Ja, ni behöver ett data processing agreement (databehandlingsavtal) så snart en extern part behandlar personuppgifter på er vägnar. Artikel 28 i GDPR kräver ett skriftligt avtal mellan personuppgiftsansvarig och personuppgiftsbiträde innan behandlingen påbörjas, inte efteråt. Saknas avtalet, eller är det bristfälligt, ligger ansvaret hos er som ansvarig. Upprätta eller uppdatera avtalet innan ni släpper in en ny leverantör i systemen.
Kort sagt:
- Ett databehandlingsavtal krävs enligt GDPR så snart en extern part hanterar personuppgifter för er räkning, och ska vara på plats innan behandlingen börjar.
- Rollen som personuppgiftsansvarig eller biträde avgörs av vem som bestämmer ändamål och medel för databehandlingen, inte vad avtalet kallas.
- Avtalet måste innehålla tydliga punkter om behandlingsföremål, varaktighet, datatyper, instruktioner, säkerhetsåtgärder, underbiträden och rutiner vid incidenter, annars riskerar det att underkännas.
- Begär bevis på säkerhetsåtgärder, som certifikat eller revisionsrapporter, för att verifiera att leverantören följer GDPR-kraven för datasäkerhet.
- Regelbunden granskning och dokumentation av DPA:er och roller är avgörande för att undvika regelefterlevnadsrisker och säkerställa att avtal, säkerhetsåtgärder och underbiträden är aktuella.
Innehållsförteckning
- När ska ni upprätta ett DPA? Funktionell rollbedömning och tidpunkt
- Obligatoriska klausuler enligt artikel 28: vad avtalet måste innehålla
- Säkerhet, incidenthantering och revisionsbevis: vad ni bör begära
- Underbiträden: hur ni reglerar ändringar och godkännandeprocessen
- Internationella överföringar: SCC och andra mekanismer
- Vanliga misstag som skapar regelefterlevnadsrisker
- Checklista: snabbrevision av befintliga DPA
- Hur man genomför en riskbedömning kopplat till databehandlingen
- Regelverkets påverkan på DPA i olika branscher
- Praktiska exempel på hur en DPA utformas och implementeras
- Författarperspektiv och praktiska tips från Trustview
- Så stödjer Trustview er DPA-hantering och leverantörsuppföljning
- Källor
- Vanliga frågor
När ska ni upprätta ett DPA? Funktionell rollbedömning och tidpunkt
Rollen avgörs inte av vad avtalet kallar parterna, utan av vem som faktiskt bestämmer ändamål och medel för behandlingen. Den som beslutar varför data samlas in och hur den ska användas är personuppgiftsansvarig. Den som bara utför uppgiften enligt instruktion är biträde. IMY:s tillsynspraxis visar att felaktig rollbestämning är en återkommande brist, oavsett vad kontraktet påstår.
Följande aktiviteter kräver nästan alltid ett DPA:
- Molntjänster som lagrar eller bearbetar personuppgifter, till exempel CRM eller e-post.
- IT-support och drift där leverantören har tillgång till produktionsdata.
- Lönehantering, HR-system och rekryteringsplattformar.
- Analysverktyg som behandlar personuppgifter om kunder eller besökare.
Dokumentera rollbedömningen skriftligt, även när svaret verkar självklart. Vid en granskning är det den skriftliga motiveringen, inte magkänslan, som avgör om ni klarar er. Läs mer om gränsdragningen mellan roller innan ni tecknar nästa leverantörsavtal.
Obligatoriska klausuler enligt artikel 28: vad avtalet måste innehålla
Artikel 28.3 anger uttryckligen vad ett giltigt databehandlingsavtal måste reglera. Ett avtal som saknar någon av dessa punkter riskerar att underkännas vid tillsyn:
- Föremål och varaktighet för behandlingen, det vill säga vad som behandlas och under hur lång tid.
- Behandlingens natur och ändamål, formulerat konkret nog för att kunna kontrolleras.
- Typ av personuppgifter och kategorier av registrerade, exempelvis kunder, anställda eller patienter.
- Dokumenterade instruktioner från den personuppgiftsansvariga, som biträdet endast får avvika från med lagligt stöd.
- Tystnadsplikt för alla som har tillgång till uppgifterna hos biträdet.
- Säkerhetsåtgärder enligt artikel 32, kopplade till den faktiska risken i behandlingen.
- Villkor för underbiträden, inklusive godkännandeprocess och ansvarsöverföring.
- Bistånd vid utövande av registrerades rättigheter, till exempel radering eller dataportabilitet.
- Bistånd vid incidenter enligt artiklarna 33 och 34, inklusive tidsramar för underrättelse.
