SSkapaAvtal

Skriv personuppgiftsbiträdesavtal (DPA) online

Databehandlingsavtal enligt artikel 28 i GDPR – instruktioner, säkerhet, underbiträden, incidenter och tredjelandsöverföring. Anpassat efter er behandling.

Fast pris600 krexkl. moms

Fast pris. Du ser exakt pris innan du betalar.

Det här behöver ditt avtal innehålla

  • Behandlingens föremål, varaktighet, art, ändamål, typ av personuppgifter och kategorier av registreradeArt. 28.3 GDPR
  • Behandling endast enligt dokumenterade instruktioner och sekretess för behörig personalArt. 28.3 a–b GDPR
  • Tekniska och organisatoriska säkerhetsåtgärderArt. 32 GDPR
  • Underbiträden – förhandstillstånd och samma skyldigheter i nästa ledArt. 28.2 och 28.4 GDPR
  • Bistånd vid registrerades rättigheter, incidenter och konsekvensbedömningarArt. 28.3 e–f, 33 GDPR
  • Radering eller återlämnande vid avtalets slut samt revision och insynArt. 28.3 g–h GDPR
  • Överföring till tredjelandKap. V GDPR

Varför behöver jag detta?

Ett personuppgiftsbiträdesavtal – på engelska data processing agreement (DPA) och ibland kallat databehandlingsavtal – reglerar vad en leverantör får och inte får göra med personuppgifter som den hanterar åt någon annan. Det gäller till exempel lönebyråer, molntjänster, CRM- och e-postsystem, IT-driftsbolag och marknadsföringsbyråer. Dataskyddsförordningen kräver att ett sådant avtal finns och att det innehåller vissa bestämda punkter. Den personuppgiftsansvarige ansvarar för att avtalet är på plats, men även biträdet har egna skyldigheter och kan bli skadeståndsskyldigt. Vi ställer frågor om vilka uppgifter som behandlas, i vilka system, vilka underbiträden som används och om något förs utanför EU/EES, och tar fram ett avtal som följer artikel 28. Vill du veta mer om innehållet, läs vår guide om vad ett personuppgiftsbiträdesavtal måste innehålla. Personuppgiftsbiträdesavtalet kompletterar huvudavtalet – exempelvis ett licensavtal för en SaaS-tjänst, ett tjänsteavtal eller ett konsultavtal – och ersätter inte ett sekretessavtal för affärsinformation.

Vad ingår?

  • Täcker samtliga obligatoriska punkter i artikel 28.3 GDPR
  • Bilaga med instruktioner, uppgiftstyper och säkerhetsåtgärder
  • Lista och godkännandeprocess för underbiträden
  • Villkor för incidentrapportering och tredjelandsöverföring

Fast pris, inte timpris.

600 kr

Fast pris för det här avtalet, exkl. moms. Du ser exakt pris innan du betalar, och avtalet är klart samma sittning.

3 000–8 000 kr

Ungefärligt arvode hos en jurist eller advokat för ett enklare avtal, exkl. moms, debiterat per timme och ofta med dagars väntetid.

Prisspannet för jurister är ett ungefärligt riktvärde för enklare standardavtal och kan variera kraftigt mellan byråer och ärendetyper. Vid komplexa ärenden är personlig juridisk rådgivning värd sitt pris.

Juridisk bakgrund

Personuppgiftsbiträdesavtal regleras i artikel 28 i Europaparlamentets och rådets förordning (EU) 2016/679, dataskyddsförordningen (GDPR), som gäller direkt i Sverige och kompletteras av lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. Artikel 28.1 kräver att den personuppgiftsansvarige bara anlitar biträden som ger tillräckliga garantier, artikel 28.2 och 28.4 reglerar underbiträden och artikel 28.3 anger avtalets obligatoriska innehåll. Avtalet ska vara skriftligt, även elektroniskt (artikel 28.9). Ett biträde som självt bestämmer ändamål och medel blir personuppgiftsansvarigt för den behandlingen (artikel 28.10). Biträdet ska också föra register över behandlingar (artikel 30.2), vidta säkerhetsåtgärder (artikel 32) och underrätta den ansvarige om incidenter (artikel 33.2). Överföring till tredjeland regleras i kapitel V (artiklarna 44–49). Kommissionen har antagit standardavtalsklausuler enligt artikel 28.7 genom genomförandebeslut (EU) 2021/915. Skadestånd till registrerade regleras i artikel 82 och sanktionsavgifter i artikel 83. Tillsynsmyndighet i Sverige är Integritetsskyddsmyndigheten (IMY).

Personuppgiftsansvarig eller personuppgiftsbiträde?

Första steget är att reda ut rollerna. Personuppgiftsansvarig är den som bestämmer ändamålen med och medlen för behandlingen – varför uppgifterna behandlas och, i huvudsak, hur. Personuppgiftsbiträde är den som behandlar uppgifterna för den ansvariges räkning. Ett företag som använder ett lönesystem i molnet är ansvarigt för sina anställdas uppgifter, medan systemleverantören är biträde. Samma företag kan vara ansvarigt i en relation och biträde i en annan, till exempel en byrå som hanterar kundregister åt sina uppdragsgivare. Rubriken i avtalet avgör inte rollen, det gör hur behandlingen faktiskt går till. Om ett biträde börjar bestämma egna ändamål, exempelvis använder kunddata för att utveckla en egen produkt, ska det enligt artikel 28.10 anses vara personuppgiftsansvarigt för den behandlingen. Ett personuppgiftsbiträdesavtal behövs bara när rollerna verkligen är ansvarig och biträde. Är båda parter självständigt ansvariga, eller gemensamt ansvariga enligt artikel 26, gäller andra regler och ett annat slags avtal.

Det här måste avtalet innehålla

Artikel 28.3 räknar upp vad avtalet ska ange. Det ska beskriva behandlingens föremål och varaktighet, art och ändamål, typen av personuppgifter och kategorierna av registrerade, samt den personuppgiftsansvariges skyldigheter och rättigheter. Därutöver ska biträdet åta sig att bara behandla uppgifterna enligt dokumenterade instruktioner, se till att behörig personal har tystnadsplikt, vidta säkerhetsåtgärder enligt artikel 32 och följa reglerna om underbiträden. Biträdet ska hjälpa den ansvarige att besvara begäranden från registrerade och att uppfylla skyldigheterna om säkerhet, incidentanmälan och konsekvensbedömning. När tjänsten upphör ska uppgifterna raderas eller återlämnas, enligt den ansvariges val. Slutligen ska biträdet ge tillgång till den information som behövs för att visa att skyldigheterna följs och möjliggöra granskningar, inklusive inspektioner. Biträdet ska också genast informera om en instruktion strider mot dataskyddsreglerna. I praktiken samlas de konkreta uppgifterna – vilka system, vilka uppgifter, vilka åtgärder – i bilagor som är enkla att uppdatera.

Instruktioner och säkerhetsåtgärder

Instruktionerna är avtalets kärna. De talar om vad biträdet får göra, och allt annat är som utgångspunkt otillåtet. Formulera dem konkret: lagring och drift av en viss tjänst, utskick av nyhetsbrev, lönehantering eller support. Vaga instruktioner som att behandla uppgifter "i den utsträckning som krävs" gör det svårt att avgöra om biträdet har gått utanför sitt uppdrag. Säkerhetsåtgärderna ska enligt artikel 32 stå i proportion till riskerna med behandlingen. Det kan handla om kryptering, behörighetsstyrning, loggning, säkerhetskopiering och rutiner för att testa skyddet. Avtalet behöver inte innehålla en fullständig teknisk specifikation, men det bör beskriva vilka åtgärder som gäller så att den personuppgiftsansvarige kan bedöma om de räcker. Känsliga personuppgifter, som hälsouppgifter, eller stora mängder uppgifter motiverar normalt starkare skydd. Lägg åtgärderna i en bilaga och ange hur ändringar ska meddelas, så att avtalet inte blir inaktuellt så fort leverantören byter system.

Underbiträden i flera led

De flesta leverantörer använder i sin tur andra leverantörer, till exempel en molnplattform för hosting eller ett verktyg för e-postutskick. Enligt artikel 28.2 får biträdet inte anlita ett underbiträde utan den personuppgiftsansvariges skriftliga förhandstillstånd. Tillståndet kan vara särskilt, för ett namngivet underbiträde, eller allmänt. Vid allmänt tillstånd ska biträdet informera om planerade tillägg eller byten så att den ansvarige kan invända. Avtalet bör därför innehålla en aktuell lista över underbiträden, hur och med vilken framförhållning ändringar meddelas och vad som händer om den ansvarige invänder – vanligen en rätt att säga upp tjänsten. Underbiträdet ska enligt artikel 28.4 bindas av samma dataskyddsskyldigheter som biträdet, och om underbiträdet brister ansvarar biträdet fullt ut gentemot den personuppgiftsansvarige. Kontrollera också var underbiträdena finns. Ett amerikanskt moderbolag eller supportpersonal utanför EU/EES kan innebära en överföring till tredjeland.

Incidenter och överföring till tredjeland

Om en personuppgiftsincident inträffar, till exempel ett dataintrång eller att uppgifter skickas till fel mottagare, ska biträdet enligt artikel 33.2 underrätta den personuppgiftsansvarige utan onödigt dröjsmål. Den ansvarige har i sin tur som huvudregel 72 timmar på sig att anmäla incidenten till IMY. Avtalet bör därför ange en kort tidsfrist för biträdets underrättelse, vem den skickas till och vilken information den ska innehålla. När personuppgifter förs till ett land utanför EU/EES gäller reglerna i kapitel V. En överföring är tillåten bland annat om kommissionen har beslutat att landet har en adekvat skyddsnivå, som för amerikanska företag som är certifierade enligt EU–US Data Privacy Framework, eller om det finns lämpliga skyddsåtgärder som kommissionens standardavtalsklausuler. Avtalet bör ange var uppgifterna lagras och behandlas, vilken överföringsgrund som används och att biträdet inte får föra över uppgifter till tredjeland utan instruktion, vilket följer av artikel 28.3 a.

