Personuppgiftsbiträdesavtal

Transkript

1 Vuxen- och omsorgsförvaltningen TJÄNSTESKRIVELSE Upprättad: Diarienummer: SN Vuxen- och omsorgsnämnden Personuppgiftsbiträdesavtal Förslag till beslut i vuxen- och omsorgsnämnden 1. Vuxen- och omsorgsnämnden godkänner avtalet mellan nämnden och Kommunalförbundet Sörmlands Kollektivtrafikmyndighet avseende personuppgiftsbiträdesavtal. Personuppgiftsansvarig (PUA) är nämnden och som kontaktperson och att företräda PUA utses socialchef Marja Kammouna. Sammanfattning Från och med den 1 februari 2016 bedriver Landstingets Sörmlands Kollektivtrafikmyndighet beställningscentral för färdtjänst och annan anropsstyrd trafik.. I uppdraget ingår att hantera personuppgifter enligt personuppgiftslagen (PUL).Vuxen- och omsorgsnämnden ingår i detta avtal som parten personuppgiftsansvarig. Kommunalförbundet Sörmlands Kollektivtrafikmyndighet som parten personuppgiftsbiträde. Ärendebeskrivning Nio kommuner, däribland Gnesta och Landstinget Sörmland har gett Kommunalförbundet Sörmlands Kollektivtrafikmyndighet ett uppdrag att upphandla och samordna transporter av sådan art som kommuner och landsting ansvarar för, färdtjänst, sjukresor och annan anropsstyrd trafik. Från och med den 1 februari 2016 bedriver Kommunalförbundet Sörmlands Kollektivtrafikmyndighet beställningscentral för den särskilda kollektivtrafiken. Uppdraget innefattar hantering av personuppgifter. VON ansvarar för att lämna personuppgifter till utföraren så att utföraren kan fullfölja uppdraget.i PUL innebär det att vara personuppgiftsansvarig. Myndigheten Landstinget Sörmlands Kollektivtrafikmyndighet härbärgerar uppdraget som personuppgiftsbiträde. Som personuppgiftsbiträde hanterar Landstinget Sörmlands Kollektivtrafikmyndighet uppgifterna åt Gnestas Vuxen- och omsorgsnämnd. All hantering ska ske enligt PUL. Ett avtal som anger vilka som är ansvariga måste därför upprättas. Checklista för jämställdhet

2 Vuxen- och omsorgsförvaltningen TJÄNSTESKRIVELSE 2(2) Checklista för jämställdhetsanalys har inte bedömts vara tillämplig i detta ärende. Bilagor 1. Personuppgiftsbiträdesavtal mellan Vuxen- och omsorgsnämnden och Kommunalförbundet Sörmlands Kollektivtrafikmyndighet Beslutet ska skickas till: - Anne Ringdahl - Kommunalförbundet Sörmlands Kollektivtrafikmyndighet Box Nyköping Marja Kammouna Förvaltningschef Jenny Lundberg-Lydka Handläggare

3 Personuppgiftsbiträdesavtal mellan Gnesta kommun, Vuxen- och omsorgsnämnden, och Kommunalförbundet Sörmlands Kollektivtrafikmyndighet

4 Personuppgiftsbiträdesavtal 1. Parter 1.1. Gnesta kommun, Vuxen- och omsorgsnämnden, organisationsnummer , (nedan kallad PUA) är personuppgiftsansvarig och ger genom detta avtal Kommunalförbundet Sörmlands Kollektivtrafikmyndighet, organisationsnummer , (nedan kallad PUB) uppdrag att agera som personuppgiftsbiträde. 2. Inledning och bakgrund 2.1 PB har ingått överenskommelse med medlemmarna i länet, nio kommuner och Landstinget Sörmland, att upphandla och samordna transport- och samordningstjänster för sådana transportändamål som kommunen eller landstinget ska tillgodose. I tilläggsöverenskommelse med respektive medlem finns det angivet att respektive part ansvarar för erforderlig inrapportering och uppdatering av uppgifter för detta uppdrag, såsom kundtillstånd och färdtjänsttillstånd. Hanteringen av dessa tillstånd ska hanteras med hänsyn till regler angivna i offentlighets- och sekretesslagen (2009:400) och den lagstiftning som hanteras av tillsynsmyndigheten Datainspektionen med syfte att behandling av personuppgifter inte leder till otillbörliga intrång i enskilda individers personliga integritet Enligt 30 personuppgiftslagen (1998:204), PuL, ska ett skriftligt avtal mellan personuppgiftsansvarig och personuppgiftsbiträde finnas. Eftersom PUB har ett ansvar för förvaltning och uppföljning av trafik- och beställningscentralsavtal för färdtjänst, sjukresor och annan anropsstyrd trafik, samt från och med 1 februari 2016 bedriver beställningscentral på uppdrag av kommuner och Landstinget Sörmland för den särskilda kollektivtrafiken, där det ingår hantering av personuppgifter, behöver myndigheten agera personuppgiftsbiträde för att behandla personuppgifter för personuppgiftsansvarigs räkning. 2.3 I egenskap av personuppgiftsbiträde kan det förekomma att PUB ger i uppdrag till annan part, så kallat underbiträde, att hantera personuppgifter på uppdrag av PUB. Ett sådant uppdrag förutsätter i sig ett upprättat personuppgiftsbiträdesavtal. 3. Definitioner 3.1. Med personuppgifter avses nedan all slags information som direkt eller indirekt kan hänföras till en fysisk person och som behandlas för den personuppgiftsansvariges räkning Med registrerad avses nedan den som en personuppgift avser Med behandling eller behandla avses nedan varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, exempelvis genom insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring.

5 4. Avtalstid 4.1. Detta avtal gäller tills vidare och från tidpunkten för undertecknande mellan PUA och PUB. 5. Avtalets upphörande 5.1. PUB ska när detta avtal upphör att gälla överlämna personuppgifter på av PUA angivet medium och se till att det inte finns några personuppgifter kvar hos PUB. Vid avtalets upphörande ska PUB omedelbart utplåna personuppgifterna och skriftligen bekräfta för PUA att så skett. PUB har inte rätt att efter avtalets upphörande nyttja hela eller delar av samlingen av personuppgifter. 6. Personuppgiftsansvarig, personuppgiftsbiträde och underbiträde 6.1. Den som bestämmer ändamålen med och medlen för behandling av personuppgifter är enligt personuppgiftslagens definition att betrakta som personuppgiftsansvarig Personuppgiftsbiträde är enligt personuppgiftslagens definition den som åtagit sig att behandla data där personuppgifter ingår åt personuppgiftsansvarig. 6.3 Underbiträde avser den som behandlar personuppgifter för den personuppgiftsansvariges räkning på uppdrag av personuppgiftsbiträdet. Utifrån personuppgiftslagen är underbiträdet att betrakta som personuppgiftsbiträde. Begreppet underbiträde används för att skilja mellan personuppgiftsbiträdet som personuppgiftansvarig delegerat till genom denna överenskommelse, och de underbiträden som personuppgiftbiträde delegerar till. 7. Avtalets syfte och behandlingens syfte och ändamål 7.1. Avtalets syfte är att säkerställa att personuppgifter hanteras lagligt och korrekt i enlighet med Personuppgiftslagen (1998:204) eller annan lagstiftning inom verksamhetsområdet så som lag (1997:736) om färdtjänst med flera Behandlingens syfte och ändamål är: administration av tjänster så som bokning och transport av resenärer i Servicecenter Sörmland vilket innefattar hantering av personuppgifter i boknings- och planeringssystemet, ta fram resandestatistik, kvalitetsuppföljning av resande så som genomförande av resenärsenkäter och marknadsaktiviteter mot kund PUB accepterar att följa personuppgiftslagen och att hålla sig informerad om densamma. 8. Personuppgiftsbiträdets åtagande 8.1. PUB eller den eller de personer som arbetar under dennes ledning får endast behandla personuppgifter i enlighet med de instruktioner som anges i detta avtal eller som från tid till annan lämnas av PUA PB garanterar att personuppgifter som behandlas/mottagits genom avtalet enbart kommer att behandlas enligt syfte och ändamål. Samtliga personer som kommer att ta del av uppgifter från de behandlingar som omfattas av avtalet ska åläggas tystnadsplikt för dessa uppgifter och ha kännedom om personuppgiftslagen, om inte PUA anger annat i sina instruktioner. Tystnadsplikten gäller även efter avtalets upphörande.

6 8.3. PUB ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas för personuppgiftsansvariges räkning. Åtgärderna ska åstadkomma en lämplig säkerhetsnivå enligt vad som närmare anges i 31 personuppgiftslagen. PUB ska följa Datainspektionens allmänna råd gällande säkerhetsåtgärder PUA ger PUB mandat att som huvudbiträde enligt detta avtal och avseende de personuppgifter samt behandlingar av personuppgifter som följer av PUB:s utförande av uppdrag i de fall då underleverantörer används för att utföra uppdraget träffa personuppgiftsunderbiträdesavtal med underleverantörer av nämnda tjänst. Varje personuppgiftsunderbiträde har samma skyldigheter som huvudbiträdet enligt detta avtal. PUB ska för varje personuppgiftsunderbiträdesavtal som träffas lämna PUA uppgift om avtal som träffats med stöd av ovan angivna mandat. Uppgifter ska minst omfatta namn på underleverantör, organisationsnummer, adress och övriga kontaktuppgifter som PUA behöver för att kunna kontakta underleverantören inbegripande namn på kontaktperson, e-postadress samt telefonnummer. 9. Personuppgiftsansvarigs åtagande 9.1. PUA ansvarar för att de uppgifter som behövs för genomförande av uppdraget bokning och transport av resenärer rapporteras och uppgifter uppdateras, så som färdtjänsttillstånd, på det sätt vilket PUB anvisar. 10. Kontrollmöjligheter PUA har rätt att kontrollera att PUB vidtar de åtgärder som avses i punkt 7.2 och behandlar personuppgifter enligt avtalet och gällande lagstiftning. Kontrollen ska utföras på ett sådant sätt att PUB:s verksamhet inte störs Om ett brott mot avtalet sker hos PUB ska detta omedelbart meddelas PUA. 11. Kontaktpersoner Kontaktperson hos PUA utsedd att företräda PUA: Marja Kammouna, socialchef Vuxen- och omsorgsförvaltningen Kontaktperson hos PUB utsedd att företräda PB: Hanna Bergström, Enhetschef Servicecenter, Kommunalförbundet Sörmlands Kollektivtrafikmyndighet

7 12. Underskrift Detta avtal har upprättats i två exemplar varav parterna tagit var sitt. Ort och datum Ort och datum För Gnesta kommun Vuxen- och omsorgsnämnden Personuppgiftsansvarig För Kommunalförbundet Sörmlands Kollektivtrafikmyndighet Ingrid Jerneborg Glimme Namnförtydligande Marja Kammouna