Changelog
Side 29 af 29 |
Changelog
Version |
ændringer |
1.1
|
Ændringer i Bestemmelserne 7.7., 9.2., 10.4. og Bilag C.8. (Tastefejl og opdaterede krydshenvisninger). |
Partnerskab for informationssikkerhed af 21.03.2022
|
|
29.03.2022 |
Tilretning af afkrydsningsbokse og tilføjet to typer behandling af personoplysninger til side 14. |
|
|
Udkast |
i henhold til artikel 28, stk. 3, i forordning 2016/679 (databeskyttelsesforordningen) med henblik på databehandlerens behandling af personoplysninger
mellem
[NAVN]
CVR [CVR-NR]
[ADRESSE]
[POSTNUMMER OG BY]
[LAND]
herefter ”den dataansvarlige”
og
[NAVN]
CVR [CVR-NR]
[ADRESSE]
[POSTNUMMER OG BY]
[LAND]
herefter ”databehandleren”
der hver især er en ”part” og sammen udgør ”parterne”
HAR AFTALT følgende standardkontraktsbestemmelser (Bestemmelserne) med henblik på at overholde databeskyttelsesforordningen og sikre beskyttelse af privatlivets fred og fysiske personers grundlæggende rettigheder og frihedsrettigheder
Indhold
3. Den dataansvarliges rettigheder og forpligtelser 4
4. Databehandleren handler efter instruks 5
7. Anvendelse af underdatabehandlere 6
8. Overførsel til tredjelande eller internationale organisationer 7
9. Bistand til den dataansvarlige 8
10. Underretning om brud på persondatasikkerheden 9
11. Sletning og returnering af oplysninger 9
12. Revision, herunder inspektion 10
13. Parternes aftale om andre forhold 10
15. Kontaktpersoner hos den dataansvarlige og databehandleren 11
Bilag A Oplysninger om behandlingen 12
Bilag B Underdatabehandlere 14
Bilag C Instruks vedrørende behandling af personoplysninger 15
Bilag D Parternes regulering af andre forhold 31
Disse Bestemmelser fastsætter databehandlerens rettigheder og forpligtelser, når denne foretager behandling af personoplysninger på vegne af den dataansvarlige.
Disse bestemmelser er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (databeskyttelsesforordningen).
I forbindelse med leveringen af [TJENESTE] behandler databehandleren personoplysninger på vegne af den dataansvarlige i overensstemmelse med disse Bestemmelser.
Bestemmelserne har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem parterne.
Der hører fire bilag til disse Bestemmelser, og bilagene udgør en integreret del af Bestemmelserne.
Bilag A indeholder nærmere oplysninger om behandlingen af personoplysninger, herunder om behandlingens formål og karakter, typen af personoplysninger, kategorierne af registrerede og varighed af behandlingen.
Bilag B indeholder den dataansvarliges betingelser for databehandlerens brug af underdatabehandlere og en liste af underdatabehandlere, som den dataansvarlige har godkendt brugen af.
Bilag C indeholder den dataansvarliges instruks for så vidt angår databehandlerens behandling af personoplysninger, en beskrivelse af de sikkerhedsforanstaltninger, som databehandleren som minimum skal gennemføre, og hvordan der føres tilsyn med databehandleren og eventuelle underdatabehandlere.
Bilag D indeholder bestemmelser vedrørende andre aktiviteter, som ikke af omfattet af Bestemmelserne.
Bestemmelserne med tilhørende bilag skal opbevares skriftligt, herunder elektronisk, af begge parter.
Disse Bestemmelser frigør ikke databehandleren fra forpligtelser, som databehandleren er pålagt efter databeskyttelsesforordningen eller enhver anden lovgivning.
Den dataansvarlige er ansvarlig for at sikre, at behandlingen af personoplysninger sker i overensstemmelse med databeskyttelsesforordningen (se forordningens artikel 24), databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes1 nationale ret og disse Bestemmelser.
Den dataansvarlige har ret og pligt til at træffe beslutninger om, til hvilke(t) formål og med hvilke hjælpemidler, der må ske behandling af personoplysninger.
Den dataansvarlige er ansvarlig for, blandt andet, at sikre, at der er et behandlingsgrundlag for behandlingen af personoplysninger, som databehandleren instrueres i at foretage.
Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt. Denne instruks skal være specificeret i bilag A og C. Efterfølgende instruks kan også gives af den dataansvarlige, mens der sker behandling af personoplysninger, men instruksen skal altid være dokumenteret og opbevares skriftligt, herunder elektronisk, sammen med disse Bestemmelser.
Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter vedkommendes mening er i strid med denne forordning eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.
Databehandleren må kun give adgang til personoplysninger, som behandles på den dataansvarliges vegne, til personer, som er underlagt databehandlerens instruktionsbeføjelser, som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og kun i det nødvendige omfang. Listen af personer, som har fået tildelt adgang, skal løbende gennemgås. På baggrund af denne gennemgang kan adgangen til personoplysninger lukkes, hvis adgangen ikke længere er nødvendig, og personoplysningerne skal herefter ikke længere være tilgængelige for disse personer.
Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de pågældende personer, som er underlagt databehandlerens instruktionsbeføjelser, er underlagt ovennævnte tavshedspligt.
Databeskyttelsesforordningens artikel 32 fastslår, at den dataansvarlige og databehandleren, under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et beskyttelsesniveau, der passer til disse risici.
Den dataansvarlige skal vurdere risiciene for fysiske personers rettigheder og frihedsrettigheder som behandlingen udgør og gennemføre foranstaltninger for at imødegå disse risici. Afhængig af deres relevans kan det omfatte:
Pseudonymisering og kryptering af personoplysninger
evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og -tjenester
evne til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse
en procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed.
Efter forordningens artikel 32 skal databehandleren – uafhængigt af den dataansvarlige – også vurdere risiciene for fysiske personers rettigheder som behandlingen udgør og gennemføre foranstaltninger for at imødegå disse risici. Med henblik på denne vurdering skal den dataansvarlige stille den nødvendige information til rådighed for databehandleren som gør vedkommende i stand til at identificere og vurdere sådanne risici.
Derudover skal databehandleren bistå den dataansvarlige med vedkommendes overholdelse af den dataansvarliges forpligtelse efter forordningens artikel 32, ved bl.a. at stille den nødvendige information til rådighed for den dataansvarlige vedrørende de tekniske og organisatoriske sikkerhedsforanstaltninger, som databehandleren allerede har gennemført i henhold til forordningens artikel 32, og al anden information, der er nødvendig for den dataansvarliges overholdelse af sin forpligtelse efter forordningens artikel 32.
Hvis imødegåelse af de identificerede risici – efter den dataansvarliges vurdering – kræver gennemførelse af yderligere foranstaltninger end de foranstaltninger, som databehandleren allerede har gennemført, skal den dataansvarlige angive de yderligere foranstaltninger, der skal gennemføres, i bilag C.
Databehandleren skal opfylde de betingelser, der er omhandlet i databeskyttelsesforordningens artikel 28, stk. 2, og stk. 4, for at gøre brug af en anden databehandler (en underdatabehandler).
Databehandleren må således ikke gøre brug af en underdatabehandler til opfyldelse af disse Bestemmelser uden forudgående specifik skriftlig godkendelse fra den dataansvarlige.
Databehandleren må kun gøre brug af underdatabehandlere med den dataansvarliges forudgående specifikke skriftlige godkendelse. Databehandleren skal indgive anmodningen om en specifik godkendelse mindst 90 dage inden anvendelsen af den pågældende underdatabehandler. Listen over underdatabehandlere, som den dataansvarlige allerede har godkendt, fremgår af bilag B.
