FAQ

I EUs databeskyttelsesforordning med ikraftræden 25. maj 2018, findes en række forhold, der skal være reguleret i en databehandleraftale. Blandt andet skal der være en beskrivelse af de persondata, der behandles, og den behandling af persondata, der finder sted i løsningen. Med udgangspunkt i dette har Kit@s bestyrelse opfordret KOMBIT og Rambøll til at samarbejde om at udforme en databehandleraftale, der kan benyttes på de af Rambølls løsninger, hvor der behandles persondata.

Opfordringen fra Kit@s bestyrelse bunder i mængden af aftaler, som kommunerne har med Rambøll. Uden denne aftale ville det blive en tidskrævende opgave for kommunerne at få databehandleraftalerne på plads.

Standarddatabehandleraftalen regulerer ikke de krav, som påhviler databehandleren (Rambøll), og som intet har med den dataansvarliges (kommunen) forpligtelse at gøre. Dette gælder f.eks. den fortegnelse, som databehandlere er forpligtede til at føre efter databeskyttelsesforordningens artikel 30, stk. 2. Sådanne krav er ikke nødvendige eller hensigtsmæssige at regulere i en databehandleraftale.

Præmisserne for udarbejdelse af standarddatabehandleraftalen har været:

◼ Kommunerne pålægges en række forpligtelser efter lovgivningen, men må udover disse aftaleretligt ikke stilles ringere efter maj 2018 end i dag

◼ Aftalen er baseret på en minimummodel, med fokus på overholdelse af loven uden yderligere krav og dermed uden ekstraomkostninger for kommunerne til sådanne krav

◼ Aftalen tager afsæt i den allerede eksisterende KL/KOMBIT- skabelon for databehandler- aftaler mellem kommuner og it-leverandører

◼ Aftalen er blevet til på samme vis, og under de samme forudsætninger, som den tilsvarende skabelon, som EG, KMD, Xxxxxxx og KOMBIT udarbejdede (offentliggjort januar, april og maj 2018). Det er tilstræbt at skabelonen svarer mest mulig til de skabeloner som KOMBIT har udarbejdet i samarbejde med andre kommunale it- leverandører.

◼ At den umiddelbart kan anvendes til kommuners eksisterende aftaler med Rambøll med et minimum af individuel tilpasning

Hvorfor en særlig databehandleraftale til brug for Rambølls eksisterende løsninger?

Databehandleraftalen tager udgangspunkt i KL/KOMBITs skabelon for databehandleraftaler

mellem kommuner og deres leverandører. Resultatet kan benyttes på eksisterende aftaler, hvor priser og leveringsvilkår er aftalt på forhånd. Det er vigtigt at understrege, at standard- databehandleraftalen skal ses som en hjælp til kommunerne. Det står kommunerne frit for at

foretage egne forhandlinger med Xxxxxxx, så det er altså frivilligt, om man vil benytte den eller

ej. Aftalen skal regulere Rambølls og kommunens rettigheder og forpligtelser i forhold til overholdelse af databeskyttelsesforordningen på de eksisterende aftaler. Kommunerne pålægges en række forpligtelser efter lovgivningen, men præmissen er, at kommunerne udover disse ikke skal stilles ringere efter den 25. maj 2018 end i dag. Der er således udarbejdet en minimumsmodel af databehandleraftalen, der sikrer, at forordningens krav opfyldes samtidig med, at de eksisterende aftaler ikke fordyres med yderligere krav.

Derudover er der foretaget mindre ændringer i bilagsstrukturen, så den kan anvendes på de mange aftaler, Rambøll har med kommunerne, som er opsat efter en særlig skabelon med forskellige variable.

Med denne fremgangsmåde sikresdet, at udfyldelsen af databehandleraftalen kan ske så digi- talt som muligt.

Hvem har medvirket til at udforme databehandleraftalen?

En arbejdsgruppe med deltagere fra KOMBIT og Rambøll har – med afsæt i KL/KOMBIT’s skabelon for databehandleraftale – udarbejdet en databehandleraftale, der er målrettet eksisterende aftaleforhold.

