Personuppgiftsbiträdesavtal: mall och checklista för lärosäten (2026)

Ett personuppgiftsbiträdesavtal (PUB-avtal) är det avtal som styr hur en leverantör får behandla personuppgifter för lärosätets räkning. Här går vi igenom vad artikel 28 i dataskyddsförordningen kräver, var leverantörers standardavtal brukar brista och hur svenska lärosäten hanterar frågan. Längst ner finns en checklista och en mall i Word som ni kan anpassa.

Publicerad 7 oktober 2026 · Källor kontrollerade 7 oktober 2026

1. Vad är ett personuppgiftsbiträdesavtal?

Dataskyddsförordningen skiljer mellan den som bestämmer över en behandling, den personuppgiftsansvarige, och den som behandlar personuppgifter för någon annans räkning, personuppgiftsbiträdet. När ett lärosäte köper en lärplattform, ett enkätverktyg eller en transkriberingstjänst är lärosätet i regel personuppgiftsansvarigt och leverantören biträde. Personuppgiftsbiträdesavtalet, ofta förkortat PUB-avtal eller PUBA, är det dokument som reglerar den relationen.

Enligt artikel 28.1 får den personuppgiftsansvarige bara anlita biträden som ger tillräckliga garantier om lämpliga tekniska och organisatoriska åtgärder. Avtalet är alltså inte bara en formalitet: det är det verktyg lärosätet har för att styra leverantören och kunna visa att behandlingen följer förordningen. Enligt IMY:s vägledning ska avtalet säkerställa att båda parter följer dataskyddsförordningen och är medvetna om sina åtaganden gentemot varandra och de registrerade.

Rollfördelningen avgörs av vad som faktiskt sker, inte av vad avtalet kallar parterna. EDPB:s riktlinjer 07/2020 om begreppen personuppgiftsansvarig och personuppgiftsbiträde tar upp just exemplet med en helt standardiserad molntjänst vars villkor kunden bara kan godta eller avböja. Kunden är ändå personuppgiftsansvarig, eftersom kunden valt att använda tjänsten för sina ändamål, och leverantören är biträde så länge den bara behandlar uppgifterna för kundens räkning och enligt dennes instruktioner.

2. När krävs ett PUB-avtal?

Artikel 28.3 kräver att behandling som utförs av ett biträde regleras genom ett avtal (eller en annan rättsakt) som är bindande för biträdet. Avtalet ska enligt artikel 28.9 upprättas skriftligen, vilket inkluderar elektroniskt format. Kravet gäller både mellan lärosätet och biträdet och mellan biträdet och varje underbiträde (artikel 28.4).

Typiska situationer på ett lärosäte där PUB-avtal behövs:

• molntjänster för lagring, e-post, samarbete och videomöten
• lärplattformar, system för digital tentamen och textmatchning
• enkät- och transkriberingsverktyg som används i forskning
• AI-tjänster där användare matar in personuppgifter
• IT-konsulter med åtkomst till system som innehåller personuppgifter

Lika viktigt är att veta när ett PUB-avtal inte är rätt avtal. Lunds universitet skriver i sin vägledning att den som behöver uppgifterna för att utföra sitt eget uppdrag inte är biträde, och tar som exempel ett sjukhus som får studentlistor inför verksamhetsförlagd utbildning. Då är mottagaren själv personuppgiftsansvarig och ett PUB-avtal blir missvisande. Samma sak gäller om en leverantör behandlar uppgifter för egna ändamål: enligt artikel 28.10 blir ett biträde som själv bestämmer ändamål och medel personuppgiftsansvarigt för den behandlingen.

3. Vad ska ett PUB-avtal innehålla? Artikel 28.3 punkt för punkt

Artikel 28.3 första stycket kräver att avtalet anger föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade samt den personuppgiftsansvariges skyldigheter och rättigheter. I praktiken samlas dessa uppgifter i en bilaga, ofta kallad instruktion. Därefter räknar artikeln upp åtta åtaganden som avtalet särskilt ska innehålla (led a–h).

