Program. 9:00 Ankomst og morgenmad 9:30 Velkomst

Transkript

1

2 Program 9:00 Ankomst og morgenmad 9:30 Velkomst Hvorfor er vi her og hvad er persondataforordningen? Centrale begreber Den registreredes rettigheder Behandling af oplysninger om medarbejderne Behandling af oplysninger om elever og forældre 12:00 Frokost Brud på persondatasikkerheden Databehandleraftaler og krav til systemer Dataetik v. Karsten Vest Nielsen, Styrelsen for IT og Læring Hvad gør vi nu? 15:30 Tak for denne gang

3 Hvorfor er vi her og hvad er persondataforordningen? Persondataforordning

4 Hvorfor er vi her og hvad er persondataforordningen?

5 Hvad er personoplysninger? En personoplysning er enhver form for information om en identificeret eller identificerbar fysisk person (elev, forældre, ansat, samarbejdspartner mv.) Personen skal direkte eller indirekte kunne identificeres gennem oplysningerne

6 Rejseoplysninger Hvad er personoplysninger? Politisk overbevisning Interesser Religion Adresse Navn Billeder adresse Nummerplade Helbredsoplysninger GPS-oplysninger Fagforeningsforhold Køn Logning Arbejdsskema Kreditkortnummer Væsentlige sociale problemer Seksuel overbevisning Biometriske data CPR-nummer Uddannelse Race Genetiske oplysninger Familiemæssige oplysninger TV-overvågning

7 Typer af oplysninger Almindelige oplysninger Navn, adresse, stilling, indkomst og formueforhold, civil stand, sygedage, tjenstlige forhold, eksamen, ansøgning, CV Følsomme oplysninger Racemæssig eller etnisk baggrund Politisk, religiøs eller filosofisk overbevisning Medlemskab af fagforening Helbredsmæssige eller seksuelle forhold. CPR oplysninger Særskilt reguleret i Lov om Det centrale Personregister

8 Hjemmelskrav almindelige oplysninger Almindelige oplysninger må behandles når det er nødvendigt: af hensyn til opfyldelse af en aftale eller en kontrakt, som den registrerede er part i for at overholde en retlig forpligtigelse, som påhviler den dataansvarlige

9 Hjemmelskrav almindelige oplysninger Almindelige oplysninger må behandles når det er nødvendigt: for at beskytte den registreredes eller en anden fysisk persons vitale interesser for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse

10 Hjemmelskrav almindelige oplysninger Samtykke til behandling af oplysninger: Tydeligt adskilt fra den øvrige tekst Frivilligt Specificeret til hvilke oplysninger det omhandler Informere om hvad det indebærer Utvetydigt/udtrykkeligt Kan altid kaldes tilbage!

11 Hjemmelskrav følsomme oplysninger Behandling af følsomme oplysninger er iflg. persondataforordningen forbudt Det er kun muligt at få dispensation fra forbuddet i helt særlige tilfælde. Det kræver, at der er helt specifikke formål med behandlingen og at der foreligger et udtrykkeligt samtykke, hvor formålet med behandlingen fremgår Samtykket skal indeholde oplysninger om hvad formålet med behandling af hver enkelt oplysning er.

12 Hjemmelskrav Persondataforordningen og den kommende persondatalov vil ikke blive udfordret af anden lovgivning!

13 Hvad er en behandling? Behandling af oplysninger En behandling er enhver håndtering af oplysninger, dvs. alle de måder, skolen behandler oplysninger på. Behandling er altså enhver indsamling, registrering, systematisering, opbevaring, ændring, søgning, transmission, videregivelse, sammenstilling, samkøring, blokering, sletning eller tilintetgørelse af oplysninger. Fx registrering af ansøgere til ventelister, overførsel af oplysninger til optagelse.dk, udbetaling af løn, registrering af sygefravær og oplysninger, som personen selv indtaster på fx en hjemmeside. Persondataforordningen gælder for alle typer af databehandling, dvs. både elektronisk og manuel behandling. Fx s, indtastning i registre og økonomisystem, systemoverførsler til fx optagelse.dk eller andre databaser, fysiske breve, notater fra telefonsamtaler, mv.

