Så granskar du ansvars- och sekretessvillkor i konsultavtal

Varför ansvars- och sekretessvillkor är särskilt viktiga i konsultavtal

Ett konsultavtal är avtalet mellan ett företag och en konsult om villkoren för uppdraget. Ingen lag reglerar förhållandet mellan konsult och uppdragsgivare – det är villkoren ni kommit överens om som gäller. Konsulten har ofta eget företag eller är anställd på ett konsultföretag, inte hos uppdragsgivaren, och omfattas därför inte av samma regler som anställda, bland annat inte av lagen om anställningsskydd (LAS).

Eftersom ingen lag fyller ut luckorna blir ansvars- och sekretessvillkoren avgörande: det som inte regleras uttryckligen har ingen självklar fördelning. Risken är dubbelriktad. Utan skriftligt konsultavtal kan uppdraget misstolkas och konsulten i stället anses vara anställd, vilket kan få allvarliga konsekvenser för uppdragsgivaren. Sveriges Ingenjörers checklista för konsultavtal lyfter fram graden av eget ansvar och fri bestämmanderätt i hur uppdraget utförs som en faktor i den bedömningen.

Avtalet bör därför tydligt visa uppdragets omfattning, hur det ska genomföras, ersättningen och vad som gäller vid förändringar eller förseningar. Ett skriftligt avtal minskar risken för missförstånd och konflikter.

Läs avtalspaketet i rätt ordning

Granska aldrig bara huvudavtalet. Nödvändig information får ofta inte plats där och hänvisningar görs i stället till bilagor som ska gälla för avtalsförhållandet – exempelvis policys på arbetsplatsen, särskilda ersättningsmodeller gentemot konsulter och specifika projektinstruktioner. Behandlar konsulten personuppgifter för uppdragsgivarens räkning tillkommer dessutom ett personuppgiftsbiträdesavtal med egna bilagor.

Rangordningen är avgörande. Reglera vilket dokument som har företräde om bilagorna inte stämmer överens med huvudavtalet. Utan en sådan prioritetsordning är det oklart vilken sekretessdefinition, vilket ansvarstak eller vilken instruktion som faktiskt gäller när dokumenten pekar i olika riktningar.

Praktiskt: gör en dokumentförteckning över samtliga handlingar som ska ingå, kontrollera att du har daterade versioner av varje dokument och läs dem i den ordning prioritetsklausulen anger. Kontrollera särskilt att begrepp som används i huvudavtalet – till exempel "konfidentiell information", "leverans" och "fel" – har samma innebörd i bilagorna, och att det framgår vem som får ändra en policy eller instruktion under avtalstiden.

Ansvarsfördelning: vem bär risken för vad?

Ansvarsfördelningen står och faller med uppdragsbeskrivningen. Specificera uppdraget och samarbetet: vem ansvarar för vad, vad får det kosta, hur länge ska uppdraget pågå och vad händer om konsulten inte är klar i tid? Noggrannhet här lönar sig när situationer uppstår under uppdragets gång. Ett konsultavtal ska tydligt visa uppdragets omfattning, hur det ska genomföras, ersättningen och vad som gäller vid förändringar eller förseningar.

En etablerad mallstruktur för konsultavtal innehåller bakgrund och syfte med uppdraget, definitioner av centrala begrepp, konsultens åtaganden och skyldigheter, uppdragsgivarens skyldigheter, ersättning och kostnadsersättning, betalningsvillkor, sekretess, ansvar och ansvarsbegränsning, force majeure, avtalstid och uppsägning, överlåtelse, tillämplig lag och tvistlösning samt bilagor. Beskriv konsultens arbetsuppgifter och övriga åtaganden så utförligt som möjligt för att undvika missförstånd, och låt det framgå att konsulten utför uppdraget som självständig uppdragstagare – bland annat att uppdragsgivaren inte ska betala sociala avgifter för konsulten.

Gå igenom följande i uppdragsbeskrivningen och ansvarsvillkoren: vilka konkreta leveranser som ska tas fram, i vilken form de ska levereras, hur och av vem de ska godkännas, tidsplan och milstolpar, samt vilka beroenden uppdragsgivaren måste uppfylla (beslut, åtkomst, material, kontaktpersoner). Skriv också in vad en försening eller ett uteblivet underlag från endera parten får för konsekvenser, och hur ändringar av uppdraget ska beställas, dokumenteras och prissättas. Otydlighet i något av dessa led flyttar ansvaret från avtalstexten till en senare tvist om vad som egentligen avtalades.