EDPB understryker att avtalet inte bara ska återge förordningens bestämmelser utan innehålla konkret information om hur kraven ska uppfyllas och vilken säkerhetsnivå som krävs. Kolumnen till höger visar vad det kan betyda i praktiken.

Artikeln avslutas med att biträdet omedelbart ska informera den personuppgiftsansvarige om det anser att en instruktion strider mot dataskyddsreglerna. Den skyldigheten bör också stå i avtalet.

Två detaljer är värda att lyfta fram. För incidenter säger artikel 33.2 bara att biträdet ska underrätta den ansvarige utan onödigt dröjsmål. EDPB rekommenderar att parterna avtalar en konkret tidsfrist, till exempel ett antal timmar, samt kontaktpunkt och minimiinnehåll. IMY skriver på motsvarande sätt att det ska framgå av avtalet hur biträdet ska agera vid en incident, till vem det ska rapportera och om det själv får anmäla incidenten till IMY. För led g påpekar EDPB att avtalet ska göra det möjligt för den ansvarige att ändra sitt val mellan radering och återlämnande, och att biträdet ska bekräfta att raderingen är genomförd.

4. Underbiträden: förhandstillstånd och invändningsrätt

Ett biträde får enligt artikel 28.2 inte anlita ett annat biträde utan den personuppgiftsansvariges särskilda eller allmänna skriftliga förhandstillstånd. Vid ett allmänt tillstånd ska biträdet informera om planerade tillägg eller byten så att den ansvarige kan invända. Enligt artikel 28.4 ska underbiträdet åläggas samma dataskyddsskyldigheter som biträdet, och biträdet är fullt ansvarigt gentemot den ansvarige om underbiträdet brister.

EDPB lägger stor vikt vid insyn i kedjan. I yttrande 22/2024 slår styrelsen fast att den personuppgiftsansvarige alltid bör ha tillgång till uppgifter om identitet (namn, adress och kontaktperson) för samtliga biträden och underbiträden i kedjan, oavsett hur riskfylld behandlingen är, och att biträdet självmant ska lämna och uppdatera dessa uppgifter. Redan i riktlinjerna 07/2020 skriver EDPB att biträdet ska lämna en förteckning över tilltänkta underbiträden med uppgift om var de finns, vad de gör och vilka skyddsåtgärder som vidtagits.

Kommissionens standardavtalsklausuler för förhållandet mellan personuppgiftsansvarig och biträde (genomförandebeslut 2021/915) visar hur detta kan skrivas: där finns två alternativ, särskilt förhandstillstånd eller allmänt tillstånd med en förteckning, och i båda fallen en tidsfrist som parterna fyller i.

5. Överföring till tredjeland

Redan led a i artikel 28.3 tar upp överföringar: biträdet får bara föra över uppgifter till tredjeland enligt den ansvariges dokumenterade instruktioner. EDPB rekommenderar att avtalet anger kraven för sådana överföringar och att den ansvarige är särskilt uppmärksam när biträdet har enheter i tredjeland eller lägger ut behandling på underbiträden där. Om instruktionerna inte tillåter överföring får biträdet inte heller anlita ett underbiträde i tredjeland.

En tillåten överföring måste ha stöd i kapitel V. De vanligaste överföringsgrunderna är följande.

• Adekvansbeslut. Kommissionens förteckning omfattar bland annat Storbritannien, Schweiz, Japan och Sydkorea. För USA gäller beslutet om EU–US Data Privacy Framework, antaget den 10 juli 2023, och det omfattar bara företag som anslutit sig till ramverket.
• Standardavtalsklausuler enligt artikel 46.2 c, i dag kommissionens genomförandebeslut 2021/914. EDPB:s rekommendationer 01/2020 beskriver hur man bedömer om klausulerna behöver kompletteras med ytterligare åtgärder.

