Ett personuppgiftsbiträdesavtal reglerar hur en extern part får behandla personuppgifter för den personuppgiftsansvariges räkning. Artikel 28 kräver ett bindande skriftligt avtal eller en annan bindande rättsakt enligt unionsrätten eller en medlemsstats nationella rätt; elektronisk form fungerar också. I vanliga kommersiella relationer används ett avtal, ofta med bilagor för instruktioner, säkerhet och underbiträden. Dokumentationen ska vara på plats när den aktuella biträdesbehandlingen börjar.
Avtalet ersätter inte den personuppgiftsansvariges rättsliga grund enligt artikel 6 och gör inte en olaglig behandling tillåten. Det räcker inte heller att skriva under en standardtext som beskriver en annan tjänst än den ni köper. Den här guiden visar hur svenska verksamheter avgör när artikel 28 gäller, granskar villkoren och fyller avtalsbilagorna med användbar information. Arbetsmallen längre ned hjälper till att samla underlaget; den är inte ett färdigt avtal för varje leverantörsrelation.
Avgör rollen innan ni väljer avtal
Den personuppgiftsansvarige bestämmer behandlingens ändamål och väsentliga medel. Ett biträde är en separat aktör som behandlar uppgifter för den ansvariges räkning. Rollen följer den faktiska uppgiften, inte bara rubriken på avtalet. En leverantör kan ha olika roller i olika delar av samma relation. Därför behöver ni avgränsa vilken behandling varje dokument gäller innan ni kräver att leverantören undertecknar ett generellt PUB-avtal.
En löneleverantör kan exempelvis vara biträde när den beräknar och administrerar löner enligt arbetsgivarens uppdrag. En annan mottagare kan behöva behandla uppgifter för egna självständiga rättsliga ändamål. Att båda får samma uppgifter gör dem inte till samma slags aktör. Gränsen mellan ansvarig och biträde behöver bedömas utifrån besluten om varför och hur uppgifterna används. En leverantörs rätt att välja viss teknisk lösning innebär inte automatiskt att den bestämmer egna ändamål.
Om två parter tillsammans bestämmer ändamål och väsentliga medel kan artikel 26 om gemensamt personuppgiftsansvar bli aktuell. Det kräver en annan ansvarsfördelning än artikel 28. Om parterna däremot är självständigt ansvariga för sina respektive behandlingar blir ett biträdesavtal inte rätt bara för att det finns en överföring mellan dem. Dokumentera analysen och koppla den till registerförteckningen. Då kan nästa granskare förstå relationen utan att börja med leverantörens marknadsföringsbeskrivning.
Välj ett biträde som kan lämna tillräckliga garantier
Artikel 28.1 kräver att den ansvarige endast anlitar biträden som ger tillräckliga garantier för lämpliga tekniska och organisatoriska åtgärder. Bedömningen ska därför omfatta mer än om leverantören har en färdig avtalsfil. Fråga vilka uppgifter tjänsten kommer att behandla, hur åtkomst styrs, hur incidenter hanteras och hur uppgifter kan lämnas tillbaka eller tas bort. Anpassa kontrollens djup till behandlingen och riskerna; samma underlag behöver inte vara tillräckligt för både en enkel bokningslista och omfattande känsliga uppgifter.
Certifieringar, revisionsrapporter och andra försäkringar kan vara värdefulla, men kontrollera omfattning, datum och eventuella undantag. Ett certifikat för en viss driftmiljö säger inte automatiskt något om supportorganisationen eller en tilläggstjänst. Be om förklaringar till relevanta avvikelser och bestäm vem som godkänner kvarstående risker. För SaaS-tjänster behöver den juridiska och tekniska granskningen avse de funktioner som faktiskt aktiveras, inte bara leverantörens huvudsakliga produktnamn.
Beskriv uppdraget så att instruktionerna går att följa
Avtalet ska ange behandlingens föremål, varaktighet, art och ändamål, typer av personuppgifter, kategorier av registrerade samt den ansvariges rättigheter och skyldigheter. Formuleringen ”alla uppgifter som kunden laddar upp” hjälper sällan parterna att förstå vilka risker som ska hanteras. Beskriv hellre de tillåtna aktiviteterna och de uppgiftskategorier som behövs. Om tjänsten inte ska innehålla känsliga uppgifter bör både instruktioner och praktisk användning stödja den avgränsningen.
