Gå til oversigt for vejledninger

Vejledning om fortegnelse

Hvad er en fortegnelse?

Hvorfor er en fortegnelse vigtig?

Fortegnelseskravet er i vidt omfang et udtryk for dokumentation. Det er tænkt som en ”intern” forpligtelse, og skolen skal kun sende fortegnelser på Datatilsynets anmodning.

Fortegnelseskravet erstatter anmeldelsesordningen og bygger på en ansvarlighedstanke i to dele:

1. Den dataansvarlige har ansvaret for, at reglerne i forordningen overholdes
2. Den dataansvarlige skal kunne påvise, at behandling af personoplysninger lever op til forordningens regler

Hvem skal føre fortegnelser?

Den dataansvarlige og databehandleren og, hvis det er relevant repræsentanter for disse, skal vedligeholde fortegnelser

Der stilles forskellige indholdsmæssige krav til de forskellige parter. Læs mere i Justitsministeriets og Datatilsynets ”Vejledning om dataansvarlige og databehandlere” 2017.

Ofte er der en kæde af databehandlere, der også bruger persondata. SkoleIT er et eksempel. Vær opmærksom på at få en opdateret databehandleraftale med jeres eksterne databehandlere. Vi udsender en ny databehandleraftale fra SkoleIT i marts.

Vi går i dybden med dette punkt i forbindelse med et kommende nyhedsbrev.

Hvad dækker personoplysninger over?

Krav til fortegnelse for dataansvarlige (skolen)

Ifølge “Vejledning om fortegnelse”, 2018 fra Datatilsynet og Justitsministeriet skal en fortegnelse som minimum indeholde følgende oplysninger:

Navn og kontaktoplysninger

Anfør den dataansvarlige, og når det er relevant den fælles dataansvarlige, den dataansvarliges repræsentant og databeskyttelsesrådgiveren.

Formål

Beskrivelse, overvejelse og vurdering af samtlige formål med behandlingsaktiviteter.

Det er muligt at samle flere behandlingsaktiviteter i grupperinger, hvis de kan formuleres under ét samlet, logisk og sammenhængende formål. Det kan være ”delformål”, som har en indbyrdes sammenhæng, fordi der er tale om den samme opgave eller det samme lovgrundlag f.eks. en fortegnelse for elever.

Kategorier af registrerede og personoplysninger

En beskrivelse af kategorier af registrerede og kategorier af personoplysninger.

Det skal som minimum anføres, om den dataansvarlige behandler almindelige person- oplysninger, særlige kategorier af personoplysninger eller oplysninger om strafbare forhold (hhv. artikel 6, 9 eller 10 ). Behandlingen af særlige kategorier af personoplysninger (artikel 9) forudsætter en specifik beskrivelse. Datatilssynet lister følgende eksempler på side 7:

• Race eller etnisk oprindelse  
• Politisk, religiøs eller filosofisk overbevisning  
• Fagforeningsmæssigt tilhørsforhold  
• Genetiske data  
• Biometriske data med henblik på entydigt at identificere en fysisk person  
• Helbredsoplysninger  
• Seksuelle forhold eller seksuel orientering

Kategorier af modtagere ved videregivelse

Fortegnelsen skal indeholde oplysninger om kategorien af modtagere, når du videregiver eller vil videregive personoplysninger. Det skal også fremgå af fortegnelsen, hvis der videregives oplysninger til en international organisation eller en modtager, der befinder sig i et tredjeland. Der skal kun anføres regelmæssige overførsler.

Eksempler på kategorier af modtagere:

• • SKAT og andre offentlige myndigheder
  • PBS vedrørende betalingsformidling
  • Pensionskasser
  • Andre elever
  • Forældre

Overførsler til tredjelande og internationale organisationer

Overførsler af personoplysninger til et tredjeland eller en international organisation skal fremgå af fortegnelsen, hvor det er relevant.

Slettefrister

Det skal løbende vurderes, om formålet med behandlingen er opfyldt, og oplysningerne skal slettes. Hvis det er muligt, skal fortegnelsen indeholde forventede slettefrister for de forskellige kategorier af oplysninger.

Ifølge Datatilsynets nuværende praksis har den dataansvarlige ikke pligt til løbende at gennemgå sager, dokumenter m.m. for at sikre, at der ikke opbevares oplysninger længere end nødvendigt. Det forudsætter, at skolen laver procedurer, der sikrer at slettefrister overholdes.

Tekniske og organisatoriske foranstaltninger

Fortegnelsen bør indeholde en generel beskrivelse af tekniske og organisatoriske sikkerhedsforanstaltninger, hvis det er muligt. Skolen kan hermed bevise, at den overholder forordningens krav.

Eksempler på fortegnelser

Se gratis værktøj som inspiration til fortegnelser over behandlingsaktiviteter.

Kilder

Datatilsynet og Justitsministeriet: “Vejledning om fortegnelse”, 2018

Datatilsynet og Justitsministeriet: ”Vejledning om dataansvarlige og databehandlere”, 2017