Bilag 1 til Tilmeldingsskemaet til
Bilag 1 til Tilmeldingsskemaet til
Deltagelse i indkøbsdatasamarbejdet:
Dags dato er indgået nedenstående aftale mellem
(Kommunenavn) (CVR nr.)
(Adresse) (Postnummer og by)
(Herefter benævnt den Dataansvarlige)
og
Staten og Kommunernes Indkøbsservice A/S
CVR nr. 17472437
H. C. Hansens Gade 4 2300 København S
(Herefter benævnt Databehandleren)
om
Etablering af et kommunalt indkøbsdatasamarbejde samt udarbejdelse af analyser på baggrund heraf
Indholdsfortegnelse
4. Personoplysninger omfattet af databehandleraftalen 4
5. Behandling af personoplysninger 4
6. Informationssikkerhed og databeskyttelse 6
7. Aftaler med en anden databehandler (underdatabehandler) 8
8. Overførsel af oplysninger 9
10. Ændringer i databehandleraftalen 10
11. Varighed og ophør af databehandleraftalen 10
12. Forrang 11
13. Underskrifter 11
Bilag A til Databehandleraftalen om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles ved Databehandleren
1. Generelle sikkerhedsbestemmelser 12
2. Inddatamateriale som indeholder personoplysninger 13
3. Autorisation og adgangskontrol 13
4. Kontrol med afviste adgangsforsøg 13
5. Uddatamateriale som indeholder personoplysninger 14
6. Eksterne kommunikationsforbindelser 14
1. Definitioner
Nedenstående definitioner anvendes i databehandleraftalen. Ved den Dataansvarlige forstås
Ved Databehandleren forstås Staten og Kommunernes Indkøbsservice A/S.
Ved Part eller Parterne forstås henholdsvis den Dataansvarlige og/eller Databehandleren.
Ved Tilmeldingsskemaet forstås Parternes tilmeldingsskema til deltagelse i indkøbssamarbejdet.
Ved persondataloven forstås lov nr. 429 af 31. maj 2000 om behandling af personoplysninger
Ved persondataforordningen forstås Europaparlamentets og Rådets Forordning (EU) 2016/679 af
27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)
Ved sikkerhedsbekendtgørelsen forstås bekendtgørelse nr. 528 af 15. juni 2000 om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning med senere ændringer (sikkerhedsbekendtgørelsen)
2. Baggrund
I regeringens aftale med KL om kommunernes økonomi for 2015 blev parterne enige om, at et vigtigt fokusområde for det offentlige indkøb fremover vil være at sikre en høj anvendelsesgrad af såvel de fælleskommunale aftaler som andre typer af forpligtende aftaler. Af den grund blev det aftalt, at der skulle igangsættes en analyse af, hvordan kommunernes indkøbsdata kunne anvendes til at sikre en høj grad af compliance.
I kølvandet herpå gennemførte Staten og Kommunernes Indkøbsservice A/S (SKI) i samarbejde med KL i 2015 og 2016 et projekt, hvor der blev indhentet eFakturadata fra 54 kommuner, der frivilligt valgte at indgå i et indkøbsdataprojekt. Alle deltagende kommuner fik i forbindelse med projektet en analyserapport, der sammenlignede den pågældende kommunes indkøb med gennemsnittet af alle deltagende kommuners indkøb.
Det har herefter været et ønske, at indkøbsdataprojektet skulle overgå til et fælleskommunalt indkøbsdatasamarbejde. SKI har af den grund etableret en indkøbsdatamodel på baggrund af kommunernes eFakturadata for kalenderårene 2014, 2015 og 2016. Det er hensigten, at indkøbsdatamodellen skal udbygges med kommende års kommunal eFakturadata.
Med udgangspunkt i data fra det fælleskommunale indkøbssamarbejde vil der blive udarbejdet en række rapporter til de deltagende kommuner, således at hver enkel kommune kan sammenligne sin egen indkøbsprofil med de andre deltagende kommuners indkøbsprofil. I og med at der vil være indkøbsdata fra flere år, vil der være mulighed for at se udviklingen af den enkelte kommunes indkøb over tid og sammenholde denne udvikling med andre kommuners udvikling i perioden. Analyseresultaterne videreformidles i anonymiseret form, bortset fra de analyser, der udarbejdes til en konkret kommunes egen brug.
Derudover vil SKI også kunne anvende data til analyser med henblik på at effektivisere det offentlige indkøb for kommunerne, herunder arbejdet med at udvælge og udbyde relevante udbudsområder i form af såvel frivillige som forpligtende rammeaftaler. Data kan ikke anvendes til opgaver i SKI’s almindelige virksomhed, der ikke varetager indkøbsdatasamarbejdets formål.
3. Formål
Formålet med behandlingen af personoplysninger er overordnet set, at der kan udarbejdes analyser mv. på baggrund af det etablerede kommunale indkøbssamarbejde. På den måde kan der blive skabt viden til brug for optimering af kommunernes indkøb.
Databehandleren vil således foretage behandling af eFakturadata, der i begrænset omfang kan indeholde personoplysninger på vegne af den Dataansvarlige til opfyldelse af indkøbssamarbejdets målsætninger, jf. afsnit 2 ovenfor. Kommunen overlader i forbindelse med denne databehandleraftale personoplysninger til SKI for at kunne udføre analyse mv. på eFakturadata med henblik på oparbejdelse af rapporter, statistik mv. med henblik på at effektivisere det offentlige indkøb for kommunerne, herunder arbejdet med at udvælge og udbyde relevante udbudsområder i form af såvel frivillige som forpligtende rammeaftaler.
SKI videregiver ikke de overladte personoplysninger fra eFaktura til andre, herunder øvrige kommuner, ligesom SKI ikke anvender oplysninger i personhenførbar form til samkøring eller fælles analyse med øvrige kommunes oplysninger. Videregivelse og samkøring af indkøbsdata sker således kun i anonymiseret, ikke-personhenførbar form. Dette gælder dog ikke i forhold til leverandørnavne samt kontaktoplysninger på medarbejdere hos disse.
Databehandleraftalen har på den baggrund til formål at sikre overholdelse af den til enhver tid gældende persondatalovgivning i Danmark, herunder sikre tilvejebringelse af passende garantier med hensyn til beskyttelse af privatlivets fred og fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med, at Databehandleren gives adgang til at behandle de i databehandleraftalen nævnte personoplysninger på vegne af Dataansvarlig.
4. Personoplysninger omfattet af databehandleraftalen
Databehandleraftalen omfatter følgende typer af personoplysninger:
• Navn, fødselsdato og CPR-numre,
• Oplysninger om stilling, e-mail, adresser og øvrige kontaktoplysninger,
• Oplysninger om ansættelsesforhold,
• Enkeltstående tilfældighedsprægede oplysninger om de berørte borgere mv., som er genstand for leverancerne, som herunder indirekte eller direkte kan omfatte f.eks. helbredsmæssige oplysninger, oplysninger af privat karakter. Disse behandles alene som led i bortfiltrering hos SKI ved dannelse af analysegrundlaget ud fra fakturaerne.
Behandlingen kan således omfatte personoplysninger, der i henhold til persondataloven og fra den
25. maj 2018 persondataforordningen udgør følsomme personoplysninger
5. Behandling af personoplysninger
5.1. Behandlingsformer og personkreds
Omfanget af de opgaver, som Databehandleren skal levere og understøtte, betyder, at der vil ske
mange forskellige former for behandling af personoplysninger, herunder indsamling, registrering, opbevaring, ændring, søgning, analyse, filtrering, aktiv brug, sletning.
Kredsen af de registrerede personer, som personoplysningerne vedrører, udgør fortrinsvis ansatte hos aftalepartnere, ansatte i kommunerne, borgere, som har været genstand for leverancerne i undtagelsestilfælde, hvor dette indgår i fakturaerne.
5.2. Generelle krav til databehandlerens behandlinger
Databehandleren handler alene efter dokumenteret instruks fra den Dataansvarlige. Databehandleren skal sikre, at de overladte personoplysninger ikke benyttes til andre formål eller behandles på anden måde, end hvad der fremgår af den Dataansvarliges instruks, herunder for så vidt angår overførsel af personoplysninger til et tredjeland eller en international organisation, jf. dog punkt 8.
Databehandleren skal behandle personoplysningerne i overensstemmelse med den til enhver tid gældende lovgivning eller anden regulering om personoplysninger eller bestemmelser fastsat i henhold til lov eller anden regulering, herunder men ikke begrænset til persondataloven og persondataforordningen og bestemmelser fastsat i medfør heraf. Såfremt Databehandleren skønner, at en instruktion er i strid med førnævnte lovgivning, skal Databehandleren omgående orientere den Dataansvarlige herom.
Databehandleren må ikke behandle personoplysningerne til andre formål end dem, der følger af instruksen, med mindre Databehandleren er forpligtet hertil efter EU-retten eller lovgivningen i en medlemsstat. I givet fald skal Databehandleren underrette den Dataansvarlige om denne juridiske forpligtelse, forinden behandlingen påbegyndes. Dette gælder dog ikke, såfremt den pågældende lovgivning på baggrund af væsentlige offentlige interesser forbyder en sådan underretning.
5.3 Krav om fortegnelse
Databehandleren skal føre en fortegnelse over alle kategorier af behandlinger, der foretages på vegne af den Dataansvarlige. Fortegnelsen skal indeholde følgende:
• Navn på og kontaktoplysninger for databehandleren, eventuelle underleverandører, den Dataansvarlige samt databeskyttelsesrådgiveren.
• Kategorierne af de behandlinger, Databehandleren eller eventuelle underleverandører foretager for den Dataansvarlige.
• Eventuelle overførsler af personoplysninger til et tredjeland eller en international organisation, herunder angivelse af dette tredjeland eller denne internationale organisation, samt angivelse af hjemmelen for overførslen til tredjelandet eller den internationale organisation.
• En generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger.
Fortegnelsen skal foreligge skriftligt, herunder elektronisk. Databehandleren skal efter anmodning fra den Dataansvarlige til enhver tid stille fortegnelsen til rådighed for den Dataansvarlige eller Datatilsynet.
5.4. Drøftelser med Datatilsynet
Databehandleren skal deltage i eventuelle drøftelser med Datatilsynet og indarbejde eventuelle anbefalinger og/eller påbud mv. fra tilsynet vedrørende behandling af personoplysninger. Databehandleren skal straks orientere den Dataansvarlige, såfremt Datatilsynet retter henvendelse til Databehandleren vedrørende behandling af personoplysninger omfattet af tilmeldingen efter Tilmeldingsskemaet.
5.5. Særlige pligter vedrørende henvendelser fra tredjemand
Databehandleren forpligter sig til straks at orientere den Dataansvarlige om:
• Enhver anmodning om videregivelse af personoplysninger omfattet af databehandleraftalen fra en myndighed, medmindre orienteringen af den Dataansvarlige er eksplicit forbudt ved lov, f.eks. i medfør af regler, der har til formål at sikre fortroligheden af en retshåndhævende myndigheds efterforskning.
• Enhver anmodning om indsigt modtaget direkte fra den registrerede eller fra tredjemand, medmindre en sådan handlemåde er blevet godkendt af den Dataansvarlige.
5.6. Særlige forpligtelser til at bistå og orientere den Dataansvarlige
Databehandleren skal straks assistere den Dataansvarlige med håndtering af enhver henvendelse fra en registreret, herunder anmodning om indsigt, berigtigelse, blokering eller sletning, hvis de relevante personoplysninger behandles af Databehandleren.
Databehandleren skal herudover på den Dataansvarliges anmodning assistere den Dataansvarlige med at overholde øvrige forpligtelser, der måtte påhvile den Dataansvarlige efter den til enhver tid gældende persondatalovgivning, hvor Databehandlerens assistance er forudsat, samt hvor Databehandlerens assistance er nødvendig for, at den Dataansvarlige kan overholde sine forpligtelser. Databehandleren skal som led heri bistå den Dataansvarlige med at sikre overholdelse af forpligtelserne i medfør af persondataforordningens artikel 32-36.
5.7. Øvrige pligter
Parterne forpligter sig til i hele aftaleperioden at indhente og opretholde de registreringer og tilladelser, som Parten er forpligtet til at indhente og opretholde i overensstemmelse med den til enhver tid gældende lovgivning.
6. Informationssikkerhed og databeskyttelse
6.1. Krav til informationssikkerhed og databeskyttelse
Databehandleren skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at personoplysningerne hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med den til enhver tid gældende lovgivning, herunder men ikke begrænset til persondataloven, sikkerhedsbekendtgørelsen og persondataforordningen. Dette gælder også, hvis behandlingen af personoplysninger sker helt eller delvist ved anvendelse af hjemmearbejdspladser.
Fastsættelsen af fornødne tekniske og organisatoriske sikkerhedsforanstaltninger skal ske under iagttagelse af bl.a.:
a) De i Bilag A fastsatte krav til sikkerhed,
b) Den Dataansvarliges anvisninger på baggrund af den til enhver tid gældende konsekvensanalyse vedrørende databeskyttelse efter persondataforordningens artikel 35 og
c) denne databehandleraftale.
