Privatlivspolitik 2019

Privatlivspolitik for patienter

Behandling af oplysninger

I forbindelse med vores undersøgelse, diagnostik og behandling af dig som patient indsamler og behandler I/S LÆGERNE BJARKESVEJ som dataansvarlig en række personoplysninger om dig. Dette er vi forpligtet til efter autorisationslovens kap. 6 og journalføringsbekendtgørelsen.

I denne privatlivspolitik beskrives, hvordan I/S LÆGERNE BJARKESVEJ behandler, bruger og videregiver dine personoplysninger.

Typer af oplysninger

I/S LÆGERNE BJARKESVEJ indsamler og behandler følgende typer af personoplysninger om dig (i det omfang det er relevant for netop dig):

Almindelige kategorier af personoplysninger:

  • Navn, adresse, evt. e-mailadresse, telefonnr., personnummer køn, familierelationer og sociale relationer, arbejdsrelationer og uddannelse.

Særlige kategorier af personoplysninger (”følsomme personoplysniger”):

  • Helbredsoplysninger (f.eks. journaloplysninger, prøvesvar, tests, røntgenbilleder, scanningsvar mv.), seksuelle forhold, race eller etnisk oprindelse samt religiøse forhold.

Formål

Vi behandler dine personoplysninger til følgende formål:

  • Vores undersøgelse, diagnostisk og behandling af dig
  • Udarbejdelse af lægeerklæringer
  • Udarbejdelse af attester til brug for myndigheder, forsikringsselskaber mv.
  • Kommunikation med eller henvisning til andre sundhedspersoner, læger, sygehuse eller sygehuslaboratorier
  • Medicinordinationer, herunder udstedelse af recepter
  • Indberetning til kliniske kvalitetsdatabaser
  • Indberetning af laboratorieprøver til sygehuslaboratorier
  • Afregningsformål
  • Overholde vores forpligtelser i henhold til gældende lovgivning, herunder EU’s databeskyttelsesforordning, databeskyttelsesloven og anden relevant sundhedsretlig lovgivning, f.eks.
    • Dokumentationspligt
    • Overholdelse af basale principper for behandling af personoplysninger og juridisk hjemmel for behandlingen
    • Iværksættelse og vedligeholdelse af tekniske og organisatoriske sikkerhedsforanstaltninger, herunder men ikke begrænset til at hindre uautoriseret adgang til systemer og oplysninger, hindre modtagelse eller distribution af ondsindet kode, standsning af overbelastningsangreb (denial-of-service-angreb) og beskadigelser af computersystemer og elektroniske kommunikationssystemer
    • Undersøgelse af mistanke eller viden om sikkerhedsbrud og rapportering til individer og myndigheder
    • Håndtering af forespørgsler og klager fra registrerede og andre
    • Håndtering af inspektioner og forespørgsler fra tilsynsmyndigheder
    • Håndtering af tvister med registrerede og tredjeparter.
    • Statistiske undersøgelser og videnskabelig forskning

Frivillighed

Når vi indsamler personoplysninger direkte fra dig, giver du personoplysningerne frivilligt. Du er ikke forpligtet til at give disse personoplysninger til os. Konsekvensen af ikke at give os personoplysningerne vil være, at vi ikke kan varetage formålene ovenfor, herunder at vi i nogle tilfælde ikke kan undersøge, diagnosticere eller behandle dig.

Kilder

I nogle tilfælde indsamler vi personoplysninger om dig fra andre sundhedspersoner, f.eks. sygehuse eller ved opslag i elektroniske journalsystemer. Vi behandler de modtagende oplysninger i overensstemmelse med denne privatlivspolitik.

Videregivelse af personoplysninger

Idet omfang det er nødvendigt for den konkrete undersøgelse, diagnosticering eller behandling af dig, vil dine personoplysninger blive videregivet og delt med følgende modtagere:

  • Der videregives oplysninger til andre sundhedspersoner, hvis det er nødvendigt af hensyn til et aktuelt behandlingsforløb.
  • Der videregives oplysninger til RKKP (kliniske kvalitetsdatabaser), Styrelsen for Patientsikkerhed, Sundhedsdatastyrelsen (medicin, vaccinationer, utilsigtede hændelser og dødsfald), politi og domstole, sociale myndigheder, Arbejdsmarkedets Erhvervssikring i det omfang, at der foreligger en pligt hertil ifølge gældende lovgivning.
  • Du har som patient adgang til dine egne oplysninger (indsigtsret).
  • Ved henvisning af patienter videregives oplysninger til de sundhedspersoner, hvortil henvisningen er sendt.
  • Ved indberetning af laboratorieprøver videregives prøverne til sygehuslaboratorierne.
  • Ved indberetning af oplysninger i forbindelse med afregning for patientbehandling videregives oplysninger til de regionale afregningskontorer.
  • Ved udstedelse af recepter videregives oplysninger til landets apoteker og Lægemiddelstyrelsen via FMK.
  • Ved indberetning til kliniske kvalitetsdatabaser.
  • I andre tilfælde videregives oplysninger til pårørende eller forsikringsselskaber.