Ytterligare två saker att se upp med. EDPB skriver i yttrande 22/2024 att en klausul i stil med ”om inte annat krävs enligt lag eller bindande beslut från en myndighet” inte befriar biträdet från dess skyldigheter enligt dataskyddsförordningen, och att risken för att tredjelands lagstiftning hindrar efterlevnaden bör vägas in innan avtalet ingås. För statliga lärosäten tillkommer sekretessfrågan: eSam redogör för att offentlighets- och sekretesslagen sedan den 1 juli 2023 har en sekretessbrytande bestämmelse för teknisk bearbetning och lagring (10 kap. 2 a §) och har publicerat en vägledning om sekretess och dataskydd vid utkontraktering.

Granskar ni en leverantör just nu? Validemic stämmer av leverantörens dokument mot GDPR och AI-förordningen och anger källa för varje bedömning. Testa demomiljön

6. Vanliga brister i leverantörers standardavtal

Validemics analys

De flesta leverantörer av molntjänster erbjuder ett eget standardavtal. Det är inget problem i sig: EDPB skriver att det inte är avgörande vem som har formulerat avtalet. Men styrelsen skriver också att en obalans i förhandlingsstyrka till leverantörens fördel inte är skäl att godta villkor som strider mot dataskyddsreglerna, och att den som godtar villkoren bär det fulla ansvaret för efterlevnaden. EDPB:s samordnade tillsynsinsats om offentlig sektors användning av molntjänster 2022, som omfattade omkring 100 offentliga organ, pekade ut bland annat svårigheten att förhandla fram anpassade avtal, bristande kontroll över underbiträden, internationella överföringar och leverantörernas behandling av telemetridata.

Mot den bakgrunden, och utifrån kraven ovan, är det här de punkter vi oftast ser skäl att granska extra noga.

1. Lagtexten är avskriven men inte konkretiserad. Avtalet upprepar led a–h men saknar instruktionsbilaga, säkerhetsnivå och tidsfrister.
2. Leverantören förbehåller sig egna ändamål. Formuleringar om att använda kunddata för produktutveckling, analys, ”förbättring av tjänsterna” eller träning av AI-modeller. Sådan behandling sker inte för lärosätets räkning och behöver antingen regleras separat eller strykas.
3. Underbiträden utan verklig invändningsrätt. Förteckningen finns bara på en webbsida som kan ändras utan avisering, eller invändning leder enbart till att lärosätet får säga upp hela tjänsten.
4. Vaga incidentvillkor. ”Utan onödigt dröjsmål” utan tidsfrist, kontaktpunkt eller beskrivning av vad rapporten ska innehålla.
5. Revision bara på pappret. Granskningsrätten begränsas till leverantörens egna sammanfattningar av tredjepartsrapporter, utan möjlighet till kompletterande frågor.
6. Öppen geografi. Uppgifterna får behandlas ”där leverantören eller dess underbiträden har verksamhet”, utan förteckning över länder eller överföringsgrund.
7. Fel rangordning mellan avtalshandlingarna. Leverantörens allmänna villkor har företräde framför PUB-avtalet om de strider mot varandra. Det bör vara tvärtom i dataskyddsfrågor.

7. Så hanterar svenska lärosäten PUB-avtal

SUNET

När dataskyddsförordningen började tillämpas erbjöd SUNET ett generellt PUB-avtal för sina tjänster. Enligt webbplatsen arbetar SUNET nu i stället med att erbjuda ett avtal per tjänst. För vissa tjänster, bland annat Sunet Drive, Sunet Play, Sunet E-möte och eduSign, tecknas avtalet med SUNET. För andra, bland annat Digital tentamen, Textmatchning och Sunet Tal-till-text, tecknas det direkt med leverantören. Lärosätets dataskyddsombud kan kontakta SUNET för mallar och frågor.

Statens inköpscentral vid Kammarkollegiet

Vid avrop från statliga ramavtal, till exempel Programvaror och tjänster, tillhandahåller Statens inköpscentral ett utkast till personuppgiftsbiträdesavtal som den avropande organisationen kan använda och anpassa. Enligt vägledningen för avrop måste den avropande organisationen fylla i avsnittet ”Instruktion till Personuppgiftsbiträdesavtal” med bland annat vilka personuppgifter som ska behandlas, för vilka ändamål och var de får behandlas geografiskt. Vägledningen beskriver instruktionsdelen som ”oerhört viktig” att fylla i korrekt.