- Radering eller återlämning av data vid avtalets upphörande, med bekräftelse.
- Rätt till revision, inklusive tillgång till information som styrker efterlevnad.
Dessa punkter enligt GDPR-texten är en checklista i sig. Saknas en enda punkt är avtalet ofullständigt, oavsett hur professionellt det ser ut.
Säkerhet, incidenthantering och revisionsbevis: vad ni bör begära
Artikel 32 kräver att biträdet vidtar tekniska och organisatoriska åtgärder som står i proportion till risken. Det räcker inte att avtalet nämner “lämpliga åtgärder” i allmänna ordalag. Begär konkreta beskrivningar:
- Kryptering av data i vila och under överföring.
- Behörighetsstyrning (IAM) med spårbar loggning av åtkomst.
- Rutiner för säkerhetskopiering och återställning.
- Regelbundna penetrationstester eller sårbarhetsskanningar.
Biträdet ska enligt artikel 28 bistå er när ni ska uppfylla skyldigheterna i artiklarna 32 till 36, vilket inkluderar stöd vid en anmälan till IMY och svar på förfrågningar från registrerade. Kräv därför bevis, inte bara löften: certifikat som ISO 27001, revisionsrapporter (SOC 2) eller sammanfattningar av senaste testresultat.
Proffstips: Begär att leverantören skickar sitt senaste penetrationstest eller revisionscertifikat innan ni signerar, inte efter första incidenten. Ett avtal utan verifierbara bevis är ett löfte, inte en garanti.
Underbiträden: hur ni reglerar ändringar och godkännandeprocessen
Ett vanligt fel är svaga klausuler om underbiträden där godkännande sker i efterhand snarare än proaktivt. Två modeller förekommer: specifikt godkännande för varje nytt underbiträde, eller en generell lista där biträdet måste varsla er i förväg och ge er rätt att invända.
En fungerande underbiträdeslista bör innehålla:
- Namn och etableringsland för varje underbiträde.
- Vilken del av behandlingen underbiträdet utför.
- Vilka säkerhetsåtgärder underbiträdet omfattas av.
Biträdet ansvarar fullt ut gentemot er om ett underbiträde brister, oavsett vad underleverantörens eget avtal säger. Se därför till att avtalet är tydligt om att ert biträde bär det ansvaret, inte bara att de “ska se till att” underbiträdet följer reglerna.
Internationella överföringar: SCC och andra mekanismer
När data lämnar EU/EES krävs en godkänd överföringsmekanism. De vanligaste alternativen är ett beslut om adekvat skyddsnivå för mottagarlandet, eller EU-kommissionens standardavtalsklausuler (SCC) tillsammans med kompletterande tekniska åtgärder vid behov.
SCC blir en del av DPA genom bilagor som specificerar ändamål, datakategorier och tekniska skyddsåtgärder. Många organisationer använder standardiserade klausuler just för att minska risken vid dessa överföringar, snarare än att förhandla egna villkor för varje land.
Vanliga fallgropar:
- Att signera SCC utan att fylla i bilagorna korrekt.
- Att glömma bedöma mottagarlandets lagstiftning innan överföringen påbörjas.
- Att blanda ihop SCC med huvudavtalet så att villkoren motsäger varandra.
Vanliga misstag som skapar regelefterlevnadsrisker
De flesta bristerna upprepar sig oavsett bransch:
- Att avtala bort roller utan en funktionell bedömning, i tron att avtalstexten räcker för att göra en part till biträde.
- Att förlita sig blint på leverantörens standardvillkor, som ofta är skrivna för att skydda leverantören, inte er.
- Bristande uppföljning, där DPA:et tecknades för tre år sedan men bilagorna aldrig uppdaterats när tjänsten förändrats.
Motåtgärden är enkel att formulera men kräver disciplin: gör om rollbedömningen vid varje väsentlig förändring, och läs igenom leverantörens villkor mot artikel 28 innan ni signerar, inte efter.
Checklista: snabbrevision av befintliga DPA
Prioritera enligt en modell där kontroll över underbiträden, bevis på tekniska åtgärder, rutiner för incidenthantering och avslutsrutiner vägs tyngst, eftersom det är just dessa punkter som återkommer i tillsynsärenden.
- Bekräfta grundkraven i artikel 28: finns alla elva punkterna med, och är de specifika för er behandling?
- Kontrollera underbiträdeslistan: är den aktuell, och har ni faktiskt fått varsel vid senaste ändringen?
- Granska säkerhetsbilagan: matchar den vad leverantören faktiskt gör, eller är den en generisk text?
