Bilaga 13 Diarienr (åberopas vid korrespondens) Bilaga 13 Verksamhetsskyddsavtal
INNEHÅLLSFÖRTECKNING 1 PARTER... 3 2 AVTALETS OMFATTNING... 3 3 SÄKERHETSORGANISATION... 3 4 AVTALSTID... 3 5 KOSTNADER... 4 6 VERKSAMHETSSKYDDSÅTGÄRDER... 4 7 BEHÖRIGHET... 4 8 INFORMATIONSSÄKERHET... 4 9 TILLTRÄDESBEGRÄNSNING... 5 10 SÄKERHETSPRÖVNING... 5 11 INTERN UTBILDNING OCH KONTROLL... 6 12 TILLSYN... 6 13 ÖVRIGT... 6 14 UNDERSKRIFTER... 7 Digital arkivtjänst Sida 2(7)
1 PARTER Mellan Rikspolisstyrelsen ( Beställaren ) med organisationsnummer 202100-0076 och företaget med organisationsnummer org. nr. och säte box/gata, postnummer postadress ( Leverantören ) har följande verksamhetsskyddsavtal, nivå 3 slutits. I Polisens organisation ingår förutom Rikspolisstyrelsen (RPS), Statens kriminaltekniska laboratorium (SKL) och 21 polismyndigheter. I avtalet benämns därför hela gruppen som Polisen. 2 Avtalets omfattning Uppdraget innebär att Leverantören på grund av sin närvaro i RPS lokaler eller av RPS anvisade områden eller företag kan komma att få del av sekretessbelagda uppgifter. Detta avtal reglerar vad verksamhetsskyddet skall förebygga: a) att sekretessbelagda uppgifter obehörigen röjs, ändras, görs otillgängliga för behöriga eller förstörs (informationssäkerhet), b) att obehöriga får tillgång till sekretessbelagda uppgifter eller verksamhet som har betydelse för Polisens arbete med att förebygga och bekämpa brott (tillträdesbegränsning), och c) att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för genomförandet av Polisens verksamhet (säkerhetsprövning). Andra verksamhetsskyddsåtgärder är utbildning och kontroll. Detta avtal avser verksamhetsskydd för uppgifter som på RPS omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400). En sekretessbelagd uppgift kan framgå av en handling, ett visst förhållande, en anläggning eller föremål av olika slag. Sekretess kan, om Leverantören så begär och i den utsträckning 31 kap 16 offentlighets- och sekretesslagen (2009:400) medger, gälla hos RPS för uppgifter som överlämnas till RPS (t.ex. företagshemligheter). Verksamhetsskyddsavtalet utgör en del av ett affärsavtal med Leverantören om Uppdraget. 3 Säkerhetsorganisation Det ska finnas en säkerhetschef på Leverantören. Säkerhetschefen ska i Uppdragets verksamhetsskyddsfrågor vara direkt underställd Leverantörens ledning. Säkerhetschefen leder säkerhetsverksamheten inom Leverantören och är kontaktperson i säkerhetsfrågor gentemot RPS. Hos Leverantören ska det även finnas en systemsäkerhetsansvarig för ITsystem som är avsedda för behandling av sekretessbelagda uppgifter. 4 Avtalstid Detta avtal träder i kraft vid undertecknandet och gäller tills vidare eller intill det skriftligen sägs upp av endera parten. Avtalet kan dock inte ensidigt sägas upp till tidigare tidpunkt än den dag då uppdraget som omfattas av detta avtal slutförts. RPS kan dock ensidigt häva avtalet om Leverantören frångår detta avtal eller dess anda. Digital arkivtjänst Sida 3(7)
5 Kostnader De ekonomiska villkoren avseende Uppdraget regleras i affärsavtalet mellan parterna. Om inget annat avtalats i det särskilda affärsavtalet skall eventuella kostnader som uppkommer med anledning av detta verksamhetsskyddsavtal bäras av Leverantören. 6 Verksamhetsskyddsåtgärder Leverantören ska upprätta en säkerhetsinstruktion när ett verksamhetsskyddsavtal har träffats. Eventuella förändringar eller tillägg i säkerhetsinstruktionen ska godkännas av RPS. Leverantören ska dokumentera de verksamhetsskyddsåtgärder som har vidtagits i Uppdraget. 7 Behörighet För genomförandet av uppdraget får Leverantören endast använda personal eller underleverantör som efter säkerhetsprövning godkänts av RPS. Behöriga att ta del av sekretessbelagda uppgifter är endast personer som - Bedöms pålitliga från säkerhetssynpunkt - Har tillräckliga kunskaper om verksamhetsskydd - Behöver uppgifterna för sitt uppdrag eller arbete i den verksamhet där de sekretessbelagda uppgifterna förekommer. RPS ställningstagande när det gäller Leverantörens personal grundas på den av Leverantören vidtagna säkerhetsprövning enligt punkt 10. De personer som får anlitas skall av Leverantören informeras om att tystnadsplikt gäller och om innebörden av detta. De skall också underteckna ett sekretessbevis. 8 Informationssäkerhet RPS ska klargöra för Leverantören i vilken utsträckning handlingar med mera som Leverantören tar del av innehåller sekretessbelagda uppgifter. Om sekretessbelagda uppgifter uppkommer under Uppdragets utförande hos Leverantören, ska Leverantören vidta de verksamhetsskyddsåtgärder som är nödvändiga. Leverantören ska utan dröjsmål meddela RPS om sekretessbelagda uppgifter har uppkommit samt vilka verksamhetsskyddsåtgärder som har vidtagits. Leverantören får endast hantera och förvara sekretessbelagda uppgifter i av RPS anvisade och godkända utrymmen. Sekretessbelagda uppgifter får inte utan uttryckligt medgivande från RPS medföras från RPS eller från av RPS anvisade områden eller lokaler. Sekretessbelagda uppgifter får endast hanteras i IT-system som har godkänts för sådan hantering av RPS. Beträffande sekretessbelagda uppgifter i IT-miljö gäller för Uppdraget bestämmelserna i RPS IT-säkerhetsbestämmelser. Leverantören bör klargöra för RPS i vilken utsträckning uppgifter avseende affärs- eller driftsförhållanden som överlämnas till RPS bedöms vara sekretessbelagda, samt varför Leverantören kan komma att lida skada om dessa röjs (enligt offentlighets- och sekretesslagen [2009:400]). Leverantören är dock medvetet om att RPS ändå kan vara skyldig att lämna ut sådana uppgifter. Digital arkivtjänst Sida 4(7)
Leverantören får inte utan RPS tillstånd lämna uppgifter till massmedia som rör Uppdraget och som enligt RPS innehåller sekretessbelagd uppgift. Detsamma gäller för publicering i broschyrer, tidskrifter, böcker, filmer etc., samt vid föredrag, utställningar och förevisningar dit personer som inte är behöriga (punkt 7) har tillträde. Leverantören får inte utan RPS tillstånd offentliggöra att det träffat ett verksamhetsskyddsavtal. Denna information får därmed inte användas i marknadsföring eller på annat sätt. 9 Tillträdesbegränsning RPSs bestämmelser om tillträdesbegränsning gäller för Leverantörens personal som ska delta i Uppdraget. Leverantören får inte utan RPS godkännande byta eller använda andra lokaler, områden eller motsvarande för Uppdragets genomförande. Endast behöriga personer som har godkänts av RPS får ha tillträde till de lokaler, områden eller motsvarande där Uppdraget genomförs. Det åligger Leverantörens personal att följa RPS tillträdesbestämmelser. 10 Säkerhetsprövning Innan en person får del av sekretessbelagda uppgifter ska Leverantören genom säkerhetsprövning pröva vederbörandes lojalitet och pålitlighet från säkerhetssynpunkt. Säkerhetsprövningen ska omfatta varje person som får del av sekretessbelagda uppgifter. Säkerhetsprövningen ska omfatta en personbedömning, inhämtande av betyg, intyg och referenser samt kontroll i Polisens register (normalt Belastningsregistret). Säkerhetsprövningen ska dokumenteras av Leverantören och på begäran lämnas till RPS. Tillsammans med uppgifter som har framkommit vid registerkontroll utgör säkerhetsprövningen underlag för RPS beslut om att personen får anlitas. Leverantören får inte anlita personen innan Leverantören har fått del av RPS beslut. Innan en ansökan om registerkontroll skickas till RPS ska Leverantören särskilt informera den person som ska bli föremål för registerkontroll om vad kontrollen innebär. Leverantören ska i samband med detta också inhämta personens samtycke till kontrollen. Samtycket ska dokumenteras och förvaras hos Leverantören. Leverantören skall avvakta med att anlita registerkontrollerad person intill dess Leverantören delgivits RPS beslut efter verkställd registerkontroll. Leverantören ska utan dröjsmål anmäla till RPS om en registerkontrollerad person på Leverantören lämnar Uppdraget. Leverantören ska till RPS anmäla omständigheter som kan vara av betydelse för bedömningen av en persons lämplighet och pålitlighet. Om en person som har säkerhetsprövats inom ramen för detta verksamhetsskyddsavtal under Uppdragets genomförande befinns olämplig från säkerhetssynpunkt, ska Leverantören vidta de åtgärder som är lämpliga för att vederbörande inte ska få tillgång till sekretessbelagda upp- Digital arkivtjänst Sida 5(7)
gifter eller tillträde till lokaler, områden eller motsvarande där säkerhetskänslig verksamhet bedrivs. 11 Intern utbildning och kontroll RPS ska innan Uppdraget påbörjas ge lämplig utbildning i verksamhetsskyddsfrågor till de personer på Leverantören som kan komma att få del av sekretessbelagda uppgifter eller tillträde till lokaler, områden eller motsvarande där säkerhetskänslig verksamhet bedrivs. Därefter ansvarar Leverantören för att dessa personer ges behövlig och fortlöpande utbildning. Utbildningen ska bland annat behandla: - Hot och risker som från säkerhetssynpunkt föreligger mot eller är förknippade med Uppdraget - Verksamhetsskyddsåtgärder som enligt Leverantörens säkerhetsinstruktion alternativt RPS bestämmelser ska vidtas mot föreliggande hot och risker. RPS kan vid behov och efter särskild framställan medverka i viss utbildning som Leverantören ger. Leverantören ska fortlöpande kontrollera att endast behöriga personer som har godkänts av RPS anlitas och att verksamhetsskyddet avseende informationssäkerhet och tillträdesbegränsning iakttas, samt att skyddsnivån är jämn och tillräckligt hög. Leverantören ska omedelbart underrätta RPS om inträffade eller befarade händelser och omständigheter som kan påverka verksamhetsskyddet vad avser Uppdraget och personer som faller under detta avtal. 12 Tillsyn RPS har rätt att kontrollera att de i säkerhetsinstruktionen alternativt RPS bestämmelser redovisade och avtalade säkerhetsbestämmelserna följs. Vid sådan tillsyn kan RPS biträdas av en representant från Säkerhetspolisen. Tillsynen ska ske under Leverantörens ordinarie kontorstid eller på plats och tid enligt särskild överenskommelse. Tillsynen får inte vara mer ingripande för Leverantören än vad som är nödvändigt. 13 Övrigt Sekretessbelagda uppgifter som har tillförts eller uppkommit under Uppdragets genomförande ska även efter att avtalet har upphört, eller till dess att RPS meddelar något annat, omfattas av tystnadsplikt. Leverantören ska informera berörd personal om innebörden av tystnadsplikten verksamhetsskyddet samt se till att personalen undertecknar sekretessförbindelser. Dessa förvaras hos Leverantören så länge Uppdraget pågår. När Uppdraget är slutfört lämnas sekretessförbindelserna till RPS. Leverantören ska utan dröjsmål anmäla till RPS när någon förändring sker beträffande firma, organisationsnummer, styrelse, verkställande direktör, revisor, post- och besöksadress eller telefonnummer. Avser ändringen firma, organisationsnummer, styrelse, verkställande direktör eller revisor ska ett nytt registreringsbevis bifogas anmälan. En anmälan ska också göras om ägarförhållandena ändras, om Leverantören råkar i ekonomiska svårigheter eller försätts i konkurs. Digital arkivtjänst Sida 6(7)
Samtliga handlingar, materiel eller övrigt som innehåller sekretessbelagda uppgifter och som har anknytning till Uppdraget är RPS egendom om inget annat har avtalats. Dessa handlingar eller dylikt ska senast i samband med fullgjort Uppdrag återlämnas till RPS eller vid den tidpunkt som parterna särskilt har kommit överens om. 14 Underskrifter Av detta avtal är två likalydande exemplar upprättade varav parterna tagit var sitt. Stockholm 2012 - - 2012 - - Rikspolisstyrelsen Leverantören AB............................................. Digital arkivtjänst Sida 7(7)