Databehandleravtale I henhold til personopplysningslovens 13, jf. 15 og personopplysningsforskriftens kapittel 2. mellom Kompetanse Norge Behandlingsansvarlig og xx Databehandler 1
1. Avtalens hensikt Avtalens hensikt er å regulere rettigheter og plikter etter Lov av 14. april 2000 nr. 31 om behandling av personopplysninger (personopplysningsloven) og forskrift av 15. desember 2000 nr. 1265 (personopplysningsforskriften). Avtalen skal sikre at personopplysninger om de registrerte ikke brukes urettmessig eller kommer uberettigede i hende. Avtalen regulerer databehandlers bruk av personopplysninger på vegne av den behandlingsansvarlige, herunder innsamling, registrering, sammenstilling, lagring, utlevering eller kombinasjoner av disse. 2. Formål 2.1. Personopplysninger som behandles Etter denne avtalen vil databehandler ved hjelp av en kontinuerlig brukerundersøkelse ved karrieresentrene få tilgang til respondenters besvarelse av følgende spørsmål knyttet til enkelte karriereveiledere: Hvilken veileder var du hos? navn på veileder Hvor enig eller uenig er du i følgende påstander om veilederen? o veileder var hyggelig og imøtekommende o veileder klarte å sette seg inn i min situasjon o veileder fremsto som profesjonell o veileder hadde god kunnskap om arbeidsmarkedet i mitt lokalområde o veileder hadde god kunnskap om utdanningsmuligheter o veileder bidro med nye perspektiver (Svaralternativer: Helt uenig, Delvis uenig, Delvis enig, Helt enig, Vet ikke/ikke aktuelt) De spørsmål som stilles vil kunne endres eller utfylles uten at det må innhentes nytt samtykke, såfremt spørsmålene omhandler tilsvarende vurderingstemaer. 2.2. Hvilke behandlinger omfattes av avtalen Avtalen gjelder innhenting og sammenstilling av personopplysninger i forbindelse med brukerundersøkelsen ved karrieresentrene, samt opprettelse og bruk av veilederrapporter fra brukerundersøkelsen ved karrieresentrene. Undersøkelsen er nettbasert, og hvert år i desember sender Kompetanse Norge lenka til kommende års undersøkelse til karrieresentrene. Undersøkelsen gjennomføres ved at hvert karrieresenter distribuerer undersøkelsen til dem som har vært til karriereveiledning ved det aktuelle senteret. Navnet på karriereveilederen vil kun være tilgjengelig i brukerundersøkelsen når det enkelte karrieresenteret ønsker rapporter på veiledernivå, og når karriereveileder har samtykket til at navnet kan inntas i brukerundersøkelsen. Se også Vedlegg 1 Mal for samtykkeerklæring. Karrieresentre som har underskrevet denne avtalen, får gjennom Kompetanse Norge tilgang til rapporter for hver av karriereveilederne ved eget senter som har samtykket til dette. Noen av rapportene er nettbaserte og blir løpende oppdatert, andre sendes ut med jevne mellomrom i PowerPoint-format. Rapporter på nasjonalt nivå, for eget fylke, og for eget karrieresenter (uten navn på karriereveiledere) innebærer ikke behandling av personopplysninger og håndteres derfor uavhengig av denne databehandleravtalen. 2
2.3. Rammer for databehandlers håndtering Det enkelte karrieresenteret får i kraft av samtykke innhentet fra den enkelte karriereveileder, samt i medhold av denne avtale, tilsendt rapporter på veiledernivå. Innholdet i disse rapportene kan kun brukes av karriersenterets leder som grunnlag for samtale med sine veiledere, og skal i denne forbindelse kun brukes til å styrke kvaliteten på veiledningen. Databehandler skal hindre at uvedkommende får tilgang til vurderingene som er direkte knyttet til karriereveilederen, og skal ikke utlevere eller formidle denne informasjonen til andre. Rapporter basert på færre enn fem veiledere er ikke å betrakte som anonyme, og ved videreformidling av resultater fra disse rapportene må den som bruker informasjonen gjøre det på en måte som ivaretar veiledernes integritet. Databehandler har adgang til å oppbevare vurderinger som knyttes direkte til karriereveileder i 2 år. Etter det må vurderingene slettes eller anonymiseres. 3. Databehandlers plikter Databehandler skal følge de rutiner og instrukser for behandlingen som behandlingsansvarlig til enhver tid har bestemt skal gjelde. Disse finnes på http://www.vox.no/karriereveiledning/partnerskap-for-karriereveiledning-ifylkene/bruker-og-utbytteundersokelser/ Databehandler plikter å gi behandlingsansvarlig tilgang til sin sikkerhetsdokumentasjon, og bistå, slik at behandlingsansvarlig kan ivareta sitt eget ansvar etter lov og forskrift. Behandlingsansvarlig har, med mindre annet er avtalt eller følger av lov, rett til tilgang til og innsyn i personopplysningene som behandles og systemene som benyttes til dette formål. Databehandler plikter å gi nødvendig bistand til dette. Databehandler har taushetsplikt om dokumentasjon og personopplysninger som vedkommende får tilgang til i henhold til denne avtalen. Denne bestemmelsen gjelder også etter avtalens opphør. 4. Bruk av underleverandør Databehandler har ikke anledning til å benytte underleverandører uten at det på forhånd er skriftlig avtalt med behandlingsansvarlig. 5. Krav til informasjonssikkerhet Databehandler har et selvstendig ansvar for informasjonssikkerheten. I tillegg skal databehandler oppfylle de krav til sikkerhetstiltak som stilles etter personopplysningsloven og personopplysningsforskriften, herunder særlig personopplysningslovens 13 15 med forskrifter. Databehandler skal dokumentere rutiner og andre tiltak for å oppfylle disse kravene. Dokumentasjonen skal være tilgjengelig på behandlingsansvarliges forespørsel. Avviksmelding etter personopplysningsforskriftens 2-6 skal skje ved at databehandler melder avviket til behandlingsansvarlig. Behandlingsansvarlig har ansvaret for at avviksmelding sendes Datatilsynet. 6. Sikkerhetsrevisjoner Behandlingsansvarlig kan kreve at det gjennomføres sikkerhetsrevisjoner jevnlig for systemer og behandling av personopplysninger som omfattes av denne avtalen. Revisjonen kan omfatte gjennomgang av rutiner, stikkprøvekontroller, mer omfattende stedlige kontroller og andre egnede kontrolltiltak. Tidspunkt for eventuelle revisjoner avtales særskilt. 3
7. Avtalens varighet Avtalen gjelder så lenge det partnerskapet databehandleren (karrieresenteret) tilhører, mottar partnerskapstilskudd, og databehandleren behandler personopplysninger på vegne av behandlingsansvarlig. Ved brudd på denne avtale eller personopplysningsloven kan behandlingsansvarlig nekte databehandler tilgang til opplysninger og stoppe den videre behandlingen av opplysningene med øyeblikkelig virkning. 8. Ved opphør Ved opphør av denne avtalen plikter databehandler å slette alle personopplysninger som er mottatt på vegne av den behandlingsansvarlige og som omfattes av denne avtalen. Databehandler skal slette eller forsvarlig destruere alle dokumenter, data, disketter, cder mv, som inneholder opplysninger som omfattes av avtalen. Dette gjelder også for eventuelle sikkerhetskopier. Databehandler skal skriftlig dokumentere at sletting og eller destruksjon er foretatt i henhold til avtalen innen rimelig tid etter avtalens opphør. 9. Meddelelser Meddelelser etter denne avtalen skal sendes skriftlig til: Vox, nasjonalt fagorgan for kompetansepolitikk (fra 2017: Kompetanse Norge) Postboks 236, Sentrum 0103 Oslo ATT: Cathinca Fritzvold Hatlem eller per epost til seksjonsleder cathinca.hatlem@vox.no 10. Lovvalg og verneting Avtalen er underlagt norsk rett og partene vedtar Oslo tingrett som verneting. Dette gjelder også etter opphør av avtalen. *** Denne avtale er i 2 to eksemplarer, hvorav partene har hvert sitt. Sted: Sted: Oslo Dato: Dato: 29.11.2016 Databehandler Behandlingsansvarlig Cathinca Hatlem 4
Vedlegg 1 mal til samtykkeerklæring Samtykkeerklæring for rapporter på veiledernivå 1. Om samtykkeerklæringen Dette dokumentet er et samtykkeskjema som retter seg til deg som er karriereveileder ved et offentlig karrieresenter. Her kan du samtykke til at Vox (nasjonalt fagorgan for kompetansepolitikk) kan samle inn opplysninger om deg som veileder i forbindelse med at det gjennomføres nettbaserte brukerundersøkelser ved offentlige karrieresentre. Et samtykke fra deg vil også innebære at lederen i ditt karrieresenter kan behandle personopplysninger om deg. Nærmere informasjon om hvilke opplysninger som kan behandles, og til hvilket formål, fremgår nedenfor. Veiledere som ikke ønsker å gi samtykke, eller på et tidspunkt vil trekke sitt samtykke tilbake, står fritt til å gjøre dette. Det er ikke tillatt med noen form for sanksjoner mot deg som veileder som følge av dette. 2. Om den nettbaserte brukerundersøkelsen Brukerundersøkelsen er nettbasert, og hvert år i desember sender Vox lenken til kommende års undersøkelse til karrieresentrene. Undersøkelsen gjennomføres ved at hvert karrieresenter distribuerer undersøkelsen til dem som har vært til karriereveiledning ved det aktuelle senteret. Brukerundersøkelsenes formål er: 1. å styrke kvaliteten på karriereveiledningen ved offentlige karrieresentre 2. å gi innspill til politikkutforming 3. å synliggjøre karrieresentrenes arbeid overfor potensielle veiledningssøkere, samarbeidspartnere og andre interessenter Vox er behandlingsansvarlig for de nettbaserte brukerundersøkelsene ved karrieresentrene, og har det faglige og tekniske ansvaret for undersøkelsene. Det er lederen av seksjon for karriereveiledning som har det juridiske ansvaret for undersøkelsene. Adresse til behandlingsansvarlig: Vox, Nasjonalt fagorgan for kompetansepolitikk (Fra januar 2017 endrer Vox navn til Kompetanse Norge) Postboks 236, Sentrum 0103 Oslo Att: Cathinca Hatlem 3. Hvilke personopplysninger blir samlet inn Følgende spørsmål i brukerundersøkelsen er knyttet til deg som karriereveileder: Hvilken veileder var du hos? (stilles bare ved sentre som ønsker rapporter på veiledernivå, og hvor veileder har samtykket til at navnet kan brukes) 5
Hvor enig eller uenig er du i følgende påstander om veilederen? -veileder var hyggelig og imøtekommende -veileder klarte å sette seg inn i min situasjon -veileder fremsto som profesjonell -veileder hadde god kunnskap om arbeidsmarkedet i mitt lokalområde -veileder hadde god kunnskap om utdanningsmuligheter -veileder bidro med nye perspektiver (Svaralternativer: Helt uenig, Delvis uenig, Delvis enig, Helt enig, Vet ikke/ikke aktuelt) De spørsmål som stilles vil kunne endres eller utfylles uten at det må innhentes nytt samtykke, såfremt spørsmålene omhandler tilsvarende vurderingstemaer. 4. Bruk av mine personopplysninger Karrieresenterets leder vil kun motta rapporter basert på opplysninger om deg når du har samtykket til det, og lederen har bedt Vox om veilederrapporter. Opplysningene skal kun brukes av karriersenterets leder som grunnlag for samtale med deg som karriereveileder, og skal i denne forbindelse kun brukes til å styrke kvaliteten på veiledningen. Som karriereveileder ved karrieresentrene skal du via din senterleder få tilgang til den rapporten som gjelder deg. Karrieresenteret (databehandler) kan lagre rapporter på veiledernivå i inntil 2 år. Etter dette skal de enten slettes eller anonymiseres. Samtykkeerklæring Jeg gir mitt frivillige og informerte samtykke til at Vox (fra 2017: Kompetanse Norge) kan bruke mitt navn i brukerundersøkelsen. Vox kan opprette rapporter som viser de gjennomsnittlige tilbakemeldingene fra brukerne som har vært til veiledning hos meg, og sende rapportene til karrieresenterets leder. Tilbaketrekking av samtykke må gjøres skriftlig til senterleder. Leder må i slike tilfeller underrette Vox umiddelbart på postmottak@vox.no og brukeru@vox.no med følgende emne: Tilbaketrekking av samtykke - brukerundersøkelsen ved karrieresentrene Sted og dato: Navn Underskrift Senter blokkbokstaver 6