är den ansvarig för just den behandlingen.
Rollen styrs av verkligheten, inte av avtalet
En möjlig missuppfattning är att parterna fritt kan välja roll i avtalet. Det stämmer inte. Rollen avgörs av det faktiska förhållandet – vem som i praktiken bestämmer över behandlingen. Ett avtal som kallar en part “biträde” hjälper inte om parten i verkligheten fattar egna beslut om ändamålen. IMY och EU-domstolen ser till substansen, inte etiketten. Det innebär att en felaktig rollklassificering i ett personuppgiftsbiträdesavtal inte skyddar någon – den skapar bara oklarhet om vem som bär ansvaret.
Gemensamt personuppgiftsansvar (artikel 26)
När två eller flera parter tillsammans bestämmer ändamål och medel är de gemensamt personuppgiftsansvariga. EU-domstolen har tolkat begreppet brett i flera avgöranden:
- I Wirtschaftsakademie-domen (C-210/16, 2018) slog domstolen fast att den som driver en Facebook-sida är gemensamt ansvarig med Facebook för behandlingen av besökarnas uppgifter, eftersom sidägaren bidrar till att bestämma ändamålen genom att beställa besöksstatistik.
- I Fashion ID-domen (C-40/17, 2019) ansågs en webbplats som bäddar in en Facebook “gilla”-knapp vara gemensamt ansvarig med Facebook för insamlingen och överföringen av besökarnas uppgifter – men inte för den efterföljande behandling som Facebook gör ensamt.
Vid gemensamt ansvar kräver artikel 26 att parterna i ett arrangemang klargör vem som ansvarar för vad, särskilt de registrerades rättigheter och informationsplikten. De registrerade kan dock utöva sina rättigheter mot vilken som helst av de gemensamt ansvariga. Europeiska dataskyddsstyrelsens riktlinjer 07/2020 om begreppen personuppgiftsansvarig och personuppgiftsbiträde ger den mest utförliga vägledningen om hur rollerna ska avgränsas och innehåller en rad konkreta exempel.
Det är värt att notera att gemensamt ansvar inte betyder lika ansvar. Parterna kan ansvara för olika delar av behandlingskedjan, och arrangemanget ska spegla det verkliga inflytandet var och en har. Fashion ID-domen illustrerar detta: webbplatsen var medansvarig för insamlingen och överföringen, men inte för Facebooks efterföljande behandling. En risk är att kopiera in en standardklausul om gemensamt ansvar utan att faktiskt fördela uppgifterna – då uppfyller man formen men inte kravet, och lämnar de registrerade utan en tydlig motpart.
Vanliga svenska felklassificeringar
Rollen kan bedömas fel i flera typer av relationer. Exemplen nedan är utgångspunkter, inte fasta klassificeringar:
| Aktör | Vanligt antagande | Ofta korrekt roll |
|---|---|---|
| IT-/molnleverantör | “De är ansvariga för sina system” | Biträde för kundens data |
| Lönebyrå | “De bestämmer över lönehanteringen” | Biträde (ansvarig för egen behandling) |
| Redovisningskonsult | “Alltid biträde” | Bedöm uppdraget och eventuella egna rättsliga skyldigheter per behandling |
| Bemanningsföretag | “Kunden är ansvarig” | Ofta självständigt ansvarig för sina anställda |
Redovisningskonsulten är det svåraste fallet. Redovisningskonsulten kan behandla kundens uppgifter på instruktion i ett moment och ha ett självständigt ansvar för en annan behandling som följer av egna skyldigheter. Det går inte att fastställa rollen enbart av yrkestiteln eller att uppdraget avser bokföring. Kartlägg vilka uppgifter som behandlas, vem som bestämmer syftet och vilka skyldigheter som faktiskt gäller i varje led.
Konsekvenserna av rollen
Rollen avgör vilka skyldigheter som gäller:
- Den ansvarige bär huvudansvaret: rättslig grund, information till registrerade, hantering av rättigheter, registerförteckning enligt artikel 30.1.
- Biträdet ska följa instruktioner, hjälpa den ansvarige, föra en förteckning enligt artikel 30.2 när den skyldigheten gäller, och får inte anlita underbiträden utan tillstånd (art. 28). Undantaget i artikel 30.5 för organisationer med färre än 250 personer gäller bara om dess villkor är uppfyllda; det gäller exempelvis inte viss riskfylld, icke-tillfällig eller särskilt skyddad behandling.
- Relationen ska regleras i ett personuppgiftsbiträdesavtal enligt artikel 28.3.
Fel roll ger fel dokumentation, fel avtal och oklart ansvar vid en incident. Att kartlägga varje relation korrekt är därför grunden för hela dokumentationen. Behöver din organisation ett dataskyddsombud för att hålla ihop detta, se guiden om när ett dataskyddsombud krävs. Om ni utvärderar verktyg kan jämförelsen av GDPR-programvara vara en separat läspunkt; bedöm ändå roller och avtalsinnehåll utifrån den faktiska behandlingen.
