Detta personuppgiftsbiträdesbiträdesavtal Biträdesavtal [ååmmdd] mellan: [**.], reg. no. [**], med addressen [**] (i det följande

Transkript

1 Detta personuppgiftsbiträdesbiträdesavtal Biträdesavtal[ååmmdd] mellan: [**.], reg. no. [**], med addressen [**] (i det följande [**], reg. no. [**],med addressen [**] (i det följande Leverantören samt v 1.1 Beställaren bedriver verksamhet inom [beskriv beställarens verksamhet] för vilken behandling av personuppgifter utgör en naturlig del. 1.2 Leverantören är [beskriv Leverantören och dess verksamhet]. 1.3 Beställaren, (såsom personuppgiftsansvarig) har anlitat Leverantören (såsom personuppgiftsbiträde) att på Beställarens vägnar [beskriv typ av behandling, t ex insamling, bearbetning, lagring] av personuppgifter i syfte att [beskriv syftet med behandlingen, t ex tillhandahålla tjänster för drift och underhåll av system och applikationer] 1.4 Parterna har överenskommit att i detta Biträdesavtal tillämpa följande bestämmelser på den behandling av sådana typer av personuppgifter samt vad som i övrigt framgår avseende behandlingens ändamål, art och varaktighet samt kategorier av registrerade enligt Bilaga 1 till detta Biträdesavtal. 2.1 Samtliga nedanstående begrepp ska ha motsvarande betydelse som i Gällande personuppfitslagstiftning. 2.2 behandling, avser en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring. 2.3 personuppgifter, varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbarfysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

2 2.4 personuppgiftsincident, avser en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats och i övrigt behandlas. Standardvillkor, avser villkor för skydd av personuppgifter överförda till tredje land i enlighet med rådsdirektiv 95/46/EG eller den allmänna dataskyddsförordningen (EU) 2016/679 när denna blir tillämplig. 3.1 Enligt personuppgiftslagen (1998:204) och personuppgiftsförordningen (1998:1191) som bygger på rådsdirektivet (95/46/EG) samt den allmänna dataskyddsförordning (EU) 2016/679 som ersätter dessa sistnämnda rättsak dataskyddslagstiftning den Beställarens räkning regleras genom avtal. 3.2 Detta Biträdesavtal ska tolkas och tillämpas i enlighet med Gällande personuppgiftslagstiftning. Parterna ansvarar var för sig och i samråd med beaktande av senaste utvecklingen, genomförandekostnader och behandlingens art, omfattning, sammanhang och ändamål samt risker vidta lämpliga tekniska och organisatoriska åtgärder utformade för ett inbyggd dataskydd och dataskydd som standard i enlighet med Gällande dataskyddslagstiftning. Åtgärder för inbyggt dataskydd och dataskydd som standard ska genomföras av Parterna i enlighet med instruktionerna i Bilaga Beställaren ansvarar under detta Biträdesavtal särskilt för: a) att behandlingen är tillåten enligt Gällande dataskyddslagstiftning, b) att tillhandahålla Leverantören endast sådana personuppgifter som är nödvändiga för ändamålet med behandlingen, c) att tillhandhålla Leverantören dokumenterade instruktioner och övriga anvisningar avseende ändamålet, omfattningen, arten och varaktighet av behandlingen samt kategorier av registrerade i den utsträckning som är nödvändig för att Leverantören ska kunna uppfylla sina skyldigheter enligt detta Biträdesavtal och Gällande dataskyddslagstiftning, 6.1 Leverantören garanterar att denne besitter nödvändig kapacitet och förmåga att fullgöra sina skyldigheter enligt detta Biträdesavtal och Gällande dataskyddslagstiftning samt att denne