Når databehandleren gør brug af en underdatabehandler i forbindelse med udførelse af specifikke behandlingsaktiviteter på vegne af den dataansvarlige, skal databehandleren, gennem en kontrakt eller andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, pålægge underdatabehandleren de samme databeskyttelsesforpligtelser som dem, der fremgår af disse Bestemmelser, hvorved der navnlig stilles de fornødne garantier for, at underdatabehandleren vil gennemføre de tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen overholder kravene i disse Bestemmelser og databeskyttelsesforordningen.
Databehandleren er derfor ansvarlig for at kræve, at underdatabehandleren som minimum overholder databehandlerens forpligtelser efter disse Bestemmelser og databeskyttelsesforordningen.
Underdatabehandleraftale(r) og eventuelle senere ændringer hertil sendes – efter den dataansvarliges anmodning herom – i kopi til den dataansvarlige, som herigennem har mulighed for at sikre sig, at tilsvarende databeskyttelsesforpligtelser som følger af disse Bestemmelser er pålagt underdatabehandleren. Bestemmelser om kommercielle vilkår, som ikke påvirker det databeskyttelsesretlige indhold af underdatabehandleraftalen, skal ikke sendes til den dataansvarlige.
Databehandleren skal i sin aftale med underdatabehandleren indføje den dataansvarlige som begunstiget tredjemand i tilfælde af databehandlerens konkurs, således at den dataansvarlige kan indtræde i databehandlerens rettigheder og gøre dem gældende over for underdatabehandlere, som f.eks. gør den dataansvarlige i stand til at instruere underdatabehandleren i at slette eller tilbagelevere personoplysningerne.
Hvis underdatabehandleren ikke opfylder sine databeskyttelsesforpligtelser, forbliver databehandleren fuldt ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser. Dette påvirker ikke de registreredes rettigheder, der følger af databeskyttelsesforordningen, herunder særligt forordningens artikel 79 og 82, over for den dataansvarlige og databehandleren, herunder underdatabehandleren.
Enhver overførsel af personoplysninger til tredjelande eller internationale organisationer må kun foretages af databehandleren på baggrund af dokumenteret instruks herom fra den dataansvarlige og skal altid ske i overensstemmelse med databeskyttelsesforordningens kapitel V.
Hvis overførsel af personoplysninger til tredjelande eller internationale organisationer, som databehandleren ikke er blevet instrueret i at foretage af den dataansvarlige, kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt, skal databehandleren underrette den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.
Uden dokumenteret instruks fra den dataansvarlige kan databehandleren således ikke inden for rammerne af disse Bestemmelser:
overføre personoplysninger til en dataansvarlig eller databehandler i et tredjeland eller en international organisation
overlade behandling af personoplysninger til en underdatabehandler i et tredjeland
behandle personoplysningerne i et tredjeland
Den dataansvarliges instruks vedrørende overførsel af personoplysninger til et tredjeland, herunder det eventuelle overførselsgrundlag i databeskyttelsesforordningens kapitel V, som overførslen er baseret på, skal angives i bilag C.6.
Disse Bestemmelser skal ikke forveksles med standardkontraktsbestemmelser som omhandlet i databeskyttelsesforordningens artikel 46, stk. 2, litra c og d, og disse Bestemmelser kan ikke udgøre et grundlag for overførsel af personoplysninger som omhandlet i databeskyttelsesforordningens kapitel V.
Databehandleren bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelsen af de registreredes rettigheder som fastlagt i databeskyttelsesforordningens kapitel III.
Dette indebærer, at databehandleren så vidt muligt skal bistå den dataansvarlige i forbindelse med, at den dataansvarlige skal sikre overholdelsen af:
oplysningspligten ved indsamling af personoplysninger hos den registrerede
oplysningspligten, hvis personoplysninger ikke er indsamlet hos den registrerede
indsigtsretten
retten til berigtigelse
retten til sletning (”retten til at blive glemt”)
retten til begrænsning af behandling
underretningspligten i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling
retten til dataportabilitet
retten til indsigelse
retten til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering
I tillæg til databehandlerens forpligtelse til at bistå den dataansvarlige i henhold til Bestemmelse 6.3., bistår databehandleren endvidere, under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren, den dataansvarlige med:
den dataansvarliges forpligtelse til uden unødig forsinkelse og om muligt senest 72 timer, efter at denne er blevet bekendt med det, at anmelde brud på persondatasikkerheden til den kompetente tilsynsmyndighed, Datatilsynet, medmindre at det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder
den dataansvarliges forpligtelse til uden unødig forsinkelse at underrette den registrerede om brud på persondatasikkerheden, når bruddet sandsynligvis vil medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder
den dataansvarliges forpligtelse til forud for behandlingen at foretage en analyse af de påtænkte behandlingsaktiviteters konsekvenser for beskyttelse af personoplysninger (en konsekvensanalyse)
den dataansvarliges forpligtelse til at høre den kompetente tilsynsmyndighed, Datatilsynet, inden behandling, såfremt en konsekvensanalyse vedrørende databeskyttelse viser, at behandlingen vil føre til høj risiko i mangel af foranstaltninger truffet af den dataansvarlige for at begrænse risikoen.
Parterne skal i bilag C angive de fornødne tekniske og organisatoriske foranstaltninger, hvormed databehandleren skal bistå den dataansvarlige samt i hvilket omfang og udstrækning. Det gælder for de forpligtelser, der følger af Bestemmelse 9.1. og 9.2.
Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket et brud på persondatasikkerheden.
Databehandlerens underretning til den dataansvarlige skal om muligt ske senest 24 timer efter, at denne er blevet bekendt med bruddet, sådan at den dataansvarlige kan overholde sin forpligtelse til at anmelde bruddet på persondatasikkerheden til den kompetente tilsynsmyndighed, jf. databeskyttelsesforordningens artikel 33.
I overensstemmelse med Bestemmelse 9.2.a skal databehandleren bistå den dataansvarlige med at foretage anmeldelse af bruddet til den kompetente tilsynsmyndighed. Det betyder, at databehandleren skal bistå med at tilvejebringe nedenstående information, som ifølge artikel 33, stk. 3, skal fremgå af den dataansvarliges anmeldelse af bruddet til den kompetente tilsynsmyndighed:
karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte registreringer af personoplysninger
de sandsynlige konsekvenser af bruddet på persondatasikkerheden
de foranstaltninger, som den dataansvarlige har truffet eller foreslår truffet for at håndtere bruddet på persondatasikkerheden, herunder, hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger.
Parterne skal i bilag C angive den information, som databehandleren skal tilvejebringe i forbindelse med sin bistand til den dataansvarlige i dennes forpligtelse til at anmelde brud på persondatasikkerheden til den kompetente tilsynsmyndighed.
Ved ophør af tjenesterne vedrørende behandling af personoplysninger, er databehandleren forpligtet til at tilbagelevere alle personoplysningerne og slette eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne.
Følgende regler i EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne efter ophør af tjenesterne vedrørende behandling af personoplysninger:
Systemet skal kunne udlæse data i det/de format(er) og på det aggregeringsniveau, som er forudsat af Rigsarkivet i henhold til arkivloven.
Databehandleren forpligter sig til alene at behandle personoplysningerne til de(t) formål, i den periode og under de betingelser, som disse regler foreskriver.
Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelsen af databeskyttelsesforordningens artikel 28 og disse Bestemmelser, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.
Procedurerne for den dataansvarliges revisioner, herunder inspektioner, med databehandleren og underdatabehandlere er nærmere angivet i Bilag C.7. og C.8.
Databehandleren er forpligtet til at give tilsynsmyndigheder, som efter gældende lovgivningen har adgang til den dataansvarliges eller databehandlerens faciliteter, eller repræsentanter, der optræder på tilsynsmyndighedens vegne, adgang til databehandlerens fysiske faciliteter mod behørig legitimation.
