Oktober 2014 Sagsnr. 013928-0190 cen/dla Databehandleraftale Der er indgået denne Databehandlingsaftale ("Aftale") mellem Fredericia Kommune Gothersgade 20 7000 Frdericia CVR-nr.: 69116418 ("Kommunen") og Navn Adresse Land CVR-nr.: nr. ("Leverandøren") (herefter individuelt benævnt Part og samlet Parterne ) om Leverandørens behandling af personoplysninger på vegne af Kommunen i forbindelse Leverandørens levering af fritvalgs-ydelser til Plejen i Fredericia Kommune. København Langelinie Allé 35 2100 København Ø Danmark Aarhus Frue Kirkeplads 4 8000 Aarhus C Danmark Shanghai, rep. kontor 83 Loushanguan Road Suite 2635, 26/F Shanghai, Kina T +45 72 27 00 00 F +45 72 27 00 27 E info@bechbruun.com Advokatfirma CVR-nr. 25089944 www.bechbruun.com
2/7 Denne Aftale er indgået mellem Parterne som en del af et samlet aftaleforhold i forbindelse med Parternes kontrakt af [...] ( Kontrakten ), som er indgået på baggrund af en konkurrenceudsættelse foretaget af Kommunen angående om levering af fritvalgs-ydelser i Plejen i Fredericia Kommune. IDET (A) Leverandøren i forbindelse med sin udførelse af opgaver i medfør af Kontrakten. (B) De definitioner der er anført i Kontrakten finder anvendelse efter denne Aftale. (C) Denne Aftale udgør et bilag til Kontrakten. (D) Parterne er enige om, at denne Aftale kan ændres uden en samtidig ændring af Kontrakten. HAR PARTERNE DERFOR indgået følgende aftale: 1. De behandlede personoplysninger 1.1 Leverandøren behandler følgende typer personoplysninger på vegne af Kommunen: Hjemmehjælpsmodtagerens fulde navn Hjemmehjælpsmodtagerens adresse Hjemmehjælpsmodtagerens cpr-nr. Hjemmehjælpsmodtagerens bevilligede ydelser Eventuelle oplysninger om Hjemmehjælpsmodtagerens særlige forhold, herunder helbredsmæssige oplysninger, eksempelvis Journal, handleplan, plejeplan, målinger, kommunikation, medicin mm. 1.2 Kommunen er berettiget til at slette og/eller tilføje yderligere oplysningstyper til ovenstående liste ved fremsendelse af en ny liste over oplysninger til Leverandøren.
3/7 2. Formål 2.1 Leverandøren må alene behandle personoplysninger til formål, som er nødvendige for at levering af fritvalgs-ydelser i Plejen i Kommunen. 3. Leverandørens forpligtelser 3.1 Leverandøren må alene behandle de af Kommunen leverede personoplysninger i overensstemmelse med Kommunens instrukser og er i øvrigt forpligtet til at overholde den til enhver tid gældende databeskyttelseslovgivning, herunder persondataloven mv. med tilhørende bekendtgørelser, herunder bekendtgørelse nr. 528 af 15. juni 2000 med senere ændringer (sikkerhedsbekendtgørelsen), samt Kommunens IT-sikkerhedspolitik (Underbilag 10). 3.2 Leverandøren skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger, herunder sådanne yderligere foranstaltninger, som måtte være nødvendige, mod at de i punkt 1.1 anførte personoplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med lov om behandling af personoplysninger. Leverandøren er således blandt andet forpligtet til at opsætte og vedligeholde en firewall og antivirussoftware sikre, at Leverandørens medarbejdere alene har adgang til personoplysningerne i det omfang, det er nødvendigt for udførelsen af arbejdet opbevare eventuelle datalagermedier på forsvarlig vis, således at disse ikke er tilgængelige for tredjemand sikre, at bygninger og systemer, der anvendes i forbindelse med databehandlingen, er sikre, samt at der alene anvendes hardware og software af høj kvalitet, som opdateres løbende sikre, at prøver, affaldsmateriale, kliniske fotos, kørelister og oplysninger lagret på desktop tilintetgøres i overensstemmelse med kravene til databeskyttelse efter nærmere instrukser fra Kommunen. I særlige tilfælde, som afgøres af Kommunen, skal nævnte prøver og affaldsmateriale opbevares eller returneres.
