BILAGA Personuppgiftsbiträdesavtal Till mellan Beställaren och Leverantören (nedan kallad Personuppgiftsbiträdet) ingånget Avtal om IT-produkter och IT-tjänster bifogas härmed följande Bilaga Personuppgiftsbiträdesavtal. Denna Bilaga har upprättats i två (2) likalydande exemplar, av vilka parterna tagit var sitt. Huddinge, datum Ort Datum Huddinge kommun Enhet Leverantören Personuppgiftsansvarige Personuppgiftsbiträdet _ Namnförtydligande Namnförtydligande _
INNEHÅLL 1. Bakgrund och syfte 2. Särskilda definitioner 3. Personuppgiftsbiträdets åtaganden 4. Sekretess 5. Ersättning 6. Ansvar gentemot tredje man 7. Personuppgiftsbiträdesavtalets giltighetstid 8. Ändringar i Personuppgiftsbiträdesavtalet 1. BAKGRUND OCH SYFTE 1.1 Personuppgiftslagen (1998:204) (personuppgiftslagen) ställer krav på skriftligt avtal när personuppgiftsbiträden ska behandla personuppgifter för en personuppgiftsansvarigs räkning. Personuppgiftsbiträdet ska för Beställarens räkning utföra hemtjänst- och administrationstjänster och kommer som en del av detta uppdrag att för Beställarens räkning behandla personuppgifter. Skyddet för behandlade individers personliga integritet är av stor etisk betydelse för Beställaren och för Beställarens verksamhet. Syftet med detta Personuppgiftsbiträdesavtal är att tillse att Personuppgiftsbiträdet behandlar personuppgifterna i enlighet med Beställarens anvisningar och i enlighet med tillämplig lag, föreskrifter och branschnormer. 2. SÄRSKILDA DEFINITIONER 2.1 Nedanstående begrepp som förekommer i denna Bilaga ska ha nedan angiven innebörd och ska tolkas i enlighet med personuppgiftslagen. Med "personuppgifter" avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet och som behandlas för Beställarens räkning. Med registrerad avses den som en personuppgift avser. Med behandling avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Med integritetskänsliga personuppgifter avses personuppgifter som exempelvis omfattas av sekretess, rör en registrerads personliga sfär eller som på annat sätt värderar den registrerades sociala, ekonomiska eller liknande förhållanden. Med känsliga personuppgifter avses personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. 3. PERSONUPPGIFTSBITRÄDETS ÅTAGANDEN 3.1 Personuppgiftsbiträdet accepterar att följa personuppgiftslagen, andra tillämpliga föreskrifter och branschnormer. 3.2 Personuppgiftsbiträdet och den eller de personer som arbetar under dennes ledning får bara behandla personuppgifter i enlighet med Bilaga Säkerhetsavtal eller instruktioner som från tid till annan lämnas av Beställaren. Om Personuppgiftsbiträdet saknar instruktioner som denne bedömer är nödvändiga för att genomföra uppdrag som erhållits från Beställaren, ska Personupp- 2(5)
giftsbiträdet utan dröjsmål informera Beställaren om detta och invänta de instruktioner som Beställaren bedömer erfordras. 3.3 För det fall att registrerad, tillsynsmyndighet eller annan tredje man begär information från Personuppgiftsbiträdet som rör behandling av personuppgifter ska Personuppgiftsbiträdet hänvisa till Beställaren. Av punkten 3.2 ovan och avsnitt 4. nedan följer bland annat att Personuppgiftsbiträdet inte får lämna ut personuppgifter eller annan information om behandlingen av personuppgifter utan uttrycklig instruktion från Beställaren. 3.4 Personuppgiftsbiträdet ska utan dröjsmål informera Beställaren om eventuella kontakter från tillsynsmyndighet som rör eller kan vara av betydelse för behandling av personuppgifter. Personuppgiftsbiträdet har inte rätt att företräda Beställaren eller på annat sätt agera för Beställarens räkning gentemot tillsynsmyndigheten. 3.5 Punkten 3.2 ovan innebär att Personuppgiftsbiträdet endast får samla in personuppgifter i enlighet med instruktioner utfärdade av Beställaren. Om inte annat skriftligen angivits av Beställaren ska Personuppgiftsbiträdet vid sådant insamlande särskilt se till att erforderliga samtycken inhämtas av de registrerade och att de erhåller information i enlighet med personuppgiftslagen. På begäran från Beställaren ska Personuppgiftsbiträdet utan dröjsmål överlämna såväl inhämtade samtycken som de uppgifter Beställaren behöver för att kunna visa att de registrerade erhållit ovan angiven information. 3.6 Personuppgiftsbiträdet ska vidta de tekniska och organisatoriska åtgärder som erfordras enligt personuppgiftslagen för att skydda de personuppgifter som behandlas mot obehörig åtkomst, förstörelse och ändring. Personuppgiftsbiträdet ska därvid särskilt iaktta Datainspektionens allmänna råd Säkerhet för personuppgifter eller andra föreskrifter som ersätter de förutnämnda. 3.7 Personuppgifter från Beställaren ska lagras så att de hålls åtskilda från andra kunders eller registrerades personuppgifter. Personuppgifter som enligt Avtalet får behandlas utanför Sverige ska bearbetas och vara lagrad på server som är placerad inom medlemsstat inom Europeiska Unionen (EU). 3.8 Beställaren äger sina personuppgifter oinskränkt. Ägandet omfattar all personuppgifter som exporteras och laddas upp hos Personuppgiftsbiträdet samt resultatet av personuppgiftsbiträdets behandling av personuppgifter enligt Avtalet. Beställarens personuppgifter består även av metadata och loggar. 3.9 Tillgång till och utlämnande av ingående personuppgifter beslutas av Beställaren. Personuppgifter får inte användas av personuppgiftsbiträdet för andra ändamål än vad som avtalats eller annars följer av Avtalet. När Avtalet helt eller delvis upphört eller berört avtalat uppdrag eller annat Personuppgiftsbiträdets åtagande avslutats, ska Personuppgiftsbiträdet tillse att all därav berörd personuppgifter återbördas till Beställaren i ett för denne läsbart och användbart format vid den tidpunkt detta blir aktuellt. 3.10 Återmigrering av information/data ska ske på av Beställaren angivet medium enligt Riksarkivets fastställda format i RA-FS 2009:1 och 2009:2 eller senare angivna föreskrifter som ersätter dessa. Personuppgiftsbiträdet ska säkerställa att detta kan ske och bistå Beställaren eller av denne anvisad annan part med detta. Personuppgiftsbiträdet ska ha sådana säkerhetsrutiner som minst motsvarar de krav som finns i etablerade standarder på området, såsom ISO 27000- serien. 3.11 Personuppgifter som inte återgår till Beställaren ska förstöras eller anonymiseras när de inte längre behövs för Avtalet. Personuppgiftsbiträdet ska se till att det inte finns några sådana personuppgifter kvar hos Personuppgiftsbiträdet efter det att dennes uppdrag eller åtagande avslutats eller efter det att Avtalet upphört. 3(5)
