Kunskap · GDPR · Artikel 28
Personuppgiftsbiträdesavtalet, punkt för punkt.
Den personuppgiftsansvarige får bara anlita biträden som ger tillräckliga garantier, och förhållandet ska regleras i ett bindande avtal som anger vad biträdet får och ska göra.
GDPR art. 28Personuppgiftsbiträde
Vad den kräver
På vanlig svenska.
- Behandling endast enligt dokumenterade instruktioner från den personuppgiftsansvarige
- Tystnadsplikt för alla som behandlar uppgifterna
- Säkerhetsåtgärder i linje med artikel 32
- Underbiträden endast med föregående skriftligt tillstånd, på samma villkor
- Stöd med de registrerades rättigheter och med artikel 32–36
- Radering eller återlämning av alla personuppgifter när tjänsten upphör
- Information och granskningar som visar efterlevnad
Sammanfattning av GDPR artikel 28 (förordning (EU) 2016/679). Inte juridisk rådgivning – läs den officiella texten på EUR-Lex.
I praktiken
Vad som krävs.
Det svåra är inte mallen – det är att veta vilka leverantörer som behandlar personuppgifter, om deras avtal håller och när ett underbiträde byts.
- AvtalskravVarje villkor i artikel 28 granskat i era biträdesavtal
- LeverantörsregisterVem som behandlar vilka personuppgifter, länkat till avtalet
- WorkflowByten av underbiträde skickas för godkännande
- BevisSignerade biträdesavtal och granskningsresultat hos leverantören
Så går det till i Paragraf – på samma grund som era avtal och processer.
Nästa steg
Se GDPR artikel 28
med era egna krav.
Boka en genomgång. Vi visar tråden från den här artikeln till kontrollen, ägaren och beviset – i er egen miljö.