BESKYTTELSE AF PERSONOPLYSNINGER

Transkript

1 BESKYTTELSE AF PERSONOPLYSNINGER FOR UNDERVISNINGSAFDELING I THISTED KOMMUNE FORMÅL MED LOVGIVNINGEN Formålet med lovgivning og regler vedr. persondata er at beskytte alle borgere mod, at deres personlige data misbruges. INDHOLD AF DENNE SKRIVELSE På de følgende sider kan du bl.a. læse om: Hvad betragtes som data Hvordan forskellige typer af data skal håndteres Hvilke data må indhentes, og i hvilket omfang må de gemmes Hvem må have adgang til data Hovedreglerne for behandling og opbevaring af data Hvilke it-systemer der må anvendes til at gemme data i nu og fremover Ofte stillede spørgsmål

2 2 TYPER AF DATA ALMINDELIGE PERSONOPLYSNINGER Personoplysninger generelt er enhver form for information om en identificeret eller identificerbar fysisk person. Her forstås oplysninger om deres person, som kan identificere dem. Det er også oplysninger, der ikke direkte identificerer dem, men som kan bruges til det, fx deres adresse., deres GPS-lokalitet mv. FØLSOMME PERSONOPLYSNINGER Nogle personoplysninger er særligt beskyttede. Det gælder personoplysninger om race eller etnisk oprindelse, politisk-, religiøs- eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering. Bemærk at dette også omfatter helbredsoplysninger om børns trivsel og specialundervisningsbehov. De særlige kategorier af personoplysninger må som udgangspunkt ikke behandles. Lovgivningen tillader dog undtagelser, fx når: behandlingen er nødvendig for at overholde lovgivning og forpligtigelser (er oftest tilfældet) eller, at der er indhentet eksplicit og udtrykkeligt samtykke hos personen. Udover de, i databeskyttelsesforordningen, nævnte følsomme oplysninger, er især fortrolige oplysninger særligt beskyttede, hvilket er en konsekvens af et sammenspil mellem straffelige og forvaltningsretlige regler. FORTROLIGE PERSONOPLYSNINGER Alle personoplysninger skal behandles fortroligt. Nogle oplysninger er særligt beskyttede og disse omfatter væsentlige sociale problemer og lignende fortrolige privatlivsoplysninger. Fx: Længerevarende arbejdsløshed Familiestridigheder Tvangsfjernelser af børn Separations- og skilsmissebegæringer Adoptionsforhold Førtidspension og pension i øvrigt CPR-nr. (personnummer)

3 3 NØGLEBEGREBER Behandling: Er alt det, som den dataansvarlige gør med personoplysninger. Fx indsamle, opbevaring, sletning og videregivelse. Dataansvarlig: Er den person, som bestemmer hvorfor og hvordan personoplysninger skal behandles. Som regel er det Thisted Kommune v/ chef/leder. Databehandler: Er den person, som behandler personoplysninger på vegne af den dataansvarlige. Bruger data (fx systemleverandør). Den registrerede: Er den person, som der behandles personoplysninger om, fx hhv. eleven og forældrene. DE GENRELLE PRINCIPPER FOR BEHANDLING AF DATA - skal overholdes hver gang der behandles personoplysninger. Lovlighed Formålet med behandlingen af data skal være lovlig. Dvs. baseret på datasikkerhedsforordningen, anden lov eller samtykke fra personen selv. Rimelighed Databehandlingen skal være rimelig og korrekt. Oplysningerne: Skal være tilstrækkelige, relevante og korrekte. Skal være begrænset til, hvad der er nødvendigt ift. formålet. Må ikke opbevares længere end nødvendigt. Gennemsigtighed Den registrerede skal kunne gennemskue, hvad data bruges til. Registrerede skal oplyses om: Rettigheder Formål med behandlingen af data Det legitime grundlag for behandlingen Tidspunktet for sletning af data AULA I 2019 Aula bliver den centrale kommunale platform fra 2019 på børne- og ungeområdet. Aula må i vid udstrækning bruges til håndtering af data i et omfang, som en række af de nuværende systemer ikke kan. Indtil Aula er i drift (sommer 2019) anvendes SkoleIntra fortsat.

