{"id":8583,"date":"2026-10-21T04:00:29","date_gmt":"2026-10-21T02:00:29","guid":{"rendered":"https:\/\/evertrust.se\/kontrakthantering-gdpr\/"},"modified":"2026-10-21T04:00:30","modified_gmt":"2026-10-21T02:00:30","slug":"kontrakthantering-gdpr","status":"publish","type":"post","link":"https:\/\/evertrust.se\/en\/kontrakthantering-gdpr\/","title":{"rendered":"Kontraktshantering och GDPR: s\u00e5 styr ni era bitr\u00e4desavtal"},"content":{"rendered":"<\/p>\n<p>Kontraktshantering enligt GDPR handlar om mer \u00e4n att samla in underskrivna personuppgiftsbitr\u00e4desavtal. Ni ska kunna visa att varje leverant\u00f6r som behandlar personuppgifter \u00e5t er g\u00f6r det enligt ett avtal med det inneh\u00e5ll artikel 28 kr\u00e4ver, att avtalet st\u00e4mmer med hur data faktiskt fl\u00f6dar och att ni f\u00f6ljer upp det tills uppdraget \u00e4r slut och uppgifterna har raderats. H\u00e4r g\u00e5r vi igenom vad som ska st\u00e5 i avtalen, hur ni st\u00e4ller krav i upphandlingar och molntj\u00e4nstavtal och hur ni bygger en process som h\u00e5ller vid en granskning fr\u00e5n IMY.<\/p>\n<div data-blg-cta=\"after_tldr\" data-blg-cta-layout=\"banner\" style=\"margin:28px 0;font-family:-apple-system, BlinkMacSystemFont, &apos;Segoe UI&apos;, Roboto, Helvetica, Arial, sans-serif\">\n<div style=\"border-radius:26px;padding:min(22px,3.2vw);background:radial-gradient(circle at 100% 0%,#d9ebd8 0 150px,rgba(255,255,255,0) 151px),radial-gradient(circle at 0% 100%,#d9ebd8 0 130px,rgba(255,255,255,0) 131px),linear-gradient(180deg,#e6f2e5 0%,#f2f8f2 100%)\">\n<div style=\"background:#ffffff;border-radius:18px;overflow:hidden\">\n<div style=\"padding:34px 30px;text-align:center\">\n<div style=\"margin:0 0 18px\"><span style=\"display:inline-block;max-width:100%;border-radius:999px;padding:6px 13px;font-size:12px;font-weight:800;letter-spacing:0.1em;text-transform:uppercase;line-height:1.3;background:#2D8F27;color:#ffffff\">Evertrust<\/span><\/div>\n<div style=\"font-size:26px;font-weight:800;line-height:1.2;letter-spacing:-0.01em;color:#1f2937;margin:0\">F\u00e5 kontroll \u00f6ver era bitr\u00e4desavtal<\/div>\n<div style=\"width:56px;height:6px;border-radius:3px;background:#2D8F27;margin:12px 0 14px;margin-left:auto;margin-right:auto\"><\/div>\n<div style=\"font-size:15px;line-height:1.55;color:#64748b;margin:0 0 24px;max-width:44em;margin-left:auto;margin-right:auto\">Evertrust st\u00f6ttar organisationer med GDPR, dataskydd och avtal, s\u00e5 att kraven kan oms\u00e4ttas i praktiken genom avtalets livscykel.<\/div>\n<p><a href=\"https:\/\/evertrust.se\/en\/\" style=\"display:inline-flex;align-items:center;gap:9px;border-radius:10px;font-weight:700;font-size:15px;text-decoration:none;padding:13px 22px 13px 26px;background:#2D8F27;color:#ffffff\">Bes\u00f6k Evertrust<\/a><\/div>\n<\/div>\n<\/div>\n<\/div>\n<h2 id=\"tldr\" tabindex=\"-1\">TL;DR<\/h2>\n<ul>\n<li>Varje leverant\u00f6r som behandlar personuppgifter f\u00f6r er r\u00e4kning ska ha ett skriftligt avtal med de obligatoriska punkterna i artikel 28.3 GDPR. K\u00e4rnkraven g\u00e5r inte att f\u00f6rhandla bort.<\/li>\n<li>Det \u00e4r ni som personuppgiftsansvarig som ska v\u00e4lja leverant\u00f6rer med tillr\u00e4ckliga garantier och sedan kontrollera att de lever upp till dem. Ansvaret g\u00e4ller hela kedjan av underbitr\u00e4den.<\/li>\n<li>I molntj\u00e4nstavtal avg\u00f6r tredjelands\u00f6verf\u00f6ringar oftast risken. Standardavtalsklausuler r\u00e4cker inte alltid utan kompletterande skydds\u00e5tg\u00e4rder.<\/li>\n<li>I offentlig upphandling ska dataskyddet finnas med i alla faser, fr\u00e5n f\u00f6rberedelse till avtalsuppf\u00f6ljning.<\/li>\n<li>Ett avtal i p\u00e4rmen skyddar inte. Det som skyddar \u00e4r en levande process: register, \u00e4gare, uppf\u00f6ljning och en plan f\u00f6r n\u00e4r avtalet upph\u00f6r.<\/li>\n<\/ul>\n<h2 id=\"innehallsforteckning\" tabindex=\"-1\">Inneh\u00e5llsf\u00f6rteckning<\/h2>\n<ul>\n<li><a href=\"#vad-kontraktshantering-betyder-i-ett-gdpr-perspektiv\">Vad kontraktshantering betyder i ett GDPR-perspektiv<\/a><\/li>\n<li><a href=\"#det-har-maste-sta-i-bitradesavtalet\">Det h\u00e4r m\u00e5ste st\u00e5 i bitr\u00e4desavtalet<\/a><\/li>\n<li><a href=\"#underbitraden-kedjan-ni-svarar-for\">Underbitr\u00e4den: kedjan ni svarar f\u00f6r<\/a><\/li>\n<li><a href=\"#kontraktskrav-for-molntjanster\">Kontraktskrav f\u00f6r molntj\u00e4nster<\/a><\/li>\n<li><a href=\"#gdpr-krav-i-upphandlingen\">GDPR-krav i upphandlingen<\/a><\/li>\n<li><a href=\"#incidenter-och-ansvar-dar-avtalen-brister\">Incidenter och ansvar: d\u00e4r avtalen brister<\/a><\/li>\n<li><a href=\"#en-process-for-hela-avtalets-livscykel\">En process f\u00f6r hela avtalets livscykel<\/a><\/li>\n<li><a href=\"#sa-ser-vi-pa-kontraktshantering\">S\u00e5 ser vi p\u00e5 kontraktshantering<\/a><\/li>\n<li><a href=\"#vanliga-fragor\">Vanliga fr\u00e5gor<\/a><\/li>\n<li><a href=\"#kallor\">K\u00e4llor<\/a><\/li>\n<\/ul>\n<h2 id=\"vad-kontraktshantering-betyder-i-ett-gdpr-perspektiv\" tabindex=\"-1\">Vad kontraktshantering betyder i ett GDPR-perspektiv<\/h2>\n<p>I vanlig avtalsf\u00f6rvaltning handlar kontraktshantering om l\u00f6ptider, priser och upps\u00e4gning. Under GDPR tillkommer en fr\u00e5ga som g\u00e5r f\u00f6re allt annat: vem best\u00e4mmer \u00f6ver personuppgifterna, och vem behandlar dem bara p\u00e5 uppdrag?<\/p>\n<p>Den som best\u00e4mmer \u00e4ndam\u00e5l och medel \u00e4r personuppgiftsansvarig. Den som behandlar uppgifter f\u00f6r den ansvariges r\u00e4kning \u00e4r personuppgiftsbitr\u00e4de. <a href=\"https:\/\/www.edpb.europa.eu\/sme\/learn-the-basics\/data-controller-or-data-processor_en\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">EDPB:s v\u00e4gledning om rollerna<\/a> sammanfattar det som att den ansvarige avg\u00f6r hur och varf\u00f6r behandlingen sker. Rollen f\u00f6ljer av vad parterna faktiskt g\u00f6r, inte av vad som st\u00e5r p\u00e5 avtalets f\u00f6rs\u00e4ttsblad.<\/p>\n<p>N\u00e4r rollerna \u00e4r klara g\u00e4ller <a href=\"https:\/\/eur-lex.europa.eu\/legal-content\/EN\/TXT\/HTML\/?uri=CELEX%3A02016R0679-20160504\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">artikel 28.1 GDPR<\/a>: ni f\u00e5r bara anlita bitr\u00e4den som ger tillr\u00e4ckliga garantier f\u00f6r att genomf\u00f6ra l\u00e4mpliga tekniska och organisatoriska \u00e5tg\u00e4rder. Valet av leverant\u00f6r \u00e4r allts\u00e5 redan ett dataskyddsbeslut, och det beslutet ska ni kunna dokumentera.<\/p>\n<p>I praktiken omfattar kontraktshantering enligt GDPR d\u00e4rf\u00f6r fyra saker:<\/p>\n<ol>\n<li><strong>Inventering<\/strong>: vilka leverant\u00f6rer behandlar personuppgifter \u00e5t oss, vilka uppgifter och var?<\/li>\n<li><strong>Avtal<\/strong>: finns ett bitr\u00e4desavtal med r\u00e4tt inneh\u00e5ll, och st\u00e4mmer det med verkligheten?<\/li>\n<li><strong>Uppf\u00f6ljning<\/strong>: lever leverant\u00f6ren upp till avtalet, och vet vi n\u00e4r n\u00e5got \u00e4ndras?<\/li>\n<li><strong>Avslut<\/strong>: raderas eller \u00e5terl\u00e4mnas uppgifterna n\u00e4r samarbetet upph\u00f6r?<\/li>\n<\/ol>\n<p>De flesta organisationer vi m\u00f6ter \u00e4r ganska bra p\u00e5 punkt 2 och svaga p\u00e5 punkt 3. IMY:s egen <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/personuppgiftsansvariga-och-personuppgiftsbitraden\/personuppgiftsbitradesavtal\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">v\u00e4gledning om personuppgiftsbitr\u00e4desavtal<\/a> beskriver b\u00e5de n\u00e4r ett avtal kr\u00e4vs och vad det ska inneh\u00e5lla, men avtalet \u00e4r bara b\u00f6rjan.<\/p>\n<h2 id=\"det-har-maste-sta-i-bitradesavtalet\" tabindex=\"-1\">Det h\u00e4r m\u00e5ste st\u00e5 i bitr\u00e4desavtalet<\/h2>\n<p>Artikel 28.3 GDPR r\u00e4knar upp vad avtalet minst ska reglera. Ut\u00f6ver de punkterna ska avtalet beskriva f\u00f6rem\u00e5let f\u00f6r behandlingen, varaktighet, art och \u00e4ndam\u00e5l, typ av personuppgifter, kategorier av registrerade samt den ansvariges skyldigheter och r\u00e4ttigheter.