MICROLOG DATABEHANDLERAVTALE

MICROLOG DATABEHANDLERAVTALE

Mellom Microlog AS, org. nr.: 815 469 232, Parkveien 23, 1405 Langhus, Norge (databehandler) og selskap som følger av Avtalen (behandlingsansvarlig) hver omtalt som en «part» eller sammen som «partene». Partene har avtalt de føl- gende standard kontraktsbestemmelser (Kontraktsbestemmelsene) etter artikkel 28(3) i forordning 2016/679 (GDPR) (som basert på Opinion 14/2019 av Personvernrådet) for å oppfylle kravene i GDPR og for vern av den registrertes ret- tigheter.

Kontraktsbestemmelsene følger som vedlegg til Avtalen (avtale om bruksrett til programvare og kjøp av tjenes- ter/produkter evt. andre kjøp/vedlikeholdsavtaler for slike tjenester) mellom Databehandler og Behandlingsansvarlig slik dette er beskrevet i Avtalen og inngås ved inngåelse av Avtalen.

1. INNHOLD

Disse vilkårene samt følgende vedlegg Vedlegg A Information om behandlingen Vedlegg B Godkjente underdatabehandlere

Vedlegg C Instrukser for bruk av personopplysninger

Vedlegg D Ytterligere bestemmelser avtalt mellom partene

2. INNLEDNING

1. Disse standard kontraktsbestemmelser (Kon- traktsbestemmelsene) regulerer rettigheter og plikter for behandlingsansvarlig og databehandler, når det behandles personopplysninger på vegne av den be- handlingsansvarlige.

2. Kontraktsbestemmelsene er utformet for å sikre partenes overholdelse med artikkel 28(3) i Euro- paparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri ut- veksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell personvernforordning - GDPR).

3. I forbindelse med leveranse av tjenestene som følger av Avtalen, vil databehandleren behandle per- sonopplysninger på vegne av den behandlingsansvarli- ge i henhold til Kontraktsbestemmelsene.

4. Kontraktsbestemmelsene skal ha forrang over andre tilsvarende bestemmelser i andre avtaler mellom partene.

5. Fire vedlegg er inntatt i Kontraktsbestemmel- sene og anses som omfattet av Kontraktsbestemmel- sene.

6. Vedlegg A inneholder detaljer om behandling- en av personopplysninger, herunder behandlingens formål og art, typen personopplysninger, kategorier av registrerte og varigheten av behandlingen.

7. Vedlegg B inneholder den behandlingsansvar- liges vilkår for databehandlerens bruk av underdatabe- handlere og en liste over underdatabehandlere god- kjent av den behandlingsansvarlige.

8. Vedlegg C inneholder den behandlingsansvar- liges instrukser for behandlingen av personopplysning- er, minimum sikkerhetstiltak som skal implementeres av databehandleren og hvordan revisjoner av databe- handleren og eventuelle underdatabehandlere skal gjennomføres.

9. Vedlegg D inneholder regulering av andre ak- tiviteter som ikke er dekket av Kontraktsbestemmelse- ne.

10. Kontraktsbestemmelsene sammen med ved- leggene skal mottas skriftlig, inkludert elektronisk, av begge parter.

11. Kontraktsbestemmelsene skal ikke frita data- behandleren fra plikter som databehandleren skal følge etter personvernforordningen (GDPR) eller annen lov- givning.

3. BEHANDLINGSANSVARLIGES RETTIGHETER OG PLIKTER

1. Den behandlingsansvarlige er ansvarlig for å sikre at behandlingen av personopplysninger utføres i samsvar med GDPR (se artikkel 24 i GDPR), personvern- reglene i gjeldende EU eller Medlemsstats personvern- regler og Kontraktsbestemmelsene.

2. Den behandlingsansvarlige har rett og plikt til å fatte beslutninger om formålene med og midlene for behandlingen av personopplysninger.

3. Den behandlingsansvarlige skal være ansvar- lig, for blant annet, å sikre at behandlingen av person- opplysninger, som databehandleren er instruert om å utføre, har et rettslig grunnlag.

4. DATABEHANDLEREN SKAL HANDLE ETTER INSTRUKSER

1. Databehandleren skal behandle personopp- lysninger bare på dokumenterte instrukser fra den behandlingsansvarlige, med mindre det kreves i hen- hold til unionsretten eller Medlemsstatenes nasjonale rett som databehandleren er underlagt. Slike instrukser skal være spesifisert vedlegg A og C. Senere instrukser kan også gis av den behandlingsansvarlige iløpet av behandlingen av personopplysninger, men slike in- strukser skal alltid være dokumenterte og oppbevares i

skriftlig form, herunder elektronisk, i overensstemmel- se med Kontraktsbestemmelsene.

