Klausul om granskningsrätt
Ger en part rätt att granska den andra partens register eller system för att verifiera efterlevnaden.
Vad det är
En granskningsklausul ger den ena parten rätt att granska den andra partens bokföring, register, processer eller säkerhetskontroller för att kontrollera efterlevnad, till exempel avseende prissättning, royaltyrapportering, licensanvändning eller dataskyddsskyldigheter.
Varför det är viktigt
Förtroende är inte samma sak som verifiering. Granskningsrätt ger en kund eller licensgivare möjlighet att kontrollera att rapporterade siffror och kontroller är korrekta, motverka underrapportering och stödja ansvarsutkrävande enligt GDPR och liknande regelverk.
Så tillämpar du det
- Definiera omfattningen, hur ofta granskning får ske, hur lång framförhållning som krävs och vem som får utföra granskningen. Villkoren får inte hindra nödvändig granskning enligt GDPR eller incidenthantering som krävs enligt tillämplig lag.
- Begränsa åtkomsten till relevanta register och skydda den granskade partens konfidentiella information.
- Avtala om kostnadsfördelningen: en vanlig utgångspunkt är att den part som begär granskningen betalar sina egna kostnader. Ange om kostnader får överföras vid en konstaterad väsentlig avvikelse, med ett tydligt tröskelvärde och ett proportionerligt förfarande som inte hindrar tvingande granskningsrättigheter.
- Ange åtgärder vid brister: korrigering, betalning av underbetalda belopp och rätt till en ny granskning.
Förhandlingstips
- • Granskade parter bör avtala om begränsad granskningsfrekvens, rimlig framförhållning och konfidentialitet. Villkoren får inte hindra nödvändig granskning enligt GDPR eller incidenthantering som krävs enligt tillämplig lag.
- • Den part som begär granskningen bör förhandla om ett giltigt avtalsvillkor som medger att kostnader överförs till den granskade parten om en konstaterad avvikelse överstiger ett angivet tröskelvärde. Villkoret bör ange ett proportionerligt förfarande och får inte hindra tvingande granskningsrättigheter.
Vanliga fallgropar
- • Granskningsrätt som är så ingripande att den stör verksamheten eller röjer orelaterad konfidentiell information.
- • Ingen uttrycklig åtgärd anges, vilket kan göra det svårare att agera även om granskningen visar ett avtalsbrott.
Juridiska hänvisningar
- Artikel 28.3 h i förordning (EU) 2016/679 (GDPR) GDPR: granskning av personuppgiftsbiträden EU-rätt
- 36 § avtalslagen (1915:218) Oskäliga avtalsvillkor Svensk lag
Kontrollera vilken jurisdiktion som anges för varje referens. Detta är allmän information och inte juridisk rådgivning. Dessa begrepp hanteras olika i olika jurisdiktioner. Kontrollera aktuell lydelse och hur den är tillämplig på din situation med en kvalificerad jurist.
Vanliga frågor
Vanliga frågor om denna klausul.
Kostnadsfördelningen bör regleras i avtalet. En vanlig utgångspunkt är att den part som begär granskningen står för sina egna kostnader. Parterna kan avtala om att kostnader överförs till den granskade parten vid ett konstaterat väsentligt avtalsbrott eller en underbetalning över ett angivet tröskelvärde. Villkoren och förfarandet måste vara giltiga och proportionerliga och får inte hindra tvingande granskningsrättigheter. Artikel 28 i GDPR anger inte i sig vem som ska betala.
Ja, när GDPR är tillämplig och det finns ett faktiskt förhållande mellan en personuppgiftsansvarig och ett personuppgiftsbiträde. Ett skriftligt avtal eller en annan bindande rättsakt ska kräva att biträdet lämnar all information som behövs för att visa att skyldigheterna enligt artikel 28 fullgörs samt möjliggör och bidrar till granskningar, inklusive inspektioner, som utförs av den personuppgiftsansvarige eller en revisor som denne har gett i uppdrag att granska. Denna obligatoriska rätt får inte avtalas bort.
En ISO 27001-certifiering eller en SOC 2-rapport kan ge underlag för en riskbaserad bedömning, men omfattning, aktualitet och begränsningar måste kontrolleras. När artikel 28 i GDPR är tillämplig ersätter sådan dokumentation inte nödvändiga granskningar, inklusive inspektioner, enbart för att avtalet tillåter det. Den är inte automatiskt en godkänd certifieringsmekanism enligt GDPR som avses i artikel 28.5. För rent avtalsbaserade granskningar som inte omfattas av dessa GDPR-krav kan parterna inom lagens ramar avtala om alternativ dokumentation. Avtalet bör tydligt ange vad som godtas och när granskning på plats kan genomföras, utan att inskränka tvingande rättigheter.
Avtalet kan exempelvis ange 10 till 30 dagars skriftligt förhandsbesked. Det är ett illustrativt avtalsintervall, inte ett lagkrav eller en fastställd svensk marknadsstandard. Vilken framförhållning som krävs beror på avtalet, riskerna och tvingande skyldigheter. För utredningar av bedrägeri eller säkerhetsincidenter bör du separat förhandla om kortare framförhållning eller en begränsad rätt till oanmäld granskning, med tydlig omfattning, laglig grund och skydd för konfidentiell information. Avtalade frister får inte hindra nödvändig granskning enligt GDPR eller incidenthantering som krävs enligt tillämplig lag.
Det kan handla om betalning av det utestående beloppet, ränta om det följer av avtalet eller tillämplig lag och att kostnaden för granskningen läggs på den granskade enligt avtalet. Ibland kan avtalet också ge rätt att säga upp eller häva avtalet på grund av avtalsbrott om underbetalningen var systematisk eller uppsåtlig. Detta förutsätter att den väsentliga överträdelsen är fastställd och att avtalade krav och förfaranden följs; ingen av åtgärderna gäller automatiskt.