DETTA PERSONUPPGIFTSBITRÄDESAVTAL ( Personuppgiftsbiträdesavtalet ) är dag som nedan träffat mellan: (1) Lomma kommun, organisationsnummer 212000-1066 ( Kommunen ); och (2) [ ], organisationsnummer [ ] ( Personuppgiftsbiträdet ). Bakgrund Definitioner Kommunen och Personuppgiftsbiträdet benämns nedan var för sig Part eller gemensamt Parterna. Parterna har efter genomförd upphandling ingått ett avtal avseende [hemtjänst i ordinärt boende/särskilt boende] enligt Socialtjänstlag (2001:453) ( Avtalet ), vid fullgörande av vilket Personuppgiftsbiträdet kommer att Behandla (se definition nedan) Personuppgifter (se definition nedan) för Kommunens räkning. Personuppgiftsbiträdesavtalet har till syfte att uppfylla personuppgiftslagens (1998:204) ( PUL ) krav på skriftligt avtal mellan Personuppgiftsansvarig (se definition nedan) och Personuppgiftsbiträde (se definition nedan) angående sådant biträdes Behandling av Personuppgifter för den Personuppgiftsansvariges räkning. I Personuppgiftsbiträdesavtalet används de definitioner som återfinns i 3 PUL, vilket bl.a. innebär att: a) Behandla / Behandling betyder varje åtgärd eller serie av åtgärder som vidtas i fråga om Personuppgifter, vare sig det sker på automatisk väg eller inte, såsom men inte endast insamling, registrering, lagring eller överföring. b) Personuppgifter betyder all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. c) Personuppgiftsansvarig betyder den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för Behandlingen av Personuppgifter. d) Personuppgiftsbiträde betyder den som Behandlar Personuppgifter för den Personuppgiftsansvariges räkning. e) Registrerad betyder den vars Personuppgifter Behandlas. 1
Personuppgiftsansvar och instruktion Kommunen har såsom Personuppgiftsansvarig ansvar för att all Behandling av Personuppgifter sker i enlighet med PUL. Kommunen ger Personuppgiftsbiträdet i uppdrag att Behandla de typer av Personuppgifter som anges i Bilaga 1 ( Personuppgifterna ) för de ändamål och i enlighet med de instruktioner som anges i nämnda bilaga eller som från tid till annan lämnas av Kommunen. Personuppgiftsbiträdet får således inte Behandla Personuppgifterna på annat sätt, för andra ändamål eller enligt andra instruktioner än vad som följer av bilaga 1 eller som på annat sätt lämnas av Kommunen. Personuppgiftsbiträdets åtaganden Personuppgiftsbiträdet åtar sig att tillse att all Behandling av Personuppgifterna sker i enlighet med PUL och andra vid var tid tillämpliga svenska författningar och i enlighet med Datainspektionens föreskrifter. Personuppgiftsbiträdet åtar sig att löpande hålla sig informerat om innehållet i PUL och andra vid var tid tillämpliga författningar, råd och branschöverenskommelser avseende Behandling av Personuppgifter. Personuppgiftsbiträdet åtar sig att endast Behandla Personuppgifter i enlighet med vad som följer av punkten 3 ovan. Om Personuppgiftsbiträdet saknar instruktioner som Personuppgiftsbiträdet bedömer nödvändiga för att fullgöra sina åtaganden enligt Personuppgiftsbiträdesavtalet eller Avtalet ska Personuppgiftsbiträdet utan dröjsmål informera Kommunen om detta och inhämta nödvändiga instruktioner från Kommunen. Personuppgiftsbiträdet åtar sig att begränsa behörigheten för sin personal att få åtkomst till Personuppgifterna i så stor utsträckning som är möjligt för att Personuppgiftsbiträdet fortfarande ska kunna utföra sitt uppdrag enligt Personuppgiftsbiträdesavtalet och enligt Avtalet. Personuppgiftsbiträdet åtar sig att tillse att berörd personal följer Personuppgiftsbiträdesavtalet och övriga instruktioner som ges av Kommunen, samt att de hålls informerade om innehållet i PUL och andra vid var tid tillämpliga författningar. Utöver vad som följer av fjärde stycket i denna punkt ska Personuppgiftsbiträdet företa säkerhetsåtgärder