Underbilag 14A.7 DATABEHANDLERAFTALE

Transkript

1 Journalnummer: Underbilag 14A.7 DATABEHANDLERAFTALE Region Syddanmark Damhaven Vejle CVR-nr System-/projektansvarlig person Tel. +45 XXXX XXXX Side 1 (herefter den "Dataansvarlige") og Firmanavn Adresse Evt. underafdeling Kontaktperson CVR-nr. (herefter "Databehandleren") (hver for sig "Part" og sammen benævnt "Parterne") har indgået nærværende databehandleraftale (herefter Databehandleraftalen ) som den 25. maj 2018 afløser tidligere databehandleraftale indgået den [xx.xx.201x] som en del af aftalegrundlag af xx.xx 201x om levering og vedligeholdelse af EPJ-/PASløsning (herefter "Hovedaftalen").

2 1. Databeskyttelseslovgivningen 1.1. Databehandleren skal til enhver tid overholde gældende persondatalovgivning, herunder forordning 2016/679 af 27. april 2016 (herefter "Databeskyttelsesforordningen") med tilhørende retsakter samt heraf afledt national lovgivning med eventuelle tilhørende bekendtgørelser, vejledninger med videre. 2. Instruks 2.1. Databehandleren bemyndiges til at foretage behandling af personoplysninger på den Dataansvarliges vegne på de vilkår, som er fastsat i Databehandleraftalen Databehandleren behandler oplysninger på den Dataansvarliges vegne og handler alene efter dokumenteret instruks, jf. Underbilag 14A.7.1, fra den Dataansvarlige og alene i det omfang, det er nødvendigt for, at Databehandleren kan opfylde sine forpligtelser i henhold til Databehandleraftalen. Denne Databehandleraftale inklusive underbilag og alle de for afviklingen af Databehandlerens opgaver nødvendige og beskrevne behandlinger betragtes som dokumenterede og udgør således sammen med Hovedaftalen instruksen på underskrivelsestidspunktet Databehandleren skal omgående give besked til den Dataansvarlige, hvis en instruks efter Databehandlerens vurdering er i strid med lovgivningen, jf. punkt Tekniske og organisatoriske sikkerhedsforanstaltninger 3.1. Databehandleren har ansvaret for at gennemføre fornødne tekniske og organisatoriske foranstaltninger for at sikre et passende sikkerhedsniveau. Foranstaltningerne skal gennemføres under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammensætning og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder. Databehandleren skal blandt andet tage kategorien af personoplysninger som beskrevet i Underbilag 14A.7.1 i betragtning ved fastlæggelsen af disse foranstaltninger Databehandleren skal uanset punkt 3.1 gennemføre de tekniske og organisatoriske sikkerhedsforanstaltninger, som fremgår af Underbilag 14A til denne Databehandleraftale samt Hovedaftalen Databehandleren forpligter sig til at overholde de til enhver tid gældende lovgivningsmæssige krav vedrørende behandling af personoplysninger. Databehandlingen skal derfor foregå i overensstemmelse med de til enhver tid gældende regler om behandling af personoplysninger. Side 2

3 3.4. Databehandleren forpligter sig endvidere til at behandle personoplysningerne i overensstemmelse med den informationssikkerhedspolitik, som den Dataansvarlige er underlagt, jf. Underbilag 14A.7.2. Principperne og anbefalingerne i ISO med senere ændringer vil således på alle relevante områder skulle efterleves som ramme, jf. Underbilag 14A.7.3, i det omfang andet ikke fremgår af nærværende Databehandleraftale. 4. Databehandlers brug af underdatabehandler 4.1. Databehandleren må ikke indgå aftaler med en underdatabehandler om behandling af personoplysninger omfattet af denne Databehandleraftale, medmindre den Dataansvarlige skriftligt har givet samtykke til aftaleindgåelsen. Den Dataansvarlige er berettiget til at stille nærmere vilkår for et sådant samtykke Databehandleren må endvidere ikke overføre eller tillade overførsel af personoplysninger til lande uden for EU/EØS uden den Dataansvarliges forudgående skriftlige samtykke Såfremt den Dataansvarlige har givet tilladelse til en overførsel af personoplysninger til lande uden for EU/EØS, påhviler det Databehandleren at sikre, at personoplysninger ikke overføres, før der foreligger et lovligt kontraktgrundlag for overførsel af personoplysninger til de pågældende lande, herunder en direkte databehandleraftale mellem den Dataansvarlige og eventuelle underdatabehandlere i tredjelande Databehandleren skal i sin aftale med underdatabehandleren sikre sig, at underdatabehandleren som minimum kan opfylde de forpligtelser, som Databehandleren har påtaget sig ved denne Databehandleraftale, for så vidt angår den behandling af personoplysninger, der varetages af underdatabehandleren Databehandleren indestår for kontraktsmæssigheden og lovligheden af underdatabehandlerens behandling af personoplysninger. Det forhold, at Databehandleren indgår aftale med en underdatabehandler, fritager ikke Databehandleren for pligten til at efterleve Databehandleraftalen Ved ophør af en aftale med en underdatabehandler om behandling af personoplysninger omfattet af denne Databehandleraftale, skal Databehandleren give den Dataansvarlige meddelelse herom. Databehandleren skal i den forbindelse sikre, at underdatabehandleren sletter data behørigt i overensstemmelse med Databehandleraftalen Såfremt Databehandleren anvender underdatabehandler, fremgår oplysninger om denne af Underbilag 14A Ad hoc arbejdspladser 5.1. I det omfang databehandlingen sker fra ad hoc arbejdspladser (fjernarbejdspladser eller hjemmearbejdspladser) er dette nærmere beskrevet i Underbilag 14A.7.5. Side 3

