Dataskydd & webb
Personuppgiftsbiträdesavtal när en leverantör behandlar uppgifter åt er
Reglera personuppgiftsbehandlingen mellan er, tryggt och enligt GDPR.
Ett personuppgiftsbiträdesavtal, ofta kallat DPA efter engelskans Data Processing Agreement, reglerar förhållandet mellan en…
Med ett tydligt biträdesavtal slår ni fast behandlingens föremål, varaktighet, art och ändamål, vilka kategorier av registrerade…
När en leverantör behandlar personuppgifter för din räkning behöver relationen regleras enligt artikel 28 i GDPR. Här skapar du ett avtalsunderlag som beskriver behandlingen, instruktionerna och parternas ansvar innan leverantören får åtkomst.
Det här behöver du veta om personuppgiftsbiträdesavtal
Ett personuppgiftsbiträdesavtal, ofta kallat DPA efter engelskans Data Processing Agreement, reglerar förhållandet mellan en personuppgiftsansvarig och ett personuppgiftsbiträde som behandlar personuppgifter för den ansvariges räkning. Enligt artikel 28 i dataskyddsförordningen (GDPR) får ett biträde anlitas bara om behandlingen regleras genom ett sådant skriftligt avtal, och avtalet är därför obligatoriskt så snart ni låter en leverantör, exempelvis ett IT-, lön- eller molnföretag, hantera personuppgifter åt er. Avtalet kräver däremot varken bevittning, registrering hos Skatteverket eller andra särskilda formkrav, det räcker att det är skriftligt (även elektroniskt) och undertecknat av båda parter.
Med ett tydligt biträdesavtal slår ni fast behandlingens föremål, varaktighet, art och ändamål, vilka kategorier av registrerade och personuppgifter som omfattas samt vilka skyldigheter biträdet har. Biträdet får då bara behandla uppgifterna enligt den ansvariges dokumenterade instruktioner, ska skydda dem med lämpliga säkerhetsåtgärder, iaktta sekretess, anmäla personuppgiftsincidenter, bistå den ansvarige och vid uppdragets slut radera eller återlämna uppgifterna. Avtalet ger båda parter ett rättsligt skydd och visar för Integritetsskyddsmyndigheten att ansvaret för uppgifterna är reglerat.
- 1Berätta om relationenDu anger vem som är ansvarig och vem som är biträde, samt vilken tjänst det gäller.
- 2Beskriv uppgifternaDu fyller i exakt vilka uppgifter som behandlas, till exempel personnummer och lönedata.
- 3Granska det färdigaAvtalet byggs ihop åt dig och du läser igenom texten i lugn och ro.
- 4Signera digitaltDu och din leverantör skriver under direkt hos oss, gratis och utan BankID.
- 5Spara båda exemplarenVar part får sitt undertecknade avtal att arkivera och visa upp vid behov.
Vad kostar ett personuppgiftsbiträdesavtal?
Du skriver ett personuppgiftsbiträdesavtal online för 1 495 kr, moms inräknad. Du köper åtkomst innan du börjar och kan sedan fylla i och ändra dokumentet i 30 dagar från betalningen. Hela prislistan finns här.
Hur skapar jag ett personuppgiftsbiträdesavtal?
Formuläret ställer frågorna, du svarar på vanlig svenska. Dokumentet växer fram i takt med dina svar och laddas ner som färdig PDF i slutet. Börja med första frågan.
Du som anlitar leverantörer som rör vid era uppgifter
Avtalet är till för dig som driver ett företag eller en förening och tar hjälp utifrån. I praktiken är det nästan alla.
Kravet aktualiseras när en leverantör behandlar personuppgifter för er räkning. En leverantör som behandlar uppgifter för egna ändamål kan i stället ha en annan dataskyddsroll, så klassificera relationen innan avtalet används.
- En molntjänst
- Ett bokföringsprogram
- Ett supportverktyg
- Ett nyhetsbrevssystem
- En byrå som sköter lönerna åt er
Skapa därför avtalet tidigt, helst samma vecka som du tecknar tjänsten. Ansvaret ligger på dig som personuppgiftsansvarig, inte på leverantören.
Leverantörerna ligger gömda
De ringer sällan och påminner dig. De ligger gömda i månadsfakturorna och i inloggningarna du redan slutat tänka på.
Sidan är en bra anledning att gå igenom vilka tjänster ni faktiskt använder. Då ser du vilka som behöver ett eget avtal, och kan beta av dem ett i taget.
Vad du går härifrån med, och hur kort tid det tar
Du får ett strukturerat avtalsunderlag med de centrala frågor som artikel 28 i GDPR kräver att parterna reglerar. Kontrollera alltid underlaget mot den faktiska tjänsten, behandlingen och eventuella tredjelandsöverföringar.
- Vem som är ansvarig och vem som är biträde
- Vilka uppgifter som faktiskt behandlas
- I vilket syfte de behandlas
Sedan bygger dokumentet sig självt utifrån dina svar. Du behöver inte kunna juridik, bara veta hur er verksamhet ser ut.
Signering och återanvändning
- Du och din leverantör signerar digitalt direkt hos oss
- Helt gratis, ingen app och ingen BankID
- Båda parter får varsitt undertecknat exemplar att spara
- Du återanvänder det mesta du redan fyllt i nästa gång
Den första gången tar längst tid. Varje avtal efter det går betydligt snabbare.
Det här slipper du oroa dig för med ett avtal på plats
Avtalet binder leverantören till att bara göra exakt det du har sagt åt dem, ingenting annat. Allt står svart på vitt.
Det leverantören inte får göra
- Sälja vidare era uppgifter
- Använda dem för egna ändamål
- Flytta dem hur som helst
| Risk utan avtal | Vad det betyder |
|---|---|
| Sanktionsavgift | Integritetsskyddsmyndigheten kan rikta avgifter mot er även om ingenting läckt |
| Avsaknaden är brottet | Att den bindande reglering som artikel 28 kräver saknas är en överträdelse av GDPR |
| Läckt kunddatabas | Tappar leverantören kontrollen tar din verksamhet smällen i förtroende och kostnad |
Ett avtal som täcker rätt frågor är mer användbart än ett snyggt men tomt papper. Mallen tar upp centrala områden, men du behöver kontrollera att valen passar verksamheten och det enskilda samarbetet.
Behöver du extra säkerhet kan en av våra jurister läsa igenom och anpassa avtalet åt dig, till exempel i dessa fall.
- Ni hanterar ovanligt känsliga uppgifter
- Ni skickar data utanför EU
Det här får du när du skapar ditt personuppgiftsbiträdesavtal
- Reglering av behandlingens föremål, varaktighet, art och ändamål samt kategorier av registrerade och personuppgifter
- Biträdets skyldigheter enligt artikel 28, dokumenterade instruktioner, sekretess och säkerhetsåtgärder enligt artikel 32
- Villkor för underbiträden, bistånd till den ansvarige, anmälan av personuppgiftsincidenter, granskning samt radering eller återlämning vid avtalets slut
- Reglering av eventuell överföring till tredjeland samt möjlighet att signera digitalt via Avtalsfrid, utan BankID
Vanliga frågor om personuppgiftsbiträdesavtal
Vi anlitar bara ett vanligt molnlagringsföretag, behöver vi verkligen ett biträdesavtal då?
Ja, så fort en leverantör får tillgång till uppgifter om era anställda eller kunder för er räkning är de ett personuppgiftsbiträde, och då kräver artikel 28 i GDPR ett skriftligt avtal. Det spelar ingen roll om det är ett stort molnföretag eller en liten konsult, kravet är detsamma. Det avgörande är inte hur betrodd leverantören känns utan att någon utomstående faktiskt rör vid uppgifterna.
Leverantören skickade redan sitt eget biträdesavtal, räcker det eller behöver jag ett eget?
Du kan absolut teckna leverantörens version, men läs den först som den part som faktiskt bär ansvaret. Ofta är leverantörens mall skriven för att skydda leverantören, och kan ge dem bredare utrymme att använda underbiträden eller överföra uppgifter än du är bekväm med. Ett eget avtal låser i stället fast att de bara får göra exakt det du instruerar.
Behöver biträdesavtalet registreras eller skickas in någonstans?
Nej, det finns inget register och du skickar inte in avtalet till Integritetsskyddsmyndigheten. Regleringen ska vara bindande och skriftlig, även elektronisk, och ni ska kunna ta fram den vid en granskning. Underskrift är ett vanligt sätt att dokumentera bundenheten men artikel 28 kräver inte ett pappersoriginal.
Vad händer om leverantören i sin tur anlitar en underleverantör som hanterar uppgifterna?
Då blir det ett underbiträde, och biträdesavtalet behöver reglera om och hur det får ske. Vanligast är att du i avtalet ger ett allmänt godkännande men kräver att leverantören informerar dig om byten, så att du hinner reagera. Underbiträdet ska bindas av samma skyldigheter som leverantören själv, annars läcker ansvaret vidare utan kontroll.
När i tiden måste avtalet vara klart, går det att signera i efterhand när tjänsten redan körs?
Den bindande regleringen ska finnas när leverantören börjar behandla personuppgifter för er räkning. Ett avtal som ingås senare tar inte bort att relationen tidigare saknade den reglering som artikel 28 kräver. Stoppa därför ny behandling tills roller, instruktioner och villkor är dokumenterade, och ta rådgivning om den tidigare perioden behöver hanteras.
Så fungerar det, från start till klart dokument
Köp åtkomst
Välj att skriva personuppgiftsbiträdesavtal själv eller låta en jurist skriva det. Betala för det alternativ du väljer innan du börjar.
Svara
Svara på tydliga frågor om parterna, villkoren och din situation.
Granska
Dokumentet formas av dina svar. Kontrollera och ändra i 30 dagar från betalningen.
Slutför & spara
Betala 1 495 kr, ladda ner dokumentet och använd ordinarie e-signering om den passar. BankID-flödet är ännu i testmiljö.
Varför välja Avtalsfrid?
Juridiskt strukturerade mallar
Grundinnehållet följer dokumentunika kontrollpunkter; individuell juristgranskning kan väljas separat.
Säkert & konfidentiellt
Krypterad överföring och kontobaserad åtkomst till dina dokument.
Digitalt & tillgängligt
Skapa, följ rätt signeringssätt och spara, överallt, dygnet runt.
Snabbt & enkelt
Klart avtal på i snitt 8 minuter.
Svensk rätt som utgångspunkt
Formulär och instruktioner är byggda för svensk rätt och visar när särskilda formkrav måste följas.
Nöjd-kund-garanti
Blir något fel rättar vi det kostnadsfritt.
Redo att skapa ditt avtal?
Välj avtal och köp åtkomst. Svara sedan på frågorna och granska avtalet.
Gratis konto · fast pris för åtkomst till avtalet
★ 4,9/51 495 kr för personuppgiftsbiträdesavtalNöjd-kund-garanti