Databehandleraftale vedrørende brug af. WinPLC og relaterede services. Version 1.0 d. 1. november Parterne. Kundenr.:

Transkript

1 Databehandleraftale vedrørende brug af WinPLC og relaterede services Version 1.0 d. 1. november 2015 Parterne Kundenr.: Klinikkens navn og adresse (evt. stempel) (herefter den Dataansvarlige) og (herefter Databehandleren) har i henhold til lov nr. 429 af med senere ændringer (Persondataloven), 42, stk. 2, indgået denne aftale om Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige(herefter Databehandleraftalen )

2 Formål og oplysninger omfattet af databehandleraftalen Databehandleren er ansvarlig for udvikling og drift af WinPLC, Aftalebogen, konsultationen og Medicinbestilling, der gør det muligt at stille relevante oplysninger til rådighed for parterne på sundhedsområdet. Dette indebærer også brugen af Cpr opslag og Fælles Medicin Kort. Oplysninger i WinPLC vil omfatte mange forskellige typer af data, herunder persondata af forskellig karakter, hvorfor der i henhold til persondataloven skal foreligge en Databehandleraftale mellem den Dataansvarlige og Databehandleren. En konkret beskrivelse af formål med databehandlingen i WinPLC er nærmere beskrevet på A-Datas hjemmeside. Databehandlerens forpligtelser Generelle forpligtelser Databehandleren skal overholde de til enhver tid gældende regler i lov om behandling af personoplysninger ( Persondataloven ) med tilhørende bekendtgørelser, herunder bekendtgørelse nr. 528 af 15. juni 2000, som ændret ved bekendtgørelse nr. 201 af 22. marts 2001 ( Sikkerhedsbekendtgørelsen). Det indebærer, at Databehandleren har pligt til at iværksætte og opretholde organisatoriske, administrative og it-tekniske foranstaltninger, som forhindrer, at oplysningerne hændeligt eller ulovligt tilintetgøres, fortabes, forringes, kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med lovens krav. Databehandleren skal ligeledes overholde de til enhver tid gældende regler, der følger af Sundhedsloven med tilhørende bekendtgørelser. Databehandleren handler alene efter instruks fra den dataansvarlige, der afgør, til hvilke formål og med hvilke hjælpemidler, der må foretages behandling af oplysningerne. Sikkerhedsforanstaltninger, der etableres hos Databehandleren, skal være i overensstemmelse med ISO27001 standard for informationssikkerhed. Opmærksomheden henledes på, at der i henhold hertil gælder særligt skærpede krav for behandling af personfølsomme oplysninger. Kun de personer hos Databehandleren, som autoriseres hertil, må have adgang til de personoplysninger, der behandles, og brugere må ikke autoriseres til anvendelser, de ikke har behov for i forhold til deres jobfunktion. Medarbejdere hos Databehandleren skal overholde reglerne om tavshedspligt i forvaltningslovens 27. Alle persondata, herunder ikke-følsomme personoplysninger, som Databehandleren får adgang til, skal behandles fortroligt.

3 Behandling af personoplysninger må ikke ske fra hjemmearbejdspladser eller fra lokaler, som Databehandleren ikke fast driver virksomhed fra. Databehandleren skal iværksætte og opretholde eventuelle yderligere sikkerhedsforanstaltninger, hvis dette pålægges ved lov eller hvis det er nødvendigt for at opretholde det nødvendige sikkerhedsniveau. Beskyttelse af personoplysninger i åbne net I overensstemmelse med Datatilsynets udtalelse af 23. marts 2004 skal der ved tilslutning til internet eller andre åbne net træffes foranstaltninger, som sikrer mod uvedkommende trafik og forhindrer adgang fra det åbne net til den dataansvarliges interne net. Databehandleren skal i den forbindelse overholde de til enhver tid gældende retningslinjer fastsat af Datatilsynet. Ligeledes skal det sikres, at kommunikation på alle typer åbne net krypteres, hvis kommunikationen indeholder personhenførbare oplysninger. Ved adgang til personhenførbare data via internettet eller andre åbne net skal brugerne autentificeres med anvendelse af digitale certifikater. Interne sikkerhedsforskrifter Databehandleren skal fastsætte og gennemføre de i Sikkerhedsbekendtgørelsen krævede interne bestemmelser om sikringsforanstaltninger. Dvs. regler for sikkerhedsorganisatoriske forhold og fysisk sikring, herunder administration af adgangskontrolordninger og autorisationsordninger samt kontrol af autorisationer. Der skal endvidere være fastsat instrukser, som fastlægger ansvaret for og beskriver behandling og destruktion af ind- og uddatamateriale samt anvendelse af it-udstyr. Desuden skal der være retningslinjer for tilsyn med overholdelsen af de sikkerhedsforanstaltninger, der er fastlagt. De interne retningslinjer skal være udformet efter Datatilsynets vejledning til Sikkerhedsbekendtgørelsen og skal gennemgås mindst en gang årligt med henblik på at sikre, at de er fyldestgørende og afspejler de faktiske forhold. Den dataansvarlige kan til enhver tid kræve at få udleveret kopi af de interne retningslinjer for informationssikkerhed. Databehandlingsinstruks Håndtering og behandling af sundheds- og personoplysninger, der fremgår af vejledninger for WinPLC, og som gør det muligt at håndtere relevant kommunikation via Sundhedsdatanettet og VANS-nettet.

4 Den dataansvarliges forpligtelser Den dataansvarlige indestår for, at denne lovligt kan behandle de oplysninger, som den dataansvarlige giver Databehandleren instruks til at behandle i medfør af aftalen. Det skal i denne forbindelse anses som en behandlingsinstruks, når den dataansvarlige gør data tilgængelige for sundhedsvæsenets parter via WinPLC, idet Databehandleren herefter vil behandle disse data i overensstemmelse med aftalen. Den dataansvarlige forpligtiger sig tillige ved brug af de services som Databehandleren stiller til rådighed, at udøve god it-skik med den nødvendige sikkerhed og stabilitet. tilbyder i den forbindelse akkrediterings gennemgang, som kan benyttes som retningslinje for og evaluering af den dataansvarliges forpligtigelser i relation til den dataansvarliges egen drift. Anmeldelse til Datatilsynet Den dataansvarlige har i henhold til persondataloven anmeldt sin behandling af oplysningerne til Datatilsynet i den udstrækning, dette er påkrævet i loven. Rådighed og gensidig underretningspligt Såfremt Databehandleren modtager henvendelser vedrørende indholdet i data, der stammer fra den dataansvarliges systemer, skal Databehandleren videresende disse henvendelser eller henvise til den Dataansvarlige. Databehandleren skal straks skriftligt oplyse den Dataansvarlige om enhver fravigelse af de givne instrukser vedr. behandlingen. Specielt skal afvigelser, der kan kompromittere datas korrekthed oplyses. Oplysninger skal gives til kontraktens parter. Hvis der indtræffer hændelser, som bevirker en afvigelse fra den aftalte tilgængelighed, skal dette straks meddeles til den dataansvarlige. Hvis der er mistanke om eller indtræffer hændelser, som indikerer et brud på fortroligheden, skal dette straks meddeles til kontraktens parter. Databehandleren er desuden forpligtet til skriftligt uden unødigt ophold at give den dataansvarlige tilstrækkelige oplysninger til, at denne til enhver tid kan sikre sig, at der er implementeret de nødvendige og tilstrækkelige sikkerhedsforanstaltninger til sikring af, at personoplysninger i WinPLC ikke hændeligt eller ulovligt tilintetgøres, fortabes, forringes, kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med persondatalovens krav.

5 Brug af ekstern databehandler Databehandleren er ikke berettiget til at overlade persondata til en underleverandør, som behandler oplysningerne på Databehandlerens vegne uden forudgående aftale med den dataansvarlige. Databehandleraftalens ikrafttræden og varighed Databehandleraftalen indgås ved begge parters underskrift og gælder indtil den opsiges eller bortfalder efter aftale mellem parterne. Aftalen bekræftes hermed af begge parter ved underskrift på denne aftale Dato: Dato: Dataansvarlig Databehandler

6 APPENDIKS Procedurer og retningslinjer for klinikkens IT Brugen af IT i kommunikation med Sundhedsdatanettet og håndtering af personfølsomme oplysninger stiller krav til en særlig høj grad af sikkerhed samt professionel og standardiseret opsætning. Dette gælder især, når vi leverer adgang til uundværlige services som CPR-opslag, Fælles Medicinkort og Det Danske Vaccinationsregister. Router / firewall Routeren fra A-Data er konfigureret specielt til brug i sundhedsvæsenet og er kendetegnet ved, at vi kan supportere og overvåge flere enheder på klinikkerne. Routeren fungerer som VPN-forbindelse med firewall, der sikrer en krypteret og dermed sikker forbindelse til A-Data, Sundhedsdatanettet, hjemmearbejdspladser mv. Det software, som routeren indeholder, skal derfor løbende opdateres. Sikring mod virus Ved daglig brug af og trafik på internettet kan der aldrig stilles 100 % garanti mod virus og malware. Dog sikres klinikken bedst muligt ved at benytte et af de anerkendte antivirusprogrammer. Hos A-Data anbefaler vi Symantec Endpoint Protection. Antivirusprogrammet skal installeres på samtlige maskiner i klinikken for at have den optimale effekt. Adgangskoder Brugernavne og adgangskoder til pc er, programmer og services skal være strengt fortrolige og må aldrig være tilgængelige for andre. For at sikre mod uvedkommende adgang er det vigtigt, at koderne har en vis sværhedsgrad. Vi anbefaler minimum 8 tegn, som består af store og små bogstaver, tal og tegnsætning. Den IT-ansvarlige skal sikre, at brugere bliver slettet, når de ikke længere er tilknyttet klinikken. Backup og UPS En forudsætning for at sikre mod datatab er, at der som minimum dagligt tages backup af server, pc eller andet lagringsmedie. Det bør løbende sikres, at backup-data er tilstrækkelig omfattende samt anvendelig for genindlæsning. Reetablering og validering af data er oftest en omfattende opgave, som ligger uden for standard backupabonnementer. Ved valg af backup-løsning skal det altid risikovurderes, hvorvidt løsningen skal foretages automatisk eller manuelt, samt om backup en opbevares internt eller eksternt. For klinikker med egen server er det meget vigtigt at have installeret en UPS, der ved strømsvigt tager over som strømkilde og sikrer, at serveren lukkes kontrolleret ned, hvormed datatab undgås. Vær opmærksom på, at batteriet har en begrænset levetid på 2-3 år. Retningslinjer og ansvar Hver klinik bør udpege en IT-ansvarlig, der definerer og varetager klinikkens ITprocedurer. Der bør udfærdiges konkrete retningslinjer for brugen af IT i klinikken, som alle medarbejdere skal introduceres i, således at de også ved hvem, der skal kontaktes ved uregelmæssigheder.