Cirkulæreskrivelse om Styrelsen for It og Lærings opgaver som databehandler i visse administrative systemer på børne- og undervisningsområdet

Cirkulæreskrivelse om Styrelsen for It og Lærings opgaver som databehandler i visse administrative systemer på børne- og undervisningsområdet

1.

Indledning

1.1.

Denne cirkulæreskrivelse er udarbejdet af Styrelsen for It og Læring under henvisning til databeskyttelsesforordningens artikel 28 om forholdet mellem aktører, der har en rolle som henholdsvis dataansvarlig og databehandler i relation til en behandling af personoplysninger.

1.2.

På børne- og undervisningsområdet foretager Styrelsen for It og Læring på vegne af en række statslige institutioner, privat- og offentligt selvejende institutioner, private institutioner, kommuner og regioner behandling af personoplysninger i visse administrative systemer, som institutionerne er forpligtet til at benytte i henhold til

1.3.

Vilkårene for anvendelse af systemerne er de samme for statslige institutioner, privat- og offentligt selvejende institutioner, private institutioner, kommuner og regioner, der efter aftale med Styrelsen for It og Læring har valgt at benytte systemerne.

1.4.

Det drejer sig om følgende systemer

1.5.

Styrelsen for It og Læring er databehandler for den behandling, som sker ved brug af de anførte administrative systemer, jf. punkt 1.4., da styrelsens behandling af personoplysninger i disse systemer alene sker til institutionernes, kommunernes eller regionernes formål og på deres vegne, hvorved de er dataansvarlige for behandlingen af oplysningerne.

1.6.

Efter databeskyttelsesforordningens artikel 28, stk. 3, skal en databehandlers behandling være reguleret af en kontrakt eller andet retligt bindende dokument i henhold til EU-retten eller medlemslandenes nationale ret, der er bindende for databehandleren med hensyn til den dataansvarlige, og der fastsætter

1.

Genstanden for og varigheden af behandlingen

2.

Behandlingens karakter og formål

3.

Typen af personoplysninger og kategorierne af registrerede

4.

Den dataansvarliges forpligtelser og rettigheder

1.7.

Det er på denne baggrund, at Styrelsen for It og Læring i nærværende cirkulæreskrivelse og tilhørende bilag angiver, hvordan Styrelsen for It og Læring kan behandle personoplysninger i de administrative systemer, jf. punkt 1.1, som Styrelsen for It og Læring stiller til rådighed for institutioner, kommuner og regioner, hvor Styrelsen for It og Læring foretager databehandlingen på vegne af institutioner, kommuner og regioner til deres respektive formål.

1.8.

Cirkulæreskrivelsen er gældende for alle institutioner, kommuner og regioner, som anvender de nævnte systemer, og fastsætter de rettigheder og forpligtelser, som finder anvendelse, når Styrelsen for It og Læring foretager behandling af personoplysninger på vegne af den enkelte institution, kommune og region til deres respektive formål.

Cirkulæreskrivelsen er herved det retlige dokument, som er krævet i databeskyttelsesforordningens artikel 28, stk. 3.

1.9.

Oplysninger om Styrelsen for It og Lærings behandling i de enkelte administrative systemer, herunder behandlingens formål og karakter, typen af personoplysninger, kategorierne af registrerede og varigheden af behandlingen i de enkelte administrative systemer fremgår af bilag til denne cirkulæreskrivelse samt af hjemmesiden for Styrelsen for It og Læring ( www.viden.stil.dk ).

1.10.

Cirkulæreskrivelsen frigør ikke Styrelsen for It og Læring for forpligtelser, som efter databeskyttelsesforordningen, databeskyttelsesloven eller enhver anden lovgivning direkte er pålagt databehandleren.

1.11.

De enkelte dataansvarlige er som led i deres efterlevelse af databeskyttelsesforordningens og databeskyttelseslovens regler forpligtet til at gøre sig bekendt med indholdet af cirkulæreskrivelsen og følge den i forbindelse med behandling af personoplysninger ved hjælp af disse systemer.

1.12.

Styrelsen for It og Læring underretter den dataansvarlige, hvis en instruks fra den pågældende efter styrelsens vurdering er i strid med databeskyttelsesforordningen, databeskyttelsesloven eller bestemmelser om databeskyttelse i anden EU-ret eller national ret.

2.

Anvendelsesområde

2.1.

Herved fastsættes bestemmelser om den behandling, som Styrelsen for It og Læring kan foretage i de under punkt 1.4. anførte administrative systemer på børne- undervisningsområdet, hvor systemerne stilles til rådighed for institutionerne, kommunerne og regionerne af Styrelsen for It og Læring som databehandler, og hvor de pågældende aktører er forpligtet til at gøre brug af de administrative systemer, jf. de hjemmelsgrundlag, der er angivet i punkt 1.2, eller efter aftale med Styrelsen for It og Læring har valgt at gøre brug af systemerne.

2.2.

Styrelsen for It og Læring må ikke behandle personoplysninger i de under punkt 1.4. anførte administrative systemer til andre formål og opgaver, end der fremgår af denne cirkulæreskrivelse og tilhørende bilag.

3.

Den dataansvarliges forpligtelser og rettigheder

3.1.

Som bruger af systemerne er den enkelte institution, kommune og region ansvarlig for den behandling af personoplysninger, som finder sted i forbindelse med anvendelsen af det enkelte system, sker inden for rammerne af databeskyttelsesforordningen og databeskyttelsesloven.

4.

Databehandlerens adgang til behandling af personoplysninger

4.1.

Styrelsen for It og Læring må kun behandle de personoplysninger, som den enkelte institution, kommune og region lægger ind i systemet i overensstemmelse med reglerne i nærværende cirkulæreskrivelse, medmindre behandlingen kræves i henhold til EU-retten eller medlemsstaternes nationale ret, som Styrelsen for It og Læring er underlagt;

I så fald underretter Styrelsen for It og Læring den dataansvarlige om dette retlige krav inden behandlingen, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser, jf. databeskyttelsesforordningens artikel 28, stk. 3, litra a.

4.2.

Styrelsen for It og Læring anvender Integrationsplatformen til at indsamle og viderestille de personoplysninger, som er angivet i bilagene til denne cirkulæreskrivelse.

4.3.

Styrelsen for It og Læring videregiver data fra de administrative systemer til brug for udførelse af statistiske eller videnskabelige undersøgelser, jf. databeskyttelseslovens § 10, når den rekvirerende aktør efter lovgivningen har hjemmel og de fornødne tilladelser til, at videregivelse af personoplysninger til sådanne formål kan ske, jf. Bekendtgørelse om videregivelse af personoplysninger omfattet af databeskyttelseslovens § 10, stk. 1 og 2.

5.

Autorisationer og fortrolighed

5.1.

Styrelsen for It og Læring meddeler autorisation til de personer i styrelsen, der har et arbejdsbetinget behov for at kunne tilgå personoplysninger i de enkelte systemer, jf. pkt. 1.4.

Styrelsen for It og Læring sikrer ved passende tekniske og organisatoriske kontrolforanstaltninger, at kun de personer, der aktuelt er autoriseret hertil, har adgang til de personoplysninger, der behandles på vegne af den enkelte dataansvarlige.

Styrelsen lukker straks en medarbejders adgang til oplysningerne, hvis autorisationen fratages eller udløber.

5.2.

Styrelsen for It og Læring sikrer, at de personer, der er autoriseret til at behandle personoplysninger på vegne af de enkelte dataansvarlige, jf. pkt. 5.1, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

6.

