DATABEHANDLERAFTALE. 1.3 Denne databehandleraftale er en aftale mellem den enkelte partnerskole ( Skolen ) som dataansvarlig og GF som databehandler.

Transkript

1 DATABEHANDLERAFTALE 1. Baggrund og parterne i aftalen 1.1 Denne databehandleraftale er er et bilag til den gældende Samarbejdsaftale om administrative og tekniske støttefunktioner mellem de deltagende partnerskoler i Gymnasiefællesskabet med Roskilde Gymnasium som værtsinstitution ( GF ). 1.2 Udtrykket GF bruges som betegnelse for værtsinstitutionen og dennes opgaver og ansvar som led i samarbejdet, jf. Samarbejdsaftalens afsnit 3 om samarbejdsmodellen og 4 om opgavernes udførelse. 1.3 Denne databehandleraftale er en aftale mellem den enkelte partnerskole ( Skolen ) som dataansvarlig og GF som databehandler. 2. Generelt 2.1 Denne aftale fastsætter de rettigheder og forpligtelser, som finder anvendelse, når GF foretager behandling af personoplysninger på vegne af skolen. 2.2 Aftalen er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i Europa- Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (Databeskyttelsesforordningen), som stiller specifikke krav til indholdet af en databehandleraftale. 2.3 Databehandleren skal behandle personoplysninger i overensstemmelse med god databehandlingsskik, jf. de til enhver tid gældende regler og forskrifter for behandling af personoplysninger. 3. Formål 3.1 GF behandler i medfør af Samarbejdsaftale om administrative og tekniske støttefunktioner mellem de deltagende partnerskoler i Gymnasiefællesskabet med Roskilde Gymnasium som værtsinstitution (herefter Samarbejdsaftalen ) personoplysninger for Skolen. 3.2 Det fremgår af oversigtsbilaget sidst i Samarbejdsaftalen, hvilke af GF s samarbejdsområder og særydelser, Skolen deltager i. GF behandler personoplysninger for Skolen med det formål, der følger af de enkelte samarbejdsområder. 1

2 3.3 Den til samarbejdsområdet hørende behandling af personoplysninger er omfattet af denne databehandleraftale. 4. Skolens rettigheder og forpligtelser 4.1 Skolen har overfor omverdenen (herunder den registrerede person) som udgangspunkt ansvaret for, at behandlingen af personoplysninger sker indenfor rammerne af databeskyttelsesforordningen og databeskyttelsesloven. 4.2 Skolen har derfor både rettighederne og forpligtelserne til at træffe beslutninger om, til hvilke formål og med hvilke hjælpemidler der må foretages behandling. 4.3 Skolen er blandt andet ansvarlig for, at der foreligger hjemmel til den behandling, som GF instrueres i at foretage. 5. GF s forpligtelser 5.1 GF er databehandler for de personoplysninger, som GF behandler på vegne af Skolen, jf. pkt. 3, punkt 7 og bilag 3. GF har som databehandler de forpligtelser, som er pålagt en databehandler i medfør af lovgivningen, jf. Aftalens pkt. 2.1 og GF behandler alene de overladte personoplysninger efter instruks fra Skolen, jf. pkt. 6 og bilag 3, og alene med henblik på opfyldelse af Samarbejdsaftalen og de samarbejdsområder og særydelser, den enkelte skole har tilvalgt. 5.3 GF skal løbende føre en fortegnelse over behandlingen af personoplysninger samt en fortegnelse over alle sikkerhedsbrud. 5.4 GF skal sikre personoplysningerne via tekniske og organisatoriske sikkerhedsforanstaltninger, som beskrevet i de principper, der følger af Sikkerhedsbekendtgørelsen og tilhørende sikkerhedsvejledning og Datatilsynets kommende vejledninger om behandlingssikkerhed, jf. bilag GF skal på opfordring fra Skolen hjælpe med at opfylde Skolens forpligtelser i forhold til den registreredes rettigheder, herunder besvarelse af anmodninger om indsigt, rettelse og sletning af oplysninger, begrænsning af behandling af oplysninger, samt Skolens forpligtelser i forhold til underretning af den registrerede ved sikkerhedsbrud, i medfør af Databeskyttelsesforordningens kap. III samt artikel GF skal hjælpe Skolen med at efterleve dennes forpligtelser efter Databeskyttelsesforordningens artikel 32-36, jf. pkt

