Cirkulæreskrivelse om Styrelsen for It og Lærings opgaver som databehandler i visse administrative systemer på børne- og undervisningsområdet

Cirkulæreskrivelse om Styrelsen for It og Lærings opgaver som databehandler i visse administrative systemer på børne- og undervisningsområdet

1.

Indledning

1.1.

Denne cirkulæreskrivelse er udarbejdet af Styrelsen for It og Læring under henvisning til databeskyttelsesforordningens artikel 28 om forholdet mellem aktører, der har en rolle som henholdsvis dataansvarlig og databehandler i relation til en behandling af personoplysninger.

1.2.

På børne- og undervisningsområdet foretager Styrelsen for It og Læring på vegne af en række statslige institutioner, privat- og offentligt selvejende institutioner, private institutioner, kommuner og regioner behandling af personoplysninger i visse administrative systemer, som institutionerne er forpligtet til at benytte i henhold til

1.3.

Vilkårene for anvendelse af systemerne er de samme for statslige institutioner, privat- og offentligt selvejende institutioner, private institutioner, kommuner og regioner, der efter aftale med Styrelsen for It og Læring har valgt at benytte systemerne.

1.4.

Det drejer sig om følgende systemer

1.5.

Styrelsen for It og Læring er databehandler for den behandling, som sker ved brug af de anførte administrative systemer, jf. punkt 1.4., da styrelsens behandling af personoplysninger i disse systemer alene sker til institutionernes, kommunernes eller regionernes formål og på deres vegne, hvorved de er dataansvarlige for behandlingen af oplysningerne.

1.6.

Efter databeskyttelsesforordningens artikel 28, stk. 3, skal en databehandlers behandling være reguleret af en kontrakt eller andet retligt bindende dokument i henhold til EU-retten eller medlemslandenes nationale ret, som er bindende for databehandleren med hensyn til den dataansvarlige, og der fastsætter

1.7.

Cirkulæreskrivelsen er gældende for alle institutioner, kommuner og regioner, som anvender de nævnte systemer, og fastsætter de rettigheder og forpligtelser, som finder anvendelse, når Styrelsen for It og Læring foretager behandling af personoplysninger på vegne af den enkelte institution, kommune og region til deres respektive formål.

Cirkulæreskrivelsen er herved det retlige dokument, som er krævet i databeskyttelsesforordningens artikel 28, stk. 3.

1.8.

Oplysninger om Styrelsen for It og Lærings behandling i de enkelte administrative systemer, herunder behandlingens formål og karakter, typen af personoplysninger, kategorierne af registrerede og varigheden af behandlingen i de enkelte administrative systemer fremgår af bilag til denne cirkulæreskrivelse samt af hjemmesiden for Styrelsen for It og Læring ( www.viden.stil.dk ).

1.9.

Cirkulæreskrivelsen frigør ikke Styrelsen for It og Læring for forpligtelser, som efter databeskyttelsesforordningen, databeskyttelsesloven eller enhver anden lovgivning direkte er pålagt databehandleren.

1.10.

De enkelte dataansvarlige er som led i deres efterlevelse af databeskyttelsesforordningens og databeskyttelseslovens regler forpligtet til at gøre sig bekendt med indholdet af cirkulæreskrivelsen og følge den i forbindelse med behandling af personoplysninger ved hjælp af disse systemer.

1.11.

Styrelsen for It og Læring underretter den dataansvarlige, hvis en instruks fra den pågældende efter styrelsens vurdering er i strid med databeskyttelsesforordningen, databeskyttelsesloven eller bestemmelser om databeskyttelse i anden EU-ret eller national ret.

2.

Anvendelsesområde

2.1.

Herved fastsættes bestemmelser om den behandling, som Styrelsen for It og Læring kan foretage i de under punkt 1.4. anførte administrative systemer på børne- undervisningsområdet, hvor systemerne stilles til rådighed for institutionerne, kommunerne og regionerne af Styrelsen for It og Læring som databehandler, og hvor de pågældende aktører er forpligtet til at gøre brug af de administrative systemer, jf. de hjemmelsgrundlag, der er angivet i punkt 1.2, eller efter aftale med Styrelsen for It og Læring har valgt at gøre brug af systemerne.

2.2.

Styrelsen for It og Læring må ikke behandle personoplysninger i de under punkt 1.4. anførte administrative systemer til andre formål og opgaver, end der fremgår af denne cirkulæreskrivelse og tilhørende bilag.

3.

Den dataansvarliges forpligtelser og rettigheder

3.1.

Som bruger af systemerne er den enkelte institution, kommune og region dataansvarlig for den behandling af personoplysninger, som finder sted i forbindelse med anvendelsen af det enkelte system, sker inden for rammerne af databeskyttelsesforordningen og databeskyttelsesloven.

4.

Databehandlerens adgang til behandling af personoplysninger

4.1.

Styrelsen for It og Læring må kun behandle de personoplysninger, som den enkelte institution, kommune og region lægger ind i systemet i overensstemmelse med reglerne i nærværende cirkulæreskrivelse, medmindre behandlingen kræves i henhold til EU-retten eller medlemsstaternes nationale ret, som Styrelsen for It og Læring er underlagt;

I så fald underretter Styrelsen for It og Læring den dataansvarlige om dette retlige krav inden behandlingen, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser, jf. databeskyttelsesforordningens artikel 28, stk. 3, litra a.

4.2.

Styrelsen for It og Læring anvender Integrationsplatformen til at indsamle og viderestille de personoplysninger, som er angivet i bilagene til denne cirkulæreskrivelse.

4.3.

Styrelsen for It og Læring videregiver data fra de administrative systemer til brug for udførelse af statistiske eller videnskabelige undersøgelser, jf. databeskyttelseslovens § 10, når den rekvirerende aktør har hjemmel til at behandle almindelige personoplysninger, jf. databeskyttelsesforordningens artikel 6 og følsomme personoplysninger, jf. databeskyttelsesforordningens artikel 9, medmindre databeskyttelseslovens § 10, stk. 3, nr. 1, 2 eller 3 finder anvendelse, idet disse situationer kræver forudgående tilladelse fra Datatilsynet.

4.4.

Styrelsen for It og Lærings anvendelse af oplysninger som nævnt i databeskyttelsesforordningens artikel 9, stk. 1 må behandles, hvis dette alene sker med henblik på at udføre statistiske eller videnskabelige undersøgelser af væsentlig samfundsmæssig betydning, og hvis behandlingen er nødvendig af hensyn til udførelsen af undersøgelserne.

Det samme gælder Styrelsen for It og Lærings behandling af andre oplysninger herunder CPR-numre i medfør af databeskyttelseslovens § 11, som alene foretages i statistisk eller videnskabeligt øjemed efter databeskyttelsesforordningens artikel 6, jf. databeskyttelseslovens § 10, stk. 1 og 2 samt bekendtgørelsen om videregivelse af personoplysninger omfattet af databeskyttelseslovens § 10, stk. 1 og 2.

5.

