Gå tillbaka

Personuppgiftsbiträdesavtal

Sammanfattning

Ett personuppgiftsbiträdesavtal, ofta kallat PUB-avtal eller DPA, krävs enligt GDPR när en personuppgiftsansvarig organisation låter en extern part behandla personuppgifter. Avtalet reglerar ändamålet med behandlingen, säkerhetsåtgärder, villkor för underbiträden och gallring av data. Alla som anlitar IT-leverantörer, molntjänster eller MSP:er behöver ett sådant avtal.



Vad är ett personuppgiftsbiträdesavtal?

Ett personuppgiftsbiträdesavtal (engelska: Data Processing Agreement, DPA) är ett juridiskt avtal som krävs enligt GDPR när en organisation (personuppgiftsansvarig) anlitar en extern part (personuppgiftsbiträde) för att behandla personuppgifter. Avtalet reglerar hur biträdet får hantera personuppgifterna. I praktiken kallas avtalet ofta PUB-avtal (på engelska DPA, Data Processing Agreement).

Vad ska avtalet innehålla?

  • Ändamål: Vilken behandling biträdet får utföra.
  • Säkerhetsåtgärder: Tekniska och organisatoriska skyddsåtgärder.
  • Underbiträden: Villkor för att anlita ytterligare biträden.
  • Gallring: Hur data hanteras vid avtalets upphörande.
  • Revision: Rätt för den ansvarige att granska biträdets behandling.

Alla som anlitar IT-leverantörer, molntjänster (SaaS), MSP:er eller andra som hanterar persondata behöver personuppgiftsbiträdesavtal.