FAQ Databehandleraftale

Spørgsmål til databehandleraftalen vil blive behandlet og besvaret af DPO Danmark.

FAQ

Skal vi stadig underskrive aftalen nu, hvis vi ikke har planer om at skifte over i den nærmeste fremtid?

I behøver ikke underskrive databehandleraftalen før I er klar til at overgå til den nye CMS-løsning. Når I er klar, er det selvfølgelig en god idé at sagsbehandle og underskrive databehandleraftalen i god tid før lanceringen (gerne flere uger før).

Erstatter den fremsendte Databehandleraftale den eksisterende aftale indgået med DDB/Det Digitale Folkebibliotek vedrørende CMS, webgrænseflader, app m.m.?
 
Nej, kun delvist. Driftssetuppet er ændret i forbindelse med lancering af ny CMS platform (tidligere kaldet Next). 

Databehandleraftalen dækker alene driften af CMS og support heraf, dvs. øvrige services som basispakke og udlåningsordningen eReolen er ikke omfattet. Introduktionen af et nyt CMS og den nye Databehandleraftale medfører i sig selv ingen ændringer til øvrige aftaler og underleverandører. Redia er f.eks. stadig leverandør til Det Digitale Folkebibliotek af app-løsninger.

Hvorfor nævnes krav om ISAE-3000 (GDPR) revisorerklæring ikke i først fremsendte version af Databehandleraftalen? 

 Krav om ISAE-3000 (GDPR) revisorerklæring samt præciseringer vedrørende inspektioner er tilføjet i version 2 af Databehandleraftale efter ønske fra enkelte kommuner. 

Præcist hvilke elementer er omfattet af ydelsen og hvilke personoplysninger bliver behandlet i CMS løsningen? 

 Beskrivelsen af ydelsen fremgår af databehandleraftalens punkt 2.3. Der leveres alene drift af CMS-systemet med det indhold som bibliotekerne leverer samt tilknyttet support af driftsmiljøet. 
 
Der er i den opdaterede databehandleraftale foretaget en formatmæssig opdatering af beskrivelsen af personoplysninger. Indholdet har ikke ændret sig. 
 
Den centrale del af driften relaterer sig til det indhold, der er på hjemmesiderne, som bibliotekerne selv offentliggør. Herudover behandles oplysninger om de administratorer, som bibliotekerne opretter (navn, e-mail og stillingsbetegnelse). 
 
I forbindelse med support af driftsmiljøet og fejlfinding er der mulighed for, at driftsleverandøren ved at sammenstille forskellige oplysninger kan få adgang til brugeroplysninger, herunder CPR-numre på biblioteksbrugere samt oplysninger om hvilke bøger biblioteksbrugeren har på sin huskeliste.  

Som beskrevet i databehandleraftalens punkt A.2 har denne behandling nærmere en teoretisk karakter end en praktisk karakter, herunder grundet udløb af tokens. Men da adgangen til de pågældende oplysninger er teknisk muligt for databehandler, er forholdet adresseret i databehandleraftalen. Personoplysninger der tilgås i forbindelse med support behandles alene hos underdatabehandleren Reload og behandles således ikke i et cloud-miljø hos Microsoft. 

Er behandling af data fra andre systemer end CMS omfattet af databehandleraftalen?  

Databehandleraftalen regulerer udelukkende data fra bibliotekernes hjemmesider, herunder oplysninger om administratorer. Dertil kan der blive behandlet specifikke personoplysninger i forbindelse med support. Se uddybende svar herom ovenfor.  

Hvor længe behandles personoplysninger i relation til ny CMS platform (tidligere kaldet Next)? 

Det er den dataansvarlige, der afgør hvor længe personoplysninger skal behandles. Når databehandler sletter oplysninger, f.eks. I forbindelse med en opdatering af hjemmeside eller udskiftning administratorer, så sker der automatisk en opdatering af de data, der indgår i driftsmiljøet. Dvs. tidligere oplysninger slettes. Der tages løbende back-up af data og back-up vil derfor i en periode indeholde slettede oplysninger. Back-up gemmes i op til 90 dage.  

Hvad dækker begrebet GUID? 

GUID står for Global User IDentifier og er et krypteret og ikke-sporbart bruger-ID GUID er den metode hvorpå bruger og huskeliste bliver koblet sammen, men tilknytning bliver ikke gemt direkte, det skabes ved hvert login via krypterede nøgler (tokens). 

Læs evt. mere her: Ordliste over akronymer, forkortelser og svære ord 

For en overordnet introduktion til bibliotekernes samlede digitale infrastruktur hvori CMS løsningen indgår som en mindre del se: Den Digitale Alliance - Forstå den digitale infrastruktur 

 Er det et krav at underskriver af Databehandleraftale og kontaktperson er identisk? 

  Nej, der er ikke indsat krav om at kontaktperson og underskriver skal være den samme person.

Hvis bibliotekerne opretter egne moduler på hjemmesiden med eksempelvis oplysninger om lånerstatus og reservationer, vil oplysninger herfra blive behandlet under databehandleraftalen? 

Grundet opbygningen af CMS-løsningen, vil sådanne oplysninger ikke blive behandlet hos databehandler. Rent teknisk sker blot en udstilling heraf hos biblioteket og data vil ikke tilgå databehandleren. 

Det er anført i databehandleraftalen, at der behandles data i tredjeland. Hvordan sket det forstås?  

 Den grundlæggende drift af data fra hjemmesider sker i en cloud-løsning hos Microsoft. Driften udføres i praksis fra et europæisk datacenter, men idet Microsoft er en amerikansk virksomhed kan det ikke udelukkes, at der sker overførsel til USA. Det fremgår derfor af databehandleraftalen, at der behandles data i tredjeland.  

Overførselsgrundlaget er Europa-Kommissionens tilstrækkelighedsafgørelse (EU-U.S. Data Privacy Framework). Som beskrevet i et tidligere svar, er det alene hjemmesideindhold og oplysninger om administratorer, der behandles hos Microsoft.  

Datatilsynet har i en række nyheder beskrevet tilstrækkelighedsafgørelsen om det såkaldte EU-U.S. Data Privacy Framework, der danner grundlaget for at Microsoft kan benyttes. Se eksempelvis denne nyhed:  

https://www.datatilsynet.dk/internationalt/internationalt-nyt/2023/jul/eu-kommissionen-vedtager-tilstraekkelighedsafgoerelse-vedroerende-usa 

PwC Danmark har skrevet en udmærket artikel om anvendelse af amerikanske cloud-leverandører 

Nu kan private organisationer og offentlige myndigheder lovligt overføre personoplysninger til USA (pwc.dk)

Er Det Digitale Folkebibliotek i dialog med Det fælleskommunale Databehandler Sekretariat? 

DDF er i løbende dialog med Det fælleskommunale Databehandler Sekretariat, men er ikke involveret i sekretariatets behandlingstider og proces med den enkelte kommune i forhold til godkendelse af vedhæftede Databehandleraftale.

Databehandlerkæden illustreret: