PERSONDATAPOLITIK ÅRHUS STATSGYMNASIUM (ÅSG)

Baggrund for persondatapolitikken

ÅSG’s persondatapolitik er udarbejdet i overensstemmelse med kravene i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (betegnet ”forordningen” i det følgende).

Persondatapolitikken gælder for alle ansatte på ÅSG, der behandler personoplysninger, samt for samarbejdspartnere (databehandlere), der udfører arbejde på vegne af ÅSG.

Formål

Formålet med persondatapolitikken er at fastlægge rammerne for behandling af personoplysninger på ÅSG.

Definitioner

Personoplysninger er enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede); ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet.

Den registrerede er den fysiske person, som personoplysningerne vedrører, fx elever, medarbejdere, samarbejdspartnere og andre.

Behandling af personoplysninger skal fortolkes bredt. Begrebet ”behandling” dækker over enhver aktivitet eller en række af aktiviteter, som personoplysninger gøres til genstand for. Det kan fx være indsamling, registrering, organisering, systematisering, opbevaring, ændring, søgning, formidling og sletning.

Dataansvarlig er den person eller myndighed/organisation, der alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger.

Databehandler er den, der behandler personoplysninger på den dataansvarliges vegne – dvs. arbejder under instruks af den dataansvarlige. Databehandler er i henhold til forordningen forpligtet til at føre fortegnelse over behandlingskategorier, der føres på vegne af den dataansvarlige.  

Risiko for den registrerede er risikoen for, at den registrerede bliver udsat for en fysisk, materiel eller immateriel skade, herunder tab af kontrol over sine personoplysninger, begrænsning af sine rettigheder, forskelsbehandling, identitetstyveri, finansielle tab og sociale konsekvenser, så som skade på omdømme.

Databeskyttelsesrådgiveren (DPO) er en uafhængig person med ekspertise i databeskyttelsesret og –praksis, der skal inddrages i alle spørgsmål om databeskyttelse og rådgive om de databeskyttelsesretlige regler hos ÅSG. Databeskyttelsesrådgiverens funktion er at overvåge, at ÅSG overholder reglerne i forordningen. Databeskyttelsesrådgiveren er en integreret del af ÅSG og kan efter omstændighederne have andre arbejdsopgaver.

Brud på persondatasikkerheden dækker over alle tilfælde, der fører til hændelig eller ulovlig tilintetgørelse, tab, eller ændring af personoplysninger såvel som uautoriseret videregivelse af eller adgang til personoplysninger.

Tekniske og organisatoriske sikkerhedsforanstaltninger skal vurderes ved en risikovurdering af behandlingen af personoplysninger. Tekniske sikkerhedsforanstaltninger er blandt andet antivirusprogrammer og firewalls, som sikrer, at uvedkommende ikke kan få adgang til it-systemer med personoplysninger. Organisatoriske sikkerhedsforanstaltninger består blandt andet i, at vores medarbejdere er instrueret i og uddannet til at håndtere behandlingen af personoplysningerne korrekt og sikkert.

Ansvarsfordeling

Ledelse og medarbejdere på ÅSG er forpligtede til at overholde forordningens krav og regler.

Øverste ledelse (bestyrelsen)

Det er den øverste ledelse, der har det endelige ansvar for, at ÅSG behandler personoplysninger i overensstemmelse med gældende lovgivning. Bestyrelsens rolle er at foretage dokumenterede ledelsesmæssige beslutninger i relation til beskyttelsen af personoplysninger på ÅSG.

Den ledelsesmæssige forankring er reguleret i databeskyttelsesforordningens artikel 5, stk. 2.

Daglig ledelse (Rektor)

Rektor er ansvarlig for, at formålene med behandling af personoplysninger er i overensstemmelse med gældende lovgivning, samt at retningslinjerne til understøttelse af politikken, er kommunikeret klart og tydeligt til medarbejderne.