Lovgrundlag for behandling og videregivelse af personoplysninger

Det juridiske grundlag for at indsamle, behandle og videregive dine personoplysninger er:

  • Til brug for den almindelige patientbehandling indsamles, behandles og videregives almindelige personoplysninger i medfør af databeskyttelsesforordningens artikel 6(1)(c) og (d), mens de følsomme personoplysninger indsamles, behandles og videregives i medfør af databeskyttelsesforordningens artikel 9(2)(c) og (h).
  • Herudover er vi forpligtet til at behandle en række personoplysninger om dig ved den almindelige patientbehandling i medfør af autorisationslovens kap. 6, bekendtgørelse om sundhedspersoners journaler (journalføringsbekendtgørelsen) særligt §§ 5-10, samt sundhedslovens kap. 9.
  • Oplysninger til brug for afregning for patientbehandling fremsendes en gang pr. måned til regionens afregningskontor efter reglerne i Overenskomst om almen praksissundhedslovens §60.
  • Medicinordinationer på recepter samt vaccinationer sendes via IT-tjenesten FMK efter reglerne i sundhedslovens § 157 og bekendtgørelse om recepter og dosisdispensering af lægemidler særligt kap. 3.
  • Kliniske patientdata videregives til kliniske kvalitetsdatabaser efter reglerne i sundhedslovens §§ 195-196 og bekendtgørelse om indberetning af oplysninger til kliniske kvalitetsdatabaser m.v. Data kan også videregives på baggrund af et konkret samtykke fra dig som patient.
  • Dine personoplysninger videregives alene til forsikringsselskaber med dit forudgående samtykke, jf. databeskyttelsesforordningens artikel 6(1)(a) og 9(2)(a).
  • Dine personoplysninger videregives alene til dine pårørende med dit forudgående samtykke efter reglerne i sundhedslovens § 43.
  • Ved afdøde patienter kan visse personoplysninger videregives til afdødes nærmeste pårørende reglerne i sundhedslovens § 45.

Tilbagekaldelse af samtykke. Hvis behandlingen af dine personoplysninger er baseret på samtykke, har du ret til at tilbagekalde samtykket. Hvis du tilbagekalder samtykket, påvirker det ikke behandlingen forud for tilbagekaldelse af samtykket, herunder en videregivelse baseret på samtykke.

Brug af databehandlere

Dine personoplysninger behandles og opbevares hos vores databehandlere, som opbevarer dem på vegne af og efter instruks fra os. Vores databehandlere er p.t.

  • COMPUGROUP MEDICAL DENMARK A/S
  • DAK-E (digitale forløbsplaner)
  • DMDD, Webreq og Webpatient (bestilling af laboratorieprøver og opbevaring af borgerens svar på spørgeskemaer)
  • Mv.

Opbevaringsperiode

Vi opbevarer personoplysninger om dig, så længe vi har behov for at varetage de overfor angivne formål. Vi har dog i henhold til journalføringsbekendtgørelsen § 15 pligt til at opbevare disse i minimum 10 år efter seneste tilførsel til journalen. Der kan opstå tilfælde hvor vi er nødsaget til at opbevare dine personoplysninger i længere tid, f.eks. i forbindelse med en klagesag eller erstatningssag, hvor oplysninger i så fald vil blive opbevaret, indtil sagen er endeligt afsluttet.

Dinerettigheder

Du har – med lovens begrænsninger – visse rettigheder, herunder retten til indsigt i personoplysninger, retten til at få ændret ukorrekte oplysninger, retten til at få slettet oplysninger, retten til at få begrænset oplysninger, retten til dataportabilitet, retten til at gøre indsigelse mod behandlingen af personoplysningerne, herunder ift. automatiseret, individuel beslutningstagning (”profilering”).

Du har også ret til at klage til en kompetent tilsynsmyndighed, herunder Datatilsynet.

Kontakt

Hvis du har spørgsmål vedrørende behandlingen af dine personoplysninger eller udnyttelsen af dine rettigheder, er du velkommen til at kontakte os:

I/S LÆGERNE BJARKESVEJ

Bjarkesvej 3

8370 Hadsten

Dato: 10. maj 2018

**************************

Databehandleraftale Forløbsplans projektet

Indgået mellem
Dataansvarlig:
Lægerne Bjarkesvej (ydernr:067067)
Bjarkesvej 3
8370 Hadsten

Databehandler:
Kvalitet i Almen Praksis (KiAP)
J.B. Winsløws Vej 9A, stuen
5000 Odense C

1.    Baggrund
1.1    Aftalen er indgået i forbindelse med Databehandlerens levering af serviceydelser i form af en in-ternet-side (sundhedsmappe.dk) ) til visning af relevante patientoplysninger i forbindelse med  den dataansvarliges udarbejdelse af en forløbsplan i relation til patientens kroniske sygdom(herefter omtalt som “Serviceydelser”).
Det aftalemæssige grundlag for databehandlingen består af:
•    Forhandlingsaftale om almen praksis, af 14. september 2017, ved PLO og Regionernes Lønnings- og Takstnævn
•    Overenskomst om almen praksis, af 14. september 2017, ved PLO og Regionernes Løn-nings- og Takstnævn
•    Forståelsespapir vedr. økonomi og udmøntning af midler til teknisk udvikling, udbredelse og drift af forløbsplaner i almen praksis, af 22. december 2017, v. Sundheds- og Ældremini-steriet Finansministeriet Danske Regioner Praktiserende Lægers Organisation (PLO).
•    Kommissorium: Governance for udbredelse af digitale forløbsplaner, af 23. januar 2018, v. Sundheds- og Ældreministeriet. Aftalen regulerer forhold i relation til Serviceydelserne, gældende persondatalovgivning, jurisdiktion mv. mellem Parterne.
1.2    Enhver henvisning til Aftalen er også en henvisning til Aftalens Bilag.
1.3    Databehandleren er bekendt med Europa-Parlamentets og Rådets Forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (“Databeskyttelsesforordningen“), som trådte i kraft den 24. maj 2016 og er gældende fra den 25. maj 2018 samt den supplerende, nationale lovgivning, herunder databeskyttelsesloven.
1.4    Enhver henvisning til persondatalovgivningen mv. er en henvisning til den til enhver tid gældende lovgivning mv.

