Lagen

Personuppgiftsbiträdesavtal (DPA): vad det är och när du behöver det

Svensk Cybersäkerhet Uppdaterad 7 juli 2026 5 min läsning

Kort svar: Ett personuppgiftsbiträdesavtal (på engelska Data Processing Agreement, DPA) är ett skriftligt avtal som GDPR kräver så snart du låter någon annan behandla personuppgifter åt dig – till exempel din webbhotell-leverantör, ditt nyhetsbrevsverktyg eller din bokföringsbyrå. Avtalet styr hur den parten får hantera uppgifterna. Enligt artikel 28.3 i GDPR måste avtalet finnas, annars bryter du mot lagen – även om uppgifterna i praktiken hanteras korrekt.

Vad är ett personuppgiftsbiträdesavtal?

För att förstå avtalet behöver du känna till två roller i GDPR:

Personuppgiftsansvarig (på engelska controller) – den som bestämmer varför och hur personuppgifter ska behandlas. Det är oftast du eller ditt företag.
Personuppgiftsbiträde (processor) – den som behandlar uppgifterna åt den ansvarige, enligt dennes instruktioner. Till exempel ett molntjänstföretag som lagrar dina kunduppgifter.

En enkel liknelse: du är restaurangägaren som bestämmer menyn (ansvarig), och biträdet är cateringfirman som lagar maten enligt din beställning. Biträdet får inte hitta på egna rätter med dina råvaror – och biträdesavtalet är det skriftliga kvittot på exakt vad de får och inte får göra.

När behöver du ett biträdesavtal?

Du behöver ett avtal varje gång en extern part behandlar personuppgifter på dina instruktioner. Vanliga exempel:

Webbhotell och molnlagring (t.ex. där din webbplats och dess databas ligger)
Nyhetsbrev och e-postutskick (t.ex. Mailchimp, Brevo)
CRM- och bokningssystem
Lönehantering och bokföringsbyrå
Analys- och supportverktyg som ser besökar- eller kunddata
Webbyrån som sköter din sajt åt dig

Du behöver inte ett biträdesavtal när:

Den andra parten är själv personuppgiftsansvarig – till exempel när du skickar in uppgifter till Skatteverket, eller när en bank behandlar uppgifter enligt egna lagkrav.
Ni är gemensamt personuppgiftsansvariga – då gäller istället ett annat slags arrangemang enligt artikel 26.
Behandlingen sker helt inom din egen organisation, av dina egna anställda.

Osäker på om en leverantör är biträde eller egen ansvarig? Tumregeln: om de bara gör det du säger åt dem att göra med uppgifterna är de biträde. Bestämmer de själva över ändamålet är de egen ansvarig.

Vad måste avtalet innehålla?

Artikel 28.3 räknar upp punkter som avtalet måste reglera. Biträdet ska bland annat:

Behandla uppgifterna endast enligt dokumenterade instruktioner från dig.
Se till att alla som hanterar uppgifterna har tystnadsplikt.
Vidta lämpliga säkerhetsåtgärder enligt artikel 32 (t.ex. kryptering och behörighetsstyrning).
Inte anlita underbiträden (t.ex. en egen underleverantör) utan ditt tillstånd, och då lägga på samma krav på dem.
Hjälpa dig att svara på registrerades begäran (t.ex. om registerutdrag eller radering).
Bistå vid säkerhetsincidenter och konsekvensbedömningar.
Radera eller återlämna alla uppgifter när uppdraget är slut.
Ge dig den information och den möjlighet till granskning (revision) som behövs för att visa att kraven följs.

Avtalet ska också ange behandlingens föremål, varaktighet, art och ändamål, vilka typer av personuppgifter som behandlas och vilka kategorier av registrerade det handlar om (t.ex. “kunder” eller “nyhetsbrevsprenumeranter”).

Vem ansvarar om något går fel?

Som personuppgiftsansvarig bär du huvudansvaret – det är du som ska kunna visa att behandlingen följer lagen (ansvarsskyldigheten, artikel 5.2). Men sedan GDPR började gälla har även biträdet egna skyldigheter och kan få sanktionsavgifter direkt, om det till exempel behandlar uppgifter i strid med dina instruktioner.

Saknas biträdesavtalet helt är det ett brott mot artikel 28 i sig – oavsett om någon uppgift faktiskt läckt eller inte. Det är just avsaknaden av avtal som tillsynsmyndigheter ofta fångar upp.

Så skaffar du biträdesavtal i praktiken

Det finns två situationer:

Du anlitar en leverantör. De flesta seriösa molntjänster och verktyg har ett färdigt biträdesavtal som du godkänner (ofta som en del av villkoren eller i ett särskilt formulär). Din uppgift är att kontrollera att det finns och att det uppfyller artikel 28 – inte att skriva det själv.
Du är själv biträde, eller anlitar mindre underleverantörer. Då behöver du ett eget avtal att erbjuda eller teckna. Det ska vara anpassat efter din verksamhet, inte en generisk mall som inte stämmer med hur ni faktiskt arbetar.

Vårt juridiska dokumentpaket bygger ett personuppgiftsbiträdesavtal åt dig utifrån granskade klausuler och dina egna uppgifter – så att det blir korrekt utan att du behöver anlita en jurist. Vill du först förstå grunderna? Läs vår guide om vad en personuppgift är enligt GDPR.

Detta är allmän information, inte juridisk rådgivning.

Checklista: har du koll på dina biträdesavtal?

Gå igenom listan över tjänster ni använder och kontrollera:

Vi har listat alla externa parter som behandlar personuppgifter åt oss (webbhotell, e-postutskick, CRM, bokföring, supportverktyg, webbyrå …).
Det finns ett biträdesavtal för var och en av dem.
Avtalen reglerar instruktioner, säkerhet, underbiträden, radering och granskning enligt artikel 28.3.
Vi vet var uppgifterna lagras – och har extra grund om det sker utanför EU.
Avtalen är uppdaterade när vi byter leverantör eller lägger till nya tjänster.

En vanlig blind fläck är verktyg som “smugit sig in” i verksamheten – en ny app någon börjat använda utan att någon tänkt på biträdesavtalet. Gå därför igenom listan med jämna mellanrum.

Vanliga frågor

Är ett personuppgiftsbiträdesavtal ett lagkrav? Ja. GDPR artikel 28.3 kräver att behandling hos ett biträde regleras genom ett skriftligt avtal (eller annan rättsakt). Utan avtal bryter du mot lagen, även om uppgifterna hanteras korrekt i övrigt.

Måste avtalet vara på papper med underskrift? Nej. Kravet är att det ska vara skriftligt, vilket även omfattar elektronisk form. Ett digitalt godkänt avtal eller en elektroniskt undertecknad handling räcker.

Behöver ett litet företag eller en enskild firma också biträdesavtal? Ja. Storleken på företaget spelar ingen roll. Så snart en extern part behandlar personuppgifter åt dig gäller kravet – även för enskilda firmor och föreningar.

Vad är skillnaden mot en integritetspolicy? En integritetspolicy är informationen du ger till dina besökare och kunder om hur du behandlar deras uppgifter. Ett biträdesavtal är avtalet mellan dig och en leverantör om hur leverantören får behandla uppgifter åt dig. Du behöver oftast båda.

Räcker det med ett biträdesavtal om leverantören lagrar data utanför EU? Nej. Då tillkommer krav på en giltig grund för överföring till tredjeland (t.ex. EU:s standardavtalsklausuler eller EU-US Data Privacy Framework för USA). Biträdesavtalet ersätter inte det.

Vill du komma igång? Testa 14 dagar gratis eller läs mer om vårt juridiska dokumentpaket.

Källor

Vill du komma igång?

Skapa en cookiebanner som följer lagen — 14 dagar gratis, sedan från 39 kr/mån.

Testa 14 dagar gratis