Databeskyttelsesforordningen (GDPR)

Databeskyttelsesforordningen (GDPR) For ledere og medarbejdere pĂĽ skolerne i Gladsaxe Kommune

Indhold

Forord...........................................................3 Hvad er persondata?................................... 4 Borgerens rettigheder...................................5 Samtykke ..................................................... 6 Ret til adgang og datafortegnelse................7 Vigtig viden om data på skoleområdet........8 Oprydning.................................................... 9 Huskeregler til daglig praksis....................10 Hjemmesider og sociale medier................10 Brud på persondatasikkerheden................ 11 Kilder og mere viden om emnet................ 11

Persondata/GDPR-arbejdsgruppen består af følgende medarbejdere i Skoleafdelingen: Maj-Brit Frisk Sørensen, Talita Salqvist, Anders Posselt Langhede og Kirsten Haase.

2

Forord Vi har her beskrevet nogle af de hovedpunkter, som er væsentlige at kende og måske ændre praksis omkring i forhold til den nye databeskyttelsesforordning (GDPR = General Data Protection Regulation), der trådte i kraft den 25. maj 2018.

Mange af de punkter, GDPR omhandler, har vi haft regler for længe, men nu er der nogle skærpede krav til dig, som er leder eller medarbejder på skoleområdet i Gladsaxe.

Hvad er formålet?

Hovedformålet med den nye og skærpede databeskyttelsesforordning er at beskytte borgerens data.

Kort om GDPR Der blev i 2016 vedtaget nye regler for behandling af personoplysninger i form af EU-forordningen, General Data Protection Regulation. Reglerne erstatter i Danmark Lov om behandling af personoplysninger fra 2000, EU-direktiv 95/46/ EC fra 1995. Lovgivningen fra ’95 er mere end 20 år gammel og matcher ikke længere den teknologiske udvikling.

Den nye forordning er altså en modernisering af beskyttelsen af personoplysninger. Forordningen er en styrkelse af individets ret til databeskyttelse, men samtidig også en understøttelse af det frie flow af data i EU og reduktion af administrative byrder for dataansvarlige.

På skoleområdet skal vi være særligt opmærksomme på borgernes ret til databeskyttelse og de deraf skærpede forpligtigelser for de dataansvarlige og databehandlerne (se side 5). Dette gælder derfor både for praksis på skolerne og i Skoleafdelingen.

Venlig hilsen Persondata/GDPR-arbejdsgruppen

3

Hvad er persondata?

Persondata er alt, der direkte eller indirekte kan henføres til en person – også selvom det kun er muligt for særligt indviede at forstå, hvem oplysningen vedrører.

Persondata er eksempelvis navn, adresse, fødselsdato, telefonnummer, e-mailadresse, IP-adresse, lokaliseringsdata, online-identifikator, betalingsinformationer, historik over tidligere køb, oplysning om, hvilke varer en person har klikket på, fotos, stemmeoptagelser og meget mere.

Hvad dækker personoplysninger over?

Almindelige personoplysninger

Særlige personoplysninger

Ikke følsomme

Følsomme

Navn

Helbredsforhold

Adresse

Medlemskab af fagforening

Fødselsdato

Etnisk baggrund

Stilling

Politisk overbevisning

Kontaktoplysninger

Seksuel orientering

m.m.

m.m.

Kilde: skoleit.dk

4

Hvem er dataansvarlig?

Den, der afgør, til hvilke formål og med hvilke hjælpemidler, der må foretages behandling af personoplysninger. Det er for eksempel skolen/ institutionen, der er dataansvarlig, hvis I hyrer et konsulenthus til at lave en trivselsundersøgelse.

Hvem er databehandler?

Den, der behandler personoplysninger på den dataansvarliges vegne, for eksempel en pædagogisk medarbejder, der i forberedelse af en børnesag indsamler, nedskriver eller sletter data om en elev.

Borgerens rettigheder Der findes i databeskyttelselsforordningen en række principper, som skal følges, når vi ønsker at behandle personoplysninger.

Principperne inkluderer blandt andet, at personoplysningerne skal behandles lovligt, det vil sige fair og transparent. Fair og transparent betyder for eksempel, at borgeren kan gennemskue, hvad der skal ske, og hvorfor data er korrekte.

Personoplysninger må kun behandles til et specifikt, eksplicit og legitimt formål, og der må ikke behandles flere oplysninger end nødvendigt. Oplysningerne skal være korrekte og opdaterede, og de må ikke må lagres længere end nødvendigt.

