Persondatapolitik for FGU Aarhus

At tjene som et praktisk instrument i organisationens arbejde med beskyttelsen af personoplysninger.
Som skriftlig dokumentation af vores indsats for at overholde databeskyttelsesforordningen.

FGU Aarhus’ persondatapolitik er udformet som led i organisationens generelle arbejde med at efterleve databeskyttelsesforordningen og er på den måde en integreret del af, hvordan vi arbejder med GDPR. Politikken er godkendt af ledelsen, som er gjort bekendt med ansvaret. Hvis der opstår mistanke om, at persondata ikke håndteres korrekt, skal ledelsen straks tage hånd om dette.

Persondatapolitikken bliver gennemgået og opdateret løbende – minimum en gang om året.

1. Definitioner

FGU Aarhus behandler personoplysninger i forbindelse med undervisningen af elever. Nedenfor vil kernebegreber fra lovgivningen blive defineret for at lette forståelsen af persondatapolitikken.

Databeskyttelsesforordningen	Den lovgivning, som pr. 25. maj 2018 regulerer behandlingen af personoplysninger (træder sammen med databeskyttelsesloven i stedet for persondataloven).
Personoplysninger	Enhver oplysning om en identificeret eller identificerbar fysisk person, fx navn, adresse, telefonnummer, billede, nummerplade, cpr-nummer eller lignende. Oplysninger om enkeltmandsfirmaer er derfor også personoplysninger.
Følsomme personoplysninger	Oplysninger om: Race og etnisk oprindelse, politisk overbevisning, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold, genetiske data, biometriske data med henblik på entydig identifikation, helbredsoplysninger og seksuelle forhold eller seksuel orientering.
Fortrolige oplysninger	Oplysninger der betragtes som værende fortrolige oplysninger, f.eks. CPR-nummer, oplysninger om indtægts- og formueforhold, arbejds-, uddannelses- og ansættelsesmæssige forhold, oplysninger om interne familieforhold, herunder oplysninger om for eksempel ulykkestilfælde.
Registrerede	Alle personer, hvis oplysninger er registreret hos os, fx elever, medarbejdere og leverandører.
Behandling af personoplysninger	Alt, hvad organisationen gør med personoplysninger, inklusive opbevaring og sletning.
Dataansvarlig	Den, der beslutter formål, omfang og metoder til behandling af personoplysninger.
Databehandler	Den, der behandler personoplysninger på vegne af den dataansvarlige, fx et firma, som håndterer løn eller en cloudtjeneste.

2. Organisering og ansvar

Denne persondatapolitik gælder for hele organisationen, men det kan være nødvendigt at indføre specifikke instrukser i relevante tilfælde. I så fald skal disse instrukser være i overensstemmelse med persondatapolitikken, have en klar ansvarsfordeling og en fast plan for opdatering.

Ansvaret for medarbejdernes overholdelse af persondatapolitikken hviler hos ledelsen. Hvis der opstår episoder, som viser, at der f.eks. har været uoverensstemmelse med persondatapolitikken, er det den GDPR- ansvarliges opgave at afhjælpe problemet.

3. Retningslinjer

Det følgende er de konkrete regler og retningslinjer, som FGU Aarhus skal følge i forbindelse med behandling af personoplysninger. Behandlingen er baseret på databeskyttelsesforordningens og databeskyttelseslovens krav og vil, sammen med den øvrige, udarbejdede dokumentation, sikre organisationens efterlevelse af forordningen.

Hvert element i politikken er delt op i:

Formål (hvorfor gør vi det)
Procedure (hvordan gør vi det)
Kontrol (har vi nu også gjort det)

3.1 Sikring af lovligt grundlag

Formål: At sikre, at der er et lovligt grundlag for at behandle personoplysninger.

Procedure: Før en behandling af personoplysninger påbegyndes, skal der ske afklaring af det lovlige behandlingsgrundlag. Opstår der tvivl om det lovlige grundlag, vil dette blive afklaret af ledelsen. Hvis et lovlig grundlag ikke kan identificeres, igangsættes behandlingen ikke.