Dokumenterade instruktioner kan finnas i avtalet och kompletteras genom en överenskommen skriftlig kanal. Bestäm vem hos den ansvarige som får ge instruktioner och hur ändringar godkänns. En supportbeställning ska inte oavsiktligt utvidga ändamålet eller öppna en ny överföring. Vid en ny funktion behöver parterna kontrollera om den ryms i uppdraget, vilka nya uppgifter som behandlas och om bilagorna eller skyddsåtgärderna måste uppdateras.
Ett konkret granskningssätt är att följa en hypotetisk lönekörning. Vilka filer lämnas till biträdet, vilka uppgifter skapas under arbetet och vilka skickas tillbaka? Undersök sedan ett undantag, exempelvis en felaktig betalningsuppgift som måste rättas. Om avtalet bara nämner lagring men tjänsten också skickar uppgifter vidare, behöver beskrivningen kompletteras. Samma metod kan visa om en leverantör behöver kunna se hela personalakten eller bara ett begränsat underlag. Slutsatserna bör påverka både instruktionen och behörigheterna, så att avtalet blir möjligt att följa.
När underlaget är klart bör verksamheten utse den som accepterar tjänstens upplägg och den som bevakar förändringar. Inköpsavdelningen kan administrera avtalet medan tjänsteägaren bedömer användningen och säkerhetsansvariga granskar skyddet. Det viktiga är att ett obesvarat krav inte försvinner mellan funktionerna. Notera vilka frågor som lösts, vilka villkor som ändrats och vad som behöver följas upp innan fler uppgifter eller funktioner läggs till. Detta är en rekommenderad arbetsfördelning, inte ett lagkrav på vissa avdelningar eller befattningstitlar.
Dokumenterade instruktioner och lagstadgade undantag
Biträdet ska endast behandla uppgifter enligt dokumenterade instruktioner, även när det gäller överföringar. Undantaget avser behandling som krävs enligt unionsrätten eller en medlemsstats nationella rätt som biträdet omfattas av. I så fall ska biträdet informera den ansvarige om det rättsliga kravet före behandlingen, om inte den aktuella rätten förbjuder detta av viktiga allmänintresseskäl. En allmän klausul om att leverantören får använda uppgifter när valfri utländsk lag kräver det återger inte undantaget korrekt.
Biträdet ska också omedelbart informera den ansvarige om en instruktion enligt dess uppfattning strider mot GDPR eller andra relevanta dataskyddsbestämmelser. Avtalet bör ge en praktisk väg för att pausa och reda ut sådana instruktioner. Det är inte tillräckligt att hänvisa till att kunden alltid bestämmer. Om leverantören själv bestämmer ändamål och medel i strid med reglerna kan den enligt artikel 28.10 bli ansvarig för den behandlingen.
Konfidentialitet och säkerhet behöver konkret innehåll
Behöriga personer hos biträdet ska ha åtagit sig konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt. Kravet ska täcka de personer som får behandla uppgifterna under biträdets ansvar, även relevant inhyrd personal. Det betyder inte att varje relation kräver en separat standardiserad tystnadsförbindelse om en tillräcklig lagstadgad skyldighet redan gäller. Däremot måste behörigheten och skyddet fungera när personal börjar, byter uppgift eller slutar.
Säkerhetsbilagan ska ange relevanta tekniska och organisatoriska åtgärder enligt artikel 32. Förklara exempelvis hur åtkomst begränsas, hur uppgifter skyddas vid överföring och hur återställning och kontroll fungerar. Undvik att endast skriva att säkerheten är ”branschstandard”. Parterna ska kunna bedöma om åtgärderna passar uppgifterna och användningen. Förändringar i säkerheten behöver dessutom hanteras så att det överenskomna skyddet inte försvinner genom en ensidig produktuppdatering.
Underbiträden: tillstånd, information och fortsatt ansvar
Biträdet får inte anlita ett annat biträde utan särskilt eller allmänt skriftligt förhandstillstånd. Vid ett allmänt tillstånd ska den ansvarige informeras om planerade tillägg eller utbyten och få möjlighet att invända. En lista som bara ändras i bakgrunden utan en fungerande informationsprocess kan därför vara otillräcklig. Avtala om hur informationen lämnas, vilken beskrivning som följer med och hur invändningar hanteras före den planerade förändringen.
Tillståndet besvarar inte alla frågor. Den ansvarige behöver förstå vilken del av behandlingen underbiträdet utför och vilken åtkomst eller plats som är relevant. En underleverantör som aldrig behandlar personuppgifter för uppdraget är inte automatiskt ett underbiträde. Om en part faktiskt utför sådan behandling måste den däremot omfattas av rätt regler även om leverantören ger den en annan etikett. Kartlägg den verkliga kedjan, inklusive teknisk support när den får relevant tillgång.
Enligt artikel 28.4 ska samma dataskyddsskyldigheter som gäller för det delegerade uppdraget föras vidare genom avtal eller annan bindande rättsakt. Det ursprungliga biträdet förblir fullt ansvarigt gentemot den ansvarige för underbiträdets fullgörande av skyldigheterna. Ett avtal kan alltså inte lösa frågan genom att bara hänvisa kunden till nästa leverantör. Kontrollen behöver samtidigt vara praktisk: vilka garantier har lämnats, hur följs de upp och hur når en viktig ändring den som faktiskt fattar beslut?
Stöd vid rättighetsbegäranden och incidenter
Biträdet ska, med hänsyn till behandlingens art, bistå den ansvarige genom lämpliga tekniska och organisatoriska åtgärder så långt det är möjligt när registrerade utövar sina rättigheter. Beskriv hur uppgifter hittas, exporteras, rättas, begränsas eller raderas. Biträdet bör veta vart en begäran ska skickas och hur den bevaras. Det är vanligtvis den ansvarige som bedömer rättighetens tillämpning; en leverantör ska inte själv radera nödvändigt underlag utan att följa den avtalade instruktionen.
Biträdet ska även bistå med skyldigheterna enligt artikel 32–36 med hänsyn till behandlingens art och den information det har tillgång till. Det omfattar bland annat säkerhet, incidenter, konsekvensbedömning och förhandssamråd. Stödet måste kunna genomföras inom de tidsramar som den ansvarige har. Om exporten bara kan beställas genom en lång vanlig supportkö behöver processen förbättras, annars kan en rättighet eller incidentfrist missas trots att avtalet formellt nämner hjälp.
Vid en personuppgiftsincident ska biträdet underrätta den ansvarige utan onödigt dröjsmål efter att ha fått vetskap om incidenten. Biträdet har ingen egen allmän 72-timmarsfrist att vänta ut. Den ansvariges eventuella anmälan till tillsynsmyndigheten ska ske utan onödigt dröjsmål och, om möjligt, inom 72 timmar efter vetskap, såvida det inte är osannolikt att incidenten medför en risk för människors rättigheter och friheter. Sen anmälan ska motiveras. Alla personuppgiftsincidenter dokumenteras; information till drabbade vid hög risk bedöms separat enligt artikel 34.
Avtalet kan ge mer konkreta och strängare kontaktkrav, men skilj sådana avtalsval från lagens formulering. Rutinen för personuppgiftsincidenter behöver ange kontaktväg, första kända fakta, kompletteringar och bevarande av underlag. En ofullständig första rapport kan följas av mer information. Kräv inte att biträdet väntar tills hela orsaken är utredd, eftersom det kan förhindra den ansvarige från att uppfylla sina egna skyldigheter.
Biträdesavtal och internationella överföringar
Ett vanligt PUB-avtal uppfyller inte automatiskt kraven i GDPR:s kapitel V. I bedömningen av tredjelandsöverföringar behöver ni undersöka om uppgifter görs tillgängliga för en mottagare utanför EES, exempelvis genom support eller ett underbiträde. Bedöm den faktiska åtkomsten och mottagaren; både ett påstående om att all data ligger i EU och ett generellt antagande om att varje utländskt ägarförhållande är en överföring kan bli missvisande. Underlaget måste beskriva den aktuella tjänsten.
EU-kommissionens standardklausuler för biträdesrelationer enligt beslut 2021/915 ska skiljas från överföringsklausulerna enligt beslut 2021/914. Den första uppsättningen löser inte på egen hand en tredjelandsöverföring. Vägledningen om SCC och bilagor hjälper till med de olika dokumentens funktion. När en överföringsmekanism används måste dess villkor och eventuella kompletterande bedömningar uppfyllas; klausulernas namn i en bilaga är inte hela kontrollen.
Avslut: återlämning, radering och kopior
Vid tjänstens slut ska biträdet, enligt den ansvariges val, radera eller återlämna personuppgifterna och radera befintliga kopior, om inte unionsrätt eller nationell rätt i en medlemsstat kräver lagring. Även återlämningsalternativet omfattar alltså kopiorna som finns kvar hos biträdet. Avtalet bör ange exportformat, tidplan, verifiering och hantering av underbiträden. Kontrollera detta innan relationen inleds; när tjänsten redan stängts kan ett nödvändigt uttag vara betydligt svårare.
