Når eksterne samarbejdspartnere, organisationer eller personer skal behandle data for Absalon eller skal have adgang til Absalons systemer og data, skal der enten laves en databehandleraftale eller en fortrolighedserklæring.
Som chef (eller leder) i Absalon har du ansvaret for, at der udarbejdes en aftale eller underskrives en fortrolighedserklæring for de systemer eller services, som din afdeling har ejerskabet til.
Databehandleraftale
Såfremt du indgår en aftale med en leverandør - en person eller en organisation - om behandling* af persondata**, som Absalon er ansvarlig for, skal der som en del af kontrakten indgås en databehandleraftale med denpågældende.
Eksempel
En underviser eller en biblioteksmedarbejder køber/bestiller adgang til en service, hvor adgangen til denne service sker via UNI-login.
Dette kunne for eksempel være et undervisningsprogram til de studerende, eller en ordbog på nettet. Leverandøren af denne service vil så bede om adgang til at slå op i UNI-login systemet, for at finde alle vores ansatte og studerende, så de ved hvem der har købt adgang og dermed må logge på den pågældende service. Dette opslag vil kræve en databehandleraftale, da leverandøren på denne måde har adgang til, og mulighed for, at benytte vores data.
Når eksterne organisationer eller personer behandler Absalons data, reguleres det altid via en kontrakt, og databehandleraftalen vil typisk være en del af denne kontrakt. En typisk behandling af Absalons data foreligger, når vi har outsourcet en service, fx Epos (Behandling af medarbejderdata), Wiseflow og Praktikportal (Studenterdata).
Databehandleraftalen skal indeholde
- Formålet med behandlingen
- Kontaktperson(er) hos databehandler
- Evt. underleverandør(er). Navn og kontaktoplysninger
- Typer af behandling:
- De kategorier af personer, som data omhandler
- Typer af persondata, som indgår i databehandlingen
* Behandling er: Enhver aktivitet eller række af aktiviteter – med eller uden brug af automatisk behandling – som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse.
** Persondata er: Enhver form for information om en identificeret person eller gør personen identificerbar (direkte eller indirekte) gennem f.eks. Helbredsoplysninger, fingeraftryk, alkoholmisbrug, oplysninger om straffeovertrædelser, telefonnummer, fagforeningsmæssigt tilhørsforhold, CPR-nummer, navn, e-mail, IP-adresse, billeder, TV-overvågning, CV, oplysninger om økonomi etc.
Du kan vælge at benytte skabelonen eller du kan anvende leverandørens egen aftale, når blot den mindst indeholder samme information som vores. Du skal endvidere være opmærksom på, at det er Absalons ansvar at sikre, at leverandøren har dokumentation for at have gennemført tilstrækkelige organisatoriske og tekniske foranstaltninger for at sikre data. Dette kan f.eks. ske ved en revisorerklæring.
Databehandleraftalen arkiveres som en del af kontrakten på den pågældende service
Bemærk: Digital skal altid involveres i forbindelse med indgåelse af kontrakter i forbindelse med indførelse af nyesystemer/services
Fortrolighedserklæring
Nå en organisation eller person skal have adgang til eller får mulighed for at arbejde med Absalons data, f.eks. ved at få adgang til Absalons systemer eller services, skal de(n) pågældende underskrive en fortrolighedserklæring. Det kan f.eks. være eksterne konsulenter, revisorer, forskere. Det samme gælder desuden alle personer, som kan være løst ansat og hvor ansættelsen ikke er sket gennem HR fx vikarer eller andre midlertidigt ansatte.
Fortrolighedserklæringen skal indeholde
- Oplysninger om afdeling og kontaktperson
- Grundlag eller formålet med adgangen
- Oplysninger om den pågældende person, samt evt. firmaoplysninger
Fortrolighedserklæringen arkiveres sammen med øvrige aftaledokumenter.
Skabeloner
Databehandleraftaler
Absalon har udarbejdet skabeloner til databehandleraftaler.
- Databehandleraftale – Absalon dataansvarlig (DK)
- Databehandleraftale – Absalon dataansvarlig (ENG)
- Databehandleraftale – Fælles dataansvar (DK)
Fortrolighedserklæring
Absalon har udarbejdet en fortrolighedserklæring.
Som medarbejder i Absalon finder du den på vores intranet.