Én databehandleravtale dekker ikke alle leverandørene

Mappen har én signert avtale. I saken ligger tre systemer. Visma. 360. En portal.

Én avtale dekker én databehandler. Ikke kjeden.

Kommunen bestemmer formålet. Det gjør dere til behandlingsansvarlig. Xala behandler på vegne av dere. Det gjør oss til én databehandler. Ikke til behandlingsansvarlig.

Hva Datatilsynet faktisk krever

Datatilsynet sier at forholdet mellom behandlingsansvarlig og databehandler skal være regulert i en databehandleravtale. Avtalen setter rammen for hva databehandleren kan gjøre.

Dere trenger en avtale med hver databehandler. Ikke én felles avtale for alle som rører saken.

Prinsipp 4 er å gjenbruke data dere allerede har, ikke å samle dem på nytt hos hver leverandør. Prinsipp 5 er å bruke løsningene dere har, ikke å lage et nytt avtalesystem ved siden av.

KS er ett sted. Ikke alle stedene.

Hos KS Fiks ligger det én overordnet databehandleravtale, og så Bilag 10 per tjeneste: SvarUt, Folkeregister, MinSide. Ett vedlegg for den tjenesten. Ikke ett vedlegg som dekker Visma, 360 og portalen.

Xala er ikke KS. En avtale med oss dekker det vi behandler for dere. Den dekker ikke de andre.

Hvem som er behandlingsansvarlig, skifter

Digdirs bruksvilkår v1.8 splitter rollene: kunden er behandlingsansvarlig for sine data. Digdir er databehandler der de behandler på vegne av kunden.

Skatteetaten er behandlingsansvarlig for Folkeregisteret fram til opplysningen er utlevert. Etter utlevering er kommunen behandlingsansvarlig. Det står i Skatteetatens delingsvilkår.

Da trenger dere avtale med den som behandler opplysningene for dere etter utlevering. Ikke med Skatteetaten for den jobben.

Hva som kan kobles, og hva som blir hos dere

Prinsipp 5: bruk fagsystemet og avtalene dere allerede har.

Prinsipp 6: avtalen skal treffe den behandlingen som faktisk skjer, hos den leverandøren som gjør den.

Prinsipp 2: kommunen beslutter. Kommunen blir værende behandlingsansvarlig.

Det som kan kobles: hvilke systemer som rører saken, hvilken avtale som hører til hvilket system, og en logg på hvem som behandlet hva.

Det som blir hos dere: å være behandlingsansvarlig. Å velge formål. Å si ja eller nei til underdatabehandlere.

Xala kan være databehandler for Bevillingsportal og Tilskuddsportal. I Nordre Follo er det slike portaler. Kommunen er behandlingsansvarlig der også. Xala skrev ikke kommunens øvrige avtaler.

Ofte stilte spørsmål

Trenger vi én databehandleravtale per leverandør? Ja. Datatilsynet krever avtale mellom behandlingsansvarlig og hver databehandler. Én signert avtale dekker ikke tre systemer.

Er Xala behandlingsansvarlig for kommunens saker? Nei. Kommunen er behandlingsansvarlig. Xala er én databehandler, der vi behandler på vegne av dere.

Dekker KS-avtalen Visma, 360 og portalen? Nei. KS Bilag 10 er vedlegg per Fiks-tjeneste under én overordnet avtale med KS. De andre leverandørene er egne databehandlere.

Når blir kommunen behandlingsansvarlig for folkeregisterdata? Når opplysningen er utlevert. Fram dit er Skatteetaten behandlingsansvarlig for Folkeregisteret.

Kan Xala skrive alle databehandleravtalene deres? Nei. Vi kan avtale det vi selv behandler. Vi eier ikke Visma, 360, KS Fiks eller Folkeregisteret.