Deling af data med eksterne (til brug for dit projekt)
Læs mere om hvilke regler og lovgivning der er gældende for deling ad data med eksterne
Du skal indgå en databehandleraftale, hvis du tilknytter en ekstern person/institution/virksomhed til dit projekt og denne skal behandle personoplysninger på vegne af projektet.
Ved en ekstern person forstås en person, som ikke er ansat i Region Syddanmark eller på anden måde kan anses for at være en del af Region Syddanmarks juriske enhed.
Det betyder, at der ikke skal indgås en databehandleraftale, hvis din kollega ansat i Region Syddanmark skal bistå dig i projektet. Derimod skal der indgås en databehandleraftale, hvis fx en SDU-ansat skal arbejde med persondata i projektet.
I tvivl om databehandleraftale er den rigtige løsning? Læs mere på Region Syddanmarks intranet.
Regionerne har indgået en rammedatabehandleraftale, som gælder for forskningsprojekter (kvalitetsprojekter, patientbehandling m.v. er ikke omfattet), som anvender en databehandler i en anden region (en person, som udfører databehandlingen i regi af sin ansættelse i en region). Det er en forudsætning, at data skal behandles / opbevares i ét af regionens risikovurderede systemer, fx RedCap eller Sharepoint.
I disse tilfælde skal du alene udfylde et bilag (bilag 3). Selve aftalen er indgået mellem regionerne. Dokumentet "Fællesregional databehandleraftale" skal derfor ikke udfyldes.
Her kan du finde bilag 3 med hjælpetekster.
Du skal sende bilaget til ouh.projektjura@rsyd.dk med henblik på registrering på fortegnelsen og journalisering. Slet gerne hjælpeteksterne forud for fremsendelse til projektjura-postkassen.
Det skal også fortegnelsesregistreres, hvis du (Region Syddanmark) er databehandler for et projekt i en anden region. Derfor skal du skrive til ouh.projektjura@rsyd.dk - du vil da få oplyst det sagsnr., der skal angives under punkt 2 i det bilag 3, som du har modtaget fra den region, der er ansvarlig for projektet.
Bemærk, at rammedatabehandleraftalen mellem regioner ikke omfatter kvalitetsprojekter, patientbehandling m.v. Her skal i stedet anvendes den fællesregionale skabelon til databehandleraftale, som findes umiddelbart herunder:
På tværs af regionerne er vedtaget en fælles skabelon til databehandleraftale. Den omfatter forsknings- og kvalitetsprojekter, og skal anvendes, når:
- der indgås databehandleraftale med andre end regioner, eller
- ved brug af databehandlere i kvalitetsprojekter - uanset om databehandleraftalen indgås med en region.
Du kan finde skabelonen med hjælpetekster her (link til regionens intranet, hvor du finder "Databehandleraftale til brug for forsknings- og kvalitetsprojekter med forskningsrettede hjælpetekster" under Relevante dokumenter til højre på siden).
Har du behov for en engelsk version af databehandleraftaleskabelonen er den at finde på samme side - også under Relevante dokumenter. Der er desværre endnu ikke indsat hjælpetekster til udfyldelse af den engelske version, men opstår der spørgsmål i forbindelse med udfyldelsen, kan I se på den danske version med hjælpetekster.
Når du anvender skabelonerne ovenfor er den juridiske ramme for samarbejdet med den eksterne part (databehandleren) på plads. Det betyder, at hvis der ikke foretages ændringer i skabelonens standardtekst, så kan du ud fra en juridisk betragtning være tryg ved anvendelsen af denne.
Selve udfyldelsen af aftalen kræver projektindsigt. Du skal derfor i samarbejde med den eksterne part (databehandleren) udfylde skabelonen med de projektspecifikke oplysninger, og efterse om udfyldelsen afspejler det, som der er aftalt for samarbejdet.
Du skal sende aftalen til ouh.projektjura@rsyd.dk med henblik på registrering på fortegnelsen og journalisering.
Det skal også fortegnelsesregistreres, hvis du (Region Syddanmark) er databehandler for et projekt forankret andetsteds. Derfor skal du sende den underskrevne databehandleraftale til ouh.projektjura@rsyd.dk - du vil herefter modtage en mail, der bekræfter, at databehandlerforholdet er registreret og aftalen journaliseret.
Samarbejdsaftale: I henhold til OUHs tværgående retningslinje om Indgåelse af forskningskontrakter med eksterne parter, skal du indgå en samarbejdsaftale, når du inddrager eksterne i dit projekt. Læs mere midt på denne side under overskriften "Overvej samarbejdsaftale".
Risikovurdering: Der skal også udarbejdes en risikovurdering for behandlingen af personoplysninger i dit forskningsprojekt, hvis databehandleren behandler personoplysninger i et system, der ikke allerede er risikovurderet i Region Syddanmark. Læs mere her. Har du spørgsmål til udarbejdelsen af riskovurdering kan Informationssikkerhed@rsyd.dk kontaktes.
Region Syddanmark har også indgået rammedatabehandleraftaler med Danmarks Statistik, Sundhedsdatastyrelsen for Forskermaskinen og Ucloud for Abacus (SDU).
Det betyder, at hvis du bruger én af ovenstående systemer skal du ikke indgå en databehandleraftale. Du skal blot sætte kryds ved feltet om databehandler i Region Syddanmarks anmeldelsesskema, og skrive navnet på databehandleren fx Danmarks Statistik.
Dog skal du ved brug af Ucloud være opmærksom på, at der alene må behandles pseudonymiserede data i Ucloud, dvs. almindelige personoplysninger og følsomme personoplysninger i form af helbredsoplysninger koblet med et unikt ID (ikke CPR nr.).