<\/p>\n<table>\n<thead>\n<tr>\n<th>Punkt i art. 28.3<\/th>\n<th>Vad den kr\u00e4ver<\/th>\n<th>Vanlig brist i praktiken<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>a) Dokumenterade instruktioner<\/td>\n<td>Bitr\u00e4det behandlar bara enligt era instruktioner, \u00e4ven vid \u00f6verf\u00f6ring till tredjeland<\/td>\n<td>Instruktionerna \u00e4r s\u00e5 allm\u00e4nna att de inte styr n\u00e5got<\/td>\n<\/tr>\n<tr>\n<td>b) Sekretess<\/td>\n<td>Personal som behandlar uppgifterna har tystnadsplikt<\/td>\n<td>Saknas f\u00f6r konsulter och underleverant\u00f6rer<\/td>\n<\/tr>\n<tr>\n<td>c) S\u00e4kerhet enligt art. 32<\/td>\n<td>L\u00e4mpliga tekniska och organisatoriska \u00e5tg\u00e4rder<\/td>\n<td>H\u00e4nvisning till en s\u00e4kerhetspolicy ni aldrig sett<\/td>\n<\/tr>\n<tr>\n<td>d) Underbitr\u00e4den<\/td>\n<td>Villkoren i art. 28.2 och 28.4 ska f\u00f6ljas<\/td>\n<td>Generellt godk\u00e4nnande utan r\u00e4tt att inv\u00e4nda<\/td>\n<\/tr>\n<tr>\n<td>e) De registrerades r\u00e4ttigheter<\/td>\n<td>Bitr\u00e4det hj\u00e4lper er att besvara beg\u00e4randen<\/td>\n<td>Ingen tidsram eller kostnadsmodell<\/td>\n<\/tr>\n<tr>\n<td>f) St\u00f6d enligt art. 32\u201336<\/td>\n<td>Hj\u00e4lp med s\u00e4kerhet, incidenter, DPIA och f\u00f6rhandssamr\u00e5d<\/td>\n<td>Incidentrutin saknas eller \u00e4r otydlig<\/td>\n<\/tr>\n<tr>\n<td>g) Radering eller \u00e5terl\u00e4mnande<\/td>\n<td>Vid avtalets slut, enligt ert val<\/td>\n<td>Backuper och loggar gl\u00f6ms bort<\/td>\n<\/tr>\n<tr>\n<td>h) Information och revision<\/td>\n<td>Bitr\u00e4det visar efterlevnad och till\u00e5ter granskning<\/td>\n<td>Revisionsr\u00e4tten begr\u00e4nsas till en certifikatkopia<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><a href=\"https:\/\/www.edpb.europa.eu\/system\/files\/2024-10\/edpb_opinion_202422_relianceonprocessors-sub-processors_en.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">EDPB:s yttrande 22\/2024<\/a> understryker att parterna har avtalsfrihet i detaljerna men att skyldigheterna i artikel 28 inte kan avtalas bort. Yttrandet tar ocks\u00e5 upp den vanliga formuleringen om att bitr\u00e4det f\u00e5r behandla uppgifter utan instruktion om det kr\u00e4vs enligt unionsr\u00e4tten eller nationell r\u00e4tt. Formuleringen \u00e4r rimlig att ha med, men den befriar inte bitr\u00e4det fr\u00e5n dess skyldigheter enligt GDPR och ers\u00e4tter inte er egen analys av exempelvis tredjelandsrisker.<\/p>\n<p>Vill ni slippa skriva fr\u00e5n noll finns EU-kommissionens <a href=\"https:\/\/eur-lex.europa.eu\/eli\/dec_impl\/2021\/915\/oj?locale=sv\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">standardavtalsklausuler mellan personuppgiftsansvariga och personuppgiftsbitr\u00e4den (genomf\u00f6randebeslut 2021\/915)<\/a>. De t\u00e4cker artikel 28 men m\u00e5ste fortfarande fyllas i med era faktiska behandlingar, s\u00e4kerhets\u00e5tg\u00e4rder och underbitr\u00e4den. En genomg\u00e5ng klausul f\u00f6r klausul hittar ni i v\u00e5r artikel om <a href=\"https:\/\/evertrust.se\/en\/bitradesavtal-klausuler\/\" target=\"_blank\" rel=\"noopener\">vad artikel 28.3 kr\u00e4ver av bitr\u00e4desavtalets klausuler<\/a>.<\/p>\n<h2 id=\"underbitraden-kedjan-ni-svarar-for\" tabindex=\"-1\">Underbitr\u00e4den: kedjan ni svarar f\u00f6r<\/h2>\n<p>Era leverant\u00f6rer har egna leverant\u00f6rer. En HR-plattform k\u00f6r p\u00e5 en molninfrastruktur, anv\u00e4nder en e-posttj\u00e4nst f\u00f6r notiser och en supportleverant\u00f6r i ett annat land. Varje led behandlar era anst\u00e4lldas uppgifter.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/10\/1792406403057_Illustrerad-kedja-av-leverantorer-som-behandlar-personuppgifter.jpeg\" alt=\"Illustrerad kedja av leverant\u00f6rer som hanterar personuppgifter\"><\/p>\n<p>Artikel 28.2 kr\u00e4ver att bitr\u00e4det har ert f\u00f6rhandstillst\u00e5nd, s\u00e4rskilt eller allm\u00e4nt och skriftligt, innan ett underbitr\u00e4de anlitas. Vid allm\u00e4nt tillst\u00e5nd ska bitr\u00e4det informera om planerade \u00e4ndringar s\u00e5 att ni kan inv\u00e4nda. Artikel 28.4 kr\u00e4ver att samma dataskyddsskyldigheter f\u00f6rs vidare i ledet, och att det ursprungliga bitr\u00e4det f\u00f6rblir fullt ansvarigt mot er.<\/p>\n<p>EDPB:s yttrande 22\/2024 g\u00e5r l\u00e4ngre \u00e4n m\u00e5nga avtal i praktiken. Den personuppgiftsansvarige ska ha information om identiteten p\u00e5 alla bitr\u00e4den och underbitr\u00e4den, och skyldigheten att verifiera att garantierna \u00e4r tillr\u00e4ckliga g\u00e4ller hela kedjan. Hur djupt ni beh\u00f6ver granska beror p\u00e5 risken: en l\u00f6nehanteringstj\u00e4nst med k\u00e4nsliga uppgifter kr\u00e4ver mer \u00e4n ett verktyg f\u00f6r m\u00f6tesbokning.