Autorisationer og fortrolighed

5.1.

Styrelsen for It og Læring meddeler autorisation til de personer i styrelsen, der har et arbejdsbetinget behov for at kunne tilgå personoplysninger i de enkelte systemer, jf. pkt. 1.4.

Styrelsen for It og Læring sikrer ved passende tekniske og organisatoriske kontrolforanstaltninger, at kun de personer, der aktuelt er autoriseret hertil, har adgang til de personoplysninger, der behandles på vegne af den enkelte dataansvarlige.

Styrelsen lukker straks en medarbejders adgang til oplysningerne, hvis autorisationen fratages eller udløber.

5.2.

Styrelsen for It og Læring sikrer, at de personer, der er autoriseret til at behandle personoplysninger på vegne af de enkelte dataansvarlige, jf. pkt. 5.1, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

6.

Bistand til den dataansvarlige

6.1.

Styrelsen for It og Læring bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger, med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelsen af de registreredes rettigheder, som er fastlagt i databeskyttelsesforordningens kapitel 3.

6.2.

Dette indebærer, at Styrelsen for It og Læring så vidt muligt skal bistå den dataansvarlige i forbindelse med, at den dataansvarlige skal sikre overholdelsen af nedenstående regler i databeskyttelsesforordningen

6.3.

Styrelsen for It og Læring bistår den dataansvarlige med at sikre overholdelse af den dataansvarliges forpligtelser i medfør af databeskyttelsesforordningens artikel 32-36 under hensynstagen til behandlingens karakter og de oplysninger, der er tilgængelige for Styrelsen for It og Læring som databehandler, jf. databeskyttelsesforordningens art 28, stk. 3, litra f.

Dette indebærer, at Styrelsen for It og Læring under hensynstagen til behandlingens karakter skal bistå den enkelte dataansvarlige i forbindelse med, at denne skal sikre overholdelsen af

7.

Behandlingssikkerhed

7.1.

Styrelsen for It og Læring iværksætter alle foranstaltninger, der kræves i henhold til databeskyttelsesforordningens artikel 32 om behandlingssikkerhed.

Styrelsen sikrer herved, at der under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder gennemføres passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici.

7.2.

På baggrund af resultatet af den risikovurdering, som Styrelsen for It og Læring har gennemført, jf. pkt. 7.1., gennemfører styrelsen passende foranstaltninger for at imødegå de identificerede risici.

Der kan alt efter, hvad der er relevant, være tale om følgende foranstaltninger

7.3.

Styrelsen for It og Læring sørger som minimum for at iværksætte følgende sikkerhedsforanstaltninger

7.4.

Styrelsen for It og Læring er ansvarlig for iagttagelse af reglen om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger i databeskyttelsesforordningens artikel 25 i forhold til udvikling og drift af de i punkt 1.4. nævnte systemer.

7.5.

Styrelsen for It og Læring iværksætter alle foranstaltninger, der er nødvendige for opfyldelse af kravet i databeskyttelsesforordningens artikel 35 om konsekvensanalyse vedrørende databeskyttelse for de i punkt 1.4. nævnte systemer, Styrelsen foretager i den sammenhæng en analyse af de påtænkte behandlingsaktiviteters konsekvenser for beskyttelse af personoplysninger, hvis en type behandling, navnlig ved brug af nye teknologier og i medfør af sin karakter, omfang, sammenhæng og formål, sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder.

7.6.

Styrelsen for It og Læring iværksætter alle foranstaltninger, der er nødvendige for opfyldelse af kravet i databeskyttelsesforordningens artikel 36 om forudgående høring af Datatilsynet ved visse behandlinger af personoplysninger.

8.

Orientering og anmeldelser af brud på persondatasikkerhed til Datatilsynet

8.1.

Den dataansvarlige er ansvarlig for efterlevelsen af databeskyttelsesforordningens artikel 33 om anmeldelse af brud på persondatasikkerheden til Datatilsynet.

Den dataansvarlige underretter i dette tilfælde de registrerede om bruddet på datasikkerheden i overensstemmelse med kravene herom i databeskyttelsesforordningens artikel 34.

8.2.

Hvis den dataansvarlige efter punkt 8.1. er ansvarlig for at foretage anmeldelse til Datatilsynet, men den dataansvarlige ikke selv har opdaget bruddet på persondatasikkerheden, underretter Styrelsen for It og Læring den dataansvarlige om sikkerhedsbruddet uden unødig forsinkelse efter, at hændelsen er kommet til styrelsens kendskab.

8.3.

Under hensyn til sagens karakter og bruddets omfang kan styrelsen på vegne af samtlige dataansvarlige omfattet af denne cirkulæreskrivelse foretage en samlet anmeldelse til datatilsynet i overensstemmelse med databeskyttelsesforordningens artikel 33, stk. 1.

9.

Anvendelse af underdatabehandlere

9.1.

Styrelsen for It og Læring kan anvende underdatabehandlere i tilknytning til de omhandlede systemer.

9.2.

Ved anvendelse af underdatabehandlere er Styrelsen for It og Læring ansvarlig for at efterleve kravene i databeskyttelsesforordningens artikel 28.

Styrelsen for It og Læring er herefter bl.a. forpligtet til

9.3.

Styrelsen for It og Læring skal på styrelsens hjemmeside ( www.viden.stil.dk ) give oplysning om underdatabehandlere for de enkelte administrative systemer.

9.4.

Styrelsen for It og Læring skal endvidere på anmodning fra en dataansvarlig oplyse om, hvorvidt oplysningerne behandles af underdatabehandlere.

Underdatabehandleraftalen og eventuelle senere ændringer hertil sendes – efter den enkelte dataansvarliges anmodning herom - i kopi til den dataansvarlige, som herigennem har mulighed for at sikre sig, at der er indgået en gyldig aftale mellem Styrelsen for It og Læring og underdatabehandleren.

Eventuelle kommercielle vilkår, eksempelvis priser, som ikke påvirker det databeskyttelsesretlige indhold af underdatabehandleraftalen, skal ikke sendes til den dataansvarlige.

9.5.

Styrelsen for It og Læring sørger for at pålægge underdatabehandlere de samme databeskyttelsesforpligtelser, som dem, der er fastsat ved denne cirkulæreskrivelse, gennem en kontrakt eller andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, hvorved der navnlig stilles de fornødne garantier for, at underdatabehandleren vil gennemføre de passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen opfylder kravene i databeskyttelsesforordningen.

9.6.

Styrelsen for It og Læring er således ansvarlig for – igennem indgåelsen af en underdatabehandleraftale – at pålægge en eventuel underdatabehandler mindst de forpligtelser, som Styrelsen for It og Læring selv er underlagt efter databeskyttelsesreglerne og denne cirkulæreskrivelse.

9.7.

Den dataansvarliges tilsyn med eventuelle underdatabehandlere sker som udgangspunkt gennem Styrelsen for It og Læring, der fører tilsyn med underdatabehandlerens overholdelse underdatabehandleraftalen.

9.8.

