Personuppgiftsbiträdesavtal: vad ska ni granska innan ni skriver under?

Publicerad 5 november 2026

Sammanfattning: Innan ni skriver under ett personuppgiftsbiträdesavtal ska ni kontrollera att det täcker alla krav i GDPR artikel 28.3 och beskriver hur de uppfylls i er behandling, i stället för att upprepa lagtexten. Granska särskilt underbiträden, hjälpen vid personuppgiftsincidenter och registrerades begäranden, vad som händer med uppgifterna vid avslut och er rätt till granskning. Varje överföring utanför EU/EES behöver stöd i kapitel V. För löpande leverantörsöverföringar är det normalt ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder, till exempel standardavtalsklausuler med en dokumenterad överföringsbedömning. Undantagen i artikel 49 är avsedda för särskilda situationer och är ingen normal lösning för löpande outsourcing. Leverantörens standardvillkor flyttar inte ansvaret från er.

Varför granskningen är ert ansvar

Enligt artikel 28.1 får ni som personuppgiftsansvarig bara anlita personuppgiftsbiträden som ger tillräckliga garantier för att behandlingen uppfyller kraven i GDPR och skyddar de registrerades rättigheter. Det är ni som ska bedöma garantierna och kunna visa att ni har gjort det. Avtalet ska vara skriftligt, vilket enligt artikel 28.9 även kan vara i elektroniskt format.

Enligt riktlinjer 07/2020 från Europeiska dataskyddsstyrelsen (EDPB) är de garantier som räknas de som leverantören kan visa, till exempel med en informationssäkerhetspolicy, rapporter från externa granskningar eller certifieringar inom ISO 27000-serien. En certifiering är en del av underlaget men ersätter inte avtalet. Bedömningen ska också göras om med lämpliga intervall.

I vår indelning av GDPR i 15 delar hör det här till del 12, leverantörer och överföringar.

Det här måste avtalet innehålla enligt artikel 28.3

Avtalet ska ange föremålet för behandlingen, varaktigheten, behandlingens art och ändamål, typen av personuppgifter, kategorierna av registrerade samt era skyldigheter och rättigheter. Därutöver ska åtta punkter regleras. Enligt EDPB ska avtalet beskriva konkret hur kraven uppfylls i den aktuella behandlingen, inte bara upprepa förordningen.

Krav i artikel 28.3	Det här kontrollerar ni
a) Dokumenterade instruktioner	Behandling bara enligt era dokumenterade instruktioner, även vid överföringar till tredjeland. Se upp med villkor som låter leverantören använda uppgifterna för egna ändamål: enligt artikel 28.10 blir ett biträde som bestämmer ändamål och medel personuppgiftsansvarigt för den behandlingen.
b) Konfidentialitet	Alla som behandlar uppgifterna har åtagit sig konfidentialitet eller omfattas av lagstadgad tystnadsplikt.
c) Säkerhet enligt artikel 32	Säkerhetsåtgärderna beskrivna så konkret att ni kan bedöma dem, ofta i en bilaga. En hänvisning till ”artikel 32” räcker inte.
d) Underbiträden	Villkoren i artikel 28.2 och 28.4, se nästa avsnitt.
e) Registrerades rättigheter	Hur leverantören hjälper er att besvara begäranden. Era tidsfrister förlängs inte medan ni väntar på leverantören.
f) Artiklarna 32–36	Hjälp med säkerhet, personuppgiftsincidenter och konsekvensbedömningar. Leverantören ska underrätta er utan onödigt dröjsmål om en incident. Eftersom ni ska anmäla till Integritetsskyddsmyndigheten (IMY), om möjligt inom 72 timmar, bör avtalet ange en tidsgräns i timmar, en kontaktväg och underrättelsens innehåll.
g) Radering eller återlämnande	Ni väljer radering eller återlämnande när tjänsten upphör, kopior raderas om inte lag kräver lagring och raderingen bekräftas.
h) Information och granskning	Den information som krävs för att visa att kraven följs, och granskningar, inklusive inspektioner, av er eller en revisor som ni utser.

Underbiträden: lista, besked i förväg och rätt att invända

Enligt artikel 28.2 får leverantören inte anlita ett underbiträde utan ert skriftliga förhandstillstånd, som kan vara särskilt eller allmänt. Vid ett allmänt tillstånd ska leverantören informera er om planerade tillägg eller byten, så att ni kan invända. Underbiträdet ska enligt artikel 28.4 ha samma skyldigheter i fråga om dataskydd, och leverantören är fullt ansvarig mot er för att de fullgörs. Kontrollera att avtalet anger:

• en lista över godkända underbiträden med var de finns och vad de gör;
• hur långt i förväg ni får besked om ändringar; vid ett allmänt tillstånd ska leverantören enligt EDPB aktivt informera er om varje nytt underbiträde så att ni kan invända, inte bara uppdatera en lista;
• hur lång tid ni har på er att invända och vad som händer då, till exempel att ni får säga upp tjänsten;
• stödet för överföring till underbiträden utanför EU/EES.

Överföringar utanför EU/EES: adekvansbeslut eller standardavtalsklausuler

Enligt artikel 44 får personuppgifter bara överföras till ett tredjeland, även vidare i kedjan, om villkoren i kapitel V följs. Fjärråtkomst från ett tredjeland kan också vara en överföring, när personuppgifterna görs tillgängliga för en annan aktör där, till exempel ett underbiträde som ger support. Det gäller även lagring hos en molntjänstleverantör utanför EES. En egen anställd som når uppgifterna på distans från ett tredjeland är däremot inte i sig en överföring enligt kapitel V, även om riskerna fortfarande behöver hanteras. Så beskriver EDPB det i rekommendationer 01/2020 och riktlinjer 05/2021. Fråga därför varifrån uppgifterna nås och av vem, inte bara var de lagras.