Det lovlige grundlag for behandlingen dokumenteres sammen med den pågældende proces i fortegnelsen over arbejdsprocesser i organisationens GDPR-portal.

Kontrol: Alle arbejdsprocesser gennemgås årligt, hvor det lovlige behandlingsgrundlag revurderes.

3.2 Sikring af formål og at personoplysninger er relevante

Formål: At sikre, at der kun at indsamles oplysninger baseret på et klart defineret formål, og at de ikke omfatter mere, end der kræves til opfyldelse af formålet med behandlingen.

Procedure: For hver arbejdsproces bliver det klart defineret, hvilke personoplysninger der er relevante for formålet. Det sikres, at der ikke indsamles flere oplysninger end nødvendigt. Formålet med behandlingen af personoplysninger, samt hvilke typer personoplysninger der behandles for hver arbejdsproces, er defineret og beskrevet i fortegnelsen for arbejdsprocesserne i organisationens GDPR-portal.

Kontrol: Alle arbejdsprocesser gennemgås årligt, hvor kategorierne af de indsamlede oplysninger sammenholdes med formålet, med henblik på at sikre, at oplysningerne stadig er nødvendige for formålet.

3.3 Sikring af oplysningspligt – internt

Formål: At sikre gennemsigtigheden af organisationens behandling af personoplysninger samt de registreredes (medarbejdernes) viden om deres rettigheder.

Procedure: Ved ansættelsen bliver medarbejderne via dokumentet ”oplysningsbilag til ansættelseskontrakt” på en letforståelig måde informeret om:

Hvem der er dataansvarlig og dennes kontaktoplysninger.
Formålet med behandling af personoplysningerne.
Det lovlige grundlag for behandlingen samt legitime interesser, som forfølges af organisationen.
Eventuelle andre modtagere af personoplysningerne, herunder overførsel til usikre tredjelande.
Opbevaringsperioden for personoplysningerne.
Den registreredes (medarbejderens) rettigheder i forhold til personoplysningerne (indsigt, berigtigelse, sletning, begrænset behandling og dataportabilitet).
Retten til at tilbagekalde et eventuelt afgivet samtykke.
Retten til at klage til Datatilsynet.
Hvor oplysningerne er indhentet, hvis dette ikke er direkte fra den registrerede (medarbejderen) selv.
Omfanget af automatiske afgørelser, herunder profilering og logikken bag.

Hvis organisationen senere ønsker at behandle oplysninger til et andet formål end oplyst til den registrerede (medarbejderen), bliver den registrerede oplyst om dette, før den nye behandling igangsættes.

Kontrol: Hvert år sendes en mail til den ansvarlige med henblik på at sikre, at alle eksisterende medarbejdere har modtaget dokumentet, og at alle nye medarbejdere har modtaget og læst dokumentet ”oplysningsbilag til ansættelseskontrakt”, og at de har underskrevet dokumentet ” samtykke medarbejdere”.

3.4 Sikring af oplysningspligt – eksternt

Formål: At sikre gennemsigtigheden af organisationens behandling af personoplysninger samt de registreredes viden om deres rettigheder.

Procedure: Når organisationen eksternt indhenter personoplysninger om den registrerede, sikres det gennem vores privatlivspolitik, at den registrerede på en letforståelig måde informeres om:

Hvem der er dataansvarlig og dennes kontaktoplysninger.
Formålet med behandling af personoplysningerne.
Det lovlige grundlag for behandling, samt legitime interesser, som forfølges af organisationen.
Eventuelle andre modtagere af personoplysningerne, herunder overførsel til tredjelande.
Opbevaringsperioden for personoplysningerne.
Den registreredes rettigheder i forhold til personoplysningerne (indsigt, berigtigelse, sletning, begrænset behandling og dataportabilitet).
Retten til at tilbagekalde et eventuelt afgivet samtykke.
Retten til at klage til Datatilsynet.
Hvor oplysningerne er indhentet, hvis dette ikke er direkte fra den registrerede selv.
Omfanget af automatiske afgørelser, herunder profilering og logikken bag.

Hvis vi senere ønsker at behandle oplysninger til et andet formål end oplyst til den registrerede, bliver den registrerede oplyst om dette, før den nye behandling igangsættes.

Kontrol: Hvert år sendes en mail til alle medarbejdere med henblik på at sikre, at de alle har link til privatlivspolitikken i deres signatur, og at linket stadig er til den gældende privatlivspolitik.

Hvert år kontrolleres det, at links til privatlivspolitikken på hjemmesiden og alle øvrige steder med link hertil fortsat er til den gældende privatlivspolitik.

3.5 Sikring af retten til indsigt

Formål: At sikre, at de registrerede kan få indsigt i de oplysninger, som behandles om dem.

Procedure: Ved henvendelse skal den registrerede uden unødigt ophold og på en let forståelig måde have indsigt i de oplysninger, som er registreret om den pågældende, herunder:

Formålet med behandling af personoplysningerne.
Hvilke kategorier af oplysninger, som behandles.
Eventuelle andre modtagere af personoplysningerne, herunder overførsel til usikre tredjelande.
Opbevaringsperioden for personoplysningerne.
Den registreredes rettigheder i forhold til personoplysningerne (indsigt, berigtigelse, sletning, begrænset behandling og dataportabilitet).
Retten til at klage til datatilsynet.
Hvor oplysningerne er indhentet, hvis dette ikke er direkte fra den registrerede selv.
Omfanget af automatiske afgørelser, herunder profilering og logikken bag.

En medarbejder, der modtager en indsigtsanmodning, skal hurtigst muligt kontakte ledelsen eller organisationens GDPR-ansvarlige.

Der må kun udleveres oplysninger, når vedkommende har legitimeret sig, eller når der på anden måde er skabt sikkerhed for, at den, der fremsætter en indsigtsbegæring, er identisk med den person, som oplysningerne vedrører, eller er i besiddelse af en fuldmagt fra denne.

Telefoniske henvendelser

Ved telefoniske henvendelser skal det sikres, at der kun gives oplysninger til rette person. Det kan f.eks. være nødvendigt at stille kontrolspørgsmål for at identificere personen eller foretage en kontrolopringning til et telefonnummer for at sikre, at det er den rette person, som anmoder om oplysningerne. Hvis medarbejderen ikke kan få den nødvendige sikkerhed, må oplysningerne i stedet sendes pr. post eller e-mail til den adresse, der er registeret på vedkommende.

Henvendelser via brev og e-mail

Hvis navn og adresse i brevet/e-mailen er identisk med de oplysninger, som i forvejen fremgår af systemet, kan oplysningerne normalt sendes til den registrerede på den registrerede post- eller e-mailadresse. Er dette ikke tilfældet, bør forholdet undersøges nærmere.

Indsigt for børn under 18 år

Forældremyndighedens indehaver kan begære indsigt på barnets vegne. Barnet kan også selv få indsigt. Der skal ved en begæring om indsigt i oplysninger om personer, der er under 18 år, foretages en konkret vurdering af, hvorvidt den registrerede er i stand til selv at modtage oplysningerne, eller om oplysningerne skal gives til en værge.

Indsigt på andres vegne (fuldmagt)

Den registrerede kan give en anden fuldmagt til at få indsigt i egne oplysninger. Fuldmagten kan være specifik eller generel. Er der tale om en advokat eller tilsvarende stillingsfuldmagt, som henvender sig med en indsigtsanmodning på vegne af den registrerede, er det normalt ikke nødvendigt at efterspørge en fuldmagt.

Hvis der opstår tvivl om, hvorvidt fuldmagten er tilstrækkelig, skal den GDPR-ansvarlige involveres.

