Aftaleparter
NSP Serviceaftale for Anvendersystem- leverandør
Version 1.3
Aftaleparter
Nærværende aftale om at anvende den Nationale Serviceplatform (NSP) er indgået mellem Sundhedsdatastyrelsen (SDS) som systemansvarlig organisation for NSP og Anvendersystem-leverandør
på vegne af de i bilag 1 oplistede Serviceaftagere af data og/eller services der udbydes på NSP.
NSP Serviceaftalekoncept
Aktører på sundhedsområdet, der ønsker at anvende data og services, der udbydes på NSP, skal indgå en NSP serviceaftale (nærværende aftale) før adgangen etableres. NSP Serviceaftalen regulerer forholdet mellem SDS, som systemansvarlig organisation for NSP og Serviceaftager. Da Anvendersystem-leverandør agerer som leverandør for andre organisationer (med andet CVR-nummer) skal Anvendersystem-leverandør til hver en tid kunne dokumentere, hvilke organisationer vedkommende handler på vegne af, samt at der er indgået aftaler svarende til denne serviceaftale mellem Anvendersystem-leverandør og de pågældende organisationer.
Aftalen omfatter de til enhver tid gældende vilkår for brug af NSP services.
SDS publicerer de til enhver tid gældende vilkår for benyttelse af NSP platformen punktet ”Servicedeklaration for NSP” på xxxxx://xxx.xxxxx.xx. På denne adresse er servicemål for NSP platformen også tilgængelig.
Anvendersystem-leverandør har adgang til oversigt over aftaler og forbrug af services via brugernavn og password. Adgang fås i forbindelse med accept af denne serviceaftale på xxxxx.xx.
Specifikke vilkår for Anvendersystem-leverandører og deres kunder ifm. anvendelse af data og services på NSP
Anvendersystem-leverandøren indestår, som databehandler for anvenderne, for til enhver tid at overholde gældende love, regler mv. omkring håndtering af persondata. Anvendersystem-leverandøren er forpligtet til at holde sig orienteret omkring den nationale sikkerhedsinfrastruktur samt til at sikre, at incidents i et anvendersystem ikke medfører afledte incidents i andre systemer eller i infrastrukturen. Anvendersystem- leverandøren er således forpligtet til at opretholde det fornødne support-beredskab til at kunne håndtere incidents på forsvarlig vis, og er forpligtet til at orientere SDS uden ugrundet ophold, hvis der forekommer incidents, der kan have betydning for den nationale infrastruktur eller andre systemer. I tilfælde af konkrete incidents skal Anvendersystem-leverandøren kunne afbryde adgangen til den nationale infrastruktur for de enkelte Serviceaftagere som anvender Anvendersystem-leverandørens it-løsning for at sikre, at et incident begrænses til færrest muligt lokationer.
Anvendersystem-leverandør indestår for, at der i Anvendersystem-leverandørens kundevilkår optages bestemmelser, der på tydelig vis forpligter de serviceaftagere som anvender leverandørens it-løsning (herefter benævnt serviceaftagere) til at
- overholde de generelle NSP servicevilkår, samt de specifikke servicevilkår der er gældende for de services som Anvendersystem-leverandøren udbyder sin it-løsning til,
- overholde de fastlagte regler for brug af Sundhedsdatanettet1,
- varetage brugeradministration og vedligehold heraf i overensstemmelse med lovkrav og indgåede aftaler,
- sikre den fornødne netværkssikkerhed, herunder løbende opdatering af firewalls, antivirus-og anti- malwareprogrammer, og
- at rette henvendelse til Anvendersystem-leverandøren i tilfælde af formodede eller konstaterede sikkerhedsbrud med henblik på at sikre størst mulig begrænsning af skaden.
I forhold til NSP optræder den enkelte anvenderorganisation, fx apotek, tandlægepraksis m.fl. som serviceanvender. Denne forståelse anvendes i det følgende.
