Ishøj Kommune Ishøj Store Torv Ishøj CVR [behandlernes navn] [behandlerens adresse] [Postnummer] CVR.

Transkript

1 IT Databehandleraftale Databehandleraftale om [SYSTEMNAVN] mellem Ishøj Kommune Ishøj Store Torv Ishøj CVR (herefter nævnt som dataansvarlige) Og [behandlernes navn] [behandlerens adresse] [Postnummer] CVR. [nummer] (herefter nævnt som databehandleren) Ishøj Rådhus Ishøj Store Torv Ishøj Telefon Side 1 af 6

2 Indledning Følgende aftale vedrørende behandling af de oplysninger, der indgår i aftalen om levering af [system]: Databehandleren indestår for, at overholde de til enhver tid gældende regler og forskrifter for behandling af personoplysninger som databehandleren behandler på vegne af Ishøj Kommune, herunder: Persondataloven: Lov nr. 429 af 31. maj 2000, med senere ændringer om behandling af personoplysninger Sikkerhedsbekendtgørelsen: Bekendtgørelse nr. 528 af 15. juni 2000, med senere ændringer Sikkerhedsvejledningen: Vejledning nr. 37 af 2. april 2001 til bekendtgørelse nr. 528 af 15. juni 2000 Sikkerhedsinstrukser udsted af dataansvarlige Side 2 af 6

3 Behandlingsaftale Databehandlerens behandling af data sker alene efter instruks fra den dataansvarlige. Reglerne om behandlingssikkerhed er udmøntet i Datatilsynets Vejledning af 2. april 2001 til Bekendtgørelse nr. 528 af 15. juni 2000 om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning. Databehandleren skal træffe de i Persondatalovens 41, stk. 3, nævnte tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes samt mod, at de kommer i uvedkommendes kendskab, misbruges eller behandles i strid med reglerne i Persondataloven. Databehandleren skal på den dataansvarliges anmodning give dataansvarlige tilstrækkelige oplysninger til, at denne kan påse, at de nævnte og organisatoriske sikkerhedsforanstaltninger er truffet. Databehandleren skal efter den dataansvarliges rimelige anmodning herom, udlevere fyldestgørende oplysninger, til den dataansvarliges vurdering og kontrol af, om de nødvendige sikkerhedsforanstaltninger er iværksat og overholdes inden rimelig tid fra modtagelse af en sådan anmodning. Databehandleren har pligt til på eget initiativ at søge eventuel tvivl om sikkerhedskravene og opfyldelsen heraf afklaret, herunder via den dataansvarlige. Databehandleren underretter den dataansvarlige, hvis der konstateres svigt i sikkerheden. Ovenstående sikkerhedsbestemmelser gælder ligeledes i det omfang databehandleren gør brug af hjemmearbejdspladser. Databehandleren skal sikre, at kun personer, som autoriseres hertil, har adgang til de personoplysninger, der behandles. Oplysningerne må ikke opbevares længere end nødvendigt af hensyn til de formål, hvortil de er indsamlet. Oplysningerne må ikke videregives til tredjemand, medmindre dette følger af gældende lovgivning eller efter instruks fra den dataansvarlige. Overførsel af personoplysningerne til tredjelande kan alene ske inden for rammerne i persondatalovens 27. Sletning af datamedier i forbindelse med reparation, genanskaffelse, kassation og salg af datamediet skal ske effektivt ved dataoverskrivning med specialprogram eller ved destruktion eller afmagnetisering af selve datamediet. Side 3 af 6

