Personuppgiftsbiträdesavtal Mallpaket 2026 – PUB/DPA Word/PDF

Detta ingår i paketet

Tre verifierade nedladdningsobjekt är kopplade till produkten:

• 01_Personuppgiftsbitradesavtal_PUB_DPA_2026.docx – redigerbart huvudavtal.
• 01_Personuppgiftsbitradesavtal_PUB_DPA_2026.pdf – motsvarande PDF.
• Personuppgiftsbitradesavtal_PUB_DPA_Mallpaket_2026_WORD_PDF.zip – samlat arkiv.

Enligt den tidigare paketöversikten ingår fem dokumenttyper med tio Word/PDF-versioner på totalt 26 sidor. ZIP-arkivets interna filförteckning har inte inventerats, varför dessa tillägg inte kan bekräftas som separata nedladdningsfiler. Svenska, version 1.0.

Vad filerna innehåller

Huvudavtalet reglerar behandlingsinstruktioner, ansvar, konfidentialitet, säkerhet, underbiträden, incidenter, granskning och hur personuppgifter ska hanteras vid avtalets slut. Den publicerade paketöversikten beskriver dessutom separata stöd för behandlingsinstruktion, säkerhetsåtgärder, underbiträdesregister och leverantörsuppföljning; deras exakta filer inuti ZIP behöver kontrolleras.

Fem dokumenttyper enligt befintlig innehållsförteckning

• Personuppgiftsbiträdesavtal / DPA 2026 – huvudavtal med 22 klausuler och fyra integrerade avtalsbilagor.
• Biträdesinstruktion & behandlingsbilaga – arbetsblad för rollkontroll, behandlingar, dataflöden, lagring, instruktioner och kontaktvägar.
• Säkerhetsbilaga / TOM – detaljerad mall för tekniska och organisatoriska säkerhetsåtgärder.
• Underbiträdes- & tredjelandsregister – register, TIA-screening, ändringsmeddelande och process för godkännande/invändning.
• Leverantörsgranskning, incident & radering – due diligence, incidentformulär, stöd vid registrerades begäran, raderingsintyg och årlig uppföljning.

Utformat för minimikraven i artikel 28 GDPR

Huvudavtalet reglerar de centrala krav som ska finnas i ett avtal mellan en personuppgiftsansvarig och ett personuppgiftsbiträde. Det omfattar bland annat behandlingens föremål och varaktighet, behandlingens art och ändamål, kategorier av registrerade och typer av personuppgifter samt den personuppgiftsansvarigas rättigheter och skyldigheter.

Avtalet innehåller dessutom bestämmelser om att behandling endast får ske enligt dokumenterade instruktioner, konfidentialitet, lämpliga säkerhetsåtgärder, underbiträden, bistånd med registrerades rättigheter, stöd vid skyldigheterna enligt artiklarna 32–36 GDPR, radering eller återlämnande vid avtalets slut samt den personuppgiftsansvarigas rätt till information, granskning och inspektion.

Dokumenterade instruktioner

En vanlig svaghet i generella PUB-avtal är att behandlingen beskrivs för vagt. Paketet innehåller därför en särskild behandlingsinstruktion där parterna kan dokumentera exakt vilken tjänst och behandling som omfattas, varför behandlingen sker, vilka system som används, vilka registrerade som berörs, vilka personuppgifter som behandlas och hur länge uppgifterna ska lagras.

Det finns även en separat instruktionstabell där varje behandling kan kopplas till system, tillåten åtgärd och lagringstid. Detta gör det enklare att visa vad biträdet faktiskt har fått i uppdrag att göra.

Rollkontroll – ansvarig eller biträde?

Det räcker inte att parterna kallar leverantören för personuppgiftsbiträde. Roller enligt GDPR bestäms av de faktiska omständigheterna. Behandlingsbilagan innehåller därför en praktisk rollkontroll med frågor om vem som bestämmer ändamålet, vem som bestämmer de väsentliga medlen och om leverantören använder uppgifter för egna självständiga ändamål.

Detta hjälper köparen att upptäcka situationer där en leverantör kan vara självständigt personuppgiftsansvarig för en viss behandling eller där ytterligare reglering behöver övervägas.

Underbiträden

Avtalet innehåller två tydliga alternativ för underbiträden: särskilt skriftligt tillstånd för varje underbiträde eller ett allmänt skriftligt tillstånd med förhandsinformation om planerade tillägg och byten.

