Personuppgiftsbiträdesavtal (PUB-avtal) – gratis mall

När behövs ett PUB-avtal?

När en extern part behandlar personuppgifter enligt dina instruktioner och för ditt syfte. Bestämmer parten själv ändamål och medel är den i stället självständigt personuppgiftsansvarig – och då är det inte ett PUB-avtal ni ska skriva.

• Molntjänster och SaaS där kunduppgifter lagras.
• Lönebyrå, redovisningsbyrå och HR-system.
• IT-drift, support och utvecklingskonsulter med åtkomst till system.
• Nyhetsbrevsverktyg, CRM och analystjänster.
• Underleverantörer som hanterar kundregister eller bokningar.

Det här måste ett PUB-avtal innehålla enligt artikel 28

GDPR listar innehållet uttryckligen – saknas någon punkt är avtalet ofullständigt:

• Föremålet för behandlingen, dess varaktighet, art och ändamål.
• Vilka typer av personuppgifter och kategorier av registrerade som berörs.
• Att biträdet bara behandlar uppgifterna enligt dokumenterade instruktioner från dig, även i fråga om överföring till tredjeland.
• Att biträdet omedelbart säger till om en instruktion strider mot GDPR.
• Att alla som behandlar uppgifterna omfattas av tystnadsplikt.
• Att lämpliga säkerhetsåtgärder enligt artikel 32 vidtas.
• Villkor för att anlita underbiträden – din rätt att godkänna dem, att de binds av samma skyldigheter genom avtal och att biträdet är fullt ansvarigt mot dig för dem.
• Bistånd till dig vid registrerades begäran om registerutdrag, rättelse och radering.
• Bistånd vid personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd med Integritetsskyddsmyndigheten.
• Att uppgifterna raderas eller återlämnas när uppdraget upphör.
• Att biträdet ger dig all information som behövs för att visa att skyldigheterna fullgörs, och möjliggör granskning och inspektion.

Underbiträden och tredjelandsöverföring

Biträden anlitar nästan alltid egna underleverantörer – molnleverantörer, supportbolag, datacenter. Kräv en förteckning över samtliga underbiträden och att du underrättas i förväg vid byte, så att du hinner invända.

Överförs uppgifter utanför EU/EES krävs dessutom en giltig överföringsgrund, till exempel ett beslut om adekvat skyddsnivå (för USA gäller det mottagare som är certifierade enligt EU–US Data Privacy Framework) eller EU-kommissionens standardavtalsklausuler, kompletterade med en bedömning av mottagarlandets lagstiftning. Skriv in i avtalet var uppgifterna får behandlas geografiskt.

Vanliga misstag att undvika

• Avtal saknas med de självklara leverantörerna – lönebyrån och e-postleverantören glöms oftast bort.
• Ingen underbiträdesförteckning – då vet du inte vilka som faktiskt har åtkomst till era uppgifter.
• Ingen reglering av vad som händer vid avslut – uppgifterna ska raderas eller återlämnas, inte ligga kvar i leverantörens backuper på obestämd tid.
• Leverantörens standardavtal skrivs under oläst – många innehåller vidsträckta rättigheter till egen användning av data, vilket ändrar rollfördelningen helt.
• PUB-avtalet förväxlas med sekretessavtal – de löser olika saker. Ett sekretessavtal skyddar din affärsinformation, PUB-avtalet reglerar behandlingen av personuppgifter enligt GDPR. Anlitar du en konsult behövs ofta båda, utöver konsultavtalet.