Avtale om leveranse av IKT-tjenester Del II - Databehandleravtale

Avtale om leveranse av IKT-tjenester Side : 6 av 10
Del II - Databehandleravtale Versjon: 0.1
Databehandlingsansvarlig kan til enhver tid velge å stanse videre behandling av
personopplysninger hos Databehandler eller kreve endringer i behandlingsmåten. De
merkantile virkningene av forespørsler fra Databehandlingsansvarlig om endringer i
behandlingsmåten, eller hel eller delvis avslutning av behandlingen, håndteres i henhold til
Tjenesteavtalens bestemmelser om endringshåndtering og/eller avbestilling/oppsigelse.
Databehandler plikter å ha dokumentert sitt system for behandling av personopplysninger og
rutiner som er relevante i forbindelse med denne avtalen. Med dokumentasjon menes bl.a.
beskrivelse av rutiner for autorisasjon og bruk, samt tekniske og organisatoriske
sikkerhetstiltak. Dokumentasjonen skal være tilgjengelig for databehandlingsansvarlig,
Datatilsynet og Helsetilsynet, jf. punkt 6 nedenfor.
4 Informasjonssikkerhet
4.1 Overordnede krav til informasjonssikkerhet
Databehandler skal til enhver tid oppfylle de krav til informasjonssikkerhet som følger av
Tjenesteavtalen og Databehandlingsansvarliges sikkerhetsstrategi og sikre at all behandling
av personopplysninger som er omfattet av denne avtalen skjer i henhold til det nivå for
akseptabel risiko som er fastsatt av Databehandlingsansvarlig. Gjennomført risikovurdering
skal fremlegges av databehandler for egen og eventuelle underleverandørers sikkerhet som
del av dette.
Databehandlingsansvarlig skal påse at den til enhver tid gjeldende sikkerhetsstrategi og
beslutninger med hensyn til akseptabel risiko er tilgjengelig for Databehandler. Det samme
gjelder oversikt over hvilke typer personopplysninger som behandles i henhold til
Tjenesteavtalen.
Databehandler kan etter særskilt avtale bistå Databehandlingsansvarlig i dennes arbeid med
gjennomføring av risikoanalyse og utarbeiding av sikkerhetsstrategi.
Databehandler har et selvstendig ansvar for å påse at behandling av personopplysningene
skjer i overensstemmelse med kravene til informasjonssikkerhet i helseregisterloven § 16,
personopplysningsloven § 13 og personopplysningsforskriften kap. 2. Det forutsettes at
Databehandleren har utarbeidet tilfredsstillende sikkerhetsmål, -strategi, -organisering og
ansvar i samsvar med Personopplysningsloven og –forskriften og at dette følges opp med
nødvendig Internkontrollsystem.. Databehandleren skal oppfylle kravene i Norm for
informasjonssikkerhet i helsesektoren.
Databehandler skal etablere og vedlikeholde planlagte og systematiske tiltak som er
nødvendige for å oppfylle kravene i eller i medhold av helseregisterloven og
personopplysningsloven, jf. helseregisterloven § 17 og personopplysningsloven § 14
(internkontroll), herunder om prosedyrer for logging av feil og avvik og for varsling og
håndtering av slike avvik.
Databehandleren skal så snart som mulig, og senest innen 24 timer, varsle Databehandlingsansvarlig
om eventuelle avvik som er av betydning for Databehandlingsansvarliges
informasjonssikkerhet, og så snart som mulig iverksette tiltak for å avhjelpe (lukke) avvikene
Kunde: Sunnaas Sykehus HF Del 2 Avtale SP IKT - Databehandleravtale
Leverandør: Sykehuspartner
Parafering: _______ / _______