4 5.2. Såfremt Databehandleren foretager databehandling fra ad hoc arbejdspladser, skal Databehandleren sikre, at disse lever op til de sikkerhedsmæssige krav i denne Databehandleraftale med underbilag samt eventuel gældende vejledning og lovgivningsmæssig regulering herom Databehandleren skal ud over de i punkt 5.2 nævnte krav opfylde og dokumentere følgende: Beskrivelse af anvendt krypteret forbindelse mellem ad hoc arbejdspladsen og Databehandlerens/Dataansvarliges netværk; Anvendelse af 2-faktor-autentifikation; Databehandlers interne instruks til egne medarbejdere vedrørende ad hoc arbejdspladser. 6. Dokumentation for overholdelse af forpligtelser 6.1. Databehandleren skal på den Dataansvarliges anmodning give den Dataansvarlige tilstrækkelige oplysninger til, at denne kan påse, at Databehandleren overholder sine forpligtelser efter denne Databehandleraftale og de tilhørende underbilag, herunder instruksen i Underbilag 14A.7.1 og de nævnte tekniske og organisatoriske sikkerhedsforanstaltninger Databehandleren skal, i det omfang Databehandleren er omfattet af kravet i henhold til Databeskyttelsesforordningen, føre en fortegnelse over behandlingsaktiviteter i overensstemmelse med Databeskyttelsesforordningen, således at denne fortegnelse inden for rimelig tid kan stilles til rådighed for den Dataansvarlige eller enhver relevant tilsynsmyndighed Databehandlerens dokumentation i forhold til punkt 6.1 og 6.2 skal ske inden for rimelig tid. 7. Tilsynsmyndigheder, audits og revisionserklæringer 7.1. I tilfælde af, at den Dataansvarlige og/eller relevante offentlige myndigheder, herunder særligt datatilsynsmyndigheder, ønsker at foretage en fysisk inspektion (audit) af de foranstaltninger, som Databehandler foretager i medfør af Databehandleraftalen, forpligter Databehandleren sig til i fornødent og rimeligt omfang at stille tid og ressourcer til rådighed herfor. Databehandleren forpligter sig på samme måde til at sikre, at sådanne audits også kan gennemføres hos dennes underdatabehandlere Som supplement eller alternativ til de ovenfor nævnte audits skal Databehandleren og eventuelle underdatabehandlere sørger for, at en uafhængig ekspert årligt udarbejder en revisionserklæring på grundlag af almindeligt accepterede og anerkendt standarder angående Databehandlerens overholdelse af kravene til sikkerhedsforanstaltninger fastsat i Databehandleraftalen, jf. Underbilag 14A.7.5. Side 4

