Mall · GDPR art. 28
Personuppgiftsbiträdesavtal – mall (PUB-avtal)
En komplett svensk mall för personuppgiftsbiträdesavtal enligt GDPR artikel 28 — med bilaga för behandlingens omfattning, underbiträden, tekniska och organisatoriska säkerhetsåtgärder samt hantering av tredjelandsöverföring. Särskilt användbar när biträdet är en AI-tjänst.
Framtagen av aimognad.se · Senast uppdaterad augusti 2026.
När behöver ni ett PUB-avtal?
Så snart någon behandlar personuppgifter för er räkning krävs ett skriftligt personuppgiftsbiträdesavtal. Det gäller molntjänster, supportsystem, lönebyråer, marknadsverktyg — och numera nästan alla AI-tjänster där personuppgifter kan hamna i en prompt.
Avtalet är inte bara en formalitet: det är där ni styr om leverantören får använda era data för modellträning, vilka underbiträden som är godkända, var data lagras och vad som händer när avtalet upphör. Utan det saknar ni rättslig grund för överlämnandet av data.
Vad mallen innehåller
1. Parter och definitioner
Personuppgiftsansvarig, personuppgiftsbiträde, underbiträde samt hänvisning till huvudavtalet.
2. Föremål och instruktioner
Biträdet får bara behandla uppgifter enligt dokumenterade instruktioner. Instruktionerna specificeras i bilaga A.
3. Säkerhetsåtgärder
Tekniska och organisatoriska åtgärder enligt art. 32: kryptering, åtkomststyrning, loggning, kontinuitet och testning.
4. Underbiträden
Godkännandeform (specifikt eller generellt), aktuell lista, aviseringstid vid byte och invändningsrätt.
5. Tredjelandsöverföring
Var behandlas data? Standardavtalsklausuler, kompletterande skyddsåtgärder och överföringsbedömning.
6. Bistånd och rättigheter
Hjälp vid registrerades begäran, konsekvensbedömning (DPIA), förhandssamråd och säkerhetsincidenter.
7. Personuppgiftsincidenter
Underrättelse utan onödigt dröjsmål, innehållskrav i anmälan och dokumentationsansvar.
8. Revision, upphörande och radering
Granskningsrätt, återkommande rapportering, samt radering eller återlämnande av data när avtalet upphör.
Mallen i sin helhet
Kopiera texten nedan, byt ut hakparenteser mot er information och anpassa efter er organisation.
# Personuppgiftsbiträdesavtal (PUB-avtal)
Mellan
Personuppgiftsansvarig: [Företagsnamn], org.nr [XXXXXX-XXXX] ("Ansvarig")
och
Personuppgiftsbiträde: [Leverantörsnamn], org.nr [XXXXXX-XXXX] ("Biträdet")
Avtalet är en bilaga till huvudavtalet [avtalsnamn, datum] och gäller så länge
Biträdet behandlar personuppgifter för Ansvarigs räkning.
## 1. Bakgrund och syfte
Biträdet behandlar personuppgifter för Ansvarigs räkning inom ramen för huvudavtalet.
Detta avtal reglerar behandlingen enligt artikel 28 i EU:s dataskyddsförordning (GDPR).
Vid motstridighet har detta avtal företräde i dataskyddsfrågor.
## 2. Instruktioner
2.1 Biträdet får endast behandla personuppgifter enligt Ansvarigs dokumenterade
instruktioner, se Bilaga A.
2.2 Biträdet får inte använda uppgifterna för egna ändamål, inklusive träning eller
finjustering av AI-modeller, utan Ansvarigs skriftliga godkännande.
2.3 Biträdet ska omedelbart informera Ansvarig om en instruktion enligt Biträdets
uppfattning strider mot tillämplig dataskyddslagstiftning.
## 3. Sekretess
Biträdet ska säkerställa att personer med åtkomst till uppgifterna omfattas av
sekretessåtagande och endast får åtkomst i den omfattning arbetsuppgifterna kräver.
## 4. Säkerhetsåtgärder
4.1 Biträdet ska vidta lämpliga tekniska och organisatoriska åtgärder enligt artikel 32.
4.2 Åtgärderna specificeras i Bilaga B och ska minst omfatta kryptering i vila och under
överföring, behörighetsstyrning, loggning, sårbarhetshantering, säkerhetskopiering
och regelbunden testning.
4.3 Väsentliga försämringar av skyddsnivån ska aviseras skriftligen i förväg.
## 5. Underbiträden
5.1 Ansvarig lämnar [specifikt / generellt] förhandsgodkännande till underbiträden.
5.2 Aktuella underbiträden framgår av Bilaga C.
5.3 Biträdet ska underrätta Ansvarig minst [30] dagar innan ett underbiträde tillkommer
eller byts ut. Ansvarig har rätt att invända inom [14] dagar.
5.4 Biträdet ansvarar för underbiträdets behandling som för sin egen och ska ålägga
underbiträdet minst samma skyldigheter som följer av detta avtal.
## 6. Överföring till tredjeland
6.1 Behandling sker inom EU/EES om inte annat anges i Bilaga C.
6.2 Överföring till tredjeland förutsätter giltig överföringsgrund, t.ex. beslut om
adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler, samt en
dokumenterad överföringsbedömning och kompletterande skyddsåtgärder vid behov.
## 7. Bistånd till Ansvarig
Biträdet ska med hänsyn till behandlingens art bistå Ansvarig med:
a) att besvara begäran från registrerade (tillgång, rättelse, radering, dataportabilitet,
invändning och begränsning),
b) konsekvensbedömning avseende dataskydd (DPIA) och förhandssamråd,
c) säkerhetsåtgärder och hantering av personuppgiftsincidenter.