3.12 Personuppgiftsbiträdet ansvarar fullt ut för att denne har samtliga rättigheter som krävs för dennes ingående och fullgörande av Avtalet. Således ska Personuppgiftsbiträdet bland annat tillse att denne innehar de immateriella rättigheter som krävs och tillse att dennes fullgörande av åtagandena inte utgör intrång i tredje mans rätt. 3.13 Personuppgiftsbiträdet ska medge att revision kan ske av Beställaren eller av denne anlitad extern part avseende de personuppgifter som Personuppgiftsbiträdet behandlar för Beställarens räkning. Detta omfattar även revision av den behörighetsadministration, säkerhetsrutiner, loggar och spårbarhet för behandlingen av Beställarens personuppgifter som Personuppgiftsbiträdet ska ha enligt Avtalet. Personuppgiftsbiträdet ska lämna Beställaren det tillträde och den assistans som är nödvändig för genomförandet av sådan revision. 3.14 Beställaren har rätt att i skälig omfattning utreda obehörig åtkomst hos Personuppgiftsbiträdet och ska ersätta Personuppgiftsbiträdet för dennes skäliga kostnader till följd av utredningen. 3.15 Personuppgiftsbiträdet ska vid anlitande av underleverantörer tillse att dennes avtal med underleverantörerna regleras så att dessa blir bundna av detta Personuppgiftsbiträdesavtal och de i avtalet angivna kraven. De anlitade underleverantörerna ska vid var tid vara kända av Personuppgiftsbiträdet och vid anmodan från Beställaren redovisas till denne. Beställaren eller av denne anlitad extern part har rätt till skälig assistans från Personuppgiftsbiträdet vid kontroll eller revision av Personuppgiftsbiträdets eller dennes underleverantörers behandling och bearbetning av Beställarens information/data. 4. SEKRETESS 4.1 I stället för vad som anges i Avtalet om sekretess gäller vid behandling av personuppgift följande. 4.2 Personuppgiftsbiträdet förbinder sig att inte till tredje man lämna ut eller eljest röja information om behandling av personuppgifter som omfattas av Avtalet, eller annan information som Personuppgiftsbiträdet erhållit till följd av Avtalet. Personuppgiftsbiträdet åtar sig vidare att inte utnyttja personuppgifterna för annat ändamål än som följer av Avtalet. 4.3 Åtagandet i punkten 4.2 första meningen gäller inte a) information som part kan visa var allmänt känd vid tidpunkt för mottagandet, eller b) information som part föreläggs utge till myndighet. Sekretessåtagandet gäller även efter att Avtalet i övrigt upphört att gälla. 5. ERSÄTTNING 5.1 Personuppgiftsbiträde har inte rätt till särskild ersättning för behandling av personuppgifter enligt Avtalet, om inte Parterna avtalat om annat. 6. ANSVAR GENTEMOT TREDJE MAN 6.1 För den händelse registrerad, eller annan tredje man riktar krav mot Beställaren på grund av Personuppgiftsbiträdets eller dess underleverantörs behandling av personuppgifter ska Personuppgiftsbiträdet hålla Beställaren skadeslös för sådana krav som följer av att Personuppgiftsbiträdet inte efterföljt Avtalet eller de krav som följer av Avtalet. 4(5)
7. PERSONUPPGIFTSBITRÄDESAVTALETS GILTIGHETSTID 7.1 Detta Personuppgiftsbiträdesavtal gäller, även om Avtalet i övriga delar har upphört, från dess undertecknande och så länge som Personuppgiftsbiträdet behandlar personuppgifter som omfattas eller omfattats av Avtalet. 8. ÄNDRINGAR I PERSONUPPGIFTSBITRÄDESAVTALET 8.1 Beställaren får i den mån så erfordras för att krav som följer av personuppgiftslagen ska kunna tillgodoses, ändra innehållet i detta Personuppgiftsbiträdesavtal. Sådan ändring träder ikraft senast trettio (30) dagar efter att Beställaren översänt ändringsmeddelande till Personuppgiftsbiträdet. För det fall Personuppgiftsbiträdet inte accepterar sådan ändring, äger Beställaren rätt att omedelbart skriftligen säga upp samtliga avtal eller delar därav med Personuppgiftsbiträdet som innebär att Personuppgiftsbiträdet ska behandla personuppgifter. Övriga ändringar av och tillägg till avtalet ska för att vara bindande upprättas skriftligen och vara behörigen undertecknade av parterna. 5(5)