{
  "attribution": {
    "source": "legal.exploreworldai.com",
    "canonical": "https://legal.exploreworldai.com/agent/gdpr-2016-679/artikel-28",
    "license": "https://legal.exploreworldai.com/revision",
    "version": "legal-2026-08-25",
    "proof": "sha256:d68297b0e1368f66ee354e618aeaae427325475eef129bd4ac4ef547b08c44ec",
    "jurisdiction": "eu",
    "owner": "ExploreWorldAI",
    "terms": "https://legal.exploreworldai.com/om",
    "notice": "Återgivning kräver angiven källa: legal.exploreworldai.com"
  },
  "item": {
    "id": "gdpr-2016-679-28",
    "act": "gdpr-2016-679",
    "actName": "GDPR",
    "article": "28",
    "title": "Personuppgiftsbiträden",
    "celex": "32016R0679",
    "lang": "sv",
    "riskClass": "minimal-risk",
    "tier": "premium",
    "tierTerms": {
      "tier": "premium",
      "label": "Premium",
      "labelEn": "Premium",
      "price": "free-preview",
      "metering": "Handskrivet eller högviktat regelträd. Mäts per anrop i kanten när mätningen slås på, med samma adress och samma svar som i dag.",
      "meteringEn": "Hand written or high weight rule tree. Metered per call at the edge once metering is switched on, at the same address and with the same answer as today.",
      "costUnits": 10,
      "notice": "90 dagars varsel innan mätning börjar gälla."
    },
    "paragraphs": [
      "1. Om en behandling ska genomföras på en personuppgiftsansvarigs vägnar ska den personuppgiftsansvarige endast anlita personuppgiftsbiträden som ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i denna förordning och säkerställer att den registrerades rättigheter skyddas.",
      "2. Personuppgiftsbiträdet får inte anlita ett annat personuppgiftsbiträde utan att ett särskilt eller allmänt skriftligt förhandstillstånd har erhållits av den personuppgiftsansvarige. Om ett allmänt skriftligt tillstånd har erhållits, ska personuppgiftsbiträdet informera den personuppgiftsansvarige om eventuella planer på att anlita nya personuppgiftsbiträden eller ersätta personuppgiftsbiträden, så att den personuppgiftsansvarige har möjlighet att göra invändningar mot sådana förändringar.",
      "3. När uppgifter behandlas av ett personuppgiftsbiträde ska hanteringen regleras genom ett avtal eller en annan rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt som är bindande för personuppgiftsbiträdet med avseende på den personuppgiftsansvarige och i vilken föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade, samt den personuppgiftsansvariges skyldigheter och rättigheter anges. I det avtalet eller den rättsakten ska det särskilt föreskrivas att personuppgiftsbiträdet",
      "a)",
      "endast får behandla personuppgifter på dokumenterade instruktioner från den personuppgiftsansvarige, inbegripet när det gäller överföringar av personuppgifter till ett tredjeland eller en internationell organisation, såvida inte denna behandling krävs enligt unionsrätten eller enligt en medlemsstats nationella rätt som personuppgiftsbiträdet omfattas av, och i så fall ska personuppgiftsbiträdet informera den personuppgiftsansvarige om det rättsliga kravet innan uppgifterna behandlas, såvida sådan information inte är förbjuden med hänvisning till ett viktigt allmänintresse enligt denna rätt,",
      "b)",
      "säkerställer att personer med behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt,",
      "c)",
      "ska vidta alla åtgärder som krävs enligt artikel 32,",
      "d)",
      "ska respektera de villkor som avses i punkterna 2 och 4 för anlitandet av ett annat personuppgiftsbiträde,",
      "e)",
      "med tanke på behandlingens art, ska hjälpa den personuppgiftsansvarige genom lämpliga tekniska och organisatoriska åtgärder, i den mån detta är möjligt, så att den personuppgiftsansvarige kan fullgöra sin skyldighet att svara på begäran om utövande av den registrerades rättigheter i enlighet med kapitel III,",
      "f)"
    ],
    "officialUrl": "https://eur-lex.europa.eu/legal-content/SV/TXT/HTML/?uri=CELEX%3A32016R0679#art_28",
    "checkedAt": "2026-08-18",
    "script": {
      "kind": "operative",
      "fields": [
        {
          "name": "processor_used",
          "kind": "boolean",
          "label": "Ett personuppgiftsbiträde anlitas",
          "labelEn": "A processor is engaged"