3 löpande vidtar sådana tekniska och organisatoriska åtgärder som är lämpliga för det aktuella ändamålet. 6.2 De personuppgifter som Leverantören får åtkomst till får endast behandlas i syfte att fullgöra de skyldigheter som framgår av Biträdesavtalet, Gällande personuppgiftslagstiftning och andra tvingande lag. Om Leverantören ska behandla personuppgifter för andra ändamål än vad som framgår av Bilaga 1 ska det ske enligt skriftliga instruktioner utfärdade av Beställaren, och anses inkorporporerade i detta Biträdesavtal. 6.3 Vid behandling av personuppgifter enligt detta Biträdesavtal ansvarar Leverantören särskilt för att: a) endast behandla personuppgifter som i enlighet med Beställarens dokumenterade instruktioner, innefattandes från tid till annan gjorda ändringar och tillägg. Har Beställaren lämnat ofullständiga eller felaktiga instruktioner eller om dessa är i strid mot gällande rätt ska Leverantören omgående påtala detta för Beställaren, b) behandlingen av personuppgifter ska utföras inom EU/EES om inget annat särskilt föreskrivs i de instruktioner som avses i punkten a) ovan, c) tillse att endast personal som behöver ha tillgång till personuppgifterna för att fullgöra sina åtaganden har tillgång till dessa, samt att tillse att sådan personal har erforderlig utbildning och i tillräcklig mån har instruerats att hantera personuppgifterna på ett ändamålsenligt sätt, d) behandla personuppgifter med sekretess, med beaktande av offentlighetsprincipen i enlighet lagen om offentlighet och sekretess (2009:400), samt att samtliga personer med behörighet att behandla personuppgifterna hos Leverantören har ingått särskild sekretessförbindelse eller upplysts om att särskild tystnadsplikt föreligger enligt gällande rätt, e) utan oskäligt dröjsmål informera Beställaren om denne kontaktas av behörig tillsynsmyndighet eller annan tredje part i syfte att få tillgång till Beställarens personuppgifter som Leverantören, eller i förekommande fall Underbiträdet, har tillgång till, f) utan oskäligt dröjsmål, dock senast inom [två (2) timmar], underrätta Beställaren om förekomsten av en inträffad personuppgiftsincident, såvida inte Leverantören kan visa på att personuppgiftsincidenten inte medför risk för att den registrerade personens rättigheter och friheter kränks. En sådan underrättelse ska innehålla all nödvändig och tillgänglig information som Beställaren behöver för att kunna vidta lämpliga förebyggande- och motåtgärder samt uppfylla sina skydligheter avseende anmälan av personuppgiftsincidenter till behörig tillsynsmyndighet, g) att bistå Beställaren att fullgöra sina skyldigheter enligt Gällande dataskyddslagstiftning, särskilt vad gäller utförandet av konsekvensbedömningar avseende dataskydd och förhandssamråd samt medverka till utredning av inträffade personuppgiftsincidenter med behöriga tillsynsmyndigheter,

4 h) att upprätthålla ett register över all personuppgiftsbehandling som sker på uppdrag av Beställaren, samt att på Beställarens eller behörig tillsynsmyndighets uttryckliga begäran överlämna ett läsbart registerutdrag, i) skriftligen och i förväg informera Beställaren om planerade förändringar av behandlingsförfarandet, däribland tekniska och organisatioriska förändringar som direkt eller indirekt kan påverka skyddet av personuppgifterna och Leverantörens efterlevnad av Gällande personuppgiftslagstiftning, j) vid avslutad behandling återlämna och därefter radera personuppgifterna från sådana system som använts vid behandlingen, såvida inte ett sådant förfarande är oförenligt med gällande rätt. 7.1 Leverantören får inte utan Beställarens i förhand skriftliga samtycke överföra eller på annat sätt överlåta behandlingen av personuppgifterna till ett annat personuppgiftsbiträde alltid på Leverantörens egen risk och medför inga ändringar i den ansvarsfördelning som gäller mellan Parterna i detta Biträdesavtal. 7.2 Har Leverantören ansökt om att få överlåta behandlingen av personuppgifter till ett Underbiträde och beviljats detta enligt punkten 7.1 ska Leverantören med lämpliga åtgärder säkerställa att Underbiträdet uppfyller alla tillämpliga bestämmelser om skydd för personuppgifter samt i väsentliga delar uppfyller de skyldigheter som regleras i detta Biträdesavtal. 7.3 Beställaren kan efter eget val ge ett allmänt skriftligt godkännande för Leverantören att anlita ett Underbiträde för viss typ av personupgiftsbehandling inom ramen för Biträdesavtalet. Om ett sådant allmänt godkännade har lämnats ska Leverantören informera Beställaren om sina avsikter att använda eller byta ut ett Underbiträde i god tid så att Beställaren har möjlighet ett göra invändningar mot en sådan förändring. Sådan invändning medför hinder för Leverantören att genomföra föreslagna förändringar. 7.4 Har Underbiträdet sin hemvist i ett land utanför EU/EES ska Leverantören säkerställa att Underbiträdet kan tillgodose en lämplig skyddsnivå för personuppgiftsbehandlingen genom att ingå ett särskilt personuppgiftbiträdesavtal med Underbiträdet enligt Standardvillkor eller motsvarande. Leverantören ska kunna visa att de skyldigheter som fastställts enligt avsnitt 4, 6 och 7 är uppfyllda, samt möjliggöra och bidra till granskningar, inbegripet inspektioner, som får genomföras av Beställaren eller av en oberoende tredje part som utsetts av denne. Leverantören har därför en skylighet att på Beställarens begäran, eller av en oberoende tredje part som utsetts av denne, ge tillgång till sådana upplysningar och handlingar som är nödvändiga för att Beställaren ska kunna utöva effektiv kontroll av Leverantörens åtgärder enligt föregående stycke.