14 Hvad er en behandling? Generelle krav til en behandling Persondataforordningen opstiller en række generelle krav til behandling af personoplysninger, som allerede gælder iflg. den danske persondatalov. Oplysningerne skal: Behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede. Indsamles til udtrykkeligt angivne og legitime formål og må ikke viderebehandles uden særlig grund. Være korrekte og om nødvendigt ajourførte. Urigtige oplysninger skal slettes Opbevares på en sådan måde, at man ikke kan identificere den registrerede i længere tidsrum, end det er nødvendigt til at varetage formålet med registreringen. Opbevares med den fornødne sikkerhed mod, at oplysningerne bliver stjålet, fortabes eller misbruges, dvs. hændeligt eller ved et uheld kommer til uvedkommendes kendskab.

15 Dataansvarlig <-> Databehandler Dataansvarlig Den dataansvarlige er en arbejdsgiver, som fx en skole, der behandler personoplysninger (f.eks. indsamling, registrering og videregivelse) om sine ansatte og elever, mfl. Databehandler En databehandler kendetegnes ved kun at behandle personoplysninger på vegne af (efter instruks fra) en dataansvarlig. Underdatabehandler Databehandler skal tydeligt beskrive, hvis der benyttes underdatabehandler og de må kun behandle oplysninger efter tydelig instruks fra den dataansvarlige. Mere om dette efter frokost, Databehandler aftaler og krav til systemer Hvad kan skolerne gøre her og nu.

16 Data Protection Officer(DPO) eller Datasikkerhedsrådgiver Data Protection Officer (DPO) En Data Protection Officer (DPO) er en medarbejder i den dataansvarlige organisation, som udnævnes til at varetage opgaven med at sikre, at man lever op til Persondataforordningens krav. Iflg. Justitsministeriets udmeldinger gælder kravet om at udnævne en person for offentlige myndigheder, som er omfattet af forvaltningslovens 1. De frie skoler og gymnasier skal derfor IKKE udpege en DPO. Fritagelsen fra at udnævne en person betyder imidlertid ikke, at organisationen kan frasige sig ansvaret for at overholde forordningen. Skolen kan naturligvis frit bestemme, hvordan organiseringen af opgaven med it- og datasikkerhed tilrettelægges, herunder kan man udpege/ansætte en person til varetagelse/koordinering af opgaven. I alle tilfælde er det skolens ledelse, der har det overordnede ansvar for overholdelse af forordningens krav.

17 Oplysningspligt ved indsamling af data Kontaktoplysninger om den registeransvarlige Behandlingsformål Opbevaringsperiode Den registreredes ret til indsigt Den registreredes ret til berigtigelse Den registreredes ret til at blive glemt og slettet Den registreredes ret til at klage til tilsynsmyndighed Modtager(e) af indsamlede oplysninger

18 Fx børneattest Følsomhed? Må der hentes? Samtykke? Ren/plettet? Opbevaring?

19 Oplysningspligt om oplysninger fra 3. part Som egne oplysninger, PLUS De berørte kategorier af personoplysninger Hvor personoplysningerne kommer fra Oplysning om behandling Inden for 1 måned, eller Når data bruges ifm. kommunikation med den registrerede

20 Behandling af oplysninger om medarbejdere

21 Behandling af oplysninger om medarbejdere Udkast til ny persondatalovs 12 Behandling af personoplysninger i forbindelse med ansættelsesforhold omfattet af artikel 6, stk. 1, og artikel 9, stk. 1, i databeskyttelsesforordningen kan finde sted, hvis behandlingen er nødvendig for at overholde den dataansvarliges eller den registreredes arbejdsretlige forpligtelser eller rettigheder, som fastlagt i anden lovgivning eller kollektive overenskomster. Stk. 2. Behandling af oplysninger som nævnt i stk. 1 må også finde sted, hvis behandlingen er nødvendig for, at den dataansvarlige kan forfølge en legitim interesse som udspringer af anden lovgivning eller kollektive overenskomster, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, går forud herfor. Stk. 3. Behandling af personoplysninger i ansættelsesforhold kan finde sted på baggrund af den registreredes samtykke i overensstemmelse med artikel 7 i databeskyttelsesforordningen

22 Behandling af oplysninger om medarbejdere Hvad er formålet med behandlingen? Er der en hjemmel? Hvem er det nødvendigt at inddrage i behandlingen? Er det nødvendigt at behandle følsomme oplysninger?