Hvis underdatabehandleren ikke opfylder sine databeskyttelsesforpligtelser, forbliver Styrelsen for it og Læring fuldt ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser.

10.

Overførsel af oplysninger til tredjelande eller internationale organisationer

10.1.

Styrelsen for It og Læring må alene overføre til tredjelande eller internationale organisationer til brug for styrelsens opgaveløsning i forhold til de dataansvarlige, medmindre sådan overførsel kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som Styrelsen for It og Læring er underlagt;

i så fald underretter Styrelsen for It og Læring den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser, jf. databeskyttelsesforordningens artikel 28, stk. 3, litra a.

10.2.

Styrelsen for It og Læring er ansvarlig for iagttagelsen af kravene i databeskyttelsesforordningens kapitel V, hvis der sker en sådan overførsel af personoplysninger til tredjelande eller internationale organisationer.

11.

Sletning og tilbagelevering af oplysninger

11.1.

Styrelsen for It og Læring har ansvaret for opbevaring af personoplysninger i de i punkt 1.4. anførte systemer i de tidsperioder, som er angivet i bilaget til denne cirkulæreskrivelse.

11.2.

Styrelsen for It og Lærings behandling af personoplysninger i de i punkt 1.4. anførte systemer er ikke tidsbegrænset og varer indtil cirkulæreskrivelsen ophæves.

11.3.

Ved ophør af tjenesterne vedrørende behandling af personoplysninger forpligtes Styrelsen for It og Læring til, efter den dataansvarlige aktørs valg, at slette eller tilbagelevere alle personoplysninger til den dataansvarlige aktør, samt at slette eksisterende kopier, medmindre EU-retten eller national ret foreskriver opbevaring af personoplysningerne.

12.

Tilsyn og revision

12.1.

Styrelsen for It og Læring stiller alle oplysninger, der er nødvendige for at påvise styrelsens overholdelse af databeskyttelsesforordningens artikel 28 og reglerne i denne cirkulæreskrivelse, til rådighed for den dataansvarlige aktør.

12.2.

Styrelsen for It og Læring skal én gang årligt for egen regning indhente en revisionserklæring fra en uafhængig tredjepart om databehandlerens overholdelse af reglerne i denne cirkulæreskrivelse med tilhørende bilag.

12.3.

Styrelsen kan som databehandler fremvise en ISAE 300 erklæring.

Styrelsen for It og Læring sender på anmodning fra en dataansvarlig institution eller dataansvarlig kommune snarest muligt en kopi af revisionserklæringen.

13.

Orientering af den anden part

13.1.

Styrelsen for It og Læring og de dataansvarlige orienterer hinanden om væsentlige forhold, der har betydning for de behandlinger og systemer, der er omfattet af denne cirkulæreskrivelse.

14.

Ikrafttræden

14.1.

Denne cirkulæreskrivelse træder i kraft den 8. februar 2023.

14.2.

Cirkulæreskrivelse nr. 9297 af 06/05/2021 om Styrelsen for It og Lærings opgaver som databehandler i visse administrative systemer på børne- og undervisningsområdet ophæves.

Bilag 1

Behandling af personoplysninger i EASY-A og EASY-F

Formål med og karakter af behandlingen

Styrelsen for It og Læring stiller som databehandler det digitale administrationssystem EASY A til rådighed for de uddannelsesinstitutioner, som benytter det digitale administrationssystem til brug for udførelse af deres opgaver i henhold til § 31 i lov om institutioner for erhvervsrettet uddannelse.

De administrative opgaver, der udføres i EASY-A såsom administration af elever og kursister, hold og holdplaceringer, fagfordeling og skemaer, karakterer og meritter med mere, udføres af medarbejdere på de enkelte uddannelsesinstitutioner.

Den uddannelsesinstitution, der indlæser en personoplysning i det digitale administrationssystem EASY-A, er derfor dataansvarlig for denne personoplysning.

EASY-F er en central installation af EASY-A, der anvendes som kommunikationshub og som indeholder centralt definerede oplysninger, som f.eks. CVR- og CPR-data, uddannelsesmodeller og skoleoplysninger.

Det er således en database, der anvendes til opsamling og distribution af data til institutionerne.

EASY-F varetager central dataudveksling og data distribution for EASY-A og EASY-P (institutionerne er selvstændigt dataansvarlige for disse to).

EASY-F er centralt placeret hos STIL.

EASY-F anvendes bl.a. i forbindelse med abonnement på CPR- og CVR-oplysninger, hvor EASY-F videredistribuerer disse oplysninger til EASY-P og de relevante EASY-A baser.

EASY-F bruges desuden til distribution af centrale data, som oprettes og vedligeholdes af STIL som fx skoler (institutionsnumre), kommunekoder, postnumre, sprog samt til forskellige kommunikationsformål (uddannelsesaftaler mellem EASY-A og EASY-P, eksamensbeviser mellem EASY-A og Eksamensdatabasen samt kommunebrevsoplysninger mellem EASY-A og et website.

Styrelsen for It og Lærings persondatabehandling består således i at stille et system til rådighed og heri opbevare persondata i EASY A samt overføre oplysninger til institutionernes øvrige administrative systemer til brug for institutionernes opgaveløsning.

Personer og personoplysninger i EASY-A og EASY-F

Styrelsen for It og Læring behandler på vegne af de uddannelsesinstitutioner, der anvender EASY A, personoplysninger om disse institutioners elever, elevernes værger, medarbejdere og censorer.

Styrelsen behandler almindelige personoplysninger omfattet af databeskyttelsesforordningens artikel 6.

De personoplysninger som styrelsen behandler om elever omfatter stamoplysninger (CPR-nummer, navn, alder og kontaktoplysninger), skole- og uddannelsesoplysninger samt karakterer.

De personoplysninger som styrelsen behandler om elevers værger og censorer omfatter stamoplysninger.

De personoplysninger som styrelsen behandler om institutionens medarbejdere omfatter stamoplysninger, timeregnskab- og lønoplysninger samt øvrige oplysninger relateret til medarbejderens arbejde såsom skema, arbejdstidsaftaler og kompetencer.

EASY-A indeholder en række oplysninger, som beskriver elevernes ophold på skolen med henblik på undervisning og/eller skolepraktik.

Disse oplysninger danner grundlag for beregning af årselevbidrag og arbejdsgivernes uddannelsesbidrag (AUB).

Der findes fritekstfelter i EASY-A, hvor undervisere kan angive begrundelse for fravær.

Alt efter hvor konkret en eventuelt sygefravær er begrundet kan det eventuelt karakteriseres som en helbredsoplysning.

Der er dog ikke behov for at angive selve sygdommen, og skolerne instruerer deres medarbejdere i at angive generelle termer som ’’syg’’, ’’session’’, ’’barn syg’’ osv.

Sletning af personoplysninger

Personoplysninger i EASY-A slettes 1 år efter overførsel til Rigsarkivet.

Personoplysninger i EASY-F slettes ikke af hensyn til sikring af dokumentation for uddannelsesaftaler.

Bilag 2

Behandling af personoplysninger i EASY-P

Formål med og karakter af behandlingen

Styrelsen for It og Læring stiller som databehandler det digitale administrationssystem EASY P til rådighed for de uddannelsesinstitutioner, som benytter det digitale administrationssystem til brug for udførelse af deres opgaver i forbindelse med praktikdelen af en erhvervsuddannelse.

De administrative opgaver, der udføres i EASY-P såsom registrering af praktikpladssøgende elever, indgåelse af uddannelsesaftaler, sagsbehandling i forbindelse med skolepraktik og øvrig sagsbehandling, praktik i udlandet, skolegodkendelser og kontakt med elever, udføres af medarbejdere på den enkelte uddannelsesinstitution.

Den uddannelsesinstitution, der indlæser en personoplysning i det digitale administrationssystem EASY-P, er derfor dataansvarlig for denne personoplysning.

Styrelsen for It og Lærings persondatabehandling består således i at stille et system til rådighed og heri opbevare persondata i EASY-P samt overføre oplysninger til erhvervsskolernes studieadministrative systemer samt øvrige systemer til brug for styrelsens myndighedsudøvelse og institutionernes opgaveløsning.

Personer og personoplysninger i EASY-P

Styrelsen for It og Læring behandler på vegne af de uddannelsesinstitutioner, der anvender EASY-P, personoplysninger om disse institutioners elever, skuemestre/censorer, kontaktpersoner og administrative brugere.

Styrelsen behandler almindelige personoplysninger omfattet af databeskyttelsesforordningens artikel 6.

De personoplysninger som styrelsen behandler om elever omfatter CPR-nummer, navn, adresse, alternativ adresse, uddannelsesoplysninger, praktikønsker, uddannelsesaftaler, svendeprøver, svendprøvekarakterer og sager på eleverne.

De personoplysninger som styrelsen behandler om skuemestre/censorer omfatter CPR-nummer, navn tilknytning til svendeprøver og afgivne karakterer pr. elev.

De personoplysninger som styrelsen behandler om kontaktpersoner omfatter navn, adresse og kontaktoplysninger.

De personoplysninger som styrelsen behandler om administrative brugere omfatter navn, skoletilknytning og kontaktoplysninger.

Der findes fritekstfelter, hvor der utilsigtet kan opstå følsomme personoplysninger.

Det er ikke formålet med EASY-P at, at der registreres følsomme personoplysninger.

Sletning af personoplysninger

Personoplysninger i EASY-P slettes ikke af hensyn til sikring af dokumentation for uddannelsesaftaler.

Søgninger slettes og brugerkoder passiveres, hvis de ikke har været brugt i et år.

Bilag 3

Behandling af personoplysninger i EDUP

Formål med og karakter af behandlingen

EDUP er et beskedudvekslingssystem til brug for uddannelsesinstitutioner i forbindelse med deres håndtering af den tværgående uddannelsesadministration.

EDUP muliggøre udveksling af data på tværs af uddannelsesinstitutioner – herunder også på tværs af studieadministrative systemer.

Det er frivilligt for uddannelsesinstitutionerne om de vil gøre brug af EDUP.

Databehandlingen i EDUP foretages derved udelukkende på instruks fra uddannelsesinstitutionerne (de dataansvarlige).

Førend et studieadministrativt system teknisk kan udveksle data på vegne af en uddannelsesinstitution kræves det, at begge parter har indgået en aftale om dataadgang for EDUP i tilslutning.stil.dk.

De administrative opgaver som EDUP understøtter udføres af medarbejdere på de enkelte uddannelsesinstitutioner.

Den uddannelsesinstitution, der indlæser en personoplysning i dens studieadministrative system, som herefter transmitteres til EDUP, er derfor dataansvarlig for denne personoplysning.

Styrelsen for It og Lærings persondatabehandling består i at tage imod beskeder, opbevare disse, samt sikre at disse alene kan afhentes af beskedens retmæssige modtager.

Personer og personoplysninger i EDUP

Styrelsen for It og Læring behandler på vegne af de uddannelsesinstitutioner, der har tilsluttet sig EDUP, personoplysninger om disse institutioners elever.

Styrelsen behandler almindelige personoplysninger omfattet af databeskyttelsesforordningens artikel 6.

De personoplysninger som styrelsen behandler om elever omfatter både almindelige og fortrolige personoplysninger, såsom for- og efternavn, adresse, CPR-nummer, værge, telefonnummer, mailadresse, samt elevens resultater og undervisningsforløb.

Sletning af personoplysninger

EDUP indeholder kun personoplysninger for personer, som har indgået i en dataudveksling mellem to uddannelsesinstitutioner.

Systemet kan kun tilgås ved kald fra et autoriseret studieadministrativt system og der kan kun kaldes med oplysning om hvilken institution, der kaldes på vegne af.

Autorisationer sker i Integrationsplatformen.

Bilag 4

Behandling af personoplysninger i Lærepladsen.dk

Formål med og karakteren af behandlingen

Styrelsen for It og Læring stiller som databehandler det digitale administrationssystem Lærepladsen.dk til rådighed for de uddannelsesinstitutioner, som er forpligtet til at benytte det digitale administrationssystem til brug for udførelse af deres opgaver i forbindelse med vejledning til lærepladssøgende elever i henhold til §§ 52, 108, 109, 112, 116, 117 og 118 i bekendtgørelse om erhvervsuddannelser.

De administrative opgaver, der udføres i Lærepladsen.dk i henhold til Bekendtgørelse om erhvervsuddannelser såsom registrering og målrettet formidling af lærepladser til elever, udføres af medarbejdere på den enkelte uddannelsesinstitution.

Den uddannelsesinstitution, der indlæser en personoplysning i det digitale administrationssystem Lærepladsen.dk, er derfor dataansvarlig for denne personoplysning.

Styrelsen for It og Lærings persondatabehandling består således i at stille et system til rådighed og heri opbevare persondata i Lærepladsen.dk.

Det bemærkes i øvrigt, at Praktik+ er overgået til Praktikpladsen.dk, og at Praktikpladsen.dk nu er omdøbt til Lærepladsen.dk.

Lovgrundlaget for Praktikpladsen.dk er gældende for Lærepladsen.dk.

Personer og personoplysninger i Lærepladsen.dk

Styrelsen for It og Læring behandler på vegne af uddannelsesinstitutionerne personoplysninger i Lærepladsen.dk om lærepladssøgende elever på uddannelsesinstitutioner og medarbejdere på institutioner og faglige udvalg.

Styrelsen behandler ikke følsomme personoplysninger omfattet af databeskyttelsesforordningens artikel 9.

De personoplysninger som styrelsen behandler, omfatter uddannelsesoplysninger, oplysninger om kvalifikationer og praktikønsker, adresse, navn og CPR-nummer med henblik på entydig identifikation.

Fritekstfelter udfyldes af eleven, men eleven frarådes at registrere følsomme oplysninger.

