Databehandleraftale

Ved Leverandøren eller Underleverandøren forstås den eller de parter som udgør databehandleren jf. Persondatalovens § 3 stk. 5, samt registerføreren jf. Databeskyttelsesdirektivet art. 2, litra e.

Ved Kunden eller Københavns Kommune forstås den eller de parter som udgør den dataansvarlige jf. Persondatalovens § 3 stk. 4, samt den registeransvarlige jf. Databeskyttelsesdirektivet art. 2, litra d.

Ved Kundens Data forstås al data der er klassificeret som interne data, værdioplysninger og personoplysninger både af almindelig og fortrolig/følsom karakter. Der henvises i øvrigt til Københavns Kommunes interne it-sikkerhedsbilag for beskrivelse af ovennævnte typer af data.

2. Anvendelsesområde og omfang

2.1.

Denne databehandleraftale vedrører Parternes fælles forpligtelser efter lov om behandling af personoplysninger (persondataloven, lov nr. 429 af 31. maj 2000 med senere ændringer) og den i medfør deraf udstedte bekendtgørelse om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning (sikkerhedsbekendtgørelsen, bekendtgørelse nr. 528 af 15. juni 2000 med senere ændringer), samt Københavns Kommunes It- sikkerhedspolitik (It-sikkerhedspolitikken, version 2.2 med senere ændringer) og Regulativ for it- sikkerhed i Københavns Kommune (It-sikkerhedsregulativet, version 2.2 med senere ændringer) og de i medfør heraf fastsatte bestemmelser.

2.2.

Denne databehandleraftale er gældende for alle Leverandørens nuværende og fremtidige leverancer (inklusiv, men ikke begrænset til systemleverancer, driftsydelser og konsulentydelser) til samtlige forvaltninger i Københavns Kommune (Kunden), hvorefter Leverandøren udfører behandling af oplysninger på vegne af, og/eller udfører systemudvikling/-vedligeholdelse af applikationer for Kunden.

2.3.

Denne databehandleraftales forpligtelser er ligeledes gældende for samtlige af Leverandørens Underleverandører, samt andre samarbejdspartnerne der tilgår i leverancer og ydelser mm. til Københavns Kommune og dertilhørende forvaltninger jf. Persondatalovens § 41, stk.1 og stk. 3-5, samt reglerne i Sikkerhedsbekendtgørelsen jf. Sikkerhedsbekendtgørelsen § 7, stk. 1. Herved forpligter Leverandøren sig til at sikre, at der indgås databehandleraftaler med samtlige Underleverandører, der som minimum indeholder samme krav som denne databehandleraftale.

2.4.

Kunden beholder alle rettigheder over dennes data der tilgår i pågældende databehandling.

2.5.

Begge Parter forpligter sig til i hele aftaleperioden at indhente og opretholde registreringer og tilladelser i overensstemmelse med gældende lov eller bestemmelser fastsat i henhold til lov.

3. Leverandørens forpligtelser som databehandler

3.1.

Leverandøren forpligter sig til at behandle personoplysningerne i overensstemmelse med reglerne om god databehandlingsskik, jf. persondatalovens § 5. Personoplysningerne skal udelukkende behandles i et omfang der er proportionalt for Leverandørens opgave og må ikke opbevares længere end absolut nødvendigt i forhold til formålet, hvortil dette data er indsamlet.

3.2.

Leverandøren forpligter sig til at behandle personoplysningerne på Kundens vegne og i overensstemmelse med Xxxxxxx instrukser og bestemmelser.

3.3.

Leverandøren er desuden forpligtet til skriftligt, uden unødigt ophold, at give Kunden tilstrækkelige oplysninger til, at denne til enhver tid kan sikre sig, at der er implementeret de nødvendige og tilstrækkelige sikkerhedsforanstaltninger til sikring af, at de behandlede personoplysninger ikke hændeligt eller ulovligt tilintetgøres, fortabes, forringes, kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med persondatalovens krav. Leverandøren skal endvidere på Kundens anmodning give Kunden oplysninger om hvor Kundens Data befinder sig, samt fysisk adgang til denne såfremt påkrævet af Kunden.

3.4.

Leverandøren har ikke ret til at benytte sig af Kundens Data, information eller andet, til andre formål end til opfyldelse af Aftalen.

3.5.

Leverandøren må under ingen omstændigheder videregive de overførte personoplysninger til uvedkommende.

3.6.

Leverandøren forpligter sig til at gøre sig bekendt med Københavns Kommune It- sikkerhedsregulativ, It-sikkerhedspolitik og følge de Uddybende it-sikkerhedsregler. Kunden er samtidigt forpligtet til at holde Leverandøren orienteret i tilfælde af ændringer, ligeledes påhviler det Leverandøren at underrette eventuelle Underleverandører og samarbejdspartnere.

Leverandøren er berettiget til betaling for tilpasninger som følge af ændringer i Københavns Kommunes Uddybende it-sikkerhedsregler, der går ud over hvad gældende lovgivning påkræver, samt ISO-sikkerhedsstandarder foreskriver.

3.7.

Er Leverandøren etableret i en anden medlemsstat, vil Leverandøren være forpligtet til at overholde medlemsstatens gældende lovgivning samtidig med at Dansk lovgivning er gældende. Leverandøren leverer de relevante bestemmelser som bilag til Kunden, hvilket skal være oversat til dansk.

4. Leverandørens brug af Underleverandører og behandling af data

4.1.

Behandling af personoplysninger må ikke overlades til en anden ekstern databehandler, herunder hverken en underleverandør eller et servicebureau uden samtykke fra Kunden.

4.2.

Leverandørens Underleverandører er omfattet af databehandleraftalen. Al kommunikation mellem Københavns Kommune og Underleverandører foretages via Leverandøren.

4.3.

I tilfælde af at Leverandøren benytter en Underleverandør til behandling/opbevaring af data, forpligter Leverandøren sig til at indgå en aftale med Underleverandøren, der som minimum forpligter Underleverandøren til at overholde de fastsatte bestemmelser i denne databehandleraftale. I tilfælde af at Underleverandøren ikke formår at leve op til vilkårene i denne databehandleraftale, vil Leverandøren være erstatningsansvarlig for Underleverandørens handlinger eller manglende handlinger/misligholdelse på som for sine egne ydelser.

4.4.

Leverandøren er forpligtet til at oplyse sine Underleverandører om bestemmelserne i denne databehandleraftale samt sikre sig at Underleverandøren overholder direktiv 95/46/EF (Databeskyttelsesdirektivet) samt beslutning 2010/87/EU (”…om videregivelse af

personoplysninger til registerførere etableret i tredjelande”).

4.5.

Kunden skal forudgående skriftligt godkende Leverandørens valg af Underleverandør, når dette omhandler behandling af Kundens Data. Kunden skal desuden have adgang til at se og godkende databehandleraftalen imellem Leverandøren og dennes Underleverandør, inden Xxxxxx kan godkende den pågældende Underleverandør. I tilfælde af at Leverandøren ønsker at skifte Underleverandør, skal Kunden skriftligt godkende dette skift.

4.6.

I tilfælde af at Underleverandøren ikke er etableret i et EU/EØS-land men et tredjeland, kan personoplysninger kun videregives, hvis dette tredjeland sikrer et tilstrækkeligt databeskyttelsesniveau, og hvis medlemsstaternes lovgivning, der er i overensstemmelse med direktivets øvrige bestemmelser jf. direktiv 95/46/EF (Databeskyttelsesdirektivet) overholdes inden videregivelsen. Leverandøren er ansvarlig for at sikre at den pågældende Underleverandør fra et tredjeland har et tilstrækkeligt databeskyttelsesniveau jf. Databeskyttelsesdirektivet art. 26, stk. 2.

4.7.

For et tredjeland som ikke har et tilstrækkeligt beskyttelsesniveau, skal der indgås en aftale, som sikrer at overførte data behandles på betryggende vis. Kommissionen har godkendt 3 standardkontrakter til dette formål jf. Databeskyttelsesdirektivet art. 26, stk. 2:

• Standardkontrakt der vedrører overførsel mellem en dataansvarlig til en anden dataansvarlig (Kommissionens afgørelse 2001/497/EF af d. 15. juni 2001).

• Standardkontrakt der vedrører overførsel mellem en dataansvarlig til en anden dataansvarlig (Kommissionens afgørelse 2004/915/EF af d. 27. december 2004, alternativ kontrakt).

• Standardkontrakt der vedrører overførsel mellem en dataansvarlig til en databehandler (Kommissionens afgørelse 2010/87/EU af d. 5. februar 2010).

Udover ovenstående standardkontrakter fra EU Kommissionen, så kan den nødvendige sikkerhedsgaranti for dataoverførsel til tredjelande jf. Persondatalovens § 27, stk. 4, også ske gennem anvendelsen af bindende virksomhedsregler (Binding Corporate Rules, BCR).

4.8.

Leverandøren forpligter sig til at indgå en af ovennævnte aftaler med den pågældende Underleverandør fra et tredjeland, hvor der ikke er et tilstrækkeligt beskyttelsesniveau.

5. Ophør og varighed

5.1.

Såfremt Leverandøren af ikke uvæsentlige grunde ikke er i stand til at sikre en korrekt behandling af Kundens Data i overensstemmelse med denne databehandleraftale, indvilliger Leverandøren i straks at underrette Xxxxxx herom. Kunden er til enhver tid berettiget til at suspendere dataoverførsel dataoverførslen og/eller Aftaler, hvortil den manglende overholdelse kan henføres.

5.2.

Denne databehandleraftale indgås ved begge parters underskrivelse og gælder, indtil Aftalen forudgående denne databehandleraftale opsiges.

5.3.

Uanset Aftalens formelle aftaleperiode, skal denne databehandleraftale gælde så længe som Leverandøren behandler Kundens Data.

5.4.

Ved væsentlig misligholdelse af denne databehandleraftale og forudsat, at det pågældende forhold ikke umiddelbart kan udbedres, er Kunden berettiget til at opsige alle tilhørende aftaler om databehandling uden varsel.

Der er tale om væsentlig misligholdelse, hvis Leverandøren anvender personoplysninger til egne eller andre end det oprindelige formål, eller hvis Leverandøren videregiver personoplysninger til uvedkommende. I tilfælde af ophør af Aftalen, uanset det juridiske grundlag herfor, skal Leverandøren yde de fornødne overgangstjenesteydelser til Kunden. De fornødne overgangstjenesteydelser omfatter bl.a. at Leverandøren fortsat skal handle efter instruks fra Kunden, herunder instruks om at tilbagelevere eller slette personoplysninger.

5.5.

Leverandøren er forpligtet til loyalt og hurtigst muligt at medvirke til, at udførelsen af tjenesteydelserne overgår til den anden leverandør eller tilbageføres Kunden. Leverandøren skal straks efter anmodning ændre, overføre eller slette personoplysninger, som Leverandøren behandler for Kunden.

5.6.

Leverandøren er under ingen omstændigheder berettiget til at betinge den fulde og ubegrænsede efterlevelse af Kundens instrukser af Kundens betaling af udestående fakturaer mv., og Leverandøren har ingen tilbageholdsret.

5.7.

En sikkerhedshændelse, hvor personoplysninger er blevet kompromitteret i alvorlig grad, kan medføre, at aftaleforholdet opsiges. Kunden kan opsige den aftaleleverance, hvis der på baggrund af en sikkerhedshændelse af alvorlig karakter og efter påkrav ikke er implementeret tilstrækkelige sikkerhedsforanstaltninger til at imødegå lignende hændelser.

5.8.

Tavshedspligtsbestemmelserne i pkt. 10 ophører ikke ved denne databehandleraftales ophør.

6. Udlevering af data

6.1.

Xxxxxx har ret til på et hvilket som helst tidspunkt med et skriftligt varsel på 20 arbejdsdage at få udleveret al data som er en del af Aftalen og som tilhører Kunden. Prisen for udlevering af data oppebæres af Xxxxxx og afregnes efter forbrugt tid, til den enhver tid gældende standardtakst hos Leverandøren. De pågældende data og informationer skal udleveres efter Xxxxxxx nærmere rimelige anvisning. Leverandøren skal sikre, at værktøjer til at foretage dataudtræk er tilgængelige så Leverandøren kan udlevere data til Kunden.

6.2.

Ved Aftalens ophør er Xxxxxx berettiget til at få udleveret alle de data og informationer aftalen omfatter uanset årsagen til Aftalens ophør, og denne udlevering er vederlagsfri for Kunden.

Udlevering af data vil dog ikke være vederlagsfri for Kunden, for aftaler indgået før denne databehandleraftale, hvor prisen på udlevering af data ikke er forbeholdt i kontraktsummen. Prisen afregnes efter forbrugt tid, til den enhver tid gældende standardtakst hos Leverandøren.

6.3.

Udlevering af data skal ske til Kunden og/eller til en af Kunden udpeget tredjemand.

6.4.

Leverandøren skal efter Kundens skriftlige anvisninger slette data eller informationer af enhver art, der er kommet i Leverandørens besiddelse i medfør af Aftalen. Hvis Xxxxxx anmoder herom har Leverandøren pligt til at opbevare en backup kopi af sådanne data og informationer i op til 3 måneder efter Aftalens ophør. Hvis Leverandøren inden udløbet af denne periode vil slette data, skal Kunden forinden skriftligt orienteres og gives et rimeligt varsel til enten selv at få etableret en backup eller anmode Leverandøren om fortsat at opbevare disse data i en længere periode, dog ikke udover den angivne periode på 3 måneder.

7. Procedurer

7.1.

Alene Københavns Kommunes It-sikkerhedsfunktion og Borgerrepræsentationens Sekretariat kan fra Kundens side med henvisning til it-sikkerhedsregulativet give instrukser vedrørende sikkerhedsadministrative forhold og træffe afgørelser af sikkerhedsmæssig karakter i forhold til Leverandøren.

7.2.

Leverandøren har pligt til at følge de instrukser, som pågældende Systemejere og It- sikkerhedsfunktionen giver. Såvel instrukser som afgørelser dokumenteres skriftligt.

7.3.

Anvender Leverandøren pc-fjernarbejdspladser e.l. til behandling af Kundens Data er fjernarbejdspladserne også omfattet af denne databehandleraftale.

7.4.

Medarbejdere hos Leverandøren, som har brug for adgang til data i et it-system i forbindelse med udviklings-, vedligeholdelses-, og driftsopgaver, må kun autoriseres hertil med en entydig identifikation. Autorisationen foretages af Kundens Systemejer, som kan autorisere de enkelte medarbejdere samt grupper hos Leverandøren.

7.5.

Leverandøren skal uden unødigt ophold rapportere til Systemejer og It-sikkerhedsfunktionen, når der er konstateret en sikkerhedsbrist af betydning for it-sikkerheden og beskrive disse nærmere. I forbindelse med en sikkerhedshændelse hos Leverandøren, hvor oplysninger er blevet kompromitteret, er det Leverandørens ansvar at gennemføre en undersøgelse af hændelsens årsag, forløb og konsekvens. Undersøgelsen foretages af ekstern 3. part, med mindre Leverandøren umiddelbart kan dokumentere en fyldestgørende og tilfredsstillende undersøgelse af hændelsen samt iværksættelse af sikkerhedsforanstaltninger.

7.6.

Såfremt der konstateres en sikkerhedsbrist af betydning for it-sikkerheden, har Leverandøren pligt til at deltage i eventuelle drøftelser med Datatilsynet og indarbejde eventuelle anbefalinger og/eller påbud mv. fra tilsynet vedrørende behandling af personoplysninger som led i udførelsen af Leverandørens ydelser under Aftalen.

8. Erklæringer

8.1.

Leverandøren skal træffe de nødvendige tekniske og organisatoriske foranstaltninger forelagt denne som databehandler og skal til brug for de årligt afgivne revisorerklæringer foretage en beskrivelse af sit interne kontrolmiljø (interne kontroller) for hhv. driftsmiljøet (generelle it- kontroller) samt udviklingsmiljø jf. persondatalovens § 41, stk. 3 og sikkerhedsbekendtgørelsen § 5, stk. 1 og stk. 2. Disse sikkerhedsforanstaltninger skal sikre mod, at Kundens Data:

• Hændeligt eller ulovligt tilintetgøres, fortabes eller på anden vis forringes,

• Kommer til uvedkommendes kendskab eller misbruges eller i øvrigt behandles i strid med gældende regler, hvoraf følger, at Leverandøren til stadighed er forpligtet til at opretholde en rimelig og opdateret beskyttelse af Leverandørens systemer, herunder af driftsmiljøet, hvor disse kan påvirke Leverandørens levering af ydelser, mod ulovlig elektronisk eller fysisk indtrængen, hærværk, tyveri, hacking, edb-virus, ”denial of service” (DDoS) angreb og andre lignende sikkerhedsmæssige brug, samt mod risiko for brand, storm, vandskade og andre forhold, der kan bringe Leverandørens opfyldelse af Aftalen i fare eller ødelægge eller give uvedkommende adgang til Kundens it-systemer, og behandles i strid med gældende regler.

Bemærk at ovenstående ses som eksempler og ikke er udtømmende.

8.2.

Offentlige kontrolmyndigheder og andre myndigheder skal i henhold til den til enhver tid gældende lovgivning eller Kundens anvisninger inden for normal kontortid have adgang til uanmeldt at efterse, undersøge, kontrollere samt revidere data, datamedier og informationsbehandlende enheder hos Leverandøren. For Xxxxxxx interne revision og Kundens eksterne revisorer gælder samme rettigheder, dog forudsat at der afgives et rimeligt varsel til Leverandøren.

8.3.

Leverandøren skal hvert år senest den 1. august fremlægge en generel type II-revisorerklæring for det forudgående år, såfremt der er tale om en kritisk applikation til Kunden efter Revisionsstandard ISAE 3402, udgivet af Foreningen af Statsautoriserede Revisorers Revisionstekniske Udvalg (eller de revisionsstandarder, der måtte træde i stedet herfor), om generelle it-kontroller, herunder også i relation til behandlingen af personoplysninger.

Vurderer Xxxxxx, at der som en følge af de udarbejdede revisorerklæringer er behov herfor, skal Leverandøren fremlægge en supplerende revisorerklæring udfærdiget specifikt i relation til kommunens forhold. Den supplerende revisorerklæring betales af Kunden

8.4.

Auditeringer og udstedelser af erklæringer skal varsles af Kunden i rimelig tid, og sker på Kundens opfordring og Kunden afholder udgifter hertil.

9. Oplysningspligt

9.1.

Leverandøren skal straks skriftligt oplyse Kunden om enhver fravigelse af de givne instrukser om behandlingen.

9.2.

Hvis der er mistanke om, eller der indtræder hændelser, som indikerer et brud på fortroligheden, skal dette straks meddeles til Kunden.

9.3.

Denne databehandleraftale forpligter Xxxxxx og dennes repræsentanter, til at oplyse den registrerede om disses identitet, samt formålene med den behandling, hvortil oplysningerne er bestemt jf. persondatalovens § 28 og samtlige andre oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser jf. persondatalovens § 28 stk.1, litra a - c.

9.4.

Ovenstående forpligtelse er ikke gældende, såfremt den registrerede allerede er bekendt med de nævnte oplysninger jf. persondatalovens § 28 stk. 2. Ligeledes er oplysningspligten ikke gældende,

hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder af hensyn til den pågældende selv jf. persondatalovens § 30, stk. 1. Der findes også undtagelse for oplysningspligten, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til offentlige interesser, jf. persondatalovens § 30, stk. 2.

10. Tavshedspligt

10.1.

Denne databehandleraftale indebærer, at tavshedspligtsreglerne for offentligt ansatte i forvaltningslovens § 27 og straffelovens § 152 – 152, litra f. er gældende, jf. straffelovens § 152, litra a. Tavshedspligtsreglerne gælder også for aftaleparters medhjælpere, herunder medarbejdere, og dette skal kommunikeres til medhjælperne.

10.2.

Der skal i øvrigt iagttages ubetinget tavshed med hensyn til oplysninger, som der opnås kendskab til i forbindelse med arbejdet for kommunen.

10.3.

Leverandøren er forpligtet til at pålægge personale og Underleverandører, der får adgang til oplysninger omfattet af Aftalen, samme tavshedspligt.

10.4.

Tavshedspligten ophører ikke ved samarbejdets eller medarbejderes ansættelses ophør.

11. Godtgørelse

11.1.

Leverandøren forpligter sig til at friholde og forsvare Kunden imod alle krav, retskrav og ethvert ansvar, tab, bøder, omkostninger og udgifter forbundet derved som følge af Leverandørens overtrædelse af Aftalen, begået af Leverandøren, Leverandørens ansatte, Underleverandører eller repræsentanter i forbindelse med levering af tjenesteydelserne, gennemførelse af Aftalen eller som i øvrigt aftalt mellem parterne.

12. Misligholdelse

12.1.

Hvis Leverandøren og/eller Underleverandører ikke overholder de til enhver tid gældende

lovgivningsmæssige krav, samt denne databehandleraftales forpligtelser og de af den dataansvarlige vedtagne politikker og retningslinjer for behandling af personoplysninger, kan Kunden uden varsel, opsige samtlige gældende aftaler om databehandling der udføres for denne, såfremt misligholdelsen er væsentlig og ikke kan udbedres umiddelbart. Dette inkluderer, men er ikke begrænset til, Aftalen forudgående denne databehandleraftale og samtlige andre aftaler indgået med samme Leverandør og/eller Underleverandør der består i behandling af samme data.

12.2.

Overtrædelse af denne databehandleraftales tavshedspligtsbestemmelser, jf. pkt. 10 (Tavshedspligt), betragtes som væsentlig misligholdelse.

13. Forrang, lovvalg og værneting

13.1.

Medmindre andet direkte fremgår i en allonge tilknyttet denne databehandleraftale, har denne databehandleraftale forrang i tilfælde af uoverensstemmelse mellem denne databehandleraftale og alle andre aftaler indgået imellem Parterne og eventuelle bilag. Dette gælder for aftalerne indgået før databehandleraftalens underskrivelse samt fremtidige aftaler. Bemærk dog undtagelserne til dette i enkelte afsnit i denne databehandleraftale.

13.2.

Denne databehandleraftale dækker alle leveranceaftaler (inklusiv, men ikke begrænset til systemleverancer, driftsydelser og konsulentydelser) indgået imellem Parterne, både for de løbende, såvel som ikke-løbende leverancer ved underskriftens tidspunkt og eventuelt fremtidige leverancer.

13.3.

Såfremt der af tidligere aftaler fremgår specifikke revisionsmæssige betingelser og forpligtelser, som ikke angår Leverandørens samlede driftsmiljø, vil disse stadig være gældende.

13.4.

I fald Xxxxxx i et fremtidigt indkøb ved udbudssituationer, fastsætter andre bestemmelser end de i denne databehandleraftale definerede. Vil det være de i udbuddet eller indkøbssituationens fastsatte bestemmelser, der vil være gældende for den eller konkrete indkøbs underliggende kontrakter, såfremt der forekommer uoverensstemmelser.

13.5.

Denne databehandleraftale (inklusiv ethvert spørgsmål om Aftalens gyldighed) er underlagt lovgivningen i det land, hvor Xxxxxx har hjemting (med undtagelse af regler om lovvalg).

13.6.

Enhver tvist, som måtte opstå i forbindelse med denne databehandleraftale, skal indbringes for en domstol i det land, hvor Xxxxxx har hjemting.

14. Underskrifter

14.1.

For: [Indsæt: aftaleparten]

Dato:

Underskrift:

<I>

For Københavns Kommune:

Dato:

Underskrift:

Document Metadata

Table of Contents

Databehandleraftale

Document Metadata