23 Behandling af oplysninger om medarbejdere før ansættelse Ansættelse eller afslag Ansøgning og ansættelse Tidligere beskæftigelse

24 Behandling af oplysninger om medarbejdere ved ansættelse Oplysninger til beregning af løn og anciennitet Børneattest Oplysninger til udfyldelse af ansættelsesbevis

25 Behandling af oplysninger om medarbejdere under ansættelsesforholdet Løn og ansættelsesvilkår Sygefravær Fagforening Medarbejderudvikling Barsel

26 Behandling af oplysninger om medarbejdere ansættelsesforholdet ophører Uansøgt afsked Medarbejderen fratræder efter eget ønsker

27 Behandling af oplysninger om medarbejdere Hvad kan I gøre nu? Hvad er formålet med behandlingen? Er der en hjemmel eller et samtykke? Hvem er det nødvendigt at inddrage i behandlingen? Er det nødvendigt at behandle følsomme oplysninger?

28 Behandling af oplysninger om elever og forældre

29 Behandling af oplysninger om elever og forældre Venteliste og indmeldelse For eleven kan der være tale om almindelige- og følsomme oplysninger som: Almindelige oplysninger Navn Adresse og Evt. søskende på skolen Cpr. nr. Oplysninger fra tidligere skoler Følsomme oplysninger Oplysninger af privat karakter fra fx Pædagogisk Psykologisk Rådgivning (PPR) Generelle helbredsoplysninger

30 Behandling af oplysninger om elever og forældre Venteliste og indmeldelse For forældremyndighedsindehaverne kan der være tale om oplysninger som: Navn Adresse og telefonnr. Stilling Økonomi ifm. friplads Brug af fotos. (samtykke) Husk underskrift fra forældremyndighedsindehaverne

31 Behandling af oplysninger om elever og forældre Venteliste og indmeldelse - Samtykke? Forældremyndighaverne Fx brug af fotos Generelle heldbredsoplysninger Pædagogisk Psykologisk Rådgivning (PPR) Samtykke for elever under 18 år Fx brug af fotos Generelle heldbredsoplysninger Pædagogisk Psykologisk Rådgivning (PPR) Samtykke for elever under 18 år Elever over 18 år betragtes som voksne og skal afgive samtykke på egne vegne.

32 Behandling af oplysninger om elever og forældre Hvad betyder forældremyndighed? Eneforældremyndighed En forælder har eneforældremyndighed, hvis: Forældrene selv har aftalt og anmeldt, at én af dem har forældremyndigheden alene Forældrene har været i Statsforvaltningen og lavet en aftale om, at én af dem skal have forældremyndigheden alene Forældrene har været i retten, og retten har besluttet, at én af dem skal have forældremyndigheden alene

33 Behandling af oplysninger om elever og forældre Hvad betyder forældremyndighed? Fælles forældremyndighed Forældrene har fælles forældremyndighed, hvis: Forældrene var gift med hinanden ved barnets fødsel eller indgik ægteskab senere Forældrene var separeret eller skilt, da barnet blev født, og faren i den forbindelse anerkendte faderskabet eller blev dømt til at være far i en faderskabssag ved retten Forældrene har underskrevet en fælles omsorgs- og ansvarserklæring, da barnet blev født Forældrene har indsendt en blanket om aftale om fælles forældremyndighed til Statsforvaltningen eller retten En fælles forældremyndighed fortsætter, også selvom I flytter fra hinanden, bliver separeret eller skilt.

34 Behandling af oplysninger om elever og forældre Forældremyndighedsindehaverne sammen: Bopælsforælderen: Samværsforælderen: Værgemål Væsentlig medicinsk behandling og væsentlige indgreb Skolevalg, videreuddannelse Skolefritidsordning Risikobetonet fritidsaktivitet Flytning udenlands, herunder flytning til Grønland og Færøerne Navnevalg Religiøse forhold Pas Direkte daglig omsorg Daginstitution Fritidsaktiviteter Flytning indenlands Skolepsykolog Børnesagkyndig rådgivning Afgørelser, der relaterer sig til samvær direkte omsorg Fritidsaktiviteter