Databeskyttelsesrådgiver (DPO)

DPO’ens rolle er at overvåge, at ÅSG overholder gældende regler for beskyttelse af personoplysninger, herunder at stå til rådighed for hele skolen i forhold til rådgivning på området. DPO’en er endvidere ÅSG’s  kontaktperson udadtil – både i forhold til de registrerede og i forhold til Datatilsynet eller andre parter. DPO’en rapporterer til det øverste ledelsesniveau.

Medarbejdere

Medarbejdere, der behandler personoplysninger, er ansvarlige for at gøre sig bekendt med formålene med behandlingen og de retningslinjer, der er relevante for udførelsen af deres arbejde.

Ansvarlighed

Når ÅSG behandler personoplysninger, udviser vi altid ansvarlighed. Det gøres bl.a. ved at dokumentere de beslutninger, vi træffer, de organisatoriske og tekniske foranstaltninger vi udfører, samt de retningslinjer og kontroller, vi implementerer i forbindelse med behandlingen af personoplysninger.

Medarbejdere og ledelse er ansvarlige for at gøre sig bekendte med ÅSG’s retningslinjer om behandling af personoplysninger, der er relevante for udførslen af arbejdet.

Lovlighed, rimelighed og gennemsigtighed

Formålet er at sætte rammerne, således at ÅSG behandler personoplysninger forsvarligt og i overensstemmelse med gældende lovgivning, jf. databeskyttelsesforordningens artikel 5.

ÅSG behandler personoplysninger i overensstemmelse med god databehandlingsskik.

Det indebærer bl.a. at ÅSG kun behandler personoplysninger til lovlige, rimelige og legitime formål, som kan dokumenteres.

ÅSG indsamler, opbevarer og behandler kun personoplysninger, der er nødvendige i relation til det angivne formål. Det betyder, at vi aktivt begrænser indsamlingen og behandlingen til det nødvendige. 

ÅSG begrænser behandlingen af personoplysninger, så behandlingen ikke er uforenelig med det oprindelig formål. Endvidere sikrer vi, at personoplysningerne ikke opbevares i et længere tidsrum end det, der er nødvendigt for at opfylde formålet med behandlingen.

Når personoplysningerne ikke længere er nødvendige for det angivne formål, sikrer vi, at de enten slettes eller at der træffes andre tekniske og organisatoriske foranstaltninger, eksempelvis anonymisering, således at den registrerede ikke længere kan identificeres ud fra oplysningerne.

Såfremt ÅSG bliver gjort opmærksomme på at de omfattede personoplysninger er urigtige eller mangelfulde i forhold til det angivne formål, ajourfører vi oplysningerne.

Kravene for god databehandlingsskik er uddybet i ”Retningslinje om god databehandlingsskik”.

Hjemmelsgrundlag

Formålet er at sikre, at ÅSG behandler personoplysninger på baggrund af et fyldigt hjemmelsgrundlag, jf. databeskyttelsesforordningens kapitel 2 samt databeskyttelseslovens kapitel 3.

ÅSG behandler kun personoplysninger, når vi har et lovligt grundlag.

Behandling af almindelige personoplysninger sker i overensstemmelse med databeskyttelsesforordningens artikel 6.

Behandling af følsomme personoplysninger sker i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 9.

Kravene til behandlingsgrundlag er uddybet i ”Retningslinje om behandlingsgrundlag”.

Overførsel til 3. lande

Formålet er at sikre, at ÅSG ikke overfører personoplysninger til lande uden for EU/EØS, uden der foreligger et lovligt overførselsgrundlag, jf. databeskyttelsesforordningens kapitel 5.

ÅSG overfører kun personoplysninger til lande uden for EU/EØS i de tilfælde, hvor vi har et lovligt overførselsgrundlag.

Ansatte på ÅSG kan til enhver tid søge rådgivning om overførselsgrundlag hos skolens databeskyttelsesrådgiver.

Kravene til overførsel af personoplysninger til tredjelande er uddybet i ”Retningslinje om overførsel til 3. lande”.