Personuppgiftsbiträdesavtalet kan användas fritt av både offentlig sektor och leverantörer. Vi har gemensamt tagit fran mallar som behövs för personuppgiftsbiträdesavtal och dess tillhörande dokument, samt en vägledning till hur du arbetar med och använder avtal och mallar. Avtalet ska vara ett neutralt och kvalitetssäkrat instrument som såväl enskilda kommuner och regioner som SKR, Adda och Inera kan använda.

När ska personuppgiftsbiträdesavtalet användas?

Ett personuppgiftsbiträdesavtal ska användas när ett företag behandlar personuppgifter för en personuppgiftsansvarigs räkning - alltså till exempel när en leverantör hanterar personuppgifter åt en kommun, i enlighet med kommunens instruktioner. Det är dock viktigt att utreda att ett sådant förhållande verkligen föreligger mellan kommunen och leverantören. Om leverantören själv styr över ändamålet och hanteringen av personuppgifter som leverantören får av kommunen, kan leverantören ha ett eget personuppgiftsansvar för denna hantering, och något personuppgiftsbiträdesavtal ska då inte tecknas.

Den personuppgiftsansvarige bestämmer ändamålen med behandlingen (varför behandlingen sker) och medlen för behandlingen (hur behandlingen sker). Den personuppgiftsansvarige kan anlita ett personuppgiftsbiträde för att utföra hela eller delar av behandlingen. Den personuppgiftsansvarige behöver då ge personuppgiftsbiträdet instruktioner för behandlingen, som biträdet måste följa.

En uppdragstagare som ensam bestämmer över behandlingens ändamål och medel har dock ett eget personuppgiftsansvar och är personuppgiftsansvarig för den aktuella behandlingen.

Mer information och stödmaterial hittar du på SKR:s hemsida.