Bekendtgørelse om opgaver og ansvar for behandlingen af personoplysninger i det fælles datagrundlag for unges uddannelse og beskæftigelse

Stk. 2 Kommunalbestyrelsen er dataansvarlig for behandlingen af de personoplysninger i det fælles datagrundlag, som er indlæst af kommunen vedrørende de personer, der registreres som led i kommunens ungeindsats, jf. § 1.

Stk. 3 Styrelsen for It og Læring og kommunalbestyrelsen er som henholdsvis databehandler og dataansvarlig hver især underlagt de opgaver og ansvar, der følger af databeskyttelsesforordningens generelle regler med de præciseringer, der følger af bekendtgørelsen.

Stk. 4 Bekendtgørelsen er det retligt bindende dokument i medfør af databeskyttelsesforordningens artikel 28, stk. 3, som regulerer Styrelsen for It og Lærings behandling af personoplysninger i det fælles datagrundlag for unges uddannelse og beskæftigelse på vegne af den dataansvarlige kommunalbestyrelse til den dataansvarliges formål.

Stk. 2 Styrelsen for It og Læring behandler i det fælles datagrundlag oplysninger på individniveau om unge op til 25 år, der er nødvendige for tilrettelæggelsen af den kommunale ungeindsats efter den uddannelses- og arbejdsmarkedsrettede lovgivning. Oplysninger om den unges uddannelsesstatus, uddannelsespålæg, højst afsluttede uddannelse og planer samt mål for indsatser, uddannelse og job kan dog indgå i det fælles datagrundlag for unge op til 30 år, når det er nødvendigt for en fortsat arbejdsmarkedsrettet indsats.

Stk. 3 Styrelsen for It og Læring behandler personoplysninger om uddannelsesparathedsvurdering af unge efter 9. og 10. klasse, optagelse på en uddannelse, resultatet af optagelsesprøver til gymnasiale uddannelser og erhvervsuddannelser, afbrud og afbrudsårsagskoder, gennemførelse af uddannelse, risiko for frafald, jobcenterinitierede aktiviteter, uddannelsespålæg, job- og uddannelsesønsker, kontaktoplysninger (navn, telefonnummer og e-mail-adresse) på tildelt kontaktperson, oplysninger om beskæftigelse ud fra indkomstoplysninger (deltid, fuldtid og offentlig forsørgelse) samt oplysninger om unges CPR-nummer med henblik på en entydig identifikation. Styrelsen for It og Læring behandler i den sammenhæng alene almindelige personoplysninger omfattet af databeskyttelsesforordningens artikel 6 og databeskyttelseslovens § 11. Styrelsen behandler ikke følsomme personoplysninger omfattet af databeskyttelsesforordningens artikel 9.

Stk. 4 Styrelsen for It og Lærings behandling af personoplysninger i det fælles datagrundlag for unges uddannelse og beskæftigelse er ikke tidsbegrænset og varer indtil bekendtgørelsen ophæves.

Stk. 5 Styrelsen for It og Læring underretter den dataansvarlige kommunalbestyrelse, hvis en instruks fra kommunalbestyrelsen efter styrelsens mening er i strid med databeskyttelsesforordningen, databeskyttelsesloven eller andre bestemmelser om databeskyttelse i EU-retten eller national ret.

Stk. 2 Oplysninger om den registreredes optagelsesprøver slettes 2 år efter seneste indlæsning eller når den unge fylder 25 år.

Stk. 3 Oplysninger om den registreredes uddannelsesparathedsvurdering slettes 2 år efter seneste indlæsning.

Stk. 2 Fastsættelsen af de i stk. 1 omhandlede foranstaltninger sker under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder.

Stk. 3 Styrelsen for It og Læring sørger som minimum for at iværksætte følgende sikkerhedsforanstaltninger:

• 1) Styrelsen fastsætter interne retningslinjer for informationssikkerhed, herunder retningslinjer for organisatoriske forhold, logisk og fysisk sikring, herunder administration af adgangskontrolanordninger og autorisationsanordninger samt kontrol af autorisationer jf. § 5.

• 2) Styrelsen instruerer de efter § 5 autoriserede medarbejdere i reglerne om interne arbejdsgange og sikkerhedsforanstaltninger, herunder sikkerhedsforanstaltninger ved evt. anvendelse af hjemmearbejdsplads og mobilt udstyr.

• 3) Styrelsen anvender et almindeligt anerkendt standardrammeværktøj, såsom ITIL, til at understøtte stabil og sikker drift.

• 4) Styrelsen etablerer et informationssikkerhedsledelsessystem baseret på ISO27001-standarden, herunder en it-sikkerhedspolitik, områdepolitikker, passende kontroller samt relevante retningslinjer og procedurer i forhold til informationssikkerheden.