3 5.7 GF garanterer at levere tilstrækkelig ekspertise, pålidelighed og ressourcer til at implementere passende tekniske og organisatoriske foranstaltninger sådan, at GF behandling af Skolens personoplysninger opfylder kravene i Databeskyttelsesforordningen og sikrer beskyttelse af de registreredes rettigheder. 5.8 GF er forpligtet til at oplyse med præcise adresseangivelser, hvor Skolens personoplysninger opbevares, jf. bilag 2. GF skal ajourføre oplysningerne over for Skolen ved enhver ændring. Den ajourførte oversigt i bilag 2 er tilgængelig på GF s intranet. 6. Underleverandør (underdatabehandler) 6.1 Ved underdatabehandler forstås en underleverandør, hvortil GF har overladt hele eller dele af den behandling, som GF foretager på vegne af Skolen. 6.2 GF har Skolens generelle godkendelse til at gøre brug af underdatabehandlere. GF skal dog underrette Skolen om eventuelle planlagte tilføjelser eller erstatninger af underdatabehandlere og derved give Skolen mulighed for at gøre indsigelse imod dette. En sådan underretning skal være den dataansvarlige i hænde minimum i god tid ændringen skal træde i kraft. Skolen kan alene gøre rimelige og konkret begrundede indsigelser gældende. 6.3 GF s underleverandører fremgår af bilag Når GF overlader behandlingen af personoplysninger til en underdatabehandler, skal GF indgå en skriftlig (under)databehandleraftale med underdatabehandleren. 6.5 Skolen kan til enhver tid forlange dokumentation fra GF for eksistensen og indholdet af sådanne underdatabehandleraftaler 6.6 Underdatabehandleraftalen skal pålægge underdatabehandleren de samme databeskyttelsesforpligtelser, som GF er pålagt af Skolen i henhold til nærværende aftale, herunder, at underdatabehandleren garanterer at kunne levere tilstrækkelig ekspertise, pålidelighed og ressourcer til at kunne implementere de passende tekniske og organisatoriske foranstaltninger således, at underdatabehandlerens behandling opfylder kravene i Databeskyttelsesforordningen og sikrer beskyttelse af de registreredes rettigheder. 6.7 GF sikrer, at der er dokumentation for datasikkerheden hos underdatabehandleren. Dokumentationen kan efter omstændighederne være en databehandleraftale eller en erklæring fra en offentlig myndighed eller en revisor om, at underdatabehandlerens datasikkerhed lever op til kravene i nærværende aftale. 3

4 6.8 GF s brug af underdatabehandlere fritager ikke GF for noget ansvar overfor Skolen i henhold til nærværende aftale. 6.9 Uanset om GF benytter underdatabehandlere sker al kommunikation mellem Skolen og GF med mindre andet aftales konkret. 7. Instrukser 7.1 GF s behandling af personoplysninger på vegne af Skolen sker udelukkende efter dokumenteret instruks, jf. bilag 3. Det er GF s ansvar at sikre, at eventuelle underdatabehandlere, jf. pkt. 6, får tilsendt Skolens instruks. 7.2 GF giver omgående besked til Skolen, hvis en instruks efter GF s vurdering er i strid med lovgivningen, jf. pkt Tekniske og organisatoriske sikkerhedsforanstaltninger 8.1 GF skal, jf. bilag 1, iværksætte alle sikkerhedsforanstaltninger, der kræves for at sikre et passende sikkerhedsniveau. 8.2 GF skal en gang årligt gennemgå sine interne sikkerhedsforskrifter og retningslinjer for behandlingen af personoplysninger med henblik på at sikre, at de fornødne sikkerhedsforanstaltninger til stadighed er iagttaget. 8.3 GF og GF s medarbejdere er underlagt forbud mod at skaffe sig oplysninger, som ikke har betydning for udførelsen af deres opgaver. 8.4 GF har pligt til at instruere de medarbejdere, der har adgang til eller på anden måde varetager behandling af Skolens personoplysninger, om GF s forpligtelser, herunder bestemmelserne om tavshedspligt og fortrolighed. 8.5 GF er forpligtet til straks at underrette Skolen om ethvert sikkerhedsbrud uanset, om dette sker hos Databehandleren eller hos en underdatabehandler. 8.6 GF må ikke hverken offentligt eller til tredjeparter kommunikere om sikkerhedsbrud uden forudgående skriftlig aftale med Skolen om indholdet af en sådan kommunikation, medmindre GF har en retlig forpligtelse til sådan kommunikation. 9. Overførsler til andre lande 9.1 GF må ikke overføre eller tillade overførsel af personoplysninger til udlandet. 4