När ett adekvansbeslut gäller mottagaren

Har EU-kommissionen beslutat att landet har en adekvat skyddsnivå behövs inget särskilt tillstånd (artikel 45). För USA gäller genomförandebeslut (EU) 2023/1795 om EU–U.S. Data Privacy Framework från den 10 juli 2023, men bara för organisationer på Data Privacy Framework-listan som det amerikanska handelsdepartementet för. Kontrollera att just mottagaren finns där. Då behövs ingen överföringsbedömning, men den vanliga bedömningen av leverantören, biträdesavtalet och säkerheten gäller som vanligt, och ni behöver följa om beslutet upphävs eller ogiltigförklaras.

Tribunalen ogillade den 3 september 2025 en talan om att ogiltigförklara beslutet (mål T-553/23). Domen har överklagats till EU-domstolen (mål C-703/25 P), som inte hade avgjort målet när vi kontrollerade läget den 3 oktober 2026.

När ni bygger på standardavtalsklausuler

Saknas ett adekvansbeslut, eller finns mottagaren inte på listan, krävs lämpliga skyddsåtgärder enligt artikel 46, till exempel kommissionens standardavtalsklausuler enligt genomförandebeslut (EU) 2021/914.

Klausulerna räcker inte på egen hand. Enligt klausul 14 ska parterna bedöma om lagar och praxis i mottagarlandet, till exempel myndigheters tillgång till uppgifterna, hindrar mottagaren från att följa klausulerna, och dokumentera bedömningen så att den kan visas för tillsynsmyndigheten. Den kallas ofta överföringsbedömning eller TIA (transfer impact assessment), och EDPB beskriver den i sex steg, bland annat ytterligare skyddsåtgärder vid behov. För amerikanska mottagare utanför listan kan ni enligt IMY ta hänsyn till kommissionens bedömning i adekvansbeslutet.

När avtalet är leverantörens standardvillkor

Hos en del leverantörer ingår personuppgiftsbiträdesavtalet i standardvillkor som inte går att förhandla. Enligt EDPB är det i sig inget problem, men en liten organisations svaga förhandlingsposition är inget skäl att godta villkor som strider mot dataskyddsreglerna, och den som godtar dem och använder tjänsten har tagit på sig hela ansvaret. När ni inte kan påverka texten:

• läs avtalet, säkerhetsbilagan och listan över underbiträden mot tabellen ovan och dokumentera er bedömning;
• kontrollera hur ändringar i själva avtalet meddelas: enligt EDPB ska leverantören meddela föreslagna ändringar direkt till er för godkännande, med visst utrymme i detaljer som inte är väsentliga för behandlingen, och enbart publicering på leverantörens webbplats uppfyller inte artikel 28 (byten av underbiträden hanteras som i avsnittet om underbiträden);
• godta en granskningsrapport från tredje part om den ger er det ni behöver, men behåll det slutliga beslutet om revisor; avgifter för granskning bör enligt EDPB inte vara så höga att rätten blir verkningslös;
• minska personuppgifterna i tjänsten, eller välj en annan leverantör, om villkoren inte räcker.

Checklista innan ni skriver under

1. Fastställ att leverantören behandlar uppgifterna för er räkning, inte för egna ändamål.
2. Begär underlag om leverantörens garantier: säkerhetsbeskrivning, granskningsrapporter och certifieringar.
3. Kontrollera avtalet mot de åtta punkterna i artikel 28.3 och mot hur ni ska använda tjänsten.
4. Kartlägg var uppgifterna lagras och varifrån de nås, notera stödet för varje överföring utanför EU/EES och dokumentera en överföringsbedömning där ni bygger på standardavtalsklausuler.
5. Kontrollera tidsgränsen för underrättelser om incidenter och vem som tar emot dem hos er.
6. För in leverantören i ert register över behandlingar och sätt ett datum för uppföljning.

När granskningen är klar har ni ett underskrivet avtal med ifyllda bilagor, en dokumenterad bedömning av leverantören, ett känt stöd för varje överföring och ett datum för nästa uppföljning.

Vill ni ha hjälp att granska era personuppgiftsbiträdesavtal och överföringar? Läs om vårt arbete med dataskydd och integritet, om löpande GDPR-stöd där nya personuppgiftsbiträdesavtal granskas innan de skrivs under, eller kontakta oss.

Källor: Förordning (EU) 2016/679 (GDPR), artiklarna 28, 33, 44–46 och 49; EDPB:s riktlinjer 07/2020 om personuppgiftsansvarig och personuppgiftsbiträde; EDPB:s rekommendationer 01/2020 om kompletterande åtgärder; EDPB:s riktlinjer 05/2021 om samspelet mellan artikel 3 och kapitel V; kommissionens genomförandebeslut (EU) 2021/914 och (EU) 2023/1795; tribunalen, mål T-553/23, och överklagandet, mål C-703/25 P; IMY om personuppgiftsbiträdesavtal och om överföringar till USA. Verifierat 2026-10-03.

Den här texten är allmän information och inte juridisk rådgivning. Rättsläget för överföringar till USA kan ändras, så kontrollera det aktuella läget innan ni fattar beslut.