Parterne kan aftale andre bestemmelser vedrørende tjenesten vedrørende behandling af personoplysninger om f.eks. erstatningsansvar, så længe disse andre bestemmelser ikke direkte eller indirekte strider imod Bestemmelserne eller forringer den registreredes grundlæggende rettigheder og frihedsrettigheder, som følger af databeskyttelsesforordningen.
Bestemmelserne træder i kraft på datoen for begge parters underskrift heraf.
Begge parter kan kræve Bestemmelserne genforhandlet, hvis lovændringer eller uhensigtsmæssigheder i Bestemmelserne giver anledning hertil.
Bestemmelserne er gældende, så længe tjenesten vedrørende behandling af personoplysninger varer. I denne periode kan Bestemmelserne ikke opsiges, medmindre andre bestemmelser, der regulerer levering af tjenesten vedrørende behandling af personoplysninger, aftales mellem parterne.
Hvis levering af tjenesterne vedrørende behandling af personoplysninger ophører, og personoplysningerne er slettet eller returneret til den dataansvarlige i overensstemmelse med Bestemmelse 11.1 og Bilag C.4, kan Bestemmelserne opsiges med skriftlig varsel af begge parter.
Underskrift
På vegne af den dataansvarlige
Navn [NAVN]
Stilling [STILLING]
Telefonnummer [TELEFONNUMMER]
E-mail [E-MAIL]
Dato / Underskrift
På vegne af databehandleren
Navn [NAVN]
Stilling [STILLING]
Telefonnummer [TELEFONNUMMER]
E-mail [E-MAIL]
Dato / Underskrift
Parterne kan kontakte hinanden via nedenstående kontaktpersoner.
Parterne er forpligtet til løbende at orientere hinanden om ændringer vedrørende kontaktpersoner.
Navn [NAVN]
Stilling [STILLING]
Telefonnummer [TELEFONNUMMER]
E-mail [E-MAIL]
Særligt ved sikkerhedsbrud jf. afsnit 10:
E-mail [E-MAIL]
Navn [NAVN]
Stilling [STILLING]
Telefonnummer [TELEFONNUMMER]
E-mail [E-MAIL]
Bilag A Oplysninger om behandlingen
[BEMÆRK: I TILFÆLDE AF FLERE BEHANDLINGSAKTIVITETER, SKAL DISSE OPLYSNINGER FREMGÅ FOR HVER ENKELT BEHANDLINGSAKTIVITET]
A.1. Formålet med databehandlerens behandling af personoplysninger på vegne af den dataansvarlige
[BESKRIV FORMÅLET MED BEHANDLINGEN]
A.2. Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige drejer sig primært om (karakteren af behandlingen)
[BESKRIV KARAKTEREN AF BEHANDLINGEN]
A.3. Behandlingen omfatter følgende typer af personoplysninger om de registrerede
Typer af personoplysninger |
Borgere |
Børn, umyndiggjorte og andre sårbare |
Medarbejdere |
Almindelige personoplysninger [Angiv hvilke almindelige oplysninger. Eksempelvis navn, telefonnummer, e-mail, adresse mm.] |
|
|
|
Race eller etnisk oprindelse |
|
|
|
Politisk overbevisning |
|
|
|
Religiøs overbevisning |
|
|
|
Filosofisk overbevisning |
|
|
|
Fagforeningsmæssigt tilhørsforhold |
|
|
|
Genetiske data |
|
|
|
Biometriske data |
|
|
|
Helbredsoplysninger, herunder misbrug af medicin, narkotika, alkohol m.v. |
|
|
|
En fysisk persons seksuelle forhold eller seksuelle orientering |
|
|
|
Straffedomme |
|
|
|
Lovovertrædelse |
|
|
|
CPR-nr. |
|
|
|
Andre fortrolige oplysninger [Angiv hvilke fortrolige oplysninger. Eksempelvis: væsentlige sociale forhold] |
|
|
|
A.4. Behandlingen omfatter følgende kategorier af registrerede
Se A.3
A.5. Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige kan påbegyndes efter disse Bestemmelsers ikrafttræden. Behandlingen har følgende varighed:]
[BESKRIV VARIGHEDEN AF BEHANDLINGEN]
Bilag B Underdatabehandlere
B.1. Godkendte underdatabehandlere
Ved Bestemmelsernes ikrafttræden har den dataansvarlige godkendt brugen af følgende underdatabehandlere
NAVN |
CVR |
ADRESSE og Land |
BESKRIVELSE AF BEHANDLING |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Ved Bestemmelsernes ikrafttræden har den dataansvarlige godkendt brugen af ovennævnte underdatabehandlere for den beskrevne behandlingsaktivitet. Databehandleren må ikke – uden den dataansvarliges skriftlige godkendelse – gøre brug af en underdatabehandler til en anden behandlingsaktivitet end den beskrevne og aftalte eller gøre brug af en anden underdatabehandler til denne behandlingsaktivitet.
B.2. Varsel for godkendelse af underdatabehandlere
Ved skift af underdatabehandlere skal dette skriftligt godkendes af kommunens kontaktperson eller (kommunernes fællessekretariat) med minimum 90 dages varsel.
Bilag C Instruks vedrørende behandling af personoplysninger
C.1. Behandlingens genstand/instruks
Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige sker ved, at databehandleren udfører følgende:
[LAV EN KORT GENEREL BESKRIVELSE AF BEHANDLINGEN, SOM DATABEHANDLER INSTRUERES I AT FORETAGE SAMT SÆT KRYDS I DE FELTER NEDENFOR; SOM ER RELEVANTE.]
☐ |
Administration af roller og rettighedsmodel |
☐ |
Registrering |
☐ |
Backup |
☐ |
Sammenstilling eller samkøring |
☐ |
Begrænsning |
☐ |
Sikkerhedslogning |
☐ |
Fejlfinding |
☐ |
Sletning |
☐ |
Fejlrettelser |
☐ |
Strukturering |
☐ |
Gendannelse |
☐ |
Support og fejlfinding |
☐ |
Hosting |
☐ |
Søgning |
☐ |
Implementering |
☐ |
Tilpasning |
☐ |
Indsamling |
☐ |
Udtræk af logningsaktivitet |
☐ |
Kryptering |
☐ |
Udvikling |
☐ |
Leverandørstyring |
☐ |
Vedligeholdelse |
☐ |
Lagring |
☐ |
Videresendelse |
☐ |
Modtagelse |
☐ |
Visning |
☐ |
Opbevaring |
☐ |
Ændring |
☐ |
Organisering |
|
|
☐ |
Processering |
|
|
☐ |
Pseudonymisering |
☐ |
Andet
__________________________ |
C.2. Behandlingssikkerhed
Sikkerhedsniveauet skal afspejle behandlingens omfang og karakter:
Behandlingen omfatter følgende antal registrerede:
☐ 1-100
☐ 100-1000
☐ 1000-5000
☐ Over 50000
Behandlingen omfatter behandling af følgende type personoplysninger:
☐ Almindelige personoplysninger, art. 6
☐ Fortrolige personoplysninger, (oplysninger om private forhold omfattet af tavshedspligt) art. 6 og databeskyttelseslovens § 11 (xxx.xx.)
☐ Oplysninger om strafbare forhold, art. 10
☐ Følsomme personoplysninger, art. 9
☐ Særlige kategorier af personoplysninger
☐ Særlige behandlinger
På baggrund af ovenstående beskrivelse af behandlingens omfang og karakter etableres et af flg. sikkerhedsniveau:
Meget lavt |
Lavt |
Middelhøjt |
Højt |
|
|||
White / Hvid |
Green / Grøn |
Amber / Gul |
Red / Rød |
☐ |
☐ |
☐ |
|
Databehandleren er herefter berettiget og forpligtet til at træffe beslutninger om, hvilke tekniske og organisatoriske sikkerhedsforanstaltninger, der skal gennemføres for at etableret det nødvendige (og aftalte) sikkerhedsniveau.
TLP-Skalaen anvendes til opdeling af sikkerhedsniveauet for persondatabehandlingen i fire niveauer.
[Definitioner af TLP findes i den tilhørende vejledning sidst i dokumentet]
TLP:WHITE / HVID |
TLP:GREEN / GRØN |
TLP:AMBER / GUL |
TLP:RED / RØD |
Offentlige informationer |
Almindelige personoplysninger & Interne informationer |
Fortrolige personoplysninger & Fortrolige informationer |
Følsomme personoplysninger |
Lavt sikkerhedsniveau |
Lavt sikkerhedsniveau |
Middelhøjt sikkerhedsniveau |
Højt sikkerhedsniveau |
|
|
|
|
KL/Xxxxxxxxxxxxx.xx Teknisk min. Standard |
ISO27001 / ISO27002 |
ISO27001 / ISO27002 |
ISO27001 / ISO27002 |
Behandlingsaktiviteten kan herefter indgå som et krav eller en anbefaling.
X = Krav
A = Anbefaling
A.5 Informationssikkerhedspolitikker |
|
|
|
||
Afsnit |
Kontrol |
|
|
|
|
5.1 |
Retningslinjer for styring af informationssikkerhed |
|
|
|
|
5.1.1 |
Politikker for informationssikkerhed |
X |
X |
X |
|
5.1.2 |
Gennemgang af politikker for informationssikkerhed |
X |
X |
X |
|
Kommentar: |
|
||||
A.6 Organisering af informationssikkerhed |
|
|
|
||
Afsnit |
Kontrol |
|
|
|
|
6.1 |
Intern organisering |
|
|
|
|
6.1.1 |
Roller og ansvarsområder for informationssikkerhed |
X |
X |
X |
|
6.1.2 |
Funktionsadskillelse |
X |
X |
X |
|
6.1.3 |
Kontakt med myndigheder |
|
|
X |
|
6.1.4 |
Kontakt med særlige interessegrupper |
|
|
X |
|
6.1.5 |
Informationssikkerhed ved projektstyring |
A |
A |
A |
|
6.2 |
Mobilt udstyr og fjernarbejdspladser |
|
|
|
|
6.2.1 |
Politik for mobilt udstyr |
X |
X |
X |
|
6.2.2 |
Fjernarbejdspladser |
X |
X |
X |
|
Kommentar: |
|
||||
A.7 Personalesikkerhed |
|
|
|
|
||
Afsnit |
Kontrol |
|
|
|
||
7.1 |
Før ansættelsen |
|
|
|
||
7.1.1 |
Screening |
X |
X |
X |
||
7.1.2 |
Ansættelsesvilkår og -betingelser |
X |
X |
X |
||
7.2 |
Under ansættelsen |
|
|
|
||
7.2.1 |
Ledelsesansvar |
X |
X |
X |
||
7.2.2 |
Bevidsthed om, uddannelse og træning i information sikkerhed |
X |
X |
X |
||
7.2.3 |
Sanktioner |
A |
A |
A |
||
7.3 |
Ansættelsesforholdets ophør eller ændring |
|
|
|
||
7.3.1. |
Ansættelsesforholdets ophør eller ændring |
X |
X |
X |
||
Kommentar: |
|
|||||
A.8 Styring af aktiver |
|
|
|
|
||
Afsnit |
Kontrol |
|
|
|
||
8.1 |
Ansvar for aktiver |
|
|
|
||
8.1.1 |
Fortegnelse over aktiver |
X |
X |
X |
||
8.1.2 |
Ejerskab af aktiver |
X |
X |
X |
||
8.1.3 |
Accepteret brug af aktiver |
A |
A |
A |
||
8.1.4 |
Tilbagelevering af aktiver |
X |
X |
X |
||
8.2 |
Klassifikation af information |
|
|
|
||
8.2.1 |
Klassifikation af information |
X |
X |
X |
||
8.2.2 |
Mærkning af information |
X |
X |
X |
||
8.2.3 |
Håndtering af aktiver |
X |
X |
X |
||
8.3 |
Mediehåndtering |
|
|
|
||
8.3.1 |
Styring af bærbare medier |
X |
X |
X |
||
8.3.2 |
Bortskaffelse af medier |
A |
X |
X |
||
8.3.3 |
Fysiske medier under transport |
A |
X |
X |
||
Kommentar: |
|
|||||
A.9 Adgangsstyring |
|
|
|
|
||
Afsnit |
Kontrol |
|
|
|
||
9.1 |
Forretningsmæssige krav til adgangsstyring |
|
|
|
||
9.1.1 |
Politik for adgangsstyring |
X |
X |
X |
||
9.1.2 |
Adgang til netværk og netværkstjenester |
X |
X |
X |
||
9.2 |
Administration af brugeradgang |
|
|
|
||
9.2.1 |
Brugerregistrering og -afmelding |
X |
X |
X |
||
9.2.2 |
Tildeling af brugeradgang |
X |
X |
X |
||
9.2.3 |
Styring af privilegerede adgangsrettigheder |
X |
X |
X |
||
9.2.4 |
Styring af hemmelige autentifikations-information om brugere |
X |
X |
X |
||
9.2.5 |
Gennemgang af brugeradgangsrettigheder |
X |
X |
X |
||
9.2.6 |
Inddragelse eller justering af adgangsrettigheder |
X |
X |
X |
||
9.3 |
Brugernes ansvar |
|
|
|
||
9.3.1 |
Brug af hemmelig autentifikationsinformation |
X |
X |
X |
||
9.4 |
Styring af system- og applikationsinformation |
|
|
|
||
9.4.1 |
Begrænset adgang til information |
X |
X |
X |
||
9.4.2 |
Procedure for sikker log-on |
X |
X |
X |
||
9.4.3 |
System for administration af adgangskoder |
X |
X |
X |
||
9.4.4 |
Brug af privilegerede systemprogrammer |
X |
X |
X |
||
9.4.5 |
Styring af adgang til kildekode til programmer |
A |
A |
A |
||
Kommentar: |
|
|||||
A.10 Kryptografi |
|
|
|
|
||
Afsnit |
Kontrol |
|
|
|
||
10.1 |
Kryptografiske kontroller |
|
|
|
||
10.1.1 |
Politik for anvendelse af kryptografi |
X |
X |
X |
||
10.1.2 |
Administration af nøgler |
A |
X |
X |
||
Kommentar: |
|
|||||
A.11 Fysisk sikring og miljøsikring |
|
|
|
|
||
Afsnit |
Kontrol |
|
|
|
||
11.1 |
Sikre områder |
|
|
|
||
11.1.1 |
Fysisk perimetersikring |
X |
X |
X |
||
11.1.2 |
Fysisk adgangskontrol |
X |
X |
X |
||
11.1.3 |
Sikring af kontorer, lokaler og faciliteter |
X |
X |
X |
||
11.1.4 |
Beskyttelse mod eksterne og miljømæssige trusler |
A |
A |
X |
||
11.1.5 |
Arbejde i sikre områder |
A |
A |
A |
||
11.1.6 |
Områder til af- og pålæsning |
A |
A |
A |
||
11.2 |
Udstyr |
|
|
|
||
11.2.1 |
Placering og beskyttelse af udstyr |
X |
X |
X |
||
11.2.2 |
Understøttende forsyninger (forsyningssikkerhed) |
A |
A |
X |
||
11.2.3 |
Sikring af kabler |
A |
A |
X |
||
11.2.4 |
Vedligeholdelse af udstyr |
X |
X |
X |
||
11.2.5 |
Fjernelse af aktiver |
A |
X |
X |
||
11.2.6 |
Sikring ag udstyr og aktiver uden for organisationen. |
X |
X |
X |
||
11.2.7 |
Sikker bortskaffelse eller genbrug af udstyr |
X |
X |
X |
||
11.2.8 |
Brugerudstyr uden opsyn |
X |
X |
X |
||
11.2.9 |
Politik for ryddeligt skrivebord og blank skærm |
A |
X |
X |
||
Kommentar: |
|
|||||
A.12 Driftsikkerhed |
|
|
|
|
||
Afsnit |
Kontrol |
|
|
|
||
12.1 |
Driftprocedurer og ansvarsområder |
|
|
|
||
12.1.1 |
Dokumenterede driftsprocedurer |
X |
X |
X |
||
12.1.2 |
Ændringsstyring |
X |
X |
X |
||
12.1.3 |
Kapacitetsstyring |
A |
X |
X |
||
12.1.4 |
Adskillelse af udviklings-, test- og driftsmiljøer |
A |
A |
X |
||
12.2 |
Beskyttelse mod malware |
|
|
|
||
12.2.1 |
Kontroller mod malware |
X |
X |
X |
||
12.3 |
Backup |
|
|
|
||
12.3.1 |
Backup af information |
X |
X |
X |
||
12.4 |
Logning og overvågning |
|
|
|
||
12.4.1 |
Hændelseslogning |
X |
X |
X |
||
12.4.2 |
Beskyttelse af log-oplysninger |
X |
X |
X |
||
12.4.3 |
Administrator- og operatørlog |
X |
X |
X |
||
12.4.4 |
Tidssynkronisering |
X |
X |
X |
||
12.5 |
Styring af driftssoftware |
|
|
|
||
12.5.1 |
Softwareinstallation på driftssystemer |
X |
X |
X |
||
12.6 |
Sårbarhedsstyring |
|
|
|
||
12.6.1 |
Styring af tekniske sårbarheder |
X |
X |
X |
||
12.6.2 |
Begrænsning på softwareinstallation |
X |
X |
X |
||
12.7 |
Overvejelser i forbindelse med audit af informationssikkerhed |
|
|
|
||
12.7.1 |
Kontroller i forbindelse med audit af informationssikkerhed |
A |
A |
A |
||
Kommentar: |
|
|||||
A.13 Kommunikationssikkerhed |
|
|
|
|
||
Afsnit |
Kontrol |
|
|
|
||
13.1 |
Styring af netværkssikkerhed |
|
|
|
||
13.1.1 |
Netværksstyring |
X |
X |
X |
||
13.1.2 |
Sikring af netværkstjenester |
X |
X |
X |
||
13.1.3 |
Opdeling af netværk |
X |
X |
X |
||
13.2 |
Informationsoverførsel |
|
|
|
||
13.2.1 |
Politikker og procedurer for informationsoverførsel |
X |
X |
X |
||
13.2.2 |
Aftaler om informationsoverførsel |
X |
X |
X |
||
13.2.3 |
Elektroniske meddeler |
X |
X |
X |
||
13.2.4 |
Fortroligheds- og hemmeligholdelses-aftaler |
X |
X |
X |
||
Kommentar: |
|
|||||
A.14 Anskaffelse, udvikling og vedligeholdelse af systemer |
|
|
|
|
||
Afsnit |
Kontrol |
|
|
|
||
14.1 |
Sikkerhedskrav til informationssystemer |
|
|
|
||
14.1.1 |
Analyse og specifikation af informations-sikkerhedskrav |
A |
A |
A |
||
14.1.2 |
Sikring af applikationstjenester på offentlige netværk |
X |
X |
X |
||
14.1.3 |
Beskyttelse af handelsapplikationer og -tjenester |
A |
A |
A |
||
14.2 |
Sikkerhed i udviklings- og hjælpeprocesser |
|
|
|
||
14.2.1 |
Sikker udviklingspolitik |
X |
X |
X |
||
14.2.2 |
Procedurer for styring af systemændringer |
A |
X |
X |
||
14.2.3 |
Teknisk gennemgang af applikationer efter ændringer af driftsplatforme |
A |
A |
A |
||
14.2.4 |
Begrænsning af ændringer af softwarepakker |
A |
A |
A |
||
14.2.5 |
Principper for udvikling af sikre systemer |
A |
A |
A |
||
14.2.6 |
Sikkert udviklingsmiljø |
A |
A |
X |
||
14.2.7 |
Outsourcet udvikling |
A |
A |
A |
||
14.2.8 |
Systemsikkerhedstest |
A |
A |
X |
||
14.2.9 |
Systemgodkendelses-test |
A |
A |
X |
||
14.3 |
Testdata |
|
|
|
||
14.3.1 |
Sikring af testdata |
X |
X |
X |
||
Kommentar: |
|
|||||
A.15 Leverandørhold |
|
|
|
|
||
Afsnit |
Kontrol |
|
|
|
||
15.1 |
Informationssikkerhed i leverandørforhold |
|
|
|
||
15.1.1 |
Informationssikkerheds-politik for leverandørforhold |
X |
X |
X |
||
15.1.2 |
Håndtering af sikkerhed i leverandøraftaler |
X |
X |
X |
||
15.1.3 |
Forsyningskæde for informations- og kommunikations-teknologi (IKT) |
X |
X |
X |
||
15.2 |
Styring af leverandørydelser |
|
|
|
||
15.2.1 |
Overvågning og gennemgang af leverandørydelser |
X |
X |
X |
||
15.2.2 |
Styring af ændringer af leverandørydelser |
X |
X |
X |
||
Kommentar: |
|
|||||
A.16 Styring af informationssikkerhedsbrud |
|
|
|
|
||
Afsnit |
Kontrol |
|
|
|
||
16.1 |
Styring af informationssikkerhedsbrud og forbedringer |
|
|
|
||
16.1.1 |
Ansvar og procedurer |
X |
X |
X |
||
16.1.2 |
Rapportering af informationssikkerheds-hændelser |
X |
X |
X |
||
16.1.3 |
Rapportering af informationssikkerheds-svagheder |
X |
X |
X |
||
16.1.4 |
Vurdering af og beslutning om informationssikkerheds-hændelser |
X |
X |
X |
||
16.1.5 |
Håndtering af informations-sikkerhedsbrud |
X |
X |
X |
||
16.1.6 |
Erfaring fra informationssikkerheds-brud |
X |
X |
X |
||
16.1.7 |
Indsamling af beviser |
X |
X |
X |
||
Kommentar: |
|
|||||
A.17 Informationssikkerhedsaspekter ved nød-, beredskabs- og reetableringsstyring |
|
|
|
|
||
Afsnit |
Kontrol |
|
|
|
||
17.1 |
Informationssikkerhedskontinuitet |
|
|
|
||
17.1.1 |
Planlægning af informationssikkerheds-kontinuitet |
A |
A |
X |
||
17.1.2 |
Implementering af informationssikkerheds-kontinuitet |
A |
A |
X |
||
17.1.3 |
Verificer, gennemgå og evaluer informationssikkerheds-kontinuiteten |
A |
A |
X |
||
17.2 |
Redundans |
|
|
|
||
17.2.1 |
Tilgængelighed af informations-behandlingsfaciliteter |
A |
A |
X |
||
Kommentar: |
|
|||||
A.18 Overensstemmelse |
|
|
|
|
||
Afsnit |
Kontrol |
|
|
|
||
18.1 |
Overensstemmelse med lov- og kontraktkrav |
|
|
|
||
18.1.1 |
Identifikation af gældende lovgivning og kontraktkrav |
A |
A |
A |
||
18.1.2 |
Immaterielle rettigheder |
A |
A |
A |
||
18.1.3 |
Beskyttelse af registreringer |
A |
A |
A |
||
18.1.4 |
Privatlivets fred og beskyttelse af personoplysninger |
A |
A |
A |
||
18.1.5 |
Regulering af kryptografi |
A |
A |
A |
||
18.2 |
Gennemgang af informationssikkerhed |
|
|
|
||
18.2.1 |
Uafhængig gennemgang af informationssikkerhed |
X |
X |
X |
||
18.2.2 |
Overensstemmelse med sikkerhedspolitikker og sikkerhedsstandarder |
X |
X |
X |
||
18.2.3 |
Undersøgelse af teknisk overensstemmelse |
X |
X |
X |
||
Kommentar: |
|
|||||
Databehandleren skal dog – under alle omstændigheder og som minimum – gennemføre følgende tekniske minimum standard.
Anbefalinger til tekniske minimumsstandarder i kommuner
Anbefalinger til tekniske minimumsstandarder (xx.xx)
C.3 Bistand til den dataansvarlige
Databehandleren skal så vidt muligt – inden for det nedenstående omfang og udstrækning – bistå den dataansvarlige i overensstemmelse med Bestemmelse 9.1 og 9.2 ved at gennemføre følgende tekniske og organisatoriske foranstaltninger:
Bistand til overholdelse af de registreredes rettigheder
Databehandler skal indrette løsningerne således, at de understøtter den dataansvarliges pligt til at overholde reglerne om registreredes rettigheder.
Databehandler har derfor implementeret en proces, hvor hver enkelt rettighed i forhold til de ”registreredes rettigheder”, jf. Punkt 9.1. litra a – j, gennemgås for at fastslå, om løsningen har funktionalitet, der understøtter den pågældende rettighed. Databehandleren dokumenterer denne vurdering.
Hvis ikke løsningen har funktionalitet, der understøtter den pågældende rettighed, vurderer Databehandler mindst en gang årligt efter aftalens indgåelse muligheden for videreudvikling af løsningen med henblik på at understøtte den dataansvarliges håndtering af registreredes rettigheder.
Underretning af den dataansvarlige om anmodninger fra den registrerede
Databehandler skal have faste procedurer, der sikrer, at den dataansvarlige uden unødig forsinkelse skriftligt bliver underrettet om
enhver anmodning rettet til databehandler eller dennes eventuelle underdatabehandlere fra en registreret om udøvelse af den registreredes rettigheder. Den dataansvarlige besvarer sådanne henvendelser.
enhver henvendelse rettet til databehandler eller dennes eventuelle underdatabehandlere fra Datatilsynet vedrørende behandling af personoplysninger omfattet af databehandleraftalen. Den dataansvarlige besvarer sådanne henvendelser.
enhver henvendelse om tilsyn rettet til databehandleren eller dennes eventuelle underdatabehandlere fra øvrige myndigheder
videregivelse af de personoplysninger, som er omfattet af databehandleraftalen, medmindre orienteringen er forbudt i henhold til EU-retten eller lovgivningen i en medlemsstat. Såfremt videregivelsen finder sted som følge af præceptiv lov i et ikke sikkert tredjeland og orienteringen er forbudt i henhold til dette lands lovgivning, skal den pågældende databehandler straks oplyse den dataansvarlige om, at aftalen misligholdes.
Bistand ved sikkerhedsbrud
Databehandler bistår den dataansvarlige i tilfælde af sikkerhedsbrud. Databehandler skal indsamle og dokumentere informationer om sikkerhedshændelser hos databehandler og underdatabehandlere, og underrette den dataansvarlige om sikkerhedsbrud, uden ugrundet ophold og senest indenfor det antal timer som fremgår af punkt 10.2.
Oplysningerne skal i sidste ende have et omfang og en detaljeringsgrad, som den dataansvarlige i det konkrete tilfælde finder tilstrækkeligt. Databehandler oplyser så vidt muligt følgende indenfor den angivne tidsramme i punkt 10.2.:
Dato og tid |
Xxxx på persondatasikkerheden er konstateret den [DATO] klokken [KLOKKESLET] |
Karakteren af bruddet |
Xxxxxxxxx skyldes [BESKRIV ÅRSAGEN/KARAKTEREN AF BRUDDET]. |
Kategorierne og det omtrentlige antal berørte registrerede |
Typen af berørte registrerede er [ANGIV TYPEN AF BERØRTE REGISTREREDE] og antal berørte er [ANGIV ANTAL BERØRTE FOR HVER TYPE REGISTREREDE. EVT. DET OMTRENTELIGE ANTAL, HVIS EN NÆRMERE SPECIFICERING IKKE ER MULIG] |
Typen af personoplysninger |
[ANGIV TYPEN AF PERSONOPLYSNINGER] |
Varigheden af bruddet |
[ANGIV START- OG SLUTTIDSPUNKT] |
De sandsynlige konsekvenser af bruddet |
[BESKRIV SANDSYNLIGE KONSEKVENSER AF BRUDDET] |
Andre oplysninger inkl. umiddelbar persondataretlig vurdering af bruddet |
[ANGIV ANDRE OPLYSNINGER OM BRUDDET, DER KAN VÆRE BRUGBARE FOR DEN DATAANSVARLIGES VURDERING AF BRUDDETS INDVIRKNING] |
Foranstaltninger truffet |
[BESKRIV DE FORANSTALTNINGER, DER ER TRUFFET, ELLER SOM VIL BLIVE TRUFFET SOM LED I HÅNDTERINGEN AF BRUDDET OG DETS MULIGE SKADEVIRKNINGER]
|
Kontaktoplysninger |
[NAVN OG KONTAKTOPLYSNINGER TIL KONTAKTPUNKT, HVOR YDERLIGERE OPLYSNINGER KAN INDHENTES]
|
Oplysningerne sendes til den dataansvarliges postkasse.
Databehandlerens omkostninger ved bistand til den dataansvarlige
Databehandlerens bistand til den dataansvarlige er lovpligtig, jf. art. 28 stk. 3 litra e, og dermed påregnelig. Ovenstående og lignende ydelser honoreres ikke.
C.4 Opbevaringsperiode/sletterutine
[BESKRIV EVENTUEL OPBEVARINGSPERIODE/SLETTERUTINE FOR DATABEHANDLEREN]
[EKSEMPELVIS]
Personoplysninger opbevares i [ANGIV TIDSPERIODE], hvorefter de slettes hos databehandleren.
Overfører den dataansvarlige oplysninger til offentligt arkiv i kontraktperioden, indgår databehandleren i en efterfølgende sletning af oplysninger efter den dataansvarliges instruks.
Ved ophør af tjenesten vedrørende behandling af personoplysninger, skal databehandleren enten slette eller tilbagelevere personoplysningerne i overensstemmelse med bestemmelse 11.1, medmindre den dataansvarlige – efter underskriften af disse bestemmelser – har ændret den dataansvarlige oprindelige valg. Sådanne ændringer skal være dokumenteret og opbevares skriftligt, herunder elektronisk, i tilknytning til Bestemmelserne.
Sletningen skal ske på alle miljøer.
C.5 Lokalitet for behandling
Behandling af de af Bestemmelserne omfattede personoplysninger kan ikke uden den dataansvarliges forudgående skriftlige godkendelse ske på andre lokaliteter end følgende:
[ANGIV, HVOR BEHANDLINGEN FINDER STED] [ANGIV, HVILKEN DATABEHANDLER ELLER UNDERDATABEHANDLER, DER ANVENDER ADRESSEN]
Virksomhedens navn og adresse |
CVR eller andet ID, hvis virksomheden ligger i andet land end DK |
Lokalitet for behandling |
Type oplysninger |
Overførselsgrundlag |
Evt. national hjemmel til udlevering |
|
|
|
|
|
|
Ovenstående liste omfatter samtlige lokaliteter, hvor der sker behandling af den dataansvarliges data.
