Avtal om databehandling (DPA)
är det obligatoriska avtalet (artikel 28 i GDPR) mellan en personuppgiftsansvarig och varje personuppgiftsbiträde som hanterar personuppgifter för dennes räkning – lönebyråer, EOR-företag och plattformar för förmåner. Avtalet reglerar instruktioner, säkerhet, vidarebehandling, anmälan av personuppgiftsincidenter, revisionsrättigheter och radering vid avslutad tjänst.
Att snabbt läsa igenom ett DPA från en leverantör
- Anvisningar och tillämpningsområde: behandling sker endast enligt dokumenterade anvisningar; de angivna ändamålen överensstämmer med tjänsten.
- Underleverantörer: aktuell förteckning, meddelande om ändringar och förfaranden för invändningar — lönehanteringskedjor har alltid underleverantörer.
- Överföringar: namngivna mekanismer (tillräcklighet, standardavtalsklausuler) med landspecifik information.
- Säkerhet och dataintrång: konkreta åtgärder och tidsfrister för anmälan som gör att du kan uppfylla din skyldighet att anmäla inom 72 timmar.
- Upphörande: återlämnande eller radering med intyg – den klausul som alla behöver men som ingen kontrollerar förrän det är dags att avsluta samarbetet med en leverantör.
Vanliga frågor
Behöver vi ett DPA-avtal med en EOR?
Ja, när det gäller den behandling som EOR-leverantören utför enligt dina instruktioner – och notera nyansen: när det gäller sina egna arbetsgivarförpliktelser (löneanmälningar, socialförsäkring) agerar EOR-leverantören som personuppgiftsansvarig i egen rätt. Bra EOR-avtal gör en tydlig åtskillnad mellan rollerna; avsaknaden av databehandlingsavtal (DPA) är ett vanligt fynd vid leverantörsrevisioner.
Vem undertecknar databehandlingsavtal inom en koncern?
Varje registeransvarig som kopplas till processorn – vilket i praktiken löses genom en grupp-DPA med anslutning för medlemsorganisationer. En översikt över vem som kontrollerar vilka anställdas uppgifter (hemarbetsgivare, värdorganisation eller delade uppgifter) bör finnas på plats innan signaturblocket skapas.