32.1 College 6.1 Bewerkersovereenkomst IKZ.pdf

Bewerkersovereenkomst Partijen Gemeente Steenwijkerland hierna te noemen: verantwoordelijke; en De besloten vennootschap VNG KCHN Advies B.V., statutair gevestigd te Den Haag, kantoorhoudende te Den Haag, aan de Nassaulaan 12 , te dezen rechtsgeldig vertegenwoordigd door haar bestuurder/directeur de heer A. van Mierlo, hierna te noemen Bewerker overwegende: 1. dat VNG KCHN Advies B.V. is aan te merken als bewerker in de zin van de Wet bescherming persoonsgegevens (hierna: Wbp) en de gemeenten zijn aan te merken als verantwoordelijke in de zin van de Wbp, aangezien VNG ten behoeve van deze convenantpartners gegevens verwerkt, zonder aan rechtstreeks gezag van hen te zijn onderworpen en de verantwoordelijke het doel van en de middelen voor de verwerking van de persoonsgegevens vaststelt; 2. dat in dit kader persoonsgegevens worden verwerkt; 3. dat bewerker door verantwoordelijke gemandateerd is om zich aan te sluiten bij het Informatieknooppunt zorgfraude (IKZ) en op grond van de dienstverlening, zoals opgenomen in Convenant houdende afspraken over de samenwerking in het kader van de verbetering van de bestrijding van zorgfraude: ‘Informatie Knooppunt Zorgfraude ’ (hierna te noemen: Convenant) en het daarbij horende Informatieprotocol, te maken krijgt met persoonsgegevens; 4.

dat de gegevens die door verantwoordelijke aan bewerker worden verstrekt privacygevoelig zijn en zowel verantwoordelijke als bewerker groot belang hechten aan het beschermen van de privacy; 5. dat de Wbp de verantwoordelijke in de zin van die wet verplicht een bewerkersovereenkomst te sluiten met een bewerker; 6. dat de Wbp aan verantwoordelijke de plicht oplegt om ervoor zorg te dragen dat bewerker voldoende waarborgen biedt ten aanzien van de technische en organisatorische beveiligingsmaatregelen met betrekking tot de te verrichten verwerkingen; 7. dat de Wbp daarnaast aan verantwoordelijke de plicht oplegt om toe te zien op de naleving van die maatregelen; Bewerkersovereenkomst informatieknooppunt zorgfraude versie c 8. dat de Wbp aangeeft dat bewerker deze gegevens slechts mag verwerken in opdracht van verantwoordelijke en enkel conform de in deze bewerkersovereenkomst gemaakte afspraken. Doet bewerker feitelijk meer dan in deze overeenkomst is afgesproken1, dan gedraagt bewerker zich als verantwoordelijke, waarvoor geen bevoegdheid bestaat2. 9. - Dat bewerker verplicht is om, overeenkomstig het door verantwoordelijke verleende mandaat, bij aansluiting op het IKZ een subbewerkersovereenkomst te sluiten met het IKZ.

- Dat verantwoordelijke (de opdrachtgever voor het sluiten van de subbewerkersovereenkomst) richting bewerker (de opdrachtnemer voor het sluiten van de subbewerkersovereenkomst) uitdrukkelijk instemt met het subbewerkerschap van het IKZ. - Dat bewerker als opdrachtnemer in de subbewerkersovereenkomst vastlegt dat de subbewerker zich eveneens richt naar de instructies van de opdrachtgever (verantwoordelijke), tot geheimhouding verplicht is en de nodige beveiligingsmaatregelen ten opzichte van de gegevensverwerking neemt. - De opdrachtgever (verantwoordelijke) ontvangt een afschrift van de subbewerkersovereenkomst opdat deze in staat is toe te zien op de naleving van zijn afspraken met bewerker. verklaren te zijn overeengekomen als volgt: 1 De Wbp noemt als voorbeelden: zelfstandig beslissingen nemen over het gebruik van de gegevens, de verstrekking aan derden en andere ontvangers en de duur van de opslag . 2 Zie voor de gevolgen artikel 7 van deze overeenkomst. Bewerkersovereenkomst informatieknooppunt zorgfraude versie c Artikel 1: Opvolgen van opdracht en instructies door bewerker 1. De bewerker verwerkt de persoonsgegevens slechts in opdracht van de verantwoordelijke, behoudens afwijkende wettelijke verplichtingen. 2. De bewerker verwerkt gegevens ten behoeve van de verantwoordelijke, overeenkomstig diens instructies en onder diens verantwoordelijkheid.

De verwerking vindt plaats op de wijze als bepaald in het Convenant en het daarbij horende Informatieprotocol. 3. De bewerker heeft geen zeggenschap over het doel en de middelen voor de verwerking van persoonsgegevens. Zo neemt hij geen beslissingen over het gebruik van de gegevens, de verstrekking aan derden en de duur van de opslag van gegevens. De zeggenschap over de persoonsgegevens verstrekt onder deze overeenkomst komt nimmer bij de bewerker te berusten. 4. Naast de verplichting van de bewerker om de instructies van de verantwoordelijke te volgen, dient hij ook zorg te dragen voor de naleving van de voorwaarden die – met name op grond van de Wbp – worden gesteld aan het verwerken van persoonsgegevens. Artikel 2: Beveiligingsmaatregelen 1. De bewerker neemt, zoals vastgelegd in het Informatieprotocol, alle passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen een passend beveiligingsniveau, gelet op de aard van de persoonsgegevens die de bewerker bewerkt. 2. De bewerker stelt de verantwoordelijke in de gelegenheid te controleren dat de verwerking van de persoonsgegevens plaatsvindt zoals overeengekomen, op de wijze als vastgelegd in het Convenant en het daarbij horende Informatieprotocol. 3.

De verantwoordelijke heeft het recht om toe te zien op de naleving van de beveiligingsmaatregelen. Artikel 3: Meldplicht datalekken 1. De bewerker meldt een datalek volgens de definitie van de Wbp onverwijld (uiterlijk binnen 24 uur na constatering dat een beveiligingsincident mogelijk onder de meldplicht valt) aan de verantwoordelijke. Hierbij worden de bepalingen uit de beleidsregels ‘De meldplicht datalekken in de Wet bescherming persoons gegevens (Wbp)’ in acht genomen. 2. De bewerker houdt de verantwoordelijken op de hoogte van eventuele nieuwe ontwikkelingen rond het incident, en van de maatregelen die de bewerker treft om aan zijn kant de gevolgen van het incident te beperken en herhaling te voorkomen. Artikel 4: Geheimhouding De bewerker is verplicht tot geheimhouding van de persoonsgegevens die hij van de verantwoordelijke ontvangt, behoudens voor zover een wettelijk voorschrift de bewerker tot mededelen verplicht en behoudens de gegevensverstrekking die plaatsvindt in opdracht van de verantwoordelijke. De bewerker besteedt zijn verplichtingen die voortvloeien uit het Bewerkersovereenkomst informatieknooppunt zorgfraude versie c Convenant en het daarbij horende Informatieprotocol niet uit aan derden, tenzij de verantwoordelijke daarvoor uitdrukkelijk schriftelijk toestemming heeft gegeven.

Artikel 5: Medewerkers van de bewerker De verplichtingen van de bewerker die uit deze overeenkomst voortvloeien, gelden ook voor degenen die persoonsgegevens verwerken onder het gezag van de bewerker. Artikel 6: Overige bepalingen 1. De overeenkomst wordt aangegaan voor de periode dat het Convenant van kracht is. 2. Deze overeenkomst kan slechts met instemming van partijen worden gewijzigd. Deze wijziging heeft eerst werking tussen partijen indien zij schriftelijk tussen partijen is overeengekomen. 3. De bewerker bewaart, zoals vastgelegd in het Informatieprotocol, de persoonsgegevens die hij van de verantwoordelijke heeft ontvangen niet langer dan strikt noodzakelijk. 4. De bewerker stelt aan de verantwoordelijke op verzoek ter beschikking alle informatie die nodig is om de nakoming door bewerker van de in deze overeenkomst neergelegde verplichtingen aan te tonen. De bewerker werkt daarnaast mee aan een audit. 5. De bewerker zal de verantwoordelijke bijstand verlenen bij het vervullen van diens verplichtingen op grond van de van toepassing zijnde wetgeving inzake bescherming van persoonsgegevens, waaronder verzoeken van betrokkenen die hun rechten op grond van de van toepassing zijnde wetgeving betreffende de bescherming van persoonsgegevens wensen uit te oefenen. 6. De bewerker geeft geen persoonsgegevens door naar landen buiten de Europese Economische Ruimte. 7.

De bewerker draagt zorg dat na beëindiging van deze overeenkomst, naargelang van de keuze van de verantwoordelijke, dat alle persoonsgegevens zijn gewist dan wel zijn terugbezorgd aan de verantwoordelijke, en dat bestaande kopieën zijn verwijderd, tenzij opslag hiervan wettelijke verplicht is. Artikel 7: Aansprakelijkheid 1.Indien Bewerker tekortschiet in de nakoming van de verplichting uit deze overeenkomst kan Verantwoordelijke hem in gebreke stellen. Bewerker is echter onmiddellijk in gebreke als de nakoming van desbetreffende verplichting anders dan door overmacht binnen de overeengekomen termijn, reeds blijvend onmogelijk is. Ingebrekestelling geschiedt schriftelijk, waarbij aan Bewerker een redelijke termijn wordt gegund om alsnog haar verplichtingen na te komen. Deze termijn is een fatale termijn. Indien nakoming binnen deze termijn uitblijft, is Bewerker in verzuim. Art. 49 Wbp is van toepassing. Artikel 8: Toepasselijk recht Bewerkersovereenkomst informatieknooppunt zorgfraude versie c Op deze overeenkomst en op alle geschillen die daaruit mogen voortvloeien of daarmee mogen samenhangen, is het Nederlands recht van toepassing Aldus overeengekomen te Steenwijk op 9 januari 2018.

De burgemeester van de gemeente Steenwijkerland namens het College van Burgemeester en Wethouders, VNG KCHN Advies BV, Directeur Ad van Mierlo Bewerkersovereenkomst informatieknooppunt zorgfraude versie c Addendum Mandaatverlening Mandaatverlening van de gemeente aan de VNG tot deelname aan het convenant houdende afspraken in het kader van de verbetering van de bestrijding van zorgfraude: ‘Informatie Knooppunt Zorgfraude (IKZ)3’ Gemeente …………… geeft mandaat aan de VNG om het convenant IKZ van toepassing te laten zijn op de signalen van fraude in de zorg. In dit convenant zijn het doel, de partijen, de taken, de werkwijze en waarborgen vastgelegd. Aldus overeengekomen te {plaatsnaam invullen} op {datum invullen}, De …………………… van de gemeente @@ namens het College van Burgemeester en Wethouders, 3 Stcrt. 2015, nr. 59229 Bewerkersovereenkomst informatieknooppunt zorgfraude versie c