Så granskar du ansvars- och sekretessvillkor i konsultavtal

Varför ansvars- och sekretessvillkor är särskilt viktiga i konsultavtal

Ett konsultavtal är avtalet mellan ett företag och en konsult om villkoren för uppdraget. Det finns ingen enskild lag som anger vad ett konsultavtal ska innehålla; avtalsvillkoren parterna kommit överens om styr innehållet (tryggaavtal.se).

Konsultavtalet beskriver uppdraget och parternas rättigheter och skyldigheter. När du jämför konsulter, läs därför ansvars- och sekretessvillkoren mot uppdragets omfattning, ersättning och tidplan.

Konsulten är ofta egenföretagare eller anställd hos ett konsultföretag, inte hos uppdragsgivaren. Arbetsrättsliga lagar som LAS gäller inte på samma sätt som i ett anställningsförhållande (vismasign.se).

Eftersom ingen lag fyller ut luckorna blir ansvars- och sekretessvillkoren avgörande. Det som inte regleras uttryckligen har ingen självklar fördelning.

Ett skriftligt konsultavtal minskar risken för missförstånd om uppdraget. Avtalets beskrivning av hur arbetet ska utföras bör också stämma med hur samarbetet fungerar i praktiken.

Jämför avtalets beskrivning av konsultens självständighet med hur uppdraget faktiskt ska utföras. En formulering i avtalet ersätter inte en tydlig beskrivning av ansvar och arbetsformer.

Avtalet bör därför ange vad uppdraget omfattar, hur det ska utföras, ersättningen samt vad som gäller vid ändringar eller förseningar. Ett skriftligt avtal minskar risken för missförstånd och konflikter.

Läs avtalspaketet i rätt ordning

Granska aldrig bara huvudavtalet. Nödvändig information får ofta inte plats där och hänvisningar görs i stället till bilagor som ska gälla för avtalsförhållandet.

Granska ansvars- och sekretessvillkoren i den ordning dokumenten gäller. Börja med huvudavtalet, gå vidare till bilagorna och läs personuppgiftsbiträdesavtalet sist om konsulten behandlar personuppgifter för uppdragsgivarens räkning.

Exempel på sådana bilagor är policys på arbetsplatsen, särskilda ersättningsmodeller gentemot konsulter och specifika projektinstruktioner. Behandlar konsulten personuppgifter för uppdragsgivarens räkning tillkommer dessutom ett personuppgiftsbiträdesavtal med egna bilagor.

Rangordningen är avgörande. Reglera vilket dokument som har företräde om bilagorna inte stämmer överens med huvudavtalet.

Utan prioritetsordning är det oklart vilken sekretessdefinition, vilket ansvarstak eller vilken instruktion som faktiskt gäller när dokumenten pekar i olika riktningar.

Praktiskt: gör en dokumentförteckning över samtliga handlingar som ska ingå. Kontrollera att du har daterade versioner av varje dokument och läs dem i den ordning prioritetsklausulen anger.

Kontrollera särskilt att begrepp som används i huvudavtalet – till exempel "konfidentiell information", "leverans" och "fel" – har samma innebörd i bilagorna. Kontrollera också att det framgår vem som får ändra en policy eller instruktion under avtalstiden.

Ansvarsfördelning: vem bär risken för vad?

Ansvarsfördelningen står och faller med uppdragsbeskrivningen. Specificera uppdraget och samarbetet: vem ansvarar för vad, vad får det kosta, hur länge ska uppdraget pågå och vad händer om konsulten inte är klar i tid?

Granska ansvarsvillkoren mot uppdragsbeskrivningen. Kontrollera särskilt vem som ansvarar för underlag, beslut och åtkomst, hur leveranser godkänns och vad en försening får för konsekvenser.

Noggrannhet här lönar sig när situationer uppstår under uppdragets gång. Ett konsultavtal bör klargöra vad uppdraget gäller, hur arbetet ska läggas upp, ersättningen och vad som händer vid ändringar eller förseningar.

En etablerad mallstruktur för konsultavtal innehåller bakgrund och syfte med uppdraget, definitioner av centrala begrepp, konsultens åtaganden och skyldigheter, uppdragsgivarens skyldigheter, ersättning och kostnadsersättning samt betalningsvillkor.

Den innehåller också sekretess, ansvar och ansvarsbegränsning, force majeure, avtalstid och uppsägning, överlåtelse, tillämplig lag och tvistlösning samt bilagor.

Beskriv konsultens arbetsuppgifter och övriga åtaganden så utförligt som möjligt för att undvika missförstånd. Låt det framgå att konsulten utför uppdraget som självständig uppdragstagare – bland annat att uppdragsgivaren inte ska betala sociala avgifter för konsulten.

Gå igenom följande i uppdragsbeskrivningen och ansvarsvillkoren: vilka konkreta leveranser som ska tas fram, i vilken form de ska levereras, hur och av vem de ska godkännas, tidsplan och milstolpar.

Gå också igenom vilka beroenden uppdragsgivaren måste uppfylla (beslut, åtkomst, material, kontaktpersoner). Skriv in vad en försening eller ett uteblivet underlag från endera parten får för konsekvenser, och hur ändringar av uppdraget ska beställas, dokumenteras och prissättas.

Otydlighet i något av dessa led flyttar ansvaret från avtalstexten till en senare tvist om vad som egentligen avtalades.

Kontrollera även rättigheterna till resultatet. När en konsult skapar något – till exempel skriver kod, tar bilder eller gör en design – kan vissa rättigheter tillhöra konsulten.

Uppdragsgivaren bör därför tänka igenom vilka rättigheter bolaget ska ha, och konsulten vilka rättigheter kunden ska ha, till exempel om kunden får sälja arbetet vidare. En konkurrensklausul kan samtidigt begränsa konsultens möjligheter att utföra samma arbete hos andra.

Ansvarsbegränsning i konsultavtal: ansvarsfrihet och force majeure

Ansvarsbegränsningen avgör hur mycket av risken du faktiskt bär. Granska fyra saker separat.

För det första ansvarstaket: hur är det beräknat, gäller det per skadetillfälle eller sammanlagt, och omfattar det även ersättning för utebliven leverans?

För det andra om direkta och indirekta skador skiljs åt, och vad som i så fall räknas som indirekt skada. Om allt utom återbetalning av arvodet definieras som indirekt försvinner i praktiken konsultens ansvar.

För det tredje vilka undantag som finns från ansvarsbegränsningen, exempelvis brott mot sekretess, intrång i immateriella rättigheter och uppsåt eller grov vårdslöshet. För det fjärde om det finns tidsgränser för att reklamera ett fel och vad som händer med ansvaret efter det att avtalet upphört.

Skriv in ansvarstaket så att det går att räkna på: belopp, per skadetillfälle eller sammanlagt, och om ersättning för utebliven leverans omfattas. Gör samma sak med tidsgränserna för reklamation och ansvaret efter avtalets upphörande. Ett avtalsexempel är: ”Konsultens sammanlagda ansvar för skada är begränsat till [belopp], med undantag för [angivna undantag].”

ABK 09 (Allmänna bestämmelser för konsultuppdrag inom arkitekt- och ingenjörsverksamhet) är ett standardavtal som måste åberopas i avtalet mellan beställaren och konsulten för att gälla (terraadvokat.se). Där begränsas skadeståndsansvaret till 120 prisbasbelopp om parterna inte avtalat annat. Krav ska framställas inom 3 månader efter att beställaren fått skälig anledning att anta att konsulten är ansvarig, dock senast inom 9 månader från kännedom om skadan (terraadvokat.se).

Force majeure reglerar ansvarsfrihet vid omständigheter utom parternas kontroll, till exempel krig, strejk eller naturkatastrofer. Läs villkoret med uppdraget i hand: vilka händelser räknas upp, måste den drabbade parten underrätta den andra och inom vilken tid?

Räknas händelsen som grund för uppskov eller för uppsägning, och vad händer om den pågår länge? Ett alltför brett force majeure-villkor kan i praktiken bli en allmän ansvarsfrihet.

Bedöm proportionen mot uppdraget, inte mot en schablon. Fråga dig: hur stort ekonomiskt värde kan mitt fel orsaka hos motparten, kan jag försäkra den risken, vem kan bäst styra eller förebygga den?

Vad händer om ansvarstaket sätts så lågt att motparten inte kan få täckning för en typisk skada i just det här uppdraget? Ett tak som upplevs som rimligt i ett litet konsultuppdrag kan vara oanvändbart i ett projekt där felet slår direkt mot motpartens kundlöfte.

Sekretessvillkor i konsultavtal: företagshemligheter, undantag och livstid

Utgå från definitionen. Vad räknas som konfidentiell information – all information som konsulten får del av, eller bara information som märkts eller bekräftats skriftligt som konfidentiell?

Lagen (2018:558) om företagshemligheter innehåller bestämmelser om skadestånd, vitesförbud och straff vid obehöriga angrepp på företagshemligheter. Lagen gäller endast obehöriga angrepp; information om något som utgör ett brott eller annat allvarligt missförhållande är inte en företagshemlighet enligt lagen (riksdagen.se).

Granska sekretessvillkoren i fyra steg: definition av konfidentiell information, undantag, livstid efter avtalets slut och hantering av material vid uppdragets slut. Kontrollera att underkonsulter binds skriftligt och att det framgår vem som ansvarar gentemot uppdragsgivaren.

