Ett personuppgiftsbiträdesavtal (PUB-avtal) reglerar förhållandet när ett personuppgiftsbiträde behandlar personuppgifter för en personuppgiftsansvarigs räkning. Enligt GDPR är ett skriftligt PUB-avtal obligatoriskt när du anlitar en leverantör som hanterar personuppgifter åt dig.
Med ett PUB-avtal ställer du tydliga krav på hur dina leverantörer och samarbetspartners skyddar och hanterar personuppgifter i enlighet med GDPR. I avtalet fastställs de rättigheter och skyldigheter som gäller mellan den personuppgiftsansvarige och den som behandlar uppgifterna för dennes räkning.
Mallen uppfyller kraven i GDPR artikel 28 och innehåller:
Fyll i mallen i Word och spara som PDF. Avtalet och båda bilagorna finns i samma dokument – klart att skicka för signering på några minuter.
Netvisor Sign (Netvisor Solutions Oy) har skapat avtalsmallen ovan för att göra det enklare för dig att ingå aval. Netvisor Solutions ansvarar inte för avtalens innehåll eller för hur den lämpar sig åt användarens ändamål. Konsultera en juridisk expert om nödvändigt.
Så här använder du PDF-avtalsmallen:
Mallen täcker alla standardavsnitt i ett PUB-avtal samt två bilagor. Här är en genomgång av vad varje del reglerar.
Här anges vilken part som är personuppgiftsansvarig och vilken som är personuppgiftsbiträde, samt kontaktpersoner för administrationen av avtalet och för samarbetet om dataskydd. Om PUB-avtalet hör till ett annat avtal, till exempel ett tjänste- eller leveransavtal, anges det här som huvudavtal.
Här förklaras centrala begrepp som används i avtalet, till exempel behandling, personuppgiftsincident, underbiträde och tredje land. Definitionerna följer dataskyddsförordningen.
Här beskrivs syftet med avtalet: att reglera biträdets behandling av personuppgifter och skydda de registrerades rättigheter enligt GDPR artikel 28. Här framgår också vilket avtal som har företräde om PUB-avtalet och huvudavtalet reglerar samma sak på olika sätt.
Här utses personuppgiftsbiträdet att behandla personuppgifter för den personuppgiftsansvariges räkning. Biträdet får bara behandla uppgifterna enligt avtalet och den ansvariges skriftliga instruktioner, och får inte använda dem för egna ändamål. Om biträdet enligt lag är skyldigt att behandla uppgifterna på annat sätt ska den ansvarige informeras först.
Här beskrivs de åtaganden den personuppgiftsansvarige tar på sig, till exempel att det finns en laglig grund för behandlingen, att instruktionerna är korrekta och att de registrerade får information om behandlingen.
Här beskrivs personuppgiftsbiträdets åtaganden, till exempel ansvar för att personalen följer avtalet, bistånd när registrerade utövar sina rättigheter och skyldighet att säga till om en instruktion är otydlig eller strider mot GDPR.
Det är viktigt att behandlingen sker med tillräcklig säkerhet för att undvika personuppgiftsincidenter. Här förbinder sig biträdet att vidta lämpliga tekniska och organisatoriska åtgärder enligt GDPR artikel 32, att begränsa åtkomsten till behöriga personer och att logga åtkomst. Eventuella särskilda säkerhetskrav anges i bilaga 1.
När ett personuppgiftsbiträde behandlar personuppgifter får det oundvikligen tillgång till känslig information. Här regleras att biträdet och dess personal ska iaktta sekretess och tystnadsplikt, att personalen ska vara bunden av sekretessförbindelser och att sekretessen fortsätter att gälla även efter att avtalet har upphört.
Den personuppgiftsansvarige måste kunna kontrollera att biträdet följer avtalet. Här regleras att biträdet ska göra en egenkontroll minst en gång per år, att den ansvarige har rätt att granska biträdet och att tillsynsmyndigheten alltid ska ges möjlighet till tillsyn.
Om personuppgifter har behandlats felaktigt regleras här hur och inom vilken tid rättelse eller radering ska ske – i mallen senast inom 30 dagar. Här framgår också att biträdet ska informera i förväg om tekniska åtgärder som kan påverka behandlingen.
Om en personuppgiftsincident inträffar regleras här hur parterna ska agera. Biträdet ska underrätta den personuppgiftsansvarige utan onödigt dröjsmål – i mallen senast inom 24 timmar – och beskriva vad som har hänt, vilka konsekvenserna kan bli och vilka åtgärder som vidtagits. Det ger den ansvarige tid att anmäla incidenten till Integritetsskyddsmyndigheten (IMY) inom 72 timmar.