35 Behandling af oplysninger om elever og forældre Behandling af elevens og forældrenes personoplysninger, mens de er tilknyttet skolen Saglig (lovlig) grund til at behandle personoplysninger om eleven samt dennes forældre, hvis oplysningerne bruges i skoleøjemed Eksempler på sagligt fx videregivelse af oplysninger om barnets generelle trivsel til klasselæreren eller brug af kontaktoplysninger til at indkalde forældrene til forældremøde. kontaktoplysninger om en forælder, der er blevet valgt til bestyrelsen som fx formand, til Undervisningsministeriet, Eksempel på usagligt En videregivelse af elevens eller forældrenes kontaktoplysninger til et privat firma til brug for firmaets markedsføring vil ikke være sagligt. Derimod vil det være sagligt at videregive som skal kunne rette henvendelse til vedkommende ved officielle henvendelser.

36 Behandling af oplysninger om elever og forældre Indsigtsret for forældremyndighedsindehavere En forælder, der har forældremyndighed, kan på vegne af sit barn bede om indsigt i alle de oplysninger, skolen har registreret om barnet, der vedrører barnets skolegang; fagligt og socialt dvs. karakterblade, PPR-rapporter mv. Endvidere har forældremyndighedsindehaveren fx ret til at få information om formålet med behandlingen, hvem personoplysningerne er eller vil blive videregivet til og om muligt det tidsrum, hvor personoplysningerne vil blive opbevaret. Skolen må ikke udlevere akter, der vedrører private forhold om andre end den forælder, der anmoder og/eller barnet selv. Skolen skal også sikre sig, at det rent faktisk er den korrekte forælder, der anmoder om indsigt.

37 Behandling af oplysninger om elever og forældre Indsigtsret for forældre uden del i forældremyndighed Forældre uden del i forældremyndigheden, har ikke samme rettigheder. De har ret til orientering om barnets forhold. Samlevere, bonus- og papforældre har ret til indsigt eller deltage (fx forældremøde) på vegne af forældremyndighedsindehaver efter udtrykkeligt samtykke fra forældremyndighedsindehavere.

38 Behandling af oplysninger om elever og forældre Skærpet underretningspligt og persondata Den skærpede underretningspligt, der gælder for alle medarbejdere, der har med børn at gøre, påvirkes ikke af Persondataforordningen. Den skærpede underretningspligt er hjemlet i lov om social service og således er der et udtrykkeligt formål med udveksling af data, som har fortrinsret fremfor den/de registreredes rettigheder. I sager med underretning skal man fortsat orientere forældrene i de relevante tilfælde, i overensstemmelse med lovgivningen.

39 Behandling af oplysninger om elever og forældre

40 Behandling af oplysninger om elever og forældre Når eleven forlader skolen Når eleven forlader skolen i forbindelse med fx skoleskift eller afsluttet skolegang, er der en række oplysninger om eleven og forældrene, som enten skal slettes eller gemmes. Det indebærer også, at der ikke er grundlag for at slette oplysninger, før eleven er gået ud af skolen. Der skal være et specifikt sagligt formål med opbevaring af oplysninger, og oplysningerne må ikke opbevares på en måde, der giver mulighed for at identificere den registrerede i et længere tidsrum, end det er nødvendigt. De oplysninger, som skolen har lovmæssig pligt til at opbevare, er omfattet af et sådant formål. (fx afgangsbeviser) Opbevaring af andre oplysninger efter endt skolegang kræver samtykke. (Fx indkaldelse til jubilæer osv.)

41 Behandling af oplysninger om elever og forældre Når eleven forlader skolen Der kan ikke angives faste regler for, hvor længe elevoplysninger skal opbevares, efter eleven har forladt skolen. Det skal afgøres i den enkelte situation ud fra hvilke konkrete behov, der er for at gemme dem. Det vil være sagligt at gemme elevoplysninger på en elev, der er stoppet på skolen, hvis der er en verserende klagesag eller en konkret forsikringssag kørende, der ikke er afsluttet på tidspunktet for udmeldelse. Modsat er der ikke en saglig grund til at bevare elevoplysninger ved en sædvanlig afsluttet elevsag, bortset fra afgangsbeviser. Oplysninger om forældre Når et barn går ud, skal skolen som overvejende hovedregel slette oplysninger om forældrene, da der ikke længere er en saglig grund til at opbevare oplysningerne. En eventuel opbevaring af disse oplysninger skal være konkret og sagligt begrundet. Det være sagligt at opbevare oplysninger om en forælder, der stadig sidder i bestyrelsen, funktionsperioden ud.