5 8. Underretningspligt og assistance 8.1. Databehandleren forpligter sig til straks og skriftligt at orientere den Dataansvarlige om enhver afvigelse fra kravene i Databehandleraftalen, f.eks.: ved enhver fravigelse fra givne instrukser; ved enhver afvigelse fra det aftalte om tilgængelighed; ved planlagte releases, opgraderinger, tests med videre; ved enhver mistanke om brud på persondatasikkerheden, der potentielt kan føre til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysningerne behandlet efter denne Databehandleraftale; ved enhver mistanke om misbrug, fortabelse og forringelse af data Databehandleren og dennes eventuelle underdatabehandlere skal straks assistere den Dataansvarlige med håndteringen af enhver henvendelse fra en registreret, herunder anmodning om indsigt, berigtigelse, blokering eller sletning, og besvarelse til registrerede ved udøvelse af disses rettigheder, hvis de relevante personoplysninger behandles af Databehandleren Databehandleren og dennes eventuelle Underdatabehandlere skal assistere den Dataansvarlige med at overholde øvrige forpligtelser, der måtte påhvile den Dataansvarlige efter gældende persondatalovgivning, hvor assistance er forudsat, samt hvor assistance er nødvendig for, at den Dataansvarlige kan overholde sine forpligtelser, herunder ved bistand i forbindelse med udarbejdelse og gennemførelse af konsekvensanalyser og forudgående høringer fra tilsynsmyndighederne Assistance, som Databehandleren anmodes om at udføre i henhold til dette punkt, er ikke indeholdt i Databehandlerens eventuelle faste vederlag, jf. Hovedaftalen, men kan faktureres særskilt efter medgået, dokumenteret tidsforbrug i henhold til aftalte timesatser, jf. Hovedaftalens Bilag Tavshedspligt og fortrolighed 9.1. Databehandlerens ansatte, samarbejdspartnere, eksterne konsulenter og vikarer med flere vil i forbindelse med behandlingen af fortrolige oplysninger være omfattet af de regler om tavshedspligt, som gælder for ansatte i den offentlige forvaltning, herunder reglerne i Forvaltningsloven og Straffeloven Det påhviler Databehandleren og dennes eventuelle underdatabehandlere at informere egne ansatte, samarbejdspartnere, eksterne konsulenter og vikarer med flere om udstrækningen af tavshedspligten og om konsekvenserne ved en eventuel overtrædelse Databehandleren skal holde personoplysningerne fortrolige og er således alene berettiget til at anvende personoplysningerne som led i opfyldelsen af sine forpligtelser i henhold til denne Databehandleraftale og underbilag, herunder instruksen. Side 5

6 9.4. Databehandleren påtager sig endvidere at begrænse adgangen til personoplysningerne til de medarbejdere, for hvem det er nødvendigt at behandle personoplysninger for at kunne opfylde Databehandlerens forpligtelser over for den Dataansvarlige Databehandlerens forpligtelser om tavshedspligt og fortrolighed gælder også efter Databehandleraftalens ophør. 10. Overdragelse Databehandleren må ikke overdrage sine rettigheder og forpligtelser i henhold til denne databehandleraftale uden den Dataansvarliges forudgående samtykke. 11. Misligholdelse Det betragtes som en væsentlig misligholdelse af Hovedaftalen, såfremt Databehandleren ikke overholder forpligtelserne i Databehandleraftalen, de til enhver tid gældende lovgivningsmæssige krav og kravene i de dokumenter, der fremgår af Databehandleraftalens underbilag. Den Dataansvarlige er i så fald berettiget til uden varsel at ophæve samtlige gældende aftaler om databehandling, som udføres for denne Uanset ophævelse eller opsigelse af Databehandleraftalen er Databehandleren dog forpligtet til at levere databehandling i henhold til Hovedaftalen og denne Databehandleraftale, indtil databehandling er sikret hos anden databehandler Databehandleren skal levere relevant ophørsassistance til den Dataansvarlige. Dette inkluderer, men er ikke begrænset til, ophørsassistance i relation til Hovedaftalen, jf. Bilag 16, og samtlige andre aftaler indgået med samme Databehandler og/eller underdatabehandler Databehandleren forpligter sig til at friholde og forsvare den Dataansvarlige imod alle krav, retskrav og ethvert ansvar, tab, bøder, omkostninger og udgifter forbundet dermed som følge af Databehandlerens overtrædelse af Databehandleraftalen eller gældende ret, begået af Databehandleren, Databehandlerens ansatte, underdatabehandlere eller repræsentanter i forbindelse med levering af persondatabehandlingen, gennemførelse af Databehandleraftalen eller som i øvrigt aftalt mellem Parterne Databehandleren kan ved misligholdelse af Databehandleraftalen ifalde bod, såfremt der i Hovedaftalen er fastsat vilkår herom. 12. Ansvar Parterne er ansvarlige overfor hinanden efter dansk rets almindelige regler, med forbehold for sådan regulering af ansvarsforhold, som måtte følge af bestemmelserne i Hovedaftalen Uagtet punkt 12.1 finder ansvarsbegrænsninger ikke anvendelse i sådanne tilfælde, hvor skaden og tabet kan henføres til grov uagtsomhed eller forsætlighed, eller hvor Side 6

