Personuppgiftsbiträdesavtal – mall för PUB-avtal enligt GDPR

Vad är ett personuppgiftsbiträdesavtal?

Ett personuppgiftsbiträdesavtal reglerar hur en leverantör får behandla personuppgifter för ditt företags räkning. Ditt företag är personuppgiftsansvarigt och bestämmer varför och hur uppgifterna behandlas. Leverantören är personuppgiftsbiträde och får bara behandla uppgifterna enligt dina instruktioner.

Förkortningen PUB kommer från personuppgiftsbiträde. Begreppet fanns redan i personuppgiftslagen, som ersattes av GDPR 2018. På engelska heter avtalet Data Processing Agreement, DPA. Det är samma sak.

Avtalet är ett krav enligt dataskyddsförordningen. Det ska vara skriftligt, men kan ingås elektroniskt.

När behöver ditt företag ett PUB-avtal?

Det avgörande är om leverantören behandlar personuppgifter åt dig, eller för egna syften. Rollen bestäms av vad leverantören faktiskt gör, inte av vad avtalet kallas.

Tabellen visar typiska exempel. Samma leverantör kan vara biträde för en behandling och självständigt personuppgiftsansvarig för en annan.

Är ditt företag själv leverantör och behandlar personuppgifter åt kunder, till exempel som it-konsult eller redovisningsbyrå, är det du som är biträde. Då kan dina kunder kräva att du skriver under ett PUB-avtal.

Vad måste avtalet innehålla?

Enligt artikel 28 ska avtalet beskriva vad som behandlas, hur länge, varför, vilka slags personuppgifter det gäller och vilka personer som berörs. Det ska också ange den personuppgiftsansvariges skyldigheter och rättigheter. Biträdet ska åta sig att bara följa dina instruktioner, se till att personalen har tystnadsplikt och skydda uppgifterna med lämpliga säkerhetsåtgärder.

Biträdet ska också hjälpa dig när en registrerad person vill utöva sina rättigheter, till exempel begär ett registerutdrag. Biträdet ska hjälpa till vid personuppgiftsincidenter, radera eller lämna tillbaka uppgifterna när uppdraget är slut och låta dig granska att reglerna följs. Allt detta finns med i mallen, men instruktionerna och säkerhetsåtgärderna måste anpassas till er behandling.

Underbiträden

Många leverantörer använder i sin tur andra leverantörer, till exempel för serverdrift. De kallas underbiträden. Biträdet får bara anlita underbiträden om du har godkänt det. Godkännandet kan gälla i förväg för alla underbiträden, med rätt för dig att invända mot nya, eller gälla varje enskilt underbiträde. Mallen har båda alternativen.

Ligger ett underbiträde utanför EU och EES gäller särskilda regler för överföring till tredje land. Fråga leverantören hur överföringen är skyddad.

Personuppgiftsincidenter

En personuppgiftsincident kan vara ett dataintrång, en förlorad dator eller ett mejl med personuppgifter som hamnat fel. Som personuppgiftsansvarig ska du bedöma om incidenten behöver anmälas till IMY. Finns det en risk för de registrerades rättigheter och friheter ska den normalt anmälas inom 72 timmar. Därför måste biträdet underrätta dig snabbt. Mallen har ett fält för hur många timmar biträdet har på sig. Välj en kort tid, till exempel 24 timmar.

Vad händer om avtal saknas?

Att behandla personuppgifter via ett biträde utan avtal bryter mot GDPR. Brott mot reglerna i artikel 28 kan ge en sanktionsavgift på upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen. För ett småföretag blir beloppet i praktiken betydligt lägre, men det är ändå ett onödigt risktagande.

Använd leverantörens avtal när det finns

Större leverantörer av molntjänster, lönesystem och bokföringsprogram har oftast egna personuppgiftsbiträdesavtal. Ibland ingår de i användarvillkoren, ibland måste de godkännas separat. Då behöver du inte skriva ett eget. Kontrollera att avtalet finns och att det gäller för ditt företag, och spara en kopia.

Mallen passar när leverantören saknar ett eget avtal, till exempel en mindre byrå eller en konsult, eller när ditt företag själv är leverantör.

Så fyller du i mallen

Fyll i parternas uppgifter och beskriv tjänsten i punkt 1. Välj alternativ för underbiträden, ersättning och vad som ska hända med personuppgifterna när avtalet upphör. Ange hur snabbt biträdet ska rapportera incidenter.

Bilaga 1 är viktigast. Där beskriver du vilka personuppgifter som behandlas, om vilka och i vilket syfte. I bilaga 2 avtalar ni vilka säkerhetsåtgärder biträdet ska ha, och bilaga 3 förtecknar de underbiträden som är godkända när avtalet ingås.

Mallen är gratis, du behöver bara skapa konto och logga in, så får du tillgång till ca 80 dokumentmallar och en rad andra förmåner.