Biträdesavtal (PUB-avtal/DPA): vad krävs enligt GDPR?

Vad är ett personuppgiftsbiträde?

För att förstå när du behöver ett PUB-avtal måste du först förstå vad som räknas som ett personuppgiftsbiträde.

Personuppgiftsbiträde är en juridisk term för en leverantör som behandlar personuppgifter på dina instruktioner. Du bestämmer vad som ska göras med datan, leverantören utför behandlingen.

Typiska exempel på personuppgiftsbiträden:

• Molnlagringstjänster (Google Drive, Dropbox, OneDrive)
• CRM-system (HubSpot, Salesforce, Pipedrive)
• E-posttjänster (Mailchimp, Klaviyo, SendGrid)
• Bokningssystem och kalendertjänster
• Fakturasystem och lönesystem
• Analystjänster (Google Analytics, Hotjar)
• Kundtjänstplattformar (Zendesk, Intercom)
• Molnbaserade HR-system

Om leverantören har tillgång till personuppgifter och behandlar dem enligt dina instruktioner är de ett biträde. Detta gäller även om tillgången är begränsad eller automatiserad.

Vad som INTE är biträden: Leverantörer som bara säljer programvara som du installerar och driver själv (on-premise) räknas inte som biträden. Internetleverantörer som bara transporterar data är heller inga biträden, liksom brevbärare och paketleverantörer – de är självständigt ansvariga för sin egen behandling. Om leverantören behandlar data för sina egna syften är de personuppgiftsansvariga, inte biträden.

Är du osäker? Ställ frågan till leverantören: "Behandlar ni personuppgifter på våra instruktioner?" Om svaret är ja behöver ni ett PUB-avtal.

Varför krävs ett PUB-avtal?

GDPR bygger på principen om ansvarighet. Du som personuppgiftsansvarig ansvarar för att all behandling av personuppgifter sker enligt lagen, även när behandlingen utförs av tredje part.

PUB-avtalet dokumenterar instruktioner, säkerhetskrav, incidentrutiner och granskningsrätt. Det hjälper er att följa upp behandlingen, men ersätter inte kontrollen av biträdets faktiska skyddsåtgärder. GDPR:s skyldigheter gäller också direkt för biträdet.

Vad måste ingå i ett PUB-avtal?

GDPR Artikel 28.3 listar exakt vad ett personuppgiftsbiträdesavtal måste innehålla. Detta är obligatoriskt, inte frivilligt.

1. Behandlingens art, ändamål och varaktighet

Avtalet måste specificera exakt vilken typ av behandling som ska ske och varför.

Exempel på konkret formulering:

Undvik vaga formuleringar som "nödvändig behandling" eller "behandling enligt tjänstebeskrivning". Var specifik.

2. Typ av personuppgifter och kategorier av registrerade

Lista vilka typer av data som kommer behandlas och vilka grupper av personer det gäller.

Exempel:

• Kategorier av registrerade: Kunder, potentiella kunder, användare av webbplatsen
• Typer av personuppgifter: Namn, e-postadress, telefonnummer, IP-adress, företagsnamn, köphistorik, kommunikationsloggar

Om känsliga personuppgifter (hälsodata, etniskt ursprung, biometriska data etc.) ska behandlas måste detta anges explicit och kräver extra säkerhetsåtgärder.

3. Instruktioner, ansvar och konfidentialitet

Avtalet måste tydliggöra att biträdet endast får behandla personuppgifter enligt den personuppgiftsansvariges dokumenterade instruktioner.

Obligatoriska klausuler: Biträdet får endast behandla data enligt skriftliga instruktioner och måste omedelbart informera om en instruktion strider mot GDPR. Biträdet får inte använda personuppgifterna för egna ändamål. Avtalet ska även ange den personuppgiftsansvariges skyldigheter och rättigheter. Säkerställ att personer som behandlar uppgifterna har åtagit sig konfidentialitet eller omfattas av lagstadgad tystnadsplikt.

4. Säkerhetsåtgärder (Artikel 32)

Avtalet måste specificera vilka tekniska och organisatoriska åtgärder biträdet ska implementera för att skydda personuppgifterna.

Konkreta exempel på krav:

• Kryptering av data
• Tvåfaktorsautentisering för administrativ åtkomst
• Rollbaserad åtkomstkontroll (endast behöriga får tillgång)
• Regelbunden säkerhetskopiering med krypterade backuper
• Loggning av åtkomst till personuppgifter
• Årliga penetrationstester eller sårbarhetsskanningar
• Dokumenterade rutiner för patch-hantering

Undvik vaga formuleringar som "adekvat säkerhet" eller "branschstandard". Specificera konkreta åtgärder.

5. Underleverantörer (underbiträden)

Biträdet får inte anlita underleverantörer utan ditt skriftliga godkännande.

Två modeller:

1. Specifikt godkännande: Varje underleverantör måste godkännas individuellt innan de börjar behandla data
2. Generellt godkännande med informationsskyldighet: Du godkänner i förväg att biträdet får använda underleverantörer, men de måste informera dig före varje ny underleverantör och ge dig möjlighet att invända

Oavsett modell måste samma skyldigheter som gäller biträdet också gälla underleverantören.

Praktiskt exempel: Om du använder ett CRM-system (biträde) som i sin tur använder AWS för hosting (underbiträde), måste både CRM-leverantören och AWS ha åtaganden som motsvarar GDPR:s krav.

6. Bistånd till den personuppgiftsansvarige

Biträdet måste hjälpa dig att uppfylla dina skyldigheter enligt GDPR.

Konkreta exempel: Biträdet ska bistå vid hantering av begäran från registrerade, som registerutdrag, rättelse och radering. De ska hjälpa till vid genomförande av konsekvensbedömningar (DPIA) om det behövs och bistå vid tillsynsmyndighetens granskningar. De måste också tillhandahålla nödvändig information för att visa compliance.

Detta kan innebära tekniska funktioner som export av användardata eller processer för rapportering av incidenter.

7. Incidentrapportering

Biträdet måste utan onödigt dröjsmål rapportera alla personuppgiftsincidenter till dig.

Vad som måste ingå i incidentrapporten: Rapporten ska innehålla en beskrivning av incidenten och typ av intrång, antal och kategorier av drabbade registrerade samt vilka personuppgifter som påverkats. Den måste också redogöra för troliga konsekvenser och vidtagna eller planerade åtgärder.

Den personuppgiftsansvarige ska anmäla en incident till IMY inom 72 timmar efter kännedom, om det inte är osannolikt att den medför risk för personers rättigheter och friheter. Biträdet ska underrätta den ansvarige utan onödigt dröjsmål. En avtalad tidsgräns på exempelvis 24 timmar kan stödja processen, men får inte bli en anledning att vänta när information kan lämnas tidigare.

8. Rätt till granskning (audit rights)

Du måste ha rätt att granska att biträdet verkligen följer avtalet.

Enligt artikel 28.3 h ska biträdet lämna information som visar att kraven uppfylls samt möjliggöra och bidra till granskningar, inklusive inspektioner, av den ansvarige eller en utsedd granskare.

Certifieringar och revisionsrapporter kan användas som underlag och minska behovet av egna inspektioner. De ersätter inte automatiskt den avtalsreglerade granskningsrätten. Kontrollera omfattning, datum och vilka tjänster rapporten faktiskt täcker. Se IMY:s avtalsvägledning.

9. Radering eller återlämnande av data

När behandlingstjänsten upphör väljer den personuppgiftsansvarige om uppgifterna ska återlämnas eller raderas. Kopior ska också raderas, om inte EU-rätt eller nationell rätt kräver lagring.

Praktisk formulering:

Detta är särskilt viktigt vid leverantörsbyten eller när ett avtal avslutas.

Vanliga misstag med PUB-avtal

Många företag tror att de har PUB-avtal i ordning, men gör ändå kritiska misstag.