        },
        {
          "name": "written_contract",
          "kind": "boolean",
          "label": "Skriftligt avtal finns",
          "labelEn": "A written contract is in place"
        },
        {
          "name": "subprocessor_authorised",
          "kind": "boolean",
          "label": "Underbiträden är godkända",
          "labelEn": "Sub-processors are authorised"
        }
      ],
      "rules": [
        {
          "id": "28-none",
          "when": {
            "op": "equals",
            "field": "processor_used",
            "value": false
          },
          "outcome": {
            "code": "outside",
            "title": "Artikel 28 är inte tillämplig",
            "titleEn": "Article 28 does not apply",
            "obligation": "Inget biträde anlitas.",
            "obligationEn": "No processor is engaged.",
            "refs": [
              "1"
            ]
          }
        },
        {
          "id": "28-no-contract",
          "when": {
            "op": "not",
            "of": {
              "op": "equals",
              "field": "written_contract",
              "value": true
            }
          },
          "outcome": {
            "code": "contract-missing",
            "title": "Biträdesavtal saknas",
            "titleEn": "The processing contract is missing",
            "obligation": "Behandlingen ska regleras i ett avtal med det innehåll som anges i artikel 28.3 a till h.",
            "obligationEn": "The processing shall be governed by a contract with the content set out in Article 28(3)(a) to (h).",
            "refs": [
              "3"
            ]
          }
        },
        {
          "id": "28-subprocessor",
          "when": {
            "op": "equals",
            "field": "subprocessor_authorised",
            "value": false
          },
          "outcome": {
            "code": "subprocessor-unauthorised",
            "title": "Underbiträde utan godkännande",
            "titleEn": "Sub-processor without authorisation",
            "obligation": "Ett biträde får inte anlita ett underbiträde utan skriftligt förhandsgodkännande, särskilt eller allmänt, från den ansvarige.",
            "obligationEn": "A processor shall not engage a sub-processor without prior specific or general written authorisation from the controller.",
            "refs": [
              "2"
            ]
          }
        },
        {
          "id": "28-ok",
          "when": {
            "op": "equals",
            "field": "written_contract",
            "value": true
          },
          "outcome": {
            "code": "contract-in-place",
            "title": "Avtalet finns",
            "titleEn": "The contract is in place",
            "obligation": "Avtalet ska ålägga biträdet tystnadsplikt, säkerhet enligt artikel 32, bistånd och radering eller återlämnande vid uppdragets slut.",
            "obligationEn": "The contract shall bind the processor to confidentiality, security under Article 32, assistance and deletion or return at the end of the engagement.",
            "refs": [
              "3"
            ]
          }
        }
      ],
      "fallback": {
        "code": "abstain",
        "title": "Artikeln ger inget utfall på den indata som lämnats",
        "titleEn": "The article yields no outcome for the facts supplied",
        "obligation": "Ingen av artikelns rekvisit är uppfyllda med de uppgifter som lämnats. Lämna fler uppgifter eller läs artikeltexten i sin helhet.",
        "obligationEn": "None of the article's conditions are met with the facts supplied. Supply more facts or read the article in full.",
        "refs": []
      }
    },
    "lineage": {
      "treaty": "TFEU art. 288 (förordning)",
      "act": "gdpr-2016-679",
      "actIdentifier": "32016R0679",
      "chapter": "IV. Controller and processor",
      "article": "28",
      "paragraphs": 14,
      "amendedBy": [
        "https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A02016R0679-20160504"
      ],
      "related": [
        "https://legal.exploreworldai.com/agent/gdpr-2016-679/artikel-27",
        "https://legal.exploreworldai.com/agent/gdpr-2016-679/artikel-29"
      ]
    },
    "geo": {
      "jurisdiction": "European Union",
      "region": "EU",
