Personuppgiftsbiträdesavtal

Vad är ett personuppgiftsbiträdesavtal?

Ett personuppgiftsbiträdesavtal, ofta kallat DPA efter engelskans Data Processing Agreement, reglerar förhållandet mellan en personuppgiftsansvarig och ett personuppgiftsbiträde som behandlar personuppgifter för den ansvariges räkning. Enligt artikel 28 i dataskyddsförordningen (GDPR) får ett biträde anlitas bara om behandlingen regleras genom ett sådant skriftligt avtal, och avtalet är därför obligatoriskt så snart ni låter en leverantör – exempelvis ett IT-, lön- eller molnföretag – hantera personuppgifter åt er. Avtalet kräver däremot varken bevittning, registrering hos Skatteverket eller andra särskilda formkrav – det räcker att det är skriftligt (även elektroniskt) och undertecknat av båda parter.

Med ett tydligt biträdesavtal slår ni fast behandlingens föremål, varaktighet, art och ändamål, vilka kategorier av registrerade och personuppgifter som omfattas samt vilka skyldigheter biträdet har. Biträdet får då bara behandla uppgifterna enligt den ansvariges dokumenterade instruktioner, ska skydda dem med lämpliga säkerhetsåtgärder, iaktta sekretess, anmäla personuppgiftsincidenter, bistå den ansvarige och vid uppdragets slut radera eller återlämna uppgifterna. Avtalet ger båda parter ett rättsligt skydd och visar för Integritetsskyddsmyndigheten att ansvaret för uppgifterna är reglerat.

När behöver du ett personuppgiftsbiträdesavtal?

• Ni anlitar en leverantör – t.ex. ett IT-, moln-, lön- eller marknadsföringsföretag – som behandlar personuppgifter för er räkning.
• Ni är själva biträde och behandlar en kunds personuppgifter och behöver ett avtal som visar att ni följer GDPR.
• En befintlig leverantör saknar biträdesavtal och ni behöver reglera behandlingen för att uppfylla kraven i artikel 28.

Det här ingår

• Reglering av behandlingens föremål, varaktighet, art och ändamål samt kategorier av registrerade och personuppgifter
• Biträdets skyldigheter enligt artikel 28 – dokumenterade instruktioner, sekretess och säkerhetsåtgärder enligt artikel 32
• Villkor för underbiträden, bistånd till den ansvarige, anmälan av personuppgiftsincidenter, granskning samt radering eller återlämning vid avtalets slut
• Reglering av eventuell överföring till tredjeland samt möjlighet att signera med BankID

Läs vår djupgående guide om personuppgiftsbiträdesavtal →