Kontrollera även rättigheterna till resultatet. När en konsult skapar något – till exempel skriver kod, tar bilder eller gör en design – kan vissa rättigheter tillhöra konsulten. Uppdragsgivaren bör därför tänka igenom vilka rättigheter bolaget ska ha och konsulten vilka rättigheter kunden ska ha, till exempel om kunden får sälja arbetet vidare. En konkurrensklausul kan samtidigt begränsa konsultens möjligheter att utföra samma arbete hos andra.

Ansvarsbegränsning, ansvarsfrihet och force majeure

Ansvarsbegränsningen avgör hur mycket av risken du faktiskt bär. Granska fyra saker separat. För det första ansvarstaket: hur är det beräknat, gäller det per skadetillfälle eller sammanlagt, och omfattar det även ersättning för utebliven leverans? För det andra om direkta och indirekta skador skiljs åt, och vad som i så fall räknas som indirekt skada – om allt utom återbetalning av arvodet definieras som indirekt försvinner i praktiken konsultens ansvar. För det tredje vilka undantag som finns från ansvarsbegränsningen, exempelvis brott mot sekretess, intrång i immateriella rättigheter och uppsåt eller grov vårdslöshet. För det fjärde om det finns tidsgränser för att reklamera ett fel och vad som händer med ansvaret efter det att avtalet upphört.

Force majeure reglerar ansvarsfrihet vid omständigheter utom parternas kontroll, till exempel krig, strejk eller naturkatastrofer. Läs villkoret med uppdraget i hand: vilka händelser räknas upp, måste den drabbade parten underrätta den andra och inom vilken tid, räknas händelsen som grund för uppskov eller för uppsägning, och vad händer om den pågår länge? Ett alltför brett force majeure-villkor kan i praktiken bli en allmän ansvarsfrihet.

Bedöm proportionen mot uppdraget, inte mot en schablon. Fråga dig: hur stort ekonomiskt värde kan mitt fel orsaka hos motparten, kan jag försäkra den risken, vem kan bäst styra eller förebygga den, och vad händer om ansvarstaket sätts så lågt att motparten inte kan få täckning för en typisk skada i just det här uppdraget? Ett tak som upplevs som rimligt i ett litet konsultuppdrag kan vara oanvändbart i ett projekt där felet slår direkt mot motpartens kundlöfte.

Fördelar och nackdelar med ett alltför brett force majeure-villkor

Sekretess: definition, undantag och livstid

Utgå från definitionen. Vad räknas som konfidentiell information – all information som konsulten får del av, eller bara information som märkts eller bekräftats skriftligt som konfidentiell? Saknas krav på märkning blir sekretessen mycket vid, vilket kan vara svårt för konsulten att leva upp till; finns ett märkningskrav måste uppdragsgivaren komma ihåg att märka det som ska skyddas. Kontrollera också om definitionen täcker information om affärsmodeller, priser, kundlistor, källkod, personal och utkast, och om den omfattar information som konsulten inte fått fysiskt utan kommit ihåg.

Gå igenom undantagen. Normalt behöver sekretessen inte omfatta information som är allmänt känd, som mottagaren redan hade innan uppdraget, som tas fram självständigt utan att använda den konfidentiella informationen, eller som lagligen tagits emot från tredje part. Ett avtal utan rimliga undantag kan bli omöjligt att följa för en konsult som arbetar parallellt hos flera uppdragsgivare inom samma bransch. Kontrollera också om det finns en ventil för utlämnande som krävs enligt lag, domstolsbeslut eller av myndighet, och om konsulten i så fall måste underrätta uppdragsgivaren i förväg.

Livstiden ska vara uttalad. Fråga hur länge sekretessen gäller efter avtalets slut, om tiden är densamma för all information eller differentierad, och om den gäller oberoende av varför avtalet upphör. Bestäm också vad som ska hända med materialet vid avtalets slut: ska det återlämnas eller raderas, vem ansvarar för raderingen, och vad får konsulten behålla i form av allmän kunskap, metod och erfarenhet?

Underkonsulter kräver egna villkor. Om konsulten använder underkonsulter måste sekretessen föras vidare genom skriftliga förbindelser eller avtal, och det bör framgå vem som ansvarar gentemot uppdragsgivaren om en underkonsult bryter sekretessen.

När konsulten hanterar personuppgifter

Sekretessvillkor ersätter inte ett personuppgiftsbiträdesavtal. Dataskyddsförordningen anger två situationer där ett biträdesavtal behöver ingås: när ett personuppgiftsbiträde behandlar personuppgifter åt den personuppgiftsansvarige (artikel 28.3) och när ett biträde anlitar ett underbiträde för en specifik behandling på den personuppgiftsansvariges vägnar (artikel 28.4). Biträdet är alltid någon utanför den egna organisationen, och avtalet ska vara skriftligt och bindande för båda parter. Personuppgiftslagen (1998:204) är upphävd sedan den 25 maj 2018; det är dataskyddsförordningen och kompletterande svensk reglering som gäller.

