DNR 13-125/2324
UTBILDNINGSFÖRVALTNINGEN
DNR 13-125/2324
SID 1 (9)
2013-08-05
Bilaga 9 Personuppgiftsbiträdesavtal
6023385-v5
Upphandling av IT-stöd för hantering av elevdokumentation inom Skolplattform Stockholm
DNR 13-125/2324
SID 2 (9)
2013-08-05
INNEHÅLLSFÖRTECKNING
1 SYFTE 3
2 PARTER 3
3 DEFINITIONER 4
4 ALLMÄNT OM AVTALET 6
5 PERSONUPPGIFTSBITRÄDETS SKYLDIGHETER 7
6 UTLÄGGNING AV BEHANDLINGAR TILL UNDERBITRÄDEN 8
7 SKYLDIGHETER EFTER AVTALETS UPPHÖRANDE 8
8 ÄNDRINGAR I AVTALET 8
9 GILTIGHETSTID 9
10 OMFATTNING OCH ÄNDAMÅL FÖR BEHANDLING 9
6023385-v5
11 TEKNISKA OCH ORGANISATORISKA SÄKERHETSÅTGÄRDER 9
DNR 13-125/2324
SID 3 (9)
2013-08-05
1 SYFTE
Personuppgiftsbiträdesavtalet är en del av Avtalet mellan Staden och Leverantören och ska läsas och förstås mot bakgrund av detta.
Personuppgiftsbiträdets fullgörande av Uppdraget innebär att Personuppgiftsbiträdet behandlar Stadens Personuppgifter i enlighet med vad som stadgas i personuppgiftslagen (1998:204).
Detta personuppgiftsbiträdesavtal syftar till att uppfylla stadgandet i 30 § personuppgiftslagen, som föreskriver att det ska finnas ett skriftligt avtal om Personuppgiftsbiträdets Behandling av Personuppgifter för den Personuppgiftsansvariges räkning.
Kompletterande föreskrifter beträffande Behandling av Personuppgifter ges i personuppgiftsförordningen (1998:1191).
2 PARTER
Den Personuppgiftsansvariga organisationen är Staden, enligt definition i Avtalet.
Personuppgiftsbiträdet är Leverantören, enligt definition i Avtalet.
6023385-v5
Staden och Leverantören har tecknat följande personuppgiftsbiträdesavtal för att säkerställa ett adekvat skydd för privatliv och grundläggande rättigheter och friheter för enskilda i samband med överföring från Personuppgiftsansvarig till Personuppgiftsbiträdet av sådana Personuppgifter som anges i avtalets avsnitt 10.
3 DEFINITIONER
6023385-v5
De definitioner som anges i Avtalet gäller även för Personuppgiftsbiträdesavtalet. Utöver detta gäller följande definitioner:
Begrepp | Förklaring |
Avtal | Med Avtalet avses det avtal som tecknats mellan parterna efter upphandling av IT-stöd för hantering av elevdokumentation inom Skolplattform Stockholm och de handlingar som anges i punkterna 3.2 och 3.3 i det Avtalet. |
Behandling | Varje åtgärd eller serie av åtgärder som vidtas i fråga om Personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. |
Integritetskänsliga personuppgifter | Personuppgifter som exempelvis omfattas av sekretess, rör en Registrerads personliga sfär eller som på annat sätt värderar den Registrerades sociala, ekonomiska eller liknande förhållanden. |
Känsliga personuppgifter | Personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. |
Personuppgifter | All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. |
Personuppgiftsansvarig | Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för Behandlingen av Personuppgifter. I detta fall Staden. |
Personuppgiftsbiträde | Den som i samband med avtalstecknande går med på att från Personuppgiftsansvarig ta emot Personuppgifter för vidare Behandling i enlighet med Personuppgiftsansvarigs instruktioner och villkoren i Avtalet. I detta fall Leverantören. |
Registrerad | Den som en Personuppgift avser. |
Tillsynsmyndighet | Den myndighet som regeringen utser för att utöva tillsyn. Enligt 2 § personuppgiftsförordningen (1998:1191) är |
Begrepp | Förklaring |
Datainspektionen Tillsynsmyndighet. | |
Tillämplig uppgiftsskyddslagstiftning | Personuppgiftslagen (1998:204) eller annan registerförfattning som omfattar den Personuppgiftsansvariges verksamhet. |
Tekniska och organisatoriska säkerhetsåtgärder | Åtgärder avsedda att skydda Personuppgifter mot oavsiktlig eller olaglig utplåning, oavsiktlig förlust, ändring, otillåtet ut- lämnande eller otillåten åtkomst, i synnerhet när Behandlingen inbegriper överföring av uppgifter över ett nät, och mot varje annan form av olaglig Behandling. |
Underbiträde | Underleverantör som anlitats av Personuppgiftsbiträdet eller av en annan av Personuppgiftsbiträdets Underbiträden och som går med på att från Personuppgiftsbiträdet eller en annan av Personuppgiftsbiträdets Underbiträden ta emot Personuppgifter i den enda avsikten att efter överföringen behandla Personuppgifter för Personuppgiftsansvarigs räkning i enlighet med Personuppgiftsansvarigs instruktioner, villkoren i Avtalet samt villkoren i ett skriftligt underbiträdesavtal. |
6023385-v5
4 ALLMÄNT OM AVTALET
4.1 Information om Behandlingen, och i förekommande fall om Känsliga eller Integritetskänsliga personuppgifter avses att behandlas, anges i avsnitt 10.