Kontrol: Henvendelser vedrørende indsigt bliver gennemgået i et interval af én måned for at sikre, at alle henvendelser er blevet imødekommet uden unødigt ophold.

3.6 Sikring af retten til berigtigelse

Formål: At sikre, at de registrerede kan få berigtiget deres oplysninger.

Procedure: Ved henvendelse fra den registrerede skal vi berigtige/rette eventuelle forkerte eller vildledende oplysninger om den pågældende.

En medarbejder, der modtager besked om, at der behandles forkerte oplysninger, henvender sig til GDPR-ansvarlige, som sørger for at korrigere og/eller supplere oplysningerne. Den registreredes identitet bliver sikret, før oplysninger rettes, jf. afsnit 3.5.

Kontrol: Henvendelser vedrørende berigtigelse bliver gennemgået i et interval af én måned, hvor det kontrolleres, at oplysninger er blevet rettet i systemet.

3.7 Sikring af den registreredes ret til sletning

Formål: At sikre den registreredes ret til sletning på den registreredes anmodning herom (”Retten til at blive glemt”)

Procedure: Når en registreret henvender sig med et ønske om at blive slettet, skal dette oplyses til GDPR-ansvarlige, som foretager sletningen uden unødigt ophold, efter at have sikret sig, at formålet med behandlingen af oplysningerne ikke længere er til stede.

Det skal hermed sikres, at den registrerede ikke har nogle udeståender med os, før sletningen foretages. Medarbejderne, som håndterer anmodningen om sletning, orienterer den pågældende registrerede om årsagen til, at anmodningen om sletning ikke kan imødekommes helt eller delvist, f.eks. hvis det ikke er muligt at efterkomme vores kontraktretlige forpligtelser overfor den registrerede, herunder kunder, leverandører eller andre samarbejdspartnere, eller hvis man ikke må slette oplysningerne i henhold til gældende lovgivning eller andre retlige forpligtelser. Den registrerede skal til enhver tid kunne få slettet oplysninger, som er indsamlet baseret på samtykke. Den registreredes identitet bliver sikret, før oplysninger slettes, jf. afsnit 3.5.

Kontrol: Henvendelser vedrørende den registreredes ret til sletning bliver gennemgået i et interval af én måned for at kontrollere, at vi har besvaret den registreredes anmodning, og såfremt anmodningen resulterede i sletning af oplysninger, kontrolleres det også, at vi har slettet alle oplysninger, og at det blev gjort indenfor rimelig tid.

3.8 Sikring af retten til begrænset behandling

Formål: At sikre, at behandlingen af personoplysninger begrænses til kun opbevaring.

Procedure: Når en registreret henvender sig og kræver, at behandlingen af vedkommendes oplysninger begrænses, skal GDPR-ansvarlige, straks oplyses herom. Behandlingen af personoplysningerne begrænses til opbevaring, indtil forholdet, som er grundlag for den begrænsede behandling, løses. Den registreredes identitet bliver sikret, før behandlingen begrænses, jf. afsnit 3.5.

Kontrol: Henvendelser vedrørende den registreredes ret til begrænset behandling bliver gennemgået i et interval af én måned for at kontrollere, at vi har besvaret den registreredes anmodning, og såfremt anmodningen har resulteret i, at vi skal begrænse behandlingen, kontrolleres det også, at behandlingen er blevet begrænset til udelukkende at omfatte opbevaring, og at dette er blevet gjort indenfor rimelig tid.

3.9 Sikring af retten til dataportabilitet

Formål: At sikre, at personlysninger, som behandles automatisk eller er baseret på en kontrakt, kan udleveres eller overføres i et struktureret, almindeligt anvendt og maskinlæsbart format.

Procedure: Når en registreret henvender sig med et ønske om at få udleveret eller overført personoplysninger, rettes der straks henvendelse til GDPR-ansvarlige, som – baseret på den registreredes ønske – enten udleverer materialet i et struktureret, almindeligt anvendt, maskinlæsbart format eller, hvis teknisk muligt, overfører oplysningerne til en ny dataansvarlig, ønsket af den registrerede. Den registreredes identitet bliver sikret før oplysninger udleveres eller overføres, jf. afsnit 3.5.