4/7 sikre, at medarbejdere modtager passende uddannelse, fyldestgørende instruktioner i og retningslinjer for behandlingen af personoplysningerne. Leverandøren er forpligtet til at sikre, at de medarbejdere, som er involveret i behandlingen af personoplysningerne, er bekendte med sikkerhedskravene. at overholde Kommunens politik for autorisationer og brugerstyring (Underbilag 11) 3.3 Leverandøren sikrer, at medarbejderne, der får adgang til personoplysninger fra Kommunen har underskrevet en tavshedserklæring om, at de har tavshedspligt over for uvedkommende med hensyn til adgang til de personoplysninger, som Kommunen er dataansvarlig for. Tavshedspligten er gældende såvel under ansættelsen som efter ansættelsens ophør. Leverandøren skal levere en kopi af tavshedserklæringerne efter anmodning fra Kommunen. 3.4 Hvis Leverandøren behandler persondata i et andet EU/EØS medlemsland, skal Leverandøren følge lovgivningen om sikkerhedsforanstaltninger i det pågældende medlemsland. 3.5 Hvis andre myndigheder fremlægger en kendelse om adgang til Kommunens personoplysninger overfor Leverandøren, skal Leverandøren gøre indsigelse mod kendelsen og oplyse Kommunen herom. 3.6 Hvis Leverandøren selv lagrer oplysninger, skal der leveres en oversigt over datacentre og backup centre med præcis adresseangivelse af, hvor Kommunens data behandles. Der sendes en ny oversigt til Kommunen ved ændringer. Der kan ikke uden foregående aftale med Kommunen overføres og registreres data i et andet land. 3.7 Leverandøren er forpligtet til straks at give Kommunen meddelelse om driftsforstyrrelser, mistanke om brud på databeskyttelsesreglerne eller andre uregelmæssigheder i forbindelse med behandlingen af personoplysningerne. Meddelelse skal gives i medfør af Kontraktens bestemmelse herom. 3.8 Kommunen fører tilsyn med, at Leverandøren har truffet de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger. Dette kan enten ske ved et besøg hos Leverandøren, eller ved at Kommunen anmoder om at modtage en kopi af Leverandørens seneste revisionserklæring vedrørende IT-sikkerhed og behandling af personoplysninger, som er udført af en IT-revisor og i overensstemmelse med gældende branchestandarder på området. Omkostningerne forbundet med udarbejdelse af revisionserklæringen afholdes af Leverandøren. Hvis der opstår tvivl
5/7 om Leverandørens overholdelse af sikkerhedskravene i forbindelse med behandling af personoplysninger, kan Kommunen (fx ved en revisor) gennemføre et tilsyn hos Leverandøren. Dette vil i givet fald ske for Leverandørens regning. Hvis Leverandøren tilgår Kommunens IT-systemer, er Kommunen berettiget til at udføre login kontrol samt at tage stikprøver af søgninger i og anvendelse af systemet. 3.9 Kommunen er også berettiget til at foretage tilsyn hos eventuelle underdatabehandlere samt at anmode om deres revisionserklæringer vedrørende ITsikkerhed. 3.10 Leverandøren skal på Kommunens anmodning give Kommunen tilstrækkelige oplysninger til, at denne kan påse, at Leverandøren har truffet de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger. 3.11 Såfremt Leverandøren eller en anden databehandler, som har modtaget oplysninger, modtager en anmodning om adgang til registrerede personoplysninger fra en registreret eller dennes agent, skal Leverandøren straks sende sådan anmodning til Kommunen med henblik på Kommunens videre behandling. 4. Overførsel af oplysninger til andre databehandlere eller tredjeparter 4.1 Leverandøren er alene forpligtet til at overføre, overlade eller videregive de i punkt 1.1 angivne personoplysninger til andre databehandlere (herunder underdatabehandlere) eller tredjeparter, på baggrund af Kommunens skriftlige samtykke, medmindre overførslen, overladelsen eller videregivelsen følger af lovgivningen. 4.2 Hvis Leverandøren anvender underdatabehandlere (jf. Kontraktens bestemmelse om Underleverandører), er det Leverandørens ansvar, at underdatabehandleren efterlever kravene i nærværende databehandleraftale, idet Aftalen også gælder for disse. Leverandøren skal informere Kommunen om evt. underdatabehandlere og sikre, at underdatabehandlernes medarbejdere har underskrevet en tavshedserklæring. Efter anmodning fra Kommunen skal Leverandøren levere en kopi af underdatabehandleraftalen samt tavshedserklæringer. 5. Øvrige forhold 5.1 Leverandøren skal informere de medarbejdere, som behandler personoplysninger på Kommunens vegne, om, at der sker logning at af alle former for behandling
6/7 af fortrolige oplysninger samt registrering af afviste adgangsforsøg. Medarbejderne skal endvidere informeres om, at der fortages kontrol af alle anvendelser af systemer med fortrolige oplysninger. Loggen gemmes i seks måneder, hvorefter den slettes. 6. Ændring 6.1 I tilfælde af ændringer af den danske databeskyttelseslovgivning er Kommunen berettiget til at ændre de i denne Aftale indeholdte instrukser med 2 (to) ugers skriftligt varsel ved fremsendelse af nye skriftlige instrukser til Leverandøren, dog således at Leverandøren til enhver tid skal overholde gældende persondatalovgivning. 7. Misligholdelse 7.1 Leverandøren skal skadesløsholde Kommunen for enhver form for sagsanlæg, krav, omkostninger (herunder sædvanlige udgifter til advokatbistand), tab, ansvar, udgifter eller skader, som er en følge af misligholdelse af denne Aftale. 8. Ikrafttrædelse og ophør 8.1 Aftalen træder i kraft samme dag som Kontrakten eller på det tidligere tidspunkt hvor Leverandøren måtte modtage personoplysninger. 8.2 I tilfælde af ophør af Kontrakten uanset årsag skal denne Aftale også ophøre. Databehandleren er dog forpligtet af denne Aftale, så længe denne behandler personoplysninger på vegne af den Dataansvarlige. 8.3 I tilfælde af Aftalens ophør er den Dataansvarlige berettiget til at forlange, at personoplysningerne senest to måneder efter aftalens ophør tilbageleveres på et af den Dataansvarlige valgt medie eller slettes. 8.4 Hvis der efter Aftalens ophør opstår tvivl om, om Leverandøren har slettet alle de personoplysninger, som Leverandren har fået overført fra Kommunen, kan Kommunen anmode om, at Leverandøren for egen regning indhenter en revisionserklæring om, at oplysningerne ikke længere forefindes hos Leverandøren/er slettet fra Leverandørens IT-systemer.
7/7 9. Lovvalg og værneting 9.1 Denne Aftale reguleres af dansk ret som angivet i Kontrakten. 9.2 Ethvert krav og enhver tvist, der udspringer af eller på anden måde er forbundet med denne Aftale, skal afgøres som anført i Kontrakten. 10. Underskrifter 10.1 Denne Aftale er underskrevet i to enslydende, originale eksemplarer, hvoraf hver Part modtager et eksemplar. --------------------------------------- ----------------------------------------- [Sted og dato] [Sted og dato] --------------------------------------- ------------------------------------------ Fredericia Kommune [Leverandørens navn]