2.    Personoplysninger og databehandling
2.1    “Personoplysninger“ omfatter “enhver form for information om en identificeret eller identificerbar fysisk person; ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokali-seringsdata, en online-identifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet“ og/eller som termen er defineret i den for den Dataansvarlige gældende persondatalovgivning.
2.2    Aftalen finder anvendelse i forhold til Personoplysningerne, Registrerede, Formål og Behandlings-aktiviteter samt øvrige forhold og forpligtelser, der vedrører behandlingen, og som er defineret og anført i Bilag A.
2.3    Bilag A – B indgår i begge Parternes dokumentationsforpligtelser i henhold til persondatalovgiv-ningen og skal altid afspejle de faktiske forhold.

3.    Roller og instrukser
3.1    Databehandleren er databehandler i henhold til gældende lovgivning og behandler Personoplys-ninger på vegne af den Dataansvarlige, som er dataansvarlig i henhold til gældende lovgivning.
3.2    Den Dataansvarlige træffer beslutning om, til hvilke formål og hvordan Databehandleren må be-handle Personoplysningerne. Databehandleren må ikke behandle Personoplysningerne til sine eg-ne formål.
3.3    Databehandleren må i leveringen af Serviceydelser kun behandle Personoplysninger i henhold til dokumenterede instrukser fra den Dataansvarlige, navnlig fsva. overførsler til tredjelande og en in-ternational organisation, medmindre det følger af den EU/EØS-lovgivning eller EU/EØS-medlemsstaternes lovgivning, som Databehandleren er underlagt. I så fald skal Databehandleren underrette den Dataansvarlige i detaljer om sådanne lovkrav, før behandlingen finder sted, med-mindre det er forbudt at foretage en sådan underretning af hensyn til vigtige samfundsmæssige in-teresser.
3.4    Databehandleren må kun ændre, slette og bortskaffe Personoplysninger fra alle systemer og regi-stre efter instruks fra den Dataansvarlige. Databehandleren må dog behandle, herunder bl.a. isole-re, flytte og slette, Personoplysninger på anden vis, hvis det er nødvendigt for at imødegå, herunder for at begrænse, et brud på persondatasikkerheden, herunder men ikke begrænset til malware, ransomware, virus og lignende. I tilfælde af sletning skal Dataansvarliges samtykke, om muligt, indhentes. Alternativt skal der sikres en kopi af materialet inden sletning.

4.    Fortrolighed
4.1    De Personoplysninger, som Databehandleren modtager fra den Dataansvarlige, eller som Databe-handleren kommer i besiddelse af i forbindelse med leveringen af Serviceydelser, er strengt fortro-lige og må ikke kopieres, videregives eller behandles uden den Dataansvarliges udtrykkelige og for-udgående tilladelse.
4.2    Databehandleren skal sikre, at kun de medarbejdere, for hvem det til enhver tid er nødvendigt at behandle Personoplysninger i forbindelse med udførelsen af deres arbejde, er autoriseret hertil.
4.3    Databehandleren skal sikre, at enhver person, der udfører arbejde for Databehandleren, og som får adgang til Personoplysningerne, kun behandler sådanne oplysninger efter instruks fra den Dataan-svarlige, medmindre behandlingen er påkrævet i henhold til EU/EØS-lovgivningen eller EU/EØS-medlemsstaternes nationale lovgivning.
4.4    Databehandleren skal sikre, at de personer, der er autoriserede til at behandle Personoplysninger, har påtaget sig en kontraktuel fortrolighedsforpligtelse eller er underlagt en lovbestemt tavsheds-pligt.
5.    Databehandlerens bistand til den Dataansvarlige
5.1    Under hensyn til behandlingens karakter og de oplysninger, der er tilgængelige for Databehandle-ren, skal Databehandleren bistå den Dataansvarlige med at sikre overholdelse af forpligtelserne i henhold til artikel 32 til 36 i Databeskyttelsesforordningen, dvs. sikkerhedsforanstaltninger, un-derretning af tilsynsmyndigheder, underretning af individuelle personer, udarbejdelse af konse-kvensanalyser vedrørende databeskyttelse og forudgående høring hos tilsynsmyndigheder.
5.2    Under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for Databe-handleren, skal Databehandleren gennemføre passende tekniske og organisatoriske foranstaltnin-ger for at bistå den Dataansvarlige med overholdelsen af den Dataansvarliges lovmæssige forplig-telser under Kapitel III i Databeskyttelsesforordningen, dvs. besvare anmodninger fra Registrerede, der udøver deres lovmæssige rettigheder, herunder, men ikke begrænset til, adgang til, berigtigelse eller sletning af Personoplysninger, begrænsning af behandlingen af Personoplysninger, dataporta-bilitet og retten til at gøre indsigelse imod automatiske individuelle afgørelser, herunder profile-ring.

6.    Sikkerhed mv.
6.1    Databehandleren skal bistå den Dataansvarlige med at sikre, at den Dataansvarliges lovbestemte forpligtelser overholdes med hensyn til sikkerhed som anført i Aftalen og gældende lovgivning.
6.2
Databehandleren skal implementere passende tekniske og organisatoriske foranstaltninger for at beskytte Personoplysningerne. Sådanne foranstaltninger fastsættes under hensyntagen til det ak-tuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder og skal passe til disse risici, som behandlingen udgør, navnlig ved hændelig eller ulovlig tilintetgørelse, tab, ændring eller uautoriseret videregivelse af eller adgang til Personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet. Dette kan inkludere, men er ikke begrænset til
a)    pseudonymisering og kryptering af Personoplysninger,
b)    evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behand-lingssystemer og –tjenester,
c)    evne til rettidigt at genoprette tilgængeligheden af og adgangen til Personoplysninger i tilfælde af en fysisk eller teknisk hændelse, eller
d)    en procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekni-ske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed.

6.3    Databehandleren skal nærmere gennemføre de sikkerhedsforanstaltninger, der er anført i Bilag B.
6.4    Parterne er enige om, at systemet der leveres som Serviceydelserne ikke skal ændres for at over-holde de, i persondatalovgivningen indeholdte, krav til databeskyttelse gennem design og databe-skyttelse gennem standardindstillinger, med mindre, der foretages sådanne grundlæggende og gennemgribende ændringer i Serviceydelserne, at kravet i Databeskyttelsesforordningens artikel 25 udløses. Den Dataansvarlige har i så fald krav på at der foretages ændringer for at overholde dis-se krav. Den Dataansvarlige har ansvaret for at indrette de processer, der udføres i systemet der le-veres som Serviceydelser således, at de overholder persondatalovgivningens krav til databeskyttelse gennem design og databeskyttelse gennem standardindstillinger.

7.    Sikkerhedsbrud
7.1    Definition
7.1.1    Ved et “Sikkerhedsbrud“ forstås et brud på sikkerheden, som fører til en hændelig eller ulovlig tilintetgørelse, tab, ændring eller uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet.
7.2    Log over sikkerhedsbrud
7.2.1    Databehandleren skal til enhver tid føre et register over Databehandlerens sikkerhedsbrud med detaljer om bruddene i forbindelse med Databehandlerens databehandling af Personoplysninger-ne. Databehandleren skal efter anmodning give den Dataansvarlige en kopi deraf.
7.3    Underretning af den Dataansvarlige
7.3.1    Databehandleren skal uden unødig forsinkelse underrette den Dataansvarlige ved mistanke om eller konstatering af et sikkerhedsbrud med betydning for Personoplysningerne.
7.3.2    Under hensyn til karakteren af behandlingen samt oplysningerne, der er tilgængelige for Databe-handleren, skal Databehandleren efter et sikkerhedsbrud straks bistå den Dataansvarlige med at sikre overholdelse af den Dataansvarliges lovmæssige forpligtelser i forbindelse med underretning om sikkerhedsbrud til tilsynsmyndigheder og de Registrerede.
7.3.3    Derudover skal Databehandleren efter et sikkerhedsbrud under hensyn til karakteren af behand-lingen, og i det omfang oplysningerne er tilgængelige for Databehandleren, uden unødig forsinkel-se give den Dataansvarlige passende og tilstrækkelige oplysninger til, at den Dataansvarlige kan overholde lovbestemte forpligtelser. Databehandleren skal til dette formål levere følgende oplys-ninger på den Dataansvarliges anmodning:
(a)    En beskrivelse af karakteren af sikkerhedsbruddet, herunder, hvis muligt, kategorierne og det omtrentlige antal af berørte Registrerede samt kategorierne og det omtrentlige antal af berørte registreringer med Personoplysninger
(b)    Navn og kontaktoplysninger på databeskyttelsesrådgiveren eller anden kontaktperson, hvor-fra yderligere oplysninger kan indhentes
(c)    En beskrivelse af de sandsynlige samt de faktiske konsekvenser af sikkerhedsbruddet
(d)    En beskrivelse af de foranstaltninger, som Databehandleren har truffet eller foreslår truffet for at håndtere Sikkerhedsbruddet, herunder, hvis det er relevant, foranstaltninger, der er foretaget for at begrænse dets mulige skadevirkninger.
Databehandleren skal desuden efter den Dataansvarliges anmodning uden unødig forsinkelse leve-re følgende oplysninger:
(e)    En begrundet vurdering af, om Sikkerhedsbruddet sandsynligvis eller sandsynligvis ikke vil medføre en risiko for fysiske personers rettigheder og frihedsrettigheder
(f)    En beskrivelse af de berørte systemer og processer
(g)    En beskrivelse af årsagen til Sikkerhedsbruddet
(h)    Tidspunktet for indtrædelsen af Sikkerhedsbruddet
(i)    Varighed af sikkerhedsbruddet
(j)    Information om, hvorvidt sikkerhedsbruddet fortsat består, eller om det er bragt til ende, og, i så fald, hvordan, og hvis ikke, hvornår det forventes at blive bragt til ende
(k)    En oversigt over de tiltag, som Databehandleren planlægger at iværksætte for at følge op på Sikkerhedsbruddet, den forventede tidsramme, og i hvor høj grad tiltagene vurderes at be-grænse og/eller afhjælpe Sikkerhedsbruddet
(l)    En oversigt over de tiltag, som Databehandleren allerede har iværksat, og i hvor høj grad til-tagene har begrænset eller afhjulpet Sikkerhedsbruddet
(m)    En beskrivelse af hvilke foranstaltninger der kunne have forhindret Sikkerhedsbruddet.
7.3.4    Hvis og i det omfang det ikke er muligt at levere oplysningerne anført i pkt. 7.3.1 – 7.3.3 samlet, kan oplysningerne leveres gradvist. Den gradvise levering skal foregå uden unødige forsinkelser.
7.3.5    I det omfang en eller flere af de oplysninger, der er nævnt under pkt. 7.3.1 – 7.3.3, ændres efter, at den Dataansvarlige har modtaget oplysningerne, skal Databehandleren straks give den Dataansvar-lige de opdaterede oplysninger med markering af, hvor de afviger fra de tidligere fremsendte oplys-ninger.
7.3.6    Hvis Sikkerhedsbruddet sker hos en underdatabehandler skal Databehandleren forestå kontakten til underdatabehandleren, medmindre andet aftales mellem Parterne.
7.4    Underretning af tredjemand
7.4.1    Hvis den Dataansvarlige efter persondatalovgivningen er forpligtet til at underrette enten myndig-hederne eller Registrerede om et sikkerhedsbrud, skal den Dataansvarlige afholde udgifter til at udarbejde og distribuere redegørelser eller offentlige udtalelser, der angiver både Databehandle-rens og den Dataansvarliges ansvar i forbindelse med det formodede eller indtrufne sikkerheds-brud, såfremt sikkerhedsbruddet alene skyldes den Dataansvarliges forhold.
7.4.2    Hvis Den Dataansvarlige efter persondatalovgivningen er forpligtet til at underrette enten myndig-hederne eller Registrerede om et sikkerhedsbrud, skal Databehandleren afholde udgifter til at ud-arbejde og distribuere redegørelser eller offentlige udtalelser, der angiver både Databehandlerens og den Dataansvarliges ansvar i forbindelse med det formodede eller indtrufne sikkerhedsbrud, så-fremt sikkerhedsbruddet alene skyldes Databehandlerens forhold.