4.2 Leverantören har inte rätt till särskild ersättning för åtagandet som Personuppgiftsbiträde.
4.3 Alla Behandlingar av Personuppgifter som regleras i detta avtal omfattas av personuppgiftslagens (1998:204) bestämmelser, eller annan författning som reglerar behandling av Personuppgifter. Leverantören intygar att dennes verksamhet bedrivs på sätt som säkerställer att personuppgiftslagens bestämmelser och krav avseende adekvat skydd för personuppgiftsbehandlingar efterlevs.
6023385-v5
4.4 Staden har rätt att följa upp att Leverantören lever upp till kraven på Behandlingen och verkligen vidtar de Tekniska och organisatoriska säkerhetsåtgärder som föreskrivs avsnitt 11. Leverantören ska lämna Staden den assistans och tillhandahålla den dokumentation som erfordras för detta. Se även kapitel 30 om revision i Avtalet.
5 PERSONUPPGIFTSBITRÄDETS SKYLDIGHETER
5.1 För att skydda Personuppgifterna mot obehörig Behandling ska Leverantören vidta sådana Tekniska och organisatoriska säkerhetsåtgärder som anges i avsnitt 11, i syfte att upprätthålla en lämplig säkerhetsnivå.
5.2 Leverantören ska omgående underrätta Staden vid upptäckt av fullbordade fall av eller försök till obehörig åtkomst, förstörelse eller ändring av Personuppgifter.
5.3 Leverantören får inte behandla Personuppgifter på något annat sätt, för andra ändamål eller enligt andra instruktioner än de som anges i avsnitt 10 med iakttagande av de Tekniska och organisatoriska säkerhetsåtgärder som stadgas i avsnitt
11. För det fall att Leverantören bedömer att det saknas instruktioner som är nödvändiga för att utföra rollen som Personuppgiftsbiträde ska Leverantören utan dröjsmål informera Staden om sin inställning, ange på vilket sätt rollen som Personuppgiftsbiträde kan påverkas, samt invänta vidare instruktioner från Staden.
5.4 För det fall den Registrerade, Tillsynsmyndigheten eller annan tredje man begär information från Leverantören som rör Behandling av Personuppgifter, ska Leverantören hänvisa till Staden. Leverantören får inte lämna ut Personuppgifter eller annan information om Behandlingen av Personuppgifter utan uttrycklig instruktion från Leverantören, eller om utlämnandet är en följd av en laglig skyldighet.
5.5 Leverantören ska utan dröjsmål informera Staden om eventuella kontakter med Tillsynsmyndigheten som rör, eller kan vara av betydelse för, Leverantörens Behandling av Stadens Personuppgifter. Leverantören har inte rätt att företräda Xxxxxx eller agera för dennes räkning gentemot Tillsynsmyndigheten.
6023385-v5
5.6 Den Registrerade har laglig rätt att begära registerutdrag eller kräva rättelse, blockering eller utplåning av de Personuppgifter som omfattas av detta avtal. Leverantören är skyldig att bistå Staden i sådan omfattning att denna rätt kan säkerställas.