Bistand til den dataansvarlige

6.1.

Styrelsen for It og Læring bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger, med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelsen af de registreredes rettigheder, som er fastlagt i databeskyttelsesforordningens kapitel 3.

6.2.

Dette indebærer, at Styrelsen for It og Læring så vidt muligt skal bistå den dataansvarlige i forbindelse med, at den dataansvarlige skal sikre overholdelsen af nedenstående regler i databeskyttelsesforordningen

– Oplysningspligten ved indsamling af personoplysninger hos den registrerede, jf. artikel 13

– Oplysningspligten, hvis personoplysninger ikke er indsamlet hos den registrerede, jf. artikel 14

– Den registreredes indsigtsret, jf. artikel 15

– Retten til berigtigelse, jf. artikel 16

– Retten til sletning (»retten til at blive glemt«), jf. artikel 17

– Retten til begrænsning af behandling, jf. artikel 18

– Underretningspligt i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling, jf. artikel 18

– Retten til indsigelse, jf. artikel 21

6.3.

Styrelsen for It og Læring bistår den dataansvarlige med at sikre overholdelse af den dataansvarliges forpligtelser i medfør af databeskyttelsesforordningens artikel 32-36 under hensynstagen til behandlingens karakter og de oplysninger, der er tilgængelige for Styrelsen for It og Læring som databehandler, jf. databeskyttelsesforordningens art 28, stk. 3, litra f.

Dette indebærer, at Styrelsen for It og Læring under hensynstagen til behandlingens karakter skal bistå den enkelte dataansvarlige i forbindelse med, at denne skal sikre overholdelsen af

a) Forpligtelsen til at gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til de risici, der er forbundet med behandlingen, jf. nærmere herom i punkt 7.

b) Forpligtelsen til at anmelde brud på persondatasikkerheden til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer, efter at den enkelte dataansvarlige er blevet bekendt med bruddet, medmindre at det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder, jf. nærmere herom i punkt 8.

c) Forpligtelsen til – uden unødig forsinkelse – at underrette den/de registrerede om brud på persondatasikkerheden, når et sådant brud sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, jf. nærmere herom i punkt 8.

d) Forpligtelsen til at gennemføre en konsekvensanalyse vedrørende databeskyttelse, hvis en type behandling sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, og forpligtelsen til at høre Datatilsynet inden behandling, hvis en konsekvensanalyse vedrørende databeskyttelse viser, at behandlingen vil føre til høj risiko i mangel af foranstaltninger truffet af den enkelte dataansvarlige for at begrænse risikoen, jf. nærmere herom punkt 9.

7.

Behandlingssikkerhed

7.1.

Styrelsen for It og Læring iværksætter alle foranstaltninger, der kræves i henhold til databeskyttelsesforordningens artikel 32 om behandlingssikkerhed.

Styrelsen sikrer herved, at der under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder gennemføres passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici.

7.2.

På baggrund af resultatet af den risikovurdering, som Styrelsen for It og Læring har gennemført, jf. pkt. 7.1., gennemfører styrelsen passende foranstaltninger for at imødegå de identificerede risici.

Der kan alt efter, hvad der er relevant, være tale om følgende foranstaltninger

a) Pseudonymisering og kryptering af personoplysninger.

b) Evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og tjenester

c) Evne til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af fysisk eller teknisk hændelse

d) En procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed.

7.3.

Styrelsen for It og Læring sørger som minimum for at iværksætte følgende sikkerhedsforanstaltninger

a) Interne retningslinjer i for informationssikkerhed i Styrelsen for It og Læring, herunder retningslinjer for organisatoriske forhold, logisk og fysisk sikring, administration af adgangskontrol og autorisationsordninger samt kontrol af autorisationer jf. punkt 5.1.

b) Instruktion af de i punkt 5.1. autoriserede medarbejdere i reglerne om interne arbejdsgange og sikkerhedsforanstaltninger, herunder sikkerhedsforanstaltninger ved evt.

anvendelse af hjemmearbejdsplads og mobilt udstyr.

c) Anvendelse af ITIL som standardrammeværktøj til at understøtte stabil og sikker drift.

d) Etablering af et informationssikkerhedsledelsessystem baseret på ISO27001-standarden, herunder en it-sikkerhedspolitik, områdepolitikker, passende kontroller samt relevante retningslinjer og procedurer i forhold til informationssikkerheden.

7.4.

Styrelsen for It og Læring er ansvarlig for iagttagelse af reglen om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger i databeskyttelsesforordningens artikel 25 i forhold til udvikling og drift af de i punkt 1.4. nævnte systemer.

7.5.

Styrelsen for It og Læring iværksætter alle foranstaltninger, der er nødvendige for opfyldelse af kravet i databeskyttelsesforordningens artikel 35 om konsekvensanalyse vedrørende databeskyttelse r for de i punkt 1.4. nævnte systemer, Styrelsen foretager i den sammenhæng en analyse af de påtænkte behandlingsaktiviteters konsekvenser for beskyttelse af personoplysninger, hvis en type behandling, navnlig ved brug af nye teknologier og i medfør af sin karakter, omfang, sammenhæng og formål, sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder.

7.6.

Styrelsen for It og Læring iværksætter alle foranstaltninger, der er nødvendige for opfyldelse af kravet i databeskyttelsesforordningens artikel 36 om forudgående høring af Datatilsynet ved visse behandlinger af personoplysninger.

8.

Orientering og anmeldelser af brud på persondatasikkerhed til Datatilsynet

8.1.

Den dataansvarlige er ansvarlig for efterlevelsen af databeskyttelsesforordningens artikel 33 om anmeldelse af brud på persondatasikkerheden til Datatilsynet, hvis et brud på persondatasikkerheden skyldes den dataansvarliges egen anvendelse af systemet.

Den dataansvarlige underretter i dette tilfælde de registrerede om bruddet på datasikkerheden i overensstemmelse med kravene herom i databeskyttelsesforordningens artikel 34.

8.2.

Hvis den dataansvarlige efter punkt 8.1. er ansvarlig for at foretage anmeldelse til Datatilsynet, men den dataansvarlige ikke selv har opdaget bruddet på persondatasikkerheden, underretter Styrelsen for It og Læring den dataansvarlige om sikkerhedsbruddet uden unødig forsinkelse efter, at hændelsen er kommet til styrelsens kendskab.

8.3.

Under hensyn til sagens karakter og bruddets omfang kan styrelsen på vegne af samtlige dataansvarlige omfattet af denne cirkulæreskrivelse foretage en samlet anmeldelse til datatilsynet i overensstemmelse med databeskyttelsesforordningens artikel 33, stk. 1.

9.

Anvendelse af underdatabehandlere

9.1.

Styrelsen for It og Læring er berettiget til at anvende underdatabehandlere i tilknytning til de omhandlede systemer.

9.2.

Ved anvendelse af underdatabehandlere er Styrelsen for It og Læring ansvarlig for at efterleve kravene i databeskyttelsesforordningens artikel 28.

Styrelsen for It og Læring er herefter bl.a. forpligtet til

– Alene at anvende underdatadatabehandlere, der kan stille de fornødne garantier for, at de gennemfører de passende tekniske og organisatoriske sikkerhedsforanstaltninger på en sådan måde, at behandling opfylder kravene i databeskyttelsesforordningen og sikrer beskyttelse af den registreredes rettigheder,

– At sikre, at der foreligger en gyldig underdatabehandleraftale mellem Styrelsen for It og Læring og en eventuel underdatabehandler.

9.3.

