Bilag 8 Databehandleraftale [Vejledning til Tilbudsgiverne: Bilaget skal ikke udfyldes af Tilbudsgiver i forbindelse med afgivelse af tilbud. Bilag udfyldes i fællesskab med FMI, hvis det er nødvendigt. Nærværende vejledningsafsnit slettes inden Kontraktens underskrift.]
1. DATABEHANDLERAFTALENS OMFANG OG FORMÅL Formålet med behandlingen af personoplysninger er overordnet set, at [ ]. Leverandøren vil som databehandler i forbindelse hermed foretage behandling af personoplysninger på vegne af FMI som dataansvarlig og til opfyldelse af Kontraktens formål. Databehandleraftalen har således til formål at sikre overholdelse af den til enhve r tid gældende persondatalovgivning i Danmark, jf. Kontraktens afsnit 21.2, herunder sikre tilvejebringelse af passende garantier med hensyn til beskyttelse af privatlivets fred og fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med, at Leverandøren gives adgang til at behandle de i databehandlera ftalen nævnte personoplysninger på vegne af FMI. 2. PERSONOPLYSNINGER OMFATTET AF DATABEHANDLERAFTALEN Databehandleraftalen omfatter følgende typer af personoplysninger: [ ] [ ] [ ] [ ] [Behandlingen omfatter således personoplysninger, der i hen hold til persondataloven og persondataforordningen udgør følsomme/semifølsomme personoplysninger. ] 3. BEHANDLING AF PERSONOPLYSNINGER 3.1. Generelt Omfanget af de opgaver, som FMI skal levere og understøtte, betyder, at der vil ske mange forskellige former for behandling af personoplysninger, herunder [indsamling, registrering, systematisering, opbevaring, ændring, søgning, brug, videregivelse, overladelse, profilering, sammenstilling eller samkøring, herunder i kontroløjemed, sletning samt blokering eller tilintetgørelse]. Kredsen af de registrerede personer, som personoplysningerne vedrører, udgør fortrinsvis [ ]. Leverandøren handler alene efter dokumenteret instruks fra FMI. Leverandøren skal sikre, at de overladte personoplysninger ikke benyttes til andre formål eller behandles på anden måde, end hvad der fremgår af FMIs instruks, herunder for så vidt angår overførsel af personoplysninger til et tredjeland eller en international organisation, jf. dog afsnit 6. Kontrakt Nr. 460000XXXX Side 2 af 8
Leverandøren skal behandle personoplysningerne i overensstemmelse med den til enhver tid gældende lovgivning eller anden regulering om personoplysninger eller bestemmelser fastsat i henhold til lov eller anden regulering. Såfremt Leverandøren skønner, at en instruktion er i strid med førnævnte lovgivning, skal Leverandøren omgående orientere FMI herom. Leverandøren må ikke behandle personoplysningerne til andre formål, med mindre Leverandøren er forpligtet hertil efter EU-retten eller lovgivningen i en medlemsstat. I givet fald skal Leverandøren underrette FMI om denne juridiske forpligtelse, forinden behandlingen påbegyndes. Dette gælder dog ikke, såfremt pågældende lovgivning på baggrund af væsentlige offentlige interesser forbyder en sådan underretning. Leverandøren skal føre en fortegnelse over alle kategorier af behandlinger, der foretages på vegne af FMI. Fortegnelsen skal indeholde følgende: Navn på og kontaktoplysninger for databehandleren, eventuelle underleverandører, FMI, data-beskyttelsesrådgiveren samt hvis det er relevant databehandlerens repræsentant. Kategorierne af de behandlinger, databehandleren eller eventuelle underleverandører foretager for FMI. Eventuelle overførsler af personoplysninger til et tredjeland eller en international organisation, herunder angivelse af dette tredjeland eller denne internationale organisation, samt angivelse af hjemmelen for overførslen til tredjelandet eller den internationale organisation. En generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger. Fortegnelsen skal foreligge skriftligt, herunder elektronisk. Leverandøren sk al efter anmodning fra FMI til enhver tid stille fortegnelsen til rådighed for FMI eller Datatilsynet. Såfremt behandlingen af personoplysninger hos Leverandøren sker helt eller delvist ved anvendelse af hjemmearbejdspladser, skal databehandleren fastsætt e retningslinjer for medarbejdernes behandling af personoplysninger ved anvendelse af hjemmearbejdspladser. Retningslinjerne skal godkendes af FMI. Leverandøren skal overholde kravene til databehandlere, og FMI skal overholde kravene til dataansvarlige i overensstemmelse med den til enhver tid gældende lovgivning. Leverandøren skal deltage i eventuelle drøftelser med Datatilsynet og indarbejde eventuelle anbefalinger og/eller påbud mv. fra tilsynet vedrørende behandling af personoplysninger. Leverandøren skal straks orientere FMI, såfremt Datatilsynet retter Kontrakt Nr. 460000XXXX Side 3 af 8
