DATABEHANDLERAFTALE
Fællesregional databehandleraftaleskabelon Godkendt 22.06.2017
Version 1.2
Journalnummer:
DATABEHANDLERAFTALE
Vedrørende Agents Intervening against Delirium in Intensive Care Unit (AID-ICU)
For at sikre overholdelsen af de til enhver tid gældende regler om behandling af personoplysninger, herunder særligt persondataloven1 og dertil hørende bekendtgørelser og vejledninger, har
Region Sjælland Alleen 15, 4180 Sorø
Afdeling: Sjællands Universitetshospital, Køge. Anæstesiologisk Afde- ling. Xxxxxxxxxxx 0. 4600 Køge
CVR-nr. 29190658
(herefter den ”Dataansvarlige”)
og
Copenhagen Trial Unit Dept. 7812, Rigshospitalet
Xxxxxxxxx 00
2100 København
CVR: 34177058
Kontaktperson: Xxxx Xxxxxxxxxx (herefter ”Databehandleren”)
indgået nærværende databehandleraftale (herefter ”Databehand- leraftalen”) som en del af samarbejde vedrørende AID-ICU (heref- ter ”Hovedaftalen”)
Overlæge Xxxx Xxxxxxx Xxxxxxx
Tel. x00 00000000
Side 1
hvor data fysisk behandles på følgende adresse Copenhagen Trial Unit (CTU), Rigshospitalet. Xxxxxxxxx 00, 2200 Kbh N. Placering af
1 Lov nr. 429 af 31.maj 2000 om behandling af personoplysninger med senere ændringer § 42, stk. 2 jf. § 41.
server på samme adresse i kælderen, rum K128A, og navnet på serveren er OpenClinica AID-ICU @ DMZ/VMDMZHOST.
1. Databehandlerens ansvar
Databehandleren handler alene efter instruks fra den Dataansvarlige og alene i det omfang, det er nødvendigt for, at Databehandleren kan opfylde sine forpligtelser i henhold til Databe- handleraftalen. Databehandleraftalen er således en del af den Dataansvarliges instruks til Da- tabehandleren.
Databehandleren forpligter sig til, til enhver tid, at overholde de danske såvel som Databe- handlerens nationale lovgivningsmæssige krav vedrørende databehandling og datasikkerhed samt den Dataansvarliges informationssikkerhedspolitik med tilhørende retningslinjer i forbin- delse med den databehandling, som udføres for den Dataansvarlige.
2. Databehandlerens opgave
Formålet med databehandlingen er at indsamle, hoste og analysere data som indbringes ifm. det randomiserede kliniske forsøg AID-ICU.
Databehandlerens opgave er at hoste, supportere og drifte systemet OpenClinica som anven- des til registrering af data under AID-ICU forsøget. Desuden er det databehandlerens opgave at udføre de statistiske analyser som skal udføres efter afsluttet patient inklusion. Databe- handleren er ligeledes ansvarlig for opbygning og vedligehold af databasen i OpenClinica. Da- tabehandleren er ansvarlig for sikker opbevaring af data.
Databehandlingen vil omfatte voksne patienter indlagt på en intensiv afdeling med diagnosen delirium. Patienter inkluderes på basis af stedfortrædende samtykke idet patient population er i en tilstand af midlertidig inhabilitet. Databehandling vil omfatte danske patienter fra alle fem regioner samt patienter fra 5-10 udenlandske intensiv afdelinger i Europa.
Databehandlingen vil omfatte data af helbredsmæssig karakter, såsom alder, køn, helbredsop- lysninger inkl. Diagnose, sygdomsgrad, behandlinger (inkl. medicin) og mulige bivirkninger. Dato for udskrivelse og evt. død, samt antal indlæggelsesdage.
Formålet med projektet er statistisk at undersøge hvorvidt haloperidol er overlegent ift. Place- bo mhp. nedsættelse af dødelighed og indlæggelsestid hos patienter indlagt på intensiv afde- lingen med diagnosticeret delir.
