Personuppgiftsbiträdesavtal: när det behövs och vad det ska innehålla

Ett personuppgiftsbiträdesavtal (ofta kallat PUB-avtal) behövs när någon utanför föreningen behandlar personuppgifter på föreningens uppdrag. Avtalet ska vara skriftligt och reglerar hur uppgifterna får hanteras, enligt artikel 28 i dataskyddsförordningen (GDPR).

När behöver föreningen ett avtal?

Föreningen är personuppgiftsansvarig för sitt medlemsregister. Den som hanterar uppgifterna åt föreningen är ett personuppgiftsbiträde, och då ska ett avtal finnas. Ett biträde är alltid någon utanför den egna organisationen.

Vanliga exempel i en förening:

• Leverantören av medlemssystemet, som lagrar medlemsregistret
• Verktyget för nyhetsbrev, om det tar emot medlemmarnas e-postadresser
• Molntjänster där föreningen sparar medlemslistor eller dokument
• En redovisningsbyrå eller IT-konsult som får tillgång till personuppgifter

Styrelseledamöter och ideella funktionärer i föreningen är däremot inte biträden. De är en del av föreningen.

Vad ska avtalet innehålla?

Avtalet ska beskriva behandlingen:

• vad behandlingen gäller och hur länge den pågår
• vad som görs med uppgifterna och varför
• vilka typer av personuppgifter och vilka personer som berörs, till exempel medlemmar och gåvogivare
• föreningens rättigheter och skyldigheter

Enligt GDPR ska avtalet också minst reglera att biträdet:

1. bara behandlar uppgifterna enligt föreningens dokumenterade instruktioner
2. ser till att personalen har tystnadsplikt
3. har lämpliga säkerhetsåtgärder
4. bara anlitar underbiträden med föreningens skriftliga tillåtelse
5. hjälper föreningen att uppfylla medlemmarnas rättigheter, till exempel att få ut eller radera sina uppgifter
6. hjälper föreningen med säkerhet, incidenter och konsekvensbedömningar
7. raderar eller återlämnar uppgifterna när uppdraget upphör
8. låter föreningen granska att avtalet följs

Underbiträden

Ibland anlitar biträdet i sin tur en annan leverantör, till exempel en driftleverantör för servrarna. Det kallas underbiträde. Biträdet måste först få föreningens skriftliga tillåtelse och ha ett avtal med underbiträdet med samma skyddsnivå.

Personuppgiftsbiträdesavtal med arcMember

När föreningen använder arcMember är Westarc AB föreningens personuppgiftsbiträde. Vi erbjuder alla kunder ett färdigt standardavtal för personuppgiftsbiträde. Kontakta oss om du vill ta del av avtalet.

Checklista för föreningen

• Lista alla leverantörer som hanterar medlemmarnas uppgifter
• Kontrollera att det finns ett skriftligt biträdesavtal med var och en
• Kontrollera att avtalet täcker minimikraven ovan
• Ta reda på vilka underbiträden leverantören använder
• Spara avtalen där styrelsen hittar dem, även efter styrelsebyten

Läs mer om personuppgiftsbiträden · Vem är personuppgiftsansvarig? · Kontakta oss

Källa: Integritetsskyddsmyndigheten (IMY) och dataskyddsförordningen (GDPR). Texten är allmän information och inte juridisk rådgivning.