Databehandlaravtal

Detta avtal fastställer de rättigheter och skyldigheter som gäller när personuppgiftsbiträdet behandlar personuppgifter för den personuppgiftsansvariges räkning.

Avtalet är utformat med tanke på parternas efterlevnad av artikel 28.3 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (dataskyddsförordningen), som ställer specifika krav på innehållet i ett personuppgiftsbiträdesavtal.

Personuppgiftsbiträdets behandling av personuppgifter sker i syfte att uppfylla parternas "huvudavtal".

Personuppgiftsbiträdesavtalet och "huvudavtalet" är beroende av varandra och kan inte sägas upp var för sig. Personuppgiftsbiträdesavtalet kan dock, utan att "huvudavtalet" sägs upp, ersättas av ett annat giltigt personuppgiftsbiträdesavtal.

Detta personuppgiftsbiträdesavtal har företräde framför eventuella motsvarande bestämmelser i andra avtal mellan parterna, inklusive i "huvudavtalet".

Till detta avtal hör fyra bilagor. Bilagorna utgör en integrerad del av personuppgiftsbiträdesavtalet.

Personuppgiftsbiträdesavtalets Bilaga A innehåller närmare information om behandlingen, inklusive behandlingens ändamål och karaktär, typen av personuppgifter, kategorierna av registrerade och behandlingens varaktighet.

Personuppgiftsbiträdesavtalets Bilaga B innehåller den personuppgiftsansvariges villkor för att personuppgiftsbiträdet ska kunna anlita eventuella underbiträden, samt en lista över de eventuella underbiträden som den personuppgiftsansvarige har godkänt.

Personuppgiftsbiträdesavtalets Bilaga C innehåller en närmare instruktion om vilken behandling personuppgiftsbiträdet ska utföra för den personuppgiftsansvariges räkning (behandlingens föremål), vilka säkerhetsåtgärder som minst ska iakttas, samt hur tillsyn utövas över personuppgiftsbiträdet och eventuella underbiträden.

Personuppgiftsbiträdesavtalet med tillhörande bilagor förvaras skriftligt, inklusive elektroniskt, av båda parter.

Detta personuppgiftsbiträdesavtal befriar inte personuppgiftsbiträdet från skyldigheter som enligt dataskyddsförordningen eller annan lagstiftning direkt åläggs personuppgiftsbiträdet.

Den personuppgiftsansvarige har gentemot omvärlden (inklusive den registrerade) som utgångspunkt ansvaret för att behandlingen av personuppgifter sker inom ramen för dataskyddsförordningen och dataskyddslagen.

Den personuppgiftsansvarige har därför både rättigheterna och skyldigheterna att fatta beslut om för vilka ändamål och med vilka hjälpmedel behandling får utföras.

Den personuppgiftsansvarige ansvarar bland annat för att det finns rättslig grund för den behandling som personuppgiftsbiträdet instrueras att utföra.

Personuppgiftsbiträdet får endast behandla personuppgifter enligt dokumenterad instruktion från den personuppgiftsansvarige, om det inte krävs enligt EU-rätten eller enligt nationell rätt i en medlemsstat som personuppgiftsbiträdet omfattas av; i så fall informerar personuppgiftsbiträdet den personuppgiftsansvarige om detta rättsliga krav innan behandlingen, om inte den aktuella rätten förbjuder en sådan information med hänsyn till viktiga allmänintressen, jfr artikel 28.3 a.

Personuppgiftsbiträdet informerar omgående den personuppgiftsansvarige om personuppgiftsbiträdet anser att en instruktion strider mot dataskyddsförordningen eller mot dataskyddsbestämmelser i annan EU-rätt eller nationell rätt i en medlemsstat.

Personuppgiftsbiträdet säkerställer att endast de personer som för närvarande är behöriga har tillgång till de personuppgifter som behandlas för den personuppgiftsansvariges räkning. Tillgången till uppgifterna ska därför omedelbart stängas av om behörigheten återkallas eller upphör.

Endast personer för vilka det är nödvändigt att ha tillgång till personuppgifterna för att kunna uppfylla personuppgiftsbiträdets skyldigheter gentemot den personuppgiftsansvarige får ges behörighet.

Personuppgiftsbiträdet ska på begäran av den personuppgiftsansvarige kunna visa att de berörda medarbetarna omfattas av ovannämnda tystnadsplikt.

Personuppgiftsbiträdet vidtar alla åtgärder som krävs enligt artikel 32 i dataskyddsförordningen, av vilken det bland annat framgår att det, med beaktande av den aktuella tekniska nivån, genomförandekostnaderna och behandlingens karaktär, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, ska genomföras lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till dessa risker.

Ovanstående skyldighet innebär att personuppgiftsbiträdet ska göra en riskbedömning och därefter genomföra åtgärder för att hantera identifierade risker. Det kan bland annat, beroende på vad som är relevant, röra sig om följande åtgärder:

Personuppgiftsbiträdet ska i samband med ovanstående, i samtliga fall, minst genomföra den säkerhetsnivå och de åtgärder som specificeras närmare i detta avtals Bilaga C.

Parternas eventuella reglering/överenskommelse om ersättning eller liknande i samband med den personuppgiftsansvariges eller personuppgiftsbiträdets efterföljande krav på införande av ytterligare säkerhetsåtgärder framgår av parternas "huvudavtal".

Personuppgiftsbiträdet ska uppfylla de villkor som avses i artikel 28.2 och 28.4 i dataskyddsförordningen för att anlita ett annat personuppgiftsbiträde (underbiträde).

Personuppgiftsbiträdet får således inte anlita ett annat personuppgiftsbiträde (underbiträde) för att uppfylla personuppgiftsbiträdesavtalet utan föregående specifikt eller allmänt skriftligt godkännande från den personuppgiftsansvarige.

Vid allmänt skriftligt godkännande ska personuppgiftsbiträdet informera den personuppgiftsansvarige om eventuella planerade ändringar avseende tillägg eller ersättning av andra personuppgiftsbiträden och därigenom ge den personuppgiftsansvarige möjlighet att invända mot sådana ändringar.

Den personuppgiftsansvariges närmare villkor för personuppgiftsbiträdets anlitande av eventuella underbiträden framgår av detta avtals Bilaga B.

Den personuppgiftsansvariges eventuella godkännande av specifika underbiträden anges i detta avtals Bilaga B.

När personuppgiftsbiträdet har den personuppgiftsansvariges godkännande att anlita ett underbiträde, ser personuppgiftsbiträdet till att ålägga underbiträdet samma dataskyddsskyldigheter som de som fastställs i detta personuppgiftsbiträdesavtal, genom ett avtal eller annat rättsligt dokument enligt EU-rätten eller nationell rätt i en medlemsstat, varigenom det särskilt ställs de nödvändiga garantierna för att underbiträdet kommer att genomföra de lämpliga tekniska och organisatoriska åtgärderna på ett sådant sätt att behandlingen uppfyller kraven i dataskyddsförordningen. Personuppgiftsbiträdet ansvarar således, genom ingåendet av ett underbiträdesavtal, för att ålägga ett eventuellt underbiträde minst de skyldigheter som personuppgiftsbiträdet självt omfattas av enligt dataskyddsreglerna och detta personuppgiftsbiträdesavtal med tillhörande bilagor.

Underbiträdesavtalet och eventuella senare ändringar av detta skickas, på den personuppgiftsansvariges begäran, i kopia till den personuppgiftsansvarige, som därigenom har möjlighet att förvissa sig om att ett giltigt avtal har ingåtts mellan personuppgiftsbiträdet och underbiträdet. Eventuella kommersiella villkor, exempelvis priser, som inte påverkar underbiträdesavtalets dataskyddsrättsliga innehåll, behöver inte skickas till den personuppgiftsansvarige.

Personuppgiftsbiträdet ska i sitt avtal med underbiträdet föra in den personuppgiftsansvarige som förmånstagande tredje man i händelse av personuppgiftsbiträdets konkurs, så att den personuppgiftsansvarige kan inträda i personuppgiftsbiträdets rättigheter och göra dem gällande gentemot underbiträdet, t.ex. så att den personuppgiftsansvarige kan instruera underbiträdet att radera eller återlämna uppgifter.

Personuppgiftsbiträdet får endast behandla personuppgifter enligt dokumenterad instruktion från den personuppgiftsansvarige, inklusive vad gäller överföring (överlämnande, utlämnande samt intern användning) av personuppgifter till tredjeländer eller internationella organisationer, om det inte krävs enligt EU-rätten eller enligt nationell rätt i en medlemsstat som personuppgiftsbiträdet omfattas av; i så fall informerar personuppgiftsbiträdet den personuppgiftsansvarige om detta rättsliga krav innan behandlingen, om inte den aktuella rätten förbjuder en sådan information med hänsyn till viktiga allmänintressen, jfr artikel 28.3 a.

Utan den personuppgiftsansvariges instruktion eller godkännande kan personuppgiftsbiträdet, inom ramen för personuppgiftsbiträdesavtalet, därför bland annat inte:

Den personuppgiftsansvariges eventuella instruktion eller godkännande av att överföring av personuppgifter till ett tredjeland sker framgår av detta avtals Bilaga C.

Detta innebär att personuppgiftsbiträdet i möjligaste mån ska bistå den personuppgiftsansvarige i samband med att den personuppgiftsansvarige ska säkerställa efterlevnaden av:

Personuppgiftsbiträdet bistår den personuppgiftsansvarige med att säkerställa efterlevnaden av den personuppgiftsansvariges skyldigheter enligt artiklarna 32-36 i dataskyddsförordningen, med beaktande av behandlingens karaktär och den information som är tillgänglig för personuppgiftsbiträdet, jfr artikel 28.3 f.

Parternas eventuella reglering/överenskommelse om ersättning eller liknande i samband med personuppgiftsbiträdets bistånd till den personuppgiftsansvarige framgår av parternas "huvudavtal".