I de tilfælde, hvor personoplysninger efter aftale med den dataansvarlige, jf. punkt C.6., behandles i ikke sikre tredjelande, skal disse lokaliteter særligt fremhæves. Ligeledes skal databehandlere, der er koncernforbundne med moderselskaber i ikke sikre tredjelande særligt fremhæves, og det pågældende lands nationale hjemmel til mulige udleveringskrav angives.
Databehandler skal løbende vedligeholde overblikket og udtrykkeligt meddele den dataansvarlig, hvis der sker ændringer dels i lokaliteten for behandlingen dels i databehandlerens koncernkonstruktioner.
C.6 Instruks vedrørende overførsel af personoplysninger til tredjelande
Hvis den dataansvarlige ikke i disse Bestemmelser eller efterfølgende giver en dokumenteret instruks vedrørende overførsel af personoplysninger til et tredjeland, er databehandleren ikke berettiget til inden for rammerne af disse Bestemmelser at foretage sådanne overførsler. Instruksen omfatter også forbud mod at anvende underdatabehandlere i EU, EØS eller tredjelande, der opfylder EU-kommissionens tilstrækkelighedsvurdering, når disse er koncernforbundne med moderselskaber i ikke sikre tredjelande.
Såfremt databehandler, på baggrund af en konkret, forudgående udtrykkelig og skriftlig aftale med den dataansvarlige, overfører personoplysninger til et tredjeland, må disse oplysninger alene
Enten overføres til lande, der efter EU-Kommissionens tilstrækkelighedsvurdering, jf. art. 45 er erklærede sikre. Se EU-Kommissionens liste over de til enhver tid værende sikre tredjelande: Adequacy decisions | Europa-Kommissionen. Databehandleren er ansvarlig for løbende af følge op på landets status og straks orientere den dataansvarlige, hvis tilstrækkelighedsvurderingen ikke kan fastholdes samt træffe foranstaltninger til at sikre persondata overført til behandling i EU, EØS eller andet sikkert tredje land.
Eller have et til enhver tid værende gyldigt overførselsgrundlag som dokumenteres i tabellen under C.5 samt bilag E. Databehandleren skal overfor den Dataansvarlige dokumentere beslutningsgrundlag, overvejelser og konklusioner samt foranstaltninger i overensstemmelse med EDPB’s “Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data Versions 2.0. Adopted on 18.06.2021” punkt 43 samt 43.1-43.3
Databehandleren og dennes underdatabehandlere skal anfægte enhver anmodning om videregivelse af data fra et hvilket som helst lands myndigheder og er hver især selvstændig ansvarlige for straks at underrette den dataansvarlige om anmodningen. Begge skal endvidere informere om hvorvidt de, trods anfægtelsen har imødekommet anmodningen. Såfremt databehandleren eller underdatabehandlere er bundet af det pågældende lands lovgivning om tavshedspligt, skal de pågældende i stedet straks oplyse den dataansvarlige om, at de misligholder nærværende aftale. En sådan misligholdelse er at betragte som væsentlig.
Databehandleren erklærer med sin underskrift på nærværende kontrakt, at hæfte for alle tab og omkostninger, som hver enkelt registrerede måtte lide, som følge af databehandlerens eller dennes underdatabehandleres udlevering af personoplysninger i strid med EU's databeskyttelsesregler (GDPR) eller nærværende kontrakt.
C.7 Procedurer for den dataansvarliges revisioner, herunder inspektioner, med behandlingen af personoplysninger, som er overladt til databehandleren
Revisorerklæring (TLP RØD):
Databehandleren skal én gang årligt vederlagsfrit, fremsende en revisorerklæring om overholdelse af Denne aftale. Erklæringen skal udarbejdes i overensstemmelse med gældende anerkendte branchestandarder inden for erklæringer omhandlende overholdelse af databeskyttelsesforordningen, og skal være af typen ISAE 3000 efter helhedsmetoden, og med høj grad af sikkerhed. Den første erklæring skal foreligge senest 12 måneder efter indgåelse af Denne aftale, og kan være et øjebliksbillede (Point In Time). Efterfølgende revisorerklæringer skal dække perioden fra senest afgivne rapport og frem til et valgt tidspunkt. Varigheden af perioden for erklæringen må ikke overskride 13 måneder.
Revisorerklæringen fremsendes uden unødig forsinkelse til den dataansvarlige til orientering, efter udarbejdelsen. Den dataansvarlige kan anfægte rammerne for og/eller metoden i revisorerklæringen og kan i sådanne tilfælde anmode om en ny revisorerklæring under andre rammer og/eller under anvendelse af anden metode.
Baseret på resultaterne af revisorerklæringen, er den dataansvarlige berettiget til at anmode om gennemførelse af yderligere foranstaltninger med henblik på at sikre overholdelsen af databeskyttelsesforordningen, databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og Denne aftale.
Den dataansvarlige eller en repræsentant for den dataansvarlige må foretage skriftlig eller fysisk inspektion af databehandlerens behandling af personoplysninger, herunder fysiske lokaliteter og systemer, der benyttes til eller i forbindelse med behandlingen. Sådanne inspektioner kan gennemføres, når den dataansvarlige finder det nødvendigt.
ELLER
2: Databehandlere, der kun opbevarer data - Revisorerklæring (TLP RØD)
Databehandleren skal én gang årligt vederlagsfrit, fremsende en revisorerklæring omkring generelle it-kontroller, som er relevante for de ydelser der leveres i relation til denne aftale. Erklæringen skal udarbejdes i overensstemmelse med gældende anerkendte branchestandarder inden for informationssikkerhed og skal være af typen ISAE 3000 og/eller ISAE 3402 efter helhedsmetoden. Den første erklæring skal foreligge senest 12 måneder efter indgåelse af Denne aftale, og kan være et øjebliksbillede (Point In Time). Efterfølgende revisorerklæringer skal dække perioden fra senest afgivne rapport og frem til et valgt tidspunkt. Varigheden af perioden for erklæringen må ikke overskride 13 måneder.
Revisorerklæringen fremsendes uden unødig forsinkelse til den dataansvarlige til orientering, efter udarbejdelsen. Den dataansvarlige kan anfægte rammerne for og/eller metoden i revisorerklæringen og kan i sådanne tilfælde anmode om en ny revisorerklæring under andre rammer og/eller under anvendelse af anden metode.
Baseret på resultaterne af revisorerklæringen, er den dataansvarlige berettiget til at anmode om gennemførelse af yderligere foranstaltninger med henblik på at sikre overholdelsen af databeskyttelsesforordningen, databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og Denne aftale.
Den dataansvarlige eller en repræsentant for den dataansvarlige må foretage skriftlig eller fysisk inspektion af databehandlerens behandling af personoplysninger, herunder fysiske lokaliteter og systemer, der benyttes til eller i forbindelse med behandlingen. Sådanne inspektioner kan gennemføres, når den dataansvarlige finder det nødvendigt.
TLP GUL – Skriftligt tilsynDatabehandleren skal årligt levere en rapport på overholdelse af forholdene i indeværende aftale. Rapporten kan udarbejdes af en intern medarbejder, herunder af databehandlerens DPO.
Såfremt dataansvarlige ikke finder at rapporten er fyldestgørende, kan databehandleren eller en repræsentant for den dataansvarlige foretage skriftligt tilsyn med databehandleren.