5 10. Tavshedspligt og fortrolighed 10.1 GF er - under og efter Samarbejdsaftalens ophør - pålagt fuld tavshedspligt om alle oplysninger, som GF bliver bekendt med gennem samarbejdet. Aftalen indebærer, at tavshedspligtsbestemmelserne i forvaltningsloven kapitel 8 og straffelovens f, jf. straffelovens 152a, finder anvendelse GF sikrer, at alle, der behandler oplysninger omfattet af Aftalen, herunder ansatte, tredjeparter (f.eks. en reparatør) og underdatabehandlere, forpligter sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt. 11. Kontroller og erklæringer 11.1 GF er forpligtet til uden ugrundet ophold at give Skolen nødvendige oplysninger til, at Skolen til enhver tid kan sikre sig, at GF overholder de krav, der følger af denne Aftale GF afgiver én gang årligt en revisionserklæring til Skolen om overholdelse af denne Aftale 1. Erklæringen udarbejdes i overensstemmelse med ISAE Erklæringen foreligger senest den 15. januar og dækker det forudgående kalenderår. Udgiften til udarbejdelsen af erklæringen fordeles mellem GF s partnerskoler i henhold til fordelingsnøglen I tilfælde af, at Skolen og/eller relevante offentlige myndigheder, særligt Datatilsynet, ønsker at foretage en inspektion af de nævnte foranstaltninger i henhold til denne aftale, stiller GF tid og ressourcer til rådighed herfor. 12. Bistand til den Skolen 12.1 GF bistår så vidt muligt Skolen med opfyldelse af de registreredes rettigheder som fastlagt i databeskyttelsesforordningens kapitel 3, herunder i forbindelse med Skolens overholdelse af: a) Oplysningspligten ved indsamling af personoplysninger hos den registrerede b) Oplysningspligten, hvis personoplysninger ikke er indsamlet hos den registrerede c) Den registreredes indsigtsret d) Retten til berigtigelse e) Retten til sletning (»retten til at blive glemt«) 1 Jf. bekendtgørelse nr. 956 af 06/07/2017 om revision og tilskudskontrol m.m. ved institutioner for erhvervsrettet uddannelse, almengymnasiale uddannelser og almen voksenuddannelse m.v. (bilag 1, afsnit 2.3) 5