Sletning af personoplysninger

Personoplysninger som eleven selv indtaster i Lærepladsen.dk slettes automatisk af styrelsen, når profilen har være inaktiv i et år.

Eleven kan desuden selv sletteprofilen ved login.

Når eleven har slettet de indtastede personoplysninger fra sin profil, opbevarer styrelsen ikke længere personoplysningen på Lærepladsen.dk.

Stamoplysninger opbevares på Lærepladsen.dk, så længe de er tilgængelige på EASY-P.

Bilag 5

Behandling af personoplysninger i Netprøver.dk

Formål med og karakter af behandlingen

Styrelsen for It og Læring stiller som databehandler det digitale prøveafviklingssystem Netprøver.dk til rådighed for de uddannelsesinstitutioner og gymnasiale afdelinger på voksenuddannelsescentre, som er forpligtet til at benytte det digitale prøveafviklingssystem i henhold til de af ministeriet fastsatte retningslinjer, jf. § 5 i Bekendtgørelse om prøver og eksamen i de almene og studieforberedende ungdoms- og voksenuddannelser (almen eksamensbekendtgørelsen), og som er ansvarlig over for Børne- og Undervisningsministeriet for overholdelse af prøver og eksamen ved institutionen, jf. bekendtgørelsens § 4.

De administrative opgaver, der udføres i Netprøver.dk i henhold til almen eksamensbekendtgørelsen såsom adgangs- og rettighedsstyring til systemet, bedømmelser og karaktergivning, udføres af medarbejdere på den enkelte uddannelsesinstitution.

Den uddannelsesinstitution, der indlæser en personoplysning i det digitale prøveafviklingssystem Netprøver.dk, er derfor dataansvarlig for denne personoplysning.

Styrelsen for It og Lærings persondatabehandling består således i at stille et system til rådighed og heri opbevare persondata i Netprøver.dk samt overføre karakterer til de studieadministrative systemer på vegne af de dataansvarlige med det formål at understøtte de opgaver som uddannelsesinstitutionerne har i forbindelse med deres ansvar for afvikling af prøver og eksamener.

Personer og personoplysninger i Netprøver.dk

Styrelsen for It og Læring behandler på vegne af uddannelsesinstitutionerne personoplysninger i Netprøver.dk om elever, censorer og medarbejdere på uddannelsesinstitutioner.

Styrelsen behandler ikke følsomme personoplysninger omfattet af databeskyttelsesforordningens artikel 9.

Om elever indeholder Netprøver.dk data om CPR-nummer, Unilogin, navn, indhold af besvarelser ved eksamen i de gymnasiale uddannelser og karakterer.

Om censorer/bedømmere indeholder systemet oplysninger om CPR-nummer og Unilogin.

Om administrativt personale ved institutionerne indeholder systemet data om CPR-nummer, Unilogin og navn.

Sletning af personoplysninger

Rigsarkivet har besluttet, at data fra Netprøver.dk skal arkiveres hos Rigsarkivet.

Styrelsen for It og Læring har derfor igangsat et arbejde, der skal sikre at data bliver arkiveret hos Rigsarkivet.

Når data er blevet arkiveret hos Rigsarkivet, vil data ikke længere blive opbevaret i Netprøver.dk.

Det er planlagt til at ske i 2022.

Bilag 6

Behandling af personoplysninger i Optagelse.dk

Formål med og karakter af behandlingen

Styrelsen for It og Læring (STIL) stiller som databehandler den digitale optagelsesportal Optagelse.dk til rådighed for kommunerne og skoler, som er forpligtet til at benytte Optagelse.dk til brug for udførelse af deres opgaver i forbindelse med uddannelsesparathedsvurderinger og uddannelsesvejledning i henhold til §§ 7-11 og 16-17 i Bekendtgørelse om uddannelsesparathedsvurdering og procedurer ved valg af ungdomsuddannelse (procedurebekendtgørelsen) samt §§ 2 c – 2 og 14 i Lov om kommunal ungeindsats (”Bekendtgørelse af lov om kommunal indsats for unge under 25 år”).

De administrative opgaver, der udføres i Optagelse.dk i henhold til procedurebekendtgørelsen og lov om kommunal ungeindsats såsom indberetninger, parathedsvurderinger, koordinering og behandling af ansøgninger om optagelse på ungdomsuddannelser udføres af medarbejdere på skoler og hos den kommunale ungeindsats (KUI-vejledere).

Den pågældende kommune er derfor dataansvarlig for behandlingen af de personoplysninger, der finder sted som led i kommunernes vejledning i Optagelse.dk.

Styrelsen for It og Lærings persondatabehandling i denne sammenhæng består således i at stille et system, Optagelse.dk, til rådighed og heri opbevare og tilgængeliggøre ansøgninger med persondata for de studieadministrative systemer på ungdomsuddannelserne på vegne af de dataansvarlige med det formål at understøtte de opgaver som kommunernes KUI-vejledere har i forbindelse med deres uddannelsesvejledning.

Derudover stiller Styrelsen personoplysningerne fra Optagelse.dk til rådighed for regionerne i overensstemmelse med Bekendtgørelse om opgaver og ansvar for regionerne som dataansvarlige og for Styrelsen for It og Læring som databehandler i forbindelse med den centrale it-understøttede fordelingsmekanisme, Den Koordinerede Tilmelding til Gymnasiale Ungdomsuddannelser, som træder i kraft den 1. marts 2023.

Personer og personoplysninger i Optagelse.dk

Styrelsen for It og Læring behandler personoplysninger om elever i 8., 9. og 10. klasse på vegne af kommunerne (for klassetrinnene 8., 9. og 10.) og regionerne (for klassetrinnene 9. og 10.) i Optagelse.dk, hvor oplysningerne stammer fra skolernes egne administrative systemer, Elevdatabasen og evt.

fra indtastning direkte i Optagelse.dk.

Der behandles også personoplysninger om ansøgere til ungdomsuddannelserne, som ikke går i 8., 9. og 10. klasse, hvor oplysningerne stammer fra Det Centrale Personregister og gennem indtastning direkte i selvbetjeningsløsningen.

For begge grupper af ansøgere behandles endvidere beviser og karakterer fra ministeriets systemer Karakterdatabasen og Eksamensdatabasen samt eventuelle gemte UPV-oplysninger.

Ansøger kan derudover selv uploade bilag til sin ansøgning.

Der indhentes oplysninger om værger/forældre til elever i 9. og 10. klasse via Det Centrale Personregister.

Styrelsen behandler almindelige personoplysninger omfattet af databeskyttelsesforordningens artikel 6.

De personoplysninger som styrelsen behandler er CPR-nummer, navn, adresse, e-mail, telefonnummer, uddannelsesønsker, standpunkts- og prøvekarakterer og eksamensgennemsnit, eventuelle værgeoplysninger, skoletilknytning, uddannelsesparathedsvurdering samt de oplysninger og eventuelle bilag, der vedhæftes en ansøgning, som blandt andet indeholder vejlederens vurdering af ansøgerens personlige og sociale forudsætninger.