4 4 SYV HOVEDREGLER I DATABEHANDLING 1. Sund fornuft: Brug den sunde fornuft og tag rimelige forholdsregler. Vurdér risiko og sandsynlighed for at der kan ske brud på databeskyttelsen. 2. Lovlighed, rimelighed og gennemsigtighed: Borgerne ejer deres egne oplysninger, og det offentlige må kun have dem liggende og arbejde med dem, hvis der er et lovligt og rimeligt formål hermed, og hvis borgerne er informerede om, at det sker. 3. Formålsbestemthed: Behandling af data skal ske ud fra saglige og legitime formål. Hvis borgeren har givet tilladelse til databehandling ud fra ét formål, så gælder tilladelsen kun til dette formål. 4. Dataminimering og proportionalitet: Man må kun indsamle, gemme og arbejde med data, som er tilstrækkelige, relevante og begrænsede til det, der er nødvendigt. Dvs. need to know og ikke nice to know. 5. Datakvalitet: Personoplysninger skal være korrekte og ajourførte. Urigtige oplysninger skal slettes eller korrigeres. Personoplysninger skal derfor kunne opdateres eller slettes i alle it-systemer. 6. Opbevaringsbegrænsning: Personoplysninger sk al slettes eller anonymiseres, når der ikke længere er behov for at behandle dem. Det skal derfor konkret afgøres, i hvor lang tid forskellige typer af personoplysninger skal gemmes og må behandles. Der skal være en slettepolitik og sletteprocedure, der sikrer dette. Den enkelte skoleledelse har ansvaret herfor. 7. Integritet og fortrolighed: Data må kun opbevares og behandles i systemer, som giver den nødvendige sikkerhed. Man skal sørge for de nødvendige sikkerhedsforanstaltninger. Det betyder, hvordan man teknisk og vha. procedure kan sikre indfrielsen heraf. Den enkelte skoleledelse har ansvaret herfor, idet forvaltningschefen har ansvaret for de fælles systemer.

5 Ok Ikke ok Under afklaring Kommunale serverdrev, fx P-, T-, Opfylder de generelle sikkerhedskrav Må anvendes til opbevaring af personoplysning Må anvendes til opbevaring af følsom personoplysning Må anvendes til arkivering af følsom personoplysning 5 SBSYS KMD-elev MinUddannelse SkoleIntra Aula (pr. august 2019) maks. 30 dage maks. 30 dage Thisted.dk (mail) maks. 30 dage maks. 30 dage Thistedskoler.dk (mail) Q- og R-drev maks. 30 dage maks. 30 dage Skolekom maks. 30 dage maks. 30 dage mv. mv. Youtube mv. Privat mail fx Gmail, hotmail Dropbox, google drev, onedrive Facebook, Snapchat, Instagram HVILKE SIKKERHEDSKRAV OPFYLDER SYSTEMET

