Ineras fullmakt med instruktioner för behandling av personuppgifter
Ineras fullmakt med instruktioner för behandling av personuppgifter
Instruktioner i enlighet med Ineras Personuppgiftsbiträdesavtal 1
Innehåll
2. Begrepp och termer som används i Ineras fullmakt 5
4. Allmänna instruktioner för centrala tjänster 6
5. Överlåtelse av personuppgiftsbehandling till ett ombud 7
6. Ineras allmänna åtaganden 8
7. Personuppgiftsansvarigs allmänna åtaganden 10
8. Förvaring av handling, offentlighet och utlämnande av handling 10
9. Säkerheten vid behandling av personuppgifter 11
10. Ansvar mot registrerad för skada 13
[Namn på nämnd som uppdrar åt kommunstyrelsen att teckna Avtal om Kundens användning av Ineras tjänster, som inkluderar Ineras Personuppgiftsbiträdesavtal 1], nedan kallad
”Fullmaktsgivaren”.
[Kommunstyrelsen i X stad/kommun, nedan kallad ”Fullmaktstagare”, genom kommundirektören (eller motsvarande befattning).
1.1 Ineras AB (fortsättningsvis ”Inera”) ägs gemensamt av Sveriges Kommuner och Landsting (SKL) samt landets landsting och kommuner. Ineras uppdrag är att utveckla och förvalta en nationell tjänsteplattform (Nationella tjänsteplattformen) samt nationella och gemensamma digitala tjänster på ägarnas vägnar. Inera får även upplåta Nationella tjänsteplattformen och specifika digitala tjänster åt både enskilda personer, privata utförare som är anlitade av kommuner och landsting eller bedriver verksamhet självständigt samt statliga myndigheter. Säljverksamhet i offentlig regi begränsas av kommunallagen och konkurrenslagen.
1.2 Inera är en teknisk tillhandahållare av Nationella tjänsteplattformen och digitala tjänster, vilket kan innebära behandling av personuppgifter, där sådana förekommer, enligt uppdrag. Personuppgiftsbehandlingen sker således enbart för de kommuner, landsting och andra aktörer som väljer att ansluta sig till Nationella tjänsteplattformen och/eller aktuella digitala tjänster. Dessa aktörer är normalt personuppgiftsansvariga. Inera hanterar således personuppgifter i rollen som personuppgiftsbiträde.
1.3 När personuppgifter behandlas av ett personuppgiftsbiträde ska enligt Dataskyddsförordningen, artikel 28.3, hanteringen regleras genom ett skriftligt avtal eller annan
rättsakt. För dessa syften ska Ineras Personuppgiftsbiträdesavtal 1 för personuppgiftsbehandling användas. Ineras Personuppgiftsbiträdesavtal 1 tecknas av kommuner, landsting och andra aktörer som väljer att ansluta sig till Nationella tjänsteplattformen och/eller aktuella digitala tjänster. Ineras Personuppgiftsbiträdesavtal 2 ska tecknas mellan kommuner, landsting och andra aktörer och deras utförare som är indirekt anslutna till Nationella tjänsteplattformen och Ineras digitala tjänster via kommun, landsting och andra direkt anslutna aktörer. Ineras Personuppgiftsbiträdesavtal 1 och 2 utgör sådana skriftliga avtal som avses i artikel 28.3 och
28.4 i Dataskyddsförordningen.
1.4 En kommunal nämnd som är förvaltningsmyndighet är normalt personuppgiftsansvarig för de behandlingar av personuppgifter som nämnden har att utföra (se punkten 3.3). I större kommuner kan det förväntas att flera nämnder inom samma kommun, som var och en är personuppgiftsansvariga, använder Ineras digitala tjänster. Ineras avtalsparter flerdubblas, och därmed som en konsekvens en ökad avtalsadministrationen.
