Vad ett personuppgiftsbiträdesavtal ska innehålla, framgår av artikel 28.3 i GDPR och det som framgår där utgör minimikrav för avtalsinnehållet.
Enligt minimikraven är det minst följande information som måste framgå i personuppgiftsbiträdesavtalet:
- Ändamål och syfte med behandlingen.
- Behandlingens art och varaktighet.
- Kategorier av registrerade.
- Typer av personuppgifter.
- Föremålet för behandlingen.
- Personuppgiftsansvariges rättigheter och skyldigheter.
Vad ska ett personuppgiftsbiträdesavtal minst innehålla?
Dessutom framgår att avtalet måste innehålla minst följande villkor:
- Den behandling av personuppgifterna som personuppgiftsbiträdet utför, får enbart ske i enlighet med de skriftliga och dokumenterade instruktionerna som den personuppgiftsansvariga har tillhandahållit.
- Personuppgiftsbiträdet ska lämna en försäkran om att iaktta konfidentialitet eller lagstadgad tystnadsplikt och att personuppgifterna ska bli behandlade med sekretess.
- Personuppgiftsbiträdet ska åta sig skyldighet att vidta lämpliga säkerhetsåtgärder
- Den personuppgiftsansvariga ska ange vilka villkor som gäller om personuppgiftsbiträdet avser att anlita underbiträden, för att behandla personuppgifterna.
- Personuppgiftsbiträdet ska åta sig skyldighet att uppfylla de registrerades rättigheter samt vara behjälplig gentemot den personuppgiftsansvariga i frågor som rör de registrerades rättigheter.
- Personuppgiftsbiträdet ska hjälpa den personuppgiftsansvariga att uppfylla dennes skyldigheter enligt artikel 32-36 i GDPR.
- Avtalet ska innehålla villkor om hur personuppgifter ska bi hanterade när avtalet upphör att gälla mellan parterna.
- Personuppgiftsbiträdet ska åta sig skyldighet att vara delakt i och bistå vid granskning och inspektioner.
Utöver ovan angivna villkor och minikrav avseende innehållet, får avtalsparterna välja att avtala om även andra villkor som berör behandlingen av personuppgifterna. Personuppgiftsbiträdesavtal ska vara skriftliga.