Hvis Databehandleren er etableret i en anden EU-medlemsstat, skal de bestemmelser om sikkerhedsforanstaltninger, som er fastsat i lovgivningen i den EU-medlemsstat, hvor Databehandleren er etableret, derudover gælde for Databehandleren. Hvis Databehandleren er etableret i en anden EU-medlemsstat, skal Databehandleren således overholde såvel sikkerhedskrav omfattet af gældende lovgivning i Danmark som sikkerhedskrav i Databehandlerens hjemland.
Databehandleren har pligt til på eget initiativ at søge eventuel tvivl om sikkerhedskravene og opfyldelsen heraf afklaret, herunder via den Dataansvarlige.
Databehandleren forpligter sig til at gøre sig bekendt med den Dataansvarliges it-sikkerheds- regulativ, it-sikkerhedspolitik og følge de uddybende it-sikkerhedsregler, hvis den Dataansvarlige orienterer Databehandleren om disse forhold. Den Dataansvarlige er samtidigt forpligtet til at holde Databehandleren orienteret i tilfælde af ændringer, ligeledes påhviler det Databehandleren at underrette eventuelle underdatabehandlere.
Databehandleren skal i øvrigt overholde kravene til databehandlere, og den Dataansvarlige skal overholde kravene til dataansvarlige i overensstemmelse med den til enhver tid gældende lovgivning. Databehandleren skal således blandt andet overholde bestemmelserne om behandlingssikkerhed i persondataloven, herunder især § 41, stk. 3-5, sikkerhedsbekendtgørelsen og vejledning nr. 37 af 2. april 2001 hertil samt persondataforordningen.
6.2. Kontrol med informationssikkerhed og databeskyttelse
Databehandleren skal på den Dataansvarliges anmodning give den Dataansvarlige tilstrækkelige informationer til, at denne kan påse og dokumentere, at Databehandleren har truffet de nødvendige tekniske og organisatoriske sikkerhedsforanstaltninger. Herved bl.a. oplysninger om hvor den Dataansvarliges data befinder sig, samt fysisk adgang til denne såfremt påkrævet af den Dataansvarlige.
Databehandleren (og enhver eventuel underleverandør) skal hvert år foranledige, at en uafhængig tredjepart afgiver en erklæring til den Dataansvarlige om overholdelse af kravene i denne databehandleraftale, f.eks. en ekstern revisorerklæring efter revisionsstandarden ISAE 3000. Erklæringen skal omfatte en vurdering af Databehandlerens efterlevelse af kravene fastlagt i denne aftale samt de krav, der i øvrigt måtte følge af den til enhver tid gældende persondataretlige regulering i Danmark. Erklæringen stilles til rådighed for kommunerne ved udgangen af hvert år.
Derudover har den Dataansvarlige ret til audit.
Databehandleren er forpligtet til at give myndigheder, der efter den til enhver tid gældende lovgivning har adgang til den Dataansvarlige og Databehandlerens faciliteter, eller repræsentanter,
der optræder på myndighedens vegne, adgang til Databehandlerens fysiske faciliteter mod behørig legitimation.
6.3. Informationssikkerhedsbrud og brud på persondatasikkerheden
I tilfælde af informationssikkerhedsbrud og brud på persondatasikkerheden, skal Databehandleren straks efter Databehandlerens kendskab hertil orientere den Dataansvarlige herom. Databehandleren skal herefter uden unødigt forsinkelse, dog senest 24 timer efter Databehandlerens kendskab til bruddet, rapportere til den Dataansvarlige. En sådan rapportering skal mindst:
1) beskrive karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte registreringer af personoplysninger
2) angive navn på og kontaktoplysninger for databeskyttelsesrådgiveren eller et andet kontaktpunkt, hvor yderligere oplysninger kan indhentes
3) beskrive de sandsynlige konsekvenser af bruddet på persondatasikkerheden
4) beskrive de foranstaltninger, som den dataansvarlige har truffet eller foreslår truffet for at håndtere bruddet på persondatasikkerheden, herunder, hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger.
7. Aftaler med en anden databehandler (underdatabehandler)
7.1. Krav vedrørende aftaler med underdatabehandlere
Databehandleren må ikke indgå aftaler med en anden databehandler (underdatabehandler) om behandling af personoplysninger omfattet af databehandleraftalen, medmindre den Dataansvarlige forinden skriftligt har samtykket til aftaleindgåelsen. Den Dataansvarlige er berettiget til at stille vilkår for at give et sådant samtykke.