Adgangen til NSP, og de data og services der udbydes på NSP, etableres under forudsætning af, at de i bilag 1 nævnte Serviceaftagere har indgået databehandleraftaler med Anvendersystem-leverandøren, hvoraf det fremgår, at Anvendersystem-leverandøren (databehandler) alene handler efter instruks fra Serviceaftager (sundhedsorganisationer eller sundhedspersoner dvs. den dataansvarlige), og at reglerne i databeskyttelsesforordningen § 32 ligeledes gælder for behandlingen ved databehandleren.
Såfremt en ønsket databehandler er etableret i et land, der ikke er omfattet af forordningen, skal forordningens regler i kapitel 5 vedr. databehandlere i 3. lande overholdes. SDS skal derfor inddrages konkret i forhold til evt. indgåelse af aftale.
Det skal fremgå af den indgåede aftale mellem serviceaftageren (den dataansvarlige) og databehandleren, at de procedurer, der er beskrevet i bilag 2, skal overholdes.
SDS kan på ethvert tidspunkt udbede sig databehandleraftalerne.
Adgangen etableres derfor under forudsætning af, at Anvendersystem-leverandøren ikke under nogen omstændigheder anvender oplysningerne til egne formål.
1 Anført i Bilag 1: Betingelser for tilslutning til og brug af SDN i Tilslutningsaftale for Sundhedsdatanettet (SDN) – se xxxxx://xxx.xxxxxx.xx/xxxxxxxxxxxxxxxxx/xxxxxxxxxxxxxxx-xxx/xxxxxxxxxx
Hvis en Serviceaftager, eller dennes databehandler, ikke retter sig efter de i denne aftale udstukne retningslinjer for sikkerhed eller overtræder reglerne i databeskyttelseslovgivningen, forbeholder SDS sig ret til at frakoble adgangen, indtil SDS finder at der fra Serviceaftager og Anvendersystem-leverandørs side, er etableret betryggende sikkerhed for overholdelse af kravene. Det samme gælder, hvis der i øvrigt konstateres misbrug af adgangen.
Anvendersystem-leverandøren har ansvaret for, at bilag 1 udfyldes i overensstemmelse med de anførte krav. Bilaget skal til enhver tid være opdateret og skal sendes til SDS to gange årligt, nærmere bestemt hvert år den 1. marts og den 1. september. SDS kan dog til enhver tid kræve en komplet og opdateret liste.
Anvendersystem-leverandøren må ikke overdrage rettigheder og forpligtelse i medfør af denne aftale til tredjemand uden SDS’ forudgående skriftlige samtykke.
Ændring i aftalemæssige forhold
SDS kan foretage ændringer i vilkårene for tilslutning til NSP. Ændringer i vilkår træder i kraft med minimum 6 måneders varsel, med mindre ændringerne er nødvendige at implementere hurtigere af lovgivningsmæssige eller sikkerhedsmæssige årsager, der nødvendiggør et kortere eller intet varsel.
Aftaleindgåelse
Så snart aftalen er underskrevet af Anvendersystem-leverandøren og godkendt af SDS, foretager SDS de nødvendige foranstaltninger for at Anvendersystem-leverandøren får adgang til NSP. Så snart dette er iværksat sender SDS besked via e-mail til den i aftalen angivne kontaktperson, hvorefter aftalen træder i kraft.
Aftalen kan opsiges af begge parter med 6 måneders varsel.
Kontaktdata
Normalt vil man kunne orientere sig om driftsmæssige forhold og varslinger på NSPOP Driftsstatus: xxxxx://xxx.xxxxx.xx/xxxxxxx/xxxxxxxxxxxx/Xxxxxxxxxxxx
Ved særlige driftsmæssige forhold eller kritiske incidents, kan der være behov for at kontakte Servicedesk eller ansvarligt teknisk personale hos Anvendersystem-leverandøren. I forbindelse med indgåelse af aftalen er disse kontaktdata anført på NSPOP.
Underskrift
Anvendersystem-leverandør giver med sin accept af denne aftale på NSPOP tilsagn om overholdelse af denne aftale, på vegne af de i bilag 1 oplistede modtagere af data og/eller services.
Bilag 1
Liste over de Kunder (serviceaftagere) Anvendersystem-leverandør har indgået denne aftale med Sundhedsdatastyrelsen på vegne af.
Instruks for listens indhold og opdatering:
Bilaget skal udfyldes i excel/csv med navn og CVRnr. for samtlige Serviceaftagere (sundhedsorganisationer eller sundhedspersoner), som oplysningerne vil blive givet til.
Bilaget i excel/csv opdateres den 1. marts og den 1. september hvert år via
xxxxx://xxx.xxxxx.xx/xxxxxxx/xxxxxxxxx/Xxxxxxxxxxxxxxxxxx
Bilag 2
Sikkerhedsforanstaltninger hos Serviceaftager
Anvendersystem-leverandøren (databehandleren) er forpligtet til at informere serviceaftagerne om nedenstående krav, som stilles af Sundhedsdatastyrelsen (den dataansvarlige) for at kunne tilgå de ønskede services på NSP.
Instruks for adgangskontrol
Betingelser for adgang
En slutbruger ved den enkelte serviceaftager har alene adgang til oplysningerne om en person når:
• Slutbrugeren har person i aktuel behandling, og
• oplysningerne er relevante som led i behandlingen
Data og Services stilles til rådighed for normal og løbende forretningsanvendelse.
Samtlige disse betingelser skal være opfyldt, og Serviceaftager skal til enhver tid kunne dokumentere, at betingelserne er opfyldt.
Adgangskontrol
Serviceaftager skal sikre behørig adgangskontrol til data og services der udbydes på NSP i overensstemmelse med følgende retningslinjer:
• Kun den slutbruger, der autoriseres hertil, skal have adgang til data og services der udbydes på NSP. Kun sundhedsorganisationen eller sundhedspersonen selv eller dennes medhjælp må autoriseres som slutbruger.
• For slutbrugere, som ikke længere har behov for de autorisationer, de har fået udstedt, skal autorisationerne straks inddrages. Det gælder f.eks. medarbejdere, som flytter til andet arbejdsområde, eller hvis ansættelsesforhold ophører.
• Der skal etableres en teknisk adgangskontrol i systemet, således at autoriserede personer skal identificere sig entydigt over for systemet for at få adgang til data og services der udbydes på NSP. Man må ikke anvende andre adgangsoplysninger end sine egne.
• Serviceanvender skal ved adgangskontrollen sikre sig, at den, der forsøger at få adgang, er berettiget til at foretage opslag.
• Der skal foretages registrering af alle afviste adgangsforsøg.
Netværkssikkerhed
Serviceaftager er forpligtet til at sikre den fornødne netværkssikkerhed, herunder:
• overholde de fastlagte regler for brug af Sundhedsdatanettet2,
• sikre den fornødne netværkssikkerhed, herunder løbende opdatering af firewalls, antivirus-og anti-malwareprogrammer
• sikre opdatering af operativsystemer og anvendt software på de arbejdspladser, der anvendes til at tilgå NSP
2 Anført i Bilag 1: Betingelser for tilslutning til og brug af SDN i Tilslutningsaftale for Sundhedsdatanettet (SDN) – se xxxxx://xxx.xxxxxx.xx/xxxxxxxxxxxxxxxxx/xxxxxxxxxxxxxxx-xxx/xxxxxxxxxx
Sikkerhedsbrud
Serviceaftager er forpligtet til at rette henvendelse til anvendersystemleverandøren uden unødig ophold i tilfælde af formodede eller konstaterede sikkerhedsbrud med henblik på at sikre størst mulig begrænsning af skaden.
Serviceaftager er forpligtet til at hjælpe anvendersystemleverandøren og Sundhedsdatastyrelsen med at udrede og afhjælpe evt. sikkerhedsbrud.
Såfremt der er tale om brud på persondatasikkerheden i forhold til anvendelse af services på NSP, skal serviceaftager underrette Sundhedsdatastyrelsen uden unødigt ophold og senest 24 timer efter, at bruddet er konstateret på adressen xxxxxxxxxxxxxxx@xxxxxxxxxxxx.xx.
Der henvises i øvrigt til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse) samt LOV nr. 502 af 23/05/2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).
SDS kan føre kontrol med Serviceaftagers varetagelse af sikkerheden, herunder adgangskontrollen og ajourføring af autorisationer.