Personuppgiftsbiträdet informerar utan onödigt dröjsmål den personuppgiftsansvarige efter att ha fått kännedom om att en personuppgiftsincident har inträffat hos personuppgiftsbiträdet eller ett eventuellt underbiträde.

I enlighet med detta avtals avsnitt 10.2 b ska personuppgiftsbiträdet, med beaktande av behandlingens karaktär och den information som är tillgänglig för biträdet, bistå den personuppgiftsansvarige med att anmäla incidenten till tillsynsmyndigheten.

Vid upphörande av tjänsterna avseende behandling förbinder sig personuppgiftsbiträdet att, efter den personuppgiftsansvariges val, radera eller återlämna alla personuppgifter till den personuppgiftsansvarige, samt att radera befintliga kopior, om inte EU-rätten eller nationell rätt föreskriver lagring av personuppgifterna.

Personuppgiftsbiträdet ställer all information som är nödvändig för att visa personuppgiftsbiträdets efterlevnad av artikel 28 i dataskyddsförordningen och detta avtal till förfogande för den personuppgiftsansvarige och möjliggör och bidrar till revisioner, inklusive inspektioner, som utförs av den personuppgiftsansvarige eller en annan revisor som har bemyndigats av den personuppgiftsansvarige.

Det närmare förfarandet för den personuppgiftsansvariges tillsyn över personuppgiftsbiträdet framgår av detta avtals Bilaga C.

Den personuppgiftsansvariges tillsyn över eventuella underbiträden sker som utgångspunkt genom personuppgiftsbiträdet. Det närmare förfarandet för detta framgår av detta avtals Bilaga C.

Personuppgiftsbiträdet är skyldigt att ge myndigheter som enligt vid var tid gällande lagstiftning har tillgång till den personuppgiftsansvariges och personuppgiftsbiträdets lokaler, eller företrädare som agerar på myndighetens vägnar, tillgång till personuppgiftsbiträdets fysiska lokaler mot uppvisande av vederbörlig legitimation.

Detta avtal träder i kraft när båda parter har undertecknat det.

Avtalet kan av båda parter begäras omförhandlat om lagändringar eller olämpligheter i avtalet ger anledning till detta.

Uppsägning av personuppgiftsbiträdesavtalet kan ske enligt de uppsägningsvillkor, inklusive uppsägningstid, som framgår av "huvudavtalet".

Avtalet gäller så länge behandlingen pågår. Oavsett uppsägning av "huvudavtalet" och/eller personuppgiftsbiträdesavtalet förblir personuppgiftsbiträdesavtalet i kraft fram till dess att behandlingen upphör och uppgifterna raderas hos personuppgiftsbiträdet och eventuella underbiträden.

Underskrift.

Ändamålet med personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning är:

Personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning avser primärt (behandlingens karaktär):

Behandlingen omfattar följande typer av personuppgifter om de registrerade:

Behandlingen omfattar följande kategorier av registrerade:

Personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning kan påbörjas efter detta avtals ikraftträdande. Behandlingen har följande varaktighet:

Villkor för personuppgiftsbiträdets anlitande av eventuella underbiträden.

Godkända underbiträden.

Behandlingens föremål/instruktion. Personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning sker genom att personuppgiftsbiträdet utför följande:

Säkerhet i samband med behandlingen. Att det rör sig om behandling av vanliga icke känsliga personuppgifter, varför en "låg" säkerhetsnivå ska upprättas. Personuppgiftsbiträdet är därefter berättigat och skyldigt att fatta beslut om vilka tekniska och organisatoriska säkerhetsåtgärder som ska användas för att skapa den nödvändiga (och avtalade) säkerhetsnivån kring uppgifterna. Personuppgiftsbiträdet ska dock, i samtliga fall och som minimum, genomföra följande åtgärder som har avtalats med den personuppgiftsansvarige:

Lagringsperiod/raderingsrutin. Personuppgifterna lagras hos personuppgiftsbiträdet till dess att huvudavtalet upphör eller den personuppgiftsansvarige begär att uppgifterna raderas eller återlämnas.

Plats för behandling. Behandling av de personuppgifter som omfattas av avtalet kan inte utan den personuppgiftsansvariges föregående skriftliga godkännande ske på andra platser än följande:

Instruktion eller godkännande avseende överföring av personuppgifter till tredjeländer. Om den personuppgiftsansvarige inte i detta avsnitt eller genom ett efterföljande skriftligt meddelande har angett en instruktion eller ett godkännande avseende överföring av personuppgifter till ett tredjeland, får personuppgiftsbiträdet inte inom ramen för personuppgiftsbiträdesavtalet utföra en sådan överföring.

Närmare förfaranden för den personuppgiftsansvariges tillsyn över den behandling som utförs hos personuppgiftsbiträdet. Tillsyn över personuppgifterna hos personuppgiftsbiträdet kan utövas när den personuppgiftsansvarige anser att det uppstår ett behov av detta.