henvendelse til databehandleren vedrørende behandling af personoplysninger omfattet af Kontrakten. Leverandøren forpligter sig endvidere til straks at orientere FMI om: Enhver anmodning om videregivelse af personoplysninger omfattet af aftalen fra en myndighed, medmindre orienteringen af FMI er eksplicit forbudt ved lov, f.eks. i medfør af regler, der har til formål at sikre fortroligheden af en retshåndhævende myndigheds efterforskning. Enhver anmodning om indsigt modtaget direkte fra den registrerede eller fra tredjemand, medmindre en sådan handlemåde er blevet godkendt. Parterne forpligter sig til i hele aftaleperioden at indhente og opretholde de registreringer og tilladelser, som Parten er forpligtet til at indhente og opretholde i overensstemmelse med den til enhver tid gældende lovgivning. 3.2. Særlige forpligtelser til at bistå FMI Leverandøren skal straks assistere FMI med håndtering af enhver henvendelse fra en registreret, herunder anmodning om indsigt, berigtigelse, blokering eller sletning, hvis de relevante personoplysninger behandles af databehandleren. Leverandøren skal herudover på FMIs anmodning assistere FMI med at overholde øvrige forpligtelser, der måtte påhvile FMI efter den til enhver tid gældende persondatalovgivning, hvor Leverandøren assistance er forudsat, samt hvor Leverandøren assistance er nødvendig for, at FMI kan overholde sine forpligtelser. Leverandøren skal som led heri bistå FMI med at sikre overholdelse af forpligtelserne i medfør af persondataforordningens artikel 32-36. 4. INFORMATIONSSIKKERHED OG DATABESKYTTELSE 4.1. Krav til informationssikkerhed og databeskyttelse Leverandøren skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at personoplysningerne hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med den til enhver tid gældende lovgivning, herunder men ikke begrænset til persondataloven, sikkerhedsbekendtgørelsen og persondataforordningen. Dette gælder også, hvis behandlingen af personoplysninger sker helt eller delvist ved anvendelse af hjemmearbejdsplad ser. Fastsættelsen af fornødne tekniske og organisatoriske sikkerhedsforanstaltninger skal ske under iagttagelse af bl.a.: Kontrakt Nr. 460000XXXX Side 4 af 8
a) De i Kontrakten fastsatte krav til sikkerhed, b) FMIs anvisninger på baggrund af den til enhver tid gældende konsekvensanalyse vedrørende databeskyttelse efter persondataforordningens artikel 35 og c) denne databehandleraftale. Hvis Leverandøren er etableret i en anden EU-medlemsstat, skal de bestemmelser om sikkerhedsforanstaltninger, som er fastsat i lovgivningen i den EU-medlemsstat, hvor Leverandøren er etableret, derudover gælde for Leverandøren. Hvis Leverandøren er etableret i en anden EU-medlemsstat, skal Leverandøren således overholde såvel sikkerhedskrav omfattet af gældende lovgivning i Danmark som sikkerhedskrav i Leverandørens hjemland. 4.2. Kontrol med informationssikkerhed og databeskyttelse Leverandøren skal på FMIs anmodning give FMI tilstrækkelige informationer til, at denne kan påse og dokumentere, at Leverandøren har truffet de nødvendige tekniske og organisatoriske sikkerhedsforanstaltninger. Leverandøren (og enhver eventuel underleverandør) skal hvert år foranledige, at en uafhængig tredjepart afgiver en erklæring til FMI om overholdelse af kravene i denne databehandleraftale, jf. Kontraktens 21.2. Erklæringen skal omfatte en vurdering af Leverandørens efterlevelse af kravene fastlagt i denne aftale samt de krav, der i øvrigt måtte følge af den til enhver tid gældende persondataretlige regul ering i Danmark. Erklæringen skal afgives til udgangen af hvert år, således at erklæringen er FMI i hænde senest den 31. december. Derudover har FMI ret til audit i overensstemmelse med Kontraktens afsnit 21.5. Leverandøren er forpligtet til at give myndigheder, der efter den til enhver tid gældende lovgivning har adgang til FMIs og Leverandørens faciliteter, eller repræsentanter, der optræder på myndighedens vegne, adgang til Leverandørens fysiske faciliteter mo d behørig legitimation. 4.3. Informationssikkerhedsbrud og brud på persondatasikkerheden I tilfælde af informationssikkerhedsbrud og brud på persondatasikkerheden, skal Leverandøren straks efter Leverandørens kendskab hertil orientere FMI herom. Leverandøren skal herefter uden unødigt ophold, dog senest 24 timer efter Leverandørens kendskab til bruddet, rapportere til FMI i overensstemmelse med kravene hertil, jf. Kontraktens afsnit 21. Kontrakt Nr. 460000XXXX Side 5 af 8
