Vedlegg 14 Behandleravtalen Bussanbud Stor-Trondheim 2019-2029 1
Behandleravtale for [billetteringssystem] Denne avtale er inngått mellom AtB AS («AtB») og XXXX («Operatøren») 2
1 Avtalens bakgrunn og hensikt Denne avtalen gjelder for Behandling av Personopplysninger i billetteringssystemet. Behandleravtalens hensikt er å regulere partenes rettigheter og plikter etter lov av 14. april 2000 nr. 31 om behandling av personopplysninger (personopplysningsloven) og forskrift av 15. desember 2000 nr. 1265 (personopplysningsforskriften). I forbindelse med avtale mellom Operatøren og AtB om levering av busstjenester vil Operatøren benytte et elektronisk billetteringssystem. Billetteringssystemet eies, driftes og finansieres av AtB. Systemet benyttes til oppgjørshåndtering og administrasjon av billettsalg, men også som ledd i inntektssikring og kontroll. Operatøren skal i henhold til Kontrakt for Busstjenester i Stor- Trondheim (Hovedavtalen) bistå med å forebygge feil billettering og avvik mellom billettsalg og oppgjør for busser, samt tyveri, underslag osv. Både AtB og Operatøren vil gjennomføre kontroll i billetteringssystemet, ved å ta ut avviksrapporter etc. Til ovennevnte formål vil Operatøren få tilgang til opplysninger fra billetteringssystemet. Denne Behandleravtalen regulerer utlevering av opplysninger fra billetteringssystemet til Operatøren, fordelingen av partenes ansvar og bruk av Personopplysninger. 2 Definisjoner Det vises til definisjonene i Hovedavtalen. I tillegg gjelder følgende definisjoner: Behandlingsansvarlig: Den som bestemmer formålet med behandlingen av Personopplysninger og hvilke hjelpemidler som skal brukes. Databehandler: Den som behandler Personopplysninger på vegne av de Behandlingsansvarlige, jf. personopplysningsloven 2 nr. 5. Personopplysninger: Opplysninger og vurderinger som kan knyttes til en enkeltperson, jf. personopplysningsloven 2 nr. 1. Behandling: Enhver bruk av Personopplysninger, som f.eks. innsamling, registrering, sammenstilling, lagring og utlevering eller en kombinasjon av slike bruksmåter, jf. personopplysningsloven 2 nr. 2. 3 Klargjøring og fordeling av ansvar AtB er behandlingsansvarlig for behandling av personopplysninger i billetteringssystemet med de presiseringer som fremgår av denne avtalen. Operatøren vil få tilgang til opplysninger i billetteringssystemet. Operatøren skal i henhold til Hovedavtalen utføre oppgjørshåndtering, administrasjon av billettsalg, inntektssikring og kontroll på vegne av AtB. Behandling av Personopplysninger i billetteringssystemet til disse formålene vil utføres av Operatøren som databehandler for AtB. For databehandlers plikter vises til Vedlegg 8 Databehandleravtale. Operatøren skal også etablere systemer og rutiner for inntektssikring og tiltak for å unngå tyveri, underslag eller andre feil, samt overfor egne ansatte følge opp eventuelle avvik eller feil i billetteringssystemet. Til formålet kontroll og oppfølging av bussjåfører, er partene enige om at Operatøren vil være Behandlingsansvarlig for behandling av Personopplysninger innhentet fra billetteringssystemet. Operatør vil med opplysninger fra billetteringssystemet og andre systemer behandle Personopplysninger som omfatter: 3
Bussjåførenes id nummer. Tidspunkt for når sjåføren har vært pålogget billetteringsmaskinen. Transaksjoner i billettsystemet og avvik i billetteringen, eksempelvis annullering av kjøp. Opplysninger om eventuelle feil eller mulige straffbare handlinger begått av bussjåførene. Ved behandling av personopplysningene i billetteringssystemet, vil Operatøren kunne avdekke opplysninger om straffbare forhold, hvilket er sensitive opplysninger i henhold til personopplysningsloven 2 nr. 8 bokstav b). Partene er ansvarlige for å sikre at slike sensitive opplysninger behandles konfidensielt og i henhold til de særlige krav som gjelder for behandling av sensitive personopplysninger. Operatøren har ikke anledning til å behandle Personopplysninger for andre formål enn det som er beskrevet i denne avtalen. 