Klausulbibliotek
Klausulen Dataskydd, förklarad
En dataskyddsklausul anger hur personuppgifter hanteras; där en sida är personuppgiftsbiträde enligt UK GDPR kräver artikel 28.3 angivna biträdesvillkor.
Senast uppdaterad 28 oktober 2026
Vad gör klausulen ”dataskydd”?
När en leverantör behandlar personuppgifter åt en klient som är personuppgiftsansvarig säger artikel 28 i UK GDPR att behandlingen ska regleras i ett avtal. Artikel 28.3 anger de biträdesvillkor som avtalet måste innehålla. Samma UK GDPR gäller i Skottland. Amerikanska delstaters integritetslagar är ett annat regelverk. Vi lägger de villkoren på en gemensam sida.
Vad måste ett biträdesavtal enligt artikel 28 innehålla?
Avtalet måste vara bindande och ange föremål, varaktighet, art och ändamål för behandlingen, typer av personuppgifter och registrerade samt den personuppgiftsansvariges rättigheter. Artikel 28.3 kräver sedan biträdesvillkoren i a till h: dokumenterade instruktioner, sekretess, säkerhet, underbiträden, bistånd, radering eller återlämnande samt revision.
När är en part biträde i stället för personuppgiftsansvarig?
En personuppgiftsansvarig bestämmer ändamålen med och medlen för behandlingen. Ett personuppgiftsbiträde behandlar på den ansvariges vägnar. En studio som lagrar en klients kundlista för att skicka klientens mejl är oftast ett biträde. En studio som bygger sin egen marknadsföringslista är personuppgiftsansvarig för den listan. Ange rollen för varje datamängd så att artikel 28 bara gäller där den ska.
Får biträdet anlita underbiträden?
Bara med den personuppgiftsansvariges föregående specifika eller allmänna skriftliga godkännande. Vid ett allmänt godkännande måste biträdet underrätta den ansvarige om planerade tillägg eller byten så att den ansvarige kan inväNDAEtt sekretessavtal (NDA) är ett avtal där en eller båda parter går med på att hålla delad information konfidentiell.Mer i ordlistan. Samma dataskyddsskyldigheter måste föras vidare. Det ursprungliga biträdet förblir fullt ansvarigt gentemot den ansvarige för underbiträdet. Skriv godkännandemetoden i klausulen.
Vad händer med uppgifterna när arbetet är slut?
Artikel 28.3 g säger att biträdet, enligt den ansvariges val, raderar eller återlämnar personuppgifterna när tjänsterna upphör och raderar kopior, om inte nationell rätt kräver lagring. Kombinera det med sekretess och en rad om återlämnande eller förstörelse för konfidentiella filer som inte är personuppgifter. Ange hur länge loggar får sparas om en lag kräver det.
Exempeltext
Exempel · vår egen formulering
Där Leverantören behandlar personuppgifter åt Kunden som personuppgiftsbiträde ska Leverantören: behandla uppgifterna endast enligt Kundens dokumenterade instruktioner; säkerställa att personer som är behöriga att behandla dem är bundna av sekretess; vidta de säkerhetsåtgärder som krävs av artikel 32 i UK GDPR; inte anlita ett underbiträde utan Kundens föregående skriftliga godkännande; bistå Kunden vid begäranden från registrerade och med artiklarna 32 till 36; enligt Kundens val radera eller återlämna uppgifterna när tjänsterna upphör, om inte nationell rätt kräver lagring; samt tillhandahålla den information som behövs för att visa efterlevnad och tillåta revisioner.
På klarspråk
Om leverantören hanterar personuppgifter åt klienten gör den bara det klienten har dokumenterat, håller det konfidentiellt, tar hand om säkerheten och anlitar inget annat biträde utan skriftligt klartecken. Den hjälper till med enskildas rättigheter och säkerhetsskyldigheter och raderar eller återlämnar sedan uppgifterna när jobbet är slut, om inte lagen kräver att den behåller en kopia, och låter klienten kontrollera.