<\/p>\n<p>Tre saker att st\u00e4lla krav p\u00e5 i avtalet:<\/p>\n<ul>\n<li><strong>En aktuell underbitr\u00e4deslista<\/strong> med namn, tj\u00e4nst, plats f\u00f6r behandlingen och eventuell \u00f6verf\u00f6ringsmekanism.<\/li>\n<li><strong>En konkret aviseringsrutin<\/strong>: hur ni underr\u00e4ttas, hur l\u00e5ng inv\u00e4ndningstid ni har och vad som h\u00e4nder om ni inv\u00e4nder (r\u00e4tt till upps\u00e4gning utan kostnad \u00e4r en rimlig utg\u00e5ngspunkt).<\/li>\n<li><strong>R\u00e4tt att f\u00e5 se<\/strong> att avtalen ned\u00e5t i kedjan inneh\u00e5ller samma skydd.<\/li>\n<\/ul>\n<h2 id=\"kontraktskrav-for-molntjanster\" tabindex=\"-1\">Kontraktskrav f\u00f6r molntj\u00e4nster<\/h2>\n<p>Molntj\u00e4nster \u00e4r d\u00e4r kontraktshanteringen oftast faller is\u00e4r. Avtalen \u00e4r standardiserade, villkoren uppdateras ensidigt och underbitr\u00e4deslistorna \u00e4ndras l\u00f6pande. Ni kan s\u00e4llan f\u00f6rhandla texten, men ni kan alltid bed\u00f6ma den och dokumentera er bed\u00f6mning.<\/p>\n<p>Den st\u00f6rsta fr\u00e5gan \u00e4r tredjelands\u00f6verf\u00f6ringar. Enligt <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/overforing-till-tredje-land\/lampliga-skyddsatgarder\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY:s sida om l\u00e4mpliga skydds\u00e5tg\u00e4rder<\/a> f\u00e5r uppgifter \u00f6verf\u00f6ras utanf\u00f6r EU\/EES med exempelvis standardavtalsklausuler eller bindande f\u00f6retagsbest\u00e4mmelser, men ni m\u00e5ste bed\u00f6ma om skyddsniv\u00e5n i mottagarlandet i praktiken motsvarar den inom EU. Om den inte g\u00f6r det kr\u00e4vs kompletterande \u00e5tg\u00e4rder, till exempel kryptering d\u00e4r leverant\u00f6ren inte har tillg\u00e5ng till nycklarna. Den bed\u00f6mningen kallas ofta \u00f6verf\u00f6ringsbed\u00f6mning eller TIA.<\/p>\n<p>Hur allvarligt IMY ser p\u00e5 detta visade myndigheten 2023, n\u00e4r <a href=\"https:\/\/www.imy.se\/nyheter\/fyra-bolag-maste-sluta-anvanda-google-analytics\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">fyra bolag granskades f\u00f6r sin anv\u00e4ndning av Google Analytics<\/a>. IMY bed\u00f6mde att bolagens tekniska skydds\u00e5tg\u00e4rder inte r\u00e4ckte, beordrade dem att sluta anv\u00e4nda verktyget och utf\u00e4rdade sanktionsavgifter mot tv\u00e5 av dem. Avtalsklausulerna fanns, men de skyddade inte mot \u00e5tkomst fr\u00e5n myndigheter i mottagarlandet.<\/p>\n<p>P\u00e5 checklistan f\u00f6r ett molntj\u00e4nstavtal b\u00f6r minst detta finnas:<\/p>\n<ol>\n<li><strong>Var behandlas data?<\/strong> Lagring, support, drift och backup. Support fr\u00e5n tredjeland \u00e4r ocks\u00e5 en \u00f6verf\u00f6ring.<\/li>\n<li><strong>Vilken \u00f6verf\u00f6ringsmekanism anv\u00e4nds?<\/strong> Och finns en dokumenterad \u00f6verf\u00f6ringsbed\u00f6mning f\u00f6r de \u00f6verf\u00f6ringar som kr\u00e4ver det?<\/li>\n<li><strong>Vem har krypteringsnycklarna?<\/strong> Det avg\u00f6r ofta om kompletterande \u00e5tg\u00e4rder faktiskt fungerar.<\/li>\n<li><strong>Hur meddelas villkors\u00e4ndringar?<\/strong> Och vem hos er ansvarar f\u00f6r att l\u00e4sa dem?<\/li>\n<li><strong>Vad h\u00e4nder vid exit?<\/strong> Exportformat, tidsfrister och bekr\u00e4ftelse p\u00e5 radering.<\/li>\n<\/ol>\n<p>Lagkonflikter som den amerikanska CLOUD Act g\u00e5r inte att l\u00f6sa med avtalstext, vilket vi beskriver i <a href=\"https:\/\/evertrust.se\/en\/cloud-act-gdpr\/\" target=\"_blank\" rel=\"noopener\">CLOUD Act och GDPR: den juridiska konflikt du inte kan avtala bort<\/a>. F\u00f6r ansvarsf\u00f6rdelningen i stort, l\u00e4s <a href=\"https:\/\/evertrust.se\/en\/molntjanster-gdpr\/\" target=\"_blank\" rel=\"noopener\">molntj\u00e4nster och GDPR: vem ansvarar och vad kr\u00e4ver lagen<\/a>, och f\u00f6r sj\u00e4lva klausulerna vid \u00f6verf\u00f6ring <a href=\"https:\/\/evertrust.se\/en\/standardavtalsklausuler-gdpr\/\" target=\"_blank\" rel=\"noopener\">vad standardavtalsklausulerna kr\u00e4ver av er<\/a>.