## 8. Personuppgiftsincident
8.1 Biträdet ska underrätta Ansvarig utan onödigt dröjsmål, och senast inom [24] timmar
från upptäckt av en personuppgiftsincident.
8.2 Underrättelsen ska innehålla incidentens art, berörda kategorier och ungefärligt
antal registrerade, sannolika konsekvenser samt vidtagna och planerade åtgärder.
8.3 Biträdet ska dokumentera incidenten och bistå Ansvarig vid anmälan till
Integritetsskyddsmyndigheten och vid information till registrerade.
## 9. Revision och kontroll
9.1 Biträdet ska på begäran tillhandahålla den information som krävs för att visa
efterlevnad av artikel 28.
9.2 Ansvarig, eller av Ansvarig anlitad oberoende revisor, har rätt att genomföra
granskning eller inspektion högst [en] gång per år, samt vid inträffad incident.
9.3 Aktuella tredjepartsrevisioner (t.ex. ISO 27001, SOC 2) kan ersätta granskning
om de täcker den aktuella behandlingen.
## 10. Avtalstid, radering och återlämnande
10.1 Avtalet gäller så länge Biträdet behandlar personuppgifter för Ansvarigs räkning.
10.2 Vid upphörande ska Biträdet, enligt Ansvarigs val, radera eller återlämna samtliga
personuppgifter, inklusive kopior, senast [30] dagar efter upphörandet, om inte
lagring krävs enligt unions- eller nationell rätt.
10.3 Radering ska skriftligen bekräftas.
## 11. Ansvar och tillämplig lag
Ansvarsfördelning följer huvudavtalet. Svensk lag tillämpas. Tvist avgörs av
[allmän domstol / skiljeförfarande] med [ort] som första instans.
Underskrifter
Ansvarig: ______________________ Datum: __________ Namnförtydligande: __________
Biträdet: ______________________ Datum: __________ Namnförtydligande: __________
---
## Bilaga A – Behandlingens omfattning
Ändamål: [t.ex. leverans av support- och AI-assistanstjänst]
Behandlingens art: [insamling, lagring, analys, generering av svar]
Varaktighet: [avtalstiden + X dagar]
Kategorier av registrerade: [kunder, anställda, kontaktpersoner]
Kategorier av personuppgifter: [namn, e-post, telefonnummer, ärendetext, IP-adress]
Särskilda kategorier: [Ja/Nej – om ja, specificera och ange rättslig grund]
Instruktioner: [t.ex. inga uppgifter får användas för modellträning; loggning av
prompts sker i max X dagar; endast behandling inom EU/EES]
## Bilaga B – Tekniska och organisatoriska säkerhetsåtgärder
- Kryptering: [TLS 1.2+ under överföring, AES-256 i vila]
- Behörighet: [rollbaserad åtkomst, MFA, principen om minsta privilegium]
- Loggning: [åtkomstloggar, retention X månader, manipuleringsskydd]
- Kontinuitet: [backupfrekvens, RTO/RPO, testad återläsning]
- Personal: [bakgrundskontroll, sekretessavtal, årlig utbildning]
- Sårbarhetshantering: [patchning inom X dagar, penetrationstest årligen]
- Certifieringar: [ISO 27001 / SOC 2 Type II / annan]
## Bilaga C – Underbiträden
| Underbiträde | Tjänst | Behandlingsland | Överföringsgrund |
| --- | --- | --- | --- |
| [Namn] | [Molndrift] | [Sverige/EU] | [Inom EU/EES] |
| [Namn] | [Modellinferens] | [USA] | [SCC + kompletterande åtgärder] |Checklista innan ni skriver under
- Bilaga A är ifylld med verkliga uppgiftskategorier — inte generiska formuleringar.
- Klausulen om att data inte får användas för modellträning är kvar (eller medvetet ändrad).
- Underbiträdeslistan i Bilaga C är komplett och daterad.
- Överföringsgrund finns dokumenterad för varje behandling utanför EU/EES.
- Aviseringstider och tidsfrister är justerade efter era interna rutiner.
- Incidentfristen är kortare än er egen 72-timmarsfrist mot IMY.
- Raderingsrutinen vid avtalets slut är konkret och bekräftas skriftligt.
- Jurist eller DPO har granskat den slutliga versionen.
Vanliga frågor
Behöver vi PUB-avtal med AI-leverantörer som ChatGPT eller Claude?
Ja, om personuppgifter kan hamna i prompts eller uppladdade filer. Företagsversionerna av de stora AI-tjänsterna erbjuder ett standardiserat biträdesavtal — läs det mot den här mallen och kontrollera särskilt modellträning, loggretention, underbiträden och behandlingsland.
Vem är personuppgiftsansvarig och vem är biträde?
Den som bestämmer ändamål och medel för behandlingen är ansvarig. Den som behandlar uppgifterna på uppdrag är biträde. Om leverantören använder era data för egna ändamål — till exempel produktutveckling eller modellträning — agerar de som egen ansvarig, och då räcker inte ett biträdesavtal.
Kan vi använda leverantörens eget avtal i stället?
Ofta måste ni det, eftersom stora leverantörer inte förhandlar. Använd då mallen som granskningsmall: gå igenom punkt för punkt och dokumentera vilka krav som saknas och hur ni kompenserar för dem.
Måste avtalet vara på svenska?
Nej. GDPR ställer inga språkkrav. Ett engelskspråkigt avtal är giltigt, men se till att den som ska tillämpa det internt förstår innehållet.
Mallen är en utgångspunkt och utgör inte juridisk rådgivning. Låt jurist eller dataskyddsombud granska och anpassa dokumentet innan ni använder det skarpt.
Vill ni veta var ni står?
Gör vår kostnadsfria AI-mognadsanalys och få en nulägesbild med konkreta rekommendationer — eller hämta fler mallar och checklistor.