Lärosätenas egna mallar

Flera lärosäten publicerar egna mallar och rutiner. Lunds universitet tillhandahåller till exempel mallar på svenska och engelska, anger vem som får teckna avtal (rektor för universitetsövergripande tjänster, förvaltningschef för förvaltningens tjänster och prefekt för institutionens) och erbjuder juridiskt stöd när universitetets mall inte kan användas. Ett vanligt arbetssätt är att lärosätet utgår från sin egen mall och, när leverantören inte godtar den, granskar leverantörens avtal mot samma krav.

8. Checklista för granskning av PUB-avtal

9. Ladda ner mallen för PUB-avtal

Vår mall är ett komplett personuppgiftsbiträdesavtal i Word med klausuler för samtliga led i artikel 28.3, underbiträden enligt artikel 28.2 och 28.4, incidenter, överföringar till tredjeland, ansvar och avtalstid. Den har fyra bilagor: instruktion för behandlingen, säkerhetsåtgärder, godkända underbiträden och tredjelandsöverföringar. Allt som ska fyllas i står inom [hakparenteser] och är gulmarkerat.

Ladda ner mallen för personuppgiftsbiträdesavtal (Word)

Mallen är en utgångspunkt, inte juridisk rådgivning. Låt lärosätets jurist eller dataskyddsombud granska den innan den används, och stäm av den mot lärosätets egna mallar och delegationsordning.

Källor

1. Europaparlamentets och rådets förordning (EU) 2016/679 (dataskyddsförordningen), svensk version, artiklarna 28, 32–36 och 46 (hämtad 7 oktober 2026).
2. IMY: Personuppgiftsbiträdesavtal (hämtad 7 oktober 2026).
3. IMY: Personuppgiftsbiträdets skyldigheter vid personuppgiftsincidenter (hämtad 7 oktober 2026).
4. EDPB: Guidelines 07/2020 on the concepts of controller and processor in the GDPR, version 2.1 (PDF) (hämtad 7 oktober 2026).
5. EDPB: Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) (PDF) (hämtad 7 oktober 2026).
6. EDPB: 2022 Coordinated Enforcement Action, Use of cloud-based services by the public sector (PDF) (hämtad 7 oktober 2026).
7. Kommissionens genomförandebeslut (EU) 2021/915 om standardavtalsklausuler mellan personuppgiftsansvariga och personuppgiftsbiträden (hämtad 7 oktober 2026).
8. Kommissionens genomförandebeslut (EU) 2021/914 om standardavtalsklausuler för överföring av personuppgifter till tredjeländer (hämtad 7 oktober 2026).
9. Europeiska kommissionen: Adequacy decisions (hämtad 7 oktober 2026).
10. EDPB: Recommendations 01/2020 on measures that supplement transfer tools (hämtad 7 oktober 2026).
11. eSam: Vägledning för utkontraktering, nya förutsättningar som påverkar bedömningen (hämtad 7 oktober 2026).
12. SUNET: Behandling av personuppgifter i Sunets tjänster (hämtad 7 oktober 2026).
13. Statens inköpscentral: Vägledning för avrop från Programvaror och tjänster, 2025-03-03 (PDF) (hämtad 7 oktober 2026).
14. Lunds universitet: Personuppgiftsbiträdesavtal (PUBA) (hämtad 7 oktober 2026).

Om guiden

Guiden är sammanställd av Validemic den 7 oktober 2026. Samtliga källor ovan hämtades och lästes det datumet; lagtexten är läst i den svenska språkversionen. Avsnittet om vanliga brister är vår egen analys och tydligt markerat som sådan. Guiden beskriver regelverket i allmänhet och ersätter inte en bedömning av ett enskilt avtal.

Hittar ni ett fel, en inaktuell länk eller en vägledning som har ändrats, hör av er så rättar vi och anger ändringen här.