DATABEHANDLERAFTALE

DATABEHANDLERAFTALE

Mellem

Kolding kommune

Akseltorv 1

6000 Kolding

CVR. nr.: 29 18 98 97

(herefter ”Kommune”)

og

[Leverandørens navn]

[Leverandørens adresse]

[Leverandørens postnummer og by]

CVR-nummer [Leverandørens CVR-nummer]

(herefter ”Leverandøren”)

er der indgået nedenstående databehandleraftale (herefter ”Aftalen”) om Leverandørens behandling af personoplysninger på vegne af kommunen:

1. Generelt

   1. I Aftalen er indarbejdet de krav, som pr. den 25. maj 2018 stilles i medfør af Rådets forordning (EU) 2016/679 af 27. april 2016 (herefter Databeskyttelsesforordningen).

   2. Leverandøren skal behandle personoplysninger i overensstemmelse med god databehandlingsskik, jf. de til enhver tid gældende regler og forskrifter for behandling af personoplysninger.

   3. Databehandleraftalen og ”Hovedaftalen” er indbyrdes afhængige, og kan ikke opsiges særskilt. Denne databehandleraftale har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem parterne.

   4. Denne databehandleraftale frigør ikke databehandleren for de forpligtigelser, som efter databeskyttelsesforordningen eller enhver anden lovgivning direkte er pålagt databehandleren.

2. Formål

   1. Leverandøren behandler i medfør af aftale med kommunen [Titel og dato eller anden entydig identifikation vedrørende aftalen som databehandleraftalen knytter sig til] (herefter ”Hovedaftalen”) personoplysninger for kommunen, hvor Leverandørens behandlinger og formålet med behandlingerne er beskrevet.

[Afdeling eller organisatorisk enhed i Kolding Kommune] har indgået kontrakt med Leverandøren og er ansvarlig for kontraktindgåelsen.
Databehandleraftalen er udfyldt af [Systemejerens navn og e-mail]

Databehandleraftalen er journaliseret i Kommunens ESDH system [Indsæt sagsnummer].

3. Kommunens rettigheder og forpligtelser

   1. Kommunen er dataansvarlig for de personoplysninger, som kommunen instruerer Leverandøren om at behandle. Kommunen har ansvaret for, at de personoplysninger, som kommunen instruerer Leverandøren om at behandle, må behandles af Leverandøren, herunder at behandlingen er nødvendig og saglig i forhold til kommunens opgavevaretagelse.

   2. Kommunen har overfor den registrerede som udgangspunkt ansvaret for, at behandlingen af personoplysninger sker indenfor rammerne af databeskyttelsesforordningen og databeskyttelsesloven.

   3. Kommunen er blandt andet ansvarlig for, at der foreligger hjemmel til den behandling, som databehandleren er instrueret i at foretage.

4. Leverandørens forpligtelser

   1. Leverandøren er databehandler for de personoplysninger, som Leverandøren behandler på vegne af kommunen, jf. pkt. 6 og bilag 3. Leverandøren har som databehandler de forpligtelser, som er pålagt en databehandler i medfør af lovgivningen, jf. Aftalens pkt. 1.1

   2. Leverandøren behandler alene de overladte personoplysninger efter instruks fra kommunen, jf. pkt. 6 og bilag 3, og alene med henblik på opfyldelse af Hovedaftalen.

   3. Leverandøren skal løbende føre en fortegnelse over behandlingen af personoplysninger.

   4. Leverandøren skal sikre personoplysningerne via tekniske og organisatoriske sikkerhedsforanstaltninger, som beskrevet i Databeskyttelsesforordningen, jf. bilag 1 – Sikkerhed.

   5. Leverandøren skal på opfordring fra kommunen hjælpe med at opfylde kommunens forpligtelser i forhold til den registreredes rettigheder, herunder besvarelse af anmodninger fra borgere om indsigt i egne oplysninger, udlevering af borgerens oplysninger, rettelse og sletning af oplysninger, begrænsning af behandling af borgerens oplysninger, samt kommunens forpligtelser i forhold til underretning af den registrerede ved sikkerhedsbrud, jf. Databeskyttelsesforordningens kap. III samt artikel 34.

   6. Leverandøren skal hjælpe kommunen med at efterleve dennes forpligtelser efter Databeskyttelsesforordningens artikel 32-36.

   7. Leverandøren garanterer at levere tilstrækkelig ekspertise, pålidelighed og ressourcer til at implementere passende tekniske og organisatoriske foranstaltninger sådan, at Leverandørens behandling af kommunens personoplysninger opfylder kravene i Databeskyttelsesforordningen og sikrer beskyttelse af den registreredes rettigheder.

   8. Leverandøren er forpligtet til at oplyse med præcise adresseangivelser, hvor kommunens personoplysninger opbevares, jf. bilag 2. Leverandøren skal ajourføre oplysningerne over for Kommunen ved enhver ændring.

5. Underleverandør (underdatabehandler)

   1. Ved underdatabehandler forstås en underleverandør, til hvem Leverandøren har overladt hele eller dele af den behandling, som Leverandøren foretager på vegne af kommunen.

   2. Leverandøren må ikke uden udtrykkelig skriftlig godkendelse fra kommunen anvende andre underdatabehandlere end dem, der er angivet i bilag 2, herunder foretage udskiftning af disse, til at behandle de personoplysninger, som kommunen har overladt til Leverandøren i medfør af Hovedaftalen. Kommunen kan ikke nægte at godkende tilføjelse eller udskiftning af en underdatabehandler medmindre, der foreligger en konkret saglig begrundelse herfor.

   3. Hvis Leverandøren overlader behandlingen af personoplysninger, som kommunen er dataansvarlig for, til underdatabehandlere, skal Leverandøren indgå en skriftlig (under)databehandleraftale med underdatabehandleren.

   4. Underdatabehandleraftalen, jf. pkt. 5.3, skal pålægge underdatabehandleren de samme databeskyttelsesforpligtelser, som Leverandøren er pålagt efter Aftalen, herunder, at underdatabehandleren garanterer at kunne levere tilstrækkelig ekspertise, pålidelighed og ressourcer til at kunne implementere de passende tekniske og organisatoriske foranstaltninger således, at underdatabehandlerens behandling opfylder kravene i Databeskyttelsesforordningen og sikrer beskyttelse af den registreredes rettigheder.

   5. Når Leverandøren overlader behandlingen af personoplysninger, som kommunen er dataansvarlig for, til underdatabehandlere, har Leverandøren over for kommunen ansvaret for underdatabehandlernes overholdelse af disses forpligtelser, jf. pkt. 5.3.

   6. Kommunen kan til enhver tid forlange dokumentation fra Leverandøren for eksistensen og indholdet af underdatabehandleraftaler for de underdatabehandlere, som Leverandøren anvender i forbindelse med opfyldelsen af sine forpligtelser over for kommunen.

   7. Leverandøren skal i sin aftale med underdatabehandleren indføje kommunen som begunstiget tredjemand i tilfælde af databehandlerens konkurs, således at kommunen kan indtræde i Leverandørens rettigheder og gøre dem gældende over for underdatabehandleren, f.eks. så kommunen kan instruere underdatabehandleren om at foretage sletning eller tilbagelevering af oplysninger.

   8. Al kommunikation mellem kommunen og underdatabehandleren sker via Leverandøren.

6. Instrukser

   1. Leverandørens behandling af personoplysninger på vegne af kommunen sker udelukkende efter dokumenteret instruks, jf. bilag 3. Det er Leverandørens ansvar at sikre, at eventuelle underdatabehandlere, jf. pkt. 5.3, får tilsendt kommunens instruks, jf. bilag 3.

   2. Leverandøren skal omgående give besked til kommunen, hvis en instruks efter Leverandørens vurdering er i strid med lovgivningen, jf. pkt. 1.1

7. Tekniske og organisatoriske sikkerhedsforanstaltninger

   1. Leverandøren skal, jf. bilag 1, iværksætte alle sikkerhedsforanstaltninger, der kræves for at sikre et passende sikkerhedsniveau.

   2. Leverandøren skal mindst en gang årligt gennemgå sine interne sikkerhedsforskrifter og retningslinjer for behandlingen af personoplysninger med henblik på at sikre, at de fornødne sikkerhedsforanstaltninger til stadighed er iagttaget, jf. pkt. 7.1, samt bilag 1.

   3. Leverandøren samt dennes ansatte er underlagt forbud mod at skaffe sig oplysninger af enhver art, som ikke har betydning for udførelsen af den pågældendes opgaver.

   4. Leverandøren har pligt til at instruere de ansatte, der har adgang til eller på anden måde varetager behandling af Kommunens personoplysninger, om Leverandørens forpligtelser, herunder bestemmelserne om tavshedspligt og fortrolighed, jf. pkt. 9.

   5. Leverandøren er forpligtet til straks at underrette kommunen om ethvert sikkerhedsbrud samt ved

• enhver anmodning om videregivelse af personoplysninger omfattet af Aftalen fra en myndighed, medmindre orienteringen af kommunen er eksplicit forbudt ved lov, f.eks. i medfør af regler, der har til formål at sikre fortroligheden af en retshåndhævende myndigheds efterforskning,

• anden manglende overholdelse af Leverandørens, samt eventuelle underdatabehandleres forpligtelser

uanset, om dette sker hos Leverandøren eller hos en underdatabehandler.

6. Leverandøren må ikke hverken offentligt eller til tredjeparter kommunikere om sikkerhedsbrud, jf. pkt. 7.5, uden forudgående skriftlig aftale med kommunen om indholdet af en sådan kommunikation, medmindre Leverandøren har en retlig forpligtelse til sådan kommunikation.

1. Overførsler til andre lande

   1. Leverandørens overførsel af personoplysninger til lande, der ikke er medlem af EU (tredjelande), f.eks. via en cloudløsning eller en underdatabehandler, skal ske i overensstemmelse med kommunens instruks herfor, jf. bilag 3.

Kolding Kommune tillader udelukkende overførsel af personoplysninger til et tredjeland hvor Europa-Kommissionen har truffet afgørelse om, at beskyttelsesniveauet i det pågældende tredjeland eller den internationale organisation er tilstrækkelig.

Hermed menes, at en overførsel af personoplysninger til en modtager i det pågældende sikre tredjeland kan ske uden forudgående godkendelse fra en kompetent tilsynsmyndighed, dog under forudsætning af at databeskyttelsesforordningen øvrige regler, herunder behandlingsregler samt de fire essentielle europæiske garantier overholdes.

Uden kommunens instruks eller godkendelse kan databehandleren inden for rammerne af databehandleraftalen blandt andet ikke:

1. Videregiver personoplysninger til en dataansvarlig i et tredjeland eller i en international organisation

2. Overlade behandlingen er personoplysninger til en underdatabehandler i et tredjeland

3. Lade oplysningerne behandle i en anden af databehandlerens afdelinger, som er placeret i et tredjeland.

1. Ved overførsel til tredjelande er Leverandøren og kommunen i fællesskab ansvarlige for, at der foreligger et gyldigt overførselsgrundlag.

1. Tavshedspligt og fortrolighed

   1. Leverandøren skal sikre, at alle, der behandler oplysninger omfattet af Aftalen, herunder ansatte, tredjeparter (f.eks. en reparatør) og underdatabehandlere, forpligter sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

   2. Der må alene autoriseres personer, for hvem det er nødvendigt at have adgang til personoplysninger, der behandles på vegne af kommunen. Adgangen til oplysningerne skal derfor straks lukkes ned, hvis autorisationen fratages eller udløber.

2. Kontroller og erklæringer

   1. Leverandøren er forpligtet til at give kommunen nødvendige oplysninger til, at kommunen til enhver tid kan sikre sig, at Leverandøren overholder de krav, der følger af denne Aftale.

   2. Kommunen, en repræsentant for kommunen eller dennes revision (såvel intern som ekstern) har adgang til at foretage inspektioner og revision hos Leverandøren, få udleveret dokumentation, herunder logs, stille spørgsmål m.v. med henblik på at konstatere, at Leverandøren overholder de krav, der følger af denne Aftale.

   3. Leverandøren skal hvert år vederlagsfrit fremsende en erklæring om overholdelse af denne Aftale fra en uafhængig revisor, som bekræfter, at Leverandøren overholder de generelle it-kontroller. Erklæringen skal være af en ISAE 3402 type 2-erklæring, eller erklæringer der måtte træde i stedet for denne.

Endvidere skal Leverandøren uden særskilt vederlag hvert år foranledige udarbejdet en generel erklæring fra en uafhængig revisor vedrørende Leverandørens behandlingssikkerhed i relation til persondata. Erklæringen skal udarbejdes som en ISEA 3000- erklæring, eller erklæringer der måtte træde i stedet for denne. For så vidt angår underdatabehandlere kan hensynene i dette punkt oplyses via andre passende foranstaltninger.

Den første erklæring skal foreligge 12 måneder efter Hovedaftalens indgåelse.

4. I tilfælde af, at kommunen og/eller relevante offentlige myndigheder, særligt Datatilsynet, ønsker at foretage en inspektion af de ovennævnte foranstaltninger i henhold til denne aftale, forpligter Leverandøren og Leverandørens underleverandører sig til uden yderligere omkostninger for kommunen at stille tid og ressourcer til rådighed herfor.

1. Ændringer i Aftalen

   1. Kommunen kan til enhver tid, med et forudgående varsel på mindst 60 dage, foretage ændringer i Aftalen og instruksen, jf. bilag 3. Ændringsprocessen og omkostningerne aftales skriftligt mellem kommunen og Leverandøren i Hovedaftalen. Leverandøren skal ved sådanne ændringer uden ugrundet ophold sikre, at underdatabehandlerne tillige forpligtes af ændringerne.

   2. I det omfang ændringer i lovgivningen, jf. pkt. 1.1 eller tilhørende praksis, giver anledning til dette, træder disse i kraft ved lovændringens eller praksisændringens ikrafttræden uden at dette medfører krav om betaling fra Leverandøren, idet bemærkes at Leverandøren er forpligtet til at overholde lovgivning og tilhørende praksis, jf. pkt. 1.1. Kommunen orienterer Leverandøren om behovet for ændringen og de nødvendige konsekvensrettelser i aftalen foretages.

2. Sletning af data

   1. Kommunen træffer beslutning om, hvorvidt der skal ske sletning eller tilbagelevering af personoplysningerne efter, at behandlingen af personoplysningerne er ophørt i medfør af Hovedaftalen.

   2. Kommunen skal senest tre måneder inden Hovedaftalens ophør skriftligt meddele Leverandøren, hvorvidt alle personoplysningerne skal slettes eller tilbageleveres til kommunen. I det tilfælde, hvor personoplysningerne tilbageleveres til kommunen, skal Leverandøren ligeledes slette eventuelle kopier. Leverandøren skal sikre, at eventuelle underdatabehandlere ligeledes efterlever kommunens meddelelse.

   3. Leverandøren skal fremsende dokumentation for, at den påkrævede sletning, jf. pkt. 12.2, er foretaget, og hvilken metode for sletning der er anvendt.

3. Misligholdelse og tvistigheder

   1. Misligholdelse og tvistigheder er reguleret i Hovedaftalen.

4. Erstatning og forsikring

   1. Erstatnings- og forsikringsspørgsmål er reguleret i Hovedaftalen.

5. Ikrafttræden og varighed

   1. Aftalen indgås ved begge parters underskrift og løber indtil ophør af Hovedaftalen.

   2. Aftalen kan af begge parter kræves genforhandlet, hvis lovændringer eller uhensigtsmæssigheder i aftalen giver anledning hertil.

6. Formkrav

   1. Aftalen skal foreligge skriftligt, herunder elektronisk, hos Kommunen og Leverandøren.

For Kommunen		For Leverandøren
[Xxxx xxxxxxxx]		[Xxxx xxxxxxxx]
Dato		Dato
[Stilling udfyldes]		[Stilling udfyldes]
Stilling		Stilling
[Navn udfyldes]		[Navn udfyldes]
Navn		Navn
Underskrift		Underskrift

Bilag:

Bilag 1 – Sikkerhed

Bilag 2 – Oplysninger om lokationer for behandling og underleverandører (underdatabehandlere)

Bilag 3 – Instruks

Bilag 4 – Kommunens it-sikkerhedspolitik

Bilag 1 – Sikkerhed

Indledning

Dette bilag indeholder en beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger, som Leverandøren i medfør af Aftalen har ansvar for at gennemføre, overholde og sikre overholdelse af, herunder hos dennes underdatabehandlere, som er angivet i bilag 2.

I forbindelse med udfyldelse af bilag 1 kan leverandøren orientere sig i kommunens it-sikkerhedspolitik, som er vedhæftet som bilag 4.

Sikkerhedskrav

Leverandøren gennemfører følgende tekniske og organisatoriske sikkerhedsforanstaltninger for at sikre et sikkerhedsniveau, der passer til de aftalte behandlinger, jf. Instruks (bilag 3), og som dermed opfylder Databeskyttelsesforordningens artikel 32.

Foranstaltningerne fastlægges ud fra overvejelser om:

1. Hvad der kan lade sig gøre rent teknisk

2. Implementeringsomkostningerne

3. Den pågældende behandlings karakter, omfang, sammenhæng og formål, jf. Instruksen (bilag 3)

4. Konsekvenserne for borgerne ved et sikkerhedsbrud

5. Den risiko, der er forbundet med behandlingerne, herunder risikoen for:

a) tilintetgørelse af oplysningerne

b) tab af oplysningerne

c) ændring af oplysningerne

d) uautoriseret videregivelse af oplysningerne

e) uautoriseret adgang til oplysningerne

[Leverandøren udfylder]

Bilag 2 – Oplysninger om lokationer for behandling og underleverandører (underdatabehandlere)

1. Lokation(er) for behandlingen, her opsummer Leverandøren, de steder, hvor Kolding Kommunens personoplysninger opbevares/behandles.

[Leverandøren udfylder]

[Angiv, hvor behandlingen finder sted] [Angiv, hvilken databehandler eller underdatabehandler, der anvender adressen]

[Angiv, hvor behandlingen finder sted] [Angiv, hvilken databehandler eller underdatabehandler, der anvender adressen]

2. Underdatabehandlere

Databehandleren må alene gøre brug af underdatabehandlere efter forudgående specifik skriftlig godkendelse fra kommunen. Databehandlerens anmodning herom skal være den ansvarlige i hænde minimum 6 måneder før anvendelsen eller ændringen skal træde i kraft. Kommunen kan alene nægte godkendelse, såfremt kommunen har rimelige, konkrete årsager hertil.

2.1. Godkendte underdatabehandlere

Kommunen har ved databehandleraftalens ikrafttræden godkendt anvendelsen af følgende underdatabehandlere. Databehandleren kan ikke uden kommunens specifikke og skriftlige godkendelse anvende den enkelte underdatabehandler til en ”anden” behandling end aftalt eller lade en anden underdatabehandler foretage den beskrevne forhandling.

[Leverandøren udfylder, hvis der anvendes underdatabehandler, der anvender adressen]

Navn	CVR-nr.	Adresse	Beskrivelse af behandling
[Navn]	[CPR-nummer]	[Adresse]	[Overordnet beskrivelse af behandlingen hos underdatabehandleren]
[Navn]	[CPR-nummer]	[Adresse]	[Overordnet beskrivelse af behandlingen hos underdatabehandleren]
[Navn]	[CPR-nummer]	[Adresse]	[Overordnet beskrivelse af behandlingen hos underdatabehandleren]

Bilag 3 – Instruks

Instruks

Kommunen instruerer hermed Leverandøren om at foretage behandling af kommunens oplysninger til brug for levering af diabeteshjælpemidler, jf. Hovedaftale [Titel og dato eller anden tydelig identifikation], samt i overensstemmelse med nærværende databehandleraftale.

Overlader Leverandøren behandling af Kommunens oplysninger til underdatabehandlere, er leverandøren ansvarlig for at indgå skriftlige (under)databehandleraftaler med disse, jf. aftalens pkt. 5.3. Leverandøren er ansvarlig for, at kommunens instruks fremsendes til eventuelle underdatabehandlere.

1. Behandlingens formål og generel beskrivelse af behandlingen

1.1.1 Behandlingen

Behandling af kommunens oplysninger sker i henhold til formålet i og krav i Hovedaftalen.

Det overordnede formål med behandlingen er at leve op til kommunens forpligtelser til at yde kommunens

borgere hjælp i form af diabetesartikler efter servicelovens § 112.

Leverandøren må ikke anvende oplysningerne til andre formål. Oplysningerne må ikke behandles efter

instruks fra andre end kommunen.

1.1.2 Kategorier af registrerede borgere, som databehandlingen omfatter

Xxxxxxx, der er visiteret til diabetesartikler.

Pårørende til ovenstående borgere.

1.1.3 Typer af personoplysninger, som databehandlingen omfatter

☒ Almindelige personoplysninger (jf. Databeskyttelsesforordningens artikel 6)

Følsomme personoplysninger (jf. Databeskyttelsesforordningens artikel 9):

☐ Racemæssig eller etnisk baggrund

☐ Politisk overbevisning

☐ Religiøs overbevisning

☐ Filosofisk overbevisning

☐ Fagforeningsmæssige tilhørsforhold

☒ Helbredsforhold, herunder misbrug af medicin, narkotika, alkohol m.v.

☐ Seksuelle forhold

Oplysninger om enkeltpersoners rent private forhold (jf. Databeskyttelsesforordningens artikel 6, 9 og 10):

☐ Strafbare forhold

☒ Væsentlige sociale problemer

☐ Andre rent private forhold, som ikke er nævnt ovenfor:

Oplysninger om cpr-nummer (jf. Databeskyttelsesforordningens artikel 87)

☒ CPR-numre

1.1.4 Varighed af databehandlingen

Behandlingen af data finder sted indtil aftalens ophør. Ved ophør skal leverandøren således give kommunen de oplysninger, der skal bruges for at fortsætte aftale med evt. ny leverandør, og derpå slette oplysningerne.

Tredjelande (ikke EU-medlemslande)

Leverandøren må ikke overføre personoplysninger til tredjelande.

— Centralforvaltningen IT og digitalisering Sct. Xxxxxxx Xxxx 0 6000 Kolding

xx@xxxxxxx.xx