Orientering om dataansvar i forholdet mellem Friplads- og Vikarkassen for private gymnasier og tilskudssøgende gymnasier
Fra d. 25. maj 2018 er EU’s databeskyttelsesforordning trådt i kraft. Det betyder bl.a., at det er nødvendigt at vurdere, hvorvidt der skal indgås databehandleraftaler med virksomheder som skolen udveksler persondata med, eller om der ved udvekslingen af persondata sker en videregivelse, som gør den modtagne virksomhed til dataansvarlig. Denne vurdering skal også finde sted i relation til dataudveksling med foreningen Danmarks Private Skoler.
I forbindelse med ansøgningen om og udbetalingen af tilskud til vikardækning og fripladstilskud, bliver der udvekslet en del data, herunder persondata.
Friplads- og Vikarkassen beslutter selv hvordan, med hvilke midler og med hvilken hjemmel, der arbejdes i forbindelse med behandlingen af ansøgningerne. Det er derfor Danmarks Private Skolers vurdering, at Friplads- og Vikarkassen bliver dataansvarlig for de persondata, der videregives til brug for behandlingen af ansøgningerne. Det betyder, at der ikke skal indgås databehandleraftale mellem skolen og Friplads- og Vikarkassen/Danmarks Private Skoler – grundskoler og gymnasier.
Den data, der videregives til Danmarks Private Skoler behandles og opbevares i henhold til persondataforordning og videregives ikke til eksterne dataansvarlige uden skolens samtykke.
Hvornår er der ikke behov for en databehandleraftale?
Der skal altså ikke indgås databehandleraftale mellem skolen og Friplads- og Vikarkassen/Danmarks Private Skoler. Der skal nemlig ikke laves databehandleraftaler i de tilfælde, hvor skolen ikke har mulighed for at give en instruks om grænsesætningen (det specifikke formål) for brugen af den persondata, den videregiver, eller om hvordan og med hvilke midler persondata behandles. Der vil være tale om videregivelse af data til en anden dataansvarlig.
Hvornår er der generelt behov for en databehandleraftale?
Hvis der er tale om en udveksling af persondata, hvor skolen har mulighed for at give en instruks om grænsesætningen for brugen af persondata, altså hvilket specifikt formål, samt hvordan og med hvilke midler persondata må behandles, vil det som udgangspunkt være nødvendigt med en databehandleraftale. Et kendetegn ved den situation er også, at skolen har mulighed for at tilbagekalde/få slettet personoplysningerne igen.
Et godt eksempel på dette er videregivelse af persondata til lønsystemer. Her videregiver skolen persondata med en klar instruks om grænsesætningen (det specifikke formål); at kunne udbetale løn. Persondata bruges ikke til andet. Der vil kræves en databehandleraftale.
Sker der ingen udveksling af persondata, men alene anden data, vil der ikke være behov for en databehandleraftale.
Det er fortsat skolens ansvar, at skolens behandling, og dermed videregivelse af, personoplysninger er lovlig.
Læs mere om personoplysninger, databehandler/dataansvarlig, hjemmel og persondata generelt, klik her.
Læs Danmarks Private Skoler – grundskoler og gymnasiers politik for behandling af data, klik her.