Saknas krav på märkning blir sekretessen mycket vid, vilket kan vara svårt för konsulten att leva upp till. Finns ett märkningskrav måste uppdragsgivaren komma ihåg att märka det som ska skyddas.

Kontrollera också om definitionen täcker information om affärsmodeller, priser, kundlistor, källkod, personal och utkast. Omfattar den information som konsulten inte fått fysiskt utan kommit ihåg?

Gå igenom undantagen. Normalt behöver sekretessen inte omfatta information som är allmänt känd, som mottagaren redan hade innan uppdraget, som tas fram självständigt utan att använda den konfidentiella informationen, eller som lagligen tagits emot från tredje part.

Ett avtal utan rimliga undantag kan bli omöjligt att följa för en konsult som arbetar parallellt hos flera uppdragsgivare inom samma bransch. Kontrollera också om det finns en ventil för utlämnande som krävs enligt lag, domstolsbeslut eller av myndighet, och om konsulten i så fall måste underrätta uppdragsgivaren i förväg.

Livstiden ska vara uttalad. Fråga hur länge sekretessen gäller efter avtalets slut, om tiden är densamma för all information eller differentierad, och om den gäller oberoende av varför avtalet upphör.

Bestäm också vad som ska hända med materialet vid avtalets slut: ska det återlämnas eller raderas, vem ansvarar för raderingen och vad får konsulten behålla i form av allmän kunskap, metod och erfarenhet? Ett avtalsexempel är: ”Mottagaren får inte använda eller röja konfidentiell information annat än för att utföra uppdraget, med undantag för information som redan var känd, blivit allmänt tillgänglig utan avtalsbrott eller måste lämnas ut enligt lag.” Ange separat hur länge sekretessen gäller och vad som ska hända med materialet.

Underkonsulter kräver egna villkor. Om konsulten använder underkonsulter måste sekretessen föras vidare genom skriftliga förbindelser eller avtal, och det bör framgå vem som ansvarar gentemot uppdragsgivaren om en underkonsult bryter sekretessen.

När konsulten hanterar personuppgifter

Sekretessvillkor ersätter inte ett personuppgiftsbiträdesavtal. Dataskyddsförordningen anger två situationer där ett biträdesavtal behöver ingås: när ett personuppgiftsbiträde behandlar personuppgifter åt den personuppgiftsansvarige (artikel 28.3) och när ett biträde anlitar ett underbiträde för en specifik behandling på den personuppgiftsansvariges vägnar (artikel 28.4).

Granska biträdesavtalet mot artikel 28.3 och 28.4: behandlingens omfattning, instruktioner, underbiträden, säkerhetsåtgärder, incidentrapportering och radering eller återlämnande. Kontrollera att rollerna motsvarar vad parterna faktiskt gör.

IMY anger att relationen mellan den personuppgiftsansvariga och personuppgiftsbiträdet ska regleras genom ett skriftligt avtal eller annan rättsakt. Personuppgiftslagen (1998:204) upphävdes den 25 maj 2018.

Rollerna avgörs av vad parterna faktiskt gör, inte av vad avtalet kallar dem. Innan biträdesavtal tecknas behöver det vara klarlagt att den ena parten verkligen behandlar personuppgifter för den andra partens räkning.

Den personuppgiftsansvarige bestämmer ändamålen med behandlingen (varför) och medlen för den (hur) och ska ge biträdet instruktioner som biträdet måste följa. En uppdragstagare som ensam bestämmer över behandlingens ändamål och medel har ett eget personuppgiftsansvar.

Europeiska dataskyddsstyrelsens riktlinjer 07/2020 behandlar begreppen personuppgiftsansvarig och personuppgiftsbiträde (skr.se).

Att inte använda ett personuppgiftsbiträdesavtal när ett sådant behövs, eller att använda ett som inte uppfyller dataskyddsförordningens krav på innehåll, strider mot förordningen. Det innebär onödiga risker för både den personuppgiftsansvarige och biträdet.

SKR beskriver att huvudarbetet med PUB-avtalet består av att fylla i bilagorna Instruktion och Lista över underbiträden (skr.se).

Granska i praktiken: vilka kategorier av personuppgifter och registrerade omfattas, vilka behandlingsåtgärder ska utföras, vilka underbiträden används och gäller samma skyddsnivå hos dem, vilka tekniska och organisatoriska säkerhetsåtgärder gäller.

Granska också hur begäranden från registrerade hanteras, hur incidenter rapporteras och till vem, och hur uppgifterna ska raderas eller återlämnas när uppdraget upphör. Som huvudregel får konsulten inte använda uppdragsgivarens personuppgifter för egna ändamål när konsulten agerar som personuppgiftsbiträde.

Följ också upp att instruktionerna är aktuella under avtalstiden – de utgör själva gränsen för vad biträdet får göra.

Praktisk granskningsmetod och kontrollfrågor

1. Markera. Läs igenom avtalspaketet och markera varje mening som rör ansvar, ansvarsbegränsning, force majeure, sekretess, immateriella rättigheter och personuppgifter. Markera även hänvisningarna till bilagor. Samla allt på ett blad – det är där risken sitter.

Granska ansvars- och sekretessvillkoren med samma metod: markera, ställ mot uppdraget, kontrollera rangordning, ställ kontrollfrågor och dokumentera avvikelser skriftligt innan signering. Bestäm i förväg vilka villkor som är röda linjer: ansvarstak, sekretessens livstid, underkonsulter och personuppgiftsbiträdesavtal.

2. Ställ dokumenten mot uppdraget. Jämför villkoren med uppdragsbeskrivningen: täcker ansvarsbestämmelserna de leveranser, beroenden och tidsgränser som faktiskt gäller?

Avtalet måste också beskriva uppdraget, utförandet, ersättningen och vad som gäller vid ändringar eller förseningar. Stämmer inte det med bilagorna är det en avvikelse att åtgärda.

Är ansvarsbegränsningen ett tak per skada eller sammanlagt, och omfattar den sekretessbrott? Vilka undantag finns från sekretessen och hur länge gäller den efter avtalets slut?

Får underkonsulter användas, och i så fall efter vilket godkännande och med vilken sekretessbundenhet? Behövs ett personuppgiftsbiträdesavtal, och vem har gjort den funktionella bedömningen av rollerna?

5. Dokumentera avvikelserna skriftligt och förhandla innan signering. Skriv in ändringarna i avtalet eller i en ändringsbilaga i stället för att nöja dig med motpartens e-postbekräftelse, och kontrollera efter signeringen att den version som gäller är den du faktiskt granskade.

Röda flaggor och förhandlingsbara skrivningar

Ansvarsbegränsning som gör ansvaret illusoriskt: taket ligger under vad ett typiskt fel i uppdraget kan kosta, och allt utom återbetalning av arvodet definieras som indirekt skada.

Förhandla i stället fram ett tak som står i proportion till uppdragets värde och risk, med uttryckliga undantag för brott mot sekretess, intrång i immateriella rättigheter samt uppsåt och grov vårdslöshet.

Sekretess utan rimliga undantag eller utan tidsgräns: ingen ventil för information som är allmänt känd, som mottagaren redan hade, som utvecklats självständigt eller som måste lämnas ut enligt lag eller myndighetsbeslut. Ingen uttalad tid efter avtalets slut.

Skriv in undantagen och ange under hur lång tid sekretessen består, samt vad som gäller för underkonsulter.

När motparten hänvisar till företagshemlighetsskydd, kontrollera separat vad sekretessklausulen skyddar och vilka uppgifter lagen (2018:558) omfattar. Lagen gäller endast obehöriga angrepp (riksdagen.se).

Saknat personuppgiftsbiträdesavtal trots att konsulten behandlar personuppgifter för uppdragsgivarens räkning, eller ett avtal vars roller inte motsvarar de faktiska förhållandena.

Ett biträdesavtal ska ingås när ett biträde behandlar personuppgifter åt den personuppgiftsansvarige, och rollerna avgörs av vad som faktiskt görs. Komplettera med de bilagor som beskriver instruktioner och underbiträden.

Bilagor utan prioritetsordning, eller bilagor som hänvisas till men inte finns med i det du får signera – policys, ersättningsmodeller, projektinstruktioner.

Kräv en uttalad rangordning och att samtliga bilagor är bilagda i den version du granskar.

Otydlig gräns mellan konsult och anställd. Om konsulten i praktiken inte har tillräckligt hög grad av eget ansvar och fri bestämmanderätt i hur uppdraget ska utföras, eller bara har ett uppdrag, ökar risken för att uppdraget bedöms som en anställning.

Förtydliga i avtalet att konsulten är en självständig uppdragstagare, och se till att beskrivningen av arbetssätt, styrning och ersättningsmodell stämmer med hur uppdraget faktiskt genomförs.

Oklara rättigheter och otydliga avslut: det framgår inte vem som äger resultatet, om kunden får sälja arbetet vidare, hur en konkurrensklausul begränsar konsulten, eller vad som ska återlämnas och raderas när avtalet upphör.

Reglera ägande och nyttjanderätt till leveranser, konkurrensklausulens omfattning, samt återlämnande och radering av material vid avtalstidens slut.