Ni har ett sekretessavtal med byrån, utvecklaren eller frilansaren, och känslan är att saken är avklarad. Men om motparten hanterar era kunduppgifter för er räkning ställer dataskyddsreglerna krav som ett sekretessavtal inte är byggt för att möta. De två avtalen svarar på olika frågor, och det ena ersätter inte det andra.
Två avtal som skyddar olika saker
Ett sekretessavtal skyddar ert företags egna hemligheter. Ni bestämmer själva vad som ska omfattas, hur länge tystnaden ska gälla och vad som händer vid brott. Avtalet är frivilligt, och innehållet är en förhandlingsfråga mellan parterna. Vill ni se hur de delarna brukar formuleras finns en genomgång klausul för klausul i vår svenska NDA-mall.
Ett personuppgiftsbiträdesavtal skyddar någon annan, nämligen de personer vars uppgifter behandlas. Era kunder, era besökare, era anställda. Det avtalet är inte frivilligt, och miniminivån för innehållet bestäms inte av er utan av artikel 28 i dataskyddsförordningen. Ni får lägga till fler villkor, men inte nöja er med färre. Integritetsskyddsmyndigheten beskriver saken som att avtalet ska säkerställa att båda parter följer regelverket och kan visa att de gör det, i sin vägledning om personuppgiftsbiträdesavtal.
Skillnaden märks tydligast i vem som blir lidande om avtalet saknas. Utan sekretessavtal riskerar ni att er affärsidé sprids. Utan biträdesavtal saknar era kunder det skydd som lagen tänkt att de ska ha.
Vad artikel 28.3 faktiskt kräver av avtalet
Bestämmelsen är ovanligt detaljerad för att vara avtalsrätt. Den börjar med att slå fast att avtalet ska ange föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade, samt den personuppgiftsansvariges skyldigheter och rättigheter. Redan där skiljer sig kravet från ett sekretessavtal, som sällan beskriver behandlingen alls.
Därefter följer en uppräkning av åtta saker som det särskilt ska föreskrivas att biträdet gör, punkterna a till h. Biträdet ska
- endast behandla personuppgifter på dokumenterade instruktioner från er, inbegripet vid överföring till ett tredjeland, såvida inte behandlingen krävs enligt unionsrätten eller enligt nationell rätt som biträdet omfattas av,
- säkerställa att personer med behörighet att behandla uppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt,
- vidta alla åtgärder som krävs enligt artikel 32 om säkerhet,
- respektera villkoren i artikel 28.2 och 28.4 för att anlita ett underbiträde,
- med tanke på behandlingens art hjälpa er, i den mån det är möjligt, att svara när någon utövar sina rättigheter, till exempel begär registerutdrag eller radering,
- bistå er med skyldigheterna i artiklarna 32 till 36, bland annat vid personuppgiftsincidenter, med beaktande av typen av behandling och den information biträdet har att tillgå,
- radera eller återlämna uppgifterna när uppdraget avslutas, beroende på vad ni väljer, och radera befintliga kopior såvida inte lagring krävs enligt unionsrätten eller nationell rätt,
- ge er tillgång till den information som behövs för att visa att skyldigheterna i artikeln fullgjorts, och möjliggöra och bidra till granskningar och inspektioner som ni eller en revisor ni utser genomför.
Avtalet ska dessutom vara skriftligt enligt artikel 28.9, vilket också kan vara elektroniskt. Hela lydelsen finns i förordningens fulltext, och de svenska tilläggen finns i lagen med kompletterande bestämmelser till EU:s dataskyddsförordning.
Konfidentialitet är punkt b av åtta
Här ligger artikelns egentliga poäng. Av de åtta punkterna handlar en om tystnadsplikt, nämligen punkt b. Ett välskrivet sekretessavtal kan komma nära ytterligare någon punkt, men det gör det för en annan sorts information. Vår egen NDA-mall är ett bra exempel. Klausul 7 säger att mottagande part vid avtalets upphörande på begäran ska återlämna eller förstöra all konfidentiell information samt kopior av denna, och klausul 5 att informationen bara får delas internt med personer som är bundna av motsvarande sekretess. Det ligger nära punkterna g och b, men klausulerna gäller konfidentiell information, inte personuppgifter, och punkt g kräver dessutom att det är ni som ansvariga som väljer mellan radering och återlämnande, inte att motparten väljer på begäran. Helt utan motsvarighet står dokumenterade instruktioner, villkoren för att anlita underbiträden och er rätt att granska motparten.
Punkt b är dessutom annorlunda riktad än en vanlig sekretessklausul, och det är lätt att missa. Skyldigheten ligger på leverantören som bolag, men det som ska säkerställas är ett åtagande hos de enskilda personer som har behörighet att behandla uppgifterna. De ska ha åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt. Ett sekretessavtal kan mycket väl kräva att motparten binder sin personal, som vår mall gör, men det åtagandet gäller den konfidentiella informationen i affären. Punkt b tar sikte på den krets som har behörighet att behandla personuppgifterna, och de två kretsarna sammanfaller inte automatiskt.
Räknar man efter träffar alltså ett sekretessavtal på sin höjd en av de åtta obligatoriska punkterna, och den bara delvis. Till det kommer att det inte heller beskriver behandlingen på det sätt som inledningen till artikel 28.3 kräver. Slutsatsen är inte att sekretessavtalet är ogiltigt eller värdelöst, för det fyller sin egen funktion utmärkt. Slutsatsen är att det inte på egen hand uppfyller artikel 28.3.
Behöver ni båda avtalen?
Ställ en enda fråga: behandlar motparten personuppgifter för er räkning? Sköter webbyrån ert nyhetsbrev, lagrar molnleverantören era kundregister, analyserar konsulten era kunduppgifter, då är svaret ja och ett biträdesavtal behövs. Integritetsskyddsmyndigheten ger själv exempel av just den typen, bland annat ett företag som anlitar en molntjänstleverantör för att lagra och analysera personuppgifter.
Vill ni samtidigt skydda era egna affärshemligheter behöver ni sekretessavtalet också. De flesta leverantörsrelationer kräver alltså båda. En utvecklare som bygger er kundportal ser både er tekniska lösning, som är er hemlighet, och era kunders uppgifter, som är de registrerades. En frilansare som granskar sitt uppdragsavtal möter i praktiken ofta båda delarna vid samma tillfälle.
Behandlar motparten inga personuppgifter alls behövs inget biträdesavtal. En leverantör som får se er tillverkningsritning men aldrig rör ett kundregister ska ha ett sekretessavtal och inget mer.
Rollen avgörs av vem som bestämmer, inte av yrkestiteln
En vanlig missuppfattning är att vissa yrkesgrupper alltid är biträden. Så fungerar det inte. Avgörande är vem som bestämmer ändamålen med och medlen för behandlingen. Den som bestämmer är personuppgiftsansvarig, den som utför på uppdrag är biträde. Samma frilansare kan därför vara biträde i ett uppdrag och ansvarig i ett annat, beroende på vem som styr.
Förordningen har en uttrycklig regel för den som glider mellan rollerna. Enligt artikel 28.10 anses ett biträde som överträder förordningen genom att självt fastställa ändamålen och medlen vara personuppgiftsansvarigt för den behandlingen. En byrå som börjar använda era kunduppgifter för sina egna syften har alltså inte bara brutit mot instruktionerna, utan har bytt roll och tagit på sig det fulla ansvaret.
Bedömningen är en fråga för det enskilda fallet och går inte att avgöra på förhand utifrån en yrkesbeteckning. Är ni osäkra på hur ett visst uppdrag ska klassas är Integritetsskyddsmyndighetens vägledning rätt startpunkt.
Vad ett saknat biträdesavtal kan leda till
Skyldigheterna i artikel 28 ligger i den lägre av förordningens två sanktionsnivåer. Enligt artikel 83.4 a kan en överträdelse leda till administrativa sanktionsavgifter på upp till 10 000 000 euro, eller om det gäller ett företag upp till 2 procent av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst. Det handlar om en administrativ avgift som tillsynsmyndigheten beslutar om, inte om böter i straffrättslig mening.