      "language": "en",
      "nationalAct": null,
      "nationalUrl": null,
      "supervisor": "IMY — Sweden"
    },
    "priority": 106,
    "disclaimer": {
      "code": "no-legal-advice",
      "text": "Deterministisk regeluppslagning. Ingen juridisk rådgivning, inget efterlevnadsbeslut, ingen bedömning av ett enskilt ärende.",
      "policy": "https://legal.exploreworldai.com/ansvar",
      "contract": "https://legal.exploreworldai.com/citering"
    },
    "spi": {
      "call": "https://legal.exploreworldai.com/api/public/v1/agents/gdpr-2016-679-28/run",
      "method": "GET",
      "inputs": [
        {
          "name": "processor_used",
          "kind": "boolean",
          "label": "Ett personuppgiftsbiträde anlitas",
          "labelEn": "A processor is engaged"
        },
        {
          "name": "written_contract",
          "kind": "boolean",
          "label": "Skriftligt avtal finns",
          "labelEn": "A written contract is in place"
        },
        {
          "name": "subprocessor_authorised",
          "kind": "boolean",
          "label": "Underbiträden är godkända",
          "labelEn": "Sub-processors are authorised"
        }
      ],
      "output": [
        "matched",
        "outcome",
        "trace",
        "missing",
        "hash"
      ],
      "errors": [
        {
          "code": 400,
          "meaning": "Okänt fält eller otillåtet värde"
        },
        {
          "code": 404,
          "meaning": "Ingen agent med det id:t"
        },
        {
          "code": 429,
          "meaning": "Kvoten är nådd"
        }
      ],
      "quota": "60 anrop per minut och adress, utan nyckel",
      "license": "https://legal.exploreworldai.com/revision",
      "stability": "Regelträdet versioneras. En ändring byter artefakthash, aldrig adress.",
      "deprecation": "Ingen adress tas bort. En ersatt agent behåller sin adress och pekar vidare."
    },
    "canonical": "https://legal.exploreworldai.com/agent/gdpr-2016-679/artikel-28",
    "artifacts": {
      "artifact": "https://legal.exploreworldai.com/agent/gdpr-2016-679/artikel-28/artifact",
      "raw": "https://legal.exploreworldai.com/api/public/v1/agents/gdpr-2016-679-28/script.json",
      "meta": "https://legal.exploreworldai.com/api/public/v1/agents/gdpr-2016-679-28/manifest.json",
      "ai": "https://legal.exploreworldai.com/api/public/v1/agents/gdpr-2016-679-28/ai.json",
      "manifest": "https://legal.exploreworldai.com/api/public/v1/agents/gdpr-2016-679-28/manifest.json"
    },
    "hashes": {
      "text": "sha256:f3b150d4ae18ba16addbacecc27a0f4ee99efc825c66a68758e8365bd13641c4",
      "script": "sha256:d05185dedda73293bd610e5f944a8b82e1405a66037d2f65a02473c7c92c3af6",
      "engine": "sha256:0a4bd50d21f8ec9be383fc091511008b76ad61909cbfb674eab56fe567fbd7a0",
      "agent": "sha256:61c998efdb1ba5303535f26a1cb4ed01e511d7d65ea118c492ab37bd7787f64c"
    },
    "version": {
      "build": "agent-engine-1+legal-2026-08-25",
      "artifact": "61c998efdb1ba530",
      "checkedAt": "2026-08-18"
    },
    "citation": "32016R0679 art. 28, Personuppgiftsbiträden. ExploreWorld Legal, https://legal.exploreworldai.com/agent/gdpr-2016-679/artikel-28 (hämtad 2026-08-18, bevis sha256:5887cd2aac195e33, bygge legal-2026-08-25)."
  },
  "hash": "sha256:d68297b0e1368f66ee354e618aeaae427325475eef129bd4ac4ef547b08c44ec",
  "version": "legal-2026-08-25",
  "expires": "2026-08-31T00:00:00.000Z",
  "dependency": {
    "index_version": "legal-2026-08-25+legal-2026-08-25+2026-08-25T10:00:00",
    "content_hash": "sha256:d68297b0e1368f66ee354e618aeaae427325475eef129bd4ac4ef547b08c44ec",
    "revalidate_after": "2026-08-30T06:27:42.811Z",
    "max_copy_age_seconds": 3600,
    "policy": "revalidate-required; live-fetch-per-answer; attribution-required; no-derived-index",
    "changelog": "https://legal.exploreworldai.com/api/public/v1/dependency",
    "verify": "https://legal.exploreworldai.com/api/public/v1/verify",
    "stale_copy_invalid": true
  },
  "canonical": "https://legal.exploreworldai.com/agent/gdpr-2016-679/artikel-28",
  "disclaimer": "Källhänvisning med officiell identifierare. Ingen juridisk rådgivning och inget efterlevnadsbeslut.",
  "usageInfo": "https://legal.exploreworldai.com/citering"
}