Processen har været forelagt en kommunal følgegruppe nedsat af KIT@, der har haft lejlighed til at kommentere på indholdet undervejs. Den færdige databehandleraftale er godkendt af følgegruppen.

I forbindelse med udarbejdelse af skabelonen til databehandleraftaler mellem kommuner og deres leverandører har KOMBIT og KL udarbejdet en vejledning til kommunerne i benyttelsen af denne skabelon. Kommunerne kan stadig med fordel læse denne vejledning. Det skal dog bemærkes, at de henvisninger til konkrete aftaleafsnitsnummereringer, der er anført i vejledningen, ikke nødvendigvis er gældende længere, idet enkelte afsnit er udgået, om- nummereret eller omformuleret,daskabelonen som nævntertilpassettilenfærdigaftale.

Hvilke typer af aftaler er omfattet heraf?

Samtligeaftalerdererindgået,hvorderbehandlespersondata,eromfattet.

Aftalermellem kommunerneogRambøll forelægger i form af:

Kontrakter – herunder også kontrakter indgået efter gennemført EU-udbud – mellemkommunen og Rambøll. Denne kategori dækker over alle kontrakter.

Den nye databehandleraftale benyttes i begge aftalescenarier.

De vilkår, der gælder i ’Hovedaftalen’ – dvs. den aftale, som databehandleraftalen knytter sig til vil fortsat være gældende. Kommunerne pålægges en række forpligtelser efter lovgivningen, men udover disse sker der ingen forringelser i forhold til det, der allerede er aftalt. Specielt i aftaler indgået efter gennemførte EU-udbud, kan der være vilkår, som kommunerne bibeholder, og som rækker ud over de ydelser, der er anført som standard i databehandleraftalen.

Medfører databehandleraftalen merudgifter for kommunerne?

Databehandleraftalen regulerer de opgaver og ansvarsområder, der ifølge den nye databeskyttelsesforordning påhviler henholdsvis den dataansvarlige myndighed (kommunerne) og databehandleren (Rambøll). De ydelser, der er dækket af et fast vederlag før forordningens ikrafttræden, vil fortsat være dækket af det aftalte faste vederlag efter maj 2018. Der vil dog som i dag også være ydelser, der ikke er dækket af et fast vederlag. F.eks. kan kommunerne vælge at rekvirere bistand fra Rambøll i forbindelse med enkelte af de opgavevaretagelser, der som udgangspunkt påhviler kommunen som dataansvarlig myndighed. I visse tilfælde kan disse ydelser være betalbare.

Databehandleraftalerne laver således ikke om på de aftalte vederlag, der gælder i henhold til denenkelte hovedaftale.Visse stedererder dog idatabehandleraftalen tydeliggjort,hvad der gælder om betaling.

Derudover er der i nedenstående bilag angivet en oversigt over, hvilke aktiviteter der er regu- leret i den nye databehandleraftaler, herunder om der kan være ydelser i forbindelse hermed, der er betalbare.

Hvordan er kommunen stillet ved lovændringer?

Om lovændringer udløser ekstra betaling, afhænger af den enkelte aftale. I nogle aftaler gælder det,at der ikkeopkræves yderligere vederlag iforbindelse medlovændringer,der har til følge, at Rambøll-systemer. Se bemærkninger hertil i bilaget til denne FAQ for yderligere forklaring.

Hvad er processen for aftaleindgåelse?

Xxxxxxx tager kontakt til alle kommuner med henblik på at gennemføre en proces for indgåelse af databehandleraftaler på alle de eksisterende aftaler så smidigt som muligt.

Rambøll fremsender en færdig udfyldt databehandleraftale, hvor alle bilagsoplysninger samt Rambøllsforslagtil udarbejdelse afeninstrukserindeholdt.Dette ermuligt,fordi der er tale om eksisterende løsninger, hvor Rambøll i forvejen varetager databehandling for kommunerne, og således er bekendt med den instruks, der påhviler databehandler. Kommunen bør selv gennemgå disse oplysninger, herunder om instruks fortsat er dækkende, inden aftalerne underskrives.

