MALL FÖR PERSONUPPGIFTSBITRÄDESAVTAL 2018-12-06

MALL FÖR PERSONUPPGIFTSBITRÄDESAVTAL 2018-12-06

Personuppgiftsbiträdesavtal

Avtal mellan personuppgiftsansvarig och personuppgiftsbiträde

1. Parter

Personuppgiftsansvarig(PuA): [Infoga namn på personuppgiftsansvarig]

Organisationsnummer: [Infoga organisationsnummer]

Personuppgiftsbiträde (PuB): [Infoga namn på personuppgiftsbiträde]

Organisationsnummer: [Infoga organisationsnummer]

Detta Avtal består av följande dokument:

• Detta Avtal med eventuella bilagor

• Tjänsteavtal [Infoga benämning på tjänsteavtal] daterad den [Infoga datum] med diarienummer [Infoga diarienummer] med angivande av eventuella bilagor.

• [Ange eventuella andra dokument]

2. Bakgrund och syfte

1. Dataskyddsförordningen ((EU) 2016/679) med kompletterande lagstiftning ställer krav på ett skriftligt avtal när PuB ska behandla personuppgifter för PuA:s räkning. Detta avtal har till syfte att uppfylla detta krav.

2. Detta personuppgiftsbiträdesavtal tecknas för att,

• klargöra den avtalade personuppgiftsbehandlingens rättsliga status, d.v.s. relationen mellan PuA och PuB,

• reglera PuB:s behandling av personuppgifter för PuA:s räkning,

• reglerar förutsättningarna för PuB:s behandling av personuppgifter på PuA:s vägnar på en fysisk datalagrings- och bearbetningsplats som förvaltas av PuB,

• reglera parternas övriga skyldigheter och rättigheter gentemot varandra.

3. Definitioner

1. Detta Avtal ska tolkas och förstås i enlighet med de definitioner och begrepp som anges i dataskyddsförordningen och definitionerna i artikel 4. Detta innebär bland annat följande.

• Med personuppgiftsansvarig avses en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

• Med personuppgiftsbiträde avses en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning.

• Med behandling avses en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.

• Med personuppgifter avses: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbarfysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

• Med personuppgiftsincident avses: en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

4. Personuppgiftsbiträdets åtaganden

1. PuB förbinder sig att behandla personuppgifterna i enlighet med PuA:s instruktioner och med tillämpning av gällande lag, föreskrifter och praxis samt därtill hålla sig informerad om eventuella förändringar som kan ske i lagstiftningen som har betydelse för detta personuppgiftsbiträdesavtal.

Dokumentet Instruktion till Personuppgiftsbiträde skall fyllas i och bifogas.

2. PuB ska säkerställa att var och en som utför arbete under dennes överinseende och som får tillgång till personuppgifterna som omfattas av detta avtal, endast behandlar dessa i enlighet med givna instruktioner.

3. För det fall att PuB saknar instruktioner som PuB bedömer är nödvändiga för att genomföra uppdraget ska PuB, utan dröjsmål, informera PuA om sin inställning och invänta instruktioner som PuA bedömer erfordras.

4. För de fall att registrerad, Datainspektionen eller annan tredje man begär information från PuB som rör behandling av personuppgifter, ska PuB hänvisa till PuA. Av punkten 4.1. och 4.2. ovan och punkten 4.5 nedan följer bland annat att PuB inte får lämna ut personuppgifter eller annan information om behandlingen av personuppgifter, utan instruktion från PuA.

5. PuB ska utan dröjsmål informera PuA om eventuella kontakter från Datainspektionen som rör eller kan vara av betydelse för behandlingen av personuppgifterna. PuB har inte rätt att företräda PuA eller agera för PuA:s räkning gentemot Datainspektionen, registrerad eller annan tredje man.

6. PuB ska vara PuA behjälplig med att förse Datainspektionen, registrerad eller tredje man information inom ramen för detta avtal.

7. PuB ska när detta avtal upphör att gälla radera eller överlämna personuppgifterna på av PuA angivet lagringsmedium enligt avtal och förvissa sig om att det inte finns några personuppgifter kvar i egna systemen. Hur detta skall gå till skall regleras i dokumentet ”Instruktion Personuppgiftsbiträde”.

8. PuB ska rätta, blockera, ändra eller gallra Personuppgifter enligt PuAs instruktioner. När Personuppgifter raderats ska PuB skriftligen informera PuA om detta.

9. PuB ska, utöver vad som anges i Tjänsteavtalet, vidta de åtgärder som avses i dataskyddsförordningen samt övrig lagstiftning gällande tekniska, administrativa och organisatoriska åtgärder som syftar till att skydda personuppgifter mot obehörig åtkomst, förstörelse och ändring.

Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandling medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

10. PuA har rätt att själv eller genom tredje man kontrollera att PuB följer detta avtal. PuB ska därvid vara PuA behjälplig. PuA ska ha rätt att inspektera den hårdvara och mjukvara som används för behandlingen av de personuppgifter som omfattas av detta avtal samt ska ges tillträde till den fysiska lokal där utrustning och annan hårdvara och mjukvara är förvarad.

