Underbilag 4B til kontrakt om elektronisk nøglesystem mellem Kalundborg Kommune og [Navn - skal udfyldes af leverandøren]

Transkript

1 Underbilag 4B til kontrakt om elektronisk nøglesystem mellem Kalundborg Kommune og [Navn - skal udfyldes af leverandøren] DATABEHANDLERAFTALE

2 Der er dags dato indgået følgende Databehandleraftale mellem Kalundborg Kommune Holbækvej 141B 4400 Kalundborg CVR.nr (herefter benævnt Kalundborg Kommune ) og Navn Adresse Adresse Cvr.nr.: (herefter benævnt Databehandler ) 1. Aftalens anvendelsesområde og omfang Denne aftale (herefter benævnt Aftalen ) udgør et tillæg til kontrakt mellem Kalundborg Kommune og Databehandler om dennes varetagelse af [indsæt beskrivelse af opgaven/ydelsen]. Aftalen kan dog alene finde anvendelse, indtil rammeaftale mellem Kalundborg Kommune og Databehandler ophører. 2. Databehandlerens forpligtelser Databehandleren er databehandler i overensstemmelse med Persondatalovens definition heraf, og Kalundborg Kommune er dataansvarlig. Dette indebærer, at Databehandleren alene må handle efter instruks fra Kalundborg Kommune, der således afgør til hvilke formål personoplysningerne behandles, og med hvilken systemteknisk anvendelse behandlingen sker. Databehandleren er direkte og umiddelbart ansvarlig for overholdelse af Persondataloven, og overtrædelse heraf kan straffes med bøde eller fængsel i op til 4 måneder, jfr. Persondatalovens 70, ligesom Databehandleren kan ifalde erstatningsansvar. Databehandleren skal overholde de til enhver tid gældende regler i Persondataloven, herunder især 41,42 og 53, med tilhørende bekendtgørelser, herunder bekendtgørelse nr. 528 af 15. juni 2000 (Sikkerhedsbekendtgørelsen). Jf. bilag 2. herunder især bekendtgørelsens kapitel 3. 2/11

3 3. Behandling af personoplysninger Databehandleren behandler som led i sin varetagelse af opgaven for Kalundborg Kommune en række personoplysninger af både følsom og ikke-følsom karakter, jfr. Persondatalovens 6, 7, 8 og ikke-følsomme oplysninger (alle andre oplysninger end om rent private forhold) f.eks. økonomi, skat, gæld, sygedage, tjenstlige forhold, familieforhold, bolig, bil, eksamen, stilling, arbejdsområde, navn, adresse, fødselsdato. 7 (mest) følsomme oplysninger: racemæssig eller etnisk bagrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold, helbredsmæssige og seksuelle forhold. Listen er udtømmende. 8 (mindre) følsomme oplysninger: strafbare forhold, væsentlige sociale problemer og andre rent private forhold end nævnt i 7. Bestemmelsen supplerer oplysning om cpr.nr. Oplysningen er fortrolig Behandling må finde sted, hvis den er nødvendig af hensyn til en række nærmere angivne interesser ( 6, stk. 1, nr. 2-7), eller hvis der er givet samtykke. Behandling må som udgangspunkt ikke finde sted. Behandling kræver samtykke. Behandling må ikke finde sted, medmindre det er nødvendigt for varetagelsen af myndighedens opgaver. Behandling må finde sted med henblik på entydig identifikation eller som journalnummer. Sådanne personoplysninger må alene behandles til formål, som er nødvendige for Databehandlerens gennemførelse af en aftalt opgave. 4. Kalundborg Kommunes instruks Ved indgåelsen af nærværende aftale forpligter Databehandleren sig til at overholde Kalundborg Kommunes instruks om behandling af personoplysninger, jf. bilag 1, ligesom Databehandleren er forpligtet til at gøre sig bekendt med Kalundborg Kommunes ITsikkerhedshåndbog. 4.1 Databehandlingens formål Personoplysningerne overføres fra Kalundborg Kommune til Databehandleren med det formål at [indsæt systemets formål]. Den systemtekniske anvendelse af oplysningerne er som følger: [indsæt systemteknisk anvendelse] 3/11

4 4.2 Behandling af personoplysninger: Behandling af personoplysninger skal være i overensstemmelse med bestemmelserne herom i punkt 3, og skal endvidere være i overensstemmelse med god databehandlingsskik, jfr. Persondatalovens 5. Til opfyldelse af instruksens formål behandles følgende typer af personoplysninger af Databehandleren [indsæt typer af personoplysninger], jfr. punkt Kontroller Kalundborg Kommune eller en af denne udpeget tredjemand er berettiget til når som helst at komme på uanmeldt kontrolbesøg hos Databehandleren for at konstatere, om Databehandleren overholder nærværende aftale og gældende lovgivning. 6. Revisorerklæring Kalundborg Kommune kan én gang årligt, efter aftalens ikrafttræden, anmode Databehandler om en erklæring fra Databehandlers revisor, hvori det dokumenteres, at Databehandler overholder denne aftale og gældende persondatalovgivning i forbindelse med sin varetagelse af opgaver for Kalundborg Kommune. Såfremt Databehandler anvender underleverandører, kan Kalundborg Kommune ligeledes anmode Databehandle om at indhente og afgive en tilsvarende revisionserklæring for disse underleverandører. 7. Ændring af databehandleraftalen Denne databehandleraftale kan til enhver tid ændres uden varsel, hvis ændringen er nødvendig for at overholde de til enhver tid gældende regler og forskrifter for behandling af personoplysninger. 8. Ikrafttræden og varighed Aftalen træder i kraft ved begge parters underskrivelse af tilslutningsaftalen og gælder, indtil tilslutningsaftalen opsiges eller bortfalder af anden grund. Databehandler skal dog opfylde Aftalen, så længe Databehandler behandler personoplysninger, der er omfattet af aftalen. 4/11

5 9. Aftalens underskrift Aftalen underskrives i to ligelydende eksemplarer, og hver af parterne opbevarer et eksemplar. Begge parter skal opbevare Aftalen i 5 år efter Aftalens ophør. Dato: / 201 Dato: / 201 For Databehandleren: For Kalundborg Kommune 5/11

6 Bilag 1: Databehandlingsinstruks 1. Indledning Denne databehandlingsinstruks er udstedt af Kalundborg Kommune, som er dataansvarlig for de personoplysninger, der behandles indenfor nærværende aftale 2. Baggrund Kalundborg Kommune har bemyndiget Databehandleren til at varetage behandlingen af personoplysningerne, som den Kalundborg Kommune er dataansvarlig. 3. Krav til databehandlingen: Databehandleren har pligt til at iværksætte og opretholde de samme it-mæssige foranstaltninger, som gælder for Kalundborg Kommune, til sikring af, at oplysninger ikke hændeligt eller ulovligt tilintetgøres, fortabes, forringes, kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med lovens krav. Foranstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, kan f.eks. bestå i, at der efter nærmere fastlagte rutiner foretages sikkerhedskopiering. Data, der uploades til Databehandlerens egne systemer, skal behandles efter bestemmelserne i nærværende aftale. Det betyder, at personoplysninger kun må benyttes til de opgaver, der er henlagt til Databehandleren, og til de formål, der er fastlagt af Kalundborg Kommune. Databehandleren er forpligtet til straks at give Kalundborg Kommune meddelelse om driftsforstyrrelser, mistanke om brud på databeskyttelsesreglerne eller andre uregelmæssigheder i forbindelse med behandlingen af personoplysningerne. 4. Formål Databehandlerinstruksen har til formål at give Databehandleren en generel instruks vedrørende databehandling for Kalundborg Kommune 5. Behandlingen af Oplysningerne Databehandleren må alene behandle personoplysninger til formål som er nødvendige for Databehandlerens gennemførelse af den aftalte opgave. Databehandleren indestår for, at instruksen udleveres til og efterleves af alle Databehandlerens ansatte omfattet af opgaven. 6/11

7 Kalundborg Kommune afgør til hvilke formål og med hvilke systemtekniske anvendelsesmåder, der må foretages behandling af personoplysninger, og Databehandleren udfører denne behandling på Kalundborg Kommunes vegne. Personoplysninger skal ajourføres i nødvendigt omfang. Databehandleren skal endvidere foretage den fornødne kontrol for at sikre, at der ikke behandles urigtige eller vildledende oplysninger. Oplysningerne må ikke opbevares længere end nødvendigt af hensyn til de formål, hvortil de er indsamlet. Oplysninger må ikke videregives til tredjemand, medmindre det sker efter aftale med Kalundborg Kommune, eller det er tilladt eller påkrævet i medfør af den til enhver tid gældende lovgivning, og Kalundborg Kommune er informeret herom. Generelt om behandlingen af Oplysningerne Databehandleren skal ved behandlingen af Oplysningerne opfylde de til enhver tid gældende regler i persondataloven med tilhørende bekendtgørelser, herunder bekendtgørelse nr. 528 af 15. juni 2000, som ændret ved bekendtgørelse nr. 201 af 22. marts 2001 ( Sikkerhedsbekendtgørelsen) samt sikkerhedsvejledning fra Datatilsynet. Databehandlerens behandling af Oplysningerne skal være i overensstemmelse med god databehandlingsskik, jf. persondatalovens 5. Oplysningerne skal ajourføres i nødvendigt omfang. Databehandleren skal endvidere foretage den fornødne kontrol for at sikre, at der ikke behandles urigtige eller vildledende oplysninger. Databehandleren er gjort opmærksom på, at Oplysningerne omfatter såvel fortrolige, herunder personnumre, som følsomme oplysninger omfattet af persondatalovens 7 og 8. IT-sikkerhed Databehandleren skal sikre opfyldelse af de i Databehandlingsaftalen fastsatte krav vedrørende it-sikkerhed og herunder sikre, at Oplysningerne ikke; - hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, kommer til uvedkommendes kendskab eller misbruges, eller i øvrigt behandles i strid med lov om behandling af personoplysninger - Databehandleren skal fastsætte og sikre retningslinjer vedrørende it-sikkerhed i forbindelse med behandlingen af Oplysningerne. Retningslinjerne skal som minimum give et sikkerhedsniveau svarende til de skærpede krav i ISO vedrørende personfølsomme oplysninger, hvilket blandt andet indebærer, at Databehandleren skal etablere og opretholde fornødne sikkerhedsorganisatoriske for- 7/11

8 hold og fysisk sikring, herunder administration af adgangskontrolanordninger og autorisationsordninger samt kontrol af autorisationer. - Databehandleren skal fastsætte og sikre retningslinjer, som fastlægger ansvaret for og beskriver behandling og destruktion af ind- og uddatamateriale samt anvendelse af it-udstyr. Desuden skal der gælde retningslinjer for tilsyn med overholdelsen af de sikkerhedsforanstaltninger, der er fastsat. - Databehandleren skal tillige sikre, at der udarbejdes en instruks til relevante sikkerhedsadministratorer, der nærmere beskriver rettigheder og pligter i forhold til tildeling af adgang til af aftalen omfattede løsning. Databehandleren skal efter anmodning fra den Kalundborg Kommune udlevere en kopi af denne instruks. Interne sikkerhedsforskrifter Databehandleren skal fastsætte interne sikkerhedsforskrifter, der sikrer, at Databehandlerens ansatte kun har adgang til personoplysninger, som er nødvendige for den ansattes udførelse af sine arbejdsopgaver. Retningslinjerne skal være udformet efter Datatilsynets vejledning til Sikkerhedsbekendtgørelsen. Opmærksomheden henledes på, at der herefter gælder særligt skærpede krav for behandling af følsomme oplysninger. Såfremt Databehandlerens ansatte anvender hjemmearbejdsplads, skal Databehandleren indestå for, at ovenstående interne sikkerhedsforanstaltninger også overholdes på hjemmearbejdspladsen. De interne retningslinjer skal gennemgås mindst én gang om året med henblik på at sikre, at de er fyldestgørende og afspejler de faktiske forhold. Retningslinjerne skal være udformet efter Datatilsynets vejledning til Sikkerhedsbekendtgørelsen. Opmærksomheden henledes på, at der i henhold hertil gælder særligt skærpede krav for behandling af følsomme oplysninger. Kalundborg Kommune kan til enhver tid kræve at få udleveret kopi af de interne sikkerhedsforskrifter. Autorisation og adgangskontrol Der stilles krav om en sikker identifikation af brugerne samt en sikker metode til autorisation og kontrol af brugerrettigheder, jf. Sikkerhedsbekendtgørelsens 11. Kun de personer, som autoriseres hertil, må have adgang til de personoplysninger, der behandles, og brugere må ikke autoriseres til anvendelser, de ikke har behov for i forhold til deres jobfunktion. Der skal være login- og adgangskodeprocedure, og der skal føres log med navns nævnelse over, hvem der har haft adgang til hvilke persondata og 8/11

9 på hvilket tidspunkt. Databehandleren skal til enhver tid kunne fremvise en sådan log på Kalundborg Kommunes foranledning. Databehandlerens login- og adgangskodeprocedure skal kunne forevise Kalundborg Kommune på forlangende. Behandling af ind- og uddatamateriale Databehandleren skal sikre, at alle ind- og uddata behandles fortroligt, jf. Sikkerhedsbekendtgørelsens 10 og 13. Transmission af personoplysninger over internettet Databehandleren skal sikre, at der træffes fornødne sikkerhedsforanstaltninger ved transmission af personoplysninger over internettet. Det følger af Sikkerhedsbekendtgørelsen, vejledningen hertil samt Datatilsynets praksis, at der ved transmission af oplysninger om personnumre og andre fortrolige oplysninger over internettet som minimum foretages kryptering. Hvis der er tale om følsomme oplysninger omfattet af persondatalovens 7 og 8, skal der som minimum anvendes en stærk kryptering, baseret på en anerkendt algoritme. Databehandleren skal derudover etablere og vedligeholde en sikker firewall og et sikkert virusværn. Logning Databehandleren skal sikre, at der foretages logning i overensstemmelse med Sikkerhedsbekendtgørelsens 19. Lagringsmedier Databehandleren skal sikre at lagringsmedier med personoplysninger skal være mærket og skal opbevares under opsyn eller under lås, når de ikke benyttes. Lagringsmedier må kun udleveres til medarbejdere samt til autoriserede personer, der har adgang til oplysningerne, med henblik på revision eller drifts og systemtekniske opgaver. Databehandleren skal føre en fortegnelse over, hvilke lagringsmedier, der benyttes i forbindelse med databehandlingen. I forbindelse med reparation og service af dataudstyr, der indeholder personoplysninger, samt ved salg og kassation af anvendte datamedier skal Databehandleren træffe de fornødne foranstaltninger for at sikre, at oplysningerne ikke hændeligt eller bevidst tilintetgøres, fortabes eller forringes eller, at oplysningerne kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med Persondataloven. Databehandleren skal udarbejde skriftlige instrukser for anvendelse, udskiftning og opbevaring af lagringsmedier. 9/11

10 Ændringer Kalundborg Kommune kan til enhver tid foretage ændringer i denne generelle databehandlerinstruks med et forudgående varsel på mindst 30 dage. Databehandleren skal ved sådanne ændringer straks sikre, at Underdatabehandleren forpligtes af den ændrede databehandlerinstruks. Såfremt Databehandleren kan dokumentere, at ændringen påfører Databehandleren merarbejde eller øgede udgifter, er Databehandleren berettiget til at kræve sådanne øgede udgifter dækket af Kalundborg Kommune. 10/11

11 BILAG 2: PERSONDATALOVEN OG SIKKERHEDSBEKENDTGØRELSE 528/2000 MED SENERE ÆNDRINGER Persondataloven Lov om behandling af personoplysninger (Persondataloven), jf. lov nr. 429 af 31. maj 2000 med senere ændringer. Der henvises til Datatilsynets og Retsinformations hjemmesider: Justitsministeriets sikkerhedsbekendtgørelse med tilhørende vejledning Vejledning nr. 37 af af 2. april 2001 til bekendtgørelse nr. 528 af 15. juni 2000 om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning Der henvises til Retsinformations hjemmeside: /11