<\/p>\n<h2 id=\"gdpr-krav-i-upphandlingen\" tabindex=\"-1\">GDPR-krav i upphandlingen<\/h2>\n<p>F\u00f6r myndigheter, regioner, kommuner och andra som omfattas av LOU \u00e4r f\u00f6ruts\u00e4ttningen en annan: ni kan inte f\u00f6rhandla fritt efter tilldelning, s\u00e5 dataskyddskraven m\u00e5ste finnas med redan i upphandlingsdokumenten. <a href=\"https:\/\/www.upphandlingsmyndigheten.se\/regler-och-lagstiftning\/andra-regler-som-kan-bli-aktuella\/gdpr-och-upphandling\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Upphandlingsmyndigheten skriver<\/a> att upphandlande organisationer ska s\u00e4kerst\u00e4lla att dataskyddsf\u00f6rordningen f\u00f6ljs i alla upphandlingar d\u00e4r leverant\u00f6ren ska behandla personuppgifter f\u00f6r organisationens r\u00e4kning, och att det inneb\u00e4r att kontrollera att leverant\u00f6ren har kompetens, organisation, rutiner och tekniska m\u00f6jligheter att skydda uppgifterna.<\/p>\n<p>S\u00e5 bygger ni in dataskyddet fas f\u00f6r fas:<\/p>\n<ol>\n<li><strong>F\u00f6rberedelse.<\/strong> Kartl\u00e4gg vilka personuppgifter som omfattas, hur k\u00e4nsliga de \u00e4r och om behandlingen kr\u00e4ver en konsekvensbed\u00f6mning. Best\u00e4m om \u00f6verf\u00f6ring till tredjeland \u00e4r acceptabel.<\/li>\n<li><strong>Kravst\u00e4llning.<\/strong> Formulera skall-krav p\u00e5 s\u00e4kerhetsniv\u00e5, behandlingsplats, underbitr\u00e4den och incidentrutiner. Bifoga ert bitr\u00e4desavtal som en del av upphandlingsdokumenten s\u00e5 att anbudsgivarna vet vad de accepterar.<\/li>\n<li><strong>Utv\u00e4rdering.<\/strong> Beg\u00e4r in underbitr\u00e4deslista, beskrivning av s\u00e4kerhets\u00e5tg\u00e4rder och \u00f6verf\u00f6ringsmekanism. Krav som inte kan verifieras g\u00e5r inte att utv\u00e4rdera.<\/li>\n<li><strong>Avtalstecknande.<\/strong> Reglera i avtalet att bitr\u00e4desavtalet har f\u00f6retr\u00e4de vid motstridiga villkor, n\u00e5got Upphandlingsmyndigheten lyfter fram.<\/li>\n<li><strong>Avtalsf\u00f6rvaltning.<\/strong> Utse en \u00e4gare f\u00f6r uppf\u00f6ljningen, planera revisioner och hantera \u00e4ndringar av underbitr\u00e4den under avtalstiden.<\/li>\n<\/ol>\n<p>En vanlig miss \u00e4r att upphandlingen g\u00f6rs av ink\u00f6p och avtalet f\u00f6rvaltas av verksamheten, medan ingen av dem \u00e4ger dataskyddsfr\u00e5gan. L\u00e5t dataskyddsombudet eller den som ansvarar f\u00f6r dataskydd granska kraven innan annonsering, inte efter att avtalet \u00e4r tecknat.<\/p>\n<h2 id=\"incidenter-och-ansvar-dar-avtalen-brister\" tabindex=\"-1\">Incidenter och ansvar: d\u00e4r avtalen brister<\/h2>\n<p>Enligt <a href=\"https:\/\/eur-lex.europa.eu\/legal-content\/EN\/TXT\/HTML\/?uri=CELEX%3A02016R0679-20160504\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">artikel 33.2 GDPR<\/a> ska bitr\u00e4det underr\u00e4tta den personuppgiftsansvarige utan on\u00f6digt dr\u00f6jsm\u00e5l efter att ha f\u00e5tt vetskap om en personuppgiftsincident. Det \u00e4r ett eget krav, skilt fr\u00e5n de <a href=\"https:\/\/www.imy.se\/vanliga-fragor-och-svar\/nar-ska-vi-anmala-personuppgiftsincidenten\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">72 timmar som g\u00e4ller f\u00f6r er anm\u00e4lan till IMY<\/a>. M\u00e5nga avtal blandar ihop de tv\u00e5 och ger bitr\u00e4det 72 timmar, vilket i praktiken kan \u00e4ta upp hela er egen anm\u00e4lningsfrist.<\/p>\n<p>IMY:s <a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/beslut\/beslut-tillsyn-ssc-20200428.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">beslut mot Statens servicecenter fr\u00e5n 2020<\/a> visar b\u00e5da riskerna. Myndigheten konstaterade att Statens servicecenter i rollen som bitr\u00e4de inte hade underr\u00e4ttat sina kunder utan on\u00f6digt dr\u00f6jsm\u00e5l om en incident, och att det under en period 2019 saknades bitr\u00e4desavtal med en av de ansvariga. Beslutet ledde till en sanktionsavgift. Det \u00e4r ett tydligt exempel p\u00e5 att bitr\u00e4den har ett eget ansvar, n\u00e5got IMY ocks\u00e5 beskriver i sin v\u00e4gledning <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/personuppgiftsansvariga-och-personuppgiftsbitraden\/att-tanka-pa-som-personuppgiftsbitrade\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">att t\u00e4nka p\u00e5 som personuppgiftsbitr\u00e4de<\/a>.<\/p>\n<p>Overtramp av skyldigheterna i artikel 28 kan enligt artikel 83.4 ge sanktionsavgifter p\u00e5 upp till 10 miljoner euro eller 2 procent av den globala \u00e5rsoms\u00e4ttningen, beroende p\u00e5 vilket som \u00e4r h\u00f6gst. Ut\u00f6ver sanktionsavgiften kommer fr\u00e5gan om skadest\u00e5nd till de registrerade enligt artikel 82 och hur kostnaden f\u00f6rdelas mellan er och leverant\u00f6ren. Den som vill f\u00f6rst\u00e5 <a href=\"https:\/\/zakelijkeverzekering.nl\/blog-kennisbank\/dataverwerker-aansprakelijkheid\" target=\"_blank\" rel=\"noopener\">hur ansvaret mellan bitr\u00e4de och personuppgiftsansvarig f\u00f6rdelas i praktiken<\/a> har nytta av att se fr\u00e5gan \u00e4ven ur ett f\u00f6rs\u00e4kringsperspektiv: en ansvarsbegr\u00e4nsning i avtalet p\u00e5verkar inte ert ansvar gentemot de registrerade.<\/p>\n<p>I avtalet b\u00f6r ni d\u00e4rf\u00f6r kr\u00e4va:<\/p>\n<ul>\n<li>en konkret tidsfrist f\u00f6r underr\u00e4ttelse, m\u00e4tt i timmar, inte dagar<\/li>\n<li>en kontaktv\u00e4g som fungerar dygnet runt<\/li>\n<li>vilken information underr\u00e4ttelsen ska inneh\u00e5lla, s\u00e5 att ni kan bed\u00f6ma om incidenten ska anm\u00e4las<\/li>\n<li>en ansvarsf\u00f6rdelning som inte g\u00f6r ansvarsbegr\u00e4nsningen meningsl\u00f6s vid dataskydds\u00f6vertr\u00e4delser<\/li>\n<\/ul>\n<h2 id=\"en-process-for-hela-avtalets-livscykel\" tabindex=\"-1\">En process f\u00f6r hela avtalets livscykel<\/h2>\n<p>Ett bitr\u00e4desavtal \u00e4r inget dokument man skriver under och gl\u00f6mmer. Det ska spegla de faktiska datafl\u00f6dena, och de \u00e4ndras hela tiden. S\u00e5 h\u00e4r ser en fungerande process ut:<\/p>\n<ol>\n<li><strong>Bygg ett leverant\u00f6rsregister.<\/strong> Utg\u00e5 fr\u00e5n ert register \u00f6ver behandlingar och koppla varje behandling till de leverant\u00f6rer som deltar. Leverant\u00f6rer utan koppling \u00e4r antingen \u00f6verfl\u00f6diga eller ett tecken p\u00e5 att registret \u00e4r ofullst\u00e4ndigt.<\/li>\n<li><strong>Klassa riskerna.<\/strong> K\u00e4nsliga uppgifter, stora volymer, tredjelands\u00f6verf\u00f6ring och kritiska system ger h\u00f6g risk och t\u00e4tare uppf\u00f6ljning.<\/li>\n<li><strong>Granska innan ni skriver under.<\/strong> Anv\u00e4nd en checklista baserad p\u00e5 artikel 28.3 och era egna minimikrav. Dokumentera avvikelser och vem som godk\u00e4nde dem.<\/li>\n<li><strong>Utse en \u00e4gare per avtal.<\/strong> N\u00e5gon i verksamheten som vet hur tj\u00e4nsten anv\u00e4nds och som tar emot aviseringar om underbitr\u00e4den.<\/li>\n<li><strong>F\u00f6lj upp regelbundet.<\/strong> \u00c5rlig granskning f\u00f6r h\u00f6griskleverant\u00f6rer: s\u00e4kerhetsrapporter, underbitr\u00e4deslista, incidenter under \u00e5ret och om behandlingen har f\u00f6r\u00e4ndrats.<\/li>\n<li><strong>Hantera \u00e4ndringar.<\/strong> Nya funktioner, nya \u00e4ndam\u00e5l eller ny behandlingsplats kr\u00e4ver att avtalet och eventuellt konsekvensbed\u00f6mningen uppdateras.<\/li>\n<li><strong>Avsluta ordentligt.<\/strong> Beg\u00e4r skriftlig bekr\u00e4ftelse p\u00e5 radering eller \u00e5terl\u00e4mnande, och st\u00e4ng beh\u00f6righeter.<\/li>\n<\/ol>\n<p>Med fem leverant\u00f6rer g\u00e5r det i ett kalkylark. Med femtio blir det oh\u00e5llbart. Det \u00e4r sk\u00e4let till att vi byggt <a href=\"https:\/\/evertrust.se\/en\/plattform\/\" target=\"_blank\" rel=\"noopener\">Trustview, v\u00e5rt GRC-verktyg<\/a>, d\u00e4r leverant\u00f6rer, bitr\u00e4desavtal, behandlingar och \u00e5tg\u00e4rder h\u00e4nger ihop och d\u00e4r p\u00e5minnelser om uppf\u00f6ljning kommer automatiskt. Beh\u00f6ver ni hj\u00e4lp att granska befintliga avtal eller f\u00f6rhandla nya kan v\u00e5ra jurister ta sig an det inom ramen f\u00f6r <a href=\"https:\/\/evertrust.se\/en\/radgivning-och-konsulttjanster\/\" target=\"_blank\" rel=\"noopener\">r\u00e5dgivning och konsulttj\u00e4nster<\/a>, som enstaka uppdrag eller som ett r\u00e5dgivningspaket p\u00e5 100 timmar. Vill ni f\u00f6rst veta var ni st\u00e5r \u00e4r en <a href=\"https:\/\/evertrust.se\/en\/tjanster-gap-analyser\/\" target=\"_blank\" rel=\"noopener\">GDPR-granskning eller GAP-analys<\/a> ett bra startl\u00e4ge.