TILL | UNDERBITRÄDEN | |
6.1 | Om Leverantören, med Stadens godkännande, lägger över sina skyldigheter enligt detta avtal på ett Underbiträde, får detta endast ske genom ingående av ett skriftligt avtal med Underbiträdet, varigenom denne åläggs samma skyldigheter som enligt Xxxxxxx åligger Leverantören. Se även kapitel 7 i Avtalet, om underleverantörer. | |
6.2 | För det fall att Behandlingar av Personuppgifter kommer att utföras av Underbiträde i tredje land ska Staden efter godkännande ge Leverantören mandat att teckna Personuppgiftsbiträdesavtal för Stadens räkning med Underbiträden i tredjeland, i enlighet med villkor i Avtalet, Tillämplig uppgiftsskyddslagstiftning samt kommissionens beslut (2010/87/EU) om standardavtalsklausuler för överföring av Personuppgifter till tredjeland. | |
6.3 | För att Staden ska kunna uppfylla sina lagstadgade skyldigheter som Personuppgiftsansvarig, måste alla Underbiträden vara redovisade för och godkända av den Staden. Staden måste vidare ha kännedom om i vilket land Behandlingen äger rum, Leverantören ansvarar för att Staden alltid har tillgång till uppdaterad sådan information. |
6 UTLÄGGNING AV BEHANDLINGAR
7 SKYLDIGHETER EFTER AVTALETS UPPHÖRANDE
7.1 Parterna är överens om att Leverantören och eventuella Underbiträden efter Behandlingens upphörande och beroende på vad Staden beslutar antingen ska återlämna alla överförda Personuppgifter och kopior av dessa till Personuppgiftsansvarig, eller förstöra alla Personuppgifter och intyga för Staden att så skett. Om detta inte är tekniskt möjligt, ska Leverantören garantera att denne kommer att bevara sekretessen hos de överförda Personuppgifterna och inte behandla de överförda Personuppgifterna ytterligare, alternativt anonymisera dem på sätt som gör dem omöjliga att återskapa. Se även kapitel 33 i Avtalet, samt Bilaga 4h – Aktiviteter vid avtalets upphörande.
8 ÄNDRINGAR I AVTALET
6023385-v5
8.1 Staden får ändra innehållet i Avtalet i den mån så erfordras för att tillgodose krav som följer av Tillämplig uppgiftsskyddslagstiftning. Ändring träder i kraft 30 dagar efter att meddelandet om ändring kommit Leverantören tillhanda.
9 GILTIGHETSTID
9.1 Leverantörens åtagande som Personuppgiftsbiträde gäller från undertecknandet av Avtalet och så länge som Leverantören behandlar Stadens Personuppgifter.
10 OMFATTNING OCH ÄNDAMÅL FÖR BEHANDLING
10.1 Registrerade
Kategorier registrerade innefattar elever, pedagoger, vårdnadshavare, tjänstmän samt de kategorier som i övrigt följer av Avtalet som helhet.
Personuppgifter
Namn, personnummer, folkbokföringsadress, telefonnummer, e-postadress samt de slag av personuppgifter som i övrigt följer av Xxxxxxx som helhet.
Känsliga Personuppgifter
Känsliga personuppgifter kan förekomma i undantagsfall.
Behandling
Endast sådan behandling som framgår av Avtalet som helhet är tillåten. Alla annan behandling är otillåten.
Ändamålet med Behandlingarna
Behandlingen av Personuppgifter av Personuppgiftsbiträdet sker i syfte att leverera det som avtalats i Avtalet. Behandling för andra ändamål är otillåten.
Särskilda instruktioner angående Behandlingarna Vid Behandlingen av Personuppgifter ska Personuppgiftsbiträdet särskilt beakta att det förekommer
personer med Skyddad identitet vilkas personuppgifter ska hanteras på särskilt sätt i enlighet med det som framkommer av Xxxxxxx.
11 TEKNISKA OCH ORGANISATORISKA SÄKERHETSÅTGÄRDER
6023385-v5
11.1 De tekniska och organisatoriska säkerhetsåtgärder som Leverantören i rollen som Personuppgiftsbiträde ska vidta beskrivs i huvudsak i Bilaga 3c – Informationssäkerhet. Ytterligare åtaganden och åtgärder rörande skydd av personuppgifter framgår av Avtalet som helhet.