Styrelsen for It og Læring skal på styrelsen hjemmeside ( www.viden.stil.dk ) give oplysning om underdatabehandlere for de enkelte administrative systemer.

9.4.

Styrelsen for It og Læring skal endvidere på anmodning fra en dataansvarlig oplyse om, hvorvidt oplysningerne behandles af underdatabehandlere.

Underdatabehandleraftalen og eventuelle senere ændringer hertil sendes – efter den enkelte dataansvarliges anmodning herom - i kopi til den dataansvarlige, som herigennem har mulighed for at sikre sig, at der er indgået en gyldig aftale mellem Styrelsen for It og Læring og underdatabehandleren.

Eventuelle kommercielle vilkår, eksempelvis priser, som ikke påvirker det databeskyttelsesretlige indhold af underdatabehandleraftalen, skal ikke sendes til den dataansvarlige.

9.5.

Styrelsen for It og Læring sørger for at pålægge underdatabehandlere de samme databeskyttelsesforpligtelser, som dem, der er fastsat ved denne cirkulæreskrivelse, gennem en kontrakt eller andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, hvorved der navnlig stilles de fornødne garantier for, at underdatabehandleren vil gennemføre de passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen opfylder kravene i databeskyttelsesforordningen.

9.6.

Styrelsen for It og Læring er således ansvarlig for – igennem indgåelsen af en underdatabehandleraftale – at pålægge en eventuel underdatabehandler mindst de forpligtelser, som Styrelsen for It og Læring selv er underlagt efter databeskyttelsesreglerne og denne cirkulæreskrivelse.

9.7.

Den dataansvarliges tilsyn med eventuelle underdatabehandlere sker som udgangspunkt gennem Styrelsen for It og Læring, der fører tilsyn med underdatabehandlerens overholdelse underdatabehandleraftalen.

9.8.

Hvis underdatabehandleren ikke opfylder sine databeskyttelsesforpligtelser, forbliver Styrelsen for it og Læring fuldt ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser.

10.

Overførsel af oplysninger til tredjelande eller internationale organisationer

10.1.

Styrelsen for It og Læring må alene overføre (overlade, videregive samt intern anvendelse) til tredjelande eller internationale organisationer til brug for styrelsens opgaveløsning i forhold til de dataansvarlige, medmindre sådan overførsel kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som Styrelsen for It og Læring er underlagt;

i så fald underretter Styrelsen for It og Læring den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser, jf. databeskyttelsesforordningens artikel 28, stk. 3, litra a.

10.2.

Styrelsen for It og Læring er ansvarlig for iagttagelsen af kravene i databeskyttelsesforordningens kapitel V, hvis der sker en sådan overførsel af personoplysninger til tredjelande eller internationale organisationer.

11.

Sletning og tilbagelevering af oplysninger

11.1.

Styrelsen for It og Læring har ansvaret for opbevaring af personoplysninger i de i punkt 1.4. anførte systemer i de tidsperioder, som er angivet i bilaget til denne cirkulæreskrivelse.

11.2.

Styrelsen for It og Lærings behandling af personoplysninger i de i punkt 1.4. anførte systemer er ikke tidsbegrænset og varer indtil cirkulæreskrivelsen ophæves.

11.3.

Ved ophør af tjenesterne vedrørende behandling af personoplysninger forpligtes Styrelsen for It og Læring til, efter den dataansvarlige aktørs valg, at slette eller tilbagelevere alle personoplysninger til den dataansvarlige aktør, samt at slette eksisterende kopier, medmindre EU-retten eller national ret foreskriver opbevaring af personoplysningerne.

12.

Tilsyn og revision

12.1.

Styrelsen for It og Læring stiller alle oplysninger, der er nødvendige for at påvise styrelsens overholdelse af databeskyttelsesforordningens artikel 28 og reglerne i denne cirkulæreskrivelse, til rådighed for den dataansvarlige aktør.

13.

Orientering af den anden part

13.1.

Styrelsen for It og Læring og de dataansvarlige orienterer hinanden om væsentlige forhold, der har betydning for de behandlinger og systemer, der er omfattet af denne cirkulæreskrivelse.

14.

Ikrafttræden

14.1.

Denne cirkulæreskrivelse træder i kraft den 1. juni 2021.

14.2.

Cirkulæreskrivelse nr. 9960 af 04/11/2019 om Styrelsen for It og Lærings opgaver som databehandler i visse administrative systemer på børne- og undervisningsområdet ophæves.

14.3.

Cirkulæreskrivelse nr. 9962 af 05/11/2019 om Styrelsen for It og Lærings opgaver som databehandler i det digitale system Sprogprøver.dk ophæves.

Bilag 1

Behandling af personoplysninger i EASY A og EASY F

Formål med og karakter af behandlingen

Styrelsen for It og Læring stiller som databehandler det digitale administrationssystem EASY A til rådighed for de uddannelsesinstitutioner, som benytter det digitale administrationssystem til brug for udførelse af deres opgaver i henhold til § 31 i lov om institutioner for erhvervsrettet uddannelse.

De administrative opgaver, der udføres i EASY A såsom administration af elever og kursister, hold og holdplaceringer, fagfordeling og skemaer, karakterer og meritter med mere, udføres af medarbejdere på de enkelte uddannelsesinstitutioner.

Den uddannelsesinstitution, der indlæser en personoplysning i det digitale administrationssystem EASY A, er derfor dataansvarlig for denne personoplysning.

EASY-F er en central installation af EASY-A, der anvendes som kommunikationshub og som indeholder centralt definerede oplysninger, som f.eks. CVR- og CPR-data, uddannelsesmodeller og skoleoplysninger.

Det er således en database, der anvendes til opsamling og distribution af data til institutionerne.

EASY-F varetager central dataudveksling og data distribution for EASY-A og EASY-P (institutionerne er selvstændigt dataansvarlige for disse to).

EASY-F er centralt placeret hos STIL.

EASY-F anvendes bl.a. i forbindelse med abonnement på CPR- og CVR-oplysninger, hvor EASY-F videredistribuerer disse oplysninger til EASY-P og de relevante EASY-A baser.

EASY-F bruges desuden til distribution af centrale data, som oprettes og vedligeholdes af STIL som fx skoler (institutionsnumre), kommunekoder, postnumre, sprog samt til forskellige kommunikationsformål (uddannelsesaftaler mellem EASY-A og EASY-P, eksamensbeviser mellem EASY-A og Eksamensdatabasen, kommunebrevsoplysninger mellem EASY-A og et website samt kommunikation med Optagelse.dk).

Styrelsen for It og Lærings persondatabehandling består således i at stille et system til rådighed og heri opbevare persondata i EASY A samt overføre oplysninger til institutionernes øvrige administrative systemer til brug for styrelsens myndighedsudøvelse og for institutionernes opgaveløsning.

Personer og personoplysninger i EASY A og EASY F

Styrelsen for It og Læring behandler på vegne af de uddannelsesinstitutioner, der anvender EASY A, personoplysninger om disse institutioners elever, elevernes værger, medarbejdere og censorer.

Styrelsen behandler almindelige personoplysninger omfattet af databeskyttelsesforordningens artikel 6.

De personoplysninger som styrelsen behandler om elever omfatter stamoplysninger (CPR-nummer, navn, alder og kontaktoplysninger), skole- og uddannelsesoplysninger samt karakterer.

De personoplysninger som styrelsen behandler om elevers værger og censorer omfatter stamoplysninger.