Derudover behandler Styrelsen personoplysninger i Optagelse.dk fra elevfordelingsmekanismen i overensstemmelse med bekendtgørelse om opgaver og ansvar for regionerne som dataansvarlige og for Styrelsen for It og Læring som databehandler i forbindelse med Den Koordinerede Tilmelding til Gymnasiale Ungdomsuddannelser.

Der behandles oplysninger om medarbejdere i regionerne, skolerne og på de kommunale ungeindsatscentre i forbindelse med bruger- og rettighedsstyring.

Sletning af personoplysninger

Personoplysninger i Optagelse.dk slettes tidligst to måneder efter færdigbehandling af ansøgningen og senest inden der åbnes for en ny ansøgningsrunde.

Dog gemmes CPR-nummer samt UPV-oplysninger fra eleven går i 8. klasse og indtil 2 år efter at eleven er gået ud af 9. klasse (grundet det forlængede retskrav på optagelse på en gymnasial uddannelse).

Bilag 7

Behandling af personoplysninger i Ordblindetesten

Formål med og karakter af behandlingen

Styrelsen for It og Læring stiller som databehandler det digitale testmodul Ordblindetesten til rådighed for kommuner og uddannelsesinstitutioner til brug for udførelse af deres opgaver i forbindelse med udredning af ordblindhed og tildeling af specialpædagogisk støtte i henhold til § 3 i Bekendtgørelse af lov om folkeskolen, § 29 i Bekendtgørelse af lov om erhvervsuddannelser, § 18 a i lov om institutioner for erhvervsrettet uddannelse, § 61 a i Bekendtgørelse af lov om de gymnasiale uddannelser, § 3 i Bekendtgørelse af lov om friskoler og private grundskoler m.v., § 3 a i bekendtgørelse af lov om efterskoler og frie fagskoler samt § 12 a i Bekendtgørelse af lov om specialpædagogisk støtte ved videregående uddannelser.

De administrative opgaver, der udføres som led i anvendelsen af Ordblindetesten såsom indberetninger, administration af testen og tilrettelæggelse af relevante specialpædagogiske undervisningstiltag, som opfylder elevens undervisningsmæssige behov, foretages af medarbejdere på kommunens skoler og medarbejdere på uddannelsesinstitutioner.

Opgaven med tilrettelæggelse af undervisningstiltag sker på baggrund af Ordblindetestens automatisk genererede testresultat, som medarbejderne på kommunerne og uddannelsesinstitutionerne (testvejlederne) i sidste ende vurderer selvstændigt.

Kommunerne og uddannelsesinstitutionerne er derfor hver især selvstændigt dataansvarlige for behandling af personoplysninger som led i anvendelsen af Ordblindetesten.

Styrelsen for It og Lærings persondatabehandling består således i at stille et system til rådighed og heri opbevare persondata i Ordblindetesten på vegne af de dataansvarlige med det formål at understøtte de opgaver som kommunernes og uddannelsesinstitutionerne har i forbindelse med deres forpligtelse til at udrede elevers ordblindhed og tilrettelægge et relevant undervisningstiltag.

Personer og personoplysninger i Ordblindetesten

Styrelsen for It og Læring behandler på vegne af de dataansvarlige kommuner og uddannelsesinstitutioner oplysninger om elever, studerende og kursister til at få foretaget en ordblindetest på den skole eller uddannelsesinstitutioner, hvorpå de er indskrevet.

Der registreres også navn på den testvejleder, som er ansat på den pågældende skole eller uddannelsesinstitution, hvor ordblindetesten er udført.

Styrelsen for It og Læring behandler både almindelige og følsomme personoplysninger omfattet af databeskyttelsesforordningens artikel 6 og artikel 9 til den oven for angivne formål.

De almindelige personoplysninger styrelsen opbevarer i Ordblindetesten er navn, CPR-nummer, klasse, skoletilhørsforhold og Unilogin.

Der registreres også elevens testresultat, som indeholder oplysninger om, hvorvidt den pågældende er ordblind.

De følsomme personoplysninger styrelsen opbevarer i Ordblindetesten er ordblindhed, idet der er tale om en helbredsoplysning .

Retsgrundlaget er i forbindelse med behandling af følsomme personoplysninger vil også være op til sektoren at fastsætte.

Sletning af personoplysninger

Testresultat, herunder oplysninger om ordblindhed, slettes automatisk 15 år efter, at testen er foretaget.

Bilag 8

Behandling af personoplysninger i Sprogprøver.dk

Formål med og karakteren af behandlingen

Styrelsen for It og Læring stiller som databehandler det digitale administrationssystem Sprogprøver.dk til rådighed for de uddannelsesinstitutioner og kommuner, som frivilligt kan benytte det digitale system til brug for gennemførelse af de obligatoriske sprogprøver i grundskolen.

Der er tale om børnehaveklasser på hhv.

folkeskoler og afdelinger af folkeskoler samt på frie grundskoler, hvor mere end 30 pct. af eleverne bor i et boligområde, der har været på listen over udsatte boligområder, jf. § 61 a, stk. 1, i lov om almene boliger m.v., mindst en gang inden for de seneste 3 år.

De administrative opgaver, der udføres i Sproprøver.dk i henhold til formålene fastsat i § 1 i bekendtgørelse om obligatoriske sprogprøver i grundskolen udføres af medarbejdere på den enkelte uddannelsesinstitution eller en kommunes folkeskole, der er ansvarlige for de obligatoriske sprogprøver.

Den uddannelsesinstitution, der indlæser en personoplysning i det digitale administrationssystem Sprogprøver.dk, er derfor dataansvarlig for denne personoplysning.

Styrelsen for It og Lærings persondatabehandling består i at stille et system til rådighed og heri opbevare persondata i Sprogprøver.dk samt overføre data der indberettes via systemet til styrelsens statistikberedskab i henhold til § 19 i bekendtgørelse om obligatoriske sprogprøver i grundskolen.

Personer og personoplysninger i Sprogprøver.dk

Styrelsen for It og Læring behandler på vegne af uddannelsesinstitutionerne og kommunerne personoplysninger i Sprogprøver.dk om børnehaveklasseelever, børnehaveklasseledere, skoleledere og andre ressourcepersoner tilknyttet børnehaveklassen på skoler, der er omfattet af § 61 a, stk. 1, i lov om almene boliger m.v. samt undervisere, der er ansvarlige for de obligatoriske sprogprøver og evt.

skoleansatte administratorer.

Styrelsen behandler alene almindelige personoplysninger.

Det er oplysninger om navn, cpr.nr., unilogin, klasse og skole.

For børnehaveklasseeleverne registreres prøveresultater og delprøveresultater samt om sprogprøven samlet er bestået.

Sletning af personoplysninger

Alle oplysninger om elevernes sprogprøver og elevernes personoplysninger slettes fra systemet Sprogprøver.dk to måneder efter indberetning til Styrelsen for It og Læring.

Indberetningen til Styrelsen for It og Læring sker senest den 5. september årligt.

Bilag 9

Behandling af personoplysninger i Sprogvurdering.dk

Formål og karakteren af behandlingen

Værktøj som kommuner og andre kan anvende til at løfte opgave med obligatorisk sprogvurdering i alderen 2-6 år (frivillig anvendelse).

Den obligatoriske vurdering skal foretages minimum én gang.

Systemet vil kunne anvendes af flere omgange, hvis det ønskes.

Det afhænger af, hvad kommunen har besluttet.

Børnene testes i forskellige områder og vurderingen danner grundlag for om der vil blive tale om en fokuseret indsats eller særlig indsats, hvis barnets sproglige udvikling ikke er alderssvarende.

Styrelsen for it og læring behandler data for kommuner herunder institutioner og dagtilbud, som har valgt at anvende Sprogvurdering.dk som redskab.

Dagtilbuddene omfatter både offentlige og private dagilbud, som hører ind under den enkelte institutionskommune.

Frem til begyndelsen af skoleåret 2024/25

Kommunerne og institutioners retsgrundlag i forbindelse med behandling af sprogvurderingsdata er hjemlet i databeskyttelsesforordningens artikel 6, stk. 1, litra c om en retlig forpligtelse for så vidt angår på dagtilbudsområdet og i børnehaveklassen, idet det er frivilligt at anvende sprogvurderingsværktøjet i både dagtilbuddet og børnehaveklassen.

Børnehaveklassen

Bekendtgørelse om undervisning i børnehaveklassen i medfør af § 40, stk. 4, i lov om folkeskolen, jf. lovbekendtgørelse nr. 1049 af 28. august 2007, som ændret ved lov nr. 369 af 26. maj 2008, fastsættes

§ 3.

I starten af børnehaveklassen foretages som led i undervisningen en sproglig vurdering af børnene, således at undervisningen fra starten kan tage udgangspunkt i det enkelte barns sproglige kompetencer og forudsætninger og princippet om undervisningsdifferentiering.

Dagtilbudsområdet

Ifølge dagtilbudsloven § 7 skal dagtilbud fremme børns trivsel, læring, udvikling og dannelse gennem trygge og pædagogiske læringsmiljøer.

Det pædagogiske læringsmiljø skal blandt andet understøtte, at alle børn udvikler sprog, der bidrager til, at børnene kan forstå sig selv, hinanden og deres omverden.

Det fremgår af dagtilbudslovens § 11, stk. 1, at kommunalbestyrelsen har ansvaret for, at der gennemføres en sprogvurdering af børn i alderen omkring 3 år, der er optaget i et dagtilbud, hvis der er sproglige, adfærdsmæssige eller andre forhold, der giver formodning om, at barnet kan have behov for sprogstimulering.

Det følger endvidere af § 11, stk. 2, at kommunen skal sprogvurdere alle børn i alderen omkring 3 år, der ikke er optaget i et dagtilbud.

Fra og med skoleåret 2024/25

Kommunerne og institutioners retsgrundlag i forbindelse med behandling af sprogvurderingsdata er hjemlet i databeskyttelsesforordningens artikel 6, stk. 1, litra e om myndighedsudøvelsen fra 0-9. klasse, idet det bliver obligatorisk at anvende sprogvurderingsværktøjet på hele grundskoleområdet.

Det er dog fortsat frivilligt at anvende sprogvurderingsværktøjet på dagtilbudsområdet, hvorfor retsgrundlaget fortsat er møntet på artikel 6, stk. 1, litra c i forhold det enkelte dagtilbud.

Personer og personoplysninger i Sprogvurdering.dk

Kategorier af registrerede og kategorier af personoplysninger, der behandles i systemet.

Børnene

Medarbejdere (Kommunale konsulenter, pædagoger, institutionsledere)

Sletning af personoplysninger

Dataopbevaringen på Sprogvurdering udvides fra til og med 1. klasse til hele elevens grundskoletid.

Der er behov for at kunne tilgå elevens sprogvurderingsresultater i hele den tid, hvor eleven går i grundskolen.

Dette skyldes, at nogle vanskeligheder først viser sig sent i skoleforløbet, når det faglige indhold bliver mere komplekst, blandt nogle elever.

Det skal i den forbindelse være muligt, både for den enkelte lærer, ressourcepersoner, ledelse og i visse tilfælde klagenævnet for specialundervisning, at kunne gå tilbage og se, hvilke data/udredninger der er om elevens sproglige vanskeligheder, og hvad der tidligere er gjort i denne sammenhæng.

Begrundelse for denne opbevaring sker som udgangspunkt med hjemmel i databeskyttelsesforordningens artikel 5, stk. 1, litra e.

Undtagelsen er, at den dataansvarlige kommune eller skole anmoder STIL om sletning.

Efter lovpligtig aflevering af data i Rigsarkivet slettes barnets data.

Bilag 10

Behandling af personoplysninger i Testafvikleren.dk

Formål og karakteren af behandlingen

Testafvikleren er en generisk afvikler af simple test, herunder multiple choice-test.

En vejleder har mulighed for at logge ind via NemLog-in og oprette brugerkoder, som udleveres til testtagere.

Brugerkoden giver testtageren adgang til at foretage en test.

Når en test er afsluttet, kan resultatet tilgås af vejleder i to år jf. BEK nr. 439 af 15/04/2020 § 11.

Testafvikleren understøtter vejledende matematiktest til hhv.

FGU og FVU.

Disse benyttes til at screene kursister forud for et forløb på FGU eller FVU.

Det er den dataansvarliges ansvar, at der sikres en databeskyttelsesretlig hjemmel til behandlingen af personoplysninger i testafvikleren.

Hjemmel i medfør af national ret fremgår nedenfor

Vejledende test til FGU: Kravet om deltagelse i en obligatorisk test følger ”Bekendtgørelse af lov om forberedende grunduddannelse” (LBK nr. 606 af 24/05/2019) § 35 stk. 1, hvoraf det fremgår, at der foretages en vurdering af kursistens matematikfaglige niveau før uddannelsesstart.

På baggrund af testresultatet træffes afgørelse om, om der skal henvises til FGU’s introducerende niveau i matematik.

Vejledende test til FVU: Kravet om deltagelse i den vejledende test til FVU følger ”Bekendtgørelse om undervisning m.v. inden for forberedende voksenundervisning” (BEK nr. 439 af 15/04/2020) § 10 og 11, hvoraf det fremgår, at der foretages en vurdering af kursistens matematikfaglige niveau før uddannelsesstart.

På baggrund af testresultatet træffes afgørelse om, hvilket fagligt niveau kursisten skal placeres på i matematik.

Personer og personoplysninger i Testafvikleren.dk

På vegne af de dataansvarlige kommuner og uddannelsesinstitutioner behandles oplysninger om FGU-kursister og FVU-kursister.

De oplysninger som opbevares i testen er: navn, fødselsdato, e-mailadresse og tilhørsforhold til vejleder og derigennem til institutionen, som testen er foretaget i forbindelse med.