6 SBSYS opfylder sikkerhedskravene, hvis de forskellige sikkerheds- og procedureregler bliver fulgt. 6 SIKRE OG USIKRE SYSTEMER Hovedreglen er, at de statslige og kommunale it-systemer er sikre men på forskellig vis mens private eller webbaserede systemer sjældent er det. Der skal foreligge en databehandleraftale på systemerne, og der skal være procedurer, der sikrer, at data fx ikke opbevares længere end de må, og at kun de relevante personer har adgang til data. Skoleledelsen har ansvaret for at indberette nye systemer til forvaltningen, som herefter udarbejder databehandleraftale. Børne- og elevadministrative systemer, såsom KMD-elev, opfylder de tekniske sikkerhedskrav, men der skal være procedureregler for, hvem der må se og bruge hvilke oplysninger. Den lokale skoleledelse har ansvaret herfor. Pædagogiske platforme som Aula og MinUddannelse opfylder de tekniske sikkerhedskrav, men der skal være procedure regler for, hvem der må se og bruge hvilke oplysninger. Den lokale skoleledelse har ansvaret herfor. Kommunale serverbaserede systemer opfylder, som hovedregel, sikkerhedskravene, mens webbaserede systemer, som hotmail, Outlook via Office365 mv., ikke gør det. E-boks er den sikreste måde at kommunikere digitalt med forældrene på. I Thisted er thisted.dk en sikker mail. Office365-mail er ikke sikker til personfølsomme oplysninger, bl.a. fordi det er muligt at viderestille. Sociale medier som facebook, twitter, snapchat, youtube m.v. opfylder ikke sik kerhedskravene og må derfor ik ke anvendes til personoplysninger. Dette gælder både tekst og billeder med mindre, der er indhentet konkret skriftlig tilladelse. Fællesdrev (kommunens serverdrev) er sikre i forhold til backup m.v. men opfylder ikke krav i øvrigt. Følsomme personoplysninger må ikke opbevares her. Webbaserede fildelingssystemer på det administrative net (office365, google, dropbox m.v.) opfylder ikke sikkerhedskravene og må derfor ikke anvendes til følsomme personoplysninger, men er ok at anvende til andre typer af oplysninger som fx undervisningsplaner og materialer. I perioden frem til Aula er i drift, anvendes Intra som hidtil. Dog indskærpes det overfor alle, at man ikke må se på andre oplysninger eller andre sager, end man har lovligt formål med. Mail med personfølsomme oplysninger skal sendes via administrationens sikre mail (thisted.dk) og skal sendes til en sikker mail hos modtageren (e-boks).

7 7 SYV CENTRALE ANBEFALINGER OM OPVARING OG VIDEREGIVELSE AF PERSONDATA 1. Gem ikke persondata på egen pc, på kommunale serverdrev eller i mail, men kun i sikre systemer. Gem dem aldrig på eksterne serverdrev, usb-nøgler m.v. 2. Brug kun sikre systemer som e-boks og Aula til at kommunikere med borgere. Intern kommunikation mellem medarbejdere og mellem forskellige forvaltningsenheder kan også ske via det kommunale mailsystem (Thisted.dk). 3. Andre mailsystemer kan anvendes, men IKKE til personoplysninger. 4. Slet gamle mails. Der må ikke ligge mails med persondata i e- mailsystemet længere end 30 dage. Sagsrelevant materiale skal gemmes i SBSYS eller andet relevant fagsystem efter maks. 5 dage. 5. Send aldrig følsomme personoplysninger (særlige kategorier, øvrige personoplysninger) via andet end sikker mail (Aula, e-boks, kommunale sikre ). Det gælder fx afgørelser om specialundervisning, underretninger, testresultater, helbredsoplysninger og PPV. 6. Slet gamle oplysninger om tidligere børn/elever som minimum en gang om året. Eventuelle nødvendige oplysninger (arkivregler) gemmes i sikkert system, som udgangspunkt i SBSYS. Offentliggør kun personoplysninger (tekst og billede) efter konkret tilladelse fra forældre. 7. Skriv ikke personoplysninger i overskriften for k alenderaftaler. Kalendere er åbne for alle.

8 8 PROCEDURER FOR HÅNDTERING AF SIKKERHEDSBRUD Et brud på persondatasikkerheden eller sikkerhedsbrud defineres som et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet. Som eksempler kan nævnes: 1. Når medarbejdere i Thisted Kommune får adgang til personoplysninger, som de ikke er autoriseret til at have adgang til. Det kan både være om personer i og uden for organisationen. 2. Når medarbejdere ændrer eller sletter personoplysninger ved et uheld. 3. Brud på Thisted Kommunes server hvor uvedkommende får indsigt i personoplysninger - fx CPR-oplysninger, kreditkortoplysninger el.lign. 4. Ubevidst eller bevidst videregivelse af personoplysninger om en borger til en eller flere uvedkommende personer. Fx ved at sende et brev med personoplysninger til en forkert borger. Thisted Kommune har, som dataansvarlig, forpligtelse til at anmelde brud på persondatasikkerheden til Datatilsynet. Anmeldelse skal ske uden unødig forsinkelse og senest 72 timer efter, at vi er blevet bekendt med bruddet. Samtidig er der pligt til som udgangspunkt at underrette de registrerede i tilfælde af brud på datasikkerheden. Ved eventuelt brud på persondatasikkerheden skal følgende procedure følges straks: 1. Medarbejderen noterer tidspunkt for kendeskab til hændelse og orienterer nærmeste leder 2. Nærmeste leder kontakter straks databeskyttelsesrådgiver Torben Hedegaard Hansen på tlf eller på thh@thisted.dk 3. Hvis databeskyttelsesrådgiveren vurderer, at der er tale om et sikkerhedsbrud, som skal indberettes til Datatilsynet, udfylder sagsbehandler og databeskyttelsesrådgiver i fællesskab blanketten på virk.dk 4. Databeskyttelsesrådgiveren følger op på sagen og sikrer eventuel rapportering til berørte parter, herunder særligt den/de registrerede