Bilag

Oversigt over databehandleraftalens indhold med angivelse af eventuelle betalingsforhold

Hovedelementer i databehandler- aftalensafsnit	Afsnit	Kontrakter, herunder udbudte kontrakter	Uddybende eksempler
Generelt	1
Generel forpligtelse	1.1	÷
Henvisning ny forordning og lov	1.2	÷
Præcisering	1.3	÷
Formål	2
Henvisning til ”Hovedaftalen”	2.1	Ikke relevant
Kundens rettigheder og forpligtelser	3
Kundens rettigheder og forpligtelser 1	3.1	÷
Kundens rettigheder og forpligtelser 2	3.2	÷
Henvisning til underbilag 1 for yderligere forpligtelser	3.3	÷

Bemærk

Dette skema er en overordnet angivelse af den forståelse parterne har af de betalingsmæssige konsekvenser af bilaget. Der kan muligvis være enkelte afvigelser alt efter definition af kategorier og hovedaftalers konkrete indhold.

Hvilkepunkter iaftalenvilværesærskiltbetalbareforkommunen

÷ betyder, at bestemmelsen i sig selv ikke udløser yderligere betaling.

(X) betyder, at der i visse tilfælde kan være betalbare ydelser X betyder, at der kan opkræves betaling.

Hovedelementer i databehandler- aftalensafsnit	Afsnit	Kontrakter, herunder udbudte kontrakter	Uddybende eksempler
Leverandørens forpligtelser	4
Leverandørens forpligtelser, 1	4.1	(X) Alle forpligtelser til overholdelse af gældende regler, samt ydelser der specifikt er nævnt i hovedaftalen, er omfattet af det faste vederlag, dog således bistand til den dataansvarlige kan udløse særskilt vederlag jf. pkt. 4.4.	Eksempel: Overholdelse af lovmæssigt sikkerhedsniveau er omfattet at det faste vederlag, men implementering af særlige sikkerhedstiltag som ønskes af den dataansvarlige udløser vederlag medmindre dette er en ydelse, der er nævnt i Hovedaftalen.
Leverandørens forpligtelser, 2	4.2	(X) Alle forpligtelser til overholdelse af gældende regler, samt ydelser der specifikt er nævnt i hovedaftalen, er omfattet af det faste vederlag, dog således bistand til den dataansvarlige kan udløse særskilt vederlag jf. pkt. 4.4.
Leverandøren skal sikre persondata via tekniske og	4.3	(X)
organisatoriske sikkerhedsforanstaltninger.
		Alle forpligtelser til overholdelse af gældende regler,
		samt ydelser der specifikt er nævnt i hovedaftalen, er
		omfattet af det faste vederlag, dog således bistand til
		den dataansvarlige kan udløse særskilt vederlag jf. pkt.
		4.4.

Hovedelementer i databehandler- aftalensafsnit	Afsnit	Kontrakter, herunder udbudte kontrakter	Uddybende eksempler
Leverandørens forpligtelser (fortsat)	4
Leverandøren skal på opfordring fra kunden hjælpe til	4.4	(X) I det omfang der ikke er organisatorisk eller teknisk mulighed for den dataansvarlige tilat opfylde forpligtelsen, skal databehandler bistå vederlags- frit,idetomfang dererindeholdt bistand som en del af et fast vederlag i Hovedaftalen.	Et eksempel herpå kan være, at en eller flere borgere henvender sig og ønsker oplysning om, hvad kommunen har
medatopfylde kundensforpligtelseriforholdtilden			registreret af oplysninger på dem. I så fald er det kommunens opgave selv at slåopi relevante fagsystemer for at
registreredes rettigheder, herunder			se hvor- ogmedhvilke data - borgeren er registreret. Såfremtkommunen ønsker at Rambøll skal hjælpetil
			med at findedisseoplysninger- f.eks. på grund af at der er mange borgere der har henvendt sig, og kommunen
◼ besvarelse afanmodningfra borgerne omindsigt i egne oplysninger			ikke mener at have ressourcer til at sagsbehandle alle disse henvendelser, da kan Xxxxxxx tilbyde at hjælpe til hermed.
◼ udlevering af xxxxxxxxx oplysninger ◼ rettelse og sletning af oplysninger			I så fald bestiller kommunen opgaven hos Rambøll ogder vil blive opkrævet et vederlag herfor.
◼ begrænsning af behandling af borgernes oplys-			Systemerne er som udgangspunkt designet til at dette kan lade sig gøre, f.eks. via benyttelse af borgerens cpr-
ninger			nummer som nøgle. Såfremt det ikke er muligt for kommunen selv at fremfinde disse oplysninger (fordi
◼ kundens forpligtelser i forhold til underretning af den registrerede ved sikkerhedsbrug			systemet ikke indeholder mulighed herfor), da vil Xxxxxxx hjælpe med at fremfinde oplysningerne uden at dette koster ekstra, såfremt en sådan bistand er indeholdt som en del af et fast vederlag.
			Tilsvarende gælder, hvis borgeren ønsker at få udleveret oplysningerne, f.eks. i form af et print, eller borgeren
			anmoder om at de registrerede oplysninger bliver rettet eller slettet i registrene. Typisk er dette en opgave som
			kommunen selv skal varetage. Rambøll kanbistå mod et vederlag, hvis kommunen måtte ønske dette.Såfremt
			kommunen skal underrette en kreds af borgere om, at der har været et sikkerhedsbrud, da varetager kommunen
			selv denne opgave. Hvis kommunen imidlertid vurderer, at denne underretning bedst kan ske via bistand fra
			Rambøll, da kan bistandsopgave bestilles hos Rambøll, der udfører opgaven mod at opkræve vederlag herfor.

Hovedelementer i databehandler- aftalensafsnit	Afsnit	Kontrakter, herunder udbudte kontrakter	Uddybende eksempler
Leverandørens forpligtelser	4
Leverandørenskalefterlevedennesforpligtelser iFor- ordningens artikel 32 - Behandlingssikkerhed - mht. aktiviteter der kan henføres til databehandleren (gen- nemførelse af passende tekniske og organisatoriske foranstaltninger internt i Rambøll).	4.5	(X) Idetomfangdetteikkeer indeholdt i Hovedaftalens faste vederlag, er det særskilt betalbart.
Leverandørenskalbiståkundenmedatefterleve dennes forpligtelser i Forordningens artikel 32 - Be- handlingssikkerhed. Aktiviteter, der kan henføres til den dataansvarlige (gennemførelse af passende tek- niske og organisatoriske foranstaltninger i kundens egen organisation).	4.5	(X)	Såfremt en kommune ønsker Rambølls bistand til at varetage sikkerhedsforanstaltninger hos kommunen selv, vil sådan bistand være særskilt betalbar. Dette kunne eksempelvis dreje sig om logning af kundens medarbejderes adgange til personop- lysninger samt styring af adgange for kundens medarbejdere. I så tilfælde vil sådanne foranstalt- ninger være særskilt betalbare.
Leverandøren skal efterleve dennes forpligtelser i Forordningens artikel 33 - Underretning af den data- ansvarlige om brud på persondatasikkerheden.	4.5	÷
Leverandøren skal bistå kunden med at efterleve dennes forpligtelser i Forordningens artikel 33 - Anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden.	4.5	X	Kommunens dialog med tilsynsmyndighederne (Datatilsynet) er en opgave som påhviler data- ansvarlig, og som kommunen derfor typisk selv varetager. I det omfang kommunen til brug for denne dialog efterspørger oplysninger, som kommunen selv er i stand til at tilvejebringe, men som kommu- nenmener, at Rambøll medfordelkan biståmed at fremskaffe, kan kommunen bestille sådanne oplysninger hos Rambøll. Afhængig af omfanget heraf kan en sådan opgaveløsning fra Rambølls side være betalbar.

Hovedelementer i databehandler- aftalensafsnit	Afsnit	Kontrakter, herunder udbudte kontrakter	Uddybende eksempler
Leverandørens forpligtelser (fortsat)	4
Leverandørenskal biståkundenmedatefterleve	4.5	(X)	I visse tilfælde vil det være sådan, at kommunen skal underrette en kreds af borgere om at der har
dennesforpligtelseri Forordningensartikel 34– Underretning om brud på persondatasikkerheden til den registrerede.		I det omfang, der ikke er organisatorisk eller teknisk mulighed for den dataansvarlige til at opfylde forpligtelsen, skal databehandler bistå vederlagsfrit,idetomfang, derer indeholdt bistand som en del af et fast vederlag i Hovedaftalen.	været et sikkerhedsbrud. Det typiske er, at kommunen selv varetager denne opgave.Hviskommunen imidlertidvurderer, at denne underretning bedst kan ske via bistand fra Rambøll, da kan en sådan bistandsopgave bestilles hos Rambøll, derudføreropgavenmod atopkræve vederlag herfor. Skyldes sikkerhedsbruddet en fejl begået af Xxxxxxx, og kommunen derfor mener at kunne rejse krav mod Xxxxxxx, skal dette ske i henhold til de misligholdelsesbeføjelser, der måtte gælde i Hovedaftalen (f.eks. ved påberåbelse af mangler eller misligholdelse over for Rambøll).
Leverandøren skal bistå kunden med at efterleve	4.5	(X)	En konsekvensanalyse består i en vurdering af de risici der er i forbindelse med behandling af
dennes forpligtelser i Forordningens artikel 35 – Udarbejdelse afkonsekvensanalysevedrørende databeskyttelse.		I det omfang, der ikker er organisatorisk eller teknisk mulighed for den dataansvarlige til at opfylde forpligtelsen skal databehandler bistå vederlagsfrit I det omfang, der er indeholdt bistand som en del af et fast vederlag I Hovedaftalen.	personoplysnin- ger. En konsekvensanalyse skal foretages indenfor visse typer af behandling af personoplysninger. Det er den dataansvarlige, der skal foretage denne analyse. Hvis Xxxxxxxx bistand ønskes i forbindelse hermed, vil dette typisk være at betragte som en konsulentydelse, som Rambøll kanopkræve vederlagforatmedvirke til.

Hovedelementer i databehandler- aftalensafsnit	Afsnit	Kontrakter, herunder udbudte kontrakter	Uddybende eksempler
Leverandørens forpligtelser	4
Krav til leverandørens ekspertise	4.6	÷
Underleverandør (underdatabehandler)	5
Definition underdatabehandler	5.1	÷
Leverandørens rettigheder og forpligtelser over for denne, 1	5.2	÷
Leverandørens rettigheder og forpligtelser over for denne, 2	5.3	÷
Underdatabehandlerens forpligtelser	5.4	÷
Leverandøren har ansvaret for underleverandøren	5.5	÷
Kommunen kan forlange dokumentation	5.6	÷
Kommunikation med underdatabehandlere	5.7	÷
Instrukser	6
Behandling sker efter instruks	6.1	÷
Leverandøren giver besked til kunden om ulovlig instruks	6.2	÷

Hovedelementer i databehandler- aftalensafsnit	Afsnit	Kontrakter, herunder udbudte kontrakter	Uddybende eksempler
Tekniskeogorganisatoriske sikkerhedsforanstaltninger	7
Leverandøren træffer fornødne tekniske og organisatoriske sikkerhedsforanstaltninger	7.1	(X)	Foranstaltninger der ikke er objektivt fornødne, men skyldes kundens egne politikker eller præferencer er, ikke indeholdt i det faste vederlag.
Leverandøren holder passende sikkerhedsniveau	7.2	(X)	Et sikkerhedsniveau der er højere end objektivt passende og skyldes kundens egne politikker eller præferencer, er ikke indeholdt i det faste vederlag.
Leverandøren underretter kunden om sikkerhedsbrud	7.3	÷
Overførsler til andre lande	8
Overførsel til andre lande sker ud fra kundens instruks	8.1	÷
Tavshedspligt og fortrolighed	9
Leverandøren sikrer fortrolighed og tavshedspligt	9.1	÷

Hovedelementer i databehandler- aftalensafsnit	Afsnit	Kontrakter, herunder udbudte kontrakter	Uddybende eksempler
Kontroller og erklæringer	10
Leverandøren forpligtiget til at udlevere oplysninger så kunden kan sikre sig at leverandøren overholder aftalen.	10.1	(X)	Et eksempel herpå er, at Rambøll formange af Rambølls ydelser årligtudarbejder engenerel revisionserklæring vedr. overholdelse af generelle it-kontroller. Såfremt dererbehovfor yderligere dokumentation, f.eks.iform afrapporter, indhentning af uvildige konsu- lentoplysninger eller andre opgaver,der medføreretres- sourceforbrug ud over det der er aftalt med kommunen i denkonkreteHovedaftale, kandetteværebetalbart.
Kunden har adgang til inspektioner og revision	10.2	(X)	Auditersærskilt betalbart,medmindre andeteraftalt i Hovedaftalen.
Vederlagsfri revisionserklæring	10.3	÷

Hovedelementer i databehandler- aftalensafsnit	Afsnit	Kontrakter, herunder udbudte kontrakter	Uddybende eksempler
Ændringer i aftalen	11
Kundens mulighed for ændring i instruksen med et vist varsel og mod betaling.	11.1	(X)	Et eksempel herpå vil være, at kommunen introducerer ændringer iden allerede aftalte instruks. I så fald aftales pris, udførelse og tid i henhold ændringsbestemmelsen i Hovedaftalen. Ofte vil der ikke i hovedaftalen (f.eks. licensbetingelser) være aftalt en proces og der kan være ændringer som leverandøren ikke kan/vil gennemføre, fordi der leveres at standardprodukt, hvor all kunder skal have samme ydelse.
Ændringer ilovgivningen eller tilhørende praksis kanmedføre ændringer i aftalen.	11.2	(X) Ændringer, som ikke er indeholdt i Hovedaftalens faste vederlag, er særskilt betalbare. Ændringer, der går udover, hvad Xxxxxxx tilbyder sine øvrige kunder som tilpasning til ny lovgivning, er særskilt betalbare.	Det typiske er, at det er reguleret i Hovedaftalen hvorvidt lovvedligeholdelse og de aktiviteter der følger heraf ersærskilt betalbare. Aftalenændresinden for den anførte frist og lovændringer implementeres inden for rimelig tid.
Sletning af data	12
Kommunenbesluttersletningafdataefterophør.	12.1	(X) I det omfang dette ikke er indeholdt i Hovedaftalens faste vederlag, er det særskilt betalbart	Det vil typisk være reguleret i Hovedaftalen hvorvidt sletning afdataefterophørersærskiltbetalbart.

Kommunen meddeler sletning eller tilbagelevering af data.

12.2

(X)

I det omfang dette ikke er indeholdt i Hovedaftalens faste vederlag, er det særskilt betalbart

Detviltypiskværereguleret iHovedaftalenhvorvidt sletning af data efter ophør samt eventuelle opfølgende aktiviteter i forbindelse hermed er særskilt betalbart.

Hovedelementer i databehandler- aftalensafsnit	Afsnit	Kontrakter, herunder udbudte kontrakter	Uddybende eksempler
Misligholdelse og tvister	13
Misligholdelse og tvister	13.1	Ikke relevant
Erstatning og forsikring	14
Erstatning og forsikring	14.1	Ikke relevant
Ikrafftræden, varighed og forrang	15
Ikrafftræden og varighed	15.1		Denne bestemmelse kan eksempelvis være relevant, hvor kommunens data ikke er blevet slettet eller tilbageført ved hovedaftalens ophør; f.eks. fordi det ikke har været muligt for kommunen at finde en ny leverandør i tide, eller der har været migreringsvanskeligheder. Her er det en fordel, at der er sikret overholdelse af databeskyttelsesforordningen, uden at skulle bruge ressourcer derpå.
Forrang	15.2		Uanset databehandleraftalen har forrang frem for Hovedaftalen, kan dette ikke medføre, at der kræves supplerende vederlag for ydelser, som iht. Hovedaftalen er omfattet af et fast vederlag. Eksempel: Xxxxxxx gennemfører som databehandler en undersøgelse, hvor vi ved der vil være meget stor offentlig opmærksomhed omkring. I den forbindelse aftales et fast vederlag på 200.000 DKK for vores håndtering af op til 1000 anmodninger om indsigt fra de registrerede. Dette vil nornalt være en betalbar ydelse, men pga. det aftalte faste vederlag ændrer forrangsbestemmelsen i databehandleraftalen ikke herpå.
Formkrav	16
Formkrav	16.1	Ikke relevant

Document Metadata

Table of Contents

FAQ

Document Metadata