Vad ska du hålla utkik efter?
| Punkt | Se upp med | Driv på för |
|---|---|---|
| Roller | En biträdesbilaga påklistrad på en affär där båda sidor är personuppgiftsansvariga. | En mening som anger rollen för varje datamängd. |
| Instruktioner | ”Behandla efter behov för tjänsterna” utan dokumenterade instruktioner. | En bilaga med föremål, varaktighet, typer av uppgifter och registrerade. |
| Underbiträden | Fria händer att anlita vem som helst, eller tystnad. | Föregående skriftligt godkännande, vidareföring av skyldigheter och fortsatt ansvar. |
| Jobbets slut | Ingen rad om radering eller återlämnande. | Den ansvariges val, med ett undantag för laglig lagring. |
| Tak | En obegränsad dataskadeslöshet på ett litet arvode, eller ett tak som sväljer ett intrång. | En angiven position gentemot ansvarsbegränsningen (liability cap) och skadeslöshetsförbindelsen. |
Vilka avtal innehåller den?
Lex tar med den här klausulen i bland annat:
- Tjänsteavtal (ramavtal för tjänsterEtt ramavtal för tjänster (MSA) sätter de rättsliga villkoren för en pågående relation, och varje projekt avtalas sedan i en separat uppdragsbeskrivning.Mer i ordlistan)
- Avtal om webbplatsutveckling
- Rådgivningsavtal
Vad säger lagen?
Behandling som utförs av ett personuppgiftsbiträde ska regleras i ett avtal som binder biträdet och som anger behandlingens föremål och varaktighet, behandlingens art och ändamål, typen av personuppgifter och kategorierna av registrerade samt den personuppgiftsansvariges skyldigheter och rättigheter, inklusive de biträdesvillkor som anges i artikel 28.3 a–h.
Källa: UK GDPR, Article 28(3)Kontrollerad 28 oktober 2026Väntar på juristgranskning
Skriv ramavtal för tjänster med den här klausulen
Gratis för motpartenLex skriver det på klarspråk bredvid den juridiska texten. Dela en länk; båda sidor godkänner och signerar.
Vanliga frågor
Vad betyder en dataskyddsklausul?
Den anger hur personuppgifter hanteras enligt avtalet. Där en part behandlar personuppgifter åt den andra som personuppgiftsbiträde enligt UK GDPR kräver artikel 28 att behandlingen regleras i ett avtal med angivna biträdesvillkor.
Vad måste ett biträdesavtal enligt artikel 28 i UK GDPR innehålla?
Behandlingens föremål, varaktighet, art och ändamål, typerna av uppgifter och registrerade samt biträdesvillkoren i artikel 28.3 a–h, inklusive dokumenterade instruktioner, sekretess, säkerhet, underbiträden, bistånd, radering eller återlämnande samt revision.
När är en leverantör personuppgiftsbiträde?
När den behandlar personuppgifter på klientens vägnar i stället för att själv bestämma ändamål och medel. Klausulen bör ange rollen för varje datamängd. Artikel 28 gäller biträdesförhållanden.
Kan ett biträde använda underbiträden?
Bara med den personuppgiftsansvariges föregående specifika eller allmänna skriftliga godkännande. Samma skyldigheter måste föras vidare, och det ursprungliga biträdet förblir fullt ansvarigt gentemot den ansvarige för underbiträdet.
Vad händer med personuppgifter när avtalet upphör?
Enligt den ansvariges val raderar eller återlämnar biträdet dem och raderar kopior, om inte nationell rätt kräver lagring. Skriv in det valet i klausulen.
Källor
- UK GDPR, Article 28(3)Kontrollerad 28 oktober 2026Väntar på juristgranskning
Relaterat
Mallar med den här klausulen
Andra klausuler
Den juridiska lydelsen gällerSenast granskad 28 oktober 2026Väntar på juristgranskning