Personuppgiftsbiträdesavtal

Vad är ett personuppgiftsbiträdesavtal?

Ett personuppgiftsbiträdesavtal (engelska: Data Processing Agreement, DPA) är ett juridiskt avtal som krävs enligt GDPR när en organisation (personuppgiftsansvarig) anlitar en extern part (personuppgiftsbiträde) för att behandla personuppgifter. Avtalet reglerar hur biträdet får hantera personuppgifterna.

Vad ska avtalet innehålla?

• Ändamål: Vilken behandling biträdet får utföra.
• Säkerhetsåtgärder: Tekniska och organisatoriska skyddsåtgärder.
• Underbiträden: Villkor för att anlita ytterligare biträden.
• Gallring: Hur data hanteras vid avtalets upphörande.
• Revision: Rätt för den ansvarige att granska biträdets behandling.

Alla som anlitar IT-leverantörer, molntjänster (SaaS), MSP:er eller andra som hanterar persondata behöver personuppgiftsbiträdesavtal.