Databehandleraftale

Disse Bestemmelser fastsætter databehandlerens rettigheder og forpligtelser, når denne foretager behandling af personoplysninger på vegne af den dataansvarlige.

Bestemmelserne er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger (databeskyttelsesforordningen).

I forbindelse med leveringen af 2people-løsningen behandler databehandleren personoplysninger på vegne af den dataansvarlige i overensstemmelse med disse Bestemmelser.

Bestemmelserne har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem parterne.

Der hører fire bilag til disse Bestemmelser: Bilag A (oplysninger om behandlingen), Bilag B (underdatabehandlere), Bilag C (instruks vedrørende behandling) og Bilag D (andre forhold). Bestemmelserne frigør ikke databehandleren fra forpligtelser pålagt efter databeskyttelsesforordningen eller enhver anden lovgivning.

Den dataansvarlige er ansvarlig for at sikre, at behandlingen af personoplysninger sker i overensstemmelse med databeskyttelsesforordningen (artikel 24), databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og disse Bestemmelser.

Den dataansvarlige har ret og pligt til at træffe beslutninger om, til hvilke(t) formål og med hvilke hjælpemidler, der må ske behandling af personoplysninger.

Den dataansvarlige er ansvarlig for at sikre, at der er et behandlingsgrundlag for behandlingen af personoplysninger, som databehandleren instrueres i at foretage.

Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret. Instruksen skal være specificeret i bilag A og C.

Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter vedkommendes mening er i strid med denne forordning eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.

Databehandleren må kun give adgang til personoplysninger til personer, som er underlagt fortrolighedspligt, og kun i det nødvendige omfang. Listen af personer med adgang skal løbende gennemgås.

Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at relevante personer er underlagt tavshedspligt.

Databeskyttelsesforordningens artikel 32 fastslår, at den dataansvarlige og databehandleren gennemfører passende tekniske og organisatoriske foranstaltninger. Dette kan omfatte:

• Pseudonymisering og kryptering af personoplysninger
• Sikring af vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer
• Evne til rettidigt at genoprette tilgængelighed ved tekniske hændelser
• Regelmæssig afprøvning og evaluering af effektiviteten af sikkerhedsforanstaltninger

Databehandleren vurderer selvstændigt risiciene og gennemfører foranstaltninger for at imødegå disse. Den dataansvarlige stiller den nødvendige information til rådighed herfor.

Databehandleren bistår den dataansvarlige med overholdelse af artikel 32 ved at stille information til rådighed om gennemførte sikkerhedsforanstaltninger.

Databehandleren må ikke gøre brug af en underdatabehandler uden forudgående generel skriftlig godkendelse fra den dataansvarlige.

Databehandleren skal skriftligt underrette den dataansvarlige om planlagte ændringer vedrørende underdatabehandlere med mindst 90 dages varsel, så den dataansvarlige har mulighed for at gøre indsigelse.

Underdatabehandlere pålægges de samme databeskyttelsesforpligtelser som dem, der fremgår af disse Bestemmelser.

Hvis en underdatabehandler ikke opfylder sine databeskyttelsesforpligtelser, forbliver databehandleren fuldt ansvarlig over for den dataansvarlige.

Enhver overførsel af personoplysninger til tredjelande eller internationale organisationer må kun foretages på baggrund af dokumenteret instruks fra den dataansvarlige og skal ske i overensstemmelse med databeskyttelsesforordningens kapitel V.

Uden dokumenteret instruks kan databehandleren ikke overføre personoplysninger til tredjelande, overlade behandling til en underdatabehandler i et tredjeland, eller behandle personoplysningerne i et tredjeland.

Databehandleren bistår den dataansvarlige med opfyldelse af forpligtelsen til at besvare anmodninger om de registreredes rettigheder, herunder:

• Oplysningspligten ved indsamling af personoplysninger
• Indsigtsretten og retten til berigtigelse
• Retten til sletning ("retten til at blive glemt")
• Retten til begrænsning af behandling og dataportabilitet
• Retten til indsigelse og retten til ikke at være genstand for automatiske afgørelser

Databehandleren bistår endvidere den dataansvarlige med anmeldelse af sikkerhedsbrud til Datatilsynet (senest 72 timer), underretning af registrerede, konsekvensanalyser (DPIA) samt forudgående høring af Datatilsynet.

Databehandleren underretter uden unødig forsinkelse den dataansvarlige — og om muligt senest 48 timer — efter at være blevet opmærksom på et brud på persondatasikkerheden.

Underretningen skal indeholde oplysninger om:

• Karakteren af bruddet, herunder kategorier og omtrentligt antal berørte registrerede
• De sandsynlige konsekvenser af bruddet
• De foranstaltninger, der er truffet eller foreslås truffet for at håndtere bruddet

Ved ophør af tjenesterne er databehandleren forpligtet til at tilbagelevere alle personoplysninger og slette eksisterende kopier, medmindre EU-retten eller national ret foreskriver fortsat opbevaring.

Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelsen af databeskyttelsesforordningens artikel 28, til rådighed for den dataansvarlige og giver mulighed for revisioner og inspektioner.

Databehandleren er forpligtet til at give tilsynsmyndigheder adgang til fysiske faciliteter mod behørig legitimation.

Bestemmelserne træder i kraft på datoen for begge parters underskrift heraf.

Begge parter kan kræve Bestemmelserne genforhandlet, hvis lovændringer eller uhensigtsmæssigheder giver anledning hertil.

Bestemmelserne er gældende, så længe tjenesten varer. Opsigelse kan ske skriftligt, når behandlingen er ophørt og data er slettet eller returneret jf. Bestemmelse 11.1 og Bilag C.4.