<\/p>\n<h2 id=\"sa-ser-vi-pa-kontraktshantering\" tabindex=\"-1\">S\u00e5 ser vi p\u00e5 kontraktshantering<\/h2>\n<p>Vi granskar m\u00e5nga bitr\u00e4desavtal, b\u00e5de i rollen som externt dataskyddsombud och som privacy counsel. M\u00f6nstret \u00e4r tydligt: avtalstexten \u00e4r s\u00e4llan det stora problemet. Den \u00e4r ofta kopierad fr\u00e5n en mall och i huvudsak korrekt. Problemet \u00e4r att ingen vet om den st\u00e4mmer.<\/p>\n<p>Bilagan med behandlingar beskriver tj\u00e4nsten som den s\u00e5g ut vid upphandlingen. Underbitr\u00e4deslistan \u00e4r tv\u00e5 \u00e5r gammal. S\u00e4kerhetsbilagan h\u00e4nvisar till en certifiering ingen har kontrollerat. Och n\u00e4r leverant\u00f6ren skickar ett mejl om nya underbitr\u00e4den hamnar det hos en ink\u00f6pare som har slutat.<\/p>\n<p>V\u00e5r rekommendation \u00e4r d\u00e4rf\u00f6r att l\u00e4gga mindre energi p\u00e5 perfekta formuleringar och mer p\u00e5 tre fr\u00e5gor: vet vi vilka leverant\u00f6rer som har v\u00e5ra data, vet vi var datan finns, och vet vi vem som reagerar n\u00e4r n\u00e5got \u00e4ndras? Kan ni svara ja p\u00e5 alla tre har ni en kontraktshantering som h\u00e5ller. Kan ni inte det, b\u00f6rja med registret, inte med avtalsmallen.<\/p>\n<p>Vi tror ocks\u00e5 att jurister och tekniker m\u00e5ste sitta i samma rum. En klausul om kryptering \u00e4r meningsl\u00f6s om ingen har kontrollerat vem som har nycklarna, och en teknisk bed\u00f6mning v\u00e4ger l\u00e4tt om avtalet ger leverant\u00f6ren r\u00e4tt att flytta data var som helst.<\/p>\n<blockquote>\n<p><em>\u2014 Jesper<\/em><\/p>\n<\/blockquote>\n<h2 id=\"vanliga-fragor\" tabindex=\"-1\">Vanliga fr\u00e5gor<\/h2>\n<h3 id=\"behovs-ett-bitradesavtal-for-varje-leverantor\" tabindex=\"-1\">Beh\u00f6vs ett bitr\u00e4desavtal f\u00f6r varje leverant\u00f6r?<\/h3>\n<p>Nej, bara f\u00f6r leverant\u00f6rer som behandlar personuppgifter f\u00f6r er r\u00e4kning och enligt era instruktioner. En leverant\u00f6r som sj\u00e4lv best\u00e4mmer \u00e4ndam\u00e5l och medel, till exempel en bank eller en revisor i vissa delar, \u00e4r oftast sj\u00e4lvst\u00e4ndigt personuppgiftsansvarig. G\u00f6r rollbed\u00f6mningen per behandling och dokumentera den.<\/p>\n<h3 id=\"kan-vi-acceptera-leverantorens-eget-bitradesavtal\" tabindex=\"-1\">Kan vi acceptera leverant\u00f6rens eget bitr\u00e4desavtal?<\/h3>\n<p>Ja, om det inneh\u00e5ller allt som artikel 28.3 kr\u00e4ver och st\u00e4mmer med hur tj\u00e4nsten faktiskt anv\u00e4nds. Granska s\u00e4rskilt underbitr\u00e4den, incidentfrist, revisionsr\u00e4tt och radering vid avtalets slut. Dokumentera er bed\u00f6mning, s\u00e4rskilt n\u00e4r ni inte kan f\u00f6rhandla villkoren.<\/p>\n<h3 id=\"racker-standardavtalsklausuler-for-en-amerikansk-molntjanst\" tabindex=\"-1\">R\u00e4cker standardavtalsklausuler f\u00f6r en amerikansk molntj\u00e4nst?<\/h3>\n<p>Inte automatiskt. Ni beh\u00f6ver bed\u00f6ma om skyddsniv\u00e5n i mottagarlandet i praktiken r\u00e4cker och, om den inte g\u00f6r det, komplettera med tekniska \u00e5tg\u00e4rder som kryptering d\u00e4r leverant\u00f6ren saknar nycklarna. IMY:s beslut om Google Analytics visar att klausuler utan fungerande kompletterande \u00e5tg\u00e4rder kan leda till f\u00f6rbud mot \u00f6verf\u00f6ringen.<\/p>\n<h3 id=\"hur-ofta-ska-bitradesavtal-foljas-upp\" tabindex=\"-1\">Hur ofta ska bitr\u00e4desavtal f\u00f6ljas upp?<\/h3>\n<p>GDPR anger ingen fast intervall, utan uppf\u00f6ljningen ska st\u00e5 i proportion till risken. En rimlig praxis \u00e4r \u00e5rlig genomg\u00e5ng f\u00f6r leverant\u00f6rer med k\u00e4nsliga uppgifter eller tredjelands\u00f6verf\u00f6ring, och glesare f\u00f6r l\u00e5griskverktyg. Ut\u00f6ver det ska avtalet ses \u00f6ver varje g\u00e5ng tj\u00e4nsten, \u00e4ndam\u00e5let eller underbitr\u00e4dena \u00e4ndras.<\/p>\n<h2 id=\"kallor\" tabindex=\"-1\">K\u00e4llor<\/h2>\n<p><a href=\"https:\/\/eur-lex.europa.eu\/legal-content\/EN\/TXT\/HTML\/?uri=CELEX%3A02016R0679-20160504\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Dataskyddsf\u00f6rordningen (EU) 2016\/679, EUR-Lex<\/a><br \/>\n<a href=\"https:\/\/eur-lex.europa.eu\/eli\/dec_impl\/2021\/915\/oj?locale=sv\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Genomf\u00f6randebeslut (EU) 2021\/915 om standardavtalsklausuler, EUR-Lex<\/a><br \/>\n<a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/personuppgiftsansvariga-och-personuppgiftsbitraden\/personuppgiftsbitradesavtal\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Personuppgiftsbitr\u00e4desavtal<\/a><br \/>\n<a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/personuppgiftsansvariga-och-personuppgiftsbitraden\/att-tanka-pa-som-personuppgiftsbitrade\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Att t\u00e4nka p\u00e5 som personuppgiftsbitr\u00e4de<\/a><br \/>\n<a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/overforing-till-tredje-land\/lampliga-skyddsatgarder\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: L\u00e4mpliga skydds\u00e5tg\u00e4rder vid tredjelands\u00f6verf\u00f6ring<\/a><br \/>\n<a href=\"https:\/\/www.imy.se\/nyheter\/fyra-bolag-maste-sluta-anvanda-google-analytics\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Fyra bolag m\u00e5ste sluta anv\u00e4nda Google Analytics<\/a><br \/>\n<a href=\"https:\/\/www.imy.se\/vanliga-fragor-och-svar\/nar-ska-vi-anmala-personuppgiftsincidenten\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: N\u00e4r ska vi anm\u00e4la personuppgiftsincidenten?<\/a><br \/>\n<a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/beslut\/beslut-tillsyn-ssc-20200428.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Tillsynsbeslut mot Statens servicecenter 2020<\/a><br \/>\n<a href=\"https:\/\/www.edpb.europa.eu\/system\/files\/2024-10\/edpb_opinion_202422_relianceonprocessors-sub-processors_en.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">EDPB: Opinion 22\/2024 om bitr\u00e4den och underbitr\u00e4den<\/a><br \/>\n<a href=\"https:\/\/www.edpb.europa.eu\/sme\/learn-the-basics\/data-controller-or-data-processor_en\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">EDPB: Data controller or data processor<\/a><br \/>\n<a href=\"https:\/\/www.upphandlingsmyndigheten.se\/regler-och-lagstiftning\/andra-regler-som-kan-bli-aktuella\/gdpr-och-upphandling\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Upphandlingsmyndigheten: GDPR och offentlig upphandling<\/a><br \/>\n<a href=\"https:\/\/zakelijkeverzekering.nl\/blog-kennisbank\/dataverwerker-aansprakelijkheid\" target=\"_blank\" rel=\"noopener\">Dataverwerker aansprakelijkheid<\/a><\/p>\n<h2 id=\"rekommendationer\" tabindex=\"-1\">Rekommendationer<\/h2>\n<ul>\n<li><a href=\"https:\/\/evertrust.se\/en\/accesshantering-gdpr\/\" target=\"_blank\" rel=\"noopener\">Accesshantering och GDPR: s\u00e5 styr du vem som n\u00e5r personuppgifter<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/molntjanster-gdpr\/\" target=\"_blank\" rel=\"noopener\">Molntj\u00e4nster och GDPR: vem ansvarar och vad kr\u00e4ver lagen?<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/cloud-act-gdpr\/\" target=\"_blank\" rel=\"noopener\">CLOUD Act och GDPR: den juridiska konflikt du inte kan avtala bort<\/a><\/li>\n<\/ul>","protected":false},"excerpt":{"rendered":"<p>Kontraktshantering enligt GDPR: vad artikel 28 kr\u00e4ver av era bitr\u00e4desavtal, hur ni st\u00e4ller krav i upphandling och molntj\u00e4nstavtal och f\u00f6ljer upp leverant\u00f6rerna.<\/p>","protected":false},"author":2,"featured_media":8584,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"content-type":"","site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[107],"tags":[9],"class_list":["post-8583","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sverige","tag-gdpr-specialist"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8583","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/comments?post=8583"}],"version-history":[{"count":1,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8583\/revisions"}],"predecessor-version":[{"id":8586,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8583\/revisions\/8586"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media\/8584"}],"wp:attachment":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media?parent=8583"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/categories?post=8583"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/tags?post=8583"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}