Databehandleravtale

Databehandleravtale for behandling av helse- og personopplysninger. I henhold til personopplysningsloven og EUs Personvernforordning (EU) 2016/679

Innhold

• 1. OM AVTALEN
• 2. DEFINISJONER
• 3. AVTALENS FORMÅL
• 4. OMFANG
• 5. BEHANDLINGENS FORMÅL, OPPLYSNINGER OG BEHANDLINGER
• 6. RAMMENE FOR BEHANDLING AV HELSE- OG PERSONOPPLYSNINGER
• 7. DATAANSVARLIGES PLIKTER
• 8. DATABEHANDLERS PLIKTER
• 9. BRUK AV UNDERLEVERANDØR
• 10. OVERFØRING AV PERSONOPPLYSNINGER TIL UTLANDET
• 11. TAUSHETSPLIKT
• 12. REVISJON
• 13. VARIGHET OG OPPHØR
• 14. ENDRING AV AVTALE
• 15. LOVVALG, TVISTER OG VERNETING
• VEDLEGG 1 – BEHANDLINGENS FORMÅL, OPPLYSNINGER OG BEHANDLINGER
• VEDLEGG 2 – DETALJERTE KRAV TIL INFORMASJONSSIKKERHET
• VEDLEGG 3 – UNDERLEVERANDØRER
• VEDLEGG 4: ENDRINGER I DEN GENERELLE AVTALETEKSTEN VED AVTALEINNGÅELSEN
• VEDLEGG 5: ENDRINGER ETTER AVTALEINNGÅELSEN

1. Om avtalen

Denne databehandleravtalen med vedlegg (heretter omtalt som "Avtalen") regulerer rettigheter og plikter mellom Dataansvarlig og Databehandler (heretter omtalt som "partene") etter:

• Lov om behandling av personopplysninger av 15.juni 2018 nr. 38 (personopplysningsloven);
• Europaparlaments- og rådsforordning (EU) 2016/679 av 27.april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger (General Data Protection Regulation) (heretter omtalt som "personvernforordningen");
• Lov om helseregistre og behandling av helseregistre av 20.juni 2014 nr. 43 (helseregisterloven);
• Lov om behandling av helseopplysninger ved ytelse av helsehjelp av 20.juni 2014 nr. 42 (pasientjournalloven); og
• Enhver lov, forskrift eller annet regelverk som endrer eller erstatter ovennevnte regler.

Ved motstrid mellom Avtalens regulering og de rammer som følger av personvernregelverket eller relevant helselovgining, viker Avtalens regulering. I tilfelle konflikt mellom denne Avtalen og Tjeneste/oppdragsavtalen, skal denne Avtalen gjelde.

Vedlegg til avtalen:

• Vedlegg 1: Behandlingens formål, opplysninger og behandlinger
• Vedlegg 2: Detaljerte krav til informasjonssikkerhet
• Vedlegg 3 : Underleverandører
• Vedlegg 4 : Endringer i den generelle avtaleteksten ved avtaleinngåelsen
• Vedlegg 5 : Endringer etter avtaleinngåelsen

Endringer til den generelle avtaleteksten skal samles i vedlegg 4. Slike endringer erstatter den opprinnelige avtaleteksten.

2. Definisjoner

Begrepene "personopplysninger", "helseopplysninger", "behandling", "dataansvarlig", "databehandler", "brudd på personopplysningssikkerheten" og "helseopplysninger" skal forstås slik de er definert i personvernforordningen artikkel 4, helseregisterloven § 2 og pasientjournalloven § 2.

3. Avtalens bakgrunn og formål

Denne Avtalen er inngått mellom partene og skisserer de generelle vilkårene for den behandling av helse- og personopplysninger som Databehandler utfører på vegne av Behandlingsansvarlig.

Formålet med Avtalen er å sikre behandlingen av helse- og personopplysninger på vegne av Behandlingsansvarlig slik at helse- og personopplysningene ikke brukes urettmessig eller kommer uberettigede i hende.

4. Omfang

Denne Avtalen kommer til anvendelse på all behandling av helse- og personopplysninger som Databehandler foretar på vegne av Dataansvarlig på grunnlag av Tjeneste/oppdragsavtalen.

Denne Avtalen vil i tillegg gjelde for ytterligere behandling av helse- og personopplysninger basert på eventuelle skriftlige avtaler mellom partene som inngås i løpet av denne Avtalens varighet og som innebærer at Databehandler behandler helse- og personopplysninger på vegne av Dataansvarlig (heretter omtalt som "senere skriftlige avtaler mellom partene"). Slike tillegg skal fremgå av Vedlegg 5 . Avtalens øvrige vedlegg skal oppdateres i samsvar med endringen.

5. Behandlingens formål, opplysninger og behandlinger

Formålet med og varigheten av behandling av helse- og personopplysninger, hvilke helse- og personopplysninger som behandles, kategorier av de registrerte og behandlingsaktiviteter er angitt i Vedlegg 1.

6. Rammene for behandling av helse- og personopplysninger

Dataansvarlig har til enhver tid full rådighet over de helse- og personopplysningene som Databehandler behandler etter denne Avtalen. Databehandler har ikke selvstendig råderett over helse- og personopplysningene, og kan ikke behandle disse til egne formål.

Dataansvarlig har, med mindre annet er avtalt eller følger av lov, rett til tilgang til og innsyn i helse- og personopplysningene som behandles hos Databehandleren.

7. Dataansvarliges plikter

Dataansvarlig skal etterleve de forpliktelser som følger av personvernregelverket, jf. personvernforordningen artikkel 24, relevant helselovgivning og annen særlovgivning, samt denne Avtalen.

Dataansvarlig er ansvarlig for at personvernprinsippene overholdes, jf. personvernforordningen artikkel 5, og skal blant annet sørge for at behandlingen av opplysninger er formålsbestemt og basert på et gyldig rettsgrunnlag.

8. Databehandlers plikter

8.1.Generelt

Databehandler forplikter seg til å behandle helse- og personopplysninger kun i samsvar med gjeldende regelverk, denne Avtalen, Tjeneste/oppdragsavtalen, Dataansvarliges dokumenterte instrukser og andre gjeldende avtaler mellom partene, samt "Norm for informasjonssikkerhet i helse- og omsorgssektoren". Databehandler skal ikke ved noen handling eller unnlatelse, sette Dataansvarlig i en slik situasjon at Dataansvarlig bryter gjeldende regelverk som angitt i Avtalen punkt 1.

8.1.1 Databehandler skal ikke :

1. behandle helse- og personopplysninger for andre formål eller i større grad eller på annen måte enn det som følger av denne Avtalen, Tjeneste/oppdragsavtale og eventuelle senere skriftlige avtaler mellom partene;
2. behandle helse- og personopplysninger utover det som er nødvendig for å oppfylle Databehandlers forpliktelser i henhold til de til enhver tid gjeldende avtaler;
3. utlevere, overlate, overføre eller innhente helse- og personopplysninger i noen form til eller fra tredjepart på eget initiativ, med mindre det er lovpålagt eller det på forhånd er avtalt med Dataansvarlig eller Dataansvarlig har godkjent dette skriftlig;

8.1.2 Databehandler skal :

1. ha løpende kontroll på alle kategorier av behandlingsaktiviteter utført på vegne av Dataansvarlig, jf. personvernforordningen artikkel 30 nr. 2, jf. også Vedlegg 1 ;
2. gi Dataansvarlig tilgang til og innsyn i helse- og personopplysninger som behandles hos Databehandleren på vegne av Dataansvarlig;
3. treffe alle rimelige tiltak for å bistå Dataansvarlig med å sikre at helse- og personopplysningene til enhver tid er korrekte og oppdaterte;
4. etablere rutiner for å slette opplysninger i henhold til instruks eller retningslinjer fastsatt av Dataansvarlig;
5. påse at samtlige personer som gis tilgang til personopplysninger som behandles på vegne av Dataansvarlig er kjent med denne Avtalen og gjeldende avtaler mellom partene, og er underlagt disse avtalenes bestemmelser;
6. gi Dataansvarlig nødvendig bistand slik at Dataansvarlig skal kunne oppfylle sine forpliktelser overfor de registrerte, herunder å svare på anmodninger fra den registrerte som vil utøve sine rettigheter fastsatt i personvernforordningen kapittel III;
7. uten ugrunnet opphold varsle den Dataansvarlige dersom Databehandler mener at en instruks er i strid med personvernforordningen eller andre bestemmelser om vern av personopplysninger;
8. bistå Dataansvarlig for å sikre overholdelse av forpliktelsene i personvernforordningen artiklene 35-36 som omhandler vurdering av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet;
9. Databehandler skal umiddelbart varsle Dataansvarlig hvis den mottar forespørsel fra en myndighet om å utlevere personopplysninger som er behandlet under Databehandleravtalen. Med mindre utleveringen er lovpålagt, skal Databehandler ikke etterkomme en slik forespørsel uten skriftlig forhåndsgodkjenning fra Dataansvarlig.

8.2.Tekniske, organisatoriske og sikkerhetsmessige tiltak

Databehandler plikter å treffe og gjennomføre alle tekniske, organisatoriske og sikkerhetsmessige tiltak slik at det til enhver tid er et sikkerhetsnivå som er egnet med hensyn til risikoen ved behandling av helse og personopplysninger.

Databehandleren skal, som minimum:

1. etablere og etterkomme nødvendige tekniske og organisatoriske tiltak med hensyn til vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet ved behandling av helse- og personopplysninger for å sikre tilfredsstillende informasjonssikkerhet i henhold til personvernregelverket, herunder kravene etter personvernforordningen artikkel 32, og gjeldende helselovgivning.
2. sikre at krav til innebygd personvern og personvern som standardinnstilling innfris i Databehandlers løsninger. Dette inkluderer å bygge inn funksjonalitet for å oppfylle personvernprinsipper samt funksjonalitet for å sikre den registrertes rettigheter, herunder retten til begrenset behandling;
3. ha rutiner for internkontroll;
4. ha rutiner for autorisasjon og styring som sikrer at bare de av Databehandlers medarbeidere som har tjenstlig behov for tilgang til systemer og opplysningene for å ivareta nødvendige oppgaver for gjennomføring av Tjeneste/oppdragsavtalen får slik tilgang. Tilgangsnivået skal være i henhold til tjenstlig behov knyttet til å gjennomføre oppdraget. Det skal etableres sterk autentisering for tilgang til helseopplysninger;
5. etablere nødvendige systemer og rutiner for å ivareta informasjonssikkerheten og følge opp avvik, som skal omfatte blant annet rutiner for avviksmelding, rutiner for backup, gjenoppretting av normalsituasjonen, fjerne årsaken til avviket og hindre gjentakelse. På forespørsel, skal Databehandler gi Dataansvarlig tilgang til relevant sikkerhetsdokumentasjon for behandling av helse- og personopplysninger;
6. avdekke, registrere, rapportere og lukke avvik knyttet til informasjonssikkerhet, herunder loggføre og dokumentere ethvert forsøk på ikke-autorisert tilgang og andre brudd på personopplysningssikkerheten i datasystemene. Slik dokumentasjon skal oppbevares hos Databehandler;
7. ved mistanke om eller konstatering av brudd på personopplysningssikkerheten, uten ugrunnet opphold varsle Dataansvarlig. I varselet opplyses avviket med forklaring om årsak, tidsrom og tidspunktet avviket ble oppdaget, kategoriene av og omtrentlig antall registrerte som er berørt, kategoriene av og omtrentlig antall registreringer av personopplysninger som er berørt, navnet på og kontaktopplysningene til personvernombudet eller et annet kontaktpunkt der mer informasjon kan innhentes, antatte konsekvenser av avviket og hvilke umiddelbare tiltak som er igangsatt eller vurderes igangsatt for å håndtere avviket. Dersom og i den grad det ikke er mulig å gi all informasjon samtidig, kan den gis trinnvis uten ytterligere ugrunnet opphold;
8. dokumentere ethvert avvik, herunder de faktiske forhold knyttet til avviket, dets virkninger og eventuelle iverksatte utbedringstiltak;
9. uten ugrunnet opphold varsle Dataansvarlig ved uautorisert utlevering av personopplysninger;
10. registrere all autorisert og uautorisert tilgang til opplysninger. Alle oppslag som gjøres skal registreres slik at de kan spores til den enkelte bruker (dvs. ansatte hos Databehandler, underleverandører og Dataansvarlig). Loggene skal oppbevares til det ikke lenger antas å være bruk for dem eller i henhold til det Avtalen eller Tjeneste/oppdragsavtalen spesifiserer;
11. bistå Dataansvarlig med å sikre overholdelse av forpliktelsene i personvernforordningen artiklene 32–34, herunder, men ikke begrenset til:
    - sikkerhet ved behandlingen;
    - melding til tilsynsmyndigheten om brudd på personopplysningssikkerheten;
    - underretning av den registrerte om brudd på personopplysningssikkerheten;
12. varsle Dataansvarlig om forhold relatert til Databehandlers forpliktelser under Tjeneste/oppdragsavtalen som medfører eller kan anses å medføre svekkelse av informasjonssikkerheten;
13. innhente skriftlig godkjenning av Dataansvarlig før gjennomføring av enhver endring av databehandlingen hos Databehandler som har eller kan ha negativ betydning for informasjonssikkerheten ved behandlingen etter denne Avtalen.

Nærmere krav til informasjonssikkerhet er angitt i Vedlegg 2 .

Ved brudd på denne Avtalen eller på bestemmelsene i personvernregelverket, helselovgivningen eller annen relevant lovgivning kan Dataansvarlig kreve endringer i behandlingsmåten eller pålegge Databehandler å stoppe den videre behandlingen av opplysningene med øyeblikkelig virkning.

Databehandler skal dokumentere sine rutiner og alle tiltak truffet for å oppfylle kravene angitt ovenfor. Denne dokumentasjonen skal på forespørsel gjøres tilgjengelig for Dataansvarlig.

9. Bruk av underleverandør

Dataansvarlig tillater at Databehandler benytter underleverandører for oppfyllelse av forpliktelsene under Avtalen. Databehandler benytter kun de underleverandører som er angitt i Vedlegg 3 for de der angitte tjenester.

Databehandler skal :

1. sikre at underleverandøren påtar seg tilsvarende forpliktelser som Databehandler selv er underlagt etter Avtalen og gjeldende lovgivning;
2. holde en oppdatert liste over identiteten til og stedlig plassering av underleverandører som angitt i Vedlegg 3 og hvor disse behandler personopplysninger. Oppdatert liste skal være tilgjengelig for Dataansvarlig;
3. gjennomføre en risikovurdering av bruk av underleverandør og betydningen for tjenesten før det inngås avtale med underleverandør og på Dataansvarliges forespørsel, dele vurderingen med Dataansvarlig;
4. på Dataansvarliges forespørsel, legge frem kopi av avtalen(e) som er inngått med underleverandørene (med unntak av merkantile betingelser). Slike avtaler skal senest være inngått før underleverandørene starter med behandling av helse- og personopplysninger;
5. underrette Dataansvarlig om eventuelle planer om å benytte andre underleverandører eller skifte ut underleverandører. Slike bytter skal varsles Dataansvarlig i god tid slik at denne gis mulighet til å motsette seg endringen. Ved bytte av underleverandør skal Vedlegg 3 oppdateres og oversendes Dataansvarlig før ny underleverandør starter opp. Endringen føres også opp i Vedlegg 5 ;
6. sikre at Dataansvarlig og tilsynsmyndighetene har samme rett til innsyn og kontroll med behandling av personopplysninger hos en underleverandør som Dataansvarlig har overfor Databehandler etter Avtalens punkt 12;
7. ved opphør av Avtalen, sikre at underleverandører oppfyller plikten til å tilbakeføre, slette eller forsvarlig destruere alle helse- og personopplysningene og alle eventuelle kopier og sikkerhetskopier av opplysningene, slik som det framgår av Avtalens punkt 13.

Databehandler er til enhver tid fullt ut ansvarlig overfor Dataansvarlig for alt arbeid som utføres av underleverandører og for underleverandørenes etterlevelse av bestemmelsene i denne Avtalen.

10. Overføring av personopplysninger til utlandet

Partene i denne Avtalen er enige om at ingen av helse- og personopplysningene som behandles under denne Avtalen skal føres ut av EU, med mindre det er særskilt avtalt mellom partene. I tillegg skal helse- og personopplysninger være plassert på servere i EU . Eventuelle unntak fra dette skal godkjennes eksplisitt av Dataansvarlig før denne behandlingen starter.

Databehandler bekrefter at ingen av underleverandørene overfører helse- og personopplysninger som omfattes av denne Avtalen til utlandet, med unntak for slike overføringer som er angitt i Vedlegg 3. Dette omfatter også fjerntilgang fra utlandet.

Bruk av underleverandører som overfører helse- og personopplysninger til land utenfor EU/EØS (tredjeland) skal avtales skriftlig med Dataansvarlig på forhånd. Ved overføring av helse- og personopplysninger til land utenfor EU/EØS (tredjeland) skal Databehandler benytte godkjente EU-overføringsmekanismer.

Ved overføring til utlandet, uavhengig av om det er innenfor EU/EØS eller utenfor EU/EØS (tredjeland), skal Databehandler gi nødvendig dokumentasjon om sikkerhet, risiko og etterlevelsesnivå knyttet til aktuelle underleverandører slik at Dataansvarlig får nødvendig informasjon for å kunne gjennomføre en særskilt risikovurdering. Dataansvarlig kan nekte samtykke til den aktuelle overføringen basert på spesifikke risikoer som fremkommer av Dataansvarliges egen risikovurdering.

11. Taushetsplikt

Databehandlers ansatte og andre som opptrer på Databehandlers vegne i forbindelse med behandling av helse- og personopplysninger i henhold til denne Avtalen, Tjeneste/oppdragsavtale og senere skriftlige avtaler mellom partene, skal underlegges taushetsplikt etter denne Avtalen og gjeldende regelverk. Personer som er autorisert til å behandle helse- og personopplysningene forplikter seg til å behandle opplysningene fortrolig. Det samme gjelder eventuelle underleverandører.

Ansatte og andre som opptrer på Databehandlers vegne i forbindelse med behandling av helse- og personopplysninger skal ha undertegnet taushetserklæring. Bestemmelsen gjelder tilsvarende for underleverandører.

Databehandler skal påse at alle som behandler personopplysninger under Avtalen er kjent med taushetsplikten.

Partene har i tillegg taushetsplikt om konfidensiell informasjon knyttet til hverandres virksomhet, som er formidlet i forbindelse med oppdraget.

Partene plikter å ta de forholdsregler som er nødvendige for å sikre at materiale eller opplysninger ikke blir gjort kjent for andre i strid med dette punktet.

Taushetsplikten gjelder også etter Avtalens opphør.

12. Revisjon

Databehandler skal på forespørsel gjøre tilgjengelig for den Dataansvarlige, all informasjon som er nødvendig for å påvise at Databehandlers forpliktelser fastsatt i personvernforordningen artikkel 28 og denne Avtalen er oppfylt.

Databehandler skal muliggjøre og bidra ved inspeksjoner og revisjoner som gjennomføres av eller på oppdrag fra Dataansvarlig. Databehandler skal framlegge interne revisjonsrapporter, interne prosedyrer, rutiner, sikkerhetsarkitektur, risiko og sårbarhetsanalyser med tiltak og andre dokumenter av betydning for revisjonen;

Databehandler skal også muliggjøre og bidra ved inspeksjoner fra aktuelle tilsynsmyndigheter. Den Dataansvarliges tilsyn med eventuelle underleverandører skal skje gjennom Databehandleren med mindre annet er særskilt avtalt.

Dersom en revisjon avdekker avvik fra forpliktelsene i gjeldende personvernregler eller Avtalen, skal Databehandler uten ugrunnet opphold utbedre avviket. Dataansvarlig kan kreve at Databehandleren midlertidig stopper hele eller deler av behandlingsaktivitetene frem til utbedringen er godkjent av Dataansvarlig.

Hver av Partene dekker sine egne kostnader forbundet med inspeksjoner fra aktuelle tilsynsmyndigheter og inntil én årlig revisjon initiert av Dataansvarlig. Hvis en revisjon avdekker vesentlige brudd på forpliktelsene etter gjeldende personvernregler eller Avtalen, skal Databehandleren likevel dekke Dataansvarliges rimelige kostnader forbundet med revisjonen.

13. Varighet og opphør

Databehandleravtalen gjelder fra den er signert av begge Parter og gjelder så lenge Databehandler behandler Personopplysninger på vegne av Behandlingsansvarlig.

I denne perioden gjelder Avtalen med mindre andre bestemmelser som regulerer Databehandlers behandling av Personopplysninger på vegne av Behandlingsansvarlig avtales mellom Partene.

Ved opphør av Avtalen skal Databehandler tilrettelegge for og medvirke til tilbakeføring av alle helse- og personopplysninger som Databehandler har mottatt og behandlet på vegne av Dataansvarlig. Partene avtaler nærmere hvordan overføring konkret skal skje.

Etter at alle opplysningene er overført til Dataansvarlig og bekreftet mottatt av denne, skal Databehandler irreversibelt slette eller forsvarlig destruere alle opplysningene og alle eventuelle kopier og sikkerhetskopier av opplysningene i sine systemer, med mindre annet regelverk krever at helse- og personopplysningene fortsatt lagres.

Benyttes delt infrastruktur der direkte sletting ikke er teknisk mulig skal Databehandler sørge for at data gjøres utilgjengelig inntil disse dataene er overskrevet av systemet.

Databehandler skal gi Dataansvarlig skriftlig bekreftelse på at opplysningene er overført og slettet som angitt over.

14. Endring av avtale

I tilfelle endringer i det rettslige rammeverket eller endringer i tjenester i Tjeneste/oppdragsavtalen som krever endringer av denne Avtalen, skal partene samarbeide for å oppdatere Avtalen tilsvarende.

Endringer etter avtaleinngåelsen listes opp i Vedlegg 5. Databehandler er ansvarlig for at det føres en slik endringskatalog og at denne holdes oppdatert.

15. Lovvalg, tvister og verneting

Avtalen er underlagt norsk rett og partene vedtar Oslo tingrett som verneting. Dette gjelder også etter opphør av Avtalen.

VEDLEGG 1 – BEHANDLINGENS FORMÅL, OPPLYSNINGER OG BEHANDLINGER

Tabellene oppdateres ved endringer. Alle endringer skal føres opp i endringskatalogen i Vedlegg 5.

1. Formålet med og varigheten av behandlingen(e)
   

(Dersom databehandleravtalen knytter seg til flere tjenesteavtaler, må det spesifiseres hvilken avtale det gjelder.)

Formålet med og varigheten av behandling av helse- og personopplysninger er:

B. Behandling av helse- og personopplysninger

Følgende behandlinger omfattes av Avtalen:

C. Typer av opplysninger

Følgende helse- og personopplysninger behandles:

D. Kategorier av registrerte

Følgende kategorier av personer behandles det opplysninger om (registrerte):

VEDLEGG 2 – DETALJERTE KRAV TIL INFORMASJONSSIKKERHET

Følgende krav til informasjonssikkerhet er avtalt i tillegg til bestemmelsene i Avtalen:

VEDLEGG 3 – UNDERLEVERANDØRER

Tabellen oppdateres ved endringer. Alle endringer skal føres opp i endringskatalogen i Vedlegg 5.

Databehandler benytter følgende underleverandører:

VEDLEGG 4: ENDRINGER I DEN GENERELLE AVTALETEKSTEN VED AVTALEINNGÅELSEN

Partene har avtalt følgende endringer i den generelle avtaleteksten:

Endringstabell:

VEDLEGG 5: ENDRINGER ETTER AVTALEINNGÅELSEN

Katalog over endringer: