Bilag 9 Databehandleraftale

Transkript

1 Bilag 9 Databehandleraftale

2 Aftale om databehandling mellem Trafik-, Bygge- og Boligstyrelsen Edvard Thomsens Vej København S (i det følgende betegnet som den Dataansvarlige) og XXX XX XX (i det følgende betegnet som Databehandleren)

3 1. Regelgrundlag Med henvisning til Rammeaftale om design, produktion og personalisering af uddannelseskort af [dd.mm.åååå] skal Databehandleren behandle persondata, jf. aftalens punkt 3, som led i opfyldelse af aftalen på vegne af den Dataansvarlige. På baggrund heraf indgås nærværende Databehandleraftale med henvisning til bestemmelserne i lov nr. 429 af 31. maj 2000 om behandling af personoplysninger (Persondataloven) med senere ændringer indgås nærværende databehandleraftale. 2. Baggrund og formålet med behandlingen 3. Persondata omfattet 4. Databehandlerens forpligtelser Databehandleren handler alene efter dokumenteret instruks fra den dataansvarlige. Den dataansvarlige afgør til hvilke formål og hvordan, der må foretages behandling af oplysninger. Databehandleren er forpligtet til at overholde Persondatalovens bestemmelser om behandling af personoplysninger. Databehandleren skal behandle oplysningerne i overensstemmelse med den til enhver tid gældende lovgivning eller anden regulering om oplysninger eller bestemmelser fastsat i henhold til lov. Såfremt Databehandleren skønner, at en instruktion er i strid med førnævnte lovgivning, skal databehandleren omgående orientere den Dataansvarlige herom. Databehandleren skal i videst muligt omfang assistere den Dataansvarlige med håndtering af enhver henvendelse fra en registreret, herunder anmodning om indsigt, berigtigelse, blokering eller sletning, hvis de relevante personoplysninger behandles af databehandleren. 5. Databehandlerens sikkerhedsforanstaltninger Databehandleren skal træffe de i Persondatalovens 41, stk. 3 nævnte tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med Persondataloven. Reglerne i bekendtgørelse nr af 15. juni 2000 (sikkerhedsbekendtgørelsen) med tilhørende vejledning nr. 37 af 2. april 2001 gælder ligeledes for Databehandleren. Databehandleren skal sikre, at kun personer, som autoriseres hertil, har adgang til de oplysninger, der behandles. Behandlingen af data må ikke foregå via hjemmearbejdspladser.

4 5.1 Særlige opmærksomhedspunkter For opfyldelsen af de forpligtelser, der følger af Sikkerhedsbekendtgørelsen, skal der særligt gøres opmærksom på følgende punkter: Oplysningerne må ikke opbevares længere end nødvendigt af hensyn til de formål, hvortil de er indsamlet, jf. bekendtgørelsens 3. Databehandleren skal derfor slette persondata fra en given bestilling 5 uger efter produktionsdato. Oplysningerne må ikke videregives til tredjemand, medmindre dette følger af gældende lovgivning eller efter instruks fra den Dataansvarlige, jf. bekendtgørelsens 3. Databehandleren skal sikre, at kun personer, som autoriseres hertil af databehandler, har adgang til de personoplysninger, der behandles, jf. bekendtgørelsens 11. Hvis opgaven angår behandling af fortrolige eller følsomme oplysninger, skal databehandleren overholde de særlige sikkerhedskrav, der er fastsat i Sikkerhedsbekendtgørelsens kapitel 3, jf. bekendtgørelsens 2, stk Logning og tilgængelighed Databehandlerens produktionssystem skal logge alle produktionshændelser og aktuel status per bevis, herunder det faktiske produktionstidspunkt, tidspunktet for modtagelse af elektroniske data, samt tidspunkt for afsendelse af beviset. Det skal fremgå af loggen, hvis der er foretaget ændringer i modtagne data. Alle logdata skal være tilgængelige i 18 måneder, og databehandleren skal kunne levere logfilen til den Dataansvarlige i et format, der er let redigerbart, ex. MS Excel Transmissionssikkerhed Leverandøren skal kunne sikre, at al transmission af data sker via sikre linjer. 6. Informationssikkerhedsbrud på persondatasikkerheden I tilfælde af informationssikkerhedsbrud og brud på datasikkerheden, skal databehandleren straks orientere den dataansvarlige herom. Databehandleren skal herefter uden unødigt ophold, dog senest 24 timer efter informationssikkerhedsbruddet, rapportere til den dataansvarlige. Rapportering skal som minimum indeholde: En beskrivelse af karakteren af bruddet på datasikkerheden, herunder, hvis det er muligt, og det estimerede antal berørte personer Et kontaktpunkt, hvor yderligere oplysninger kan indhentes samt Beskrive de foranstaltninger databehandleren har truffet eller foreslår truffet for at håndtere bruddet på datasikkerheden Beskrive de foranstaltninger databehandleren har truffet eller foreslår truffet for at undgå at lignende brud vil finde sted i fremtiden. 7. Aftaler med en anden databehandler Databehandleren må ikke indgå aftaler med en anden Databehandler, fx underleverandører, om behandling af oplysninger omfattet af

5 databehandleraftalen, medmindre den Dataansvarlige forinden og skriftligt har samtykket til aftaleindgåelsen. 8. Kontrol Databehandleren skal efter den Dataansvarliges anmodning straks give den Dataansvarlige fyldestgørende oplysninger således, at denne kan vurdere og kontrollere, at de nødvendige sikkerhedsforanstaltninger er iværksat og overholdes. Databehandler skal på den Dataansvarliges anmodning fremsende en revisionserklæring (ISAE3000 type 2) fra en statsautoriseret revisor til den Dataansvarlige, hvori det dokumenteres. Udgifterne hertil afholdes til fulde af Databehandleren. Databehandleren er forpligtet til at give myndigheder, der efter den til enhver tid gældende lovgivning har adgang til den Dataansvarliges og Databehandlerens faciliteter, eller repræsentanter, der optræder på myndighedens vegne, adgang til Databehandlerens fysiske faciliteter mod behørig legitimation. 9. Ændringer Nærværende Databehandleraftale kan til enhver tid ændres uden varsel, hvis ændringen er nødvendig for at overholde de til enhver tid gældende regler og forskrifter for behandling af personoplysninger. 10. Varighed og ophør Databehandleraftalen træder i kraft ved parternes underskrift og er gældende frem til Aftalens ophør.

6 11. Underskrift Dataaansvarlig: Databehandler:... (dd. mm. åååå)... (dd. mm. åååå) Underskrivers navn Underskrivers navn... Kontorchef... Stilling