De personoplysninger som styrelsen behandler om institutionens medarbejdere omfatter stamoplysninger, timeregnskab- og lønoplysninger samt øvrige oplysninger relateret til medarbejderens arbejde såsom skema, arbejdstidsaftaler og kompetencer.

EASY-A indeholder en række oplysninger, som beskriver elevernes ophold på skolen med henblik på undervisning og/eller skolepraktik.

Disse oplysninger danner grundlag for beregning af årselevbidrag og arbejdsgivernes uddannelsesbidrag (AUB).

Der findes fritekstfelter i EASY A, hvor undervisere kan angive begrundelse for fravær.

Alt efter hvor konkret en eventuelt sygefravær er begrundet kan det eventuelt karakteriseres som en helbredsoplysning.

Der er dog ikke behov for at angive selve sygdommen, og skolerne instruerer deres medarbejdere i at angive generelle termer som ’’syg’’, ’’session’’, ’’barn syg’’ osv.

Sletning af personoplysninger

Personoplysninger i EASY A slettes 1 år efter systemets udfasning.

Personoplysninger i EASY F slettes ikke af hensyn til sikring af dokumentation for uddannelsesaftaler og uddannelsesbevis.

Bilag 2

Behandling af personoplysninger i EASY P

Formål med og karakter af behandlingen

Styrelsen for It og Læring stiller som databehandler det digitale administrationssystem EASY P til rådighed for de uddannelsesinstitutioner, som benytter det digitale administrationssystem til brug for udførelse af deres opgaver i forbindelse med praktikdelen af en erhvervsuddannelse.

De administrative opgaver, der udføres i EASY P såsom registrering af praktikpladssøgende elever, indgåelse af uddannelsesaftaler, sagsbehandling i forbindelse med skolepraktik og øvrig sagsbehandling, praktik i udlandet, skolegodkendelser og kontakt med elever, udføres af medarbejdere på den enkelte uddannelsesinstitution.

Den uddannelsesinstitution, der indlæser en personoplysning i det digitale administrationssystem EASY P, er derfor dataansvarlig for denne personoplysning.

Styrelsen for It og Lærings persondatabehandling består således i at stille et system til rådighed og heri opbevare persondata i EASY P samt overføre oplysninger til erhvervsskolernes studieadministrative systemer samt øvrige systemer til brug for styrelsens myndighedsudøvelse og institutionernes opgaveløsning.

Personer og personoplysninger i EASY P

Styrelsen for It og Læring behandler på vegne af de uddannelsesinstitutioner, der anvender EASY P, personoplysninger om disse institutioners elever, skuemestre/censorer, kontaktpersoner og administrative brugere.

Styrelsen behandler almindelige personoplysninger omfattet af databeskyttelsesforordningens artikel 6.

De personoplysninger som styrelsen behandler om elever omfatter CPR-nummer, navn, adresse, alternativ adresse, uddannelsesoplysninger, praktikønsker, uddannelsesaftaler, svendeprøver, svendprøvekarakterer og sager på eleverne.

De personoplysninger som styrelsen behandler om skuemestre/censorer omfatter CPR-nummer, navn tilknytning til svendeprøver og afgivne karakterer pr. elev.

De personoplysninger som styrelsen behandler om kontaktpersoner omfatter navn, adresse og kontaktoplysninger.

De personoplysninger som styrelsen behandler om administrative brugere omfatter navn, skoletilknytning og kontaktoplysninger.

Der findes fritekstfelter, hvor der utilsigtet kan opstå følsomme personoplysninger.

Det er ikke formålet med EASY-P at, at der registreres følsomme personoplysninger.

Sletning af personoplysninger

Personoplysninger i EASY P slettes ikke af hensyn til sikring af dokumentation for uddannelsesaftaler og uddannelsesbevis.

Søgninger slettes og brugerkoder passiveres, hvis de ikke har været brugt i et år.

Bilag 3

Behandling af personoplysninger i EDUP

Formål med og karakter af behandlingen

EDUP er et beskedudvekslingssystem til brug for uddannelsesinstitutioner i forbindelse med deres håndtering af den tværgående uddannelsesadministration.

EDUP muliggøre udveksling af data på tværs af uddannelsesinstitutioner – herunder også på tværs af studieadministrative systemer.

Det er frivilligt for uddannelsesinstitutionerne om de vil gøre brug af EDUP.

Databehandlingen i EDUP foretages derved udelukkende på instruks fra uddannelsesinstitutionerne (de dataansvarlige).

Førend et studieadministrativt system teknisk kan udveksle data på vegne af en uddannelsesinstitution kræves det, at begge parter har indgået en aftale om dataadgang for EDUP i tilslutning.stil.dk.

De administrative opgaver som EDUP understøtter udføres af medarbejdere på de enkelte uddannelsesinstitutioner.

Den uddannelsesinstitution, der indlæser en personoplysning i dens studieadministrative system, som herefter transmitteres til EDUP, er derfor dataansvarlig for denne personoplysning.

Styrelsen for It og Lærings persondatabehandling består i at tage imod beskeder, opbevare disse, samt sikre at disse alene kan afhentes af beskedens retmæssige modtager.

Personer og personoplysninger i EDUP

Styrelsen for It og Læring behandler på vegne af de uddannelsesinstitutioner, der har tilsluttet sig EDUP, personoplysninger om disse institutioners elever.

Styrelsen behandler almindelige personoplysninger omfattet af databeskyttelsesforordningens artikel 6.

De personoplysninger som styrelsen behandler om elever omfatter både almindelige og fortrolige personoplysninger, såsom for- og efternavn, adresse, CPR-nummer, værge, telefonnummer, mailadresse, samt elevens resultater og undervisningsforløb.

Sletning af personoplysninger

EDUP viser de samme personoplysninger, der vises i EASY P.

Af hensyn til sikring af dokumentation for uddannelsesaftaler og uddannelsesbevis slettes disse oplysninger ikke.

Søgninger slettes og brugerkoder passiveres i EDUP, hvis de ikke har været brugt i et år.

Bilag 4

Behandling af personoplysninger i EGU-Portalen

Formål med og karakter af behandlingen

Egu-portalen er et studieadministrativt system til elevadministration på erhvervsgrunduddannelsen (egu), hvor målgruppen er udsatte unge.

Egu-portalen bruges af kommunale ungeindsatser, jobcentre og egu-vejledere på institutioner med Forberedende Grunduddannelse (FGU) til oprettelse og vedligehold af egu-elevernes uddannelsesplaner.

Pr. 1. august 2019 blev produktionsskolernes egu-aktivitet overtaget af i alt 27 FGU-institutioner, som administrerer den forberedende grunduddannelse, herunder erhvervsgrunduddannelse på et egu-spor.

Disse FGU-institutioner administrerer også de egu-forløb i egu-portalen, der tidligere varetoges af produktionsskoler indtil 1. august 2019, indtil sidste optag i egu-portalen afsluttes senest i 2022.

Egu-portalen bruges til dagligt administrativt arbejde i forbindelse med tilrettelæggelse og gennemførelse af den enkelte elevs erhvervsgrunduddannelse efter lov om erhvervsgrunduddannelse - herunder fx at oprette og vedligeholde elevernes uddannelsesplaner.

Egu-portalen er herudover grundlag for Børne- og Undervisningsministeriets statistikker på egu-området, og det er derfor krævet at anvende systemet inden for egu-området for de elever, der gennemfører deres egu efter lov om erhvervsgrunduddannelse.

Styrelsen for It og Læring stiller som databehandler det digitale administrationssystem EGU-Portalen til rådighed for de FGU-institutioner, som i henhold til § 1 stk. 2 nr. 4 i lov om institutioner for forberedende grunduddannelse og lovbetænkningen hertil pr. 1. august 2019 har overtaget produktionsskolernes aktivitet og benyttelsen af det digitale administrationssystem til brug for udførelse af deres opgaver i forbindelse med tilrettelæggelse og gennemførelse af elevers erhvervsgrunduddannelse.

Styrelsen for It og Lærings persondatabehandling består således i at stille et system til rådighed og heri opbevare persondata i EGU-Portalen samt overføre oplysninger til Arbejdsgivernes Uddannelsesbidrag i henhold til § 4 i EGU-bonusordningen og til det fælles datagrundlag for unges uddannelse og beskæftigelse i henhold til § 15 d i ungeindsatsloven.

Personer og personoplysninger i EGU-Portalen

Styrelsen for It og Læring behandler på vegne af uddannelsesinstitutionerne og kommuner personoplysninger i egu-portalen om elever på erhvervsgrunduddannelsen, egu-vejledere og elevers værger og kontaktpersoner.

Styrelsen behandler almindelige og følsomme personoplysninger omfattet af databeskyttelsesforordningens artikel 6 og 9.

De personoplysninger som styrelsen behandler, omfatter CPR-nummer med henblik på entydig identifikation, karakterer, bedømmelser, oplysninger om undervisningsdeltagelse med angivelse af indhold og perioder, fraværsoplysninger og fraværsbegrundelser medmindre fraværsbegrundelsen skyldes sygdom eller fængselsstraf samt oplysninger om særlige undervisningsforanstaltninger og dispensationer fra undervisning, men ikke begrundelsen herfor.

Målgruppen for egu-uddannelsen er bl.a. udsatte unge.

Der findes fritekstfelter i egu-portalen, hvor den administrative bruger kan komme til at indtaste følsomme oplysninger på eleven for at kunnet tilrettelægge det bedst mulige egu-forløb for elev.

Styrelsen har for at minimere risikoen for at registrere unødvendige følsomme personoplysninger udarbejdet en sikkerhedsinstruks om ’Registrering og behandling af personoplysninger i fritekstfelter og (uploadede) dokumenter i egu-portalen’.

I henhold til sikkerhedsinstruksen må brugeren angive

Sletning af personoplysninger

Det følger af Rigsarkivets cirkulære om aflevering af egu-portalen, at data fra årene 2011-2018 skal afleveres til Rigsarkivet.

Afleveringen er udsat til 2022, hvor egu-portalen lukker.

Bilag 5

Behandling af personoplysninger i Elevplan og Uddannelsesaftaler.dk

Formål med og karakter af behandlingen

Styrelsen for It og Læring stiller som databehandler det digitale administrationssystem Elevplan.dk, herunder Uddannelsesaftaler.dk til rådighed for de uddannelsesinstitutioner, som er forpligtet til at benytte det digitale administrationssystem til brug for udførelse af deres opgaver i forbindelse med udarbejdelse og vedligeholdelse af uddannelsesplaner i henhold til § 54 i Bekendtgørelse af lov om erhvervsuddannelser.

De administrative opgaver, der udføres i Elevplan.dk, herunder Uddannelsesaftaler.dk, i henhold til formålene fastsat i § 61 i Bekendtgørelse om erhvervsuddannelser, såsom udarbejdelse, registrering og ajourføring af uddannelsesplaner, udføres af medarbejdere på den enkelte uddannelsesinstitution.

Den uddannelsesinstitution, der indlæser en personoplysning i det digitale administrationssystem Elevplan.dk, herunder Uddanelsesaftaler.dk, er derfor dataansvarlig for denne personoplysning.

Styrelsen for It og Lærings persondatabehandling består således i at stille et system til rådighed og heri opbevare persondata i Elevplan.dk, herunder Uddannelsesaftaler.dk samt overføre oplysninger til erhvervsskolernes studieadministrative systemer.

Personer og personoplysninger i Elevplan.dk og Uddannelsesaftaler.dk

Styrelsen for It og Læring behandler på vegne af uddannelsesinstitutionerne personoplysninger i Elevplan.dk og Uddannelsesaftaler.dk om elever på erhvervsuddannelser og visse erhvervsgymnasiale uddannelser, medarbejdere på uddannelsesinstitutionen og medarbejdere på praktikvirksomheden.

Styrelsen behandler almindelige og følsomme personoplysninger omfattet af databeskyttelsesforordningens artikel 6 og 9.

De personoplysninger som styrelsen behandler om elever omfatter adresse og kontaktoplysninger, oplysninger om uddannelsesaftaler, skema, karakterer og fravær.

I forbindelse med kompetencevurderinger kan der registreres helbredsoplysninger, hvis oplysningen har relevans for kompetencevurderingen.

Der kan registreres oplysning om frafaldsrisiko for en elev, men uden begrundelse.

For de øvrige registrerede behandles navn, adresse og kontaktoplysninger samt skema.

Sletning af personoplysninger

Personoplysninger i Elevplan og Uddannelsesaftaler.dk af relevans for dokumentation af elevfravær opbevares i op til 1 år.

Data af relevans for dokumentation af elevers opnåede kompetencer slettes ikke før overførsel til Rigsarkivet.

Øvrige personoplysninger, herunder opgavebesvarelser, opbevares i op til 5 år.

Bilag 6

Behandling af personoplysninger i Netprøver

Formål med og karakter af behandlingen

Styrelsen for It og Læring stiller som databehandler det digitale prøveafviklingssystem Netprøver til rådighed for de uddannelsesinstitutioner og gymnasiale afdelinger på voksenuddannelsescentre, som er forpligtet til at benytte det digitale prøveafviklingssystem i henhold til de af ministeriet fastsatte retningslinjer, jf. § 5 i Bekendtgørelse om prøver og eksamen i de almene og studieforberedende ungdoms- og voksenuddannelser (almen eksamensbekendtgørelsen), og som er ansvarlig over for Børne- og Undervisningsministeriet for overholdelse af prøver og eksamen ved institutionen jf. bekendtgørelsens § 4.

De administrative opgaver, der udføres i Netprøver i henhold til almen eksamensbekendtgørelsen såsom adgangs- og rettighedsstyring til systemet, bedømmelser og karaktergivning, udføres af medarbejdere på den enkelte uddannelsesinstitution.

Den uddannelsesinstitution, der indlæser en personoplysning i det digitale prøveafviklingssystem Netprøver, er derfor dataansvarlig for denne personoplysning.

Styrelsen for It og Lærings persondatabehandling består således i at stille et system til rådighed og heri opbevare persondata i Netprøver samt overføre karakterer til de studieadministrative systemer på vegne af de dataansvarlige med det formål at understøtte de opgaver som uddannelsesinstitutionerne har i forbindelse med deres ansvar for afvikling af prøver og eksamener.

Personer og personoplysninger i Netprøver

Styrelsen for It og Læring behandler på vegne af uddannelsesinstitutionerne personoplysninger i Netprøver om elever, censorer og medarbejdere på uddannelsesinstitutioner.

Styrelsen behandler ikke følsomme personoplysninger omfattet af databeskyttelsesforordningens artikel 9.

Om elever indeholder Netprøver data om Cpr.nr., unilogin, navn, indhold af besvarelser ved eksamen i de gymnasiale uddannelser og karakterer.

Om censorer/bedømmere indeholder systemet oplysninger om Cpr.nr. og unilogin.

Om administrativt personale ved institutionerne indeholder systemet data om Cpr.nr. og unilogin og navn.