4 Operatørens ansvar som Behandlingsansvarlig 4.1 Generelt Operatøren er selvstendig ansvarlig for Behandlingen av Personopplysninger som Operatøren utfører for eget formål, se punkt 3, både overfor de registrerte (sjåførene), tilsynsmyndighetene og publikum for øvrig. Operatøren plikter å gjøre den annen part oppmerksom dersom det oppstår forhold som tilsier at behandlingen av Personopplysningene ikke lenger er lovlig eller som innebærer at partene ikke lenger vil kunne overholde de plikter som personopplysningsloven eller annet lovverk oppstiller. Operatøren forplikter videre å overholde alle krav som stilles til Behandlingsansvarlig i personopplysningsloven og personopplysningsforskriften. Operatøren er blant annet ansvarlig for å oppfylle informasjonsplikten overfor de ansatte og eventuelle øvrige registrerte og håndtere alle forespørsler fra de registrerte i henhold til personopplysningsloven. Operatøren er herunder ansvarlig for å overholde forpliktelser knyttet til eventuell melding og konsesjon til Datatilsynet for den delen av behandlingen som Operatøren er ansvarlig for. I den grad samtykke fra sjåførene er nødvendig skal dette innhentes før Behandlingen starter. Operatøren er, som arbeidsgiver, også ansvarlig for at behandlingen av de ansattes personopplysninger utføres i tråd med arbeidsmiljøloven. Inntektssikring og kontroll av opplysninger i billetteringssystemet kan etter forholdene være et kontrolltiltak etter arbeidsmiljølovens kapittel 9. Operatøren er selvstendig ansvarlig for at lovens regelverk om kontrolltiltak overholdes. 4.2 Informasjonssikkerhet Operatøren plikter å gjennomføre slike sikringstiltak som følger av personopplysningsloven 15, jf 13 og personopplysningsforskriften kapittel 2, herunder sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved behandling av Personopplysninger. Pliktene omfatter blant annet: Operatøren skal dokumentere informasjonssystemet og sikkerhetstiltakene. Dokumentasjon skal på forespørsel gjøres tilgjengelig for AtB. Partene skal gjennomføre jevnlige risikovurderinger og sikkerhetsrevisjoner for Behandling av Personopplysninger som omfattes av denne Behandleravtalen i henhold til personopplysningsloven og -forskriften. AtB skal informeres om og ha tilgang til resultatet av risikovurderinger og sikkerhetsrevisjoner gjennomført av Operatøren. Videre skal AtB få informasjon om eventuelle sikkerhetsbrudd. Avviksmelding etter personopplysningsforskriftens 2-6 skal skje ved at partene melder avviket direkte til Datatilsynet. Avviksmeldinger fra Operatøren som gjelder Personopplysninger behandlet i henhold til Behandleravtalen, skal sendes i kopi til AtB. 4
4.3 Konfidensialitet Partene har taushetsplikt om dokumentasjon og Personopplysninger som partene får tilgang til iht. Behandleravtalen. Partene skal behandle alle Personopplysninger konfidensielt og i samsvar med signert taushetserklæring, herunder skal ansatte eller andre hos Operatør med tilgang til Personopplysningene ha signert taushetserklæring som er godkjent av AtB, jf. Hovedavtalen Vedlegg 13. Tilgang skal kun gis etter tjenstlig behov. Taushetserklæringene skal på forespørsel gjøres tilgjengelige for AtB i original versjon. Denne bestemmelsen gjelder også etter Hovedavtalen og Behandleravtalens opphør. 4.4 Bruk av databehandler og overføring til utlandet Operatøren forplikter seg til ikke å overføre Personopplysninger som Operatøren behandler i henhold til denne avtalen til tredjepersoner eller til land utenfor EU/EØS som ikke har tilfredsstillende beskyttelsesnivå (tredjeland), jf. Personopplysningsforskriften 6-1, uten forutgående avtale med AtB. Herunder må samtykke fra AtB innhentes der Operatøren benytter seg av Databehandler eller andre som ikke normalt er ansatt hos Operatøren. Det skal inngås egen databehandleravtale med eventuelle Databehandlere. Eventuell avtale med Databehandler skal fremgå som vedlegg til denne avtalen. Samtlige som på vegne av Operatør utfører oppdrag der bruk av de aktuelle Personopplysningene inngår, skal være kjent med Operatørens avtalemessige og lovmessige forpliktelser og oppfylle vilkårene etter disse. 5 Mislighold Ved brudd på Behandleravtalen, personopplysningsloven eller annet regelverk kan AtB pålegge Operatør å stoppe den videre behandlingen av Personopplysningene med øyeblikkelig virkning samt iverksette eventuelle nødvendig tiltak for å beskytte Personopplysningene. Operatør skal holde AtB skadesløs for ethvert tap, kostnad eller ansvar for skade, herunder også potensielle bøter eller gebyrer, som AtB lider eller blir holdt ansvarlig for som følge av Operatørens brudd på lov, forskrift eller plikter etter denne avtalen. For øvrig gjelder Hovedavtalen punkt 10 om ansvar for Operatøren. 6 Skriftlige meddelelser Meddelelser etter denne Behandleravtalen skal sendes skriftlig til: line.holmesland@atb.no og (kontaktinformasjon til Operatør). 7 Endring i lovverk mv. Ved endring i lov eller forskrift, kan Partene kreve endringer i Behandleravtalen slik at den reflekterer eventuelle nye krav og forpliktelser. 8 Lovvalg og verneting Behandleravtalen er underlagt norsk rett og partene vedtar Trondheim tingrett som verneting. Dette gjelder også etter opphør av Behandleravtalen. 5
*** Denne Behandleravtale er i 2 to eksemplarer, hvorav partene har hvert sitt. [Sted og dato] Operatør AtB.. 6