7 der foreligger overtrædelse af lovgivningen, herunder persondatalovgivningen, hos Databehandleren. 13. Ændringer Den Dataansvarlige kan foretage ændringer af Databehandleraftalen med et varsel på mindst 30 dage, herunder ændringer i instruksen, jf. Underbilag 14A.7.1, som den Dataansvarlige skønner nødvendige eller relevante Forud for ændringer skal Parterne i videst muligt omfang drøfte, og om muligt aftale, implementeringen af ændringerne, inklusiv implementeringstid og omkostninger I det omfang andet ikke er aftalt mellem Parterne i forhold til ændringer, gælder følgende: Databehandleren skal uden ugrundet ophold iværksætte implementering af ændringer og sikre, at sådanne ændringer implementeres uden ugrundet ophold set i forhold til ændringernes karakter og omfang. Vejledende estimat for implementeringstiden og eventuelle dokumenterede merudgifter forbundet med ændringerne skal meddeles til den Dataansvarlige uden ugrundet ophold. Ændringer anses først for gældende, fra ændringerne er implementeret, forudsat at implementeringen heraf gennemføres i overensstemmelse med dette punkt, og med mindre den Dataansvarlige eksplicit meddeler at fravige dette punkt. 14. Databehandleraftalens ikrafttræden og varighed Databehandleraftalen træder i kraft den 25. maj 2018, og erstatter derved databehandleraftalen indgået samtidig med indgåelsen af Hovedaftalen den [xx.xx.201x] Databehandleraftalen ophører, når al behandling af personoplysninger i henhold til Hovedaftalen er ophørt, og Databehandleren har slettet data i overensstemmelse med punkt Håndtering af personoplysninger efter Databehandleraftalens ophør Databehandleren og dennes eventuelle underdatabehandlere forpligter sig til at tilbagelevere og/eller slette personoplysninger, når databehandling på baggrund af Hovedaftalen og Databehandleraftalen ophører. Den Dataansvarlige skal oplyse Databehandleren om det tidspunkt, hvor databehandlingen skal ophøre. Det påhviler herefter Databehandleren at tilbagelevere og/eller slette personoplysningerne på det oplyste tidspunkt. Databehandlerens behandling i perioden fra varsling af ophør og frem til ophør anses fortsat for at ske under overholdelse af instruksen. Side 7

8 15.2. Sletning må ikke ske, før den Dataansvarlige skriftligt har godkendt den påtænkte fremgangsmåde for sletning Såfremt den Dataansvarlige ikke finder metoden tilstrækkelig sikker og i overensstemmelse med gældende persondatalovgivning og anden relevant lovgivning, skal den Dataansvarlige meddele Databehandleren hvilken metode, der kan anvendes i stedet Når sletningen er foretaget, skal Databehandleren fremsende en skriftlig erklæring på, at personoplysninger er slettet som aftalt, herunder en beskrivelse af den anvendte metode Såfremt Databehandler eller dennes underdatabehandlere i forbindelse med konkurs eller lignende ophører med at behandle personoplysninger for den Dataansvarlige, skal alle personoplysningerne straks leveres tilbage til den Dataansvarlige på en måde, der gør det muligt for den Dataansvarlige at anvende disse fremadrettet. Herefter er Databehandleren, dennes konkursbo eller lignende forpligtet til effektivt at slette personoplysningerne fra egne systemer i overensstemmelse med ovenstående. 16. Lovvalg og værneting Denne Databehandleraftale er inklusive ethvert spørgsmål om Databehandleraftalens gyldighed undergivet dansk ret med undtagelse af regler, der fører til anvendelse af anden lov end dansk lov. 17. Tvistløsning Såfremt der opstår en uoverensstemmelse mellem Parterne i forbindelse med Databehandleraftalen, skal Parterne med en positiv, samarbejdende og ansvarlig holdning søge at indlede forhandlinger med henblik på at løse tvisten Såfremt en løsning ikke kan opnås ved forhandling, må tvisten løses i henhold til de opstillede kriterier i Hovedaftalen, jf. Kontraktens punkt Forrang Såfremt der er modstrid mellem denne Databehandleraftale og Hovedaftalen, har denne Databehandleraftale forrang. 19. Underbilag Underbilag 14A.7.1: Underbilag 14A.7.2: Underbilag 14A.7.3: Underbilag 14A.7.4: Underbilag 14A.7.5: Underbilag 14A.7.6: Databehandlerinstruks Informationssikkerhedspolitik Informationssikkerheds- og risikostyring Underdatabehandlere Ad hoc arbejdspladser Revisionserklæring og audit Side 8

9 20. Underskrifter På vegne af den Dataansvarlige: Navn: Stilling: Adresse: Dato: 25. maj 2018 Underskrift: Den Dataansvarliges projektansvarlige/systemejers kontaktperson: Navn: Stilling: Dato: 25. maj 2018 Underskrift: På vegne af Databehandleren: Navn: Stilling: Adresse: Dato: 25. maj 2018 Underskrift: Side 9