Såfremt dataanvarlige gennem persondatabrud eller gennem pålidelig kilde mistænker misligholdelse af indeværende databehandleraftale, kan Dataanvarlige eller en repræsentant for den dataansvarlige foretage skriftlig eller fysisk inspektion af databehandlerens behandling af personoplysninger, herunder fysiske lokaliteter og systemer, der benyttes til eller i forbindelse med behandlingen, med henblik på at fastslå databehandlerens overholdelse af databeskyttelsesforordningen, databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og Denne aftale.
Databehandleren kan som alternativ til ovenstående levere en revisionserklæring med høj eller begrænset sikkerhed, såfremt denne dækker væsentlige forhold i indeværende aftale.
[OG, HVIS RELEVANT]
Den dataansvarliges eventuelle udgifter i forbindelse med en inspektion afholdes af den dataansvarlige selv. Databehandleren er dog forpligtet til at afsætte de ressourcer (hovedsageligt den tid), der er nødvendig(e) for, at den dataansvarlige kan gennemføre sin inspektion.
TLP Grøn
Databehandleren skal årligt levere en skriftlig status på overholdelse af væsentlige forhold i indeværende aftale. Rapporten kan udarbejdes af en intern medarbejder, og kan med fordel udarbejdes af databehandlerens DPO.
Såfremt dataansvarlige ikke finder at rapporten er fyldestgørende, kan databehandleren eller en repræsentant for den dataansvarlige foretage skriftligt tilsyn med databehandleren.
Såfremt dataanvarlige gennem persondatabrud eller gennem pålidelig kilde mistænker misligholdelse af indeværende databehandleraftale, kan Dataanvarlige eller en repræsentant for den dataansvarlige foretage skriftlig eller fysisk inspektion af databehandlerens behandling af personoplysninger, herunder fysiske lokaliteter og systemer, der benyttes til eller i forbindelse med behandlingen, med henblik på at fastslå databehandlerens overholdelse af databeskyttelsesforordningen, databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og Denne aftale.
Den dataansvarliges eventuelle udgifter i forbindelse med en inspektion afholdes af den dataansvarlige selv. Databehandleren er dog forpligtet til at afsætte de ressourcer (hovedsageligt den tid), der er nødvendig(e) for, at den dataansvarlige kan gennemføre sin inspektion.
Databehandleren kan som alternativ til ovenstående levere en revisionserklæring med høj eller begrænset sikkerhed, såfremt denne dækker væsentlige forhold i indeværende aftale. Revisionserklæring kan afgives som periodeerklæring eller som point in time.
TLP Hvid
Databehandleren skal årligt afgive skriftlig bekræftelse på, at punkterne i indeværende aftale er overholdt. Såfremt der er forhold i indeværende aftale der ikke er overholdt forpligter databehandleren sig til at levere en udbedringsplan i forbindelse med udsendelse af statusrapporten.
Såfremt dataanvarlige gennem persondatabrud eller gennem pålidelig kilde mistænker misligholdelse af indeværende databehandleraftale, kan Dataanvarlige eller en repræsentant for den dataansvarlige foretage skriftlig eller fysisk inspektion af databehandlerens behandling af personoplysninger, herunder fysiske lokaliteter og systemer, der benyttes til eller i forbindelse med behandlingen, med henblik på at fastslå databehandlerens overholdelse af databeskyttelsesforordningen, databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og Denne aftale.
Den dataansvarliges eventuelle udgifter i forbindelse med en inspektion afholdes af den dataansvarlige selv. Databehandleren er dog forpligtet til at afsætte de ressourcer (hovedsageligt den tid), der er nødvendig(e) for, at den dataansvarlige kan gennemføre sin inspektion.
C.8 [HVIS RELEVANT] Procedurer for revisioner, herunder inspektioner, med behandling af personoplysninger, som er overladt til underdatabehandlere
Såfremt helhedsmetoden anvendes i afsnit C.7, vurderes C.8 ikke relevant.
Bilag D Parternes regulering af andre forhold
D.1 Misligholdelse og erstatning
Den dataansvarlige, databehandleren og eventuelle underdatabehandlere er erstatningsansvarlige i overensstemmelse med dansk rets almindelige regler i tilfælde af misligholdelse af databehandleraftalen eller overtrædelse af den til enhver tid gældende databeskyttelseslovgivning.
Databehandleraftalen er en del af hovedaftalen, hvorved en misligholdelse af databehandleraftalen også er en misligholdelse af hovedaftalen. Ved væsentlig misligholdelse af databehandleraftalen er den dataansvarlige berettiget til at ophæve databehandleraftalen og hovedaftalen.
Den dataansvarliges ophævelse af hovedaftalen og databehandleraftalen indebærer ikke, at den dataansvarlige giver afkald på sin ret til at kræve erstatning, hvis betingelserne herfor er opfyldt.
Såfremt den dataansvarlige vælger ikke at ophæve hovedaftalen og databehandleraftalen i ét eller flere tilfælde, selvom den dataansvarlige er berettiget hertil, medfører dette ikke, at den dataansvarlige mister retten til at ophæve hovedaftalen og databehandleraftalen i andre tilfælde.
Såfremt den dataansvarlige gøres tort- og/eller erstatningsansvarlig – herunder i form af evt. kompensationskrav fra de registrerede - som følge af databehandlerens eller eventuelle underdatabehandleres misligholdelse af databehandleraftalen eller overtrædelse af den til enhver tid gældende databeskyttelseslovgivning, skal databehandleren holde den dataansvarlige skadesløs for alle omkostninger og tab.
Enhver ansvarsbegrænsning eller erstatningsmaksimering, der er fastlagt i Hovedaftalen eller andet sted, skal ikke være gældende i tilfælde af databehandlerens misligholdelse af databehandleraftalen eller den til enhver tid gældende databeskyttelseslovgivning.
Den dataansvarlige er berettiget til at stille krav om, at databehandleren bistår med at forsvare den dataansvarliges interesser i en eventuel rets- eller voldgiftssag, uagtet databehandlerens eventuelle indsigelser i forhold til den påberåbte misligholdelse, såfremt databehandlerens bistand er af væsentlig betydning for varetagelsen af den dataansvarliges interesser, og at dette ikke samtidig skader databehandlerens stilling.
D.2 Overdragelse
Databehandleren må ikke overdrage sine rettigheder og forpligtelser i henhold til denne Databehandleraftale uden den Dataansvarliges forudgående samtykke.
D.3 Fortrolighed
Databehandleren er også efter denne aftales ophør pålagt fuld tavshedspligt omkring alle oplysninger, denne bliver bekendt med gennem samarbejdet.
Databehandleren må ikke offentligt kommunikere om brud på persondatasikkerheden, uden forudgående skriftlig aftale med dataansvarlige om indholdet af en sådan kommunikation.
D.4 Databehandlerkæden og databehandlers koncerndiagram
Databehandleren er forpligtet til at udarbejde en oversigt over en opdateret og fuldstændig kæde af databehandlere, der behandler den dataansvarliges persondata. Oversigten udarbejdes i overensstemmelse med skabelonen i denne aftales Bilag E.
Oversigten skal angive databehandlerens underdatabehandlere, disses underdatabehandlere etc. Oversigten skal endvidere angive hvorvidt den enkelte databehandler er koncernforbundet med et moderselskab i et ikke sikkert tredjeland eller på anden måde er underlagt et ikke sikkert tredjelands lovgivning.
Databehandleren giver den dataansvarlige information om enhver ændring i databehandlerkæden.
Ved ophør af en aftale om behandling af personoplysninger omfattet af nærværende Databehandleraftale skal databehandleren give den dataansvarlige meddelelse herom. Databehandleren skal i den forbindelse sikre, at underdatabehandleren sletter personoplysningerne i overensstemmelse med nærværende aftales kapitel 11
1 Henvisninger til ”medlemsstat” i disse bestemmelse skal forstås som en henvisning til ”EØS medlemsstater”.
Standardkontraktsbestemmelser januar 2020