9 9 OFTE STILLEDE SPØRGSMÅL 1 Hvilke procedureregler skal man lokalt på den enkelte institution have orienteret medarbejderne vedr. behandling af personoplysninger? Og hvordan skal de kommunikeres? Følgende hovedbudskaber skal kommunikeres til medarbejderne skriftligt og mundtligt. Vær opmærksom på, at du kun må se og bruge data, som du har et lovligt formål med at se og bruge. Dvs. du må ikke skaffe dig adgang til data om børn/elever, som du ikke har brug for at se, også selvom du rent teknisk har adgang til det. Følsomme personoplysninger skal opbevares sikkert, dvs. SBSYS, KMD Elev og MinUddannelse og ikke på egen pc, kommunale server-drev, på nettet, i usikre systemer, på usb-nøgle eller i ens private mailboks. Disse data skal registreres på barnets/elevens sag. Kommuniker kun med børn/elever, forældre og eksterne samarbejdspartnere om personfølsomme data via sikkert system: e-boks og Aula. Ikke til deres adresser på hotmail, g-mail m.v. Kommuniker med kolleger i kommunen via det kommunale mailsystem eller via Aula. Ikke via en webmail. Slet gamle mails. Der må som hovedregel ikke ligge mails med følsomme persondata i systemet længere end 30 dage. Sagsrelevant materiale skal gemmes i SBSYS eller andet relevant fagsystem efter maks. 5 dage. Hvordan skal man forholde sig i overgangsperioden indtil Aula er i drift? Indtil Aula er i drift, bruges SkoleIntra fortsat. Det er dog vigtigt, at alle instrueres i, at de ikke må læse de personoplysninger, der måtte findes i SkoleIntra, med mindre de har en lovlig og legitim grund hertil. Dvs. de må alene se sager, udtalelser og notater om egne børn, og kun såfremt de har brug for det til at løse deres opgave. I hvilke typer af systemer og programmer skal en lærer eller pædagog gemme følsomme personoplysninger, når de ikke har adgang til SBSYS? Institutionens og skolens administration skal gøre det muligt at gemme følsomme personoplysninger i SBSYS. Det svarer til, at den type oplysninger tidligere lå i elevens hængemappe i administrationen. Adgang til SBSYS kan ske via leder, sekretær eller en særlig pc, hvor udvalgte medarbejdere har adgang til SBSYS, KMD Elev og MinUddannelse.