8.    Information
8.1    Databehandleren skal straks informere den Dataansvarlige, hvis Databehandleren mener, at en instruks overtræder Databeskyttelsesforordningen, anden EU-ret eller medlemsstaternes nationa-le ret.

9.    Honorar til Databehandleren
9.1    Databehandleren har krav på betaling efter medgået tid samt Databehandlerens øvrige om-kostninger herved, for de ydelser der udføres efter Databehandleraftalen på den Dataansvarli-ges anmodning. Ydelserne kan omfatte, men er ikke begrænset til, assistance til den Dataan-svarliges forpligtelser efter artikel 32 – 36, ændringer i Aftalen eller instruks, udlevering af op-lysninger, bistand ved audit, bistand til Databeskyttelsesforordningens kapitel 3, bistand til ændringer der følger af nye risikovurderinger og konsekvensanalyser, så længe dette ikke beror på manglende levering af aftalte funktioner i de tekniske løsninger, der skal leveres af databe-handleren. Dette gælder blandt andet:

1. Bistand til udlæsning, gennemgang og udredning af log i forbindelse med patientklagesager.

2. Bistand til kryptering eller anden yderligere sikring af databaser, netværk, servere og andet udstyr der ikke er indeholdt i den Dataansvarliges kontrakt(er) med Databehandleren.

3. Bistand, ved anmodning fra den Dataansvarlige, til sletning af journaldata, såfremt den Da-taansvarlige selv har teknisk tilgængelig mulighed for at kunne foretage sletningen.
9.2    For ydelser der ikke er omfattet af punkt 9.1 er Databehandleren dog ikke berettiget til vederlag i det omfang Databehandleren jf. lovgivningen er den direkte forpligtede part.
9.3    Vederlaget opgøres efter de aftalte timesatser i aftale(r)n(e) om levering af Serviceydelserne, og hvor der ikke er aftalt timesatser heri, da efter Leverandørens gældende timesatser, der dog ikke må overskride branchekutyme.
9.4    Databehandleren har uanset ovenstående ikke krav på betaling for assistance eller implementering af ændringer i det omfang, sådan assistance eller ændring er en direkte følge af Databehandlerens egen misligholdelse af denne Aftale.

10.    Erstatningsansvar
10.1    Parternes ansvar under databehandleraftalen følgerdansk erstatningsret. I forhold til ansvar over for tredjemand finder Databeskyttelsesforordningens art. 82 anvendelse.

11.    Underdatabehandlere
11.1    Databehandleren må gøre brug af en anden databehandler (underdatabehandlere) uden forud-gående specifik godkendelse fra den Dataansvarlige, forudsat at Databehandleren skriftligt se-nest 14 dage forinden det planlagte opstartstidspunkt underretter den Dataansvarlige om iden-titeten på den potentielle underdatabehandler inden indgåelse af aftale med den pågældende underdatabehandler, hvorved den Dataansvarlige får 14 dage for at gøre indsigelse mod æn-dringer eller tilføjelser. Den Dataansvarliges indsigelse skal indeholde tungtvejende saglige grunde mod anvendelse af den påtænkte underdatabehandler, for at Databehandleren forplig-tiges til at efterkomme indsigelsen.
11.2    Den Dataansvarlige har ved denne Aftales indgåelse godkendt underdatabehandle-ren/underdatabehandlerne, som er anført i bilag A, pkt. 4. Databehandleren anvender de un-derdatabehandlere, som fremgår af oplysningerne i bilag A, pkt. 4.
Hvis der sker tilføjelse, fjernelse eller udskiftning af underdatabehandlere, fremsender Databe-handleren underretning om ændring af listen over underdatabehandlere til den Dataansvarlige. Kommunikationsformen er elektronisk og fastlægges nærmere af Databehandleren i bilag A, pkt. 4.
Såfremt Databehandleren har valgt at fremsende underretning om ændring af listen over un-derdatabehandlere til den Dataansvarlige via e-mail, er den fremsendt til den e-mailadresse hos den Dataansvarlige, som Aftalen er fremsendt til. Den Dataansvarlige skal straks underrette Databehandleren, hvis oplysninger om ændringer af listen over underdatabehandlere skal fremsendes til en anden e-mailadresse.
Det er den Dataansvarliges ansvar at gøre sig bekendt med tilføjelse, fjernelse eller udskiftning af underdatabehandlere ved at følge eventuelle henvisninger i den elektroniske kommunikation, når Databehandleren fremsender underretninger som beskrevet ovenfor.
Når Databehandleren har fremsendt underretning som beskrevet ovenfor, har Databehandle-ren underrettet den Dataansvarlige om tilføjelse, fjernelse eller udskiftning af underdatabe-handlere som beskrevet i nærværende pkt. 11.
11.3    Det er en forudsætning for antagelse af en underdatabehandler, at Databehandleren indgår en skriftlig aftale med underdatabehandleren om, at underdatabehandleren pålægges de samme databeskyttelsesforpligtelser, som dem der er fastsat i Aftalen, herunder at underdatabehandle-ren skal gennemføre passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen opfylder kravene i persondatalovgivningen.
11.4    Databehandleren er ansvarlig over for den Dataansvarlige for eventuelle underdatabehandlere på samme måde som for Databehandlerens egne handlinger og undladelser.