1.5 Av Ineras Allmänna villkor till Kundavtal 2 framgår att kund ansvarar för att självständiga organisationsdelar, genom fullmakt eller annan likvärdig rättsakt, uppdragit åt Xxxxxx att binda dem i Ineras Personuppgiftsbiträdesavtal 1. Vidare att om Kunden är en offentlig organisation som har eller kommer ha självständiga organisationsdelar, vilka har skyldighet och behörighet att teckna Ineras Personuppgiftsbiträdesavtal 1 för sin respektive del av den offentliga organisationens verksamhet, ansvarar Kunden för att sådana organisationsdelar lämnat Kunden fullmakt - eller genom annan likvärdig rättsakt ombesörjt - att genom detta Avtal binda även dem i Ineras Personuppgiftsbiträdesavtal 1.
1.6. I syfte att minimera avtalsadministrationen samt uppfylla Ineras krav i de Allmänna villkoren ska kommunala nämnder som avser att ansluta sig till den Nationella tjänsteplattformen samt en eller flera av Ineras digitala tjänster nyttja föreliggande fullmakt. Genom fullmakten befullmäktigar en nämnd kommunstyrelsen att teckna Ineras Personuppgiftsbiträdesavtal 1 och att därmed företräda nämnden gentemot Inera såvitt beträffar behandling av personuppgifter för nämndens räkning. De rättshandlingar som kommunstyrelsen företar – att teckna Ineras Personuppgiftsbiträdesavtal 1 med Inera – blir bindande för nämnden.
1.7. Eftersom nämnden är personuppgiftsansvarig, och Inera är ett personuppgiftsbiträde, måste nämnden utfärda instruktioner till kommunstyrelsen för Ineras behandling av personuppgifter för nämndens räkning. Enligt Dataskyddsförordningen ska regleringen av behandling av personuppgifter mellan en personuppgiftsansvarig och ett personuppgiftsbiträde ske genom ett avtal eller annan ”rättsakt”. Denna fullmakt utgör en sådan rättsakt. Föreliggande fullmakt innefattar därför instruktioner som motsvarar instruktioner i Ineras Personuppgiftsbiträdesavtal 1.
1.8. Överlåtelse av en sådan arbetsuppgift genom fullmakt till kommunstyrelsen, varvid bundenhet för nämnden uppstår genom kommunstyrelsens tecknande av avtal med Inera, torde förutsätta enligt kommunalrätten ett beslut av nämnden.
1.9. Fullmaktstagaren ska instruera Inera att behandla personuppgifter, och i förekommande fall även avlidna personers uppgifter, endast i enlighet med instruktionerna i denna fullmakt, tillämplig svensk rätt och fullmaktsgivarens övriga dokumenterade instruktioner samt att vidta de tekniska och organisatoriska åtgärder enligt Dataskyddsförordningen, artikel 32, som krävs för att skydda uppgifterna.
1.10. Ett avtal mellan fullmaktstagaren och Inera ska också syfta till att reglera parternas skyldigheter och rättigheter i övrigt avseende personuppgiftsbehandlingen. Fullmakten omfattar all behandling av personuppgifter som Inera utför för fullmaktstagarens räkning, och därmed också fullmaktsgivarens räkning.
2. Begrepp och termer som används i Ineras fullmakt
2.1 Med behandling av personuppgifter avses en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring (artikel 4.2 Dataskyddsförordningen).
2.2. Med regionala och nationellt kvalitetsregister avses en automatiserad och strukturerad samling av personuppgifter som inrättats särskilt för ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet. Kvalitetsregistren ska möjliggöra jämförelse inom hälso- och sjukvården på nationell eller regional nivå.
2.3. Med personuppgiftsansvarig avses en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter (artikel 4.7 Dataskyddsförordningen).
2.4. Med personuppgiftsbiträde avses en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning (artikel 4.8 Dataskyddsförordningen).
2.5. Med personuppgifter avses varje upplysning som avser en identifierad eller identifierbar fysisk person (registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online-identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet (artikel 4.1 Dataskyddsförordningen).
2.6. Med personuppgiftsincident avses en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomsttill de personuppgifter som överförts, lagrats eller på annat sätt behandlats (se artikel 4.12 i Dataskyddsförordningen).
2.7. Med Sammanhållen journalföring avses ett elektroniskt system, som gör det möjligt för en vårdgivare att ge eller få direktåtkomst till personuppgifter hos en annan vårdgivare.
3.1 Fullmaktstagaren ska instruera Inera att bolaget får endast enligt dokumenterade instruktioner från fullmaktstagarengivaren, genom fullmaktstagaren, utföra den behandling av
personuppgifter som är nödvändig för att fullgöra sitt uppdrag åt fullmaktstagaren, till exempel, men inte begränsat till,
• hälso- och sjukvård,
• socialtjänst,
• förskola, grund- och gymnasieutbildning,
• samhällsbyggnad,
• personal- och ekonomiadministration
• person-, adress- och adresskontroll
3.2. Utöver instruktionerna i denna fullmakt ska fullmaktstagaren säkerställa att Inera följer de närmare instruktioner om och villkor för personuppgiftsbehandlingen som fullmaktstagaren, genom fullmaktsgivaren, bestämmer i Kundavtal eller annan överenskommelse med Inera om upplåtelse av en specifik e-tjänst.
3.3. Behandlingens art, omfattning, varaktighet, föremålet för behandlingen, ändamål, typen av personuppgifter och kategorier av registrerade som omfattas av personuppgiftsbehandlingen framgår av Kundavtalet som fullmaktstagaren tecknar med Inera om Ineras digitala tjänster och kompletterande instruktioner till det avtalet.
3.4. För det fall att Xxxxx bedömer att det saknas instruktioner som är nödvändiga för att genomföra uppdraget enligt dessa instruktioner eller bedömer att lämnade instruktioner strider mot gällande rätt ska fullmaktstagaren instruera Xxxxx att utan dröjsmål informera fullmaktstagaren om sin inställning, ange om fullgörandet av uppdraget kan påverkas av behovet av instruktioner samt invänta vidare instruktioner från fullmaktstagaren. Fullmaktstagaren får utfärda sådana instruktioner till Inera inom ramen för denna fullmakt efter samråd med fullmaktsgivaren.
3.5. Fullmaktstagaren ska instruera Inera om att bolaget får enligt artikel 28.3 a) Dataskyddsförordningen endast överföra personuppgifter till ett tredjeland eller en internationell organisation med stöd av skriftliga instruktioner från fullmaktstagaren, såvida inte överföringen krävs enligt unionsrätten eller svensk rätt. I sådant fall ska Xxxxx instrueras om att informera fullmaktstagaren om den rättsliga skyldigheten innan uppgifterna överförs, såvida sådan information inte är förbjuden med hänvisning till ett viktigt allmänintresse enligt unionsrätten eller svensk rätt. Fullmaktstagaren äger rätt att inom ramen för denna fullmakt utfärda instruktioner om överföring till tredje land efter samråd med fullmaktsgivaren. Fullmaktstagaren ska underrätta fullmaktsgivaren om den rättsliga skyldigheten.
4. Allmänna instruktioner för centrala tjänster
4.1 Vissa digitala tjänster är centrala för hälso- och sjukvårdens aktörer och följer patientdatalagens (2008:355) bestämmelser. De centrala tjänsterna innefattar bl.a. behandling av känsliga personuppgifter för hälso- och sjukvårdsändamål. Som exempel kan nämnas följande tjänster.
• System innebärande sammanhållen journalföring inklusive Nationell Patientöversikt
• Försäkringsmedicinska utredningar
• Kvalitetsregisterregistrering
• Vården i siffror och Öppna Data
• Journalen
• 1177 Vårdguidens e-tjänster
• Elektroniskt utlämnande till individen själv
4.2. Fullmaktstagaren ska instruera Inera om att Inera får för fullmaktsgivarens räkning behandla bl.a. känsliga personuppgifter för ändamål som anges i Kundavtal för de centrala tjänsterna.
4.3. Fullmaktstagaren ska instruera Inera om att på fullmaktstagarens begäran tillhandahålla en lättillgänglig information om vilka vårdgivare som är direkt och indirekt anslutna till Sammanhållen journalföring. Fullmaktstagaren ska överlämna sådana erhållna uppgifter till fullmaktsgivaren på begäran. I övrigt ska gälla för Ineras personuppgiftsbehandling instruktionerna i denna fullmakt och i förekommande fall kundavtal som tecknas av kommunen i rollen som juridisk person.
4.4. Fullmaktstagaren ska Instruera Inera att bolaget får sammanställa och registrera patientuppgifter som den kommunala hälso- och sjukvården valt att lämna ut till ett regionalt eller nationellt kvalitetsregister. Sammanställning och registrering sker för de ändamål som framgår av 7 kap. 4 och 5 §§ patientdatalagen (2008:355). I övrigt ska fullmaktstagaren säkerställa att instruktionerna i denna fullmakt gäller för Inera.
5. Överlåtelse av personuppgiftsbehandling till ett ombud
5.1 Inera ska äga en rätt att anlita underbiträde avseende behandling av fullmaktsgivarens personuppgifter. Denna rätt utgör ett sådant ”allmänt skriftligt
förhandstillstånd” som framgår av artikel 28.2 Dataskyddsförordningen och som ska meddelas av fullmaktstagaren till Inera. Inera ska instrueras att informera fullmaktstagaren om bolagets eventuella planer på att anlita nya underbiträden eller byta ut underbiträden, så att fullmaktsgivaren genom fullmaktstagaren har möjlighet att göra invändningar mot sådana förändringar. Fullmaktstagaren har en rätt att göra sådana invändningar inom ramen för denna fullmakt efter samråd med fullmaktsgivaren. Fullmaktstagaren ska instruera Inera om att information om underbiträden som Inera anlitat med stöd av detta och andra förhandstillstånd ska lämnas på Ineras hemsida.
5.2. Enligt Dataskyddsförordningen, artikel 28.4, ska i de fall där ett personuppgiftsbiträde anlitar ett annat personuppgiftsbiträde för utförande av specifik behandling på den personuppgiftsansvariges vägnar, det andra personuppgiftsbiträdet, genom ett avtal eller en annan rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt, åläggas samma skyldigheter i fråga om dataskydd som de som fastställs i avtalet eller den andra rättsakten mellan den personuppgiftsansvarige och personuppgiftsbiträdet. Fullmaktstagaren ska instruera Inera att i avtal som Inera träffar med underbiträden angående utförande av specifik behandling på fullmaktsgivarens vägnar ålägga underbiträdet samma skyldigheter i fråga om dataskydd som framgår av Ineras Personuppgiftsbiträdesavtal 1. Inera ska särskilt tillse att artikel 28.2 och 28.4 Dataskyddsförordningen beaktas vid anlitande av ett underbiträde samt tillse att underbiträdet
ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i Dataskyddsförordningen.
5.3. Fullmaktstagaren åtar sig härmed att ålägga Inera de skyldigheter om dataskydd som framgår av denna fullmakt, liksom Ineras eventuella underbiträden, genom tecknande av Ineras Personuppgiftsbiträdesavtal 1 med Inera.
5.4. Fullmaktstagaren ska oaktat föregående punkt säkerställa i avtal att Xxxxx är fullt ansvarig gentemot den fullmaktstagaren, och därigenom också fullmaktsgivaren, för utförandet av skyldigheterna enligt denna fullmakt.
5.5. Fullmaktstagaren ska instruera Inera att i avtal som bolaget träffar med underbiträden ska bolaget tydliggöra att en begäran till Ineras underbiträden om utlämnade av en handling eller en uppgift som fullmaktsgivaren ansvarar för omedelbart ska överlämnas till Inera, och att underbiträdet inte i något sammanhang själv får hantera en sådan begäran. Fullmaktstagaren ska vidare instruera Inera att snarast överlämna mottagen begäran till fullmaktstagaren och avvakta vidare instruktioner från denne. Fullmaktstagaren ska överlämna begäran till fullmaktsgivaren för bedömning och instruktioner till Inera.