4 Tavshedspligt vedrørende fortrolige oplysninger For databehandlerens personale gælder reglerne for ansatte i den offentlige forvaltning. Databehandleren er således generelt forpligtet til, at behandle alt modtaget materiale og alle modtagne oplysninger med diskretion og fortrolighed.. I forbindelse med registrering og behandling af data, er databehandleren underlagt tavshedspligt med hensyn til de fortrolige oplysninger, som kommer til databehandlerens kendskab. Databehandleren må således ikke uden instruks fra den dataansvarlige videregive oplysninger, som man er kommet i besiddelse af ved udførelsen af opgaven som databehandler. Databehandleren må ej heller bruge oplysningerne fra databehandleropgaven til egne formål. Oplysningerne må ikke videregives til tredjemand, medmindre dette følger af gældende lovgivning eller efter instruks fra den dataansvarlige. Revision Databehandleren skal én gang årligt, afgive en vederlagsfri og skriftlig erklæring, fra en eksterne uafhængig statsautoriseret revisor, til den dataansvarlige der dokumenterer, at databehandleren opfylder persondataloven, herunder sikkerhedsbekendtgørelsens krav. Beskyttelse af personoplysninger i åbne net I overensstemmelse med Datatilsynets udtalelse af 23. marts 2004 skal der såfremt der sker en tilslutning til internet eller andre åbne net træffes foranstaltninger, som sikrer imod uvedkommende trafik og forhindrer adgang fra det åbne net til den dataansvarliges interne net. Databehandleren skal i denne forbindelse overholde retningslinjerne som til enhver tid fastsat af Datatilsynet. På tidspunktet for underskrivelsen af denne aftale skal databehandleren som minimum træffe følgende foranstaltninger: Etablering og vedligeholdelse af en firewall, som sikrer gennemførelse af myndighedens sikkerhedspolitik, f.eks. gennem spærring for adgang til visse hjemmesider. Ajourføring af servere og pc-arbejdspladser med sikkerhedsopdateringer, som sikrer mod ondsindet udnyttelse af sårbarheder i de anvendte programmer. Etablering af virusværn, som løbende holdes ajourført. Et virusværn vil bl.a. sikre mod en del af den ondsindede spyware. Opsætning af sikkerhedsindstillingerne i browseren og e-post klienten på de enkelte pc-arbejdspladser, således at der opnås den ønskede sikkerhedspolitik omkring websteder, cookies og modtagelse af eksekverbar kode (plug-ins m.v.) Efter en vurdering af den konkrete sikkerhedsrisiko og under hensyntagen til øvrige sikkerhedsforanstaltninger kan yderligere sikkerhedsforanstaltninger være hensigtsmæssige, herunder f.eks. installation af anti-spyware programmer på de enkelte pc-arbejdspladser. Side 4 af 6

5 sikkerhed Såfremt der sker elektronisk behandling af personoplysninger må dette alene ske, såfremt indholdet af oplysningerne krypteres, såvel under opbevaring som under elektronisk udveksling (afsendelse/modtagelse mv.) af personoplysninger. Oplysningerne skal krypteres med stærk kryptering, som til enhver tid defineret af Datatilsynet. Databehandleren skal angive adressen på en , der kan benyttes til at modtage og afsende s, forsynet med digital signatur ( sikker mail-boks ), til dataansvarlig senest samtidig med underskrivelse af aftalen. Der henvises i øvrigt til sikkerhedsbekendtgørelsen, Databehandleren skal altid anvende digital signatur, når der afsendes s, hvori der indgår personoplysninger, som behandles for dataansvarlige.. Brug af ekstern databehandler Såfremt databehandleren overdrager dele af behandlingen et EDB-servicebureau eller en anden underleverandør skal databehandleraftalen mellem databehandler og anden leverandør have følgende indhold (ikke udtømmende): Det skal angives, at Kommunen er dataansvarlig for personoplysningerne i relation til Persondataloven Den eksterne databehandler må alene behandle de modtagne oplysninger efter instruks fra Kommunen og databehandleren og ikke til egne, selvstændige formål Den eksterne databehandler skal over for databehandler indestå for, at denne overholder krav, som er identiske med kravene i denne aftale, Persondataloven, Sikkerhedsbekendtgørelsen med den tilhørende vejledning samt øvrig relevant lovgivning om databehandlerens behandling af persondata i forbindelse med løsning af opgaver for Kommunen. Det skal fremgå, at den eksterne databehandler under ingen omstændigheder må videregive persondata til uvedkommende. Det skal fremgå, at den eksterne databehandler ikke må overlade behandling af personoplysninger til en anden ekstern databehandler, herunder hverken en underleverandør eller et EDB-servicebureau. En ekstern databehandler, der er et EDB-servicebureau, skal være anmeldt til Datatilsynet som EDB-servicebureau. Den eksterne databehandler skal acceptere, at Kommunen eller en af denne udpeget tredjemand har ret til, når som helst, at komme på uanmeldt kontrolbesøg for at kontrollere, om aftalen er opfyldt Den eksterne databehandler skal oplyses om, at Kommunen til enhver tid kan forlange dokumentation for dels eksistensen af databehandleraftalen og dels at kravene i databehandleraftalen overholdes, og at manglende efterkommelse heraf kan medføre, at Kommunen uden varsel tilbagekalder sit samtykke til ekstern databehandling. Side 5 af 6

6 Ophør af aftale Ved ophør af aftale, skal databehandler, på den dataansvarliges foranledning, udlevere, slette eller destruere data som tilhører den dataansvarlige. Ændringer Denne databehandleraftale kan til enhver tid ændres uden varsel, hvis ændringen er nødvendig for, at overholde de til enhver tid gældende regler og forskrifter for behandling af personoplysninger. Aftalen underskrives, og parterne opbevarer hver en kopi af aftalen. Dato (Navn) For den dataansvarlige (Navn) For databehandleren Side 6 af 6