For eksempel skal mange oplysninger om en elev slettes, når eleven forlader skolen. Desuden skal oplysningerne beskyttes via sikkerhedsforanstaltninger iværksat efter en risikovurdering.

Den registrerede borger har en række rettigheder i forhold til de personoplysninger, som behandles. Blandt andet har borgeren ret til at blive informeret om behandlingen og til at få rettet eller slettet personoplysninger.

5

Hvad betyder det for din praksis?

Du må ikke gå fra din åbne iPad eller PC, så andre kan få adgang, mens du er væk, heller ikke i få minutter. Dit device skal være låst, når du går. Dit device skal også være beskyttet af pinkode eller fingertouch. Selv om dit device er låst og beskyttet, må du alligevel ikke opbevare persondata på det. Du skal benytte de sikre systemer, vi har på skoleområdet (se side 9).

Samtykke Betingelserne for samtykke, det vil sige at borgeren giver tilladelse til, at vedkommendes data må indsamles og bruges, er blevet styrket. Det betyder blandt andet, at anmodningen om samtykke skal gives på en forståelig og let tilgængelig måde.

Generelt samtykke Det er muligt for skolen at indhente et generelt samtykke til brug af for eksempel billeder af børn. Med generelt samtykke menes der, at forældrene giver samtykke til, at skolen gerne må bruge billeder af et barn uden at indhente særskilt tilladelse hver gang.

Det er dog vigtigt, at skolen i samtykkeerklæringen formulerer klart og tydeligt (transparent), at samtykket kan betyde offentliggørelse eller deling af data. Selvom data, for eksempel et foto, i første omgang bruges i et lukket fora som Intra eller Skoleportalen, kan det hurtigt offentliggøres med et screenshot, der lægges på Facebook eller Instagram. Det skal stå i samtykkeerklæringen.

Det er desuden en god ide at opstille forskellige scenarier, som forældrene kan sige ja eller nej til – for eksempel billeder taget på legepladsen, i svømmehallen, på skovtur og så videre. Igen for at give forældre (og børn) et fair og transparent grundlag at give samtykket ud fra.

Borgeren har til hver en tid ret til at tilbagekalde et givent samtykke.

6

Foto og video Et foto eller en video, hvor en elev er identificerbar, er også data. Der skelnes mellem et såkaldt situationsbillede, som for eksempel billedet på forsiden af dette hæfte, og et portrætbillede. Et portrætbillede kræver samtykke, hvilket et situationsbillede som regel ikke gør. Det er dog en konkret vurdering i hvert tilfælde. Læs mere på Datatilsynets hjemmeside En samtykkeerklæring giver ikke ret til at anvende data på en måde, som ikke er forenelig med GDPR. Se konkrete eksempler på, hvordan du indhenter og opbevarer samtykke her.

Ret til adgang og datafortegnelse En del af de udvidede rettigheder til registrerede personer, der er beskrevet i GDPR, er den registreredes ret til at få en bekræftelse af datastyringen om, hvorvidt personoplysninger om dem behandles, hvor og til hvilket formål. Desuden skal styreenheden levere en kopi af personoplysningerne gratis i et elektronisk format.

Denne ændring er et dramatisk skift til datagennemsigtighed og empowerment af de registrerede personer.

Hvad betyder det for skolerne?

Det betyder, at vi skal lave en fortegnelse på skolen, hvoraf det fremgår, hvilke data skolen indsamler.

Se eksempel på et register her

7

Vigtig viden om data på skoleområdet Data om skolebørn må kun registreres, hvor der er lovgivningsmæssigt grundlag for det.

Data om skolebørn må kun anvendes til formål, som ligger inden for den lovgivningsmæssige ramme, der er vedtaget, og kun i uddannelsesmæssige sammenhænge.

Data om skolebørn skal behandles på en gennemsigtig måde.

Det betyder, at alle skoler skal have en klar og letforståelig persondatapolitik, så forældrene kan finde ud af, hvilke data skolen behandler, og hvad der sker med disse data. Forældrene skal have adgang til jeres persondatapolitik, for eksempel på Intra.

Der skal være interne retningslinjer for brug af data, herunder kontrol med efterlevelsen. Her skal Gladsaxe Kommunes interne regler følges, og de anviste platforme bruges. Det vil sige, at data om skolebørn skal være rigtige og ajourført i de administrative systemer, som er beregnet til det. Google Drev, iCloud med flere er ikke godkendte administrative systemer.

Der må kun registreres data om skolebørn i det omfang, det er relevante data, og kun hvad der er nødvendigt i forhold til formålet.

Bortset fra den data, der bruges til at danne et eksamensbevis, må data om skolebørn kun opbevares identificerbart, så længe det er nødvendigt ud fra det lovgivningsbaserede formål, oplysningerne er indsamlet til, og skal senest slettes, når barnet forlader skolen dette er ikke nyt.

Alle lærere, pædagoger, administrative medarbejdere med flere skal uddannes i persondatabeskyttelse og god digital adfærd og skal opdateres mindst én gang om året. Dette kan gøres digitalt eller analogt.

8

Hvilke platforme skal du bruge?

Hvis du tidligere har brugt Google Drev / iCloud eller andre skyløsninger, der ikke er defineret af Digitaliseringsafdelingen eller Skoleafdelingen til opbevaring af data, skal du med det samme flytte de data til et godkendt administrativt system.

I Gladsaxe Kommune bruger vi Office365 til almindelig opbevaring og Profile (snart SBSYS) til følsomme personoplysninger.

Spørg din administrative leder, hvis du er i tvivl. Du skal derefter slette de oplysninger, som ikke må ligge på det tidligere anvendte drev.

Oprydning Skærpelserne med persondataforordningen betyder, at du hurtigt skal i gang med at rydde op, hvis du for eksempel har brugt din mail – privat eller arbejdsmail – til at sende følsomme personoplysninger.

De må ikke ligge i din mailboks, men skal slettes. Hvis det er en igangværende sag, skal de opbevares i det dertil indrettede administrative system. Fremadrettet skal indhold med følsomme personoplysninger sendes via E-boks.

Hvad skal du gøre nu?

Gå dine mails igennem, hvis du er i tvivl om, hvad du har i din mailboks. Slet eller flyt det, du ikke må opbevare der.

9

Huskeregler til daglig praksis Sikring af samtykke Skolen ejer ikke data om skolebørn eller forældre. Derfor skal skolen i mange sammenhænge have samtykke til at behandle en lang række af de data, som behandles i dag. Samtykket skal være letforståeligt i et klart sprog – og i hvert fald hvis barnet er under 13 år, skal forældrene give samtykke. Du kan bede om generelle samtykker, læs om det på side 6.

Beskyttelse af data Data om skolebørn skal beskyttes efter passende tekniske og organisatoriske standarder, både under opbevaring og under transmission.

Opbevaring af data Data om skolebørn skal opbevares i Danmark, eller i hvert fald EU, hvor vi har lovgivning om god databeskyttelse.

Du kan altså ikke bruge Google Translate til at oversætte breve eller tekster med følsomme personoplysninger, da Google Translate ligger på en amerikansk server. Praksis på skolerne er at benytte tolketjenesten.

Data skal opbevares i nærmere afgrænsede geografiske positioner, og ikke i uafgrænsede cloudløsninger

Hjemmesider og sociale medier Du skal være særligt opmærksom på, hvilke data du deler på hjemmesider og sociale medier som Facebook og Instagram.

Et foto er også data, så du skal indhente samtykke fra forældre til elever, når du ønsker at bringe et identificerbart foto af barnet på et socialt medie eller på en hjemmeside. Læs mere om samtykke på side 6.

10

Brud på persondatasikkerheden Databeskyttelsesforordningen definerer et brud på persondatasikkerheden sådan: “Et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet.”

I tilfælde af et sikkerhedsbrud, der involverer personoplysninger, er det den dataansvarlige (skolen) der skal vurdere, om der er pligt til at anmelde bruddet til Datatilsynet og pligt til at underrette den/ de registrerede. Kontakt dog først Maj-Brit Frisk Sørensen på mail mbfsor@gladsaxe.dk eller telefon 39 57 53 23.

Klik her for at gå til vejledning om håndtering af Brud på persondatasikkerheden.

Kilder og mere viden om emnet GDPR På denne hjemmeside kan du - på dansk - få en både grundig og let overskuelig gennemgang af GDPR. SkoleIT På SkoleIT’s hjemmeside finder du råd og vejledning til at tackle nogle af de udfordringer og spørgsmål, du kan støde på i forbindelse med GDPR. Her finder du også 10 vigtige - og overskuelige - punkter, du skal være opmærksom på.

Brud på persondatasikkerheden - Læs alt om, hvordan du forholder dig i forbindelse med et eventuelt brud på persondatasikkerheden.

Datatilsynet Generelt om databeskyttelse - Her kan du læse om, hvad databeskyttelse er, hvilke regler der gælder, og hvad dine pligter og rettigheder er.

Børn, unge og uddannelse - Her kan du læse alt om reglerne for brug af elevoplysninger, billeder og elektronisk udstyr i arbejdet med børn og unge.

11

12