5.6. Fullmaktstagaren ska instruera Inera att fullmaktsgivarens uppgifter ska vid överföring till underbiträde ha ett adekvat skydd i form av kryptering, sekretessavtal med underbiträdet och Inera ska tillse att det finns samt sekretessförbindelser mellan underbiträdet och underbiträdets egen personal. Om underbiträdets personal omfattas av en lagreglerad tystnadsplikt ska i stället Inera erinra underbiträdet om aktuella sekretess- och tystnadspliktbestämmelser som underbiträdet och underbiträdets personal ska iaktta. Sekretessförbindelse med personalen krävs inte om de omfattas av lagreglerad tystnadsplikt som följer av lag. Inera behöver inte tillse att det finns sekretessförbindelse mellan underbiträdet och underbiträdets egen personal om underbiträdet och underbiträdets egen personal omfattas av en tystnadsplikt som följer av lag.
5.7. Om av Inera anlitat underbiträde inte uppfyller sina skyldigheter i fråga om dataskydd enligt Ineras Personuppgiftsbiträdesavtal 1 ska fullmaktstagaren i avtal säkerställa att Inera förblir fullt ansvarig gentemot fullmaktstagaren för uppfyllande av sina skyldigheter enligt Ineras Personuppgiftsbiträdesavtal 1.
5.8. Upphör Ineras Personuppgiftsbiträdesavtal 1 att gälla ska fullmaktstagaren instruera Inera om att bolaget eller dess underbiträden inte får fortsätta behandla personuppgifter som omfattas av Ineras Personuppgiftsbiträdesavtal 1. Rätten för Inera att anlita underbiträde upphör. Förvarar Ineras underbiträden händelsevis personuppgifter ska fullmaktstagaren instruera Inera om att Inera ska tillse att personuppgifterna i ett sådant fall ska återlämnas till Inera eller fullmaktsgivaren genom fullmaktstagarens försorg eller raderas i enlighet med punkten 6.1 l) nedan.
6.1. Fullmaktstagaren ska säkerställa att Inera i avtal förbinder sig att iaktta följande instruktioner:
a) Inera ska iaktta Dataskyddsförordningen samt andra vid var tid gällande tillämpliga registerförfattningar med avseende på behandling av personuppgifter.
b) Inera och dess underbiträden är tekniska tillhandahållare av Nationella tjänsteplattformen och nationella digitala tjänster. Inera och dess underbiträden får därför inte utan tillåtelse av fullmaktstagaren ta del av personuppgifter som behandlas för fullmaktsgivarens räkning.
c) Inera och dess underbiträden ska emellertid få tillåtelse, oaktat punkten b), att få ta del av fullmaktsgivarens data i Nationella tjänsteplattformen, digitala tjänster och i loggar, inklusive personuppgifter, för felsökning, driftskontroll och support, liksom för att utreda missbruk eller analysera intrång, om det är oundgängligen nödvändigt för att tillhandahålla tjänsten och om andra, mindre ingripande åtgärder av hänsyn till den personliga integriteten är uttömda.
d) Inera och dess underbiträden ska vidare få tillåtelse att ta del av fullmaktsgivarens uppgifter, inklusive personuppgifter, för att upprätthålla en förteckning över anslutna organisationer till Ineras tjänster samt upprätthålla kravet i artikel 30.2 Dataskyddsförordningen på ett register över alla kategorier av behandling som utförts för fullmaktsgivarens genom fullmaktstagarens räkning.
e) Inera och dess underbiträden ska också få behandla personuppgifter om fullmaktsgivarens personal och uppdragstagare. Sådana personuppgifter är t.ex. uppgifter avseende namn, personnummer, mobiltelefonnummer, e-postadress, IP-adress och andra anteckningar. Sådana personuppgifter behandlas för att Inera och dess underbiträden ska kunna fullfölja avtal om tjänsten samt för administration, inklusive säkerhetsadministration.