3. Tekniske og organisatoriske sikkerhedsforanstaltninger
Databehandleren skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltnin- ger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven.
Databehandleren forpligter sig til at overholde de til enhver tid gældende lovgivningsmæssige krav vedrørende behandling af personoplysninger. Databehandlingen skal derfor foregå i over- ensstemmelse med de til enhver tid gældende regler om behandling af personoplysninger, herunder særligt persondataloven og dertil hørende bekendtgørelser2 og vejledninger.
Databehandler behandler oplysninger på den Dataansvarliges vegne og handler alene efter in- struks fra den Dataansvarlige jf. bilag 1. Af instruksen fremgår minimumskrav til de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger.
Databehandleren forpligter sig endvidere til at behandle personoplysningerne i overensstem- melse med den informationssikkerhedspolitik som den Dataansvarlige er underlagt jf. bilag 2.
Principperne og anbefalingerne i ISO 27001 med senere ændringer vil således på alle relevante områder skulle efterleves som ramme, i det omfang andet ikke fremgår af nærværende data- behandleraftale.
4. Databehandlers brug af Underdatabehandler
Databehandleren må ikke indgå aftaler med en Underdatabehandler om behandling af person- oplysninger omfattet af denne databehandleraftale, medmindre den Dataansvarlige skriftligt har givet samtykke til aftaleindgåelsen. Den Dataansvarlige er berettiget til at stille vilkår for et sådant samtykke.
Databehandleren må endvidere ikke overføre eller tillade overførsel af personoplysninger til lande uden for EU og det Europæiske Økonomiske Samarbejdsområde uden den Dataansvarli- ges forudgående skriftlige samtykke.
Såfremt den Dataansvarlige har givet tilladelse til en overførsel af personoplysninger til lande uden for EU og det Europæiske Økonomiske Samarbejdsområde, påhviler det Databehandleren at sikre, at data ikke overføres, før der foreligger et lovligt kontraktgrundlag for overførsel af personoplysninger til de pågældende lande herunder en direkte databehandleraftale mellem den Dataansvarlige og eventuelle Underdatabehandlere beliggende i tredjelande.
Databehandleren skal i sin aftale med Underdatabehandleren sikre sig, at Underdatabehandle- ren som minimum kan opfylde de forpligtelser, som Databehandleren har påtaget sig ved den- ne databehandleraftale, for så vidt angår den behandling af personoplysninger, der varetages af Underdatabehandleren.
Databehandleren indestår for kontraktsmæssigheden og lovligheden af Underdatabehandlerens behandling af personoplysninger. Det forhold, at Databehandler indgår aftale med en Underda- tabehandler, fritager ikke Databehandleren for pligten til at efterleve nærværende Databe- handleraftale.
Ved ophør af en aftale med en Underdatabehandler om behandling af personoplysninger om- fattet af denne Databehandleraftale, skal Databehandleren give den Dataansvarlige meddelelse
2 Se f.eks. Bekendtgørelse nr. 528 af 15. juni 2000 om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, der behandles for den offentlige forvaltning med senere ændringer.
herom. Databehandleren skal i den forbindelse sikre, at Underdatabehandleren sletter data behørigt i overensstemmelse med punkt 9.
Såfremt Databehandleren anvender Underdatabehandler, skal oplysninger om denne fremgå af punkt 15.
5. Ad hoc arbejdspladser
I det omfang, databehandlingen sker fra ad hoc arbejdspladser (fjernarbejdspladser eller hjemmearbejdspladser) skal dette beskrives i punkt 15.
Såfremt Databehandleren foretager databehandling fra ad hoc arbejdspladser, skal Databe- handleren sikre, at disse lever op til de sikkerhedsmæssige krav i denne Databehandleraftale med bilag samt Datatilsynets IT-sikkerhedstekster herom.