2. Databehandleren skal omgående underrette den behandlingsansvarlige dersom vedkommende mener at en instruks gitt av den behandlingsansvarlige er i strid med GDPR eller andre bestemmelser om vern av personopplysninger i unionsretten eller Medlems- statenes nasjonale rett.

5. KONFIDENSIALITET

1. Databehandleren skal kun gi tilgang til per- sonopplysninger som behandles på vegne av den be- handlingsansvarlige til personer som er under databe- handlerens myndighet og som er forpliktet til konfi- densialitet eller er underlagt egnet lovfestet taushets- plikt og kun som har nødvendig behov for tilgang. Lis- ten over personer som har tilgang til personopplys- ningene skal regelmessig gjennomgås. Som følge av gjennomgang skal tilgang til personopplysningene bli trukket tilbake dersom slik tilgang ikke lenger er nød- vendig til for personene.

2. Databehandleren skal på anmodning fra den behandlingsansvarlige påvise at de involverte persone- ne under databehandlerens myndighet er omfattet av ovennevnte konfidensialitetsplikt.

6. SIKKERHET VED BEHANDLINGEN

1. Artikkel 32 i GDPR angir at, idet det tas hensyn til den tekniske utviklingen, gjennomføringskostnadene og behandlingens art, omfang, formål av behandlingen og sammenhengen den utføres i, samt risikoene av varierende sannsynlighets- og alvorlighetsgrad for fysiske personers rettigheter og friheter, skal den be- handlingsansvarlige og databehandleren gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen.

Den behandlingsansvarlige skal vurdere risikoen til rettigheter og friheter for fysiske personer som omfat- tes av behandling og implementere tiltak for å reduse- re risikoen. Avhengig av relevans, kan slike tiltak omfat- te følgende:

a. Pseudonymisering og kryptering av person- opplysninger,

b. evne til å sikre vedvarende konfidensialitet, in- tegritet, tilgjengelighet og robusthet i behand- lingssystemene og -tjenestene,

c. evne til å gjenopprette tilgjengeligheten og til- gangen til personopplysninger i rett tid der- som det oppstår en fysisk eller teknisk hendel- se,

d. en prosess for regelmessig testing, analysering og vurdering av hvor effektive behandlingens tekniske og organisatoriske sikkerhetstiltak er.

2. I henhold til artikkel 32 i GDPR, skal databe- handleren også – uavhengig fra den behandlingsan- svarlige – vurdere risikoen til rettigheter og friheter for fysiske personer som omfattes av behandlingen og implementere tiltak for å redusere risikoen. For dette formal skal den behandlingsansvarlige tilveiebringe databehandleren med all informasjon som er nødven- dig for å identifisere og vurdere slik risiko.

3. Videre skal databehandleren bistå den be- handlingsansvarlige i å sikre overholdelse av den be- handlingsansvarliges plikter etter artikkel 32 i GDPR, ved å bl.a. å sørge for at den behandlingsansvarlige får informasjon om tekniske og organisatoriske tiltak som er implementert av databehandleren i henhold til ar- tikkel 32 i GDPR sammen med all annen informasjon som er nødvendig for den behandlingsansvarlige til å overholde dennes plikter under artikkel 32 i GDPR.

Dersom det i ettertid – ved vurderingen foretatt av den behandlingsansvarlige – viser seg at reduksjon av den identifiserte risiko krever implementering av ytterligere tiltak av databehandleren enn de tiltak som allerede er implementert av databehandleren etter artikkel 32 i GDPR, den behandlingsansvarlige skal spesifisere disse ytterligere tiltak som skal implementeres i Vedlegg C.

7. BRUK AV UNDERDATABEHANDLERE

1. Databehandleren skal overholde kravene inn- tatt i artikkel 28(2) og (4) i GDPR for å engasjere en annen databehandler (en underdatabehandler).

2. Databehandleren skal derfor ikke engasjere annen databehandler (underdatabehandler) for oppfyl- lelse av Kontraktsbestemmelsene uten at det på for- hånd er innhentet generell skriftlig tillatelse fra den behandlingsansvarlige.

3. Databehandleren er gitt generell tillatelse fra den behandlingsansvarlige for å engasjere underdata- behandlere. Databehandleren skal skriftlig underrette den behandlingsansvarlige om eventuelle planer om å benytte andre underdatabehandlere eller skifte ut underdatabehandlere minst fire uker på forhånd, og dermed gi den behandlingsansvarlige muligheten til å motsette seg slike endringer før underdatabehand- ler(e) engasjeres. Ytterligere tid for underrettelse for spesifikk underdatabehandling kan inntas i Vedlegg B. Liste over underdatabehandlere som allerede er god- kjent av den behandlingsansvarlige kan inntas i Vedlegg B.

4. Dersom databehandleren engasjerer en un- derdatabehandler for å utføre spesifikke behandlings- aktiviteter på vegne av den behandlingsansvarlige, skal de samme forpliktelsene som er fastsatt i Kontraktsbe- stemmelsene bli pålagt underdatabehandleren ved avtale eller et annet rettslig dokument i henhold til unionsretten eller Medlemsstatenes nasjonale rett, der

det særlig gis tilstrekkelige garantier for at det vil bli gjennomført tekniske og organisatoriske tiltak som sikrer at behandlingen oppfyller kravene i Kontraktsbe- stemmelsene og GDPR.

Databehandleren skal derfor være ansvarlig for at un- derdatabehandleren minimum overholder de forplik- telser som databehandleren er pålagt etter Kontrakts- bestemmelsene og GDPR.

5. En kopi av slik underdatabehandleravtale og etterfølgende endringer skal – på den behandlingsan- svarliges forespørsel – oversendes den behandlingsan- svarlige, og dermed gi den behandlingsansvarlige mu- ligheten til å sikre at de samme plikter for behandling av person-opplysninger pålegges underdatabehandle- ren. Bestemmelser for kommersielle forhold som ikke har betydning for behandling av personopplysninger under underdatabehandleravtalen, er ikke omfattet plikten til oversendelse til den behandlingsansvarlige.

6. Databehandleren skal avtale med underdata- behandleren at – i tilfelle konkurs hos databehandleren

– den behandlingsansvarlige skal ha rettigheter som tredjepart under under-databehandleravtalen og skal kunne håndheve rettigheter overfor underdatabehand- leren som engasjert av databehandleren, som f.eks. å gi den behandlingsansvarlige rett til å instruere under- databehandleren til å slette eller tilbakelevere person- opplysningene.

7. Dersom underdatabehandleren ikke oppfyller sine forpliktelser for databehandling, skal databehand- leren overfor den behandlingsansvarlige ha fullt ansvar for at underdatabehandler oppfyller sine forpliktelser. Dette har ikke betydning for de rettigheter den regist- rerte har under GDPR – spesielt de rettigheter som er forutsatt i artikkel 79 og 82 i GDPR – overfor den be- handlingsansvarlige and databehandleren, inkludert underdatabehandleren.

8. OVERFØRING AV PERSONOPPLYSNINGER TIL TREDJESTATER ELLER INTERNASJONALE OR- GANISASJONER

1. Enhver overføring av personopplysninger til tredjestat eller internasjonale organisasjoner av data- behandleren skal kun finne sted på grunnlag av doku- menterte instrukser fra den behandlingsansvarlige og skal kun skje i overensstemmelse med kapittel V i GDPR.

2. Dersom overføring til tredjestat eller interna- sjonale organisasjoner, som databehandleren ikke er blitt instruert til å foreta av den behandlingsansvarlige, som er påkrevet etter unionsretten eller Medlemssta- tenes nasjonale rett som databehandleren er under- lagt, skal databehandleren underrette den behand- lingsansvarlige om nevnte rettslige krav før behand-

lingen, med mindre de rettslige kravene av hensyn til viktige allmenne interesser forbyr en slik underretning.

3. Uten dokumenterte instrukser fra den be- handlingsansvarlige, kan databehandleren derfor ikke innenfor disse Kontraktsbestemmelser:

a. Overføre personopplysninger til en behand- lingsansvarlig eller databehandler i en tredje- stat eller en internasjonal organisasjon

b. overføre behandlingen av personopplysninger til en underdatabehandler i en tredjestat

c. la personopplysningene behandles av en da- tabehandler i en tredjestat

4. Den behandlingsansvarliges instrukser vedrø- rende overføring av personopplysninger til en tredje- stat inkludert, hvis relevant, overføringsgrunnlagene etter kapittel V i GDPR som de er basert på, skal inntas i Vedlegg C.6.

5. Kontraktsbestemmelsene skal ikke forstås som standard personvernbestemmelser etter artikkel 46(2)(c) og (d) i GDPR, og Kontraktsbestemmelsene kan benyttes som grunnlag som overføringsgrunnlag etter kapittel V i GDPR.

9. BISTAND TIL DEN BEHANDLINGSANSVARLIGE

1. Hensyntatt arten av behandling, databehand- leren skal bistå den behandlingsansvarlige ved hjelp av egnede tekniske og organisatoriske tiltak, i den grad det er mulig, med å oppfylle den behandlingsansvarli- ges plikt til å svare på anmodninger som den registrer- te inngir med henblikk på å utøve sine rettigheter fast- satt i kapittel III i GDPR.

Dette omfatter at databehandleren skal, i den grad det er mulig, bistå den behandlingsansvarlige i den be- handlingsansvarliges overholdelse av:

a. Retten til å bli informert ved innsamling av personopplysninger fra den registrerte

b. retten til å bli informert dersom personopp- lysninger ikke har blitt samlet inn fra den re- gistrerte

c. retten til innsyn av den registrerte

d. retten til retting

e. retten til sletting («retten til å bli glemt»)

f. retten til begrensning av behandling

g. underretningsplikt i forbindelse med retting eller sletting av personopplysninger eller be- grensning av behandling

h. retten til dataportabilitet

i. retten til å protestere mot å omfattes av au- tomatiserte individuelle avgjørelser, inkludert

profilering

2. I tillegg til databehandlerens plikt til å bistå den behandlingsansvarlige i henhold til punkt 6.3., databehandleren skal videre, hensyntatt arten av be- handlingen and informasjon som er tilgjengelig for databehandleren, bistå den behandlingsansvarlige med overholdelse av:

a. Den behandlingsansvarliges plikt uten ugrun- net opphold og når det er mulig, senest 72 ti- mer etter å ha fått kjennskap til det, melde brudd på personopplysnings-sikkerheten til vedkommende tilsynsmyndighet, Datatilsynet, med mindre bruddet sannsynligvis ikke vil medføre en risiko for fysiske personers rettig- heter og friheter,

b. den behandlingsansvarliges plikt til å under- rette om brudd på personopplysnings- sikkerheten til den registrerte, om det er sannsynlig at bruddet på personopplysnings- sikkerheten vil medføre en høy risiko for fysis- ke personers rettigheter og friheter,

c. den behandlingsansvarliges plikt til å foreta en vurdering av hvilke konsekvenser den planlag- te behandlingen vil ha for personopplysnings- vernet (en vurdering av personvernkonse- kvenser),

d. den behandlingsansvarliges plikt til å rådføre seg med vedkommende tilsyns-myndighet, Datatilsynet, før behandling hvor en vurdering av personvern-konsekvensene som tilsier at behandlingen vil medføre en høy risiko der- som den behandlingsansvarlige ikke treffer til- tak for å redusere risikoen.

3. Partene skal angi i Vedlegg C egnede tekniske og organisatoriske tiltak som databehandleren skal bistå den behandlingsansvarlige med i tillegg til omfang og om bistand er påkrevet. Dette gjelder de plikter som er forutsatt i punkt 9.1. og 9.2.

10. MELDING OM BRUDD PÅ PERSONOPPLYS- NINGSSIKKERHETEN

1. I tilfelle brudd på personopplysningssikkerhe- ten, skal databehandleren uten ugrunnet opphold etter å ha fått kjennskap til det, underrette den behand- lingsansvarlige om bruddet på personopplysningssik- kerheten.

2. Databehandlerens underretning til den be- handlingsansvarlige skal, om mulig, skje innen 24 timer etter databehandleren har fått kjennskap til bruddet på personopplysnings-sikkerheten for å overholde den behandlingsansvarliges plikt til å melde bruddet på personopplysningssikkerheten til relevant tilsynsmyn- dighet, jf. artikkel 33 i GDPR.

3. I henhold til punkt 9(2)(a), databehandleren skal bistå den behandlingsansvarlige i å melde bruddet på personopplysningssikkerheten til vedkommende tilsynsmyndighet, hvilket omfatter at databehandleren skal bistå i å innhente informasjonen nedenfor som, i henhold til artikkel 33(3) i GDPR, skal inntas i den be- handlingsansvarliges melding til vedkommende til- synsmyndighet:

a. Arten av personopplysninger, herunder når det er mulig, kategoriene av og om- trentlig antall registrerte som er berørt, og kategoriene av og omtrentlig antall re- gistreringer av personopplysninger som er berørt,

b. de sannsynlige konsekvensene av bruddet på personopplysningssikkerheten,

c. de tiltak som er truffet eller foreslått å bli tatt av den behandlingsansvarlige for å håndtere bruddet på personopplysnings- sikkerheten, herunder, dersom det er re- levant, tiltak for å redusere eventuelle skadevirkninger.