1. Att sakna avtal helt

Det vanligaste misstaget är att inte ha något avtal alls. Detta händer ofta med gratistjänster ("det är ju gratis så det spelar ingen roll"), små leverantörer ("vi litar på dem"), interna system som köpts in utan juridisk granskning eller tjänster som IT har börjat använda utan att informera juridik.

Detta gäller för alla leverantörer som behandlar personuppgifter, oavsett storlek eller kostnad.

2. Att använda leverantörens standardavtal okritiskt

Många molntjänster har standardiserade DPA (Data Processing Agreement). Problemet är att dessa ofta är skrivna för att skydda leverantören, inte dig. De saknar ofta vissa obligatoriska GDPR-klausuler, innehåller alltför generösa begränsningar av leverantörens ansvar och ger oklara rättigheter vid incidenter.

Kontrollera alltid mot GDPR Artikel 28.3 innan du signerar.

3. Att inte uppdatera gamla avtal

Många företag har avtal som tecknades före GDPR (25 maj 2018) eller tidigt under övergångsperioden. Dessa innehåller ofta hänvisningar till gamla personuppgiftslagen (PUL), otillräckliga säkerhetskrav, ingen rätt till incidentrapportering och inga klausuler om underleverantörer.

Gamla avtal måste uppdateras för att uppfylla GDPR:s krav.

4. Felaktig rollfördelning

Ibland är det oklart vem som är personuppgiftsansvarig och vem som är biträde. Detta skapar förvirring om vem som ansvarar för vad.

Tumregel: Den som bestämmer varför och hur personuppgifter behandlas är personuppgiftsansvarig. Den som behandlar data på instruktioner är biträde.

Om parterna gemensamt bestämmer ändamål och medel kan de vara gemensamt personuppgiftsansvariga (joint controllers), vilket regleras i artikel 26. Två självständigt ansvariga är en annan rollfördelning; den behöver bedömas separat.

5. Att inte ha kontroll på underleverantörer

Många leverantörer använder underleverantörer (underbiträden) utan att du vet om det. Detta är särskilt vanligt med molnleverantörer som använder AWS, Azure eller GCP för hosting, SaaS-tjänster som använder tredjepartstjänster för e-post, betalning eller analys samt outsourcade IT-tjänster som i sin tur använder externa specialister.

Om du inte har koll på hela kedjan kan data hamna hos okända parter i okända länder. Kräv transparens: leverantören måste lista alla underleverantörer och var data lagras.

Konsekvenser vid bristande efterlevnad

Att sakna eller ha bristfälliga PUB-avtal är en direkt GDPR-överträdelse.

Sanktioner enligt GDPR:

• Upp till 10 miljoner euro eller 2% av global årsomsättning (Artikel 83.4)
• Gäller både personuppgiftsansvarig och biträde

Avtalsbrister och otillåtna tredjelandsöverföringar är olika överträdelser och måste bedömas var för sig. Ett PUB-avtal gör inte i sig en överföring utanför EU/EES laglig. Kontrollera även överföringsreglerna i GDPR kapitel V.

För svenska myndigheter gäller särskilda avgiftsgränser enligt dataskyddslagen; EU:s euro- och omsättningstak ovan är inte deras avgiftstak.

Utöver böter riskerar du förlust av kundförtroende, skadeståndsanspråk från registrerade vid dataintrång, krav på åtgärder från tillsynsmyndigheten och negativ publicitet.

Det är betydligt billigare att göra rätt från början än att hantera konsekvenserna efteråt.

Praktisk checklista: Vad du ska göra nu

1. Inventera dina leverantörer

Gör en fullständig genomgång av alla system och tjänster som behandlar personuppgifter:

• CRM-system
• E-posttjänster och marknadsföringsverktyg
• Molnlagring
• Faktureringssystem och ekonomisystem
• HR- och lönesystem
• Analystjänster
• Kundtjänstplattformar

Använd ett centralt leverantörsregister för att hålla koll.

2. Klassificera leverantörer

Avgör vilka som är personuppgiftsbiträden (kräver PUB-avtal), personuppgiftsansvariga (ansvarar själva för sin behandling) eller joint controllers (gemensamt personuppgiftsansvariga med dig).

3. Granska befintliga avtal

För varje biträde, kontrollera att avtalet innehåller alla obligatoriska punkter från GDPR Artikel 28.3:

• Behandlingens art, ändamål och varaktighet
• Typ av personuppgifter och kategorier av registrerade
• Biträdets skyldigheter och rättigheter
• Specifika säkerhetsåtgärder
• Regler för underleverantörer
• Skyldighet att bistå vid förfrågningar från registrerade
• Incidentrapportering
• Rätt till granskning
• Radering eller återlämnande av data

4. Förhandla eller komplettera bristfälliga avtal

Om befintliga avtal saknar obligatoriska klausuler ska du först kontakta leverantören och begära tillägg (addendum). Om leverantören vägrar bör du överväga att byta leverantör. Dokumentera alla kommunikationer.

De flesta etablerade molntjänster har standardiserade GDPR-tillägg som de kan signera.

5. Implementera process för nya leverantörer

Säkerställ att alla nya leverantörer granskas innan de får tillgång till personuppgifter. GDPR-granskning är obligatorisk vid leverantörsutvärdering, och PUB-avtal måste vara signerat innan onboarding. Dokumentera beslut och ansvarig för varje leverantör.

6. Följ upp regelbundet

Ett PUB-avtal är inte "set and forget". Du måste granska att biträdet faktiskt följer avtalet, helst årligen för kritiska leverantörer. Uppdatera avtalet när behandlingen ändras, dokumentera alla incidenter och hur de hanterades samt följ upp nya underleverantörer. ChainSecs stöd för GDPR-arbetet kan samla register och leverantörsunderlag. Sätt ett omvärderingsintervall per leverantör och utse vem som ska följa upp; automatiska påminnelser är ännu inte släppta.

Internationella dataöverföringar

Om ditt personuppgiftsbiträde behandlar data utanför EU/EES måste du också ha mekanismer för laglig dataöverföring.

Tre huvudsakliga mekanismer: Den första mekanismen är ett adekvansbeslut (adequacy decision), där EU-kommissionen har beslutat att landet har en adekvat skyddsnivå (t.ex. Storbritannien, Schweiz, Japan). Den andra är Standard Contractual Clauses (SCC), EU:s standardavtalsklausuler för internationella överföringar. Den tredje är Binding Corporate Rules (BCR) för stora koncerner med intern dataöverföring.

För USA finns sedan juli 2023 ett särskilt adekvansbeslut: EU–US Data Privacy Framework (DPF). Om din amerikanska leverantör har en giltig DPF-certifiering som täcker den aktuella behandlingen kan adekvansbeslutet användas som stöd för överföringen. Det ersätter inte övriga GDPR-krav, till exempel rättslig grund, biträdesavtal och säkerhetsåtgärder. Kontrollera certifieringen på Data Privacy Framework-listan.

Om mottagaren inte omfattas av DPF behöver ni ett annat giltigt stöd för överföringen. Det kan vara standardavtalsklausuler (SCC) eller, för överföringar inom en koncern, godkända bindande företagsbestämmelser (BCR). Bedöm och dokumentera om skyddet fungerar i mottagarlandet och om ytterligare skyddsåtgärder behövs. Om bristerna inte kan avhjälpas ska ni avstå från eller avbryta överföringen. Se IMY:s vägledning om tredjelandsöverföringar.

Sammanfattning

Ett personuppgiftsbiträdesavtal är obligatoriskt enligt GDPR Artikel 28 när en leverantör behandlar personuppgifter på dina instruktioner.