Databehandleren skal blandt andet opfylde og dokumentere følgende:
• Beskrivelse af anvendt krypteret forbindelse mellem ad hoc arbejdspladsen og Databe- handlerens/Dataansvarliges netværk
• Anvendelse af 2-faktor-autentifikation
• Databehandlers interne instruks til egne medarbejdere vedrørende ad hoc arbejdsplad- ser
6. Tilsynsmyndigheder, audits og revisionserklæringer
Databehandleren skal på den Dataansvarliges anmodning give den Dataansvarlige tilstrækkeli- ge oplysninger til at denne kan påse, at de nævnte tekniske og organisatoriske sikkerhedsfor- anstaltninger m.v. er truffet. Endvidere skal Databehandleren kunne dokumentere, at identifi- cerede sårbarheder bliver imødegået ud fra en risikobaseret vurdering.
I tilfælde af, at den Dataansvarlige og/eller relevante offentlige myndigheder, særligt Datatil- synet, ønsker at foretage en fysisk inspektion (audit) af de foranstaltninger, som Databehand- ler foretager i medfør af Databehandleraftalen, forpligter Databehandleren sig til - med et ri- meligt varsel - at stille tid og ressourcer til rådighed herfor. Databehandleren forpligter sig på samme måde til at sikre, at sådanne audits også kan gennemføres hos dennes Underdatabe- handlere.
Som supplement eller alternativ til de ovenfor nævnte audits kan der indgås aftale om, at Da- tabehandler og eventuelle Underdatabehandlere for egen regning sørger for, at en uafhængig ekspert årligt udarbejder en revisionserklæring på grundlag af en anerkendt standard angåen- de Databehandlerens overholdelse af kravene til sikkerhedsforanstaltninger fastsat i Databe- handleraftalen. Erklæringen skal være formuleret konkret i forhold til den opgave, som Data- behandleren løser for den Dataansvarlige. En aftale herom kan fremgå af punkt 15.
7. Underretningspligt og assistance
Databehandleren forpligter sig til straks og skriftligt at orientere den Dataansvarlige om enhver afvigelse fra kravene i databehandleraftalen, f.eks.:
• ved enhver fravigelse fra givne instrukser
• ved enhver afvigelse fra det aftalte om tilgængelighed
• ved planlagte releases, opgraderinger, tests mv.
• ved enhver mistanke om brud på fortroligheden
• ved enhver mistanke om misbrug, fortabelse og forringelse af data
• ved enhver hændelig eller uautoriseret videregivelse af eller adgang til personoplysnin- gerne behandlet efter denne databehandleraftale
Databehandleren og dennes eventuelle Underdatabehandlere skal straks assistere den Dataan- svarlige med håndteringen af enhver henvendelse fra en registreret, herunder anmodning om indsigt, berigtigelse, blokering eller sletning, hvis de relevante personoplysninger behandles af Databehandleren.
Databehandleren og dennes eventuelle Underdatabehandlere skal assistere den Dataansvarlige med at overholde øvrige forpligtelser, der måtte påhvile den Dataansvarlige efter gældende ret, hvor assistance er forudsat, samt hvor assistance er nødvendig for, at den Dataansvarlige kan overholde sine forpligtelser.
8. Aftalens ikrafttræden og varighed
Databehandleraftalen træder i kraft samtidig med indgåelsen af Hovedaftalen som anført på side 1.
Databehandleraftalen ophører, når al behandling af personoplysninger i henhold til Hovedafta- len er ophørt og Databehandleren har slettet data, jf. punkt 9.
9. Håndtering af data efter aftalens ophør
Databehandleren og dennes eventuelle Underdatabehandlere forpligter sig til at tilbagelevere og/eller slette personoplysninger, når databehandlingen i henhold til aftale med den Dataan- svarlige ophører. Den Dataansvarlige skal oplyse Databehandleren om det tidspunkt, hvor da- tabehandlingen skal ophøre. Det påhviler herefter Databehandleren at tilbagelevere og/eller slette personoplysningerne på det oplyste tidspunkt.
Sletning må ikke ske, før den Dataansvarlige skriftligt har godkendt den påtænkte frem- gangsmåde for sletning.
Såfremt den Dataansvarlige ikke finder metoden tilstrækkelig sikker og i overensstemmelse med gældende regler om behandling af personoplysninger, skal den Dataansvarlige meddele Databehandleren hvilken metode, der kan anvendes i stedet. Der henvises til Datatilsynets it- sikkerhedstekst ST3 fra 2014 med eventuelle opdateringer.
Når sletningen er foretaget, skal Databehandleren fremsende en skriftlig erklæring på, at data er slettet som aftalt, inklusiv en beskrivelse af den anvendte metode.
Såfremt Databehandler eller dennes Underdatabehandlere i forbindelse med konkurs eller lig- nende ophører med at behandle personoplysninger for den Dataansvarlige, skal alle personop- lysningerne straks leveres tilbage til den Dataansvarlige på en måde, der gør det muligt for den Dataansvarlige at anvende disse fremadrettet. Herefter er Databehandler, dennes kon- kursbo eller lignende forpligtet til effektivt at slette oplysningerne fra egne systemer i overens- stemmelse med ovenstående.
10. Tavshedspligt og fortrolighed
Databehandlerens ansatte, samarbejdspartnere, eksterne konsulenter og vikarer mfl. vil i for- bindelse med behandlingen af fortrolige oplysninger være omfattet af de regler om tavsheds- pligt, som gælder for ansatte i den offentlige forvaltning. Der henvises til forvaltningslovens § 27 og straffelovens §§ 152-152 f.
Det påhviler Databehandler og dennes Underdatabehandlere at informere egne ansatte, sam- arbejdspartnere, eksterne konsulenter og vikarer mfl. om udstrækningen af tavshedspligten og om konsekvenserne ved en eventuel overtrædelse.
Databehandleren skal holde personoplysningerne fortrolige, og er således alene berettiget til at anvende personoplysningerne som led i opfyldelsen af sine forpligtelser i henhold til denne da- tabehandleraftale og instruks.
Databehandleren påtager sig endvidere at begrænse adgangen til personoplysningerne til de medarbejdere, for hvem det er nødvendigt at behandle personoplysninger for at kunne opfylde Databehandlerens forpligtelser over for den Dataansvarlige.
Databehandlerens forpligtelser om tavshedspligt og fortrolighed gælder også efter aftalens op- hør.
11. Overdragelse
Databehandleren må ikke overdrage sine rettigheder og forpligtelser i henhold til denne data- behandleraftale uden den Dataansvarliges forudgående samtykke.
12. Misligholdelse
Det betragtes som en væsentlig misligholdelse af Hovedaftalen som anført på side 1, såfremt Databehandler ikke overholder forpligtelserne i Databehandleraftalen, de til enhver tid gæl- dende lovgivningsmæssige krav og kravene i de dokumenter, der fremgår af Databehandleraf- talens bilag. Den Dataansvarlige er i så fald berettiget til uden varsel at ophæve samtlige gæl- dende aftaler om databehandling, som udføres for denne.
Uanset ophævelse/opsigelse af aftalen er Databehandleren dog forpligtet til at levere databe- handling i henhold til Hovedaftalen og denne Databehandleraftale indtil databehandling er sik- ret hos anden databehandler.
Databehandleren skal levere relevant ophørsassistance til den Dataansvarlige. Dette inklude- rer, men er ikke begrænset til, Hovedaftalen, som nævnt på side 1, og samtlige andre aftaler indgået med samme Databehandler og/eller Underdatabehandler vedrørende behandling af samme data.
Databehandleren forpligter sig til at friholde og forsvare den Dataansvarlige imod alle krav, retskrav og ethvert ansvar, tab, bøder, omkostninger og udgifter forbundet dermed som følge af Databehandlerens overtrædelse af databehandleraftalen eller gældende ret, begået af Data- behandleren, Databehandlerens ansatte, Underdatabehandlere eller repræsentanter i forbin-
delse med levering af persondatabehandlingen, gennemførelse af aftalen eller som i øvrigt af- talt mellem parterne.
Databehandleren kan ved misligholdelse af Databehandleraftalen ifalde bod, såfremt der i Ho- vedaftalen er fastsat vilkår herom. Henvisning til vilkår om bod kan fremgå nærmere af punkt 15.
13. Lovvalg og værneting
Denne Databehandleraftale inklusiv ethvert spørgsmål om Databehandleraftalens gyldighed er undergivet dansk ret.
Forhandling
Såfremt der opstår en uoverensstemmelse mellem Parterne i forbindelse med Databehandler- aftalen, skal Parterne med en positiv, samarbejdende og ansvarlig holdning søge at indlede forhandlinger med henblik på at løse tvisten.
Såfremt en løsning ikke kan opnås ved forhandling, må tvisten løses i det valgte konfliktløs- ningsorgan, jf. nedenfor.
Eventuelt:
Mediation
Enhver tvist, som måtte opstå i forbindelse med denne Databehandleraftale, skal søges løst ved mediation i overensstemmelse med Danske IT-advokater(DITA)s mediationsprocedure (xxx.xxxxxx-xx-xxxxxxxxx.xx). En Part er uberettiget til at søge tvisten løst ved voldgift, før Parterne har søgt tvisten løst ved mediation. Som minimum har en Part pligt til at deltage i det første møde, som mediator indkalder til. En Part er dog berettiget til at indlede voldgiftssag, såfremt en udsættelse deraf kan føre til retsfortabelse f.eks. på grund af forældelse.
Eventuelt:
Vejledende ekspertudtalelse
En Part er indtil eventuel indledning af voldgiftssag berettiget til at få en juridisk/teknisk udta- lelse om den pågældende tvist udarbejdet efter de gældende regler herfor vedtaget af besty- relsen for Danske IT-Advokater, Dansk ITs fagudvalg, IT-Branchens juridiske udvalg og Vold- giftsinstituttets bestyrelse.
Enten:
Voldgift
Hvis enighed ikke kan opnås via forhandling eller på anden vis, skal tvisten løses ved voldgift.
Tvisten skal løses ved Voldgiftsinstituttet - The Danish Institute of Arbitration efter de af insti- tuttet vedtagne regler herom, som er gældende ved indledningen af voldgiftssagen.
Eller:
Domstolsbehandling
Hvis enighed ikke kan opnås via forhandling eller på anden vis, skal tvisten løses ved de dan- ske domstole.
14. Genforhandling
Databehandleraftalen kan af hver af parterne kræves genforhandlet i anledning af ændret lov- givning herunder ikrafttrædelsen af EU-forordningen om persondatabeskyttelse3.
15. Ændringer til punkterne 3-12
16. Bilag
Bilag 1: Databehandlerinstruks
Bilag 2: Dataansvarliges informationssikkerhedspolitik
17. Øvrige henvisninger
• Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med senere ændrin- ger
• Bekendtgørelse nr. 528 af 15. juni 2000 vedrørende sikkerhedsforanstaltninger til be- skyttelse af personoplysninger, som behandles for den offentlige forvaltning
• Vejledning til sikkerhedsbekendtgørelsen
• Datatilsynets it-sikkerhedstekst ST3
• ISO 27001, ISMS - Ledelsessystem for informationssikkerhed
18. Underskrifter
På vegne af den Dataansvarlige:
Navn: Stilling:
Xxxxx Xxxxxxx Xxx Jurist
Adresse: XXX, Xxxxxx 00, 0000 Xxxx
Dato:
10-11-2017
Underskrift:
Den Dataansvarliges projektansvarlige/systemejers kontaktperson: Navn: Xxxx Xxxxxxx Xxxxxxx
Stilling: Speciale ansvarlig Overlæge
Dato: 26/9-17
Underskrift:
På vegne af Databehandleren: Navn: Xxxx Xxxxxxxxxx
3 Forslag til Europaparlamentets og Rådets forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse).
Stilling: Overlæge, Ph.d.
Adresse: Xxxxxxxxx 00, 0000 Xxx X
Dato: 26-09-2017
Underskrift: