Bekendtgørelse om ændring af bekendtgørelse om organisering og understøttelse af beskæftigelsesindsatsen m.v.

Bekendtgørelse om ændring af bekendtgørelse om organisering og understøttelse af beskæftigelsesindsatsen m.v.

§ 1

I bekendtgørelse nr. 1209 af 28. september 2023 om organisering og understøttelse af beskæftigelsesindsatsen m.v., som ændret ved bekendtgørelse nr. 1141 af 4. november 2024, foretages følgende ændringer

1.

Indledningen affattes således

I medfør af § 3, stk. 4, § 8, stk. 1, § 26, stk. 2, § 31, stk. 2, og § 52 i lov om organisering og understøttelse af beskæftigelsesindsatsen m.v., jf. lovbekendtgørelse nr. 254 af 1. marts 2024, som ændret ved lov nr. 1656 af 30. december 2024, og § 89 i lov om en aktiv beskæftigelsesindsats, jf. lovbekendtgørelse nr. 280 af 1. marts 2024, som ændret ved lov nr. 1654 af 30. december 2024, og efter forhandling med KL, fastsættes efter bemyndigelse

2.

Overskriften til kapitel 3 affattes således

Kapitel 3

Underretning af det regionale beskæftigelsesråd om anvendelsen af virksomhedspraktik, nytteindsats og løntilskud

3.

I hele § 11 ændres »det regionale arbejdsmarkedsråd« til: »det regionale beskæftigelsesråd«.

4.

Kapitel 4 ophæves og i stedet indsættes efter kapitel 3

Kapitel 4

Dataansvar og udveksling af personoplysninger i de regionale beskæftigelsesråd

§ 12.

De regionale beskæftigelsesråd og Styrelsen for Arbejdsmarked og Rekruttering er fælles dataansvarlige i henhold til artikel 26 i dataforordningen, for personoplysninger der behandles som led i de opgaver, de regionale beskæftigelsesråd ved lov er ansvarlige for at varetage.

Fordelingen af opgaver, som følger af det delte dataansvar, fremgår af bekendtgørelsens bilag 1.

Stk. 2.

De regionale beskæftigelsesråd og Styrelsen for Arbejdsmarked og Rekruttering skal i forbindelse med varetagelsen af de enkelte opgaver efter § 13, stk. 1, nr. 1-11, i Arbejdsmarkedsrådet og de regionale beskæftigelsesråd, behandle følgende oplysninger

1)

Personoplysninger om navne og ansættelsesstatus, som modtages fra Styrelsen for Arbejdsmarked og Rekruttering og kommuner, i det omfang at disse kan udledes af virksomhedsnavne.

Oplysningerne skal være nødvendige for at varetage opgaverne, jf. § 13, stk. 1, nr. 1, 1. pkt. og nr. 1, 2. pkt., nr. 2, nr. 3, nr. 4, nr. 9 og nr. 11 i bekendtgørelse om Arbejdsmarkedsrådet og de regionale beskæftigelsesråd.

2)

Personoplysninger om uddannelsesniveau, arbejdserfaring og relevante løn- og ansættelsesvilkår, modtaget fra Styrelsen for International Rekruttering.

Oplysningerne skal være nødvendige for at varetage opgaverne, jf. § 13, stk. 1, nr. 5, i bekendtgørelse om Arbejdsmarkedsrådet og de regionale beskæftigelsesråd.

3)

Personoplysninger om navne og ansættelsesstatus, i det omfang at disse kan udledes af virksomhedsnavne og derfor nødvendige for at varetage opgaverne samt oplysninger om medarbejderrepræsentants navn, stilling og tillidsrepræsentantskabs hverv, som modtages fra kriminalforsorgen.

Oplysningerne skal være nødvendige for at varetage opgaverne, jf. § 13, stk. 1, nr. 6, i bekendtgørelse om Arbejdsmarkedsrådet og de regionale beskæftigelsesråd.

5.

Kapitel 5 ophæves.

6.

§ 16, stk. 3, og § 18 ophæves.

7.

Bilag 2 affattes som bilag 1 til denne bekendtgørelse.

§ 2

Bekendtgørelsen træder i kraft den 1. marts 2025.

Bilag 1

» Bilag 2

Regulering af fælles dataansvar mellem Styrelsen for Arbejdsmarked og Rekruttering og de regionale beskæftigelsesråd

1.

Indledning

1.1.

Styrelsen for Arbejdsmarked og Rekruttering (styrelsen) stiller et sagsbehandlingssystem (F2), mailsystem (Outlook) og Office-pakken (kaldes herefter samlet for it-løsninger) til rådighed for de regionale beskæftigelsesråd (rådene).

Rådene anvender it-løsningerne i forbindelse med de arbejdsopgaver, som er pålagt dem i medfør af § 12 og 13 i bekendtgørelse om Arbejdsmarkedsrådet og de regionale beskæftigelsesråd.

1.2.

Styrelsen varetager sekretariatsfunktionen (sekretariatet) for rådene, jf. § 11 i bekendtgørelse om Arbejdsmarkedsrådet og de regionale beskæftigelsesråd.

Styrelsen stiller it-løsningerne til rådighed for sekretariatet i forbindelse med varetagelsen af sekretariatets opgaver.

Styrelsen er dataansvarlig, da styrelsen er ansvarlig for it-løsningerne, hvorfor styrelsen også har ansvaret for at gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til de identificerede risici forbundet med de nødvendige behandlingsaktiviteter.

Hertil kommer, at styrelsen er dataansvarlig ved at anvende it-løsningerne til egne formål.

1.3.

Rådene anvender it-løsningerne i forbindelse med sekretariatets opgavevaretagelse, i henhold til de opgaver som er pålagt dem i lov og regler udstedt med hjemmel heri.

Rådene har behov for at anvende data om medarbejdere og ledige, der modtager eller skal modtage en virksomhedsrettet indsats, og oplysninger herom vil dermed blive behandlet i it-løsningerne.

1.4.

Rådene er dataansvarlige, da de anvender it-løsningerne, når sekretariatet skal forelægge sager for rådene.

Ved behandlingen og forelæggelsen af disse sager behandles personoplysninger, som er nødvendige i varetagelsen af deres opgaver, jf. § 12, stk. 2, i bekendtgørelse om organisering og understøttelse af beskæftigelsesindsatsen m.v.

2.

Fælles dataansvar

2.1.

Efter databeskyttelsesforordningens artikel 26 foreligger der et fælles dataansvar, når to eller flere dataansvarlige i fællesskab fastlægger formålene med og hjælpemidlerne til en behandling.

2.2.

Foreligger der et fælles dataansvar, skal de fælles dataansvarlige på en gennemsigtig måde fastlægge deres respektive ansvar for overholdelse af forpligtelserne i henhold til databeskyttelsesforordningen, navnlig hvad angår udøvelse af den registreredes rettigheder og deres respektive forpligtelser til at fremlægge de oplysninger, der er omhandlet i artikel 13 og 14, ved hjælp af en ordning imellem dem, medmindre og i det omfang de dataansvarliges respektive ansvar er fastlagt i EU-ret eller medlemsstaternes nationale ret, som de dataansvarlige er underlagt.

2.3.

Efter databeskyttelsesforordningens artikel 26, stk. 2, skal ordningen på behørig vis afspejle de fælles dataansvarliges respektive roller og forhold til de registrerede.

Det væsentligste indhold af ordningen skal gøres tilgængeligt for de personer, der registreres oplysninger om.

2.4.

Den registrerede kan dog, uanset ordningens udformning, udøve sine rettigheder i medfør af databeskyttelsesforordningen med hensyn til og over for den enkelte dataansvarlige.

2.5.

Den ansvarsfordeling, der her fastsættes, hindrer ligeledes ikke, at tilsynsmyndigheden kan udøve sine beføjelser over for både styrelsen og de enkelte råd.

2.6.

Ved rådenes anvendelse af it-systemerne foreligger der et fælles dataansvar mellem styrelsen og de enkelte råd.

2.7.

Bilaget ændrer således ikke på de databeskyttelsesretlige regler, men har alene til formål at rammesætte og beskrive den behandling af personoplysninger, som medarbejdere, der sekretariatsbetjener rådene, varetager i styrelsens it-løsninger på vegne af rådene.

Ansvaret for den databehandling der sker, fordeler sig derfor således

2.8.

Rådene er som brugere af it-løsningerne ansvarlige for behandling af personoplysninger, som de foretager, når de skal løse de opgaver, der er er dem pålagt, jf. pkt. 1.3.

2.9.

Styrelsen er ansvarlig for at varetage it-sikkerheden, herunder at gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau for it-løsningerne, der passer til de identificerede risici.

3.

Den registreredes rettigheder

3.1.

Rådene er ansvarlige for sikringen af de registreredes rettigheder, når rådene anvender data til opfyldelse af deres egne formål.

I det omfang rådene selv indsamler oplysninger til eget formål, er rådene ansvarlige for at iagttage oplysningspligten ved indsamling af personoplysninger hos den registrerede, jf. databeskyttelsesforordningens art.

13.

3.2.

Rådene er ansvarlige for opfylde databeskyttelsesforordningens art.

14 om oplysningspligt til den registrerede, i tilfælde hvor rådene indhenter personoplysninger, ud over de personoplysninger hvor rådene er forpligtiget ved lov til at indhente oplysningerne i medfør af § 12, stk. 2, i bekendtgørelse om organisering og understøttelse af beskæftigelsesindsatsen m.v.

3.3.

Rådene er endvidere ansvarlige for at varetage de registreredes rettigheder, i det omfang det er nødvendigt at behandle personoplysninger for at varetage de opgaver, der er pålagt dem.

Det betyder, at rådene i varetagelsen af disse opgaver er ansvarlige for iagttagelse af

-

Den registreredes indsigtsret, jf. databeskyttelsesforordningens art.

15.

-

Den registreredes ret til at få berigtiget urigtige personoplysninger, jf. databeskyttelsesforordningens art.

16.

-

Ret til begrænsning af behandlingen, jf. databeskyttelsesforordningens art.

18.

-

Underretningspligt i forbindelse med berigtigelse eller begrænsning af behandling, jf. databeskyttelsesforordningens art.

16 og 19.

-

Ret til indsigelse mod behandling, jf. databeskyttelsesforordningens art.

21.

3.4.

Styrelsen er dataansvarlige for at varetage de registreredes rettigheder, så vidt det angår oplysninger, som vedrører it-løsningerne, eller for anmodninger, hvor det er nødvendigt, at der foretages ændringer i it-løsningerne.

Det betyder, at styrelsen er ansvarlige for iagttagelse af

-

Den registreredes indsigtsret, når anmodningen angår indsigt i logfiler, jf. databeskyttelsesforordningens art.

15.

-

Ret til sletning, jf. databeskyttelsesforordningens art.

17.

-

Underretningspligt i forbindelse med sletning af personoplysninger, jf. databeskyttelsesforordningens art.

17.

3.5.

Hvis rådene modtager en henvendelse eller anmodning vedrørende de forhold, der er omfattet af styrelsens ansvar, jf. pkt. 3.4, skal de hurtigst muligt oversende henvendelsen eller anmodningen til besvarelse hos styrelsen.

3.6.

Hvis styrelsen modtager en henvendelse eller anmodning vedrørende de forhold, der er omfattet af rådenes ansvar, jf. pkt. 3.1-3.3, skal de hurtigst muligt oversende henvendelsen eller anmodningen til besvarelse hos det pågældende råd.

3.7.

Styrelsen og rådene er ansvarlige for at bistå hinanden, i det omfang dette er relevant og nødvendigt for at efterleve forpligtigelserne over for de registrerede.

3.8.

Rådene kan, ved henvendelser vedrørende de registreredes rettigheder, anmode styrelsen om bistand til at besvare konkrete henvendelser, jf. bilagets pkt. 3.1-3.3.

4.

Anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden

4.1.

Rådene anmelder brud på persondatasikkerheden, som henføres til rådets dataansvar og opgaver efter dette bilags pkt. 2.8, til tilsynsmyndigheden, jf. databeskyttelsesforordningens artikel 33.

4.2.

Styrelsen anmelder brud på datasikkerheden, som kan henføres til deres opgaver i medfør af bilagets pkt. 2.9, til tilsynsmyndigheden, jf. databeskyttelsesforordningens artikel 33.

4.3.

Styrelsen orienterer uden ugrundet ophold rådene om sikkerhedsbrud omfattet af pkt. 4.2 og om anmeldelsen heraf.

4.4.

Styrelsen kan bistå rådene med at anmelde brud på datasikkerheden på rådenes forespørgsel herom.

Anmodes der herom, skal rådet bistå med nødvendige oplysninger og bistand, for at styrelsen kan foretage en korrekt anmeldelse.

5.

Underretning om brud på persondatasikkerheden til den registrerede

5.1.

Rådet underretter den registrerede om brud omfattet af pkt. 4.1, jf. databeskyttelsesforordningens artikel 34.

5.2.

Styrelsen underretter den registrerede om brud omfattet af pkt. 4.2, jf. databeskyttelsesforordningens artikel 34.

5.3.

Styrelsen yder teknisk bistand til rådene, i det omfang dette er relevant og nødvendigt for, at rådene kan foretage underretning af den registrerede.

6.

Fortegnelse

6.1.

Styrelsen er ansvarlig for at iagttage kravet i databeskyttelsesforordningens artikel 30 om fortegnelser efter deres opgaver i bilagets pkt. 1.2.

6.2.

Styrelsen orienterer efter anmodning Datatilsynet om indholdet af ovennævnte fortegnelser.

6.3.

Rådene er ansvarlig for at iagttage kravet i databeskyttelsesforordningens artikel 30 om fortegnelser for behandling af personoplysninger, der er omfattet af de behandlinger, der følger af deres opgaver efter bilagets pkt. 1.3 og 1.4 er omfattet af deres opgaver i medfør af § 11 i bekendtgørelse om Arbejdsmarkedsrådet og de regionale beskæftigelsesråd.

6.4.

Rådene orienterer efter anmodning Datatilsynet om indholdet af ovennævnte fortegnelser.

7.

Anvendelse af databehandlere og eventuelle underdatabehandlere

7.1.

Rådene er berettiget til at anvende databehandlere og eventuelle underdatabehandlere i tilknytning til rådenes opgaver, som tildelt ved lov.

7.2.

Styrelsen er berettiget til at anvende databehandlere og eventuelle underdatabehandlere i tilknytning til de it-løsninger, som styrelsen er ansvarlig for, jf. bilagets punkt 1.2.

7.3.

Ved anvendelse af databehandlere og eventuelle underdatabehandlere er rådene og styrelsen ansvarlig for at efterleve kravene i databeskyttelsesforordningens artikel 28.

Rådene og styrelsen er herefter bl.a. forpligtet til

-

Alene at anvende databehandlere, der kan stille de fornødne garantier for, at de gennemfører de passende tekniske og organisatoriske sikkerhedsforanstaltninger på en sådan måde, at behandling opfylder kravene i databeskyttelsesforordningen og sikrer beskyttelse af den registreredes rettigheder.

-

At sikre, at der foreligger en gyldig databehandleraftale mellem henholdsvis rådene eller styrelsen og databehandleren.

-

At sikre, at der foreligger en gyldig underdatabehandleraftale mellem databehandleren og en eventuel underdatabehandler.

-

At sikre, at der i relevant omfang føres tilsyn med anvendte databehandlere og eventuelle underdatabehandlere.

7.3.

Hvis oplysningerne behandles af databehandlere, skal rådene efter anmodning fra styrelsen oplyse om indholdet af aftalerne med databehandlerne, herunder om eventuelle underdatabehandlere.

7.4.

Hvis oplysningerne behandles af databehandlere, skal styrelsen efter anmodning fra rådene oplyse om indholdet af aftalerne med databehandlerne, herunder om eventuelle underdatabehandlere.

7.5.

Hvis oplysningerne behandles af databehandlere og eventuelle underdatabehandlere, jf. pkt. 7.1, skal styrelsen efter anmodning fra rådene oplyse om resultatet af gennemførte tilsyn og initiativer i anledning heraf, jf. pkt. 7.3.

8.

Orientering af den anden part

8.1.

Styrelsen og de enkelte råd orienterer hinanden om væsentlige forhold, der har betydning for de behandlinger og de it-løsninger, der er omfattet af denne bekendtgørelse.«