Rollerna avgörs av vad parterna faktiskt gör, inte av vad avtalet kallar dem. Innan biträdesavtal tecknas behöver det vara klarlagt att den ena parten verkligen behandlar personuppgifter för den andra partens räkning. Den personuppgiftsansvarige bestämmer ändamålen med behandlingen (varför) och medlen för den (hur) och ska ge biträdet instruktioner som biträdet måste följa. En uppdragstagare som ensam bestämmer över behandlingens ändamål och medel har ett eget personuppgiftsansvar. Det går inte att med bindande verkan avtala att en part ska vara personuppgiftsansvarig och en annan biträde om det inte överensstämmer med de faktiska förhållandena. Europeiska dataskyddsstyrelsens riktlinjer 07/2020 (version 2.0, antagen den 7 juli 2021) behandlar begreppen.

Att inte använda ett personuppgiftsbiträdesavtal när ett sådant behövs, eller att använda ett som inte uppfyller dataskyddsförordningens krav på innehåll, strider mot förordningen och innebär onödiga risker för både den personuppgiftsansvarige och biträdet. Ett arbetssätt som används i offentlig sektor är att fylla i två bilagor till PUB-avtalet – Instruktion och Lista över underbiträden – som tillsammans beskriver behandlingens särskilda karaktär, medan själva avtalsmallen lämnas oförändrad.

Granska i praktiken: vilka kategorier av personuppgifter och registrerade omfattas, vilka behandlingsåtgärder ska utföras, vilka underbiträden används och gäller samma skyddsnivå hos dem, vilka tekniska och organisatoriska säkerhetsåtgärder gäller, hur hanteras begäranden från registrerade, hur rapporteras incidenter och till vem, och hur ska uppgifterna raderas eller återlämnas när uppdraget upphör. Som huvudregel får konsulten inte använda uppdragsgivarens personuppgifter för egna ändamål när konsulten agerar som personuppgiftsbiträde. Följ också upp att instruktionerna är aktuella under avtalstiden – de utgör själva gränsen för vad biträdet får göra.

Viktiga regler enligt GDPR vid hantering av personuppgifter

Praktisk granskningsmetod och kontrollfrågor

Röda flaggor och förhandlingsbara skrivningar

Ansvarsbegränsning som gör ansvaret illusoriskt: taket ligger under vad ett typiskt fel i uppdraget kan kosta, och allt utom återbetalning av arvodet definieras som indirekt skada. Förhandla i stället fram ett tak som står i proportion till uppdragets värde och risk, med uttryckliga undantag för brott mot sekretess, intrång i immateriella rättigheter samt uppsåt och grov vårdslöshet.

Sekretess utan rimliga undantag eller utan tidsgräns: ingen ventil för information som är allmänt känd, som mottagaren redan hade, som utvecklats självständigt eller som måste lämnas ut enligt lag eller myndighetsbeslut – och ingen uttalad tid efter avtalets slut. Skriv in undantagen och ange under hur lång tid sekretessen består, samt vad som gäller för underkonsulter.

Saknat personuppgiftsbiträdesavtal trots att konsulten behandlar personuppgifter för uppdragsgivarens räkning, eller ett avtal vars roller inte motsvarar de faktiska förhållandena. Ett biträdesavtal ska ingås när ett biträde behandlar personuppgifter åt den personuppgiftsansvarige, och rollerna avgörs av vad som faktiskt görs. Komplettera med de bilagor som beskriver instruktioner och underbiträden.

Bilagor utan prioritetsordning, eller bilagor som hänvisas till men inte finns med i det du får signera – policys, ersättningsmodeller, projektinstruktioner. Kräv en uttalad rangordning och att samtliga bilagor är bilagda i den version du granskar.

Otydlig gräns mellan konsult och anställd: om konsulten i praktiken inte har tillräckligt hög grad av eget ansvar och fri bestämmanderätt i hur uppdraget ska utföras, eller bara har ett uppdrag, ökar risken för att uppdraget bedöms som en anställning. Förtydliga i avtalet att konsulten är en självständig uppdragstagare, och se till att beskrivningen av arbetssätt, styrning och ersättningsmodell stämmer med hur uppdraget faktiskt genomförs.

Oklara rättigheter och otydliga avslut: det framgår inte vem som äger resultatet, om kunden får sälja arbetet vidare, hur en konkurrensklausul begränsar konsulten, eller vad som ska återlämnas och raderas när avtalet upphör. Reglera ägande och nyttjanderätt till leveranser, konkurrensklausulens omfattning, samt återlämnande och radering av material vid avtalstidens slut.

Förhållande mellan konsult och anställd – risker vid otydlig gräns