Samma organisation kan ha flera roller
Ett SaaS-företag kan vara biträde när det lagrar kundens anställdas uppgifter i kundens arbetsyta. Samma företag är däremot självständigt ansvarigt när det behandlar sina egna kundkontakter för fakturering eller rekryterar personal. Rollbedömningen ska därför beskriva behandlingen, inte ge företaget en enda etikett för all verksamhet. Börja med ändamålet och datamängden: kundens ärendehantering, leverantörens supportärenden och leverantörens fakturering kan vara tre skilda rader. Anteckna vem som beslutade att uppgifterna skulle samlas in, vilka kategorier som behövs och vem som bestämmer när de ska raderas.
En leverantör får välja praktiska tekniska metoder inom sitt uppdrag, till exempel hur en backup körs eller vilken skyddad server som används, så länge de väsentliga besluten och instruktionerna respekteras. Om leverantören däremot vill använda kundens innehåll för ett nytt eget ändamål behöver båda parter undersöka om det är tillåtet och vem som är ansvarig för just den användningen. En allmän klausul om ”produktutveckling” besvarar inte frågan om vilka personuppgifter som används eller om de är anonymiserade. Jämför även rollen med rättslig grund enligt GDPR för den aktör som faktiskt bestämmer ändamålet.
Ett arbetsprov för rollklassificering
Ta ett konkret flöde, till exempel en butik som skickar en kundlista till en e-postleverantör. Butiken väljer vilka kunder som får meddelandet, varför det skickas och vilka uppgifter som ska användas. Leverantören väljer hur utskicket tekniskt levereras inom instruktionen. För utskicket talar detta för butik som ansvarig och leverantör som biträde. Om leverantören själv lägger in adresserna i en egen marknadsföringsdatabas, uppstår en separat behandling som måste bedömas igen. Fråga då vem som kan besluta att den ska upphöra, vem som informerar kunderna och vilken grund som åberopas.
Byt sedan exempel till en molntjänst. Kunden bestämmer att lagra personalakter, medan tjänsten håller infrastrukturen. Det räcker inte att leverantören äger servern för att bli ansvarig för kundens akter. Men kunden behöver välja en leverantör som kan visa lämplig säkerhet och ett avtal med de skyldigheter artikel 28 kräver. Vid en personuppgiftsincident ska biträdet underrätta kunden utan onödigt dröjsmål enligt artikel 33.2. Kunden bedömer sedan om IMY och de registrerade måste underrättas enligt artiklarna 33 och 34. Ett avtal som bara säger ”rapportera enligt lag” är mindre användbart än kontaktväg, ansvarig jourfunktion och minsta informationsinnehåll.
Vad artikel 28-avtalet faktiskt ska innehålla
Ett biträdesavtal ska beskriva behandlingens föremål, varaktighet, art och ändamål, typen av personuppgifter, kategorier av registrerade samt den ansvariges skyldigheter och rättigheter. Därutöver behövs dokumenterade instruktioner, sekretess för behöriga personer, lämpliga säkerhetsåtgärder, villkor för underbiträden och hjälp med registrerades rättigheter samt incidenter. Avtalet ska också behandla återlämning eller radering när tjänsten upphör och tillgång till information för revision. IMY:s vägledning om biträdesavtal hjälper parterna att granska innehållet. En bilaga med system och dataflöden gör instruktionen möjlig att följa i praktiken.
Avtalet behöver hållas uppdaterat. När leverantören byter underbiträde bör kunden få den information och den möjlighet att invända som följer av den valda tillståndsmodellen. När kunden börjar använda tjänsten för nya uppgifter, exempelvis hälsodata i stället för enbart kontaktuppgifter, måste risk och instruktion prövas på nytt. Ett oförändrat standardavtal kan då ge sken av ordning trots att den faktiska behandlingen har förändrats. Leverantören ska kunna visa vad den gör på kundens instruktion och vad den gör för egna ändamål.
Gemensamt ansvar jämfört med två självständiga ansvariga
Två organisationer blir inte gemensamt ansvariga bara för att de utbyter personuppgifter. Om ett företag lämnar uppgifter till en myndighet som använder dem för sitt eget lagstadgade uppdrag kan båda vara självständigt ansvariga för sina respektive behandlingar. Gemensamt ansvar kräver att de tillsammans bestämmer ändamål och väsentliga medel för samma behandling eller del av den. Undersök därför vem som initierade insamlingen, vem som valde målgruppen, vilka beslut som var gemensamma och vilken del av kedjan samarbetet omfattar. Fashion ID visar varför bedömningen kan sluta vid insamling och överföring utan att omfatta mottagarens senare användning.