Sletning af personoplysninger

Rigsarkivet har besluttet, at data fra Netprøver skal arkiveres hos Rigsarkivet.

Styrelsen for It og Læring har derfor igangsat et arbejde, der skal sikre at data bliver arkiveret hos Rigsarkivet.

Når data er blevet arkiveret hos Rigsarkivet, vil data ikke længere blive opbevaret i Netprøver.

Det er planlagt til at ske i 2021.

Herefter vil data i Netprøver blive slettet efter 12 måneder.

Bilag 7

Behandling af personoplysninger i Optagelse.dk

Formål med og karakter af behandlingen

Styrelsen for It og Læring (STIL) stiller som databehandler den digitale optagelsesportal Optagelse.dk til rådighed for de kommuner, som er forpligtet til at benytte Optagelse.dk til brug for udførelse af deres opgaver i forbindelse med uddannelsesparathedsvurderinger og uddannelsesvejledning i henhold til §§ 4-8, 12, 22 og 23 i Bekendtgørelse om uddannelsesparathedsvurdering, uddannelsesplaner og procedurer ved valg af ungdomsuddannelse (procedurebekendtgørelsen) samt §§ 2 c – 2 g og 14 i Bekendtgørelse lov om kommunal ungeindsats (”Bekendtgørelse af lov om kommunal indsats for unge under 25 år”).

De administrative opgaver, der udføres i Optagelse.dk i henhold til procedurebekendtgørelsen og lov om kommunal ungeindsats såsom indberetninger, parathedsvurderinger, koordinering og behandling af ansøgninger om optagelse på ungdomsuddannelser udføres af kommunale medarbejdere hos den kommunale ungeindsats (KUI-vejledere).

Den pågældende kommune er derfor dataansvarlig for behandlingen af de personoplysninger, der finder sted som led i kommunernes vurdering i Optagelse.dk.

Den pågældende kommune er derfor dataansvarlig for behandlingen af de personoplysninger, der finder sted som led i kommunernes vejledning i Optagelse.dk.

Styrelsen for It og Lærings persondatabehandling består således i at stille et system til rådighed og heri opbevare persondata i Optagelse.dk samt at transmittere ansøgninger om optagelse til de studieadministrative systemer på ungdomsuddannelserne på vegne af de dataansvarlige med det formål at understøtte de opgaver som kommunernes KUI-vejledere har i forbindelse med deres uddannelsesvejledning.

Personer og personoplysninger i Optagelse.dk

Styrelsen for It og Læring behandler på vegne af kommunerne personoplysninger i Optagelse.dk om elever i 8.- 9.- og 10. klasse, værger/forældre til elever i 8.- 9.- og 10. klasse, hvor oplysningerne stammer fra skolernes egne administrative systemer og evt.

fra indtastning direkte ind i selvbetjeningsløsningen.

Der behandles også oplysninger om ansøgere til ungdomsuddannelserne, som ikke går i 8.

- 9- og 10. klasse, hvor oplysningerne stammer fra CPR-registeret, Karakterdatabasen og gennem indtastning direkte ind i selvbetjeningsløsningen eller fra ansøgerens indsendte bilag.

Der behandles også oplysninger om medarbejdere på kommunernes Kommunale Ungeindsatscentre, hvor oplysningerne tastes direkte ind i selvbetjeningsløsningen.

Styrelsen behandler almindelige personoplysninger omfattet af databeskyttelsesforordningens artikel 6.

De personoplysninger som styrelsen behandler er CPR-nummer, navn, adresse, e-mail, telefonnummer, uddannelsesønsker og uddannelsesplan, standpunkts- og prøvekarakterer og eksamensgennemsnit, eventuelle værgeoplysninger, skoletilknytning, uddannelsesparathedsvurdering samt de oplysninger og evt.

bilag der vedhæftes en ansøgning, som blandt andet indeholder vejlederens vurdering af ansøgerens personlige og sociale forudsætninger.

Der findes i optagelse.dk fritekstfelter, hvor KUI-vejlederen kan give kommentarer til ansøgerens parathedsvurdering.

Det er ikke tilsigtet og ikke en del af formålet med anvendelsen af optagelse.dk, at der angives følsomme personoplysninger i disse fritekstfelter omfattet af databeskyttelsesforordningens artikel 9.

Sletning af personoplysninger

Personoplysninger opbevares i optagelse.dk, indtil de slettes efter hver ansøgningsrunde, dvs. en gang årligt.

Dog gemmes cpr-nummer samt UPV-oplysninger fra eleven går i 8. klasse og indtil 2 år efter eleven er gået ud af 9. klasse (grundet det forlængede retskrav på optagelse på en gymnasial uddannelse).

For de videregående område gælder: Personoplysningerne på Optagelse.dk bliver slettet efter hver optagelsesrunde.

Bilag 8

Behandling af personoplysninger i Ordblindetesten

Formål med og karakter af behandlingen

Styrelsen for It og Læring stiller som databehandler det digitale testmodul Ordblindetesten til rådighed for kommuner og uddannelsesinstitutioner til brug for udførelse af deres opgaver i forbindelse med udredning af ordblindhed og tildeling af specialpædagogisk støtte i henhold til § 3 i Bekendtgørelse af lov om folkeskolen, § 29 i Bekendtgørelse af lov om erhvervsuddannelser, § 18 a i lov om institutioner for erhvervsrettet uddannelse, § 61 a i Bekendtgørelse af lov om de gymnasiale uddannelser, § 3 i Bekendtgørelse af lov om friskoler og private grundskoler m.v., § 3 a i bekendtgørelse af lov om efterskoler og frie fagskoler samt § 12 a i Bekendtgørelse af lov om specialpædagogisk støtte ved videregående uddannelser.

De administrative opgaver, der udføres som led i anvendelsen af Ordblindetesten såsom indberetninger, administration af testen og tilrettelæggelse af relevante specialpædagogiske undervisningstiltag, som opfylder elevens undervisningsmæssige behov, foretages af medarbejdere på kommunens skoler og medarbejdere på uddannelsesinstitutioner.

Opgaven med tilrettelæggelse af undervisningstiltag sker på baggrund af Ordblindetestens automatisk genererede testresultat, som medarbejderne på kommunerne og uddannelsesinstitutionerne (testvejlederne) i sidste ende vurderer selvstændigt.

Kommunerne og uddannelsesinstitutionerne er derfor hver især selvstændigt dataansvarlige for behandling af personoplysninger som led i anvendelsen af Ordblindetesten.

Styrelsen for It og Lærings persondatabehandling består således i at stille et system til rådighed og heri opbevare persondata i Ordblindetesten på vegne af de dataansvarlige med det formål at understøtte de opgaver som kommunernes og uddannelsesinstitutionerne har i forbindelse med deres forpligtelse til at udrede elevers ordblindhed og tilrettelægge et relevant undervisningstiltag.

Personer og personoplysninger i Ordblindetesten

Styrelsen for It og Læring behandler på vegne af de dataansvarlige kommuner og uddannelsesinstitutioner oplysninger om elever, studerende og kursister, som har givet samtykke til at få foretaget en ordblindetest på den skole eller uddannelsesinstitutioner, hvorpå de er indskrevet.

Der registreres også navn på den testvejleder, som er ansat på den pågældende skole eller uddannelsesinstitution, hvor ordblindetesten er udført.

Styrelsen for It og Læring behandler både almindelige og følsomme personoplysninger omfattet af databeskyttelsesforordningens artikel 6 og artikel 9 til den oven for angivne formål.

De oplysninger som styrelsen opbevarer i Ordblindetesten er navn, CPR-nummer, klasse, skoletilhørsforhold og Unilogin.

Der registreres også elevens testresultat, som indeholder oplysninger om, hvorvidt den pågældende er ordblind

Sletning af personoplysninger

Testresultat, herunder oplysninger om ordblindhed, slettes automatisk 15 år efter, at testen er foretaget.

Bilag 9

Behandling af personoplysninger i Praktik+

Formål med og karakter af behandlingen

Styrelsen for It og Læring stiller som databehandler det digitale administrationssystem Praktik+ til rådighed for de uddannelsesinstitutioner, som er forpligtet til at benytte det digitale administrationssystem til brug for udførelse af deres opgaver i forbindelse med praktikpladsopsøgende arbejde og registrering af uddannelsesaftaler i henhold § 54 i Bekendtgørelse af lov om erhvervsuddannelser.

De administrative opgaver, der udføres i Praktik+ i henhold til Bekendtgørelse af lov erhvervsuddannelser som tilmelding af medarbejdere, registrering af uddannelsesaftaler, planlægning, registrering koordinering og rapportering af aktiviteter, udføres af medarbejdere på den enkelte uddannelsesinstitution.

Den uddannelsesinstitution, der indlæser en personoplysning i det digitale administrationssystem Praktik+, er derfor dataansvarlig for denne personoplysning.

Styrelsen for It og Lærings persondatabehandling består således i at stille et system til rådighed og heri opbevare persondata i Praktik+ samt overføre oplysninger til de studieadministrative systemer på vegne af de dataansvarlige med det formål at understøtte de opgaver som uddannelsesinstitutionerne har i forbindelse med deres ansvar for at foretage praktikpladsopsøgende arbejde.

Personer og personoplysninger i Praktik+

Styrelsen for It og Læring behandler på vegne af uddannelsesinstitutionerne personoplysninger i Praktik+ om medarbejdere på uddannelsesinstitutioner og praktikpladssøgende elever på uddannelsesinstitutioner.

Styrelsen behandler ikke følsomme personoplysninger omfattet af databeskyttelsesforordningens artikel 9.

De personoplysninger som styrelsen behandler, omfatter uddannelsesaftaler, oplysninger om kontaktpersoner på uddannelsessteder, stamoplysninger om praktikpladssøgende elever og oplysninger om AMU-kurser, kursister og certifikater.

Sletning af personoplysninger

Personoplysninger i Praktik+ indlæses fra EASY P og slettes ikke automatisk af styrelsen.

Når personoplysningerne ikke længere er tilgængelige i EASY P, vil personoplysningerne ikke længere blive vist på Praktik+.

Bilag 10

Behandling af personoplysninger i Praktikpladsen.dk

Formål med og karakteren af behandlingen

Styrelsen for It og Læring stiller som databehandler det digitale administrationssystem Praktikpladsen.dk til rådighed for de uddannelsesinstitutioner, som er forpligtet til at benytte det digitale administrationssystem til brug for udførelse af deres opgaver i forbindelse med vejledning til praktikpladssøgende elever i henhold til §§ 52, 108, 109, 112, 116, 117 og 118 i Bekendtgørelse om erhvervsuddannelser.

De administrative opgaver, der udføres i Praktikpladsen.dk i henhold til Bekendtgørelse om erhvervsuddannelser såsom registrering og målrettet formidling af praktikpladser til elever, udføres af medarbejdere på den enkelte uddannelsesinstitution.

Den uddannelsesinstitution, der indlæser en personoplysning i det digitale administrationssystem Praktikpladsen.dk, er derfor dataansvarlig for denne personoplysning.

Styrelsen for It og Lærings persondatabehandling består således i at stille et system til rådighed og heri opbevare persondata i Praktikpladsen.dk.

Personer og personoplysninger i Praktikpladsen.dk

Styrelsen for It og Læring behandler på vegne af uddannelsesinstitutionerne personoplysninger i Praktikpladsen.dk om praktikpladssøgende elever på uddannelsesinstitutioner og medarbejdere på institutioner og faglige udvalg.

Styrelsen behandler ikke følsomme personoplysninger omfattet af databeskyttelsesforordningens artikel 9.

De personoplysninger som styrelsen behandler, omfatter uddannelsesoplysninger, oplysninger om kvalifikationer og praktikønsker, adresse, navn og CPR-nummer med henblik på entydig identifikation.

Fritekstfelter udfyldes af eleven, men eleven frarådes at registrere følsomme oplysninger.

Sletning af personoplysninger

Personoplysninger som eleven selv indtaster i Praktikpladsen.dk slettes automatisk af styrelsen, når profilen har være inaktiv i et år.

Eleven kan desuden selv slettes profilen ved login.

Når eleven har slettet de indtastede personoplysninger fra sin profil, opbevarer styrelsen ikke længere personoplysningen på Praktikpladsen.dk.

Stamoplysninger opbevares på Praktikpladsen.dk, så længe de er tilgængelige på EASY-P.

Bilag 11

Behandling af personoplysninger i Elevadministration

Formål med og karakteren af behandlingen

Styrelsen for It og Læring stiller som databehandler det digitale administrationssystem Elevadministration til rådighed for de kommuner og uddannelsesinstitutioner, som ikke har egne elevadministrative systemer og som derfor benytter Elevadministration til brug for udførelse af deres opgaver med at udstede Unilogin og sikre adgang for deres elever til obligatoriske tjenester på undervisnings- og dagtilbudsområdet.

De administrative opgaver, der udføres i Elevadministration såsom registrering og oprulning af elever med henblik på udstedelse af Unilogin til brug for adgang til obligatoriske tjenester, udføres af medarbejdere på den enkelte skole i kommunen og uddannelsesinstitutionen.

Den enkelte kommune og uddannelsesinstitution, der indlæser en personoplysninger i Elevadministration er derfor dataansvarlig for denne personoplysning.

Styrelsen for It og Lærings persondatabehandling består således i at stille et system til rådighed og heri opbevare persondata i Elevadministration.

Personer og personoplysninger i Elevadministration

Styrelsen for It og Læring behandler på vegne af kommunerne og uddannelsesinstitutionerne personoplysninger i Elevadministration om elever på de institutioner og de af kommunernes grundskoler, som ikke har egne elevadministrative systemer.

Styrelsen behandler ikke følsomme personoplysninger omfattet af databeskyttelsesforordningens artikel 9.

De personoplysninger som styrelsen behandler, omfatter navn, CPR, adresse, klasse, klassetrin og stamoplysninger om forældre og værger.

Sletning af personoplysninger

Der er ikke automatisk sletning i systemet.

Skolerne kan selv slette eleverne.

Det gør de årligt i forbindelse med oprulning af eleverne til de næste klassetrin.

Når eleven ikke længere går på skolen eller når eleven er gået ud af højeste klassetrin (9.

/10.klasse) kan eleven ikke oprulles mere og bliver derfor slettet af skolens medarbejdere.

Bilag 12

Behandling af personoplysninger i FGU Matematiktest

Formål med og karakteren af behandlingen

Styrelsen for It og Læring stiller som databehandler det digitale testværktøj FGU Matematiktest til rådighed for de uddannelsesinstitutioner, som er forpligtet til at foretage en vejledende matematiktest af elever i henhold til § 35 i bekendtgørelse af lov om forberedende grunduddannelse (FGU-bekendtgørelsen) med det formål at screene elever i matematik i forhold til FGU’s G-niveau, således at elever, der indledningsvis har for lavt niveau til at få udbytte af FGU’s G-niveau, kan henvises til FGU’s introducerende niveau i matematik.