Avtalet måste innehålla:

• Behandlingens art, ändamål och varaktighet
• Typer av personuppgifter och registrerade
• Biträdets skyldigheter och instruktioner
• Konkreta säkerhetsåtgärder
• Regler för underleverantörer
• Skyldighet att bistå vid GDPR-förfrågningar
• Incidentrapportering
• Rätt till granskning
• Radering vid avtalets slut

Bristande PUB-avtal kan leda till:

• Sanktionsavgifter upp till 10 miljoner euro eller 2% av global omsättning
• Skadeståndsanspråk vid dataintrång
• Förtroendeskador och negativ publicitet

Gör detta nu:

1. Inventera alla leverantörer som behandlar personuppgifter
2. Granska befintliga avtal mot GDPR Artikel 28.3
3. Komplettera eller förhandla om bristfälliga avtal
4. Implementera process för nya leverantörer
5. Följ upp regelbundet att biträden följer avtalen

Ett välskrivet PUB-avtal är inte bara juridiskt skydd – det är ett konkret verktyg för att styra och kontrollera hur dina viktigaste tillgångar (personuppgifter) hanteras av tredje part.

För mer om hur du granskar leverantörer systematiskt, läs vår guide om leverantörshantering.

Vanliga frågor

Vad betyder DPA?

DPA står för Data Processing Agreement – den engelska benämningen på ett personuppgiftsbiträdesavtal (PUB-avtal). Innehållskraven är desamma oavsett språk: avtalet ska uppfylla GDPR Artikel 28.3. Internationella leverantörer bifogar ofta sin DPA som en bilaga till huvudavtalet.

Vad heter personuppgiftsbiträdesavtal på engelska?

På engelska heter det Data Processing Agreement, ofta förkortat DPA. Ibland används även Data Processing Addendum när avtalet är en bilaga till ett huvudavtal. Om er leverantör erbjuder en engelsk DPA gäller samma krav som för ett svenskt PUB-avtal – kontrollera innehållet mot GDPR Artikel 28.3 innan ni signerar.

Är ett personuppgiftsbiträdesavtal obligatoriskt?

Ja, enligt GDPR Artikel 28 måste du ha ett skriftligt avtal med varje leverantör som behandlar personuppgifter åt dig. Avtalet ska vara på plats innan leverantören börjar behandla personuppgifter. Att sakna PUB-avtal kan leda till sanktionsavgifter från tillsynsmyndigheten.

Vad är skillnaden mellan personuppgiftsansvarig och personuppgiftsbiträde?

Personuppgiftsansvarig är den som bestämmer syftet och medlen för behandlingen. Personuppgiftsbiträdet utför behandlingen på uppdrag av den ansvarige. Exempel: Du (ansvarig) använder ett CRM-system (biträde) för att lagra kunddata. Du bestämmer vad som lagras och varför, biträdet tillhandahåller bara tjänsten.

Kan ett PUB-avtal ingå i det vanliga serviceavtalet?

Ja, men det måste tydligt framgå vilka delar som reglerar personuppgiftsbehandlingen. Många leverantörer har PUB-villkor som en bilaga (Data Processing Agreement/DPA) till huvudavtalet. Det viktiga är att alla GDPR-krav i Artikel 28 är uppfyllda oavsett om det är ett separat dokument eller integrerat i huvudavtalet.

Vad händer om leverantören bryter mot PUB-avtalet?

Du som personuppgiftsansvarig är fortfarande ansvarig gentemot tillsynsmyndigheten och de registrerade. Om biträdet bryter mot GDPR riskerar både du och leverantören sanktionsavgifter. Därför är det kritiskt att ha rätt till revision, incidentrapportering och möjlighet att avsluta avtalet vid allvarliga överträdelser.

Måste jag ha PUB-avtal med alla leverantörer?

Nej, bara med de som faktiskt behandlar personuppgifter åt dig (personuppgiftsbiträden). En leverantör som bara säljer mjukvara som du installerar själv är inget biträde. Men molntjänster, CRM-system, e-postleverantörer, analystjänster och liknande kräver nästan alltid PUB-avtal eftersom de behandlar data på dina vägnar.