42 Behandling af oplysninger om elever og forældre Når eleven forlader skolen Afgangsbeviser og prøvebesvarelser Afgangsbeviser og udtalelser, herunder relevante oplysninger, der er nødvendige for at udstede beviser og udtalelser, skal opbevares til tid og evighed i henhold til lovgivning om offentlige arkivalier. Det vil sige, at beviserne aldrig må kasseres. Elevbesvarelser skal opbevares et år efter bedømmelsen. Censors og eksaminators notater skal også opbevares et år. Censor har ansvaret for opbevaring af egne notater.

43 Behandling af oplysninger om elever og forældre Når eleven forlader skolen Persondata ved udskrivninger og bortvisninger I sager, hvor afbrydelse af skolesamarbejdet sker på skolens initiativ, dvs. at man enten udskriver eller bortviser en elev, sker det, at forældrene kræver alle data om forløbet udleveret, eller kræver, at skolen udfærdiger en skriftlig redegørelse for årsagerne til udskrivningen/bortvisningen. Skolen kan ikke nægte forældrene indsigt i registrerede data om deres barn, men har ikke pligt til at udarbejde skriftlige materialer, der ikke allerede foreligger. Skolen skal være opmærksom på, at udleveret materiale ikke må omfatte oplysninger om andre elever end den pågældende. Vi anbefaler skolerne til at søge råd og vejledning - før, under og efter.

44 Behandling af oplysninger om elever og forældre Hvad kan I gøre her og nu Har skolen styr på sine samtykker Kontaktoplysninger Forældremyndig Er vores oplysninger opdaterede? Har vi behov for disse oplysninger? Skal de slettes?

45 Brud på datasikkerheden Sanktioner efter 25. maj 2018 Op til 20mio. euro eller 4 % af virksomhedens globale omsætning

46 Brud på datasikkerheden Sanktioner før 25. maj 2018 Vestre Landsretsdom af 4. april 2016 Blotteren fra Nyråd Sager fra skoleområdet

47 Brud på datasikkerheden Hvad kigger Datatilsynet efter? Er der overblik over hvor data er? Er der tab af kontrol? Foreligger der hjemler, samtykker og databehandleraftaler? Følges der op på om sikkerheden er god nok hos dataansvarlig og databehandler? Findes der procedurer for hvordan man reagerer når noget går galt? Følges de?

48 Brud på datasikkerheden Datatilsynet kontrol eller vejledning?

49 Brud på datasikkerheden Skolen skal: Have procedurer som sikrer opdagelse af brud på sikkerheden Dokumentere brud på sikkerheden Oplyse de registrerede hvis der er høj risiko for at bruddet kan for konsekvenser for dem Følge op på om sikkerhed og procedurer er tilstrækkelige Følge op på om databehandlerne lever op til aftaler

50 Brud på datasikkerheden Hvad kan I gøre nu? Undersøg hvilke typer data I har Hvor stor en grad af sikkerhed kræver de forskellige typer data I har? Er I trygge ved de databehandlere I har nu? Har I behov for en opdatering af software eller hardware? Har I de rette kompetencer til selv at foretage de nødvendige vurderinger og eventuelle nyindkøb? Husk Det er ikke tilstrækkeligt at have styr på elektronisk sikkerhed. Persondata findes også i form af fysiske dokumenter!

51 Databehandleraftaler og krav til systemer

52 Databehandleraftaler og krav til systemer Opsummering af begreberne Dataansvarlig Den dataansvarlige er en arbejdsgiver, som fx en skole, der behandler personoplysninger (f.eks. indsamling, registrering og videregivelse) om sine ansatte og elever, mfl. Det er den dataansvarlige, der har ansvaret for, at personoplysningerne behandles i overensstemmelse med Persondataforordningens krav og at eventuelle databehandlere, som behandler oplysninger på den dataansvarliges vegne, overholder relevante krav til sikkerhed, mv. En dataansvarlig kan vælge at overlade det til en anden at udføre den praktiske behandling af personoplysninger på sine vegne.

