Bekendtgørelse af lov om digital løsning til brug for anmeldelse af sygefravær og anmodning om refusion og tilskud m.v. (Nemrefusion) § 4D

Den enkelte kommune er dataansvarlig myndighed for de SDPI-indberetninger, der ender i kommunen. Kommunen skal – når den overlader behandling af oplysninger til Selskabet – sikre sig, at Selskabet kan træffe de i persondatalovens § 41, stk. 3-5, nævnte tekniske og organisatoriske sikkerhedsforanstaltninger, og påse, at dette sker, jf. persondatalovens § 42, stk.1.

Selskabet er databehandler og er i forbindelse med SDPI-løsningen forpligtet til at følge reglerne i persondataloven. Selskabet er forpligtet til at sikre, at Selskabets leverandører er underlagt de samme forpligtelser.

Selskabet skal endvidere træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at personhenførbare oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med den til en hver tid gældende lovgivning, jf. bekendtgørelse nr. 528 af 15. juni 2000 om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning (som ændret ved bekendtgørelse nr. 201 af 22. marts 2001).