12.    Placering af Personoplysninger
12.1    Databehandleren må kun overføre personoplysninger til et land uden for EU/EØS eller internatio-nale organisationer i det omfang den Dataansvarlige godkender dette eller hvis det kræves i hen-hold til EU-retten eller national ret, som Databehandleren er underlagt. I så fald underretter Data-behandleren den Dataansvarlige om dette retlige krav, medmindre den pågældende ret også forby-der en sådan underretning.
12.2    Overførsel af personoplysninger uden for EU/EØS må i alle tilfælde kun ske, hvis Databehandleren har sikret et fornødent overførelsesgrundlag, f.eks. EU Kommissionens Standardkontraktsbe-stemmelser med de hertil nødvendige tillæg for overholdelse af Databeskyttelsesforordningen.
12.3    Hvis det i henhold til det anvendte overførselsgrundlag kræves, at den Dataansvarlige er direkte part heri, er Databehandleren bemyndiget til at gennemføre dette på den Dataansvarliges vegne, f.eks. ved at indgå aftale ved brug af EU Kommissionens Standardkontraktsbestemmelser, med de hertil nødvendige tillæg for overholdelse af Databeskyttelsesforordningen, på vegne af den Dataan-svarlige. Databehandleren skal snarest muligt orientere den Dataansvarlig, hvis denne bemyndi-gelse udnyttes.
12.4    Regulering gældende i medfør af det anvendte overførelsesgrundlag har forrang frem for regule-ringen i denne Aftale, dog alene i relation til den behandling, som nødvendiggør overførelses-grundlaget; øvrig behandling er alene reguleret af denne Aftale.
12.5    Databehandleren underretter den Dataansvarlige om eventuelle yderligere forpligtelser, som den Dataansvarlige kan blive underlagt som følge af lovgivningen i et land udenfor EU/EØS, som Data-behandleren overfører personoplysninger til.

13.    Påvisning af overholdelse, revisioner mv.
13.1    Databehandleren skal efter anmodning stille alle de oplysninger til rådighed for den Dataansvarli-ge, der er nødvendige for at påvise overholdelse af databeskyttelsesforpligtelserne under Aftalen og gældende persondatalovgivning samt gældende lovgivning om informationssikkerhed.
13.2    Databehandleren skal en gang årligt stille en rapport til rådighed for den Dataansvarlige med op-lysninger, der påviser, om Databehandleren overholder Aftalen. Rapporten skal udformes under hensyntagen til den fortrolighed, der er knyttet til behandlingen af følsomme oplysninger om hel-bredsforhold.
13.3    Databehandleren skal derudover give mulighed for og bidrage til revisioner og inspektioner, der foretages af den Dataansvarlige eller revisorer bemyndiget af den Dataansvarlige, de offentlige myndigheder i Danmark eller af anden kompetent jurisdiktion, i det omfang det er relevant for at kontrollere, at Databehandleren overholder Aftalen og gældende persondatalovgivning. Den på-gældende revisor skal være underlagt tavsheds- og fortrolighedsforpligtelse, enten aftalemæssigt eller ved lov, hvorpå Databehandleren kan støtte direkte ret. Udføres revision af en anden end den Dataansvarlige selv, skal denne anden revisor være uafhængig og ikke-konkurrerende i forhold til Databehandleren.

14.    Ændringer til Aftalen
14.1    Enhver ændring af Aftalen, herunder instruksen skal ske på baggrund af aftale mellem de parter, der er nævnt i aftalens pkt. 1.1.Den Dataansvarlige kan dog give instruks om, at Databehandleren skal standse videre behandling af de overladte personoplysninger, hvis dette er aftalt mellem oven-nævnte parter.
14.2    Databehandleren har krav på betaling af omkostninger forbundet med ændringer i overensstem-melse med pkt. 9.
14.3    Ændringerne anses først for gældende, fra ændringerne er implementeret.
14.4    Databehandleren kan afslå en ændring. Databehandleren skal herefter ophøre med videre behand-ling af den Dataansvarliges personoplysninger og enten slette eller tilbagelevere oplysningerne ef-ter den Dataansvarliges valg og i overensstemmelse med punkt 15 nedenfor.
14.5    Den Dataansvarlige kan med et rimeligt varsel til Databehandleren ændre bestemmelserne i Afta-len, hvis sådan ændring er nødvendig for at overholde gældende lovgivning. Sådanne ændringer af-tales konkret mellem parterne nævnt i pkt. 1.1.
14.6    I så fald skal Databehandleren sørge for at indarbejde tilsvarende ændringer i bestemmelserne i eventuelle aftaler med underdatabehandlere.