Der registreres også kursistens testresultat og besvarelser.

Systemet har fritekstfelter, som kan indeholde almindelige personoplysninger.

I fritekstfelterne registreres navn, fødselsdag og e-mailadresse.

Der er ikke fritekstfelter, hvor der kan opstå følsomme personoplysninger.

Sletning af personoplysninger

Alle data knyttet til en testtagning, herunder testbesvarelse samt testtagers navn og fødselsdag, opbevares i systemet i to år.

Herefter slettes de automatisk.

-

§ 31 i lov om institutioner for erhvervsrettet uddannelse for så vidt angår behandling af personoplysninger i EASY-A og EASY-F.

-

§ 52, 108, 109, 112, 116, 117 og 118 i bekendtgørelse om erhvervsuddannelser for så vidt angår behandling af personoplysninger i Lærepladsen.dk og EASY-P.

-

§§ 4 og 5 i bekendtgørelse om prøver og eksamen i de almene og studieforberedende ungdoms- og voksenuddannelser for så vidt angår behandling af personoplysninger i Netprøver.dk.

-

§§ 2 c – 2 h og 14 i lov om kommunal indsats for unge under 25 år samt §§ 7-11 og 16-17 i Bekendtgørelse om uddannelsesparathedsvurdering og procedurer ved valg af ungdomsuddannelse for så vidt angår behandling af personoplysninger i Optagelse.dk.

-

§ 11 c, stk. 4, i lov om institutioner for almengymnasiale uddannelser og almen voksenuddannelse m.v., jf. lovbekendtgørelse nr. 1182 af 17. august 2022.

-

§ 3 i lov om folkeskolen, § 29 i lov om erhvervsuddannelser, § 18 a i lov om institutioner for erhvervsrettet uddannelse, § 61 a i lov om de gymnasiale uddannelser, § 3 i lov om friskoler og private grundskoler m.v., § 3 a i lov om efterskoler og frie fagskoler samt § 12 a i lov om specialpædagogisk støtte ved videregående uddannelser for så vidt angår behandling af personoplysninger i Ordblindetesten.

-

§ 54 i lov om erhvervsuddannelser for så vidt angår behandling af personoplysninger i Lærepladsen.dk.

-

§ 19 i bekendtgørelse om obligatoriske sprogprøver i grundskolen for så vidt angår Sprogprøver.dk.

-

§ 35 i bekendtgørelse om lov om forberedende grunduddannelse og § 9 i bekendtgørelse af lov om forberedende voksenundervisning og ordblindeundervisning for voksne for så vidt angår Testafvikleren.dk.

-

EASY-A

-

EASY-F

-

EASY-P

-

EDUP (ElevDataUdvekslingsPunkt)

-

Lærepladsen.dk

-

Netprøver.dk

-

Optagelse.dk

-

Ordblindetesten

-

Sprogprøver.dk

-

Sprogvurdering.dk

-

Testafvikleren.dk

1.

Genstanden for og varigheden af behandlingen

2.

Behandlingens karakter og formål

3.

Typen af personoplysninger og kategorierne af registrerede

4.

Den dataansvarliges forpligtelser og rettigheder

-

Oplysningspligten ved indsamling af personoplysninger hos den registrerede, jf. artikel 13

-

Oplysningspligten, hvis personoplysninger ikke er indsamlet hos den registrerede, jf. artikel 14

-

Den registreredes indsigtsret, jf. artikel 15

-

Retten til berigtigelse, jf. artikel 1.

-

Retten til sletning (»retten til at blive glemt«), jf. artikel 17

-

Retten til begrænsning af behandling, jf. artikel 18

-

Underretningspligt i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling, jf. artikel 18

-

Retten til indsigelse, jf. artikel 21

a)

Forpligtelsen til at gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til de risici, der er forbundet med behandlingen, jf. nærmere herom i punkt 7.

b)

Forpligtelsen til at anmelde brud på persondatasikkerheden til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer, efter at den enkelte dataansvarlige er blevet bekendt med bruddet, medmindre at det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder, jf. nærmere herom i punkt 8.

c)

Forpligtelsen til – uden unødig forsinkelse – at underrette den/de registrerede om brud på persondatasikkerheden, når et sådant brud sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, jf. nærmere herom i punkt 8.

d)

Forpligtelsen til at gennemføre en konsekvensanalyse vedrørende databeskyttelse, hvis en type behandling sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, og forpligtelsen til at høre Datatilsynet inden behandling, hvis en konsekvensanalyse vedrørende databeskyttelse viser, at behandlingen vil føre til høj risiko i mangel af foranstaltninger truffet af den enkelte dataansvarlige for at begrænse risikoen, jf. nærmere herom punkt 9.

a)

Pseudonymisering og kryptering af personoplysninger.

b)

Evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og tjenester

c)

Evne til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af fysisk eller teknisk hændelse

d)

En procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed.

a)

Interne retningslinjer i for informationssikkerhed i Styrelsen for It og Læring, herunder retningslinjer for organisatoriske forhold, logisk og fysisk sikring, administration af adgangskontrol og autorisationsordninger samt kontrol af autorisationer jf. punkt 5.1.

b)

Instruktion af de i punkt 5.1. autoriserede medarbejdere i reglerne om interne arbejdsgange og sikkerhedsforanstaltninger, herunder sikkerhedsforanstaltninger ved evt.

anvendelse af hjemmearbejdsplads og mobilt udstyr.

c)

Anvendelse af ITIL-funderede processer til at understøtte stabil og sikker drift.

d)

Etablering af et informationssikkerhedsledelsessystem baseret på ISO27001-standarden, herunder en it-sikkerhedspolitik, områdepolitikker, passende kontroller samt relevante retningslinjer og procedurer i forhold til informationssikkerheden.

-

Alene at anvende underdatadatabehandlere, der kan stille de fornødne garantier for, at de gennemfører de passende tekniske og organisatoriske sikkerhedsforanstaltninger på en sådan måde, at behandling opfylder kravene i databeskyttelsesforordningen og sikrer beskyttelse af den registreredes rettigheder,

-

At sikre, at der foreligger en gyldig underdatabehandleraftale mellem Styrelsen for It og Læring og en eventuel underdatabehandler.

-

Systemet behandler ikke følsomme persondata

-

Almindelige data: Navn, om man er tosproget eller ej, tilknytning til institution, kommune

-

Almindelige fortrolige data: CPR-nummer

-

Barnets besvarelser af testens spørgsmål

-

Resultatet af testen vil ikke være diagnosticerende, men vil ligge til grund for et videre forløb for det enkelte barn.

-

Data i systemet omfatter materialer (vejledninger til testning), registreringsskemaer der bruges til udførelse af testen og opsummering af sprogvurdering.

Derudover data om antal sprogvurderinger barnet har gennemgået.

-

-

Det noteres hvem der har lavet sprogvurdering.

Dette kobles op på medarbejderens Unilogin/NemID, og der står hvor vedkommende arbejder.