Personuppgiftsbiträdesavtal (PUB-avtal) – gratis mall
Ett personuppgiftsbiträdesavtal (PUB-avtal) krävs enligt artikel 28 i GDPR så snart du låter någon annan behandla personuppgifter för din räkning. Det gäller fler leverantörer än de flesta tror: lönebyrån, molntjänsten, IT-konsulten, e-postleverantören och marknadsföringsverktyget.
Avtalet är inget frivilligt tillägg – saknas det bryter både du som personuppgiftsansvarig och leverantören som biträde mot förordningen, oavsett hur väl uppgifterna faktiskt hanteras.
Hämta mallen gratis
Välj PDF för att skriva ut och skriva under, eller Word om du vill ändra i mallen först. Filen skapas i din webbläsare – inget konto, ingen e-postadress.
När behövs ett PUB-avtal?
När en extern part behandlar personuppgifter enligt dina instruktioner och för ditt syfte. Bestämmer parten själv ändamål och medel är den i stället självständigt personuppgiftsansvarig – och då är det inte ett PUB-avtal ni ska skriva.
- Molntjänster och SaaS där kunduppgifter lagras.
- Lönebyrå, redovisningsbyrå och HR-system.
- IT-drift, support och utvecklingskonsulter med åtkomst till system.
- Nyhetsbrevsverktyg, CRM och analystjänster.
- Underleverantörer som hanterar kundregister eller bokningar.
Det här måste avtalet innehålla enligt artikel 28
GDPR listar innehållet uttryckligen – saknas någon punkt är avtalet ofullständigt:
- Föremålet för behandlingen, dess varaktighet, art och ändamål.
- Vilka typer av personuppgifter och kategorier av registrerade som berörs.
- Att biträdet bara behandlar uppgifterna enligt dokumenterade instruktioner från dig.
- Att alla som behandlar uppgifterna omfattas av tystnadsplikt.
- Att lämpliga säkerhetsåtgärder enligt artikel 32 vidtas.
- Villkor för att anlita underbiträden – och din rätt att godkänna dem.
- Bistånd till dig vid registrerades begäran om registerutdrag, rättelse och radering.
- Bistånd vid personuppgiftsincidenter och konsekvensbedömningar.
- Att uppgifterna raderas eller återlämnas när uppdraget upphör.
- Din rätt till granskning och revision av biträdets efterlevnad.
Underbiträden och tredjelandsöverföring
Biträden anlitar nästan alltid egna underleverantörer – molnleverantörer, supportbolag, datacenter. Kräv en förteckning över samtliga underbiträden och att du underrättas i förväg vid byte, så att du hinner invända.
Överförs uppgifter utanför EU/EES krävs dessutom en giltig överföringsgrund, i praktiken oftast EU-kommissionens standardavtalsklausuler kompletterade med en bedömning av mottagarlandets lagstiftning. Skriv in i avtalet var uppgifterna får behandlas geografiskt.
Vanliga misstag att undvika
- Avtal saknas med de självklara leverantörerna – lönebyrån och e-postleverantören glöms oftast bort.
- Ingen underbiträdesförteckning – då vet du inte vilka som faktiskt har åtkomst till era uppgifter.
- Ingen reglering av vad som händer vid avslut – uppgifterna ska raderas eller återlämnas, inte ligga kvar i leverantörens backuper på obestämd tid.
- Leverantörens standardavtal skrivs under oläst – många innehåller vidsträckta rättigheter till egen användning av data, vilket ändrar rollfördelningen helt.
- PUB-avtalet förväxlas med sekretessavtal – de löser olika saker. Ett sekretessavtal skyddar din affärsinformation, PUB-avtalet reglerar behandlingen av personuppgifter enligt GDPR. Anlitar du en konsult behövs ofta båda, utöver konsultavtalet.
Fyll i personuppgiftsbiträdesavtal online
Svara på frågorna så får du ett färdigt dokument som PDF eller Word – gratis, direkt i webbläsaren. Uppgifterna lämnar aldrig din enhet. Inget fält är obligatoriskt: det du lämnar tomt blir ifyllnadslinjer i dokumentet.
- Avsändare
- Parter
- Behandlingen
- Underbiträden och geografisk behandling
- Granskning och avslut
- Ladda ner
Vanliga frågor om personuppgiftsbiträdesavtal
Vad är ett PUB-avtal?
PUB-avtal är den vanliga förkortningen för personuppgiftsbiträdesavtal: avtalet mellan den som är ansvarig för personuppgifterna och den leverantör som behandlar dem på uppdrag. GDPR kräver ett sådant avtal i artikel 28, och det ska bland annat reglera ändamål, säkerhet, underbiträden och vad som händer med uppgifterna när uppdraget upphör.
Vem är personuppgiftsansvarig och vem är biträde?
Den som bestämmer ändamål och medel för behandlingen är personuppgiftsansvarig – normalt du som anlitar tjänsten. Den som behandlar uppgifterna enligt dina instruktioner är biträde. Avgör parten själv varför och hur uppgifterna används är den i stället egen personuppgiftsansvarig, och då krävs ingen PUB.
Vad händer om vi saknar PUB-avtal?
Det är i sig en överträdelse av GDPR och kan leda till sanktionsavgift för båda parter. Integritetsskyddsmyndigheten efterfrågar rutinmässigt biträdesavtal vid tillsyn, så avsaknaden upptäcks ofta i samband med annan granskning.
Räcker leverantörens eget PUB-avtal?
Ofta ja – större leverantörer har genomarbetade avtal. Läs ändå igenom underbiträdesvillkoren, var uppgifterna behandlas geografiskt och vad som gäller vid avslut. Det är där standardavtal oftast är svagast ur din synvinkel.
Kan jag ladda ner personuppgiftsbiträdesavtal i Word?
Ja. Personuppgiftsbiträdesavtal finns både som Word-fil (.docx) och som PDF – välj format med knapparna högst upp på sidan. Word-versionen går att redigera om du vill ändra formuleringar eller lägga till egna villkor först, medan PDF:en är färdig att skriva ut och skriva under. Båda filerna skapas direkt i din webbläsare: inget konto, ingen e-postadress.