6 f) Retten til begrænsning af behandling g) Underretningspligt i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling h) Retten til indsigelse 12.2 GF bistår Skolen med dennes opgaver ifht. behandlingssikkerhed, jf. databeskyttelsesforordningens artikel 32-36, herunder Skolens overholdelse af: a) Forpligtelsen til at gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til de risici, der er forbundet med behandlingen b) Forpligtelsen til at anmelde brud på persondatasikkerheden til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer, efter at den Skolen er blevet bekendt med bruddet, medmindre at det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder. c) Forpligtelsen til uden unødig forsinkelse at underrette den/de registrerede om brud på persondatasikkerheden, når et sådant brud sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder d) Forpligtelsen til at gennemføre en konsekvensanalyse vedrørende databeskyttelse, hvis en type behandling sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder e) Forpligtelsen til at høre Datatilsynet inden behandling, såfremt en konsekvensanalyse vedrørende databeskyttelse viser, at behandlingen vil føre til høj risiko i mangel af foranstaltninger truffet af den dataansvarlige for at begrænse risikoen 13. Ændringer i Aftalen 13.1 Aftalen kan ændres uden varsel, hvis det er nødvendigt for at overholde regler og forskrifter for behandling af personoplysninger. 14. Sletning af data 14.1 Hvis Skolen ønsker at udtræde af et samarbejdsområde eller ophøre med at modtage en særydelse, meddeler Skolen til GF, hvorvidt alle personoplysningerne skal slettes eller tilbageleveres til Skolen. I det tilfælde, hvor personoplysningerne tilbageleveres til Skolen, skal GF ligeledes slette eventuelle kopier. GF skal sikre, at eventuelle underdatabehandlere ligeledes efterlever Skolens meddelelse På Skolens anmodning sender GF dokumentation for, at sletningen er sket. 6

7 15. Ikrafttræden og varighed 15.1 Aftalen indgås ved begge parters underskrift på Samarbejdsaftalen og løber indtil ophør af Samarbejdsaftalen GF s fortroligheds- og tavshedspligt om oplysninger, som GF bliver bekendt med gennem samarbejdet, gælder uændret efter ophør af Samarbejdsaftalen, jf. pkt Forrang 16.1 I tilfælde af uoverensstemmelse mellem denne databehandleraftale og Samarbejdsaftalen har databehandleraftalen forrang. Bilag: Bilag 1 Oplysninger om behandlingen Bilag 2 Oplysninger om lokationer for behandling og underleverandører (underdatabehandlere) Bilag 3 Instruks 7

8 Bilag 1 Oplysninger om behandlingen Formålet med GF s behandling af personoplysninger på vegne af Skolen at Skolen kan deltage i de samarbejdsområder og særydelser, som GF tilbyder. Det fremgår af oversigtsbilaget sidst i Samarbejdsaftalen, hvilke samarbejdsområder og særydelser den enkelte Skole aftager fra GF. Formålet er også, at Skolen kan anvende it-systemer, der ejes og administreres af GF, til at indsamle og behandle oplysninger om Skolens medarbejdere, elever, værger, mv. GF tilbyder følgende samarbejdsområder og særydelser med følgende tilhørende behandling af behandling af personoplysninger på vegne af den deltagende Skole: Samarbejdsområde Beskrivelse (bilag til samarbejdsaftalen) Personoplysninger (primært) Registrerede Sekretariat og Jura Bilag 1: ydelseskatalog April 2018 Følsomme Elever, værger, ansøgere, afgåede elever, medarbejdere, jobansøgere, leverandører, skadevoldere DPO Bilag 1.1: ydelseskatalog April 2018 Som ovenfor Løn og Personale Bilag 2: Ydelseskatalog April 2018 Følsomme Medarbejdere, pårørende, jobansøgere, censorer, HR-Database (opsætning, hosting, vedligehold og support) Bilag 2.1 november 2017 Set-up maj 2018 Medarbejdere Gymbetaling (opsætning, hosting, vedligehold og support) Bilag 2.2 november 2017 Set-up maj 2018 Elever, værger IT (netværk, mail, hosting af servere, sikker mail-løsning, pc ere) Bilag 3, 3.1, 3.2: ydelseskatalog samt SLA backend og frontend Medarbejdere, elever ESDH (opsætning, hosting, vedligehold og support) Bilag 3.3, november 2017 Primært medarbejdere, elever 8

9 Kreditorbogholderi Bilag 4: ydelseskatalog maj 2018 Indkøb Bilag 5: Ydelseskatalog - Maj 2017 Bygning Bilag 6: Ydelseskatalog - Maj 2017 Leverandører (fysiske personer) samt evt. medarbejdere Medarbejdere Ledende medarbejdere i tilbudsgivende virksomheder Medarbejdere Håndværkere Behandlingen er ikke tidsbegrænset og varer indtil samarbejdsaftalen opsiges eller skolen udtræder af et af samarbejdsområderne eller særydelserne. 9