4. Partene skal angi i Vedlegg D det databehand- leren skal tilveiebringe når denne bistår den behand- lingsansvarlige i meldingen av bruddet på personopp- lysningssikkerheten til tilsynsmyndigheten.

11. SLETTING OG RETUR AV DATA

1. Ved opphør av bestemmelsene om tjenestene knyttet til behandling av personopplysninger, er data- behandleren forpliktet til å slette alle personopplys- ninger som er behandlet på vegne av den behandlings- ansvarlige og bekrefte overfor den behandlings- ansvarlige at dette er gjort eller tilbakeleverer alle personopplysningene til den behandlingsansvarlige og sletter eksisterende kopier, med mindre unionsretten eller Medlemsstatenes nasjonale rett krever at person- opplysningene lagres.

2. Databehandleren påtar seg å kun behandle personopplysninger for det formål og for den varighet som pålegges etter nevnte bestemmelser og kun under de betingelser som bestemmelsene setter.

12. REVISJON OG INSPEKSJONER

1. Databehandleren gjøre tilgjengelig for den behandlingsansvarlige all informasjon som er nødven- dig for å påvise overholdelse av pliktene som følger av artikkel 28 og Kontraktsbestemmelsene, og tillate og bidra til revisjoner, inkludert inspeksjoner, utført av den behandlingsansvarlige eller annen revisor bemyn- diget av den behandlingsansvarlige.

2. Fremgangsmåter for den behandlingsansvarli- ges revisjoner, inkludert inspeksjoner, av databehand-

leren og underdatabehandlere er regulert nærmere i Vedlegg C.7 and C.8.

3. Databehandleren skal være pålagt å gi til- synsmyndigheter, som etter relevant lovgivning skal ha tilgang til den behandlingsansvarliges og databehand- lers lokaler, eller representanter som handler på vegne av slike tilsynsmyndigheter, tilgang til databehandle- rens fysiske lokaler ved fremleggelse av egnet identifi- kasjon.

13. YTTERLIGERE BESTEMMELSER

Partene kan avtale ytterligere bestemmelser vedrøren- de behandling av personopplysninger som spesifiserer f.eks. ansvar, så lenge disse ikke er i direkte eller indi- rekte motstrid med Kontraktsbestemmelsene eller forringer de grunnleggende rettigheter og friheter for registrerte og den beskyttelse som GDPR gir.

14. START OG OPPHØR

1. Kontraktsbestemmelsene skal gjelde de er signert av begge parter.

2. Begge parter skal ha rett til å kreve at Kon- traktsbestemmelsene reforhandles dersom det skjer endringer i rettslige forhold eller uventede forhold gir grunn til slik reforhandling.

3. Kontraktsbestemmelsene skal gjelde for så lenge det leveres tjenester knyttet til behandling av personopplysninger fra databehandleren. Så lenge det leveres tjenester for behandling av personopplysninger kan ikke Kontraktsbestemmelsene sies opp dersom ikke andre bestemmelser om behandling av person- opplysninger er avtalt mellom partene.

4. Dersom bestemmelser om behandling av per- sonopplysninger sies opp, og person-opplysningene slettes eller tilbakeleveres til den behandlingsansvarli- ge etter punkt 11.1. og Vedlegg C.4, Kontraktsbestem- melsene kan sies opp med skriftlig varsel fra en av partene til den andre part.

15. SIGNATUR

Kontraktsbestemmelsene inngås som del av Avtalen, og signeres i Avtalen.

16. DEN BEHANDLINGSANSVARLIGES OG DATA- BEHANDLERS KONTAKTOPPLYSNINGER

1. Partene kan kontakte hverandre ved følgende kontakter/kontaktpunkter:

Partenes kontaktpunkter følger av Avtalen.

2. Partene skal være forpliktet til å fortløpende informere hverandre om endringer i kontak- ter/kontaktpunkter.

VEDLEGG A INFORMATION OM BEHANDLINGEN

A.1 Formålet med databehandlerens behandling av personopplysninger på vegne av den behandlings- ansvarlig:

Gjennomføre Avtalen, ved at den Behandlingsansvarli- ge eller dennes representanter kan benytte systemet (programsuite), som eies og forvaltes av Databehand- ler, og eventuelle tilhørende integrerte systemer – for å kunne føre helse- og legejournaler i.h.h.t. norsk lov. (Det vises her spesielt til oppbevaringsplikt for denne type data / Lagring av data).

Navn på tjeneste	Formålet med behandlingen	Varigheten av behandlingen
INFODOC Plenario (installert hos kunde eller tredje- part etter kundens valg)	Yte konsulenthjelp, eller bistå med support i form av fjern- oppkobling/skjermdeling mot den Behandlingsansvarlige på den Behandlingsansvarlige sin forespørsel.	Til formålet er oppnådd
Infodoc i SKY Webmed	Drift og lagring for at kunden skal kunne føre pasientjourna- ler og nødvendige administra- tive funksjoner knyttet til pasientbehandling.	Så lenge partene har et kontrakts- forhold
INFODOC Plenario (i SKY) Webmed	Drift og lagring i INFODOC Plenario for at kunden skal kunne føre pasientjournaler og nødvendige administrative funksjoner knyttet til pasient- behandling.	Så lenge partene har et kontrakts- forhold

A.2. Databehandlerens behandling av personopplys- ninger på vegne av den behandlingsansvarlige skal i hovedsak relatere seg til (behandlingens gjenstand):

Databehandleravtalen gjelder alltid, herunder, men ikke begrenset til; både for innsamling, registrering, organisering, strukturering, tilpasning eller endring, gjenfinning/backup, sammenstilling, sletting eller tilin- tetgjøring og utlevering/overføring, som følge av at Databehandleren har ansvar for lagring og drift av systemet.

A.3. Behandlingen omfatter de følgende typer person- opplysninger om de registrerte:

A.4. Behandlingen omfatter følgende kategorier regist- rerte:

Personopplysninger som blir behandlet vil i hovedsak være opplysninger som skal dokumenteres i henhold til pasient- og helseregisterloven. Dette kan eksempelvis inkludere følgende helse- og personopplysninger:

Generelle personopplysninger:

• Navn

• Fødselsnummer

• Bosted

• Pårørende informasjon

• Familiesituasjon

• Timeavtaler

• Frikortstatus og betalingsinformasjon Helseopplysninger:

• Opplysninger fra konsultasjon med pasient

• Legemiddelliste

• Diagnoseopplysninger

• Funn og tiltak

• Opplysninger fra helseregistre

• Prøvesvar

• Resepter

• Øvrige opplysninger fra konsultasjon med pasient

A.5. Databehandlerens behandling av personopplys- ninger på vegne av behandlingsansvarlig kan utføres når Kontraktsbestemmelsene får virkning. Behandling- en har følgende varighet:

Behandlingen vil skje så lenge Avtalen gjelder.

VEDLEGG B GODKJENTE UNDERDATABEHANDLERE

B.1. Godkjente underdatabehandlere

Ved inngåelse av Kontraktsbestemmelsene, den be- handlingsansvarlige gir tillatelse til engasjement av følgende underdatabehandlere:

Navn	Dagens Xxx.xx.	Stedlig plassering	Type behandling
Microsoft Azure	957 485 030	Nederland	Drift / Lagring
Microsoft Azure	957 485 030	Irland	Backup

Den behandlingsansvarlige skal ved inngåelse av Kon- traktsbestemmelsene gi tillatelse til bruk av de oven- nevnte underdatabehandlere for behandlingen beskre- vet for denne. Databehandleren skal ikke ha rett til – uten den behandlingsansvarliges eksplisitte skriftlige tillatelse – å engasjere en underdatabehandler for

«annen» behandling enn den som er blitt avtalt eller benytte en annen underdatabehandler til å foreta den beskrevne behandlingen.

VEDLEGG C INSTRUKSER FOR BRUK AV PERSONOPP- LYSNINGER

C.1. Omfanget av/instrukser for behandlingen

Databehandlerens behandling av personopplysninger på vegne av behandlingsansvarlig skal bli utført av databehandleren på følgende måte:

Ingen utover det som følger av Kontraktsbestemmel- sene.

C.2. Sikkerhet ved behandlingen Sikkerhetsnivået skal ta hensyn til:

At behandlingen omfatter et stort omfang av person- opplysninger som omfattes av artikkel 9 i GDPR om ‘særlige kategorier personopplysninger’ som er årsaken til et ‘høyere’ nivå av sikkerhet bør etableres.

Databehandleren skal heretter ha rett til å ta beslut- ninger om tekniske og organisatoriske sikkerhetstiltak som skal iverksettes for å sørge for det nødvendige (og avtalte) sikkerhetsnivå.

Ovennevnte omfatter:

Norm for informasjonssikkerhet i helse- og omsorgs- sektoren: Databehandler skal følge relevante krav i Norm for informasjonssikkerhet (se faktaark 6b, og hvilke krav som er angitt for Databehandler)

Sikring av data: Databehandler skal ha mekanismer for data under transport, prosessering og lagring for å ivareta integritet og konfidensialitet.

Systemadgang: Alle systemer og tjenester hos Databe- handleren er sikret med tilgangskontroller som tilfreds- stiller gjeldende regelverk og egne risikovurderinger. Herunder bl.a. men ikke begrenset til bruker- navn/passord, multifaktor autentisering. Alle data som Databehandleren oppbevarer eller håndterer på vegne av Behandlingsansvarlige sikres for å hindre uautorisert tilgang. Systemene og tjenestene har løsninger for tilgangskontroll slik at Behandlingsansvarlig selv be- grense egne brukeres tilganger.

Fysisk sikkerhet: Ved bruk av underleverandører vil Databehandleren gjennom avtaler sikre at kravet til fysisk sikring er tilfredsstillende.

Systemmessig sikkerhet: Databehandleren benytter bare anerkjente underleverandører for våre løsninger. Systemer og tjenester sikres ved regelmessig testing, vurdering og evaluering, der formålet er å sikre konfi- densialitet, integritet og tilgjengelighet for leverte systemer og tjenester. Alle data i løsningene er logisk separert på klientnivå for å sikre mot uautorisert til- gang. Alle tjenester og systemer vi drifter overvåkes kontinuerlig, og hendelser håndteres løpende av drifts- personell i henhold til egne prosedyrer og rutiner. Alle data som lagres i våre skyløsninger blir regelmessig sikkerhetskopiert. I tillegg vil egne sikkerhetskopier regelmessig kopieres til en annen sekundær lokasjon.

Systemene og tjenestene har støtte for tilgangsstyring slik at den Behandlingsansvarlige selv kan, og har an- svar for, å administrere hva den enkelte bruker har tilgang til.

For å lese mer om Microsoft sin egen beskrivelse av sikkerhet i datasenteret, se: xxxxx://xxx.xxxxxxxxx.xxx/xx-

us/trustcenter/privacy/you-own-your-data.

C.3. Bistand til den behandlingsansvarlige

Databehandleren skal såfremt det er mulig – innenfor omfanget og i den grad bistanden er spesifisert neden- for – bistå den behandlingsansvarlige i henhold til punkt 9.1 and 9.2 ved å implementere de følgende tekniske og organisatoriske tiltak:

Ingen er avtalt uten det som følger av Kontraktsbe- stemmelsene.

C.4. Fremgangsmåte for lagringstid/sletting

Behandlingen er ikke tidsbegrenset og varer til Avtalen sies opp eller avbrytes av en av partene.

I de tilfeller hvor det er Databehandleren som oppbe- varer/lagrer personopplysninger og det ikke er til- gjengeliggjort verktøy for den Behandlingsansvarlige til å selv slette personopplysninger, blir personopplys- ningene oppbevart av Databehandleren inntil den Behandlingsansvarlige anmoder om å få opplysningene slettet og/eller tilbakelevert.

I de tilfeller hvor det er Databehandleren som oppbe- varer/lagrer personopplysninger og det er tilgjengelig- gjort verktøy for den Behandlingsansvarlige til selv å hente eller slette personopplysninger, blir personopp- lysningene oppbevart av Databehandleren inntil den Behandlingsansvarlige selv har hentet og/eller slettet disse.

I de tilfeller hvor Databehandleren ikke oppbeva- rer/lagrer personopplysninger er den Behandlingsan- svarlige selv ansvarlig for oppbevaring og sletting av slike opplysninger.

I de tilfeller hvor Databehandleren oppbevarer midler- tidige kopier, f.eks. i form av backup tilsendt for hjelp/support skal disse slettes så snart som mulig etter at behovet for slike data er borte, og senest innen 10 dager, og uansett på anmodning fra den Behandlings- ansvarlige.

Databehandler vil foreta sletting i tråd med det oven- forstående med mindre ufravikelige rettsregler krever at personopplysningene fortsatt lagres.

C.5. Behandlingssted

Behandling av personopplysninger etter Kontraktsbe- stemmelsene skal ikke utføres på andre lokasjoner enn de følgende uten at det foreligger skriftlig forhånds- samtykke fra den behandlingsansvarlige:

Behandling av de i Databehandleravtalen omfattede personopplysninger kan ikke uten den Behandlingsan- svarliges aksept skje på andre enn følgende steder:

• Norge

• Xxxxx Xxxxxxxxxx - Av andre underleverandører, som angitt i punkt B.1.