10 10 OFTE STILLEDE SPØRGSMÅL 2 Hvilke oplysninger om børn/elever må man registrere i den digitale læringsplatform (MinUddannelse)? Som hovedregel bør alle personfølsomme data registreres i SBSYS og ikke i den digitale læringsplatform, MinUddannelse. Såfremt der er et lovligt formål med det, må alle typer af oplysninger registreres i de digitale læringsplatforme. Men vær opmærksom på, at det kræver, at alle der har adgang til systemet er bevidste om hvilke data, de har lov til at se. Ligeledes rettes opmærksomheden mod at data skal slettes igen, når det ikke længere er relevant at have dem liggende. Kræver det konkret samtykke (tilladelse) fra forældrene, hvis man registrerer oplysninger om et barns sociale, personlige eller læringsmæssige udvikling (herunder specialundervisning) på egen pc eller i institutionens digitale læringsplatform? Skal forældrene informeres om registrering? Det kræver ikke tilladelse fra forældrene at registrere oplysninger, hvis det sker som del af den opgave, man skal løse. Men forældrene skal som hovedregel informeres om, hvilke oplysninger der registreres. Sådanne oplysninger må alene gemmes i sikre systemer og således ikke på ens egen pc. Data skal slettes igen, når de ikke længere er relevante at opbevare. Hvilke data om børn/elever må man have liggende på egen pc? Man må ikke have følsomme persondata liggende på egen pc. Det er for usikkert. Den type data skal ligge i sikre systemer. Persondata må absolut ikke ligge på eksterne harddrev, usb-nøgler eller i web-platformen (i skyen ). Hvor længe må følsomme personoplysninger om et barn/en elev ligge i de forskellige systemer, og hvem har ansvaret for at slette dem? Persondata må være registreret i de forskellige systemer, så længe det er fagligt relevant og i overensstemmelse med formålet med registreringen. Når et barn fx ikke længere går på en daginstitution eller i en skole, skal data altså generelt set slettes, og det samme gør sig gældende, hvis det ikke længere er relevant (retlig eller administrativ betydning at gemme) at opbevare oplysningerne. Typisk slettes data senest 5 år efter, at barnet ikke længere går på institutionen/skolen. Bemærk at eksamensbeviser, og data nødvendige for at udstede sådanne beviser skal gemmes. Elevsager, herunder elevplaner og PPV m.v., skal ikke gemmes, med mindre det vurderes relevant. Der skal altså foretages en konkret vurdering.

11 11 OFTE STILLEDE SPØRGSMÅL 3 Må man have en klasse-/gruppeliste med navne, adresser, telefonnumre og oplysninger på institutionens internetside, intranet, i læringsplatformen eller i Aula eller kræver det årligt samtykke fra forældrene? En klasseliste indeholder persondata. Det kræver derfor samtykke fra forældrene at offentliggøre sådanne. Det anbefales at sådanne oplysninger ikke placeres på en offentlig tilgængelig hjemmeside, men kun i lukkede systemer (fx intranet eller Aula), og at der indhentes samtykke. Kan man arbejde med en generel samtykkeerklæring fra forældrene vedr. opbevaring og behandling af persondata som gælder i flere år eller i hele barnets skoletid? Ja, men det kræver visse tiltag for at sikre sig, at man har de korrekte samtykkeerklæringer. En samtykkeerklæring skal være frivillig, specifik, informeret og utvetydig. Hvis en behandling ikke er beskrevet i en i forvejen afgivet samtykkeerklæring, er vi nødt til at indhente nyt samtykke. Må en skole føre en løbende oversigt over, hvilke støttetiltag der er igangsat for de forskellige elever (fx specialundervisning, støtte til fysiske handicap, igangsatte underretninger)? Ja, så længe det sker i et sikkert system (i SBSYS), så længe data er ajourførte, og så længe forældrene er informeret om de data, der registreres. Er der oplysninger man ikke må sende pr. mail? Nej. Alle typer af oplysninger må sendes mellem medarbejdere i Thisted kommune ved brug af adresse. Når du kommunikerer med forældre om personfølsomme oplysninger, er det kun sikkert via e- boks eller Aula. Almindelig kommunikation kan foregå via alle mail-typer. Det anbefales, at kommunikation med forældre alene sker via Aula og e- boks. Dvs. at der ikke sendes svar til fx forældrenes g-mail, hotmail og lign. Som god service bør der svares, at mail er modtaget og svar sendes til sikker mail (e-boks/aula). Indtil Aula er i drift bruges SkoleIntra samt mail fra administrationens sikre mailadresser. Hvis man får en mail fra en forældres hotmail-adresse vedr. deres barns specialundervisningsbehov, må man så svare, eller skál man svare via Aula eller til e-boks? Se ovenstående. Svar skal sendes via sikker mail dvs. via Aula eller e-boks.

12 12 OFTE STILLEDE SPØRGSMÅL 4 Er data i en elevplan personfølsomme? Skal de slettes igen, hvornår? Hvem har ansvaret for det? Data i en elevplan er i udgangspunktet ikke særligt beskyttede. De må gerne ligge i de relevante digitale systemer, så længe der er et lovligt formål hermed. Når en elev ikke længere er tilknyttet en skole, skal elevplanen slettes, hvilket sker automatisk. Bemærk at der i notefelter til en elevplan kán være indskrevet oplysninger, som er personfølsomme og særligt beskyttede. I sådan tilfælde må de kun ligge i den digitale platform, hvis der er procedurer for, hvem der må se dem, og hvordan data behandles. Som hovedregel bør sådanne oplysninger ikke anføres i sådanne felter, men skal placeres i et sikkert system. Hvor længe må man gemme en med følsomme persondata i egen mailboks (indbakke og udbakke)? Som hovedregel maksimalt 30 dage. Mail med personfølsomme oplysninger skal som hovedregel alene findes i sikkert system (SBSYS eller Aula). De må ikke ligge i ens personlige mail (k ommunalt mailsystem, hotmail, g- mail, skolekom eller lignende). Er en lærer eller en pædagogs notater om et barns faglige eller sociale udvikling personfølsomme oplysninger, som det kræver samtykke at opbevare? Skal forældrene have besked om, at de findes, hvor længe må man gemme dem og hvor? En lærer eller pædagogs personlige notater om et barns udvikling er et professionelt redskab, som man gerne og som minimum må anvende. Sådanne data bør som hovedregel gemmes på barnets sag i SBSYS, og forældrene skal som hovedregel informeres, som minimum når og hvis disse data indgår i den konkrete sagsbehandling. Fx når der overvejes at igangsætte særlige tiltag, skal laves underretning eller lignende. Personlige notater bør kun gemmes kortvarigt og kun et sikkert sted. Hvis de er relevante at gemme længere, så skal de på barnets sag. Må en lærer eller pædagog have en pædagogisk-psykologisk vurdering (PPV) på et barn liggende på egen pc? Hvis ikke hvor må den så ligge, hvor læreren og pædagogen kan se den? Nej. En PPV indeholder personfølsomme oplysninger og må alene ligge i sikre systemer, dvs. i udgangspunktet i sikker mail (dog maks. 30 dage) og i SBSYS. Den kan også findes i papirformat, så længe dette opbevares forsvarligt.

13 13 OFTE STILLEDE SPØRGSMÅL 5 Er lærere og pædagoger omfattet af forvaltningslovens bestemmelser om journal- og notatpligt? Forvaltningsloven omfatter alle offentlige myndigheder, skoler og daginstitutioner. Men den sigter mod forvaltningsvirksomhed, hvor der er eller vil blive truffet en afgørelse. Faktisk forvaltningsvirksomhed, som fx undervisning, pædagogiske aktiviteter, pasning mv. er ikke omfattet af forvaltningsloven. Det betyder fx, at en lærer eller pædagog ikke er omfattet af reglerne om fx notatpligt, journalisering m.v. så længe det handler om den almindelige praksis. Men når der træffes beslutning, når der optrædes som myndighed, så gælder lovens bestemmelser. Fx når der træffes beslutning om underretning, igangsættelse af specialpædagogiske tiltag, disciplinære foranstaltninger m.v. Hvordan må personoplysninger om medarbejdere behandles? Må en oversigt over hvem, der er fraværende pga. sygdom eller barns sygdom, fx hænge i personalerummet, så alle kan se det? Personoplysninger om sygdom må ikke være offentligt tilgængelige. Men det må gerne fremgå, hvem der er tilstede, og hvem der ikke er, så længe årsagen ikke fremgår.