Ansvar, kostnader och avslut

Dataskyddsförordningen reglerar inte vem som ska betala för biträdets hjälp, hur revisioner ska gå till i praktiken eller hur ansvaret fördelas mellan parterna. Det måste avtalet göra. Vanliga frågor är om biträdet får ta betalt för bistånd vid registrerades förfrågningar, hur ofta revision får ske och med vilken framförhållning, och om biträdets ansvar ska begränsas. Tänk på att skadeståndsansvaret mot de registrerade följer av artikel 82 och inte kan avtalas bort. Ett biträde ansvarar där för skada om det inte har fullgjort sina egna skyldigheter eller har agerat utanför eller i strid med instruktionerna. En ansvarsbegränsning påverkar därför bara hur kostnaderna fördelas mellan parterna. Avtalets löptid bör kopplas till huvudavtalet. Vid avslut ska det vara tydligt inom vilken tid uppgifterna raderas eller lämnas tillbaka, i vilket format, och hur säkerhetskopior hanteras. Uppgifter får sparas längre bara om det krävs enligt unionsrätten eller nationell rätt.

Vanliga misstag

  • Fel rollfördelning – ett biträdesavtal skrivs med en part som i själva verket är självständigt personuppgiftsansvarig
  • Generiska instruktioner som inte beskriver vilka uppgifter som behandlas, om vilka registrerade och för vilket ändamål
  • Ingen lista över underbiträden och ingen rutin för att meddela eller invända mot ändringar
  • Ingen tidsfrist för när biträdet ska underrätta om personuppgiftsincidenter
  • Okontrollerad tredjelandsöverföring, till exempel via support eller moderbolag utanför EU/EES
  • Inget sagt om radering, återlämnande och säkerhetskopior när tjänsten upphör

Vanliga frågor om databehandlingsavtal (dpa)

Vad är skillnaden mellan personuppgiftsbiträdesavtal, DPA och databehandlingsavtal? Det är samma sak. Personuppgiftsbiträdesavtal är den svenska termen i dataskyddsförordningen, DPA (data processing agreement) är den engelska förkortningen och databehandlingsavtal eller biträdesavtal är vanliga kortformer.

När behövs ett personuppgiftsbiträdesavtal? När ett företag (personuppgiftsbiträdet) behandlar personuppgifter för ett annat företags (den personuppgiftsansvariges) räkning och enligt dess instruktioner. Typiska exempel är lönehantering, molnlagring, nyhetsbrevsverktyg, CRM-system och IT-support med åtkomst till kunddata.

Vem ska ta fram avtalet – kunden eller leverantören? Lagen säger inget om det. Det är den personuppgiftsansvarige som ska se till att avtalet finns, men stora leverantörer har ofta ett eget standardavtal. Granska då att det täcker alla punkter i artikel 28.3 och att instruktionerna stämmer med hur ni faktiskt använder tjänsten.

Måste avtalet vara skriftligt? Ja. Enligt artikel 28.9 ska avtalet vara skriftligt, vilket även inkluderar elektronisk form. Ett avtal som accepteras digitalt eller signeras elektroniskt uppfyller alltså kravet.

Får biträdet anlita underleverantörer? Bara med den personuppgiftsansvariges skriftliga förhandstillstånd, antingen särskilt för varje underbiträde eller som ett allmänt tillstånd. Vid allmänt tillstånd ska biträdet informera om planerade ändringar så att ni kan invända. Underbiträdet ska bindas av samma skyldigheter, och biträdet ansvarar fullt ut för underbiträdets fullgörande.

Behövs ett personuppgiftsbiträdesavtal med en konsult? Det beror på rollen. En konsult som hanterar era kunders eller anställdas personuppgifter för er räkning är normalt ett biträde. En revisor eller advokat som själv bestämmer hur uppgifterna används i sitt uppdrag är ofta i stället personuppgiftsansvarig. Bedömningen görs utifrån vem som bestämmer ändamål och medel.

Vad händer om vi saknar avtal? Då uppfyller ni inte kraven i artikel 28. Integritetsskyddsmyndigheten (IMY) kan ingripa, bland annat med sanktionsavgift, och både den personuppgiftsansvarige och biträdet kan drabbas. Det blir dessutom oklart vad leverantören får göra med uppgifterna och hur de ska hanteras när samarbetet upphör.

Kan vi använda EU-kommissionens standardavtalsklausuler? Ja. Kommissionen har antagit standardavtalsklausuler för avtal mellan personuppgiftsansvariga och biträden enligt artikel 28.7. Det är inte obligatoriskt att använda dem – ett eget avtal fungerar lika bra så länge det innehåller allt som artikel 28 kräver.

Fördjupning i kunskapsbanken

Läs våra guider som går djupare i lagtext, formkrav och vanliga misstag.

Relaterade avtal

Redo att skapa ditt avtal?

Beskriv din situation i chatten och få ett professionellt avtal anpassat efter svensk lag. Fast pris från 600 kr exkl. moms.