Ett personuppgiftsbiträdesavtal (PUB-avtal) är avtalet som reglerar vad en leverantör får göra med personuppgifter för din räkning. GDPR kräver ett sådant avtal så fort ett annat företag behandlar personuppgifter åt dig (artikel 28). Tänk på ditt bokföringsprogram, din molnlagring eller ett AI-verktyg. Du är fortfarande ansvarig, leverantören agerar bara på dina instruktioner. Viktigt att veta: PUB-avtalet är inte det enda dokument som spelar roll. Även användarvillkoren styr vad som händer med dina uppgifter.
Ett exempel från verkligheten
Advokatbyrån Ek & Holm i Göteborg (ett påhittat exempel) ska börja använda ett AI-verktyg för att sammanfatta inlagor. I inlagorna finns namn på klienter, motparter och vittnen, och allt som hör till dem.
Byrån är personuppgiftsansvarig: den bestämmer varför och hur uppgifterna används. Leverantören av AI-verktyget är personuppgiftsbiträde: den behandlar uppgifterna bara för att byrån ber om det. För att reglera det skriver de ett personuppgiftsbiträdesavtal. Sedan läser byråns kontorschef även användarvillkoren. Det är där skillnaden visar sig.
Vad som ska ingå i ett personuppgiftsbiträdesavtal
Artikel 28.3 GDPR anger vad avtalet minst ska innehålla. Enkelt uttryckt:
- Föremål, varaktighet, art och ändamål med behandlingen, vilka typer av personuppgifter och vilka personer det gäller.
- Bara enligt instruktion. Biträdet behandlar uppgifterna bara enligt dokumenterade instruktioner från den ansvarige.
- Konfidentialitet. Biträdets personal har åtagit sig att iaktta konfidentialitet.
- Säkerhet. Biträdet vidtar lämpliga åtgärder (artikel 32).
- Underbiträden. Biträdet anlitar bara andra med tillstånd och ålägger dem samma skyldigheter.
- Hjälp med rättigheter och incidenter. Biträdet hjälper till när registrerade utövar sina rättigheter och vid personuppgiftsincidenter.
- När uppdraget upphör. Uppgifterna raderas eller lämnas tillbaka.
- Kontroll. Biträdet ger den information som behövs för att visa att reglerna följs och medverkar vid granskningar.
Vem behöver ett? Alla organisationer som låter ett annat företag behandla personuppgifter åt dem, även en enskild firma eller en mottagning. Utan PUB-avtal bryter du själv mot GDPR. Tillsynen i Sverige ligger hos Integritetsskyddsmyndigheten (IMY). Sanktionsavgifterna enligt GDPR kan uppgå till 20 miljoner euro eller 4 % av den globala årsomsättningen.
I andra länder heter samma avtal data processing agreement (DPA), Auftragsverarbeitungsvertrag eller verwerkersovereenkomst. Innehållet följer överallt samma artikel 28.
Det här är allmän information, inte juridisk rådgivning.
Vad ett personuppgiftsbiträdesavtal inte skyddar
Ett PUB-avtal är bra och nödvändigt. Men det täcker inte allt.
- Det handlar om personuppgifter. Åtagandena gäller uppgifter som kan kopplas till en person. När uppgifter verkligen har anonymiserats faller de utanför GDPR (skäl 26), och i praktiken även utanför det GDPR reglerar. Sådana uppgifter kan lagligt slås samman, licensieras och säljas, till exempel till datamäklare, försäkringsbolag eller AI-utvecklare. Se dataspåret och källorna på lagligt till salu.
- Användarvillkoren räknas också. Här är vändningen. Många tjänster har, vid sidan av PUB-avtalet, användarvillkor där du ger leverantören en licens: att använda ditt innehåll för att förbättra tjänsten, eller att skapa anonymiserade, aggregerade eller härledda data av det. I den delen agerar leverantören inte längre bara som biträde för ditt ändamål. Läs alltså båda dokumenten och sök efter ordet "licens" i villkoren.
- Pseudonymiserat är inte anonymt. En kod i stället för ett namn är fortfarande en personuppgift. Se pseudonymisering och anonymisering.
- Tystnadsplikten löser du inte med avtalet. För vårdpersonal och advokater ligger frågan om de får dela kvar hos dem själva: patientens eller klientens samtycke eller annat lagstöd. Se tystnadsplikt.
Vad det betyder när du använder AI-verktyg
En kort kontroll som fungerar för alla AI-verktyg:
- Finns ett personuppgiftsbiträdesavtal enligt artikel 28, och gäller det för ditt abonnemang?
- Läs användarvillkoren efter en licens. Får leverantören använda, förbättra, anonymisera eller aggregera ditt innehåll?
- Är träning utesluten, i avtalet och inte bara i en inställning?
- Vilka underbiträden finns, och var behandlas uppgifterna?
- Vad händer efter behandlingen? Sparas uppgifterna hos modelleverantörerna eller raderas de?
Wysor är enbart personuppgiftsbiträde. Vi agerar bara på dina instruktioner (artikel 28 GDPR) och tar ingen licens att återanvända ditt innehåll. Vi tränar aldrig på det och säljer det aldrig, anonymiserat eller inte. Åtagandena står i avtalet och binder även den som någon gång skulle äga Wysor. Dina uppgifter är krypterade under överföring och i lagring och hostas i EU. Hos varje ansluten AI-modelleverantör gäller noll datalagring: behandlat, sedan raderat. Så arbetar du med GPT, Claude, Gemini och fler i en arbetsyta.
Vanliga frågor
När behöver man ett personuppgiftsbiträdesavtal? Så fort ett annat företag behandlar personuppgifter på ditt uppdrag. Till exempel lönesystem, webbhotell, CRM eller ett AI-verktyg där du lägger in uppgifter om kunder eller patienter.
Vem skriver personuppgiftsbiträdesavtalet? Det kan vara den ansvarige eller biträdet. I praktiken erbjuder leverantören ofta ett standardavtal. Det viktiga är att delarna i artikel 28.3 finns med.
Är PUB-avtal och DPA samma sak? Ja. DPA står för data processing agreement, det engelska namnet på samma avtal.
Vad är skillnaden mellan personuppgiftsansvarig och personuppgiftsbiträde? Den personuppgiftsansvarige bestämmer ändamålen och medlen för behandlingen. Biträdet utför behandlingen enligt instruktion och får inte använda uppgifterna för egna ändamål.
Räcker ett PUB-avtal för att använda ett AI-verktyg säkert? Inte alltid. Läs även användarvillkoren: om de ger leverantören en licens att anonymisera eller återanvända ditt innehåll kan uppgifterna den vägen ändå få ett eget liv.
Läs vidare
- Vad är GDPR? Enkelt förklarat
- Vad är personuppgifter? Definition och exempel
- GDPR-kompatibel AI
- Lagligt till salu: vad som händer med anonymiserade uppgifter
- Vad är en AI-agent? Förklarat enkelt
Frågor om vårt personuppgiftsbiträdesavtal? Skriv till [email protected] eller använd kontaktformuläret i appen.