Stk. 4 Den dataansvarlige kommunalbestyrelse er ansvarlig for at gennemføre egne relevante organisatoriske og tekniske sikkerhedsforanstaltninger, som knytter sig til den dataansvarliges anvendelse af systemet.

Stk. 2 Hvis den dataansvarlige efter stk. 1 er ansvarlig for at foretage anmeldelse til Datatilsynet, men den dataansvarlige ikke selv har opdaget bruddet på persondatasikkerheden, underretter Styrelsen for It og Læring den dataansvarlige om sikkerhedsbruddet uden unødig forsinkelse og senest 48 timer efter, at hændelsen er kommet til styrelsens kendskab, sådan at den dataansvarlige har mulighed for at efterleve sin eventuelle forpligtelse til at anmelde bruddet til Datatilsynet indenfor 72 timer.

Stk. 3 Hvis den dataansvarlige efter stk. 1 er ansvarlig for at foretage anmeldelse af brud på persondatasikkerheden til Datatilsynet, bistår Styrelsen for It og Læring under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for styrelsen, den dataansvarlige med at foretage anmeldelsen af bruddet uden unødig forsinkelse og om muligt senest inden for 72 timer. Styrelsen yder vejledning og bistand i forbindelse med tilvejebringelse af de oplysninger, som efter databeskyttelsesforordningens artikel 33, stk. 3, skal fremgå af den dataansvarliges anmeldelse til Datatilsynet. Styrelsen yder vejledning og bistand i forbindelse med tilvejebringelse af de oplysninger, som efter databeskyttelsesforordningens artikel 34, stk. 2, skal fremgå af den dataansvarliges underretning til den registrerede i de tilfælde, hvor den dataansvarlige har underretningspligt til Datatilsynet ved et sikkerhedsbrud.

Stk. 4 Styrelsen for It og Læring kan anmelde brud på persondatasikkerheden til Datatilsynet senest 72 timer efter hændelsen er kommet til styrelsens kendskab i overensstemmelse med databeskyttelsesforordningens artikel 33, stk. 1, hvis bruddet på persondatasikkerheden ikke skyldes den dataansvarliges egen anvendelse af systemet. Styrelsen underretter den dataansvarlige om anmeldelse til Datatilsynet senest samtidig med anmeldelsen til Datatilsynet.

Stk. 2 Styrelsen for It og Læring iagttager på vegne af den dataansvarlige kravet i databeskyttelsesforordningens artikel 36 om forudgående høring af tilsynsmyndigheden om visse behandlinger af personoplysninger og konsekvensanalyser, når kravet om høring finder anvendelse.

Stk. 2 Den enkelte dataansvarlige kommunalbestyrelse er ansvarlig for indlæsning af kommunens egne personoplysninger og for behandlingen af anmodninger eller henvendelser fra de registrerede om de forhold, der er nævnt i stk. 1.

Stk. 3 Hvis Styrelsen for It og Læring modtager en anmodning eller henvendelse fra en registreret person om forhold, der er nævnt i stk. 1, og som vedrører behandling af personoplysninger hos den dataansvarlige kommunalbestyrelse, sender styrelsen henvendelsen til besvarelse hos den dataansvarlige kommunalbestyrelse snarest muligt.

Stk. 2 Styrelsen for It og Læring har generel godkendelse til at overføre personoplysninger i det fælles datagrundlag for unges uddannelse og beskæftigelse til tredjelande eller internationale organisationer i tilfælde af at overførslen er nødvendig i henhold til udførelse af styrelsens brug af underdatabehandler i medfør af § 13.

Stk. 3 Ved overførsler omfattet af stk. 1 er den dataansvarlige er ansvarlig for at sikre, at der foreligger et gyldigt overførselsgrundlag i henhold til databeskyttelsesforordningens kapitel 5. Ved overførsler omfattet af stk. 2 er Styrelsen for It og Læring ansvarlig for at sikre, at der foreligger et gyldigt overførselsgrundlag i henhold til databeskyttelsesforordningens kapitel 5.

Stk. 2 Styrelsen for It og Læring fører tilsyn med underdatabehandlerens overholdelse af sine databeskyttelsesforpligtelser som fastsat i kontrakten eller det andet retligt bindende dokument i henhold til EU-retten eller medlemsstaternes nationale ret som nævnt i stk. 1. Hvis underdatabehandleren ikke opfylder sine databeskyttelsesforpligtelser over for styrelsen, er den dataansvarlige kommunalbestyrelse ikke ansvarlig herfor.

Stk. 3 Styrelsen for It og Læring underretter den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af styrelsens underdatabehandlere og giver derved den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer.