DATABEHANDLERAVTALE

8.1. Generelt
Databehandler forplikter seg til å behandle helse- og personopplysninger kun i samsvar med gjeldende regelverk, denne Avtalen, Tjeneste/oppdragsavtalen, Dataansvarliges dokumenterte instrukser og andre gjeldende avtaler mellom partene, samt “Norm for informasjonssikkerhet i helse- og omsorgssektoren”. Databehandler skal ikke ved noen handling eller unnlatelse, sette Dataansvarlig i en slik situasjon at Dataansvarlig bryter gjeldende regelverk som angitt i Avtalen punkt 1.

8.1.1 Databehandler skal ikke:
a. behandle helse- og personopplysninger for andre formål eller i større grad eller på annen måte enn det som følger av denne Avtalen, Tjeneste/oppdragsavtale og eventuelle senere skriftlige avtaler mellom partene;
b. behandle helse- og personopplysninger utover det som er nødvendig for å oppfylle Databehandlers forpliktelser i henhold til de til enhver tid gjeldende avtaler;
c. utlevere, overlate, overføre eller innhente helse- og personopplysninger i noen form til eller fra tredjepart på eget initiativ, med mindre det er lovpålagt eller det på forhånd er avtalt med Dataansvarlig eller Dataansvarlig har godkjent dette skriftlig;

8.1.2 Databehandler skal:
a. ha løpende kontroll på alle kategorier av behandlingsaktiviteter utført på vegne av Dataansvarlig, jf. personvernforordningen artikkel 30 nr. 2, jf. også Vedlegg 1;
b. gi Dataansvarlig tilgang til og innsyn i helse- og personopplysninger som behandles hos Databehandleren på vegne av Dataansvarlig;
c. treffe alle rimelige tiltak for å bistå Dataansvarlig med å sikre at helse- og personopplysningene til enhver tid er korrekte og oppdaterte;
d. etablere rutiner for å slette opplysninger i henhold til instruks eller retningslinjer fastsatt av Dataansvarlig;
e. påse at samtlige personer som gis tilgang til personopplysninger som behandles på vegne av Dataansvarlig er kjent med denne Avtalen og gjeldende avtaler mellom partene, og er underlagt disse avtalenes bestemmelser;
f. gi Dataansvarlig nødvendig bistand slik at Dataansvarlig skal kunne oppfylle sine forpliktelser overfor de registrerte, herunder å svare på anmodninger fra den registrerte som vil utøve sine rettigheter fastsatt i personvernforordningen kapittel III;
g. uten ugrunnet opphold varsle den Dataansvarlige dersom Databehandler mener at en instruks er i strid med personvernforordningen eller andre bestemmelser om vern av personopplysninger;
h. bistå Dataansvarlig for å sikre overholdelse av forpliktelsene i personvernforordningen artiklene 35-36 som omhandler vurdering av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet;
i. Databehandler skal umiddelbart varsle Dataansvarlig hvis den mottar forespørsel fra en myndighet om å utlevere personopplysninger som er behandlet under Databehandleravtalen. Med mindre utleveringen er lovpålagt, skal Databehandler ikke etterkomme en slik forespørsel uten skriftlig forhåndsgodkjenning fra Dataansvarlig.

8.2. Tekniske, organisatoriske og sikkerhetsmessige tiltak
Databehandler plikter å treffe og gjennomføre alle tekniske, organisatoriske og sikkerhetsmessige tiltak slik at det til enhver tid er et sikkerhetsnivå som er egnet med hensyn til risikoen ved behandling av helse og personopplysninger.

Databehandleren skal, som minimum:

a. etablere og etterkomme nødvendige tekniske og organisatoriske tiltak med hensyn til vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet ved behandling av helse- og personopplysninger for å sikre tilfredsstillende informasjonssikkerhet i henhold til personvernregelverket, herunder kravene etter personvernforordningen artikkel 32, og gjeldende helselovgivning.
b. sikre at krav til innebygd personvern og personvern som standardinnstilling innfris i Databehandlers løsninger. Dette inkluderer å bygge inn funksjonalitet for å oppfylle personvernprinsipper samt funksjonalitet for å sikre den registrertes rettigheter, herunder retten til begrenset behandling;
c. ha rutiner for internkontroll;
d. ha rutiner for autorisasjon og styring som sikrer at bare de av Databehandlers medarbeidere som har tjenstlig behov for tilgang til systemer og opplysningene for å ivareta nødvendige oppgaver for gjennomføring av Tjeneste/oppdragsavtalen får slik tilgang. Tilgangsnivået skal være i henhold til tjenstlig behov knyttet til å gjennomføre oppdraget. Det skal etableres sterk autentisering for tilgang til helseopplysninger;
e. etablere nødvendige systemer og rutiner for å ivareta informasjonssikkerheten og følge opp avvik, som skal omfatte blant annet rutiner for avviksmelding, rutiner for backup, gjenoppretting av normalsituasjonen, fjerne årsaken til avviket og hindre gjentakelse. På forespørsel, skal Databehandler gi Dataansvarlig tilgang til relevant sikkerhetsdokumentasjon for behandling av helse- og personopplysninger;
f. avdekke, registrere, rapportere og lukke avvik knyttet til informasjonssikkerhet, herunder loggføre og dokumentere ethvert forsøk på ikke-autorisert tilgang og andre brudd på personopplysningssikkerheten i datasystemene. Slik dokumentasjon skal oppbevares hos Databehandler;
g. ved mistanke om eller konstatering av brudd på personopplysningssikkerheten, uten ugrunnet opphold varsle Dataansvarlig. I varselet opplyses avviket med forklaring om årsak, tidsrom og tidspunktet avviket ble oppdaget, kategoriene av og omtrentlig antall registrerte som er berørt, kategoriene av og omtrentlig antall registreringer av personopplysninger som er berørt, navnet på og kontaktopplysningene til personvernombudet eller et annet kontaktpunkt der mer informasjon kan innhentes, antatte konsekvenser av avviket og hvilke umiddelbare tiltak som er igangsatt eller vurderes igangsatt for å håndtere avviket. Dersom og i den grad det ikke er mulig å gi all informasjon samtidig, kan den gis trinnvis uten ytterligere ugrunnet opphold;
h. dokumentere ethvert avvik, herunder de faktiske forhold knyttet til avviket, dets virkninger og eventuelle iverksatte utbedringstiltak;
i. uten ugrunnet opphold varsle Dataansvarlig ved uautorisert utlevering av personopplysninger;
j. registrere all autorisert og uautorisert tilgang til opplysninger. Alle oppslag som gjøres skal registreres slik at de kan spores til den enkelte bruker (dvs. ansatte hos Databehandler, underleverandører og Dataansvarlig). Loggene skal oppbevares til det ikke lenger antas å være bruk for dem eller i henhold til det Avtalen eller Tjeneste/oppdragsavtalen spesifiserer;
k. bistå Dataansvarlig med å sikre overholdelse av forpliktelsene i personvernforordningen artiklene 32–34, herunder, men ikke begrenset til:
– sikkerhet ved behandlingen;
– melding til tilsynsmyndigheten om brudd på personopplysningssikkerheten;
– underretning av den registrerte om brudd på personopplysningssikkerheten;
l. varsle Dataansvarlig om forhold relatert til Databehandlers forpliktelser under Tjeneste/oppdragsavtalen som medfører eller kan anses å medføre svekkelse av informasjonssikkerheten;
m. innhente skriftlig godkjenning av Dataansvarlig før gjennomføring av enhver endring av databehandlingen hos Databehandler som har eller kan ha negativ betydning for informasjonssikkerheten ved behandlingen etter denne Avtalen.

Ved brudd på denne Avtalen eller på bestemmelsene i personvernregelverket, helselovgivningen eller annen relevant lovgivning kan Dataansvarlig kreve endringer i behandlingsmåten eller pålegge Databehandler å stoppe den videre behandlingen av opplysningene med øyeblikkelig virkning.
Databehandler skal dokumentere sine rutiner og alle tiltak truffet for å oppfylle kravene angitt ovenfor. Denne dokumentasjonen skal på forespørsel gjøres tilgjengelig for Dataansvarlig.