Personuppgiftsbiträdesavtal — när behövs det och vad ska kontrolleras?

När en leverantör hanterar personuppgifter för företagets räkning kan ett personuppgiftsbiträdesavtal behövas. Börja med den faktiska behandlingen. Avtalets rubrik avgör inte ensam vilka dataskyddsroller ni har.

Vem bestämmer varför uppgifterna används?

Ett biträde behandlar personuppgifter för den personuppgiftsansvarigas räkning. Om leverantören bestämmer egna ändamål kan bedömningen bli en annan. Kartlägg därför vilka uppgifter som lämnas, vad leverantören gör med dem och vem som bestämmer över användningen.

En molntjänst för kundadministration kan vara ett exempel där frågan behöver bedömas. Samma leverantör kan också utföra andra behandlingar i en annan roll. Beskriv varje behandling tillräckligt tydligt för att kunna bedöma den.

Koppla avtalet till den verkliga tjänsten

Avtalet ska bland annat beskriva behandlingens föremål, varaktighet, art och ändamål, vilka uppgifter och registrerade som berörs samt parternas skyldigheter. Det ska också reglera instruktioner, konfidentialitet, säkerhet, underbiträden och hjälp med registrerades rättigheter.

• Stämmer beskrivningen med de funktioner ni faktiskt använder?
• Finns tydliga instruktioner för åtkomst och tillåten användning?
• Vet ni vilka underbiträden som kan anlitas och hur ändringar meddelas?
• Är kontaktvägen vid problem tydlig för båda parter?
• Går det att genomföra avtalets skyldigheter i den dagliga verksamheten?

Underbiträden och andra dataskyddsfrågor

Ett biträde behöver skriftligt förhandstillstånd för att anlita underbiträden. Vid ett generellt tillstånd ska den ansvariga få information om planerade förändringar och möjlighet att invända. Skyldigheterna behöver föras vidare i avtalet med underbiträdet.

Ett undertecknat biträdesavtal löser inte ensamt alla dataskyddsfrågor. Ni behöver också bedöma exempelvis er rättsliga grund, information till berörda och eventuell överföring utanför EU/EES. Kontrollera därför tjänsten som helhet innan den börjar användas.

Vanliga frågor

Räcker leverantörens standardavtal? Det kan vara en utgångspunkt. Kontrollera att beskrivningar och instruktioner passar er behandling och att övriga avtalsvillkor inte motsäger dem.

Vad ska vi skicka för granskning? Samla tjänsteavtalet, biträdesavtalet, säkerhetsbilagor, underbiträdeslista och en kort beskrivning av hur ni tänker använda tjänsten. Ange om känsliga personuppgifter berörs.

Nästa steg

Boka kostnadsfri bedömning. Beskriv vad du behöver hjälp med och ange eventuell sista svarsdag. Är tiden knapp, ring jouren på 020-369 200.

Läs också: GDPR för företag.

Källor: IMY: Behöver vi ett personuppgiftsbiträdesavtal? · IMY: Personuppgiftsbiträdesavtal · IMY: Att tänka på som personuppgiftsbiträde. Källkontroll: 4 oktober 2026.

Artikeln är allmän information och inte rådgivning i ett enskilt ärende. Vad som gäller behöver bedömas utifrån dina handlingar och omständigheter.