Att ett avtal saknas leder inte automatiskt till någon avgift. Nivåerna anger ett tak, och myndigheten väger in en rad omständigheter i varje enskilt ärende. Den praktiska poängen är enklare än sanktionshotet: utan biträdesavtal har ni ingen dokumenterad kontroll över vad leverantören får göra med uppgifterna, och inget avtalat sätt att få just personuppgifterna raderade när samarbetet upphör.
Två avtal betyder inte två dokument
Att kraven är olika betyder inte att ni måste hantera två separata handlingar. Biträdesvillkoren läggs ofta som en bilaga till konsultavtalet eller som ett eget kapitel i samma dokument, precis som sekretessvillkoren kan bo i huvudavtalet i stället för i ett fristående NDA. Vi har gått igenom den avvägningen närmare i jämförelsen mellan sekretessklausul och separat NDA.
Det som avgör är innehållet, inte antalet dokument eller rubriken överst på sidan. Ett skriftligt avtal som heter sekretessavtal uppfyller kravet om det innehåller allt som artikel 28.3 kräver, alltså både beskrivningen av behandlingen och de åtta punkterna. Ett avtal som heter personuppgiftsbiträdesavtal men bara innehåller en tystnadspliktsklausul gör det inte.
Värt att hålla isär är också vad de två regelverken skyddar. Företagshemligheter regleras i lagen om företagshemligheter och handlar om information med kommersiellt värde för er. Dataskyddsreglerna handlar om uppgifter som kan knytas till en fysisk person. En kundlista kan mycket väl vara båda samtidigt, och behöver då skydd från två håll. Vad ett sekretessavtal är och inte är går vi igenom från grunden i guiden vad ett NDA är.
Vanliga frågor
Räcker vårt sekretessavtal när konsulten hanterar våra kunduppgifter?
Nej, inte på egen hand. Sekretessavtalet motsvarar på sin höjd en av de åtta punkterna i artikel 28.3, punkt b om tystnadsplikt, och även den bara delvis, eftersom sekretessvillkor gäller konfidentiell information och inte personuppgifter. Kraven på dokumenterade instruktioner, villkoren för att anlita underbiträden och er rätt att granska motparten saknar motsvarighet, och avtalet beskriver inte heller behandlingen så som inledningen till artikel 28.3 kräver. Avtalet behåller sitt värde för era egna hemligheter, men behöver kompletteras med biträdesvillkor.
Måste biträdesavtalet vara skriftligt?
Ja. Artikel 28.9 kräver att avtalet upprättas skriftligen, och anger uttryckligen att elektronisk form räknas. En muntlig överenskommelse uppfyller alltså inte kravet, oavsett hur tydlig den är mellan parterna.
Vem är personuppgiftsansvarig och vem är biträde?
Den som bestämmer ändamålen med och medlen för behandlingen är personuppgiftsansvarig. Den som behandlar uppgifterna på den ansvariges vägnar är biträde. Rollen följer alltså av vem som styr behandlingen i det enskilda uppdraget, inte av vilken yrkesroll motparten har.
Behöver leverantörens underleverantörer också regleras?
Ja. Ett biträde får enligt artikel 28.2 inte anlita ett underbiträde utan ett särskilt eller allmänt skriftligt förhandstillstånd från er. Varje underbiträde kräver alltså inte ett eget beslut: har ni gett ett allmänt tillstånd ska biträdet i stället informera er om planerade byten och tillägg, så att ni har möjlighet att göra invändningar. Enligt artikel 28.4 ska underbiträdet dessutom åläggas samma dataskyddsskyldigheter som står i ert eget avtal, och det ursprungliga biträdet förblir fullt ansvarigt gentemot er om underbiträdet brister.
Om den här genomgången
Uppgifterna om artikel 28 och artikel 83 är hämtade ur dataskyddsförordningens svenska lydelse den 10 augusti 2026, kontrollerad mot både originaltexten och den konsoliderade versionen hos EU:s publikationsbyrå samt mot Integritetsskyddsmyndighetens fulltextsida. Artikel 28 är oförändrad sedan förordningen trädde i kraft.
Den här artikeln är allmän information om dataskyddsreglerna och svensk avtalsrätt och utgör inte juridisk rådgivning. För bedömning av ett enskilt avtal bör du vända dig till en jurist.