Databehandleren skal udarbejde en skriftlig underdatabehandleraftale med en underdatabehandler, såfremt en sådan anvendes. I sin aftale med underdatabehandleren skal Databehandleren sikre sig, at underdatabehandleren som minimum accepterer de samme databeskyttelsesforpligtelser, som Databehandleren har påtaget sig ved denne databehandleraftale, for så vidt angår den behandling af den Dataansvarliges personoplysninger, der varetages af underdatabehandleren. Den Dataansvarlige skal have adgang til at se aftalen.
Databehandleren indestår for lovligheden af underdatabehandlerens behandling af personoplysninger. Hvis en underdatabehandler ikke opfylder sine databeskyttelsesforpligtelser, forbliver Databehandleren fuldt ansvarlig over for den Dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser. Det forhold, at den Dataansvarlige har meddelt samtykke til Databehandlerens aftaleindgåelse med en underdatabehandler, er uden betydning for Databehandlerens pligt til at efterleve databehandleraftalen. Ved ophør af en aftale med en underdatabehandler om behandling af personoplysninger omfattet af databehandleraftalen, skal Databehandleren give den Dataansvarlige meddelelse herom.
Omkostninger forbundet med etablering af aftaleforholdet til en underdatabehandler, herunder omkostninger til udarbejdelse af underdatabehandleraftaler, afholdes af Databehandleren og er således den Dataansvarlige uvedkommende.
7.2. Valg af underdatabehandler
Databehandleren har med den Dataansvarliges samtykke valgt KMD A/S som underdatabehandler til indkøbsdatasamarbejdet.
7.3. Beskrivelse af rollefordeling
Kommunerne afleverer eFakturadata til SKI. SKI overlader behandlingen af data til underdatabehandleren. SKI beholder en kopi af ubehandlede eFakturadata.
Formålet med denne behandling er at undgå, at den Dataansvarlige ved en efterfølgende senere ny kategorisering af data behøver at fremsende de samme data på ny. Kopien vil alene kunne tages i anvendelse ved nykategorisering af eFakturadata.
Underdatabehandleren foretager en behandling af den kommunale eFakturadata, hvorved det samlede indkøb kategoriseres til brug for indkøbsdatamodellen. Desuden tilstræbes en rensning af de kommunale eFakturadata således, at personoplysningerne ikke længere kan henføres til en bestemt registreret uden brug af supplerende oplysninger, inden data gives retur til Databehandleren til brug for analyserne. Det følger af den indgåede kontrakt mellem Databehandleren og underdatabehandleren, at underdatabehandleren kort tid herefter skal slette den modtagne og behandlede kommunale eFakturadata, med mindre underdatabehandleren har eksplicit godkendelse fra den Dataansvarlige til fortsat at opbevare denne, f.eks. som led i andet igangværende/løbende aftaleforhold for den Dataansvarlige.
Databehandleren modtager den behandlede og rensede eFakturadata fra underdatabehandleren og opbevarer denne på en database, der kun kan tilgås af de til projektet tilknyttede betroede medarbejdere. Databasen kan kun tilgås via Databehandlerens netværk.
Hverken de oprindelige kommunale eFakturadata eller de rensede kommunale eFakturadata udleveres til tredjepart. De analyser og rapporter, der udarbejdes på baggrund af data, videreformidles alene i anonymiseret form, bortset fra de analyser der udarbejdes til en konkret kommunes eget brug. Dog har KL adgang til kommunespecifikke oplysninger til brug for KL’s interessevaretagelse og opfølgning på den fælleskommunale indkøbsstrategi, herunder anvendelse af kommunespecifikke nøgletal i forbindelse med KL’s dialogmøder med kommunerne. Leverandørers enhedspriser vil alene fremgå af analyser og rapporter i fuldt anonymiseret form, bortset fra de tilfælde hvor analyserne er afgrænset til en konkret kommunes køb hos egne leverandører.
8. Overførsel af oplysninger
Oplysningerne samt analyser og rapporter på baggrund heraf må alene videregives til tredjemand i anonymiseret ikke-personhenførbar form, medmindre dette følger af gældende lovgivning eller efter instruks fra den Dataansvarlige. Dog har KL adgang til kommunespecifikke oplysninger til brug for KL’s interessevaretagelse og opfølgning på den fælleskommunale indkøbsstrategi, herunder
anvendelse af kommunespecifikke nøgletal i forbindelse med KL’s dialogmøder med kommunerne. Leverandørers enhedspriser vil alene fremgå af analyser og rapporter i fuldt anonymiseret form, bortset fra de tilfælde hvor analyserne er afgrænset til en konkret kommunes køb hos egne leverandører. Eventuelle ændringer i forhold til dette afsnit, se punkt 10.
Databehandleren må ikke overføre eller tillade overførsel af personoplysninger til lande uden for det Europæiske Økonomiske Samarbejdsområde uden den Dataansvarliges forudgående skriftlige godkendelse.
Såfremt der skal ske en sådan overførsel, påhviler det Databehandleren at sikre det fornødne overførselsgrundlag, f.eks. brug af EU Kommissionens og/eller af EU Kommissionen godkendte standardbestemmelser om databeskyttelse. Overførselsgrundlaget skal forelægges den Dataansvarlige forud for den Dataansvarliges specifikke godkendelse af overførslen. Databehandleren afholder omkostninger forbundet med etablering af det fornødne overførselsgrundlag.
9. Tavshedspligt
Databehandleren skal holde personoplysningerne fortrolige og er således alene berettiget til at anvende personoplysningerne som led i opfyldelsen af sine forpligtelser i henhold til Tilmeldingsskemaet, herunder databehandleraftalen.
Databehandleren skal sikre, at de medarbejdere og eventuelle andre databehandlere, der er autoriseret til at behandle de pågældende personoplysninger, er pålagt tavshedspligt for så vidt angår de personoplysninger, som de får kendskab til i forbindelse med opfyldelse af formålene med Tilmeldingsskemaet.
10. Ændringer i databehandleraftalen
Denne databehandleraftale kan til enhver tid ændres uden varsel, hvis ændringen er nødvendig for at overholde de til enhver tid gældende regler og forskrifter for behandling af personoplysninger.
Hvis den Dataansvarlige ønsker at fravige nogle af bestemmelserne i nærværende databehandleraftale, skal dette ske skriftligt.
11. Varighed og ophør af databehandleraftalen
Databehandleraftalen træder i kraft ved Parternes underskrift og er gældende så længe Databehandleren behandler personoplysninger på vegne af den Dataansvarlige eller frem til tilmeldingens ophør, alt efter hvilket tidspunkt, der indtræder senest.
I tilfælde af ophør af databehandleraftalen, uanset det juridiske grundlag herfor, skal Databehandleren yde de fornødne overgangsydelser til den Dataansvarlige. De fornødne overgangsydelser omfatter bl.a., at Databehandleren skal handle efter instruks fra den Dataansvarlige, herunder instruks om straks at tilbagelevere eller slette samtlige personoplysninger, uanset opbevaringsmedie.
Databehandleren er forpligtet til loyalt og hurtigst muligt at medvirke til, at udførelse af ydelserne overgår til en anden databehandler eller tilbageføres til den Dataansvarlige. Databehandleren skal straks efter anmodning fra den Dataansvarlige ændre, overføre eller slette personoplysninger, som Databehandleren behandler for den Dataansvarlige.
Hvis den Dataansvarlige bliver bekendt med, at Databehandleren ikke behandler personoplysninger som beskrevet i denne aftale eller behandler oplysninger i strid med sine forpligtelser efter persondataloven, kan den Dataansvarlige pålægge Databehandleren at stoppe den videre behandling af oplysningerne med øjeblikkelig virkning.
Denne databehandleraftale kan til enhver tid opsiges skriftligt af såvel den Dataansvarlige som Databehandleren. I så fald skal Databehandleren uigenkaldeligt slette den Dataansvarliges data inden for en periode på 30 dage samt sende den Dataansvarlige en skriftlig bekræftelse på, at dette er foregået.
Opsiges databehandleraftalen ikke, sletter Databehandleren den Dataansvarliges eFakturadata senest 5 år efter modtagelsen af den Dataansvarliges eFakturadata. Det vil konkret betyde, at eFakturadata for perioden 2014-2016, som SKI modtager i foråret 2017, vil blive slettet senest i foråret 2022. eFakturadata, som SKI modtager i foråret 2018, vil tilsvarende blive slettet senest i foråret 2023 og så fremdeles.
Tavshedspligtsbestemmelserne tilhørende denne databehandleraftale ophører ikke ved nærværende databehandleraftales ophør.
12. Forrang
I tilfælde af uoverensstemmelse mellem bestemmelserne i denne databehandleraftale og bestemmelserne i andre skriftlige eller mundtlige aftaler indgået mellem Parterne – herunder ved den Dataansvarliges tilmelding via Tilmeldingsskemaet – skal bestemmelserne i denne databehandleraftale have forrang, medmindre andet direkte fremgår i en allonge tilknyttet denne databehandleraftale.
13. Underskrifter
Aftalen underskrives, og Parterne opbevarer hver en kopi af aftalen. Dato
For Databehandleren
Staten og Kommunernes Indkøbsservice A/S
For den Dataansvarlige (Indsæt kommunenavn)
Bilag A til
om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles ved Databehandleren
1. Generelle sikkerhedsbestemmelser
Databehandleren skal fastsætte interne bestemmelser om sikkerhedsforanstaltninger til uddybning af de krav, der fremgår af dette bilag. Bestemmelserne skal navnlig omfatte organisatoriske forhold og fysisk sikring, herunder sikkerhedsorganisation, administration af adgangskontrolordninger og autorisationsordninger samt kontrol med autorisationer. Der skal endvidere fastsættes instrukser, som fastlægger ansvaret for og beskriver behandling og destruktion af ind- og uddatamateriale samt anvendelse af edb-udstyr. Derudover skal der fastsættes retningslinjer for tilsyn med overholdelsen af de sikkerhedsforanstaltninger, der er fastsat for Databehandleren.
De interne bestemmelser skal gennemgås mindst én gang årligt med henblik på at sikre, at de er fyldestgørende og afspejler de faktiske forhold hos Databehandleren.
Databehandleren skal fastsætte særlige retningslinjer for behandling af personoplysninger omfattet af Databehandleraftalen, der finder sted på en arbejdsplads uden for Databehandlerens lokaliteter (fjernarbejdsplads), således at det sikres, at de fornødne tekniske og organisatoriske foranstaltninger iagttages i relation til denne behandling af oplysningerne.
Såfremt behandlingen af personoplysninger hos Databehandleren sker helt eller delvist ved anvendelse af hjemmearbejdspladser, skal Databehandleren fastsætte retningslinjer for medarbejdernes behandling af personoplysninger ved anvendelse af hjemmearbejdspladser. Retningslinjerne skal godkendes af den Dataansvarlige.
I forbindelse med salg, genbrug og kassation af anvendt udstyr, herunder dataudstyr og datamedier, der indeholder personoplysninger omfattet af Databehandleraftalen, og som har været anvendt til Databehandleraftalens opfyldelse, skal Databehandleren træffe passende tekniske og organisatoriske foranstaltninger for at sikre, at disse oplysninger hverken hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt træffe foranstaltninger mod, at disse personoplysninger kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med de persondataretlige regler og/eller denne Databehandleraftale.
I forbindelse med reparation og service af udstyr, der anvendes til opfyldelse af formålene med behandlingen af oplysninger omfattet af Databehandleraftalen, og som indeholder oplysninger omfattet af Databehandleraftalen, skal Databehandleren træffe de fornødne foranstaltninger for at sikre, at oplysningerne hverken hændeligt eller ulovligt tilintetgøres, fortabes eller forringes samt foranstaltninger mod, at oplysningerne kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med de persondataretlige regler eller denne Databehandleraftale.
2. Inddatamateriale som indeholder personoplysninger
Databehandleren skal sikre, at inddatamateriale indeholdende personoplysninger omfattet af Databehandleraftalen kun anvendes af personer, som er beskæftiget med inddatering i forbindelse med opfyldelse af formålene med behandlingen af oplysninger omfattet af Databehandleraftalen. Inddatamaterialet skal opbevares aflåst, når det ikke anvendes.
Inddatamateriale skal slettes eller tilintetgøres, når det ikke længere skal anvendes til formålene med behandlingen af oplysninger omfattet af Databehandleraftalen, eller til kontrol med de inddaterede personoplysninger, dog senest efter en af den Dataansvarlige nærmere fastsat frist.
Ved tilintetgørelse af inddatamaterialet træffer Databehandleren de fornødne sikkerheds- foranstaltninger mod, at materialet misbruges eller kommer til uvedkommendes kendskab.
3. Autorisation og adgangskontrol
Databehandleren skal sikre, at kun de personer, som autoriseres hertil, må have adgang til personoplysninger, der behandles efter aftalen.
Databehandleren skal sikre, at Databehandlerens medarbejdere autoriseres og tildeles rettigheder i overensstemmelse med Databehandlerens interne retningslinjer efter punkt 1, hvori det er beskrevet, i hvilket omfang Databehandlerens medarbejdere må forespørge på, inddatere eller slette oplysninger omfattet af Databehandleraftalen.
Databehandleren må kun autorisere personer, der er beskæftiget med de formål, hvortil personoplysninger behandles i forbindelse med Databehandleraftalens opfyldelse. De enkelte brugere må ikke autoriseres til anvendelser, som de ikke har specifikt behov for i forbindelse med Aftalens opfyldelse.
Udover det i forrige afsnit angivne må Databehandleren endvidere autorisere brugere, for hvem adgang til oplysningerne er nødvendig med henblik på revision eller drifts- og systemtekniske opgaver i forbindelse med opfyldelse af formålene med behandlingen af personoplysningerne.
Databehandleren skal som minimum træffe de foranstaltninger, der er beskrevet i Databehandlerens interne retningslinjer efter punkt 1, for at sikre, at kun autoriserede brugere kan få adgang, og at disse kun kan få adgang til de oplysninger og anvendelser, som de er autoriserede til i forbindelse med Databehandleraftalens opfyldelse.
Databehandleren skal løbende sikre og dokumentere, at de autoriserede brugere fortsat opfylder betingelserne i punkt 4 og Databehandlerens interne retningslinjer efter punkt 1. Kontrol heraf skal foretages mindst én gang hvert halve år.
4. Kontrol med afviste adgangsforsøg
Databehandleren skal foretage registrering af og dokumentere alle afviste adgangsforsøg. Hvis der inden for en af den Dataansvarlig bestemt periode er registreret et af den Dataansvarlige bestemt antal på hinanden følgende afviste adgangsforsøg fra samme arbejdsstation eller med samme
brugeridentifikation, skal der blokeres for yderligere forsøg. Databehandleren skal løbende afrapportere herom til Den Dataansvarlige.
5. Uddatamateriale som indeholder personoplysninger
Databehandleren skal sikre, at uddatamateriale indeholder personoplysninger omfattet af Databehandleraftalen kun anvendes af personer, der er beskæftiget med de formål, til hvilke behandlingen af de givne oplysninger foretages, herunder personer som er beskæftiget med at tilvejebringe uddatamateriale.
Uanset udgangspunktet i forrige afsnit, må uddatamateriale dog ligeledes anvendes af personer, som er beskæftiget med revision eller drifts- og systemtekniske opgaver i det pågældende system.
Databehandleren skal opbevare uddatamateriale på en sådan måde, at uvedkommende ikke kan få adgang til at gøre sig bekendt med de oplysninger, som er indeholdt heri.
Databehandleren skal tilintetgøre uddatamateriale, når dette ikke længere skal anvendes i forbindelse med Databehandleraftalen og senest efter en af Den Dataansvarlige nærmere fastsat frist. Derudover skal uddatamateriale om enkelt personer kunne slettes efter anmodning fra Den Dataansvarlige.
I forbindelse med tilintetgørelse af uddatamateriale skal Databehandleren træffe passende tekniske og organisatoriske sikkerhedsforanstaltninger mod, at dette uddatamateriale misbruges eller kommer til uvedkommendes kendskab.
6. Eksterne kommunikationsforbindelser
Databehandleren må kun anvende eksterne kommunikationsforbindelser til behandling af oplysninger omfattet af Databehandleraftalen i forbindelse med aftalens opfyldelse, hvis der træffes særlige foranstaltninger, såsom kryptering, for at sikre, at uvedkommende ikke gennem disse forbindelser kan få adgang til personoplysninger.
7. Logning
Databehandleren skal foretage logning af alle anvendelser af personoplysninger omfattet af Databehandleraftalen.
Logningen, jf. forrige afsnit, skal mindst indeholde oplysninger om tidspunkt, bruger, type af anvendelse og angivelse af den person, de anvendte oplysninger vedrørte, eller det anvendte søgekriterium.
Logningen, jf. forrige afsnit, skal opbevares i 6 måneder, medmindre andet er aftalt med Den Dataansvarlige, hvorefter den skal slettes.
Databehandleren skal på Den Dataansvarliges anmodning uden unødigt ophold udlevere log-data til Den Dataansvarlige eller til en tilsynsmyndighed.