Persondata – kortlægning af skolens behandling

Præsentationer af emnet: "Persondata – kortlægning af skolens behandling"— Præsentationens transcript:

1 Persondata – kortlægning af skolens behandling
Denne spørgeramme er udviklet af de frie skoleforeninger til brug for kortlægning af skolens databehandling. Målet er at få viden om: Hvilke persondata, skolen behandler. Med hvilket formål, data behandles. Og hvordan de enkelte oplysninger behandles på skolen. Materialet består af en introduktion (denne powerpoint) og en matrice til registrering af datastrømme på skolen (excel). Værktøjet er bilag til skoleforeningernes vejledning om EU-forordning om beskyttelse af persondata.

2 Vejledning til udførelsen af analysen 1a.) Skema til registrering
Dette skema er udarbejdet af de frie skoleforeninger til brug for datastrøms-analyse på den enkelte skole. Skemaet i excel-filen kan anvendes til registrering af alle databehandlinger på skolen. Se nærmere vejledning til udfyldelse af skemaet i excel-filen. De medarbejdere, som varetager centrale databehandlingsfunktioner på skolen, bør som minimum medvirke i registreringen sammen med et medlem af ledelsen, der er ansvarlig for gennemførelsen af analysen. Det er som minimum sekretær, forretningsfører, vejleder og it-ansvarlig. Husk også, at hvis lærerne arbejder med oplysninger om elever decentralt, fx på egne pc'er eller hjemme, skal dette også omfattes af analysen. Analysen kan enten udføres sideløbende med de almindelige opgaver eller i form af 1-2 møder, hvor alle de involverede gennemgår skolens databehandlingsprocesser. Analysen vil i mange tilfælde uundgåeligt komme til at omfatte en del systemanalyse. Vi anbefaler, at vurderingen af, om skolen overholder forordningens krav foretages som et ‘step 2’, når alle datastrømme er registreret. På den måde kan man holde et samlet overblik.

3 Vejledning til førelse af analysen 1b) Skema til registrering
Sørg for at udfylde skemaet på tilstrækkeligt detaljeringsniveau. Det er fx ikke nok at skrive ‘personalemappe’ under ‘oplysninger om medarbejdere’. Personalemapper omfatter mange typer af oplysninger, hvoraf nogle kan være følsomme, som fx helbredsoplysninger. Der kan også være forskellige krav til, hvornår oplysningerne i personalemappen skal slettes igen. I forbindelse med behandlingerne er det fx også vigtigt at være opmærksom på, om der indsamles andre oplysninger indirekte, som fx hvis der ved lønudbetaling sker overførsel til fagforening. I dette tilfælde har skolen reelt registreret medarbejderens fagforeningsforhold, hvilket kræver eksplicit samtykke til formålet.

4 Vejledning til udførelsen af analysen 2) Databehandler
Når I har gennemført registreringen af, hvilke oplysninger, I behandler om elever, forældre, medarbejdere og andre, skal I kigge feltet om, hvordan I behandler oplysningerne igennem. På baggrund af denne, skal I lave en samlet liste over de it-systemer, tjenester og APPS, i bruger som led i skolens administration, undervisning, mv. Det er fx administrationssystem, internetudbyder, hosting-services, intrasystem, uni-login. Dernæst skal I tjekke, om I har databehandleraftaler med alle de eksterne leverandører, der behandler data på jeres vegne. OBS! UNI-login er undtaget krav om databehandleraftale, da systemet er en fællesoffentlig løsning og er skrevet ind i loven.

5 Vejledning til udførelsen af analysen 3) Fortegnelse
Når I har gennemført registreringen af hvilke oplysninger, I behandler og hvordan, samt dannet jer et overblik over eksterne leverandører (databehandlere), er det tid til at kigge på skolens processer og organisering. Det er nu, I skal have fat i Fortegnelsen. Fortegnelsen er det samledokument, I skal kunne fremvise til Datatilsynet om, hvordan I overholder Forordningens krav. De fleste felter i fortegnelsen kan udfyldes umiddelbart på baggrund af datastrømsanalysen og overblik over databehandlere. Der er dog også krav om, at I har truffet de fornødne tekniske og organisatoriske foranstaltninger til at beskytte data så vidt muligt. Det handler både om fysisk og elektronisk sikkerhed, samt klar fordeling af ansvar og roller. Det handler også om, hvordan I indhenter samtykke og oplyser alle registrerede om deres rettigheder. Desuden skal I have en politik for opbevaring og sletning af oplysninger. Den sværeste øvelse er måske i virkeligheden vurderingen af, hvordan I indtil nu har delt oplysninger på skolen: Ved alle alt om alle?

6 Vejledning til udførelsen af analysen 3) Fortegnelse
I kan finde skoleforeningernes vejledning til Eu’s persondataforordning på hjemmesiden: under leksikon (Persondataloven). Her kan I også finde yderligere vejledning og inspiration, fx Oversigt over slettepligt på forskellige typer af oplysninger. Udkast til formuleringer vedr. samtykke og oplysningspligt til elever og forældre. Udkast til formuleringer vedr. samtykke og oplysningspligt til medarbejdere. Inspiration og vejledning fra Datatilsynet ift. organisation og it- sikkerhed.

7 Hvilke personoplysninger behandler skolen?
Elever Navn Adresse Karakterer og vurderinger Referat af elevsamtaler Særlige behov Sundhedsplejerske/ Læge Forældre Referat af skole-hjem-samtale Forældremøder, mv. Skolekredsmøder Helbredsoplysninger Økonomi Ansatte/medarbejdere Lønoplysninger Fravær/tilstedeværelse Tjenstlige forløb Evalueringer Rekrutteringsoplysninger Øvrige Kommuner Børnehaver/skoler Leverandører Samarbejdspartnere Rejsebureauer

8 Typer af oplysninger og betingelser for behandling
Persondataforordningen – typer af oplysninger Hvad kræves for at behandle oplysningerne? Almindelige oplysninger Navn Adresse og telefonnummer Fødselsdato Cpr-nummer Familie Uddannelse/beskæftigelse Tjenstlige oplysninger Bolig Bil Eksamener Løn og skat Sygefravær Strafbare forhold (fx indhente straffe- og børneattest) Væsentlige sociale problemer Samtykke fra den registrerede Behandlingen af oplysninger skal være nødvendig for at opfylde en kontraktlig eller retlig forpligtelse. Nødvendig for at beskytte en persons vitale interesser. Nødvendig for udførelsen af en opgave i samfundets interesse. Nødvendig for at behandle en berettiget interesse hos databehandler. Obs! Private må behandle cpr-nummer uden samtykke, hvis det følger af lovkrav. Cpr-nummer må aldrig offentliggøres uden tydeligt samtykke fra den registrerede. Følsomme oplysninger Race Etnisk oprindelse Politisk, religiøs eller filosofisk overbevisning Fagforening Helbredsoplysninger (fx årsager til sygefravær, kroniske sygdomme, mv.) Seksuelle forhold og seksuel orientering Samtykke til specifikke formål Forpligtelser iht. Lov eller overenskomst Den registreredes vitale interesser. Nødvendig ift. retskrav Væsentlige samfundsinteresser. Behandling indenfor sundhedssektoren Samfundets interesse/statistik