Gemensamt personuppgiftsansvar enligt GDPR, avtal

SKR har tillsammans med Adda och Inera tagit fram en mall för avtal som kan användas i avtals- eller samarbetsförhållanden där parterna har ett gemensamt personuppgiftsansvar.

När två eller flera personuppgiftsansvariga gemensamt bestämmer ändamål och medel för en personuppgiftsbehandling, är de gemensamt personuppgiftsansvariga enligt GDPR (artikel 26). Enligt GDPR ska de olika personuppgiftsansvarigas ansvar i en sådan situation framgå av ett ”gemensamt arrangemang”.

Mall för avtal om gemensamt personuppgiftansvar

SKR-koncernen tagit fram är en mall för avtal som kan användas för att uppfylla kraven i artikel 26 vid behandlingar av personuppgifter som två eller flera personuppgiftansvariga är gemensamt ansvariga för. Detta kan till exempel bli aktuellt inom ramen för verksamheten i en kommungemensam nämnd eller ett kommunalförbund.

SKR-koncernen har som målsättning att mallen ska kompletteras med en vägledning under hösten 2024.

Till avtalet hör även två bilagor som tydliggör uppgifter om respektive part samt behandlingens omfattning. Utgångspunkten är att ändringar i mallen inte får göras.

Mall avtal om gemensamt personuppgiftsansvar (Word) Word, 103 kB.

Bilaga 1 Mall parter till avtal om gemensamt personuppgiftsansvar (Excel) Excel, 21 kB.

Bilaga 2 Mall avtal om personuppgiftsansvar, behandlingens omfattning (Excel) Excel, 24 kB.