Ett arrangemang enligt artikel 26 ska tydliggöra vem som lämnar information till de registrerade och vem som hanterar rättigheter. Huvuddragen ska göras tillgängliga för de registrerade. Fördelningen mellan parterna får inte användas för att beröva personen rätten att vända sig till någon av dem. Praktiskt bör man därför skapa en gemensam kontaktväg eller åtminstone en rutin för att snabbt skicka en begäran till rätt team. När två självständiga ansvariga utbyter uppgifter behövs i stället en tydlig grund och information om utlämnandet, men artikel 26-avtal är inte automatiskt rätt instrument.
Frågor inför upphandling och omförhandling
Be leverantören beskriva vilka personuppgifter den får tillgång till, varför åtkomsten behövs, vilka underleverantörer som används och var de finns. Fråga vilka loggar som kan lämnas vid incident, hur snabbt kunden får ett första meddelande och hur uppgifter exporteras eller raderas när avtalet slutar. För uppgifter som kan överföras utanför EES behövs en separat kontroll av tredjelandsöverföring. Att tjänsten finns i Sverige bevisar inte att alla support- eller underbiträdesåtkomster sker här.
Internt bör varje behandling få en ägare som kan svara på frågorna. En konsekvensbedömning kan behövas när den planerade behandlingen sannolikt medför hög risk för enskilda; rollen som biträde tar inte bort den ansvariges skyldighet att bedöma behovet. Gör en enkel kartläggning av system, ändamål, parter, avtal och senaste kontroll. Om klassificeringen ändras, uppdatera information, register och instruktioner samtidigt. Det är bättre att dokumentera ett svårt gränsfall med motivering än att använda en kategorisk tabell som inte beskriver verksamheten.
Vanliga frågor
Kan vi själva bestämma om vi är ansvariga eller biträde i avtalet?
Nej. Rollen avgörs av det faktiska förhållandet – vem som bestämmer ändamål och medel – inte av vad avtalet kallar parterna. Ett avtal som felaktigt betecknar en part som biträde saknar verkan om parten i praktiken fattar egna beslut om behandlingen.
Vad är gemensamt personuppgiftsansvar?
Gemensamt personuppgiftsansvar (art. 26) uppstår när två eller flera parter tillsammans bestämmer ändamål och medel. De ska då i ett arrangemang klargöra sina respektive ansvar, särskilt för de registrerades rättigheter. EU-domstolen har tillämpat begreppet brett, bland annat på Facebook-sidor och inbäddade sociala plugin-knappar.
Är en molnleverantör personuppgiftsansvarig eller biträde?
Ofta biträde för kundens lagrade personuppgifter, eftersom kunden bestämmer ändamålen. Leverantören kan samtidigt vara ansvarig för egna kontakter eller fakturering. En separat användning av kunduppgifter för egna ändamål kräver en egen rollbedömning; drift, säkerhet och felrättning inom kundens uppdrag är inte automatiskt en sådan användning. Läs avtalet och kontrollera den faktiska tekniska behandlingen.
Kan ett biträde bli ansvarigt?
Ja. Enligt artikel 28.10 anses ett biträde som i strid med förordningen själv bestämmer ändamål och medel vara personuppgiftsansvarigt för den behandlingen. Det befriar inte automatiskt kunden från alla skyldigheter för sina egna behandlingar. Dokumentera vilken konkret aktivitet som ligger utanför instruktionen.
Slutsats
Rollfrågan avgörs av vem som bestämmer ändamål och medel, och rollen styrs av verkligheten – inte av avtalets rubrik. Personuppgiftsansvarig bär huvudansvaret; biträdet handlar på instruktion; gemensamt ansvar uppstår när parterna beslutar tillsammans. Gränsfall uppstår bland annat hos IT-leverantörer, lönebyråer och redovisningskonsulter; rollen måste prövas för varje faktisk behandling. Klassificera varje relation korrekt från början – det avgör vilken dokumentation, vilket avtal och vilket ansvar som gäller när något går fel.
I praktiken lönar det sig att göra en enkel inventering: lista alla externa parter som får tillgång till personuppgifter, och ställ för var och en frågan om vem som bestämmer ändamål och medel. Vissa relationer är enkla att beskriva, men gränsfallen – redovisningskonsulten, revisorn, bemanningsföretaget, marknadsföringsbyrån – kräver ett medvetet ställningstagande snarare än en slentrianmässig biträdesbeteckning. Dokumentera ställningstagandet innan en incident inträffar eller en registrerad utövar sina rättigheter. Då kan ni snabbt se vem som ska svara, vilken instruktion som gäller och om informationen till personen behöver ändras. Gå tillbaka till bedömningen när leverantörens ändamål, dataflöden eller avtal ändras.
Fördjupande läsning: Dataskyddsombud.
En kort beslutsanteckning kan innehålla fyra fält: behandlingens syfte, vem som bestämmer de väsentliga medlen, avtalets typ och vem som hanterar begäranden eller incidenter. Om parterna inte är överens om ett fält, lös frågan innan personuppgifterna förs över. Avtalet ska spegla rollen, inte skapa en roll som det faktiska arbetet motsäger.
Senast granskad: oktober 2026.