Säkerhetskopior och tekniska begränsningar kräver en genomtänkt lösning, inte ett obegränsat undantag från radering. Beskriv hur data spärras från vanlig användning, när kopior tas bort och hur en återställning förhindrar att redan raderade uppgifter återgår till aktiv behandling. GDPR anger inte en generell teknisk raderingsfrist i timmar för alla sådana situationer. Tidsplanen måste ändå följa kraven och kunna motiveras utifrån den aktuella behandlingen, snarare än leverantörens önskan att behålla allt.
Granskning och ansvar kan inte avtalas bort
Biträdet ska lämna den information som behövs för att visa att artikel 28 följs och möjliggöra samt bidra till granskningar och inspektioner av den ansvarige eller dennes utsedda revisor. Revision kan organiseras med rapporter, frågor och vid behov närmare kontroll, men avtalet får inte göra rätten verkningslös. Bestäm praktiska former som skyddar andra kunders uppgifter och inte hindrar nödvändig uppföljning. En certifiering kan bidra med underlag utan att ersätta hela granskningsrätten.
Ansvarsfördelningen är mer nyanserad än att kunden alltid ensam ansvarar för allt biträdet gör. Båda har egna skyldigheter. Artikel 82 reglerar ersättningsansvar och särskilda förutsättningar för biträdets ansvar, bland annat när det åsidosätter skyldigheter som särskilt riktas till biträden eller handlar utanför eller i strid med lagliga instruktioner. Kommersiella ansvarsbegränsningar mellan parterna får inte behandlas som ett sätt att ta bort registrerades lagstadgade rättigheter.
Arbetsmall för avtalsbilagorna
Fyll i följande underlag tillsammans med tjänsteägaren och leverantören. Det gör det lättare att granska ett eget avtal eller att fylla bilagor till tillämpliga standardklausuler. Mallen beskriver vad ni behöver besluta och dokumentera; den ersätter inte de bindande skyldigheterna i själva avtalet. Kontrollera särskilt att svaren går att omsätta i det system som ska användas.
PARTER OCH ROLLER
Ansvarig, biträde, kontaktpersoner och instruktionens omfattning:
[ange parter och avgränsad behandling]
BEHANDLING
Föremål, art och ändamål: [konkreta aktiviteter]
Varaktighet och avslut: [start, händelse som avslutar, efterarbete]
Registrerade och uppgiftskategorier: [inklusive eventuella känsliga uppgifter]
Den ansvariges rättigheter och skyldigheter: [ange]
INSTRUKTIONER OCH SKYDD
Tillåtna instruktioner och ändringskanal: [ange]
Konfidentialitet eller tillämplig lagstadgad tystnadsplikt: [ange]
Säkerhetsåtgärder och hur deras funktion visas: [ange]
Underbiträden, tillstånd och information om förändring: [ange]
Platser, åtkomst och eventuellt separat överföringsstöd: [ange]
SAMARBETE
Rättighetsbegäranden: [kontakt, sökning, export, åtgärder]
Incidenter och stöd enligt artiklarna32–36: [kontakt och informationsflöde]
Granskningsunderlag, inspektioner och hantering av brister: [ange]
UTTRÄDE
Den ansvariges val om återlämning eller radering: [ange]
Radering av kopior, underbiträden och säkerhetskopior: [ange]
Eventuellt lagkrav på bevarande och dess begränsning: [ange]
Bekräftelse på genomförda åtgärder: [ange]
Välj avtalsform och följ upp den över tid
IMY:s vägledning om personuppgiftsbiträdesavtal beskriver både minimikraven och möjligheten att använda godkända standardklausuler. Om ni använder sådana klausuler måste deras regler för kompletteringar och ändringar respekteras. En standardtext sparar arbete med grundvillkoren, men felaktiga eller tomma bilagor kan fortfarande göra det oklart vad parterna faktiskt har avtalat om.
Det finns ingen allmän lagstadgad kostnad eller tidsåtgång för avtalsgranskning. Jämför i stället antal relationer, risk, förändringstakt och behovet av tekniskt underlag. Kostnadsfrågor för dataskyddsverktyg och val av GDPR-programvara kan stödja kravställningen kring dokument, ägare och uppföljning. De ersätter inte bedömningen av villkoren. Ansvaret för avtalsprocessen ska också skiljas från frågan om organisationen behöver ett dataskyddsombud, som avgörs av särskilda rättsliga kriterier.
Se slutligen till att avtalet följer tjänstens förändringar. Ett nytt underbiträde, en annan supportplats eller en funktion som använder fler uppgiftskategorier kan behöva en ny bedömning. Notera vem som godkänt ändringen och vilket underlag beslutet bygger på. En genomgång som utgår från verkliga händelser i tjänsten ger bättre kontroll än att enbart fråga om den gamla avtalsfilen fortfarande finns i en mapp.