f) Inera ska med hänsyn till arten av känsliga personuppgifter som finns hos vårdgivare och utförare av socialtjänst samt för att säkerställa att fullmaktsgivaren genom fullmaktstagaren kan leva upp till författningsenliga krav på en god kontroll över skyddet för personuppgifterna behandla dessa på utrustning som fysiskt befinner sig i Sverige. Även service – och supporttjänster ska tillhandahållas i Sverige
g) Fullmaktsgivaren genom fullmaktstagaren ska ha rätt att på egen bekostnad själv eller genom tredje man kontrollera att Inera följer Ineras Personuppgiftsbiträdesavtal 1. Inera och dess underbiträden ska därvid lämna fullmaktstagarens representanter den assistans som behövs. Fullmaktstagarens representanter ska ha rätt till inspektion av den hårdvara och mjukvara som används för behandling av personuppgifter som omfattas av Ineras Personuppgiftsbiträdesavtal 1 samt tillträde till de fysiska lokaler där utrustning och annan hård- och mjukvara finns. Inera ska iaktta kravet på kontroll enligt denna punkt vid upphandling av underbiträde för behandling av personuppgifter. Vid fullmaktstagarens utövande av kontroll enligt denna klausul ska Inera eller dess underbiträden informera övriga personuppgiftsansvariga som anlitar den Nationella tjänsteplattformen och de nationella digitala tjänsterna om vem som genomfört kontrollen och tidpunkt.
h) Inera och dess underbiträden ska ge fullmaktstagaren tillgång till all information som krävs för att visa att skyldigheterna i artikel 28 Dataskyddsförordningen i rollen som personuppgiftsbiträde har fullgjorts samt möjliggöra och bidra till granskningar, inbegripet inspektioner, som genomförs av den fullmaktstagaren eller av en annan revisor som bemyndigats av fullmaktstagaren. Inera ska omedelbart informera fullmaktstagaren om Xxxxx anser att en instruktion strider mot Dataskyddsförordningen eller svensk rätt.
i) Inera och dess underbiträden ska utan dröjsmål informera fullmaktstagaren om eventuella kontakter från Integritetsskyddsmyndigheten eller andra tillsynsmyndigheter som rör eller kan vara av betydelse för behandling av personuppgifter. Fullmaktstagaren ska informera fullmaktsgivaren vid sådana förhållanden. Inera och dess underbiträden ska inte ha en rätt att företräda fullmaktstagaren eller agera för dennes räkning gentemot Integritetsskyddsmyndigheten eller annan myndighet eller annan tredje man.
j) Inera och dess underbiträden ska hjälpa fullmaktsgivaren, genom lämpliga tekniska och organisatoriska åtgärder att, i den mån detta är möjligt, och med tanke på behandlingens art, fullgöra sin skyldighet att svara på begäran om utövande av den registrerades rättigheter i enlighet med 3 kap. i Dataskyddsförordningen i den utsträckning dessa är tillämpliga.
k) Inera och dess underbiträden ska bistå fullmaktsgivaren genom fullmaktstagaren med att se till att skyldigheterna enligt artiklarna 32–36 i Dataskyddsförordningen fullgörs, med beaktande av typen av behandling och den information som Inera har att tillgå.
l) Inera och dess underbiträden ska när Ineras Personuppgiftsbiträdesavtal 1 upphör att gälla, beroende på vad fullmaktsgivaren genom fullmaktstagaren väljer, radera eller överlämna samtliga personuppgifter på av fullmaktstagaren angivet lagringsmedium och se till att det inte finns några personuppgifter kvar i det egna systemet, såvida inte lagring av personuppgifterna krävs enligt unionsrätten eller svensk rätt.
7. Personuppgiftsansvarigs allmänna åtaganden
7.1. Fullmaktstagaren ska informera Xxxxx att fullmaktsgivaren åtar sig att se till att Dataskyddsförordningens, samt övriga relevanta, vid var tid gällande, författningsbestämmelser efterlevs beträffande behandling av personuppgifter. Fullmaktsgivaren ansvarar bland annat för att informera registrerade om behandlingen och för att i de fallen så krävs inhämta samtycke från den registrerade.
7.2. Fullmaktsgivaren genom fullmaktstagaren ska i Kundavtal med Inera iaktta skyldighet att ersätta Xxxxx för sådant arbete och kostnader som följer av punkterna 6.1 j), k) och l). Fullmaktsgivaren genom fullmaktstagaren ska i Kundavtal förbinda sig att följa Xxxxxx vid var tid gällande prislista för sådant arbete och kostnader. Prislistan ska finnas publicerad på Ineras hemsida.
