PUB-avtal: vad ett personuppgiftsbiträdesavtal ska innehålla

01

Vad är ett PUB-avtal, och när behövs det?

Personuppgiftsansvarig är den som bestämmer ändamålen och medlen för en behandling av personuppgifter, till exempel kommunen eller företaget som spelar in ett möte. Personuppgiftsbiträde är den som behandlar personuppgifterna för den ansvariges räkning, till exempel tjänsten som transkriberar inspelningen. Definitionerna finns i artikel 4.7 och 4.8 i dataskyddsförordningen.

Så fort ett personuppgiftsbiträde anlitas ska ett avtal finnas, och det ska vara skriftligt, vilket även kan vara elektroniskt (artikel 28.3 och 28.9). Den ansvarige får bara anlita biträden som ger tillräckliga garantier för att behandlingen uppfyller förordningen (artikel 28.1). På engelska heter avtalet Data Processing Agreement, DPA.

IMY skriver i sin rapport om generativ AI från februari 2025 att en leverantör av ett AI-system som behandlar personuppgifter för verksamhetens räkning kan vara personuppgiftsbiträde, och att det då krävs ett personuppgiftsbiträdesavtal.

02

Vad måste stå i avtalet? Artikel 28.3 punkt för punkt

Avtalet ska ange behandlingens föremål, varaktighet, art och ändamål, vilka typer av personuppgifter och vilka kategorier av registrerade det gäller, samt den ansvariges skyldigheter och rättigheter. Därefter ska det framgå att biträdet:

• a) bara behandlar personuppgifterna enligt dokumenterade instruktioner från den ansvarige, även när det gäller överföring till tredjeland,
• b) ser till att de som behandlar uppgifterna har åtagit sig konfidentialitet eller omfattas av lagstadgad tystnadsplikt,
• c) vidtar de säkerhetsåtgärder som krävs enligt artikel 32,
• d) följer villkoren för att anlita underbiträden,
• e) hjälper den ansvarige att svara när registrerade utövar sina rättigheter,
• f) hjälper den ansvarige med säkerhet, incidentanmälan, konsekvensbedömning och förhandssamråd (artikel 32–36),
• g) raderar eller återlämnar alla personuppgifter när tjänsten upphör, enligt den ansvariges val,
• h) ger den ansvarige den information som behövs för att visa att kraven följs, och möjliggör granskningar och inspektioner.

03

Underbiträden: punkten som oftast blir otydlig

Ett biträde får bara anlita ett underbiträde med den ansvariges förhandstillstånd, särskilt eller allmänt och skriftligt. Vid ett allmänt tillstånd ska biträdet informera om planerade ändringar så att ni hinner invända (artikel 28.2). Underbiträdet ska bindas av samma skyldigheter, och det ursprungliga biträdet är fullt ansvarigt gentemot er (artikel 28.4).

För en AI-tjänst är det här sällan en enda leverantör. Taligenkänning, talaruppdelning, språkmodell, mötesbot och drift kan ligga hos olika företag. Begär en lista som anger varje underbiträde, vad det gör och i vilket land data behandlas. Klang publicerar sin lista på trust.klang.ai med roll och region för alla underbiträden, inklusive de som är amerikanska bolag med drift i EU, så att ni kan göra en egen bedömning.

04

Extra frågor när leverantören är en AI-tjänst

Artikel 28 täcker grunderna. En tjänst som spelar in och tolkar samtal väcker några frågor till, och svaren bör stå i avtalet eller i en bilaga till det:

• Används era inspelningar, transkript eller sammanfattningar för att träna leverantörens eller någon annans AI-modeller?
• Sparar AI-underleverantörerna något, eller gäller nollagring (zero data retention)?
• Var lagras ljudet, och hur länge? Kan ni själva bestämma gallringsfristen?
• Raderas data även ur säkerhetskopior när ni tar bort den?
• Loggas åtkomst, och kan ni begränsa vem i er organisation som ser vilka inspelningar?
• Går avtalet att förhandla? IMY nämner standardiserade biträdesavtal utan förhandlingsmöjlighet som ett vanligt problem vid AI-tjänster.

05

Tredjeland, Schrems II och Cloud Act

Överföring till ett land utanför EU/EES kräver stöd i kapitel V i dataskyddsförordningen. EU-domstolen ogiltigförklarade Privacy Shield i domen Schrems II (mål C-311/18) den 16 juli 2020, men lät standardavtalsklausulerna finnas kvar, med krav på att exportören bedömer mottagarlandet och vid behov vidtar kompletterande åtgärder.

Kommissionen antog ett nytt adekvansbeslut för USA, EU-U.S. Data Privacy Framework, den 10 juli 2023. Tribunalen ogillade talan mot beslutet i målet Latombe den 3 september 2025, och domen överklagades till EU-domstolen i oktober 2025. Ramverket gäller alltså, men frågan är inte slutligt avgjord.

Den amerikanska CLOUD Act från 2018 innebär att amerikanska tjänsteleverantörer kan tvingas lämna ut data som de har i sin besittning eller kontroll, oavsett var datan lagras. eSam skrev i september 2025 att ett adekvansbeslut inte nödvändigtvis löser problemet med utländska myndigheters tillgång till uppgifter, även när de behandlas inom EU/EES. För myndigheter tillkommer offentlighets- och sekretesslagen: sedan 1 juli 2023 tillåter 10 kap. 2 a § att uppgifter lämnas till en leverantör för enbart teknisk bearbetning eller lagring, om det inte är olämpligt med hänsyn till omständigheterna.

06

Så fungerar PUB-avtal med Klang

På Business-planen tecknar Klang ett personuppgiftsbiträdesavtal. Kontakta oss om avtalsvillkor för andra planer. All kunddata lagras och behandlas inom EU. För högre krav finns privat moln och on-premise i er egen driftmiljö, med egna krypteringsnycklar.

Klang är certifierat enligt ISO 27001:2022 och tränar aldrig AI-modeller på kunddata. Enligt Klangs trust center arbetar alla AI-leverantörer som Klang använder med nollagring. Certifikatet, underbiträdeslistan och svar på vanliga säkerhetsfrågor finns på trust.klang.ai.