- Testa incidentklausulen: anger den en tidsram för underrättelse, och vem som gör vad?
- Verifiera avslutsrutinen: beskriver avtalet konkret hur radering eller återlämning bekräftas?
Sortera fynden i tre kategorier: åtgärd A (kritisk brist, kräver omedelbar omförhandling), åtgärd B (behöver kompletteras inom kvartalet) och åtgärd C (mindre justering vid nästa förnyelse). En checklista för leverantörsbedömningar hjälper er hålla ordning på vilka avtal som ligger i vilken kategori.
Hur man genomför en riskbedömning kopplat till databehandlingen
En riskbedömning inför ett DPA börjar med att kartlägga vilka personuppgifter som behandlas, i vilken volym och hur känsliga de är. Behandling av hälsodata, biometri eller uppgifter om barn kräver en noggrannare genomgång än administrativ behandling av kontaktuppgifter.
Bedöm därefter sannolikheten och konsekvensen av att något går fel: dataintrång, obehörig åtkomst eller felaktig delning med tredje part. Om risken bedöms som hög, inte bara teoretisk utan sannolik och med allvarlig påverkan på registrerade, krävs i regel en konsekvensbedömning (DPIA) innan behandlingen påbörjas. DPA:et och DPIA:n hänger ihop: bedömningen av biträdets säkerhetsåtgärder blir en direkt input till riskanalysen, och tvärtom.
Praktiskt går ni igenom fyra frågor för varje ny leverantörsrelation: Vilka uppgifter delas? Vem hos leverantören har åtkomst? Vilka säkerhetsåtgärder finns dokumenterade? Vad händer om leverantören drabbas av ett intrång? Svaren avgör hur strikta klausuler ni behöver kring säkerhet, revision och underrättelse.
Riskbedömningen bör inte vara en engångsinsats. En leverantör som får utökad åtkomst, byter underbiträde eller flyttar databehandling till ett nytt land förändrar riskbilden, och DPA:et bör då granskas igen. Den som kopplar samman DPIA-processen med den löpande leverantörsuppföljningen slipper upptäcka problem först vid en tillsyn. Se guiden om konsekvensbedömningar för en fördjupning i hur DPIA och DPA samspelar i praktiken.
Regelverkets påverkan på DPA i olika branscher
Kraven i artikel 28 gäller lika för alla branscher, men den praktiska tillämpningen skiljer sig kraftigt beroende på vilken typ av data som behandlas. Inom hälso- och sjukvårdssektorn behandlas ofta känsliga personuppgifter enligt artikel 9, vilket innebär att säkerhetsåtgärderna i DPA:et måste vara strängare och mer detaljerade än för allmän kontaktdata. Ett avtal med ett journalsystem eller en laboratorieleverantör bör specificera exakt vilka roller inom vårdorganisationen som har åtkomst, och hur länge uppgifterna sparas innan de raderas.
Finanssektorn har en annan komplikation: sektorsspecifik reglering som penningtvättslagen och betaltjänstdirektiv kan kräva längre lagringstider än vad GDPR normalt tillåter av leverantörer. Det innebär att DPA:et måste balansera raderingsskyldigheten mot lagstadgade bevarandekrav, en avvägning som sällan syns i generiska mallar. Betalningsdata och kreditupplysningar kräver också extra noggranna klausuler om underbiträden, eftersom betalningsflöden ofta involverar flera tekniska leverantörer i kedjan.
Offentlig sektor i Sverige har istället utvecklat egna standarder genom SKR:s PUB-mallar, som kommuner och regioner använder för att dokumentera behandlingens särskilda karaktär i strukturerade bilagor. Fördelen är konsekvens mellan olika kommunala avtal, men mallen måste fortfarande anpassas till varje enskild behandling, annars blir bilagan lika tom som ett generiskt kontrakt.
Praktiska exempel på hur en DPA utformas och implementeras
Ett konkret exempel: ett företag upphandlar ett nytt HR-system som ska hantera löneuppgifter, sjukfrånvaro och bankuppgifter för samtliga anställda. Innan avtalet tecknas görs en funktionell rollbedömning som fastställer att leverantören är biträde, eftersom företaget bestämmer ändamål och medel för behandlingen. DPA:et bifogas huvudavtalet som en separat bilaga, med en specifik beskrivning av datakategorier (löneuppgifter, kontonummer, sjukskrivningsintervall) snarare än en vag hänvisning till “personaldata”.
Säkerhetsbilagan anger konkret vilka åtgärder leverantören tillämpar: kryptering av data i vila, multifaktorautentisering för administratörskonton och loggning av all åtkomst till lönesystemet. Underbiträdeslistan bifogas separat och uppdateras varje kvartal, med en klausul om att företaget måste underrättas minst 30 dagar innan ett nytt underbiträde tillkommer.
Implementeringen slutar inte vid signering. Avtalet kopplas till en intern rutin där ansvarig jurist granskar bilagorna vid varje förnyelse, och HR-avdelningen rapporterar om systemets användning förändras, till exempel om en ny modul för rekrytering läggs till. Den kopplingen mellan juridiskt ansvar och operativ uppföljning är ofta det som skiljer ett DPA som fungerar i praktiken från ett som bara ligger i en pärm. Genom att standardisera denna process för varje ny leverantör, med samma mall för rollbedömning, säkerhetsbilaga och uppföljningsschema, blir implementeringen repeterbar snarare än en engångsinsats för varje nytt inköp.
Författarperspektiv och praktiska tips från Trustview
Det vanligaste felet jag ser är inte att DPA:er saknas, utan att de blir statiska dokument som ingen rör efter signering. Ett avtal som var korrekt för tre år sedan speglar sällan dagens datamängder, underbiträden eller riskbild. Den verkliga skillnaden mellan organisationer som klarar en tillsyn och de som inte gör det ligger sällan i avtalstexten, utan i om någon faktiskt läser om den varje år.
En plattform som samlar leverantörsbedömningar, säkerhetsbevis och avtalsuppdateringar på ett ställe gör den årliga översynen till en rutin snarare än ett detektivarbete. Sätt ett fast datum för granskning, koppla det till er leverantörslista, och gör om rollbedömningen varje gång tjänsten förändras väsentligt.
— Jesper
Så stödjer Trustview er DPA-hantering och leverantörsuppföljning
En digital plattform kan vara ett alternativ till att jaga avtalsbilagor i mejlkorgar och delade dokument. Genom att samla registerförteckningar, leverantörsbedömningar och riskloggar på ett ställe kan varje DPA kopplas direkt till den behandling det gäller, i stället för att ligga isolerat i en avtalspärm.
Ni kan strukturera underbiträdeslistor, spåra säkerhetsbevis från leverantörer och sätta automatiska påminnelser för årlig översyn, precis den rutin som skiljer ett fungerande DPA från ett glömt dokument. Funktionerna för leverantörsbedömning och internkontroll hjälper er att prioritera vilka avtal som behöver åtgärdas först, enligt samma A/B/C-modell som checklistan ovan. Boka en genomgång med Trustview och se hur er nästa leverantörsgranskning kan bli en rutin i stället för ett brandkårsutryckning.
Källor
För djupare läsning, gå direkt till primärkällorna. IMY:s vägledning om biträdesavtal förklarar rollfördelningen enligt svensk tillsynspraxis. Själva förordningstexten ger den bindande lydelsen av artikel 28 och 32 till 36. EU-kommissionens SCC-beslut styr internationella överföringar, medan SKR:s PUB-mallar fungerar som nationellt referensexempel för offentlig sektor. Se även Adverbums genomgång av GDPR för språktjänster för ett branschexempel på underbiträdeshantering.
This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.
- Personuppgiftsbiträdesavtal | IMY
- GDPR (Regulation (EU) 2016/679) — EUR-Lex
- PUB-avtal: vad det är och när du måste ha ett — SKR
Vanliga frågor
Vad är ett data processing agreement?
Ett data processing agreement, eller databehandlingsavtal, är ett skriftligt avtal mellan personuppgiftsansvarig och personuppgiftsbiträde som reglerar hur biträdet får behandla personuppgifter enligt artikel 28 i GDPR.
Är ett DPA obligatoriskt?
Ja, artikel 28 gör det obligatoriskt så snart en extern part behandlar personuppgifter för er räkning, oavsett bransch eller organisationens storlek.
Vad måste ett databehandlingsavtal innehålla?
Avtalet måste bland annat reglera föremål, varaktighet, natur och ändamål med behandlingen, datatyper, instruktioner, säkerhetsåtgärder, underbiträden, bistånd vid incidenter och rutiner för radering eller återlämning vid avtalets slut.
Är ett DPA samma som en sekretessöverenskommelse (NDA)?
Nej. En NDA skyddar affärshemligheter mellan parter, medan ett DPA reglerar den rättsliga grunden och skyldigheterna för behandling av personuppgifter enligt GDPR. De kan förekomma parallellt men fyller olika juridiska funktioner.
Hur ofta bör vi granska befintliga DPA:er?
En årlig genomgång är rimlig för de flesta leverantörsrelationer, men granska avtalet omedelbart om leverantören byter underbiträde, utökar datamängden eller flyttar behandlingen till ett nytt land.