11. PuB ska följa av Datainspektionen fattade beslut om åtgärder för att uppfylla dataskyddsfördordningens säkerhetskrav. PuB ska tillåta inspektioner från Datainspektionen.

12. PuB förbinder sig att inte lämna ut till tredje man eller eljest röja information om behandling av personuppgifter som omfattas av detta avtal eller annan information som PuB erhållit till följd av detta avtal. Detta åtagande gäller inte information som PuB föreläggs utge till Datainspektionen.

PuB ska genast överlämna till PuA en eventuell begäran från domstol, annan myndighet eller enskild om att få ta del av uppgifter som behandlas enligt detta avtal.

13. PuB får inte utnyttja personuppgifterna för egna ändamål.

14. PuB får [Anlita/ej anlita - behåll det som passar] underbiträden för behandling av Personuppgifterna. Om PuB ska anlita underbiträde måste detta i förväg skriftligen godkännas av PuA. Vilka PuB som godkänts av PuA framgår av bilaga [nr], Instruktion till personuppgiftsbiträde.

15. Varje underbiträde har samma skyldigheter som PuB. PuB är fullt ansvarig för underbiträdens uppfyllande av de skyldigheter som följer av detta personuppgiftsbiträdesavtal.

16. PuB ska tillhandahålla och vidta tekniska och praktiska lösningar för att utreda misstankar om att någon obehörigen behandlat eller haft obehörig åtkomst till Personuppgifterna.

17. Vid händelse av en personuppgiftsincident ska PuB utan dröjsmål skriftligen underrätta PuA om händelsen.

5. Personuppgiftsansvariges åtaganden

1. PuA har ansvar för all behandling av personuppgifter, i enlighet med dataskyddsförordningen med kompletterande lagstiftning

2. PuA har att beakta tillämplig lagstiftning och att den efterlevs beträffande behandlingarna av personuppgifter med avseende på såväl utlämnande av uppgifter och i förekommande fall även för efterföljande behandling av återlämnade personuppgifter.

3. PuA skall ombesörja att behandling endast sker för de personuppgifter som härrör från rubricerat tjänsteavtal samt att detta sker under de förutsättningar som anges i tjänsteavtalet samt detta personuppgiftsbiträdesavtal.

4. PuA ska utan dröjsmål informera PuB om förändringar i behandlingen vilka påverkar PuB:s skyldigheter. PuA ska tillika informera PuB om tredje parts, däribland Datainspektionens och registrerades åtgärder med anledning av behandlingen.

6. Ersättning

1. Rätt till ersättning för behandling av personuppgifter i enlighet med detta personuppgiftsbiträdesavtal regleras särskilt i Tjänsteavtalet.

7. Ansvar och skadeslöshet

1. För den händelse registrerad, eller annan tredje man riktar krav mot PuA på grund av PuB:s behandling av personuppgifter ska PuB hålla PuA skadeslös för sådana krav som följer av att PuB inte följt detta avtal. PuA ska skyndsamt informera PuB om att sådant krav inkommit.

2. För den händelse ett krav avser personuppgifter som inte omfattas av Tjänsteavtalet, men som PuA är ansvarig för, ska PuB inte hållas skadeståndsansvarig. Detta gäller även för det fall att PuA behandlar personuppgifter för andra ändamål än som omfattas av Tjänsteavtalet.

3. PuA ska hålla PuB skadeslös för skador eller kostnader i anledning av behandlingen som är hänförliga till PuA:s agerande. PuB ska snarast underrätta PuA om anspråk på skadestånd som riktas mot PuB med anledning av behandlingar av personuppgifter inom ramen för detta avtal.

8. Avtalstid

1. Avtalet gäller fr.o.m. undertecknande av båda parter och tills avtalstidens slut eller tills någon av parterna säger upp avtalet. Se Tjänsteavtal.

2. Personuppgiftsbiträdesavtalet upphör att gälla med omedelbar verkan om någon av parterna säger upp Avtalet. PuA och PuB ska då skyndsamt vidta åtgärder som är överenskomna under punkt 4.7.

9. Rätt till omförhandling

1. Båda parter har rätt att påkalla omförhandling av detta avtal inklusive instruktioner och andra bilagor, för det fall att

• motpartens ägarförhållanden ändras väsentligt

• tillämplig lagstiftning eller tolkningen av den, ändras på ett sätt som påverkar behandlingen av personuppgifter som omfattas av detta avtal.

2. PuB har inte rätt att avbryta uppdraget endast av den anledningen att rätten till omförhandling åberopas eller att en omförhandling påbörjas.

10. Tvist

1. Tvist angående tolkning och tillämpning av detta avtal ska avgöras enligt tjänsteavtalets bestämmelse om tvist. [Om annan lag skall tillämpas anges det här]

2. Svensk lag ska tillämpas på detta avtal.

Detta avtal har upprättats i två likalydande exemplar, varav parterna tagit var sitt.

……………………………… ………………………………

Ort och datum Ort och datum

[Personuppgiftsbiträde] [Personuppgiftsansvarig]

……………………………… ………………………………

Titel Titel

IT-enheten	1 (6)
Xxxxxxxxxxxx 0, Xxx 000, 000 00 Xxxxxxxx
031 786 00 00
xxx.xx.xx