53 Databehandleraftaler og krav til systemer Opsummering af begreberne Databehandler En databehandler kendetegnes ved kun at behandle personoplysninger på vegne af (efter instruks fra) en dataansvarlig. Databehandleren behandler aldrig personoplysninger til egne formål og må derfor ikke bruge de tilgængelige oplysninger til andet end udførelsen af opgaven for den dataansvarlige. I praksis kan en databehandler f.eks. være en virksomhed, som varetager en skoles it-systemer. En databehandler kan også være en udbyder af et webhotel, der hoster hjemmesider for andre, eller et inkassobureau, som overlades oplysninger fra en dataansvarlig med henblik på inddrivelse af gæld. Det er ikke afgjort i Persondataforordningen om rådgivning fra fx advokater, revisorer og skoleforeninger skal omfattes af databehandleraftaler.

54 Databehandleraftaler og krav til systemer Opsummering af begreberne Underdatabehandler Ved underdatabehandler forstås en underleverandør, til hvem databehandler har overladt hele eller dele af den behandling, som databehandler foretager på vegne af skolen. Databehandler skal tydeligt beskrive, hvis der benyttes underdatabehandlere og de må kun behandle oplysninger efter tydelig instruks fra den dataansvarlige. Databehandler skal gøre opmærksom på nye underdatabehandlere eller udskiftning af eksisterende.

55 Databehandleraftaler og krav til systemer Kort historisk tilbageblik Persondatadirektivet / Persondataloven Dataansvarlig skal vælge en "betryggende" databehandler Dataansvarlig skal føre tilsyn Krav om skriftlig aftale Databehandler og medarbejdere skal handle efter instruks Sikkerhedskrav for dataansvarlig skal pålægges databehandler ved aftalen

56 Databehandleraftaler og krav til systemer Kort historisk tilbageblik Udfordringer Anvendelse af databehandlere medfører tab a kontrol Løsninger Direkte regulering/pligter Strammere/klarere regulering i aftalen

57 Databehandleraftaler og krav til systemer Brug af databehandlere i hverdagen De tre faser 1. Før aftalen indgås 2. Krav til aftalen 3. Under samarbejdet

58 Databehandleraftaler og krav til systemer Brug af databehandlere i hverdagen De tre faser 1. Før aftalen indgås skal følgende Først og fremmest skal skolen kunne beskrive hvad den ønsker? Art. 28 (1): Pligt til kun at benytte databehandlere, der kan stille de nødvendige garantier for, at de vil gennemføre de nødvendige foranstaltninger til at sikre, at behandlingen overholder forordningen Beskrivelse af behandlingen, de involverede data og de registrerede personer, formålet med behandlingen og varigheden Kun brug af databehandlere, der leverer tilstrækkelig garantier for, at de har implementeret et tilstrækkeligt sikkerhedsniveau Underdatabehandlere kræver dataansvarliges accept.

59 Databehandleraftaler og krav til systemer Brug af databehandlere i hverdagen De tre faser 2. Krav til aftalen Krav om skriftlig aftale (fx elektronisk) Aftalen skal mindst indeholde de i artikel 28 (3) (a-i) oplistede forpligtelser for leverandøren (ikke udtømmende): Beskrivelse af behandlingen a. Databehandler må kun behandle personoplysninger inden for den dataansvarliges instruks b. Databehandler skal sikre, at involverede medarbejdere er undergivet en aftalt eller retlig tavshedspligt c. Databehandler skal have tilstrækkelig datasikkerhed d. Databehandler må kun anvende underdatabehandlere med konkret samtykke fra kunden, eller med generelt samtykke (og forudgående indsigelsesret hver gang) samt med tilstrækkelig aftale Underdatabehandleraftaler skal være skriftlige Mindst samme forpligtelser for underdatabehandler som for databehandler

60 Databehandleraftaler og krav til systemer Brug af databehandlere i hverdagen De tre faser 2. Krav til aftalen / fortsat e) Databehandler skal bistå kunden med kundens opfyldelse af anmodninger vedrørende de registreredes rettigheder ved passende tekniske og organisatoriske foranstaltninger f) Databehandler skal under hensyntagen til behandlingens karakter og de oplysninger som databehandler har - bistå kunden med, at kunden overholder sine forpligtelser under art (Sikkerhed) g) Databehandler skal - ved samarbejdets ophør slette/returnere de behandlede oplysninger, med mindre opbevaring er nødvendig h) Databehandler skal stille alle oplysninger til rådighed for kunden, som er nødvendige for, at kunden kan påvise Persondataforordningen er overholdt i) Databehandler skal give adgang til revisioner, herunder inspektioner, foretaget af kunden eller kundens repræsentant

61 Databehandleraftaler og krav til systemer Brug af databehandlere i hverdagen De tre faser 3. Under samarbejdet Pligt til at føre tilsyn Skolen, en repræsentant for skolen eller dennes revision (såvel intern som ekstern) har adgang til at foretage inspektioner og revision hos databehandler, [få udleveret dokumentation, herunder logs, stille spørgsmål m.v.] med henblik på at konstatere, at databehandler overholder de krav, der følger af skolens aftale. Det er ikke nok at modtage en revisorerklæring Nogen skal også læse den og forholde sig til, om revisorerklæringen rent faktisk giver en tilstrækkelig grad af sikkerhed

62 Databehandleraftaler og krav til systemer Brug af databehandlere i hverdagen De tre faser 3. Under samarbejdet / fortsat Dataansvarliges behov ændrer sig Hvordan sikres vedligeholdelse og hvad sker der, hvis noget ændres? Skolens egen risikovurdering er ikke statisk og derfor kan krævene til databehandler ændre sig Løbende drøftelser er nødvendigt Lad fødderne stemme

63 Databehandleraftaler og krav til systemer Hvad kan I gøre nu? Hvem har skolen databehandleraftaler med? Hvor ligger data? Har jeres databehandlere de nødvendig oplysninger eller har de for mange? Er der behov for at I selv tager kontakt? Skal aftalerne ændres?

64 Hvad kan I gøre nu? Datastrømsanalyse Hvilke oplysninger har/får/sender vi? Hvem modtager/afgiver oplysningerne? Hvilken karakter har de? Hvor og hvordan opbevares de? Hvorfor har vi dem og har vi en hjemmel? Skal vi have et samtykke?

65 Hvad kan I gøre nu? Hvordan er oplysningen indhentet? Hvordan opbevares oplysningen og hvor mange steder? Deles oplysningen med nogen? I givet fald, hvem? Pr. tlf., mail, mundtligt, træk i database hos andre myndigheder, mv. Pr. mail, i personalesystem, økonomisystem, mv.? Hvis manuelt, hvordan opbevares data? Internt og eksternt (med andre afdelinger/medarbejder og eksternt med fx kommune, UU, sundhedspersonale, mv. Vær opmærksom på at eksempelvis ekstern hosting og cloudbaseret opbevaring er deling med ekstern databehandler.

66 Hvad kan I gøre nu? Hyppighed I hvor lang tid opbevares oplysningen? Hvor ofte/hyppigt behandles denne oplysning? - dagligt, månedligt, ved indskrivning/udmelding, lejlighedsvist eller anden frekvens? Ved registreringen tages udgangspunkt i nuværende praksis. Hvis I ikke sletter noget, så skriv det.

67 Hvad kan I gøre nu? Databehandleraftaler Hvilke oplysninger behandler andre for os? Har vi de korrekte aftaler med dem? Hvilken karakter har de? Hvor og hvordan opbevarer databehandleren oplysningerne? Har vi tillid til at databehandleren er tilstrækkeligt sikker? Udfører vi en kontrol med behandleren eller bør vi gøre det?

68 Hvad kan I gøre nu? Oprydningsarbejde Har vi oplysninger som vi ikke har hjemmel til at opbevare eller behandle? Skal vi bruge de oplysninger? Skal vi slette oplysningerne? Har vi brug for at indhente samtykker? Udarbejdelse af persondatapolitiker

69 Hvad kan I gøre nu? Evaluering og forfra!

70 Justitsministeriet tidsplan for vejledninger September 2017 Generel informationspjece Databeskyttelsesrådgiver Dataansvarlig og databehandlere Oktober 2017 Dataansvarlig og databehandlere Samtykke November 2017 Fortegnelse December 2017 Adfærdskodekser og certificeringsordninger Databeskyttelse gennem design og standardindstillinger Konsekvensanalyser Cloud computing Januar 2018 Håndtering af brud på persondatasikkerhed Registreredes rettigheder

71 Hvad kan I forvente af DP fremadrettet Information via mail og hjemmeside Ny/tillægsvejledning i takt med Justitsministeriets offentliggørelse af nye oplysning Netværk

72 TAK FOR I DAG