5. AFTALER MED EN ANDEN DATABEHANDLER (UNDERDATABEHANDLER) Leverandøren må ikke indgå aftaler med en anden databehandler, f.eks. underleverandører, om behandling af personoplysninger omfattet af databehandleraftalen, medmindre FMI forinden skriftligt har samtykket til aftaleindgåelsen, jf. Kontraktens afsnit 21.2, FMI er berettiget til at stille vilkår for at give et sådant samtykke. Leverandøren skal udarbejde en skriftlig underdatabehandleraftale med en anden databehandler. I sin aftale med en anden databehandler skal Leverandøren sikre sig, at den anden databehandler som minimum accepterer de samme databeskyttelsesforpligtelser, som Leverandøren har påtaget sig ved denne databehandleraftale, for så vidt angår den behandling af FMIs personoplysninger, der varetages af den anden databehandler. Leverandøren indestår for lovligheden af en anden databehandlers behandling af personoplysninger. Hvis en anden databehandler ikke opfylder sine databeskyttelsesforpligtelser, forbliver Leverandøren fuldt ansvarlig over for FMI for opfyldelsen af denne anden databehandlers forpligtelser. De t forhold, at FMI har meddelt samtykke til Leverandørens aftaleindgåelse med en anden databehandler, er uden betydning for Leverandørens pligt til at efterleve databehandleraftalen. Ved ophør af en aftale med en anden databehandler om behandling af personoplysninger omfattet af databehandleraftalen, skal Leverandøren give FMI meddelelse herom. Omkostninger forbundet med etablering af aftaleforholdet til en anden databehandler, herunder omkostninger til udarbejdelse af underdatabehandleraftaler, afholdes af Leverandøren og er således FMI uvedkommende. 6. OVERFØRSEL AF OPLYSNINGER Leverandøren må ikke overføre eller tillade overførsel af personoplysninger til lande uden for det Europæiske Økonomiske Samarbejdsområde uden FMIs forudgående skriftlige godkendelse. Såfremt der skal ske en sådan overførsel, påhviler det Leverandøren at sikre det fornødne overførselsgrundlag foreligger. Overførselsgrundlaget skal forelægges FMI forud for FMIs specifikke godkendelse af overførslen. Leverandøren afholder omkostninger forbundet med etablering af det fornødne overførselsgrundlag. Kontrakt Nr. 460000XXXX Side 6 af 8
7. TAVSHEDSPLIGT Leverandøren skal holde personoplysningerne fortrolige, og er således alene berettiget til at anvende personoplysningerne som led i opfyldelsen af sine forpligtelser i henhold til Kontrakten, herunder databehandleraftalen. Leverandøren skal sikre, at de medarbejdere og eventuelle andre databehandlere og disses medarbejdere, der er autoriseret til at behandle de pågældende personoplysninger, er pålagt den i Kontraktens afsnit 18 regulerede tavshedspligt for så vidt angår de personoplysninger, som de får kendskab til i forbindelse med Kontraktens opfyldelse. 8. ÆNDRINGER I DATABEHANDLERAFTALEN Parterne kan til enhver tid ændre databehandleraftalen i henhold til Kontraktens afsnit 4. 9. VARIGHED OG OPHØR AF DATABEHANDLERAFTALEN Databehandleraftalen træder i kraft ved Parternes underskrift og er gældende så længe Leverandøren behandler personoplysninger på vegne af FMI eller frem til Kontraktens ophør, jf. Kontraktens 24, alt efter hvilket tidspunkt, der indtræder senest. I tilfælde af ophør af databehandleraftalen, uanset det juridiske grundlag herfor, skal Leverandøren yde de fornødne overgangsydelser til FMI, jf. Kontraktens 25. De fornødne overgangsydelser omfatter bl.a., at Leverandøren skal handle efter instruks fra FMI, herunder instruks om straks at tilbagelevere eller slette samtlige personoplysninger, uanset opbevaringsmedie. Leverandøren er forpligtet til loyalt og hurtigst muligt at medvirke til, at udførelse af ydelserne overgår til en anden databehandler eller tilbageføres til FMI. Leverandøren skal straks efter anmodning fra FMI ændre, overføre eller slette personoplysninger, som Leverandøren behandler for FMI. 10. FORRANG I tilfælde af uoverensstemmelse mellem bestemmelserne i denne databehandleraftale og bestemmelserne i andre skriftlige eller mundtlige aftaler indgået mellem Parterne herunder Kontrakten skal bestemmelserne i denne databehandleraftale have forrang. 11. UNDERSKRIFT Ovenstående tiltrædes hermed med virkning fra databehandleraftalens underskrift. Kontrakt Nr. 460000XXXX Side 7 af 8
[sted], den [dato] [sted], den [dato] For Leverandøren For FMI Kontrakt Nr. 460000XXXX Side 8 af 8