15.    Varighed og ophør
15.1    Aftalen træder i kraft ved indgåelsen og løber så længe det er relevant for Databehandlerens udfø-relse af aftalte opgaver og forpligtelser over for den Dataansvarlige.
15.2    Databehandleren skal ved ophør af leveringen af Serviceydelser på anmodning fra den Dataansvar-lige slette eller tilbagelevere alle eksisterende eksemplarer af Personoplysningerne, hvis parterne nævnt i pkt. 1.1 træffer beslutning herom. .
15.3    Efter tilbagelevering af Personoplysningerne til den Dataansvarlige/sletning af Personoplysninger-ne må Databehandleren kun opbevare en kopi deraf, hvis det i henhold til EU-lovgivning eller EØS-medlemsstaternes nationale lovgivning er påkrævet, at Databehandleren opbevarer Personoplys-ningerne. I så fald skal Databehandleren underrette den Dataansvarlige derom, herunder med en henvisning til det juridiske grundlag for fortsat opbevaring. Den Dataansvarlige kan gøre indsigelse mod den fortsatte opbevaring af Personoplysningerne.
15.4    Hvis der efter Aftalens ophør opstår tvivl om, hvorvidt Databehandleren behørigt har slettet alle Personoplysningerne, kan den Dataansvarlige mod betaling af Databehandlerens omkostninger herved anmode om, at Databehandleren på den Dataansvarliges regning indhenter en revisorer-klæring om, at Databehandleren ikke længere behandler Personoplysningerne.
15.5    Pkt. 5 (Databehandlerens bistand til den Dataansvarlige) og pkt. 13 (Påvisning af overholdelse, revi-sioner mv.) gælder i 18 måneder efter Aftalens ophør.

16.     Lovvalg og værneting
16.1    Aftalen er underlagt dansk lovgivning.
16.2    Enhver tvist, som måtte opstå i forbindelse med Aftalen, herunder tvister vedrørende aftalens eksi-stens eller gyldighed, skal afgøres af domstolene.

17.    Underskrifter
17.1    Aftalen indgås ved at dataansvarlige via KiAP´s hjemmeside med sin virksomheds NemID godken-der databehandleraftalen.

Sted:
Dato:
For [Part]:

[Navn]        [Navn]

Bilag A – Oplysninger om databehandlingen
Version 1: 15. juni 2018
1.    Registrerede
1.1    Databehandleren behandler personoplysninger om følgende kategorier af registrerede (“Regi-strerede”) på vegne af den Dataansvarlige og følgende type af personoplysninger (herefter be-nævnt ” Personoplysninger”) om de Registrerede på vegne af den Dataansvarlige:
Patienter
Særlige kategori-er af personop-lysninger    Helbredsoplysninger

Generelle katego-rier af personop-lysninger    Navn, cpr.nr, køn

2.    Formål
2.1    Databehandlerens behandling af Personoplysninger for den Dataansvarlige sker til følgende formål:
Visning af data til de af den Dataansvarliges patienter, der har fået udarbejdet en forløbsplan. Data fremsendes fra den Dataansvarliges journalsystem via en webservice til Databehandleren. Patienten får adgang til egne data via NemID.

3.    Databehandlingsaktiviteter/databehandlingens karakter
3.1    Databehandlerens behandling af Personoplysninger for den Dataansvarlige omfatter bl.a., herun-der men ikke begrænset til følgende aktiviteter:
?    Ved at opbevare Personoplysninger og sikre systemers tilgængelighed, integritet og fortrolig-hed
?    Ved at yde remote service til den Dataansvarliges patienter
?    Sletning
4.    Underdatabehandlere
4.1    Brug af underdatabehandlere er reguleret i Aftalens pkt. 11 samt i bilag A, pkt. 4.
4.3    Underdatabehandlere godkendt ved Aftalens indgåelse
Følgende underdatabehandlere er godkendt på tidspunktet for Aftalens indgåelse på de be-tingelser, der følger af Aftalens pkt. 11.
Navn på underda-tabehandler    Adresse på under-databehandler    Land, hvor Person-oplysningerne op-bevares    Formålet med overførslen til da-tabehandleren
Syddansk Universi-tet    Campusvej 55
5230 Odense M    Danmark    Back up

5.    Modtagere
5.1    Databehandleren må ud over eventuelle underdatabehandlere videregive aggregerede, anonyme oversigter på ydernummer niveau, for hvordan og hvor meget den dataansvarliges patienter har anvendt forløbsplaner og sundhedsmappe.dk. Den Dataansvarlige er ansvarlig for, at overholde den til enhver tid gældende persondatalovgivning i forhold til de personoplysninger, som overlades til Databehandlerens behandling med henblik på videregivelse.
Ved aftalens indgåelse foreligger der ikke pligt til at vidergive personoplysninger på identificerbart niveau, hvorfor der alene deles aggregerede, anonyme oversigter på ydernummerniveau. Disse vi-ser i hvilket omfang den dataansvarliges patienter har anvendt forløbsplaner og sundhedsmap-pe.dk.

Bilag B – Sikkerhedsinstrukser
Databehandleren skal i forbindelse med behandling af Personoplysningerne som minimum træffe de nød-vendige tekniske og organisatoriske sikkerhedsforanstaltninger, jf. Aftalens pkt. 6. Herudover skal databe-handleren træffe de nedenfor beskrevne tekniske og organisatoriske sikkerhedsforanstaltninger i forbin-delse med behandling af Personoplysningerne;

1.    Standarder
1.1    Databehandleren skal efterleve principperne i ISO 27001 på relevante områder eller en i øvrigt anerkendt standard indenfor IT-drift, i det omfang andet ikke fremgår af nærværende databehand-leraftale.

2.    Operationel sikkerhed
2.1    Databehandleren skal sikre;
(A)    at det nødvendige og tilstrækkelige sikkerhedsniveau vedligeholdes og opretholdes, samt at eventuelle ændringer i Databehandlerens sikkerhedsforanstaltninger relevante for Person-oplysningerne logges og dokumenteres,
(B)    at ændringer og vedligeholdelse af Databehandlerens sikkerhedsforanstaltninger så vidt mu-ligt ikke påvirker den Dataansvarliges forretning, herunder men ikke begrænset til it-systemer, netværk, forbindelser og svartider,
(C)    at Databehandlerens eventuelle testmiljøer er tilstrækkelig afgrænset og i øvrigt sikret mod uautoriseret adgang,
(D)    at Databehandlerens it-systemer og netværk er tilstrækkeligt sikret mod hacking og anden uautoriseret adgang,
(E)    at Databehandleren gennemfører kontroller for at opdage og forhindre svindel, malware mv., og
(F)    at dennes interne operationelle sikkerhedsprocedurer og -manualer følges.

3.    Fysisk sikkerhed
3.1    Databehandleren skal sikre sine fysiske lokaliteter, servere mv. mod uautoriseret adgang.
3.2    Databehandleren skal have interne sikkerhedsprocedurer der ved fjernelse, afhændelse eller gen-brug af hardware sikrer, at den Dataansvarliges Personoplysninger ikke kompromitteres.

4.    Backup
4.1    Databehandleren skal foretage backup af Personoplysningerne samt teknisk test af backup.
4.2    Databehandleren vil én gang i døgnet tage en backup af den Dataansvarliges oplysninger på sund-hedsmappen. Backup-overførslen skal være krypteret. Backup skal opbevares i et aflåst område i en anden bygning end hvor produktionsserveren fysisk er placeret. Backup gemmes i 5 uger.
4.3    Databehandleren stiller en erklæring om backup og teknisk test af backup til rådighed for den Da-taansvarlige.

5.    Adgang til Personoplysninger
5.1    Databehandleren skal sikre, at kun relevante medarbejdere har adgang til de behandlede Person-oplysninger.
5.2    Databehandleren skal efter den Dataansvarliges anmodning på ethvert tidspunkt kunne afgive en erklæring om hvilke personer, som har haft adgang til Personoplysningerne på vegne af Databe-handleren.
5.3    Databehandleren skal sikre, at enhver person, der udfører arbejde for Databehandleren og får ad-gang til Personoplysningerne, kun behandler sådanne oplysninger efter den Dataansvarliges in-struks, medmindre behandlingen er påkrævet i henhold til EU-lovgivningen eller EØS-medlemsstaternes nationale lovgivning.
5.4    Databehandleren skal sikre, at enhver person, der udfører arbejde for Databehandleren og får ad-gang til Personoplysningerne har oparbejdet tilstrækkeligt kendskab til korrekt håndtering af per-sonoplysninger, og at de pågældende medarbejdere er bekendt med de for Aftalen gældende sik-kerhedskrav.

6.    Logning
6.1    Databehandler foretager logning i overensstemmelse med lovgivningen og gældende branchestan-darder.
6.2    Der skal foretages logning af alle afviste adgangsforsøg. Hvis der inden for en periode på 24 timer er registreret højst 5 på hinanden følgende afviste adgangsforsøg fra samme bruger, skal der blokeres for yderligere forsøg. Adgangen må først åbnes, når årsagen er klarlagt og dokumenteret.
6.3    Der skal foretages maskinel logning af alle anvendelser af personoplysninger. Loggen skal mindst indeholde oplysninger om tidspunkt, bruger, type af anvendelse og angivelse af den person, de an-vendte oplysninger vedrører eller det anvendte søgekriterium.
6.4    Den Dataansvarlige kan på anmodning få de relevante logs udleveret fra Databehandleren.
6.5    Log opbevares i 6 måneder.

7.    Samarbejde med myndigheder
7.1    Databehandleren samarbejder efter anmodning med Datatilsynet og eventuelle øvrige tilsynsmyn-digheder i forbindelse med udførelsen af sådanne tilsynsmyndigheders opgaver. Databehandleren er herunder berettiget til at give Datatilsynet adgang til alle personoplysninger og oplysninger, der er nødvendige for at varetage Datatilsynets opgaver.
7.2    Efter Databehandlerens valg træffer enten den Dataansvarlige eller Databehandleren de nødvendi-ge foranstaltninger til at sikre overholdelse af en afgørelse fra Datatilsynet. Eventuelle ændringer i forhold til sikkerhedsniveau gennemføres som en ændring i henhold til denne Aftale. Den Dataan-svarlige underretter Datatilsynet om de foranstaltninger, der er truffet for at overholde afgørelsen.
7.3 Meddeler Datatilsynet Databehandleren påbud, skal Databehandleren efterkomme sådant påbud i overensstemmelse med den nærmere angivne måde og inden for den angivne frist.

Privatlivspolitik

CGM 2020 ©​ | All Rights Reserved