Ljudinspelningar som transkriberas innehåller nästan alltid personuppgifter. Namn, röster, arbetsplatsdetaljer och ibland känslig information som hälsodata eller ekonomiska förhållanden finns ofta inbäddade i materialet. När du anlitar en extern transkriberingstjänst för att omvandla dessa inspelningar till text uppstår en behandling av personuppgifter som GDPR reglerar. Det centrala verktyget för att styra den behandlingen är ett personuppgiftsbiträdesavtal.
Den här artikeln går igenom vad ett personuppgiftsbiträdesavtal vid transkribering ska innehålla, vilka roller som finns och vad du konkret bör kontrollera innan du tecknar ett avtal med en leverantör. Du hittar också en praktisk checklista och svar på vanliga frågor. Observera att avtalet och organisationens juridiska skyldigheter alltid bör granskas av en kvalificerad jurist eller dataskyddsspecialist. Behöver du också förstå hur datasäkerheten fungerar rent praktiskt? Läs vår guide till säker transkribering.
Vad är ett personuppgiftsbiträdesavtal och vilka roller finns?
Ett personuppgiftsbiträdesavtal är ett skriftligt avtal som reglerar hur en extern leverantör får behandla personuppgifter på din organisations vägnar. Avtalet är obligatoriskt enligt GDPR artikel 28 och måste finnas på plats innan leverantören börjar hantera data. Saknas avtalet utgör det i sig en överträdelse av GDPR, oavsett om någon faktisk skada har uppstått.
Två centrala roller definieras i GDPR. Den personuppgiftsansvarige är den organisation som bestämmer varför och hur personuppgifter behandlas. Det är vanligtvis du som beställer transkriberingen. Personuppgiftsbiträdet är den externa part som behandlar uppgifterna på den personuppgiftsansvariges instruktioner, exempelvis den transkriberingstjänst du anlitar.
Rollfördelningen är inte alltid given
En vanlig missuppfattning är att transkriberingstjänsten automatiskt alltid är personuppgiftsbiträde. I praktiken beror rollfördelningen på hur behandlingen faktiskt går till. Om en leverantör använder inspelade samtal för egna ändamål, till exempel för att träna AI-modeller, kan leverantören istället betraktas som personuppgiftsansvarig eller gemensamt personuppgiftsansvarig. Det förändrar de juridiska skyldigheterna väsentligt och kräver en annan typ av avtal, ett så kallat joint controller-avtal enligt artikel 26. Kontrollera därför alltid vad leverantören faktiskt gör med datan, inte bara vad de kallar sig.
Vilka punkter ska ett biträdesavtal för transkribering reglera?
GDPR artikel 28.3 ställer upp specifika minimikrav på vad ett personuppgiftsbiträdesavtal ska innehålla. Vid transkribering av ljudinspelningar finns det dessutom branschspecifika aspekter som gör vissa punkter extra viktiga. Här är de centrala delarna:
- Dokumenterade instruktioner: Biträdet får bara behandla personuppgifter enligt den personuppgiftsansvariges skriftliga instruktioner. Avtalet ska tydligt ange att behandling utöver dessa instruktioner inte är tillåten.
- Ändamål och varaktighet: Avtalet ska specificera varför behandlingen sker (transkribering av inspelade intervjuer, möten eller liknande) och hur länge den pågår.
- Typer av personuppgifter: Beskriv vilka kategorier av uppgifter som förekommer i inspelningarna. Vid transkribering kan det handla om namn, röster, hälsoinformation eller ekonomiska detaljer. Om känsliga uppgifter enligt artikel 9 kan förekomma, till exempel hälsodata som avslöjas under en forskningsintervju, krävs den högsta skyddsnivån.
- Kategorier av registrerade: Vilka personer berörs? Det kan vara intervjupersoner, anställda, patienter eller medborgare beroende på sammanhanget.
- Konfidentialitet och tystnadsplikt: Alla som behandlar personuppgifterna ska vara bundna av tystnadsplikt.
- Tekniska och organisatoriska säkerhetsåtgärder: Biträdet ska vidta lämpliga åtgärder enligt artikel 32, exempelvis kryptering, åtkomstbegränsning och loggning av filåtkomst.
- Underbiträden: Avtalet ska reglera om och hur underbiträden (till exempel molnlagringsleverantörer eller kvalitetsgranskare) får anlitas. Enligt EDPB:s riktlinjer ska den personuppgiftsansvarige vid alla tidpunkter ha tillgång till information om identiteten på samtliga biträden och underbiträden i kedjan.
- Hjälp med registrerades rättigheter: Biträdet ska bistå den personuppgiftsansvarige när registrerade utövar sina rättigheter, till exempel rätten till radering eller tillgång.
- Incidenthantering: Biträdet måste utan onödigt dröjsmål rapportera personuppgiftsincidenter. Eftersom den personuppgiftsansvarige har 72 timmar på sig att rapportera allvarliga incidenter till IMY, behöver biträdet rapportera betydligt snabbare.
- Radering och återlämning: Vid avtalets upphörande ska alla personuppgifter raderas eller återlämnas. Avtalet bör specificera tydliga raderingsrutiner och tidsramar.
- Granskning och dokumentation: Den personuppgiftsansvarige ska ha rätt att genomföra eller låta genomföra revisioner. Biträdet ska tillhandahålla den information som krävs för att visa att skyldigheterna uppfylls.
- Internationella överföringar: Avtalet bör specificera var data lagras geografiskt. Överföring av personuppgifter till servrar utanför EU/EES utan giltig överföringsmekanism strider mot GDPR.
En punkt som blivit allt viktigare är att avtalet uttryckligen ska ange att kunddata inte får användas för att träna, finjustera eller förbättra AI-modeller. Vaga formuleringar som ”service improvement” i leverantörens villkor är en varningsflagga som kräver närmare granskning.
Checklista inför tecknande av personuppgiftsbiträdesavtal
Innan du tecknar ett avtal med en transkriberingstjänst bör du genomföra en grundläggande due diligence. Syftet är att säkerställa att biträdet har kapacitet att skydda personuppgifterna i enlighet med GDPR. Här är en praktisk checklista att använda som diskussionsunderlag, inte som färdigt juridiskt avtal:
- Kontrollera att alla obligatoriska punkter från artikel 28.3 finns med i det föreslagna avtalet. EU-kommissionen har tagit fram standardavtalsklausuler som kan användas som utgångspunkt.
- Fråga var data lagras. EU-baserad lagring förenklar regelefterlevnaden. Kontrollera att inga överföringar sker till tredjeland utan giltig mekanism.
- Granska lagringstider. Obestämd lagring av ljudfiler och transkriptioner är en allvarlig varningsflagga. Tydliga raderingsrutiner ska finnas.
- Undersök om data används för AI-träning. Kontrollera leverantörens faktiska villkor, inte bara marknadsföringsmaterialet.
- Identifiera alla underbiträden. Dokumentera vilka de är och säkerställ att de verkar under likvärdiga dataskyddsskyldigheter.
- Kontrollera krypteringsstandard. AES-256 vid lagring är nuvarande branschstandard.
- Granska att avtalet inte begränsar dina rättigheter som personuppgiftsansvarig, exempelvis rätten till granskning.
- Planera för löpande uppföljning. Skyldigheten att verifiera att biträdet uppfyller sina åtaganden är fortlöpande, inte en engångsåtgärd.
Många större leverantörer tillhandahåller egna biträdesavtal, men dessa kan vara formulerade till leverantörens fördel. Granska dem noggrant och komplettera vid behov. Med tanke på att IMY avser att öka den egeninitierade tillsynen under 2026 är det klokt att se över befintliga avtal och uppdatera dem, särskilt för tjänster som använder AI.
Så väljer du en GDPR-säker transkriberingstjänst
Med de grundläggande begreppen och avtalspunkterna på plats kan du nu tillämpa kunskapen praktiskt vid valet av leverantör. Fem nyckelfrågor hjälper dig att snabbt bedöma om en transkriberingstjänst uppfyller kraven för dataskydd vid transkribering:
- Kan leverantören tillhandahålla ett personuppgiftsbiträdesavtal? En leverantör som inte kan visa upp ett färdigt avtal eller vägrar diskutera frågan är inte lämplig för behandling av personuppgifter. Det är en direkt varningsflagga.
- Var finns servrarna? Servrar inom EU/EES minskar risken för komplicerade tredjelandsöverföringar.
- Hur länge sparas data? Fråga efter konkreta tidsramar för automatisk radering.
- Används kunddata för att träna AI-modeller? Om svaret är ja, eller om villkoren är otydliga, förändras rollfördelningen och riskbilden väsentligt.
- Vilka tekniska skyddsåtgärder finns? Kryptering, säkra uppladdningsportaler och begränsad filåtkomst är grundläggande krav.
En leverantör som arbetar i ett eget slutet system, där taligenkänning och transkribering sker utan att data lämnar den kontrollerade miljön, ger ett starkare skydd än en tjänst som skickar filer genom flera externa system. Vill du veta mer om hur professionell transkribering fungerar i praktiken, eller behöver du professionell undertextning för videomaterial, kan du utforska dessa tjänster närmare.
Vanliga frågor om personuppgiftsbiträdesavtal vid transkribering
Är ljudinspelningar personuppgifter enligt GDPR?
Ja. Röstinspelningar av identifierbara personer utgör personuppgifter enligt GDPR artikel 4.1. Det gäller själva inspelningen, den resulterande transkriptionen och alla indirekta identifierare som namn, platser eller arbetsgivardetaljer som nämns i materialet.
Vad händer om vi saknar ett personuppgiftsbiträdesavtal?
Att sakna ett biträdesavtal är i sig en överträdelse av GDPR artikel 28. Sanktionsavgiften kan uppgå till 10 miljoner euro eller 2 procent av organisationens globala årsomsättning. Den personuppgiftsansvarige bär det yttersta juridiska ansvaret, även om det praktiska felet ligger hos leverantören.
Gäller GDPR även om transkriberingstjänsten finns utanför EU?
Ja. GDPR gäller all transkribering som involverar personuppgifter om personer inom EU, oavsett var leverantören är etablerad. Dessutom krävs en giltig överföringsmekanism, som standardavtalsklausuler, för att överföra data till länder utanför EU/EES.
Hur påverkar EU:s AI-förordning transkribering?
EU:s AI-förordning, med transparenskrav som trädde i kraft den 2 augusti 2026, kompletterar GDPR men ersätter den inte. AI-system som härleder känsliga egenskaper från röst, exempelvis hälsostatus eller biometriska identifierare, kan klassificeras som högrisk. Båda regelverken måste bedömas oberoende av varandra.
Hur ofta ska biträdesavtalet ses över?
Skyldigheten att kontrollera att anlitade biträden ger tillräckliga garantier är en fortlöpande skyldighet. Det innebär regelbunden verifiering, inte en engångskontroll vid avtalets tecknande. I praktiken bör avtalet granskas minst årligen och alltid vid väsentliga förändringar i tjänsten, exempelvis om leverantören byter underbiträde eller inför ny AI-funktionalitet.
Har du frågor om hur dataskydd vid transkribering fungerar i praktiken, eller vill du veta mer om hur vi hanterar GDPR-kraven? Be om en offert så återkommer vi inom 24 timmar.