C.6. Instrukser for overføring av personopplysninger tredjestat

Databehandleren kan overføre de personopplysninge- ne Databehandleren behandler på vegne av den Be- handlingsansvarlige til de land der Databehandleren og underleverandørene driver sin virksomhet og lagre dem her.

Den Behandlingsansvarlige er kjent med dette og god- tar denne overføringen så lenge den er nødvendig for å gjennomføre de avtalte leveransene.

Den Behandlingsansvarlige godtar at Personopplys- ningene kan behandles utenfor Norge. Databehandler skal likevel ikke overføre personopplysninger til land utenfor EU/EØS-området uten et samtykke fra den Behandlingsansvarlige.

Dersom den Behandlingsansvarlige godtar en slik over- føring, skal Databehandleren sørge for at overføring skjer basert på godkjente overføringsgrunnlag, jfr. GDPR artikkel 44-46.

Databehandleren gis med dette rett til å inngå EUs standard kontraktsbestemmelser for overføring til tredjestater på vegne av Behandlingsansvarlig.

Dersom den behandlingsansvarlige verken i Kontrakts- bestemmelsene eller i det etterfølgende gir dokumen- terte instrukser vedrørende overføring av personopp- lysninger til en tredjestat, skal databehandleren ikke ha rett til å overføre personopplysninger til tredjestat innenfor rammene av Kontraktsbestemmelsene.

C.7. Fremgangsmåte for den behandlingsansvarliges revisjoner, inkludert inspeksjoner, av behandlingen av personopplysninger som utføres av databehandleren

Den behandlingsansvarlig kan gjennomføre inspeksjo- ner som beskrevet i Kontraktsbestemmelsene. Den behandlingsansvarliges kostnader, hvis aktuelt, knyttet til fysisk inspeksjon skal dekkes av den behandlingsan- svarlige. Databehandleren skal imidlertid, være forplik- tet til å bistå med ressurser (hovedsakelig tid) påkrevet for den behandlingsansvarlige til å gjennomføre in- speksjonen.

VEDLEGG D YTTERLIGERE BESTEMMELSER AVTALT MELLOM PARTENE

D.1 Databehandleravtalen omfatter også behandling etter:

- Lov om helseregistre og behandling av helseregist- re Lov av 20. juni 2014 nr. 43 (helseregisterloven)

- Lov om behandling av helseopplysninger ved ytel- se av helsehjelp av 20.juni 2014 nr. 42 (pasient- journalloven) og

- Enhver lov, forskrift eller annet regelverk som erstatter disse.

D.2 Vederlag for bistand til den Behandlingsansvarlige, eller dennes representanter

Generelt så vil Databehandler kunne fakturere timepris for medgått tid til bistand som beskrevet i denne avta- les punkt: «Bistand til den Behandlingsansvarlige», samt eventuell annen bistand relatert til personlovgiv- ningen, med den til enhver tid gjeldende timepris for konsulentbistand.

D.3 Vederlag for verktøy/funksjonalitet

Databehandler tilbyr i dag og vil kunne tilby spesielle verktøy eller funksjonalitet for at den Behandlingsan- svarlige selv på en enkel måte settes i stand til å utføre operasjoner som kreves eller ønskes, etter den til en- hver tid gjeldende helse- og personvernlovgivning. Databehandler vil kunne kreve vederlag for å gi tilgang til slikt verktøy/funksjonalitet, for å dekke inn eventuel- le kostnader med utvikling og vedlikehold av dette.

D.4 Bruk av personopplysninger til egne formål

Databehandler får tilgang til brukernes programmessi- ge bruksmønster via brukernes bruk av programme- ne/tjenestene. Databehandler benytter og Behand- lingsansvarlig samtykker til at Databehandler kan be- nytte slike personopplysninger til å forbedre og utvikle kvaliteten, funksjonalitet og brukeropplevelsen av Databehandler sine produkter og tjenester. Databe- handler bruker disse personopplysningene, dvs. bru- kernes programmessige bruksmønster til egne formål og er da Behandlingsansvarlig for denne bruken. Det presiseres at dette gjelder kun brukernes programmes- sige bruksmønster og ikke pasienters helse- eller per- sonopplysninger. Databehandler vil derfor være ho- vedansvarlig for denne bruken og Kunden vil ikke ha ansvar for at personvernreglene blir fulgt ved denne behandlingen. Dette innebærer blant annet at Databe- handler bl.a. er selv ansvarlig for at det foreligger et behandlingsgrunnlag for denne behandlingen og for at de aktuelle registrerte blir informert om behandlingen.