SKABELON

SKABELON

Mellem

Kolding Kommune

og

Firma xxx A/S

indgås følgende

Databehandleraftale

Grundlag

I henhold til kontrakt af [dato] skal [virksomhed] udføre opgaver for Kolding Kommune, hvilket medfører adgang til og behandling af personoplysninger.

Persondataloven stiller krav om, at der i så fald skal oprettes en Databehandleraftale, som forpligter databehandleren til at overholde de krav, som stilles i Persondataloven.

Kommunens ansvar

Kolding Kommune er en offentlig virksomhed og er som følge heraf omfattet af Persondatalovens regler om behandling af oplysninger.

I relation til aftalen med [virksomhed] er kommunen dataansvarlig, og [virksomhed] handler alene efter instruks fra kommunen. Det nærmere indhold heraf er beskrevet i kontrakten mellem kommunen og [virksomhed]

Kommunen har fastsat nærmere regler for, hvordan lovgivningens sikkerhedskrav udmøntes.

Kommunen er ansvarlig for, at der i relevant omfang indgås aftaler om behandling af personoplysninger, såfremt disse behandles af andre på kommunens vegne.

Kommunen har også ansvar for at følge aktivt med i, at disse aftaler overholdes.

[virksomhed] ansvar

[Virksomhed] er databehandler og dermed ansvarlig for at behandle de modtagne oplysninger fortroligt og med et niveau, som svarer til Persondatalovens krav herom.

De generelle sikkerhedskrav er nærmere specificeret i en sikkerhedsbekendtgørelse, som kan ses på xxx.xxxxxxxxxxxx.xx., hvor der også kan findes anden information om den nærmere udmøntning af lovreglerne på området.

Hverken lov- eller sikkerhedskrave er statiske, og [virksomhed] er selv ansvarlig for at følge med i udviklingen heri og derfor også for at leve op til de til enhver gældende lovkrav.

Hvis (virksomheden) er etableret i et andet land, skal databehandler sikre, at de ud over den danske lovgivning også lever op til det pågældende lands databeskyttelseslovgivning.

Hvis det drejer sig om databehandling i et usikkert tredjeland, skal Kommissionens standardkontrakt indgås.

Kolding Kommune vil skriftligt informere [virksomhed] herom, såfremt der ved behandlingen af personoplysningerne stilles særlige sikkerhedskrav fra kommunens side, ud over de generelle sikkerhedskrav, der stilles jf. lovgivningen.

Generelle sikkerhedskrav

Følgende sikkerhedskrav er generelle og skal overholdes af alle virksomheder, som indgår databehandlingsaftaler med Kolding Kommune:

[virksomhed] har generelt et medansvar for, at oplysningerne

1. Ikke hændeligt eller ulovligt tilintetgøres, fortabes eller forringes

2. Kommer til uvedkommendes kendskab eller misbruges

3. Behandles i strid med Persondataloven Det betyder bl.a., at

• Der alene gives de medarbejdere adgang til at behandle personoplysninger, som er beskæftiget med den konkrete opgaveløsning for Kolding Kommune.

• Medarbejderne skal informeres om den tavshedspligt, der gælder på området.

• Oplysninger, som opbevares i virksomheden, skal beskyttes mod tab. Såfremt virksomheden opbevarer data hos eksterne serviceprovidere o.a., skal dette forlods godkendes af kommunen.

• Kvaliteten og ajourføringen af data skal sikres, så kommunens krav hertil opfyldes.

• Oplysningerne må alene anvendes til de formål, som fremgår af kontrakten.

• Oplysningerne må ikke videregives til andre uden tilladelse fra kommunen.

Når kontrakten med Kolding Kommune ophører, skal alle personoplysninger slettes eller tilbageleveres til kommunen efter nærmere aftale.

Specifikke sikkerhedskrav

Ud over de generelle sikkerhedskrav skal [virksomhed] efterleve følgende mere specifikke sikkerhedskrav jf. kommunens it-sikkerhedspolitik:

Emne Det konkrete krav [virksomhed] beskrivelse af, hvordan kravene efterleves

Kontrol med overholdelsen

Det er [virksomhed] ansvar at leve op til de gældende sikkerhedskrav.

Kommunen har en pligt til aktivt at sikre sig, at kravene overholdes. Dette krav kan opfyldes på forskellig vis, eksempelvis:

🞎 På anfordring skal [virksomhed] vederlagsfrit kunne levere en erklæring fra en uafhængig revisor, som bekræfter, at virksomheden har et sikkerhedsniveau mindst svarende til kravene i denne databehandleraftale.

🞎 Hvert år skal [virksomhed] afgive en tro og love erklæring, hvor virksomhedens ledelse tilkendegiver at overholde de gældende sikkerhedskrav.

🞎 Kommunen har ret til at foretage kontrol af, at [virksomhed] overholder de gældende sikkerhedskrav. [virksomhed] skal give kommunens medarbejdere – eller dem, kommunen udpeger til at foretage kontrollen – den nødvendige adgang til virksomhedens medarbejdere og

informationssystemer.

Misligholdelse

Databehandleraftalen er en del af kontrakten mellem kommunen og [virksomhed].

Væsentlige overtrædelser af databehandleraftalen anses som en misligholdelse af kontraktforholdet og vil blive sanktioneret efter bestemmelserne i kontrakten.

Varighed

Denne aftale er gældende, så længe [virksomhed] udfører de pågældende opgaver for Kolding Kommune.

Kolding, den xx/yy/åå

For Xxx For Kolding Kommune