14 14 OFTE STILLEDE SPØRGSMÅL VEDR. BILLEDER 1 Skal jeg indhente samtykke for både portrætbillede og situationsbilleder? Nej. Du skal alene indhente samtykke for portrætbilleder. Grænsen for at et billede er et situationsbillede mod at være et portrætbillede kan dog være vanskelig at definere. Såfremt et barn er genkendelig på et situationsbillede er informationen personhenførbar, hvorfor der ved yderligere forhold, som fx religiøs hovedbeklædning eller den famøse gipsarm, kan være fare for, at de følsomme oplysninger overskygger situationsbilledet. Skal man have samtykke fra forældrene hver gang, man vil lægge et billede af barnet på hjemmeside, SkoleIntra, Facebook eller lignende? Ja, der skal indhentes samtykke for hvert konkret billede, hvis et billede viser forhold, der karakteriseres som personfølsom, fx religiøs hovedbeklædning eller en gipsarm. I øvrigt er det nok, at forældrene giver samtykke til, at barnets billeder, kan blive brugt til offentliggørelse på hjemmeside, SkoleIntra, Facebook eller lign. Men: Et samtykke gælder kun for de forhold, der er nævnt i samtykkeerklæringen. Hvis du beder om samtykke, vedr. brug af de i spørgsmålet nævnte medier, vil fx brug af YouTube ikke være omfattet. Vil du altså lægge videoer på fx YouTube, skal du have en ny samtykkeerklæring. Det samme gælder fx ved implementering af et nyt system, som skal erstatte et eksisterende system, som er omfattet af samtykkeerklæringen. Derfor vil det være nødvendigt, at indhente en ny samtykkeerklæring, når Aula tages i drift. Det er som udgangspunkt den, der har forældremyndigheden, der skal give samtykke til det på vegne af barnet. Hvis en elev er 13 år eller derover, kan eleven dog almindeligvis selv give samtykke til, at skolen offentliggør oplysninger om vedkommende. Hvad nu hvis der indgår tegn på forskellige religiøse overbevisninger helbredsmæssige identifikationer mv. på situationsbilleder? Indgår der tydelig tegn på forskellige religiøse overbevisninger eller helbredsmæssige identifikation, skal du foretage en individuel vurdering af, om det forstyrrer situationen så meget, at man er nødt til at udarbejde et samtykke, hvori det fremgår, at billedet ud over at være et situationsbillede kan identificere bestemte religioner eller helbredsmæssige oplysninger om de personer som indgår på billedet.

15 15 OFTE STILLEDE SPØRGSMÅL VEDR. BILLEDER 2 Hvordan skal jeg forholde mig til brug af billeder på Facebook eller andre sociale medier? Sociale medier er p.t. en vanskelig størrelse for kommunen. Lige nu er justitsministeriet i gang med at forhandle med Facebook på vegne af hele den offentlige sektor. Datatilsynet har tilkendegivet, at man vil tage hensyn til situationen, men omvendt også påpeget, at det er nødvendigt at overholde gældende regler. For at undgå større risici for Thisted Kommune skal sociale medier hverken anvendes i forbindelse med beskedfunktionen (fx Messenger på Facebook) eller i forbindelse med portrætbilleder. Situationsbilleder kan anvendes uden samtykke. Vær dog opmærksom på, at grænsen fra et situationsbillede til et portrætbillede kan være flydende, hvorfor tvivlstilfælde ikke burde anvendes på sociale medier. Thisted Kommune opfordrer til, at skolerne ikke benytter Instagram til portrætbilleder af deres elever. Er der forskel på stilbilleder og video? Nej, der er ikke forskel mellem de to. Du skal stadig skelne mellem portræt eller situation. Se foregående spørgsmål. Du skal være opmærksom på, at det kan være rigtig svært at skelne mellem portræt i video og situation, fordi du nemt kommer til at filme som et portræt. Er det kun ved brug af Facebook, at det er et problem at oplægge portrætbilleder? For det er vel portrætbilleder, vi henter samtykke til? Uanset hvor du bruger et portrætbillede, kræver det et konkret samtykke til, der hvor billedet bruges. Er det bedre bare at bruge situationsbilleder på Facebook? Situationsbilleder kræver intet samtykke. Om end rettes opmærksomheden mod, at det er problematisk at tagge personerne på billedet, fordi personerne derved bliver identificerbare. Skal alle blanketter indeholde informationer om formål, DPO mv.? Ja det skal der - uanset om det er følsomme personoplysninger eller ej, så skal der informeres om, hvorfor vi indhenter disse oplysninger. Der er ikke nogen bagatelgrænse.

16 Undervisningsafdeling Asylgade Thisted August 2018