10 Bilag 2 Oplysninger om lokationer for behandling og underleverandører (underdatabehandlere) Lokationer for behandlingen Formål Underleverandør Placering Placering af servere (selve serveren ejers og vedligeholdes af GF) Nianet Hørskætten 6c 2630 Tåstrup Sikker mail Fus København. Kopi af backup Dublin, Irland, Back up (filserver, AD-server) Atea (indtil 1/ Herefter Hørskætten 6C, Taastrup GF) Backup (alle andre servere) Ingen. Domkirkepladsen 1, 4000 Roskilde GF har hjemtaget backup en ESDH - support IntraNote ATEA Danmark, Lautrupvang 6, 2750 Ballerup (såfremt hosting er en del af ydelsen) MicrosoftGermany / Deutche Telekom (såfremt IntraNote Signing benyttes) HR Database og Gymbetaling (udvikling, vedligehold, support) DB Vision DBvision Fensmarkgade 3, 2200 København 10

11 Bilag 3 Instruks 1. Instruks Skolen instruerer hermed GF om at foretage behandling af Skolens oplysninger til brug for drift og levering af de i Samarbejdsaftalen aftalte ydelser. Overlader GF behandling af Skolens oplysninger til underdatabehandlere, er GF ansvarlig for at indgå skriftlige (under)databehandleraftaler med disse. GF er ansvarlig for, at Skolens instruks fremsendes til eventuelle underdatabehandlere. 2. Behandlingens formål Behandling af Skolens oplysninger sker i henhold til formålet i Samarbejdsaftalen. GF må ikke anvende oplysningerne til andre formål. Oplysningerne må ikke behandles efter instruks fra andre end Skolen. 3. Generel beskrivelse af behandlingen Der henvises til ydelsesbeskrivelserne for de enkelte samarbejdsområder og særydelser for en nærmere beskrivelse af typer af behandling, som GF skal udføre, herunder processer, varigheden og karakteren af behandlingen. 4. Behandlingssikkerhed Sikkerhedsniveauet skal afspejle at der er tale om behandling af en stor mængde personoplysninger, som primært er omfattet af databeskyttelsesforordningens artikel 6 om almindelige personoplysninger samt databeskyttelseslovens 11 om CPR-numre. Kun i mindre grad behandles der særlige kategorier af personoplysninger (følsomme personoplysninger). Derfor er der kun i mindre grad grund til at etablere en særlig høj grad af sikkerhed. GF er herefter berettiget og forpligtet til at træffe beslutninger om, hvilke tekniske og organisatoriske sikkerhedsforanstaltninger, der skal anvendes for at skabe det nødvendige (og aftalte) sikkerhedsniveau omkring oplysningerne. GF skal dog i alle tilfælde og som minimum gennemføre foranstaltninger, til sikring af datas fortrolighed, integritet og tilgængelighed. GF skal have - procedurer for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerheden - systemer til beskyttelse af data, når de transmitteres over det åbne internet (kryptering) - sikkerhed omkring de fysiske lokationer, hvor data opbevares - procedurer for sikkerhed som led i brug af hjemme-/fjernarbejdspladser - logisk adgangsstyring og systemmæssig overvågning af brugen af systemer 11

12 Følgende opbevaringsperiode/sletterutine: personoplysningerne opbevares i - 90 dage i back up dage i logningsrapporter - 3 år fra udgang af det kalenderår, som administrativ sag angår - 5 år fra udgang af det kalenderår, som lønbilag eller bogføringsbilag vedrører 5. Nærmere procedurer for tilsynet med den behandling, som foretages hos eventuelle underdatabehandlere GF skal én gang årligt indhente en revisionserklæring eller en ledelseserklæring fra en uafhængig trediepart om underdatabehandlerens overholdelse af denne databehandleraftale med tilhørende bilag. 12