5 [Leverantören förbinder sig att inte sprida information till utomstående avseende sådan behandling av personuppgifter som omfattas av detta Biträdesavtal eller annan information som Leverantören mottagit i egenskap av peronuppgiftsbiträde till Beställaren. Vad som sägs ovan gäller inte i om Leverantören är ålagd av behörig myndighet eller domstol att utlämna informationen i fråga.] 10.1 [Har en registrerad person riktat anspråk mot Beställaren på ersättning för skada eller om en behörig myndighet utfärdar administrativa avgifter med anledning av personuppgiftsbehandling i strid med detta Biträdesavtal, inklusive Beställarens instruktioner, eller Gällande personuppgiftslagstiftning ska Leverantören hålla Beställaren skadeslös motsvarande dennes (eller dess Underbiträdes) ansvar för överträdelsen och andra direkta kostnader till följd av personuppgiftsbehandlingen.] 10.2 [Beställaren ska ersätta Leverantören för sådana anspråk på ersättning från registrerad person eller administrativa avgifter utfärdad av en behörig myndighet till följd av Beställarens underlåtenhet att tillförsäkra en laglig behandling, Beställarens bristfälliga instruktioner, eller andra uttryckliga skyldigheter enligt detta Biträdesavtal.] 10.3 [Part som får anspråk på ersättning eller administrativa avgifter riktat mot sig enligt 10.1 och 10.2 till följd av den andre Partens avtalsbrott eller överträdelse av Gällande personuppgiftslagstiftning ska utan oskäligt dröjsmål informera den andra Parten därom. Båda Parter är skyldiga att vidta skäliga åtgärder för att begränsa skadeverkningarna av det inträffade.] Detta Biträdesavtal ska tolkas och tillampas i enlighet med svensk rätt. Detta Biträdesavtal gäller från dess undertecknande och tills Leverantörens behandling av de aktuella personuppgifterna upphör, vilket ska anses vara fallet först när Leverantören raderat personuppgifterna i enlighet med avsnitt 6.3 (j). ***

6 Detta Biträdesavtal har upprättats i två (2) exemplar och vardera parten har tagit var sitt. [Beställare] [Leverantör] [Namn, titel] Ort: Datum: [Namn, titel] Ort: Datum:

7 BILAGA 1 BESTÄLLARENS INSTRUKTIONER Ändamål Ange ändamålet med behandlingen: Typ av behandling Ange typ av behandling: Typ av personuppgifter Ange typen av personuppgifter: Kategori Ange kategori av personuppgifter: Plats för behandlingen Ange den fysiska platsen där behandlingen genomförs :

8 Varaktighet Ange behandlingens varaktighet: Fr o m: åå/mm/dd T o m: åå/mm/dd Underbiträde I förekommande fall, ange namn och kontaktuppgifter på Underbiträde: Överföring till tredje land I förekommande fall, ange om personuppgifterna överförts, direkt eller indirekt, till land/stat utanför EU/EES.

9 BILAGA 2 INBYGGT DATASKYDD Beställare och Leverantör har vidtagit följande tekniska och organisatoriska åtgärder för inbygt dataskydd: [Beskriv de åtgärder som vidtagits, i vilket syfte och till vilken avsed effekt]