De administrative opgaver, der udføres i FGU Matematiktest i henhold til FGU-bekendtgørelsen såsom screening og vurdering af færdigheder udføres af medarbejdere på den enkelte uddannelsesinstitution.

Den uddannelsesinstitution, der foretager vurderingen og træffer afgørelse om henvisning til FGU's introducerende niveau i matematik er derfor dataansvarlig for behandlingen af personoplysninger i FGU Matematiktest.

Styrelsen for It og Lærings persondatabehandling består således i at stille et system til rådighed og heri opbevare persondata i FGU Matematiktest.

Personer og personoplysninger

Styrelsen for It og Læring behandler på vegne af institutionerne personoplysninger i FGU Matematiktest om institutionernes elever og testvejledere.

De oplysninger som opbevares i testen er navn, unilogin og skoletilhørsforhold.

Der registreres også elevens testresultat og besvarelser.

Testvejlederen og denne institutionsforhold identificeres via unilogin.

Systemet har fritekstfelter, som kan indeholde almindelige persondata.

De benyttes, hvis man registrerer en bruger fremfor at logge ind med et eksisterende unilogin.

I fritekstfelterne registreres skoletilhørsforhold, navn, selvvalgt brugernavn og kodeord.

Der er ikke fritekstfelter, hvor der kan opstå følsomme persondata.

Sletning af personoplysninger

Personoplysninger i FGU Matematiktest opbevares i ét år.

Bilag 13

Behandling af personoplysninger i Sprogprøver.dk

Formål med og karakteren af behandlingen

Styrelsen for It og Læring stiller som databehandler det digitale administrationssystem Sprogprøver.dk til rådighed for de uddannelsesinstitutioner og kommuner, som frivilligt kan benytte det digitale system til brug for gennemførelse af de obligatoriske sprogprøver i grundskolen.

Der er tale om børnehaveklasser på hhv.

folkeskoler og afdelinger af folkeskoler samt på frie grundskoler, hvor mere end 30 pct. af eleverne bor i et boligområde, der har været på listen over udsatte boligområder, jf. § 61 a, stk. 1, i lov om almene boliger m.v., mindst en gang inden for de seneste 3 år.

De administrative opgaver, der udføres i Sproprøver.dk i henhold til formålene fastsat i § 1 i bekendtgørelse om obligatoriske sprogprøver i grundskolen udføres af medarbejdere på den enkelte uddannelsesinstitution eller en kommunes folkeskole, der er ansvarlige for de obligatoriske sprogprøver.

Den uddannelsesinstitution, der indlæser en personoplysning i det digitale administrationssystem Sprogprøver.dk, er derfor dataansvarlig for denne personoplysning.

Styrelsen for It og Lærings persondatabehandling består i at stille et system til rådighed og heri opbevare persondata i Sprogprøver.dk samt overføre data der indberettes via systemet til styrelsens statistikberedskab i henhold til § 19 i bekendtgørelse om obligatoriske sprogprøver i grundskolen.

Personer og personoplysninger

Styrelsen for It og Læring behandler på vegne af uddannelsesinstitutionerne og kommunerne personoplysninger i Sprogprøver.dk om børnehaveklasseelever, børnehaveklasseledere, skoleledere og andre ressourcepersoner tilknyttet børnehaveklassen på skoler, der er omfattet af § 61 a, stk. 1, i lov om almene boliger m.v. samt undervisere, der er ansvarlige for de obligatoriske sprogprøver og evt.

skoleansatte administratorer.

Styrelsen behandler alene almindelige personoplysninger.

Det er oplysninger om navn, cpr.nr., unilogin, klasse og skole.

For børnehaveklasseeleverne registreres prøveresultater og delprøveresultater samt om sprogprøven samlet er bestået.

Sletning af personoplysninger

Alle oplysninger om elevernes sprogprøver og elevernes personoplysninger slettes fra systemet Sprogprøver.dk to måneder efter indberetning til Styrelsen for It og Læring.

Indberetningen til Styrelsen for It og Læring sker senest den 5. september årligt.

-

§ 31 i lov om institutioner for erhvervsrettet uddannelse for så vidt angår behandling af personoplysninger i EASY A og EASY F.

-

§§ 52, 108, 109, 112, 116, 117 og 118 i bekendtgørelse om erhvervsuddannelser for så vidt angår behandling af personoplysninger i Praktikpladsen.dk og EASY P.

-

§ 1 i lov om institutioner for forberedende grunduddannelse for så vidt angår EGU-Portalen

-

§ 61 i bekendtgørelse om erhvervsuddannelser og § 54 i lov om erhvervsuddannelser for så vidt angår behandling af personoplysninger i Elevplan.dk og Uddannelsesaftaler.dk.

-

§ 35 i Bekendtgørelse af lov om forberedende grunduddannelse for så vidt angår FGU Matematiktest.

-

§§ 4 og 5 i bekendtgørelse om prøver og eksamen i de almene og studieforberedende ungdoms- og voksenuddannelser for så vidt angår behandling af personoplysninger i Netprøver.dk.

-

§§ 2 c – 2 g og 14 i lov om kommunal indsats for unge under 25 år samt §§ 4-8 og 12 bekendtgørelse om uddannelsesparathedsvurdering, uddannelsesplaner og procedurer ved valg af ungdomsuddannelse for så vidt angår behandling af personoplysninger i Optagelse.dk.

-

§ 3 i lov om folkeskolen, § 29 i lov om erhvervsuddannelser, § 18 a i lov om institutioner for erhvervsrettet uddannelse, § 61 a i lov om de gymnasiale uddannelser § 3 i lov om friskoler og private grundskoler m.v., § 3 a i lov om efterskoler og frie fagskoler samt § 12 a i lov om specialpædagogisk støtte ved videregående uddannelser for så vidt angår behandling af personoplysninger i Ordblindetesten.

-

§ 54 i lov om erhvervsuddannelser for så vidt angår behandling af personoplysninger i Praktik+.

-

§ 19 i bekendtgørelse om obligatoriske sprogprøver i grundskolen for så vidt angår Sprogprøver.dk.

-

EASY A

-

EASY F

-

EASY P

-

EDUP (Elev Data Udvekslings Punkt)

-

EGU-Portalen

-

Elevplan.dk og Uddannelsesaftaler.dk

-

Elevadministration.dk

-

FGU Matematiktest

-

Netprøver.dk

-

Ordblindetesten

-

Optagelse.dk

-

Praktik+

-

Praktikpladsen.dk

-

Sprogprøver.dk

-

Identifikationsoplysninger, herunder cpr-nummer

-

Karakterer og bedømmelse

-

Undervisningsdeltagelse med angivelse af indhold og perioder

-

Oplysninger om fravær, herunder begrundelse, såfremt der ikke er tale om fravær på grund af sygdom, fængselsstraf eller lignende

-

Oplysninger om særlige undervisningsforanstaltninger og dispensationer fra undervisning, men ikke begrundelsen herfor.

-

Desuden i udvalgte felter: Helbredsoplysninger, der har væsentlig betydning for praktikopholdet, såfremt eleven udtrykkeligt har givet sit samtykke.

-

Men ikke: Racemæssig eller etnisk baggrund;

politisk, religiøs eller filosofisk overbevisning;

fagforeningsmæssigt tilhørsforhold;

seksuelle forhold;

strafbare forhold og væsentlige sociale problemer;

interne familieforhold, f.eks. stridigheder, selvmordsforsøg og ulykkestilfælde;

indtægts- og formueforhold.