som avses i 31 PUL, vilket innebär att Personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda Personuppgifterna mot obehörig åtkomst, förstörelse eller ändring, till en nivå som är lämplig med hänsyn till hur känsliga Personuppgifterna är, särskilda risker som finns och befintliga tekniska möjligheter. Personuppgiftsbiträdet ska tillse att det finns tekniska och praktiska förutsättningar att utreda misstankar om att någon hos endera Part har haft obehörig åtkomst till Personuppgifterna. Personuppgiftsbiträdet ska omgående underrätta Kommunen vid upptäckt av fullbordande fall eller försök till obehörig åtkomst, förstörelse eller ändring av Personuppgifterna. 2
För det fall den Registrerade, Datainspektionen eller annan tredje part begär information från Personuppgiftsbiträdet som rör Behandling av Personuppgifterna, ska Personuppgiftsbiträdet hänvisa till Kommunen. Personuppgiftsbiträdet får inte till annan än Kommunen lämna ut information om Behandling av Personuppgifterna utan skriftlig instruktion från Kommunen, såvida sådant utlämnande inte är en följd av skyldighet enligt lag. Personuppgiftsbiträdet ska utan dröjsmål informera Kommunen om eventuella kontakter med Datainspektionen, vilka rör eller kan vara av betydelse för Behandling av Personuppgifterna. Personuppgiftsbiträdet har inte rätt att företräda Kommunen eller agera för Kommunens räkning gentemot Datainspektionen. Personuppgiftsbiträdet ska, efter att ha inhämtat Kommunens samtycke, tillåta eventuella inspektioner som Datainspektionen kräver avseende Personuppgiftsbiträdets Behandling av Personuppgifterna. Den Registrerade har rätt att begära registerutdrag eller kräva rättelse, blockering eller utplåning av dennes Personuppgifter som Behandlas av Personuppgiftsbiträdet. Personuppgiftsbiträdet är skyldigt att bistå Kommunen i sådan omfattning att denna rätt kan säkerställas. Kommunen har rätt att själv eller genom annan kontrollera att Personuppgiftsbiträdet Behandlar Personuppgifterna i enlighet med och vidtar de säkerhetsåtgärder som följer av Personuppgiftsbiträdesavtalet eller av andra instruktioner lämnade av Kommunen. Personuppgiftsbiträdet har en skyldighet att utan oskäligt dröjsmål rätta sådana brister i Behandlingen som upptäcks vid kontroller eller inspektioner. Anlitande av underbiträde Personuppgiftsbiträdet har inte rätt att utan Kommunens skriftliga medgivande anlita underleverantör för uppfyllandet av sina åtaganden enligt Personuppgiftsbiträdesavtalet ( Underbiträde ). Utses ett Underbiträde ska Personuppgiftsbiträdet med Underbiträdet ingå ett skriftligt avtal varigenom (i) motsvarande villkor som gäller för Personuppgiftsbiträdets Behandling av Personuppgifter enligt Personuppgiftsbiträdesavtalet även gäller för Underbiträdets Behandling av Personuppgifterna: och (ii) Underbiträdet har samma skyldigheter som Personuppgiftsbiträdet har gentemot Kommunen. Utses ett Underbiträde i ett tredje land, d.v.s. utanför EU/EES, ska avtal tecknas med sådant Underbiträde i enlighet med Kommissionens beslut (2010/87/EU) om standardavtalsklausuler för överföring av Personuppgifter till tredje land. Om ett Underbiträde inte uppfyller sina skyldigheter i fråga om Behandling av Personuppgifterna på sätt som anges i Personuppgiftsbiträdesavtalet, ska Personuppgiftsbiträdet svara härför. 3
Skada Personuppgiftsbiträdet ska ersätta Kommunen för skada som Kommunen drabbas av till följd av Personuppgiftsbiträdets eller ett Underbiträdes, otillåtna eller försumliga Behandling av Personuppgifterna, i strid med PUL eller Personuppgiftsbiträdesavtalet. För det fall en Registrerad eller annan tredje part riktar krav mot Kommunen p.g.a. Personuppgiftsbiträdets eller ett Underbiträdes Behandling av Personuppgifterna ska Personuppgiftsbiträdet hålla Kommunen skadeslös för sådana krav som följer av att Personuppgiftsbiträdet eller ett Underbiträde inte efterföljt Personuppgiftsbiträdesavtalet. Ersättning Personuppgiftsbiträdet har inte rätt till särskild ersättning för sina åtaganden i enlighet med Personuppgiftsbiträdesavtalet. Upphörande av behandling av personuppgifter Sekretess Vid upphörande av Personuppgiftsbiträdets Behandling av Personuppgifterna enligt Personuppgiftsbiträdesavtalet ska Personuppgiftsbiträdet till Kommunen återlämna eller på Kommunens begäran förstöra all data som innehåller Personuppgifter och samtliga media som Personuppgifterna är fixerad på. Kommunen har rätt att även efter Personuppgiftsbiträdesavtalets upphörande kontrollera att Personuppgiftsbiträdet har fullföljt sina åtagande som följer av första stycket denna punkt. All Behandling av Personuppgifterna sker med iakttagande av sekretess, innebärande att Personuppgiftsbiträdet, dess anställda och i förekommande fall Underbiträden inte till tredje part får lämna ut eller på annat sätt röja information om Behandling av Personuppgifter som omfattas av Personuppgiftsbiträdesavtalet eller annan information som Personuppgiftsbiträdet erhållit till följd av Avtalet. Detta åtagande gäller inte information som Personuppgiftsbiträdet föreläggs att utge till myndighet eller information som är allmänt känd. Sekretessåtagandet gäller även efter att Personuppgiftsbiträdesavtalet har upphört att gälla. Ändring av personuppgiftsbiträdesavtalet Kommunen får ändra innehållet i Avtalet endast i den mån så erfordras för att tillgodose krav som följer av tillämplig uppgiftsskyddslagstiftning eller för att möjliggöra sådana Behandlingar som avses nedan. Personuppgiftsbiträdet har inte rätt att självständigt påkalla ändringar av Personuppgiftsbiträdesavtalet. 4
För det fall Personuppgiftsbiträdets åtaganden under Avtalet ändras på ett sätt som kan föranleda nya typer av Behandlingar av Personuppgifterna ska Personuppgiftsbiträdet genast underrätta Kommunen om sådana förändringar. Överlåtelse av personuppgiftsbiträdesavtalet Avtalstid Personuppgiftsbiträdet har inte rätt att, helt eller delvis, överlåta eller pantsätta sina rättigheter och/eller skyldigheter enligt Personuppgiftsbiträdesavtalet utan Kommunens skriftliga godkännande. Personuppgiftsbiträdesavtalet gäller från dess undertecknande och så länge som Personuppgiftsbiträdet Behandlar Personuppgifterna med anledning av Avtalet. Regler om förtida upphörande finns i Avtalet. Tvist Tvist med anledning av Personuppgiftsbiträdesavtalet ska slutligt avgöras i enlighet med vad som anges om tvist i Avtalet. Personuppgiftsbiträdesavtalet är upprättat i två (2) likalydande exemplar, varav Parterna tagit ett (1) exemplar vardera. Ort och datum: LOMMA KOMMUN [ ] Ort och datum: [Namn] [Namn] 5
Bilaga 1 Kommunens närmare instruktioner beträffande Personuppgiftsbiträdets Behandling av Personuppgifter enligt Personuppgiftsbiträdesavtalet. De Personuppgifter som Personuppgiftsbiträdet Behandlar å Kommunens räkning rör följande kategorier av Registrerade: Person som har beviljats som har beviljats [hemtjänst/vård- och omsorgsboende] enligt 4 kap. 1 enligt Socialtjänstlag (2001:453). De Personuppgifter som Personuppgiftsbiträdet Behandlar är av följande slag: Personnummer, namn, bostadsadress, telefonnummer, kontaktuppgifter till anhöriga och/eller legal företrädare, uppgifter om behov av stöd och hjälp i enlighet med gällande, SoL, LSS, HSL-beslut samt andra uppgifter som personen lämnar och som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Personuppgiftsbiträdet får endast Behandla Personuppgifter på följande sätt: I syfte att kunna fullgöra sina skyldigheter enligt Avtalet. Personuppgiftsbiträdets Behandling av Personuppgifter sker i syfte att: Tillhandahålla [hemtjänst/vård- och omsorgsboende] i enlighet med Avtalet. 6