Det separata underbiträdesregistret innehåller fält för leverantör, tjänst, data, registrerade, behandlingsland och godkännande. Paketet innehåller dessutom ett färdigt ändringsmeddelande som biträdet kan använda när ett nytt eller ändrat underbiträde ska introduceras, samt en struktur för den personuppgiftsansvarigas godkännande eller objektiva dataskyddsinvändning.

Tredjelandsöverföringar och SCC

Internationella molntjänster och supportkedjor kan medföra att personuppgifter överförs eller görs tillgängliga utanför EU/EES. Mallen har därför ett separat tredjelandsregister och en praktisk screening för internationella överföringar.

Registret kan dokumentera mottagare, land, roll, berörda uppgifter, överföringsmekanism enligt kapitel V GDPR och eventuella kompletterande skyddsåtgärder. Screeningdelen hjälper verksamheten att kontrollera bland annat adekvansbeslut, SCC, rätt modul, kompletterande skydd och vidareöverföringar.

Viktigt: denna mall återger inte EU-kommissionens standardavtalsklausuler ordagrant och marknadsförs inte som ett oförändrat SCC-dokument. Om officiella SCC används för en tredjelandsöverföring ska de relevanta originalklausulerna användas enligt EU-kommissionens instruktioner.

Säkerhetsbilaga / TOM

Paketets säkerhetsbilaga gör det möjligt att dokumentera tekniska och organisatoriska åtgärder på ett konkret sätt. Den omfattar bland annat säkerhetsstyrning, identitet och åtkomst, MFA, kryptering, nyckelhantering, system- och applikationssäkerhet, patchning, loggning, backup, kontinuitet, incidenthantering, personal, leverantörer, fysisk säkerhet, dataminimering och radering.

Varje säkerhetskrav kan markeras som uppfyllt, delvis uppfyllt eller inte uppfyllt och kompletteras med beskrivning eller bevis. Det finns också fält för certifieringar, penetrationstest, oberoende revision, öppna risker och kundspecifika tilläggskrav.

Personuppgiftsincidenter

Personuppgiftsbiträdet ska underrätta den personuppgiftsansvariga utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident. Huvudavtalet innehåller därför incidentklausuler och möjlighet att avtala om en kortare intern målfrist för första notifiering.

Det operativa dokumentet innehåller ett särskilt incidentformulär för tidpunkt, berörda system, kategorier av registrerade och personuppgifter, ungefärligt antal poster, sannolika konsekvenser, skadebegränsande åtgärder, bevis/loggar och nästa uppdatering.

Registrerades rättigheter och bistånd

Biträdet ska, med hänsyn till behandlingens art, hjälpa den personuppgiftsansvariga att fullgöra skyldigheter mot registrerade. Paketet innehåller därför en särskild ärendemall för exempelvis tillgång, rättelse, radering, begränsning, portabilitet och invändning, med spårning av mottagande, vidarebefordran, system som ska sökas och utförd åtgärd.

Leverantörsgranskning före avtal

Den personuppgiftsansvariga ska anlita biträden som kan ge tillräckliga garantier för att lämpliga tekniska och organisatoriska åtgärder genomförs. Paketet innehåller därför en konkret due-diligence-checklista för leverantörer.

Checklistan bedömer bland annat roll, säkerhet, incidenthantering, underbiträden, tredjeland, registrerades rättigheter, radering, revision, kontinuitet och personalsäkerhet. Resultatet kan sammanfattas som låg, medel eller hög risk och dokumenteras som godkänt, villkorat godkänt eller inte godkänt.

Radering och återlämnande när avtalet upphör

Huvudavtalet och det operativa dokumentet innehåller stöd för den personuppgiftsansvarigas val mellan återlämnande och radering. Det finns särskilda fält för aktiva system, underbiträden, backupcykler, kvarvarande lagkrav, verifieringsmetod och sista raderingsdatum.

Det separata raderings-/återlämningsintyget gör det möjligt att dokumentera att avvecklingen faktiskt har genomförts – något som ofta saknas när ett leverantörsavtal avslutas.

Granskning och revision

Avtalet reglerar biträdets skyldighet att tillhandahålla information som behövs för att visa efterlevnad och att möjliggöra och bidra till granskningar och inspektioner. Mallen tillåter praktisk användning av relevanta revisionsrapporter, certifieringar och andra verifierbara underlag, men utan att avtala bort den personuppgiftsansvarigas rätt enligt artikel 28.