Personuppgiftsbiträdet har rätt att anlita de underbiträden som anges i bilaga 2. Ska ett nytt underbiträde anlitas måste den personuppgiftsansvarige informeras minst 30 dagar innan, och har då rätt att invända och säga upp avtalet. Biträdet ansvarar fullt ut för underbiträdets behandling.
Som huvudregel ska personuppgifterna behandlas och lagras inom EU/EES. Överföring till ett land utanför EU/EES kräver den personuppgiftsansvariges skriftliga godkännande och en giltig skyddsåtgärd enligt GDPR, till exempel ett beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler.
Vid felaktig behandling eller personuppgiftsincidenter kan den registrerade ha rätt till skadestånd. Ansvaret mellan parterna följer av GDPR artikel 82. Sanktionsavgifter som en tillsynsmyndighet beslutar om bärs av den part som har påförts avgiften.
Reglerar hur länge avtalet gäller – i mallen tills vidare med 30 dagars uppsägningstid. Om PUB-avtalet hör till ett huvudavtal gäller det minst så länge biträdet behandlar personuppgifter enligt huvudavtalet.
Varje ändring av avtalet ska vara skriftlig och undertecknad av båda parter för att vara giltig. Här regleras också rätten att begära omförhandling, till exempel om lagstiftningen ändras, och rätten för den personuppgiftsansvarige att säga upp avtalet med omedelbar verkan om den invänder mot ett nytt underbiträde.
Reglerar vad som sker när avtalet upphör: biträdet ska radera eller återlämna personuppgifterna, enligt den ansvariges val, senast inom 30 dagar. Sekretessen fortsätter att gälla även efter att avtalet upphört.
Reglerar hur parterna ska kommunicera med varandra, vilket underlättar både i det dagliga arbetet och i bevishänseende vid eventuella tvister.
Som huvudregel gäller svensk lag mellan två svenska avtalsparter. Parterna kan även välja om en eventuell tvist ska avgöras i allmän domstol eller genom skiljeförfarande. I den här mallen förespråkas allmän domstol.
Personuppgiftsansvariges instruktion för behandling av personuppgifter
I bilaga 1 anger den personuppgiftsansvarige närmare hur behandlingen ska gå till. GDPR kräver att föremål, varaktighet, art, ändamål, typ av personuppgifter och kategorier av registrerade framgår av avtalet.
Ange övergripande vad uppdraget avser, till exempel tillhandahållande av ett HR-verktyg för löneadministration eller en molntjänst för lagring av verksamhetsdata. Ange även ändamålet med behandlingen och behandlingens art, det vill säga vilka behandlingsåtgärder som ska utföras, till exempel insamling, lagring, läsning, strukturering eller överföring.
Ange vilka typer av personuppgifter som personuppgiftsbiträdet har rätt att behandla, till exempel namn, e-postadress, telefonnummer, personnummer eller IP-adress. Kryssa också i om behandlingen omfattar känsliga personuppgifter, till exempel hälsouppgifter, eller uppgifter om lagöverträdelser – sådana uppgifter kräver extra skydd.
Ange vilka kategorier av registrerade som personuppgiftsbiträdet har rätt att behandla personuppgifter om, till exempel anställda, kunder, konsulter, patienter eller elever.
Ange eventuella krav på gallring efter en viss tidsperiod, lagring av säkerhetskopior eller rutiner för behörighetshantering.
Ange vilka särskilda säkerhetsåtgärder som ska gälla, till exempel kryptering, behörighetsstyrning eller stark autentisering. Be gärna biträdet om dokumentation över hur personuppgifterna skyddas – utifrån den kan du bedöma om ytterligare åtgärder behövs.
Ange krav på vad som ska framgå av loggar, vilka som får ha tillgång till dem och hur länge de ska sparas.
Ange var personuppgifterna får lagras och behandlas samt eventuella instruktioner för överföring till tredje land, inklusive vilken skyddsåtgärd som ska användas.
Ange tidsperioden, eller de kriterier som används för att fastställa den, under vilken personuppgiftsbiträdet får behandla personuppgifter – till exempel så länge huvudavtalet gäller.
Lägg vid behov till ytterligare instruktioner för personuppgiftsbiträdets behandling, till exempel avseende förfarandet vid granskningar och inspektioner.
Förteckning över godkända underbiträden
Ange för varje underbiträde namn och organisationsnummer, säte eller adress, vilken behandling underbiträdet utför, i vilket land behandlingen sker samt vilken skyddsåtgärd som används om personuppgifter överförs till ett land utanför EU/EES. Länka gärna till underbiträdets integritetspolicy eller information om säkerhetsåtgärder.
Fixa signaturen enkelt och säkert med Netvisor Sign. Börja din gratis provperiod nu! Vi ger dig 5 signaturer att testa med.