7.3. Fullmaktsgivaren genom fullmaktstagaren ska i avtal förplikta sig att omedelbart informera Inera om förändringar i behandlingen vilka påverkar Ineras skyldigheter enligt dataskyddsförordningen.
8. Förvaring av handling, offentlighet och utlämnande av handling
8.1. I avtal som fullmaktstagaren träffar med Inera ska följande omständigheter och skyldigheter framgå:
a) Landsting och kommuner utövar ett rättsligt bestämmande inflytande över Inera enligt 2 kap. 3 § offentlighets- och sekretesslagen (2009:400). Det innebär att Ineras anställda och uppdragstagare omfattas av en lagreglerad tystnadspliktmed avseende på bl.a. uppgifter om hälsa och sexualliv (se 21 kap. 1 § offentlighets- och sekretesslagen) och personliga och ekonomiska förhållanden i den verksamhet som avser enbart teknisk bearbetning och teknisk lagring (40 kap. 5 § offentlighets- och sekretesslagen).
b) Fullmaktsgivaren genom fullmaktstagaren ansvarar självständigt för att bedöma omdet med beaktande av sekretess- och tystnadspliktsbestämmelser är lämpligt att låta Inera hantera information inom ramen för de tjänster parterna träffar avtal om.
c) Inera ansvarar för att egen personal och fysiska uppdragstagare hos bolaget har god kännedom om den sekretess och tystnadsplikt som kan gälla för de uppgifter som behandlas av Inera för fullmaktstagarens, och därigenom fullmaktsgivaren, räkning. För det fall att registrerad, Integritetsskyddsmyndigheten, annan myndighet eller annan tredje man begär information från Inera som rör behandling av personuppgifter ska Inera hänvisa till fullmaktstagaren. Det följer av dessa instruktioner att Inera inte får lämna ut personuppgifter om sådan behandling av personuppgifter som specifikt rör fullmaktsgivaren utan skriftlig instruktion från fullmaktstagaren genom fullmaktsgivaren.
d) Inera ska bereda Riksarkivet, i egenskap av arkivmyndighet, och i förekommande fall arkivmyndighet hos fullmaktstagaren, möjlighet att kontrollera eventuella arkivbestämmelsers efterlevnad hos Inera.
9. Säkerheten vid behandling av personuppgifter
9.1. Fullmaktstagaren ska säkerställa att Inera i avtal förbinder sig att iaktta följande instruktioner:
a) Inera och dess underbiträden ska, med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, vidta skäliga tekniska, administrativa och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt
- pseudonymisering och kryptering av personuppgifter,
- förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos Behandlingssystem och digitala tjänster,
- förmågan att återställa tillgänglighet och tillgång till personuppgifter i rimlig tid viden fysisk eller teknisk incident, och
- ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet; villkor för test och utvärdering av säkerheten framgår av kundavtalen.
b) Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandling medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändringeller
till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.
c) Enligt artikel 28.5 Dataskyddsförordningen får ett personuppgiftsbiträde ansluta sig till en godkänd uppförandekod som avses i artikel 40 eller en godkänd certifieringsmekanism som avses i artikel 42 för att visa att tillräckliga garantier för dataskydd tillhandahålls, såsom avses i artikel 28.1 och 28.4 Dataskyddsförordningen. Inera och dess underbiträden är fria att ansluta sig till antingen en godkänd uppförandekod eller en godkänd certifieringsmekanism, med stöd av punken 32 i Dataskyddsförordningen, för att visa att kraven i punkten 9.1 a) ovan följs.
Behörighetstilldelning
d) Inera och dess underbiträden ska ansvara för att det finns rutiner för tilldel¬ning, förändring, borttagning och regelbunden uppföljning av den egna personalens och uppdragstagares behö¬righeter för åtkomst till fullmaktsgivarens personuppgifter, när det är tillåtet enligt Ineras Personuppgiftsbiträdesavtal 1.
Loggning
e) Se punkt 9.1 k).
