Databehandleravtale. Kommunenes Sentralforbund - Databehandler

Transkript

1 U % 4)) Databehandleravtale mellom Kvinnherad kommune -Behandlingsansvarleg og Kommunenes Sentralforbund - Databehandler 1. Formålet med avtalen Formålet med denne avtalen er å regulere partenes rettigheter og plikter etter det til enhver tid gjeldende regelverk for personopplysninger. Ved avtaleinngåelsen er dette Lov av 14. april 2000 nr. 31 om behandling av personopplysninger (personopplysningsloven) og forskrift av 15. desember 2000 nr (personopplysningsforskn'ften) i forbindelse med at Databehandler behandler personopplysninger på vegne av Behandlingsansvarlig. 2. Definisjoner I denne avtalen gjelder de definisjoner som følger av personopplysningsloven Partenes plikter og rettigheter Databehandler skal behandle personopplysninger på vegne av Behandlingsansvarlig. Opplysningene skal utelukkende behandles for å ivareta de formål som er beskrevet i Vedlegg 1 til dette bilaget. Ved nye behandlinger utover hva som fremgår av Vedlegg 1 skal Oppdragsgiver og KS utarbeide et nytt vedlegg som inngår i Vedlegg 1. Behandlingen skal skje i tråd med de rutiner og instrukser som Behandlingsansvarli g til enhver tid bestemmer, jf Vedlegg 1 til dette bilaget. Databehandler plikter å gi Behandlingsansvarlig tilgang til sin sikkerhetsdokumentasjon, og for øvrig bistå den Behandlingsansvarlig, slik at Behandlingsansvarlig kan oppfylle de krav som fremkommer i personopplysningsloven med forskrifter og EUs personvemforordning (EU) 2016/679 (herunder implementering av denne i norsk rett), slik denne fremkommer til enhver tid. Databehandler plikter å gi Behandlingsansvarlig tilgang til og innsyn i de personopplysningene som behandles og de systemene som benyttes til dette formålet. Databehandler plikter å gi nødvendig bistand til dette. Databehandler har taushetsplikt om dokumentasjon og personopplysninger som vedkommende får tilgang til iht. denne avtalen. Denne bestemmelsen gjelder også etter avtalens opphør. Avtale om bruk av KS Læring av LS er lisensien under en Creative Commons Navnuivelse DelPaSammeVi"går «Lg lntcmas'onalal iigng.

2 i?) e o/ Dersom Databehandler opptrer i samsvar med Behandlingsansvarliges rutiner og instrukser har Databehandler ikke noe ansvar for eventuelle brudd på personopplysningsloven eller -forskriften. 4. Taushetsplikt Databehandler skal ikke levere ut eller gi tilgang til personopplysningene til andre enn egne ansatte, egne databehandlere eller til ansatte hos Behandlingsansvarlig, uten at dette er avtalt skriftlig med Behandlingsansvarlig. Uten slik avtale skal Databehandler videresende enhver forespørsel til Behandlingsansvarlig eller henvise til denne. Databehandler skal innhente taushetserklæring fra egne ansatte og andre som gis tilgang til opplysningene. 5. Ivaretakelse av de registrertes rettigheter Databehandler skal ikke gi innsyn til registrerte eller etterkomme de registrertes anmodning om retting eller sletting av personopplysninger, uten at det er avtalt skriftlig med Behandlingsansvarlig. Uten slik avtale skal Databehandler videresende henvendelsen eller henvise den registrerte til Behandlingsansvarlig. 6. Informasjonssikkerhet Databehandler skal ved hjelp av planlagte og systematiske organisatoriske og tekniske tiltak sikre tilfredsstillende infonnasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet i forbindelse med behandling av personopplysninger i henhold til personopplysningsloven 13 og kapittel 2 i personopplysningsforskriften, herunder gjennomføre tiltak for a: a) hindre tilfeldig eller ulovlig ødeleggelse eller tap av personopplysninger, uautorisert innsyn i eller utdeling av personopplysninger samt enhver annen bruk av personopplysninger som ikke er i samsvar med de instrukser som er gitt av Behandlingsansvarlig b) hindre uautorisert tilgang til fysiske lokasjoner og utstyr som brukes til behandling av personopplysninger på vegne av Behandlingsansvarlig c) sikre at tilgang til systemer og opplysninger kun gis til autoriserte medarbeidere ved behov d) hindre uautorisert tilgang til systemer og opplysninger e) registrere og loggføre eventuelle avvik, herunder loggføre og dokumentere eventu elle forsøk på autorisert tilgang eller andre brudd på sikkerhet. Slik dokumentasjon skal oppbevares i minst 3 måneder i) loggføre autorisert bruk av informasjonssystemet, og oppbevare loggen i minst 3 måneder g) hindre at Databehandlers medarbeidere eller systemer bevisst eller ubevisst medvirker til uønskede sikkerhetshendelser i Databehandlers egen virksomhet eller hos andre virksomheter eller privatpersoner Avtale om bruk av KS Læring av & er lisensiert under en Creative Commons Navngivelse DelPaSammeVilkar 4 (l lntenmsional Lisens.

3 h) sørge for at egne ansatt og andre som gis tilgang til opplysningene er klar over hvilke forpliktelser som til enhver tid påhviler Databehandler etter denne avtalen og personopplysningsloven Databehandler skal dokumentere de tiltak som er iverksatt for å oppfylle disse kravene. Dokumentasjonen skal være tilgjengelig på Behandlingsansvarli ges forespørsel. 7. Bruk av underleverandør Databehandler kan ikke helt eller delvis overlate behandlingen til en underleverandør, uten at dette på forhånd er avtalt skriftlig med Behandlingsansvarlig. Det er inngått tilsvarende databehandleravtale med de underleverandører som følger av Vedlegg Avvik Enhver bruk av inforrnasjonssystemet som er i strid med Databehandlers rutiner, Behandlingsansvarliges instrukser, eller personopplysningsloven eller -forskriften, samt ethvert sikkerhetsbrudd, skal behandles som et avvik. Databehandler skal ha på plass rutiner og systematiske tiltak for å avdekke og følge opp avvik, herunder tiltak for å gjenopprette normal tilstand, fjerne årsaken til avviket og hindre gjentakelse. Databehandler skal, uten ugrunnet opphold og senest innen to dager etter at avviket ble oppdaget, rapportere avviket skriftlig til Behandlingsansvarlig. Rapporten skal omfatte en beskrivelse av avviket, opplysninger om hvilke tiltak Databehandler har gjort for å gjenopprette normal tilstand, fjerne årsaken til avviket og hindre gjentakelse. Databehandler skal også gi Behandlingsansvarli g alle nødvendige opplysninger for å kunne gi avviksmelding til Datatilsynet, besvare eventuelle spørsmål fra tilsynsmyndigheten og etterleve eventuelle pålegg fra tilsynsmyndigheten, herunder om varsling av de registrerte. Avviksmelding etter personopplysningsforskriftens 2-6 skal skje ved at Databehandler melder avviket til Behandlingsansvarlig. Behandlingsansvarlig har ansvaret for at avviksmelding sendes Datatilsynet. 9. Sikkerhetsrevisjoner Behandlingsansvarlig skal avtale med Databehandler at det gjennomføres Sikkerhetsrevisjoner jevnlig for systemer og lignende som omfattes av denne avtalen. Revisjonen kan omfatte gjennomgang av rutiner, stikkprøvekontroller, mer omfattende stedlige kontroller og andre egnede kontrolltiltak. Avtale om bruk av KS Læring av ÅS- er lisensiert under en Creative Commons Navngivelsc-DclPaSamcilkår 4.0 Internasjonal Lisens.

4 10. Avtalens varighet Avtalen gjelder så lenge Databehandler behandler personopplysninger på vegne av Behandlingsansvarlig. Ved brudd på denne avtale eller personopplysningsloven kan Behandlingsansvarlig pålegge Databehandler å stoppe den videre behandlingen av opplysningene med øyeblikkelig virkning 11. Ved opphør Ved opphør av denne avtalen plikter Databehandler å overlate alle personopplysninger som omfattes av denne avtalen til Behandlingsansvarlig, eller den som den Behandlingsansvarlige utpeker. Databehandler skal deretter slette eller forsvarlig destruere alle dokumenter, data, disketter, cd-er mv, som inneholder opplysninger som omfattes av avtalen. Dette gjelder også for eventuelle sikkerhetskopier. Partene avtaler nærmere hvordan overføring eller sletting konkret skal skje. Databehandler skal skriftlig bekrefte at sletting og eller destruksjon er foretatt i henhold til avtalen innen rimelig tid etter avtalens opphør. 12. Meddelelser Meddelelser etter denne avtalen skal sendes skriftlig til de kontaktpersoner som er oppgitt i Vedlegg Lowalg og verneting Denne Avtalen reguleres av norsk rett. Tvister som springer ut av avtalen skal søkes løst ved forhandlinger. Fører slike forhandlinger ikke frem innen to måneder, kan hver av partene forlange tvisten avgjort med endelig virkning ved norske domstoler. Vemeting er Databehandlerens alminnelige verneting. Partene kan alternativt avtale at tvisten blir avgjort med endelig virkning ved voldgift i Norge i henhold til voldgiftslovens bestemmelser.

5 kt Denne avtalen er undertegnet i to eksemplarer hvor partene beholder ett eksemplar hver. For Databehandler *** Dato: Underskrift: navn med blokkbokstaver: For Oppdragsgiver: 1/ X Dato: \ il ( (. \ ' Underskrift: /' J' navn med blokkbokstaver: OI (W442 / V184 t; "A E i) n;. A.,. I,_. gj.. :L Eid "HL-M, L'C-bUl-Mfä mæ; '2 ; w., KE.: Efi Avtale om bruk av KS Læring av l-(å er lisensiert under en gimme Commons Nawwivclse-DclPaSamcilkar 4.0 lntemas'onal Lisens.