Personuppgiftsbiträdesavtal

Transkript

1 ÄNGELHOLMS KOMMUN Personuppgiftsbiträdesavtal Personuppgiftsansvarig: Kommunstyrelsen Östravägen 2, Ängelholm Personuppgiftsbiträde: Evry One Outsourcing Services Malmö AB Västra Varvsgatan 19, MALMÖ 1 Personuppgiftslagen (1998:204) kräver att ett skriftligt avtal upprättas mellan den som är personuppgiftsansvarig och den som i egenskap av personuppgiftsbiträde behandlar personuppgifter för personuppgiftsansvarigs räkning. Genom detta avtal fullgörs denna skyldighet. 2 Personuppgiftsansvarig och personuppgiftsbiträde har överenskommit att personuppgiftsbiträdet ska svara för utförande av arbetsuppgifter för personuppgiftsansvarigs räkning enligt avtal om IT -drift avtalstid Arbetsuppgifterna innefattar behandling av personuppgifter för vilka personuppgiftsansvarig är personuppgiftsansvarig enligt personuppgiftslagen. 3 Avtalets syfte är att säkerställa att personuppgifter hos personuppgiftsbiträdet hanteras lagligt och korrekt i enlighet med personuppgiftslagen. 4 Personuppgiftsbiträdet får behandla personuppgifter för vilka personuppgiftsansvarig är personuppgiftsansvarig endast i enlighet med personuppgiftslagen och enligt skriftlig instruktion från personuppgiftsansvarig. 5 Personuppgiftsbiträdet äger inte utöver vad som framgår enligt instruktioner från personuppgiftsansvarig rätt att t ex lämna ut personuppgifter till tredje man, ändra ändamålen med behandlingen eller medlen för behandlingen, Ängelholms kommun l Ängelholm l Tel: l E-post. fnfo engelholm.se. gelholm.. se l l

2 2 (3) vidta åtgärder eller serier av åtgärder såsom insamling, registrering, bearbetning, ändring, blockering, utplåning eller förstöring av personuppgift, mångfaldiga uppgifterna i personuppgiftsansvarigs databas, sammanställa eller samköra personuppgifter. 6 Personuppgiftsbiträdet är skyldigt att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som flnns, kostnaderna för att genomföra åtgärderna de särskilda risker som flnns med behandlingen av personuppgifter hur känsliga de personuppgifter som behandlas är. 7 Personuppgifterna ska skyddas mot förstöring genom olyckshändelse samt mot ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna och mot varje annat slag av otillåten behandling. 7 a Personuppgiftsbiträdet skall till personuppgiftsansvarig redovisa vilka säkerhetsåtgärder som genomförs med hänsyn till 6 och 7 i detta avtal. Bilaga 1. 8 Vid avtalets upphörande ska personuppgiftsbiträdet återlämna eller förstöra samtliga personuppgifter som personuppgiftsbiträdet behandlar vid tidpunkten för avtalets upphörande och enligt personuppgiftsansvarigs instruktioner. Återlämnande eller information angående förstöring skall till personuppgiftsansvarig ske i omedelbar anslutning till avtalets upphörande. 9 Personuppgiftslagen stadgar att den personuppgiftsansvarige ska ersätta den registrerade för skada eller kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen orsakat. Personuppgiftsansvarig äger rätt till ersättning från personuppgiftsbiträdet med belopp som utbetalats av personuppgiftsansvarig som skadestånd enligt denna bestämmelse om den behandling av personuppgifter som ligger till grund för skadeståndsersättningen utförts av personuppgiftsbiträdet i strid mot lag, detta avtal eller utan instruktioner av personuppgiftsansvarige. 10 Anspråk med anledning av skada eller kränkning av den registrerades integritet, som orsakats av personuppgiftsbiträdet skall handläggas av personuppgiftsansvarig.

3 3 (3) 11 Detta avtal gäller Detta avtal är upprättat i två originalexemplar varav parterna tagit var sitt. ~ if:,.gf:/!;rl!.~.. tq.(?.::~3 -? d Ort o datum })~6;.. ~.0.(~(~. P..-;I- ID Ort o datum ~L~---7 Personuppgiftsansvarig Robin Holmberg KS ordförande r-j~~. Per onuppgiftsbiträde Evry One Outsourcing

4 Version: 1 Datum: evry.com Bilaga Redovisning säkerhetsåtgärder Personuppgiftsbiträdesavtal 6 & 7

5 Bliaga Versionshistorik Ändring nr. l Ändring datum Förändringar Reviderad av Nytt 1 Krister Svärd Sida2/S

6 Bliaga Innehållsförteckning l Syfte 4 2 Principer 4 3 Grundläggande skyddsnivåer Tillgänglighet Konfidentialitet Riktighet 5 4 Kontaktperson 5 Sida3/s

7 Bilaga 1 Syfte Detta dokument uppfyller kravet i personuppgiftsbiträdesavtalets 7a mellan Ängelholms Kommun och EVRY One Outsourcing Services Malmö AB (härefter EOOS) avseende att redovisa vilka åtgärder som vidtagits för att åstadkomma en lämplig säkerhetsnivå enligt 6 och 7 i "Person uppgiftsbiträdesavtal Evry" 2 Principer EOOS arbetar enligt erkända metoder och standarder som ITIL och IS Detta sätter ramverket för alla IT -drifts tjänster som erbjuds enligt aktuellt IT -driftsavtal. 3 Grundläggande skyddsnivåer EOOS hanterar all behandling av personuppgifter enligt det avtal om IT -drift som tecknats mellan parterna. Detta avtal reglerar förutsättningar och krav för den aktuella hanteringen av personuppgifter enligt den analys och riskbedömning som Ängelholms Kommun ansvarar för att upprätta och underhålla. Kunden ansvarar för att skriftligen kommunicera evt. uttryckliga rutiner och instruktioner till EOOS. Nedan beskrivs enligt terminologi från IS översiktligt vilka åtgärder som vidtagits för att säkra en lämplig säkerhetsnivå. 3.1 Tillgänglighet Definition: "skyddsmål där informationstillgångar skall kunna utnyttjas iförväntad utsträckning och inom önskad tid" EOOS uppfyller detta mål genom att upprätthålla en teknisk driftsmiljö med tillgänglighet enligt i driftavtalet överenskomna nivåer samt personal med kompetens för att sköta drift och underhåll av nämnda driftsmiljö. Konfidentialitet Definition: "avsikten att innehållet i ett informationsobjekt (eller ibland dess existens) inte bör göras tillgängligt eller avslöjasför obehöriga. EOOS uppfyller detta mål genom att säkerställa att samtlig personal omfattas av sekretessavtal För vissa roller eller rättigheter så krävs det också att personalen genomgår en

8 Bilaga säkerhetskontroll för att identifiera om det finns indikatorer på förhöjd risk. Genom periodiska repetitioner säkerställs att medvetandet avseende konfidentialitetskravet upprätthålls över tiden. 3.3 Riktighet Definition: "skyddsmål att information inte förändras, vare sig obehörigen, av misstag eller på grund av funktionsstörning" Genom en styrning av förändringsprocesser enligt ITIL säkerställs förändringar klassificeras och om ändringen inte är av rutinmässig art så genomförs riskanalys och godkännande i "Change Advisory Board", vilket minimerar risken för oplanerade händelser i samband med förändringar. Observera att EOOS inte kan ta ansvar för om information förändras pga kundens handhavande eller mjukvarufel i applikation. EOOS ansvarar för att data kan återställas från säkerhetskopia enligt de regler som satts upp av kunden för respektive system. 4 Kontaktperson För vidare upplysningar, kontakta gärna: Krister Svärd säkerhetschef EVRY ONE Outsourcing Services Malmö AB Västra Varvsgatan MALMÖ Tel: krister.svard@evry.com Sida s/s