Säkerhetskopiering
f) Inera och dess underbiträden ska ha ru¬tiner för säkerhetskopiering av personuppgifter i ett allmänt erkänt och strukturerat format. Om Ineras Personuppgiftsbiträdesavtal 1 upphör gäller vad som framgår av punkt 6.1 l).
Elektronisk informationsöverföring
g) Inera och dess underbiträden ska vid elektronisk överföring av personuppgifter från eller till den personuppgiftsansvarige skydda uppgifterna på ett adekvat sätt med hänsyn till personuppgifternas känslighet och art när de kommuniceras.
Drift och underhåll
h) Innan Inera och dess underbiträden driftsätter sina system för mottagande eller utlämnande av information enligt Ineras Personuppgiftsbiträdesavtal 1 ska systemen kvalitetssäkras genom tester i testmiljö. I övrigt ska Socialstyrelsens föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården beaktas.
i) Om Inera eller dess underbiträden avser att göra förändringar i sitt system (uppgradering, patchning etc.) på sätt som kan förväntas påverka informationshanteringen ska Inera eller dess underbiträden underrätta den fullmaktstagaren om detta. Sådan information ska lämnas i god tid före förändringen.
Driftstörningar
j) Intrångsförsök eller annat bedrägligt förfarande för att få åtkomst till den fullmaktsgivarens personuppgifter ska utan dröjsmål, dock senast 48 timmar från att incidenten upptäcktes, anmälas av Inera vid upptäckt till fullmaktstagaren (personuppgiftsincident). Fullmaktstagaren ska snarast underrätta fullmaktsgivaren om sådan incident. Inga ändringar (omstart, uppgraderingar, felsökningar) får normalt vidtas utan samråd med den andra parten. Övriga personuppgiftsincidenter anmäls av Inera utan onödigt dröjsmål, dock senast 48 timmar från att incidenten upptäcktes, till fullmaktstagaren enligt artikel 33 i Dataskyddsförordningen.
Fullmaktstagaren ska snarast underrätta fullmaktsgivaren om sådan incident. Anmälningar om personuppgiftsincidenter av Ineras underbiträden ska också rapporteras till fullmaktstagaren.
k) Inera och dess underbiträden åtar sig att kontinuerligt logga åtkomst till personuppgifter enligt Ineras Personuppgiftsbiträdesavtal 1. Inera och dess underbiträden ska ansvara för att
1. det av dokumentationen av åtkomsten (loggar) framgår vilka åtgärder som har vidtagits med uppgifter om en registrerad person,
2. det av loggarna framgår vid vilken enhet åtgärderna vidtagits,
3. det av loggarna framgår vid vilken tidpunkt åtgärderna vidtagits,
4. användarens och den registrerades identitet framgår av loggarna,
5. systematiska och återkommande stickprovskontroller av loggarna görs, och
6. kontroller av loggarna dokumenteras.
Loggarna ska ha ett adekvat säkerhetsskydd. Loggar får gallras först fem (5) år efter loggningstillfället. Loggen ska lämnas ut till fullmaktsgivaren genom fullmaktstagaren om Ineras Personuppgiftsbiträdesavtal 1 upphör att gälla.
10. Ansvar mot registrerad för skada
10.1 Fullmaktstagaren ska acceptera som villkor och med bindande verkan för fullmaktsgivaren att Parternas ansvar och ansvarsbegränsningar för skada med avseende på behandling av personuppgifter och persondataskydd den reglering som framgår av Avtal om Kundens användning av Ineras Tjänster.
11.1 Fullmaktstagaren ska acceptera villkor innebärande att avtalet med Inera gäller från dess undertecknande och så länge som Inera har ett uppdrag från fullmaktsgivaren genom fullmaktstagaren att behandla personuppgifter för fullmaktsgivarens räkning.
12.1 Fullmaktstagaren ska acceptera som villkor att tvist angående tolkning eller tillämpning av Ineras Personuppgiftsbiträdesavtal 1 ska avgöras av Stockholms tingsrätt.
Ort och datum
För Fullmaktsgivaren
Namnförtydligande