Plan for databeskyttelse på Nykøbing Katedralskole Maj 2018, revideret marts 2019

Transkript

1 Plan for databeskyttelse på Nykøbing Katedralskole Maj 2018, revideret marts Lovhjemmel Generelt sker al indsamling og opbevaring af persondata på følgende lovgrundlag: Bekendtgørelse om revision og tilskudskontrol m.m. ved institutioner for erhvervsrettet uddannelse, almengymnasiale uddannelser og almen voksenuddannelse m.v., bilag 1, pkt. 4. Indsamling og opbevaring af elevers persondata sker således som forudsætning for at eleven kan optages og undervises på skolen. Personfølsomme data indsamles og opbevares for enkelte elever for at støtte eleven i gennemførelse af uddannelsesforløbet. Indsamling og opbevaring af ansattes persondata sker således som forudsætning for at den ansatte kan ansættes på skolen. 2 Overordnede retningslinjer for arkivering og kommunikation samt sletning af mails Personfølsomme data arkiveres i skolens i ESDH-arkiv. Almindelige persondata arkiveres på ITCenter Fyns administrative drev, på Onedrive eller i papirform i aflåst skab på skolens kontor. Alle personfølsomme data kommunikeres via e-boks. Almindelige persondata kommunikeres via sikker mail på Outlook eller via e-boks. Alle persondata slettes manuelt fra Outlook efter 30 dage. Mails i postkasserne Slettet post og Uønsket post slettes automatisk efter 3 måneder. 3 Samtykke, kommunikation, dokumenthåndtering, arkivering a. Optagelse på skolen I velkomstbrevet orienteres om persondataforordningen og henvises til hjemmesiden. Forældre og elever over 18 år giver ved optagelsen samtykke til brug af billeder på Lectio til identifikation og brug af billeder på sociale medier. Samtykke til brug af billeder på sociale medier kan til hver tid tilbagekaldes. Skolen er ikke ansvarlig for diverse elevfotobøger. b. Kommunikation: Mail, Lectio-beskeder og telefon Det fremgår af hjemmesiden, hvordan der kommunikeres med sikker mail til skolen. Medarbejder til omverden: Outlook, sikker mail. ITC-fyn er ansvarlig for sikker mail. Omverden til Medarbejder: Som ovenfor. Medarbejder til elev og forældre: Der kommunikeres primært via e-boks. Mails via Outlook, der indeholder personfølsomme data, arkiveres i ESDH-arkiv og slettes fra mailboksen straks efter arkivering.

2 Elev og forældre til medarbejder: Via sikker mail og e-boks. Mails der indeholder persondata arkiveres i ESDH-arkiv og slettes fra mailboksen straks efter arkivering. Dette sikrer samtidig en sikker brug af mail på telefonen. Medarbejder til Medarbejder: Outlook, sikker mail. Følsomme persondata arkiveres i ESDHarkiv og slettes straks fra mailen. Medarbejder til elev: Lectio. Følsomme persondata kommunikeres på mail og ikke via Lectio. Almindelige persondata undgås så vidt muligt. Det anbefales i stedet at indkalde til et personligt møde (se pkt. D Studievejledning og øvrige personlige samtaler med elever). Elev til medarbejder: Lectio. Følsomme persondata kommunikeres på mail og ikke via Lectio. Elev til skole: Lectio. Følsomme persondata kommunikeres på mail og ikke via Lectio. Telefon: Det er ekstra vigtigt at der ikke er persondata på mailen, hvis man har en mail-app på sin telefon. c. Sikker arkivering Medarbejdernes persondata arkiveres i ESDH-arkiv. Almindelige persondata opbevares derudover også på Lectio og på ITCenter Fyns administrative drev. Ledelsen har adgang til alle data. Sekretærerne og studievejledere har derudover adgang til elevernes persondata. Økonomimedarbejderne har adgang til de relevante dele af medarbejdernes persondata. Elevernes almindelige persondata opbevares på Lectio. Elevsager med følsomme persondata arkiveres i ESDH-arkiv. Ledelse og studievejledere samt elevcoach og sekretærer med ansvar for elevadministration har adgang til alle elevsager. Ansøgere - medarbejdere: ansøgninger modtages via gymnasiejob.dk. Gymnasiejob.dk sørger selv for samtykkeerklæring. Ansøgninger og persondata arkiveres i ESDH-arkiv. Slettes 30 dage efter opslagets udløb (Bemærk frist for aktindsigt). Ansættelsesbreve sendes i e-boks. Underskreven kontrakt sendes tilbage via e-boks. Der sendes samtidig samtykkeerklæringer om behandling af persondata og brug af billeder. Uopfordrede ansøgninger: Særligt egnede kandidaters ansøgning arkiveres i ESDH-arkiv i vores kandidatbank sammen med ansøgningen. Øvrige slettes 30 dage efter afslaget. Afviste ansøgere: ansøgning og bilag slettes 30 dage efter ansøgningsprocedurens afslutning, da der skal være mulighed for at behandle en eventuel klage. Vikarer behandles på samme måde som ansatte.

3 Ansøgere elever: ansøgninger modtages via optagelse.dk. Almindelige persondata overføres til Lectio. Ansøgningen arkiveres på Lectio. Elevsager er følsomme persondata, som arkiveres i ESDH-arkiv og slettes når eleven har forladt skolen. Afviste elever: ansøgningen slettes 30 dage efter optagelsesproceduren er afsluttet. Elever der afbryder uddannelsen: Data slettes senest 30 dage efter udmeldelse. Medarbejdere: Almindelige personoplysninger opbevares på Lectio. Alle øvrige oplysninger (Fx. kursusansøgninger, omsorgsdage, ferie-fridage, jobansøgninger, sygemeldinger, sygefraværssamtaler, barsel, referater af MUS, semestersamtaler, samtykke erklæringer, alle dokumenter, der indeholder cpr-nummer samt øvrige personlige samtaler) arkiveres i ESDHarkiv under cpr-nummer. Elever: Almindelige personoplysninger arkiveres på Lectio. Tilknytning til hold, karakterer, statistik over fravær o. lign. opbevares på Lectio og o-drev (se også punkt d). Bemærkninger om uddannelsesforløb arkiveres på OneDrive. Følsomme persondata arkiveres i ESDH-arkiv og slettes 30 dage efter at eleven har forladt skolen. Fortegnelse over elever i særlige forløb og elever med særlige behov arkiveres i ESDH-ARKIV. Ansøgninger og al kommunikation om SPS arkiveres i ESDH-ARKIV. d. Studievejledning og øvrige personlige samtaler med elever Forældre og elever over 18 år har ved optagelsen givet samtykke til at vi kan behandle deres almindelige og følsomme persondata. Varsler og indkaldelse til samtale pga. fravær sendes via e-boks og arkiveres i ESDH-ARKIV. Studievejlederne kan indkalde til øvrige samtaler via Lectio. Mails til og fra elever: se punkt b. Beskeder og sms, der indeholder personoplysninger til og fra elever slettes straks efter modtagelsen/afsendelsen. Det anbefales helt at undgå sms med personoplysninger. Ansøgning om udeboende SU, SPS og anden særlig støtte arkiveres i ESDH-ARKIV under cprnummer. Alle notater fra personlige samtaler arkiveres i ESDH-ARKIV under cpr-nummer. Studieture: det skal fremgå af tilmeldingen til studieture at vi behandler persondata. Elever og forældre til elever under 18 år skal før studieturen underskrive en samtykkeerklæring om at skolen videregiver oplysninger til rejsearrangører og logiværter. Ved rejser ud over EU skal personoplysninger (fx pasoplysninger) medbringes i papirform eller opbevares på OneDrive. e. Undervisning Den enkelte lærers notater om standpunkt opbevares i lærerens OneNote. Fysiske kopier af elevlister, karakterlister o. lign. opbevares i et aflåst skab.

4 4 Information til medarbejdere om datasikkerhed og mailpolitik Skolens personalehåndbog, Grønspættebogen, er opdateres med mailpolitik, information til medarbejderne om persondata, hjemmearbejdspladser, arkivering på OneNote mv. 5 Hjemmearbejdspladser Det fremgår af skolens hjemmeside, hvordan medarbejderne skal sikre persondata på deres hjemmearbejdspladser. 6 Slettepolitik Oprydning slettepolitik - Eksamensbeviser og karakterer slettes efter 30 år - Alle medarbejderdata slettes fra ESDH-ARKIV 5 år efter ansættelsens ophør - Afviste ansøgere (medarbejdere/elever) og elever der afbryder slettes efter 30 dage - Uopfordrede ansøgere slettes efter behandling eller gemmes med ansøgerens samtykke i kandidatbanken/esdh-arkiv og slettes efter 3 år. - Persondata på gymnasiejob.dk slettes i takt med portalens slettepolitik - Følsomme elevdata på ESDH-ARKIV slettes 30 dage efter elevens udmeldelse - Almindelige elevdata slettes i takt med Lectios slettepolitik - Alle persondata i mails arkiveres evt. i ESDH-ARKIV, slettes senest efter 30 dage fra mailen - Alle data på o-drevet slettes årligt efter 3 år 7 Videregivelse af persondata til 3.part Nykøbing Katedralskolen har indgået aftale med alle relevante databehandlere. Lærerne er informeret om ikke at opfordre eleverne til at videregive persondata til apps og hjemmesider, som skolen ikke har indgået databehandleraftale med. Lærerne er instrueret i databehandling af elevdata i forbindelse med studieture til udlandet. Alle deltagere i studieture til udlandet udfylder en samtykkeerklæring. (se også pkt. 3D) 8 Læk af persondata Det fremgår af hjemmesiden hvordan skolen forholder sig i tilfælde af datalæk. På skolens hjemmeside er der en vejledning for personer der opdager datalæk, en blanket til anmeldelse samt en generel henvisning til skolens databeskyttelsesrådgiver. Ovenstående databeskyttelsesplan er godkendt af bestyrelsen for Nykøbing Katedralskole. Nykøbing den 22/ Jens Erik Boesen formand Kirsten Danving Rektor

5