Kontrol: Henvendelser om dataportabilitet bliver gennemgået i et interval af én måned for at kontrollere, at vi har svaret den registrerede indenfor den lovbestemte tidsfrist på en måned, og for at kontrollere, at vi eksporterer personoplysningerne korrekt, og at det bliver gjort indenfor rimelig tid.

3.10 Sikring af retten til indsigelse

Formål: At sikre imødekommelse af den registreredes ret til indsigelse.

Procedure: Når en registreret oplyser, at denne ikke ønsker, at vedkommendes oplysninger behandles, skal der straks rettes henvendelse til den GDPR-ansvarlige, som derefter vurderer anmodningen og igangsætter relevante handlinger baseret på udfaldet af vurderingen. Den registreredes identitet bliver sikret før behandlingen eventuelt stoppes, jf. afsnit 3.5.

Kontrol: Henvendelser om indsigelser bliver gennemgået i et interval af én måned for at kontrollere, at anmodningen om indsigelse blev behandlet indenfor en måned, og at vi er ophørt med behandlingen.

3.11 Slettepligt

Formål: At sikre, at oplysninger bliver slettet, når de ikke længere er nødvendige for formålet med behandlingen.

Procedure: I organisations kortlægning af personoplysninger er det angivet, hvor personoplysninger opbevares, og der er taget stilling til opbevaringsperioder. Dette er gjort for at effektivisere sletteprocessen.

Personoplysninger opbevares centralt på dertil indrettede drev og systemer for at mindske spredning af personoplysninger i organisationen og effektivisere sletteprocessen.

Kontrol: Opbevaringsperioden i alle arbejdsprocesser revurderes årligt.

3.12 Databehandleraftaler, når vi er dataansvarlige

Formål: At sikre, at der etableres databehandleraftaler med andre juridiske enheder, som behandler personoplysninger på vegne af os.

Procedure: Der er indgået databehandleraftaler med alle relevante eksterne og interne parter.

Hver gang der indgås en ny aftale med en samarbejdspartner, vurderes det, om ydelsen involverer behandling af personoplysninger på vegne af os. Hvis dette er tilfældet, indgås der en databehandleraftale, og det kontrolleres, at databehandleraftalen lever op til Datatilsynets gældende standard.

Der udføres løbende kontrol med databehandlerne ved at udøve revisionsbeføjelsen.

Kontrol: Hvert år gennemgås listen over databehandlere og matches med den tilhørende databehandleraftale, og det vurderes, om databehandleraftalen fortsat lever op til Datatilsynets gældende standard.

Hvert år udøves revisionspligten med databehandlerne vedrørende behandling af personoplysningerne, hvor eventuelle observationer gennemgås og vurderes.

3.13 Sikring af risikovurderinger og eventuelle konsekvensanalyser

Formål: At imødekomme databeskyttelsesforordningens krav om en risikobaseret tilgang til databehandling.

Procedure: Organisationen har etableret en fortegnelse over arbejdsprocesser, som kan findes i GDPR-portalen. Fortegnelsen opdateres løbende, når der sker ændringer i vore arbejdsprocesser.

For hver arbejdsproces er der foretaget en risikovurdering baseret på sandsynligheden for, at personoplysninger mister fortrolighed, integritet eller tilgængelighed, samt hvilken konsekvens det må have for den registrerede. Risikovurderingen revurderes 1 gang årligt og for højrisiko-områder udarbejdes der en handlingsplan for nedsættelse af risiko. Hvis risikoen ikke kan nedsættes, konsulteres Datatilsynet.

Kontrol: Arbejdsprocesserne og de dertilhørende risikovurderinger gennemgås årligt med henblik på at fastslå, om vurderingen er retvisende, og om der eventuelt skal etableres en konsekvensanalyse og handlingsplan for at nedsætte risikoen ved arbejdsprocesser af høj risiko. Hvis det ikke er muligt at nedsætte risikoen, skal Datatilsynet konsulteres, før behandlingen igangsættes. Risikovurdering og eventuelle konsekvensanalyser opdateres hver gang, der er nye planlagte arbejdsprocesser eller ændringer i eksisterende arbejdsprocesser.

3.14. Sikring af dokumenter og procedurer

Formål: At sikre, at de fornødne dokumenter og procedurer er opdateret.

Procedure: Samtlige GDPR-dokumenter og IT-relevante procedurer gennemgås og opdateres årligt.

Kontrol: Hvert år gennemgår den GDPR-ansvarlige alle dokumenter og politikker med henblik på opdatering og revidering heraf.

3.15 Datasikkerhed

3.15.1 Organisatoriske foranstaltninger

Formål: At sikre de fornødne organisatoriske og tekniske foranstaltninger mod, at personoplysninger kommer til uvedkommendes kendskab eller går tabt.

Procedure: Begrænsning af adgangen til elektroniske personoplysninger.
Alle systemer/drev der indeholder personoplysninger, er omfattet af begrænset adgang, så det kun er de medarbejdere, som har behov for adgangen for at udføre deres arbejde, der har adgang til systemer/drev med personoplysninger.

Kontrol: Hvert kvartal gennemgår den GDPR-ansvarlige listen over medarbejdere med adgang til systemer og mapper med personoplysninger med henblik på at verificere, at kun de nødvendige medarbejdere har adgang til systemer og mapper indeholdende personoplysninger.

Hvert år tjekkes efterlevelsen af datasikkerhed i forbindelse med mobile enheder ved at foretage stikprøvekontrol af downloadede apps og synkronisering af mailboks.

3.15.2 Tekniske foranstaltninger – informationsaktiver

Formål: At vurdere, om de tekniske sikkerhedsforanstaltninger, der er implementeret, fortsat er korrekte, og om de sikrer en passende behandlingssikkerhed.

Procedure: For hvert informationsaktiv er det klart defineret, hvilke relevante sikkerhedsforanstaltninger der er implementeret for at sikre en tilstrækkelig behandlingssikkerhed. Det sikres, at de opsatte sikkerhedsforanstaltninger stadig er retvisende, og implementeret korrekt.

Kontrol: Alle tekniske sikkerhedsforanstaltninger gennemgås årligt, hvor det kontrolleres, om de stadig er retvisende og implementeret korrekt.

3.15.3 Fysisk sikkerhed

Formål: At sikre forholdsregler imod uvedkommendes adgang til lokaler, hvori der sker behandling af personoplysninger.

Procedure: Områder med adgang til personoplysninger sikres således, at uvedkommende ikke kan få adgang til disse. Dette sker ved at opbevare personoplysninger i aflåste skabe, når lokalet ikke er under opsyn.

Alle medarbejdere skal låse deres PC, når arbejdsstationen forlades, også kortvarigt.

Medarbejdere er underlagt en clean desk politik, som indebærer, at medarbejderne skal fjerne alle dokumenter fra deres skrivebord, når de forlader arbejdspladsen.

Medarbejderne skal følge en face down politik, som indebærer, at dokumenter med personoplysninger vendes med den blanke side op eller på anden måde afdækkes, når medarbejderen efterlader dokumenter på arbejdsstationen.

Kontrol: Den GDPR-ansvarlige skal årligt sikre, at skabene kan aflåses.

Den GDPR-ansvarlige skal ved løbende stikprøver tjekke, om aflåste skabe med personoplysninger faktisk er aflåste, og at det kun er relevante medarbejdere, som er i besiddelse af nøglen til skabene.

Den GDPR-ansvarlige skal løbende være opmærksomme på, om medarbejderne husker at låse deres PC, når arbejdsstationen forlades, samt at de overholder clean desk- og face down-politikken.

3.15.4 Print og dokumenter med personoplysninger

Formål: At sikre, at personlige oplysninger ikke ligger frit tilgængeligt i papirform.

Procedure: Print med personoplysninger må ikke efterlades i printerrummet og skal hentes, så snart de er printet.

Papirdokumenter, der indeholder personoplysninger, må i arbejdstiden ikke opbevares uden opsyn af en medarbejder.

Kontrol: Hvert år skal Den GDPR-ansvarlige foretage en stikprøverunde og tjekke, om der ligger frit tilgængelige personoplysninger fremme i papirform.

3.16 Gæster

Formål: At sikre, at gæster bliver håndteret sikkert.

Procedure: [Alle gæster skal efter registrering i gæstelog tildeles gæstekort og hentes i receptionen.] [Alle gæster, som opholder sig i lokaler, hvor der håndteres personoplysninger, skal udfylde og underskrive en tavshedserklæring, som opbevares [indsæt sted fx drev/mappe] og opbevares [indsæt relevant periode].]

3.17 Sikring af medarbejder-awareness

Formål: At sikre, at medarbejdere er bekendt med reglerne for behandling af personoplysninger.

Procedure: Samtlige medarbejdere i FGU Aarhus skal underskrive en tavshedserklæring ved deres ansættelse. Denne kan indeholdes i ansættelseskontrakten.

Alle nye medarbejdere skal i forbindelse med deres ansættelse gøres bekendt med regler for behandling af personoplysninger og IT-sikkerhed.

Kontrol: Hvert år skal samtlige medarbejdere deltage i og bestå en e-learning eller andre kurser vedrørende behandling af personoplysninger.

Hvert år skal samtlige medarbejdere genlæse håndbogen og sikkerhedsbrudsvejledningen.

3.18 Notifikation ved brud på datasikkerheden

Formål: At sikre, at alle sikkerhedsbrud dokumenteres i sikkerhedsbrudsloggen, og at det vurderes, hvorvidt de skal anmeldes til Datatilsynet.

Procedure: Et brud på sikkerheden er defineret som en hændelse, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet.

Hvis en medarbejder opdager brud på datasikkerheden, meddeles dette straks til den GDPR-ansvarlige, som indenfor 72 timer, om muligt, skal have overblik over bruddet. Dette overblik indebærer, at den GDPR-ansvarlige i samarbejde med de eventuelt implicerede medarbejdere samler alle oplysninger omkring hændelsen, berørte datakategorier, antal lækkede personoplysningerne, sandsynlige konsekvenser og hvilke tiltag, der er iværksat for at imødegå bruddet.

Alle brud på sikkerheden noteres i sikkerhedsbrudsloggen.

Brud, der sandsynligvis medfører en risiko for en fysisk persons rettigheder eller frihedsrettigheder, anmeldes til Datatilsynet.

Hvis sikkerhedsbruddet er af en sådan karakter, at det skal anmeldes til Datatilsynet, skal der tillige foretages underretning af de registrerede, hvis personoplysninger indgår i bruddet.

Hvis vi ikke har kontaktoplysningerne på de registrerede, sker orienteringen offentligt via Datatilsynets hjemmeside.

Kontrol: Hvert kvartal kontrolleres det, at sikkerhedsbrudsproceduren fungerer. I den forbindelse gennemgås sikkerhedsbrudsloggen med henblik på at identificere, om vurderingerne af sikkerhedsbrud er foretaget korrekt, og at der er indberettet rettidigt til datatilsynet.

3.19 DPO

Formål: At sikre en vurdering af, om det er et krav, at organisationen har en DPO

Procedure: Det vurderes årligt, hvorvidt organisationen har behov for en DPO, baseret på databeskyttelsesforordningens kriterier for krav om DPO. Vurderingen heraf dokumenteres i GDPR-portalen.

Kontrol: Det revurderes årligt, om organisationens behov for en DPO har ændret sig.