Personuppgiftsbiträdesavtal (GDPR) – frågor och svar

Alla leverantörer som behandlar våra personuppgifter för vår räkning i en extern tjänst ska ha ett så kallat personuppgiftsbiträdesavtal med oss. I avtalet regleras hur personuppgifterna ska behandlas, vilket ansvar och annat som gäller mellan parterna enligt dataskyddsförordningens (GDPR:s) artiklar.

Personuppgiftsbiträdesavtal ska upprättas om det finns personuppgifter i en extern tjänst hos en leverantör. Detta även om det bara är få och enkla kontouppgifter som finns hos den externa parten, till exempel en app som har konton, och även om de uppgifterna är fiktiva (påhittade namn).

Den som har beställt eller avtalat om tjänsten ska se till att det finns ett personuppgiftsbiträdesavtal som följer dataskyddsförordningen upprättat mellan leverantören och skol- och fritidsförvaltningen. Finns redan ett personuppgiftsbiträdesavtal för skol- och fritidsförvaltningen eller Helsingborgs stad (samma organisationsnummer) om tjänsten, behöver inte flera personuppgiftsbiträdesavtal upprättas med leverantören.

Om flera olika enheter använder samma tjänst eller app ska den som är ansvarig se till att det finns ett personuppgiftsbiträdesavtal. För en del appar, programvaror  och tjänster finns ingen direkt ansvarig, vid kännedom om tjänster kommer förvaltningen att upprätta avtal. Är du osäker eller vill upplysa förvaltningskontoret om behov av ett personuppgiftsbiträdesavtal, kontakta projektledare Pär Emilsson.

Den/de på enheten som har rätt att teckna ett avtal om en tjänst får också teckna ett personuppgiftsbiträdesavtal som komplement till huvudavtalet.

Ofta tillhandahåller leverantören ett färdigt förslag till personuppgiftsbiträdesavtal anpassat till den aktuella personuppgiftsbehandling som sker i deras tjänst. Om de inte gör det har Helsingborgs stad en egen mall för personuppgiftsbiträdesavtal. Vissa detaljer och bilagan kan dock behöva anpassas för att beskriva aktuellt tjänst. På denna sida hittar du Helsingborgs stads mall för personuppgiftsbiträdesavtal.

Vid beställningar av vissa tjänster på internet kan det vara lite svårare att få tag på kontaktpersoner för personuppgiftsbiträdesavtal och många leverantörer sätter nu upp avtalshantering med digital signatur i någon form. Följ deras instruktioner i respektive tjänst, om det är möjligt, för att signera aktuellt avtal. Se till att spara ut en egen kopia på signerat avtal.

Signerade personuppgiftsbiträdesavtal ska diarieföras i er enhets diarium (eller via barn- och utbildningsnämndens/idrott- och fritidsnämndens diarier).

Skicka en kopia av viktiga personuppgiftsbiträdesavtal till förvaltningen, via Pär Emilsson, när det gäller tjänster som hanterar känsliga personuppgifter eller väldigt många uppgifter (500+ personer).

Vi ska bara teckna personuppgiftsbiträdesavtal med ett externt företag om det finns ett riktigt avtal eller beställd tjänst som går ut på att de ska behandla våra personuppgifter för vår räkning externt. Det går bra att använda skolfotoföretagens avtalsmall för personuppgiftsbiträdesavtal i dessa fall.

Enheten måste själv avgöra om man har ett giltigt avtal med skolfotoföretaget eller om det är en annan form av överenskommelse. Om inte ett regelrätt avtal finns så agerar inte skolfotoföretaget på vårt uppdrag med att behandla våra uppgifter och då behövs inte personuppgiftsbiträdesavtal. Skolfotoföretagen är då själva personuppgiftsansvariga och hanterar det mot sina kunder, det vill säga vårdnadshavare och myndiga elever, oavsett hur de har fått tag på uppgifterna.