01.02.2017
BITRÄDESAVTAL ENLIGT PERSONUPPGIFTSLAGEN
Biträdesavtal mellan personuppgiftsansvarig och personuppgiftsbiträde (PuB) ABAX
Sweden AB, Trefasgatan 1, 721 30 Västerås, Sverige
Definitioner
Detta avtal har motsvarande definitioner som återfinns i 3 § Personuppgiftslagen (SFS 1998:204)
PUL, vilket bland annat innebär att:
med personuppgiftsansvarig avses den som ensam eller tillsammans med andra bestämmer
ändamålen med och medlen för behandlingen av personuppgifter.
med personuppgiftsbiträde avses den som behandlar personuppgifter för den
personuppgiftsansvariges räkning.
med behandling avses varje åtgärd eller serie av åtgärder som vidtas i fråga om
personuppgifter, vare sig det sker på automatisk väg eller inte.
med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en
fysisk person som är i livet.
Innehåll och syfte (se noter)
Detta avtal har till syfte att uppfylla personuppgiftslagens krav enligt 30 § andra stycket på avtal mellan
den PuA och PuB. Avtalet reglerar alltså vad biträdet ska ansvara för och utföra åt uppdragsgivaren.
Ansvar och instruktion
PuA har ansvar för all behandling av avtalade personuppgifter i enlighet med personuppgiftslagen.
PuB åtar sig att bara behandla avtalade personuppgifter i enlighet med elektronisk körjournal och
PuAs instruktioner.
Säkerhet och sekretess
PuB ska vidta åtgärder som avses i 31§ a) i personuppgiftslagen, vilket innebär att PuB ska vidta
lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas å
PuAs vägnar.
Biträdesavtal enligt Personuppgiftslagen 2
PuB ska vara beredd att följa av Datainspektionen fattade beslut om åtgärder för att uppfylla lagens
säkerhetskrav.
PuB ska tillåta de inspektioner som Datainspektionen, PuA eller annan berörd part, enligt
personuppgiftslagen, kan kräva för upprätthållandet av en korrekt behandling av personuppgifter.
Utlämnande
PuB åtar sig att för PuA tekniskt lämna ut instruktioner om system och inloggningsuppgifter till:
- Bilförare med egen behörighet till systemet enligt instruktioner från PuA
- Utsedd administratör hos PuA enligt instruktioner från PuA
Upphörande av behandling av personuppgifter
PuA har möjlighet att avtala om att spara data i upp till sju år, eller enligt gällande lagstiftning, på
PuB:s server innan data raderas.
Tvist
Eventuell tvist angående tolkning eller tillämpning av detta avtal, som parterna ej kan lösa på egen
hand, ska avgöras av svensk domstol med tillämpning av svensk lag. Västmanlands tingsrätt skall
vara första instans.
Ort och datum
__________________________
Underskrift av behörig firmatecknare (Personuppgiftsbiträde PuB)
Namnförtydligande
__________________________
__________________________
NOTER
1. AVTALETS ÄNDAMÅL
Avtalets ändamål är att reglera rättigheter och skyldigheter enligt Personuppgiftslag (1998:204).
Avtalet ska säkra att personuppgifter om de registrerade inte används orättmässigt eller kommer i
orätta händer. Avtalet reglerar PuB’s användning av personuppgifter å PuA’s vägnar, härunder
insamling, registrering, sammanställning, lagring, eller kombination av dessa.
2. SYFTE
ABAX as levererar ett system för elektronisk körjournal och fordonskontroll. Systemet ställs till
kundens förfogande genom lösenordskyddad, internetbaserad åtkomst. Det är ABAX som
administrerar systemet, och som å PuA’s vägnar styr vem från PuA’s sida som har åtkomst till
systemet. ABAX kan även reglera graden av åtkomst baserad på avtal med PuA.
2.1 PERSONUPPGIFTER SOM BEHANDLAS
ABAX elektronisk körjournal registrerar löpande all körning med den bil som körjournalen har
monterats i. Det ska vara möjligt att dra slutsats om vem som kör bilen, antingen för att förarens namn
är registrerat i systemet eller annan information som finns hos PuA. Det ställs inga krav på bilförarens
namn i systemet, men det är att rekommendera.
Vid en eventuell skatterevision kan Skattemyndigheterna kräva att se dokumentation på vem som kört
bilen. Mot denna bakgrund är det nödvändigt för företaget att löpande hålla översikt över vem som
disponerar företagets bilar. Systemet möjliggör detta. Personuppgifter som registreras manuellt i
systemet är:
- Namn på bilföraren
- Adress och telefonnummer till bilföraren
- Bankkonto (i fall där milersättning ska utbetalas)
- Avdelningstillhörighet
- Attestansvarig
Vilka uppgifter som registreras överlåts till PuA, men vid utbetalning av milersättning vid bruk av
privatbil kan det krävas från Skattemyndigheternas sida att privatadress är registrerad. Systemet
registrerar löpande startadress, stoppadress, varighet och distans för varje resa. Resor kan även visas
i karta för att kunna dokumentera körd distans gentemot Skatteverket.
2.2 DATA SOM OMFATTAS AV AVTALET OCH HUR DE BEHANDLAS
ABAX säkerställer drift och administration av systemet på uppdrag av PuA. ABAX skall säkerställa
nödvändig systemsäkerhet och säkerställa att ingen obehörig får åtkomst till systemet. ABAX skall
tillhandahålla nödvändig åtkomst till systemet så att PuA får använda systemet enligt sitt ändamål.
PuA får själv avgöra vilka personer som får åtkomst och vilken behörighetsgrad dessa personer har.
Som standard ges alla bilförare möjlighet till insyn i den egna körjournalen. Systemet loggar vem som
använder systemet, och PuA kan se vilka användare som har varit inloggade i systemet, hur ofta,
tidpunkt för inloggning och från vilken IP adress inloggningen har gjorts. Kunden kan använda dessa
uppgifter för att avklara eventuellt missbruk.
2.3 HANTERING AV PERSONUPPGIFTER
Utlämnande av uppgifter från systemet regleras av villkor för ABAX elektronisk körjournal. Med
undantag av bilföraren och PuA lämnas inga uppgifter ut annat än till Polisen mot giltigt, rättsligt
underlag. ABAX anställda har generell tystnadsplikt och är bundna av ABAX sekretess- och
integritetspolicy. Endast anställda vid ABAX som arbetar med systemet och användarstöd, har
behörighet att se personuppgifter. ABAX kan inte själv använda några uppgifter i systemet för andra
ändamål än det avtal som har skrivits med PuA, samt som underlag för fakturering. ABAX har rätt att
använda anonymiserade data för statistiska ändamål.
3. PERSONUPPGIFTSBITRÄDETS SKYLDIGHETER.
PuB skall följa de rutiner och instruktioner som PuA har bestämt att skall gälla. PuB är skyldig att ge
PuA åtkomst till säkerhetsdokumentation som finns om systemet, samt att bistå så att PuA kan vidta
åtgärder och överta sitt eget ansvar gentemot gällande lagar och regler. PuA har, om inget annat
gäller enligt lag eller har avtalats, rätt till åtkomst och insyn i personuppgifterna som behandlas och
systemen som nyttjas till detta ändamål. PuB är skyldig att bistå med nödvändig assistans till detta.
PuB har tystnadsplikt om dokumentation och personuppgifter som personen i fråga får tillgång till
enligt detta avtal. Denna bestämmelse gäller även efter avtalets upphörande.
4. UNDERLEVERANTÖR
ABAX driftar själv servrarna som används för ABAX elektronisk körjournal. Servrarna är placerade i en
serverpark. Underleverantören har inte åtkomst till data utan levererar endast infrastruktur som el,
linjer och kyla.
5. SÄKERHET
PuB skall uppfylla krav på säkerhet som ställs enligt Personuppgiftslagen 31§ a). PuB skall
dokumentera rutiner och andra åtgärder för att säkerställa och uppfylla dessa krav. Dokumentationen
ska vara tillgänglig på begäran från PuA. Avvikelser gällande personuppgifter som är helt eller delvis
automatiserade ska anmälas enligt personuppgiftslagens 36 § och 37 §.
6. SÄKERHETSREVISIONER
Säkerhetsrevisioner av systemet är integrerade i revision av ABAX styrningssystem. ABAX är
certifierad enligt ISO standarderna 9001, 14001 samt 27001 och använder revisions principer enligt
ISO 19001.
7. AVTALSTID
Avtalet gäller så länge som PuB behandlar personuppgifter å PuA:s vägnar. Vid avtalsbrott eller brott
mot Personuppgiftslagen kan PuA ålägga PuB att stoppa vidare behandling av uppgifterna med
omedelbar verkan. Uppsägning av detta avtal följer villkoren för uppsägning av avtal om ABAX
elektronisk körjournal mellan ABAX och kunden.
8. VID UPPHÖRANDE
Vid upphörande av avtalet måste PuA själv hämta ut nödvändiga data för dokumentation mot
skattemyndigheterna. Dessa data lagras då hos PuA som själv påtar sig datasäkerheten. Vid
upphörande av detta avtal är PuB skyldig att säkerställa att alla data som mottagits till behandling från
PuA och som omfattas av detta avtal raderas. Detta gäller även eventuella säkerhetskopior.
9. SVENSK LAG
Avtalet regleras enligt svensk lag och eventuella tvister, där parterna är oense, avgörs i allmän
domstol. Västmanlands tingsrätt skall vara första instans.