§ 1.§-link ↗
Bekendtgørelsen finder anvendelse ved behandling af personoplysninger til brug for elevfordeling i den centrale it-understøttede fordelingsmekanisme, Den Koordinerede Tilmelding til Gymnasiale Ungdomsuddannelser, ved fordeling af ansøgere til de 3-årige uddannelser til almen, merkantil og teknisk studentereksamen, den 2-årige uddannelse til hf-eksamen og pre-IB, jf. § 3, stk. 1, samt behandling af personoplysninger i Optagelse.dk til brug for klagebehandling, vurdering af forrang, fordeling af ufordelte ansøgere og fordeling af ansøgere, hvis ansøgning ikke er indgået i fordelingsrunden.
Stk. 2. Regionernes videregivelse af personoplysninger fra elevfordelingsmekanismen og de dele af Optagelse.dk, der anvendes til elevfordeling, til Børne- og Undervisningsministeriet sker i henhold til reglerne om elevfordeling i lov om institutioner for almengymnasiale uddannelser og almen voksenuddannelse m.v.
§ 2.§-link ↗
Den region, hvor en ansøger med dansk folkeregisteradresse har bopæl, er dataansvarlig for behandlingen af de personoplysninger om vedkommende, der behandles i fordelingsmekanismen og i de dele af Optagelse.dk, der anvendes til elevfordeling.
Stk. 2. Den region, hvor en ansøger uden dansk folkeregisteradresse har sit højest prioriterede uddannelsesønske, er dataansvarlig for behandlingen af de personoplysninger om vedkommende, der behandles i fordelingsmekanismen og i de dele af Optagelse.dk, der anvendes til elevfordeling.
Stk. 3. Den region, hvor en ansøger har sit højest eller næsthøjest prioriterede uddannelsesønske, og hvor ansøgeren har søgt om forrang som følge af handicap, er dataansvarlig for behandlingen af de personoplysninger om vedkommende, der behandles i fordelingsmekanismen og i de dele af Optagelse.dk, der anvendes til elevfordeling. Dette gælder uanset om ansøger har dansk folkeregisteradresse eller ej.
Stk. 4. Styrelsen for It og Læring stiller som databehandler, en central it-understøttet fordelingsmekanisme, Den Koordinerede Tilmelding til Gymnasiale Ungdomsuddannelser, samt de dele af Optagelse.dk, der anvendes til elevfordeling, til rådighed for regionerne.
§ 3.§-link ↗
Den dataansvarlige som anført i § 2, er ansvarlig for at sikre, at behandlingen af personoplysninger sker i overensstemmelse med databeskyttelsesforordningen, jf. databeskyttelsesforordningens artikel 24, databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og denne bekendtgørelse. Den dataansvarlige har ret og pligt til at træffe beslutninger om, til hvilke formål og med hvilke hjælpemidler, der må ske behandling af personoplysninger.
Stk. 2. Den dataansvarlige er ansvarlig for, blandt andet, at sikre, at der er et behandlingsgrundlag for behandlingen af personoplysninger, som databehandleren instrueres i at foretage, samt overholdelse af principperne i databeskyttelsesforordningens artikel 5.
Stk. 3. De dataansvarlige regioner kan med fordel rette en samlet henvendelse til databehandleren, når der er behov for dette.
§ 4.§-link ↗
Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt. Denne instruks er specificeret i bilag 1. Efterfølgende instruks kan også gives af den dataansvarlige, mens der sker behandling af personoplysninger, men instruksen skal altid være dokumenteret og opbevares skriftligt, herunder elektronisk.
Stk. 2. Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter vedkommendes mening er i strid med denne forordning eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.
Stk. 3. Bekendtgørelsen og dens bilag er det retligt bindende dokument i medfør af databeskyttelsesforordningens artikel 28 stk. 3, som regulerer Styrelsen for It og Lærings behandling af personoplysninger i fordelingsmekanismen og i de dele af Optagelse.dk, der anvendes til elevfordeling, på vegne af de dataansvarlige til de dataansvarliges nærmere afgrænsede formål vedrørende elevfordeling, som fastsat i lov om institutioner for almengymnasiale uddannelser og almen voksenuddannelse m.v.
§ 5.§-link ↗
Databeskyttelsesforordningens artikel 32 fastslår, at den dataansvarlige og databehandleren, under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et beskyttelsesniveau, der passer til disse risici. Den dataansvarlige skal vurdere risiciene for fysiske personers rettigheder og frihedsrettigheder som behandlingen udgør og gennemføre foranstaltninger for at imødegå disse risici.
Stk. 2. Efter forordningens artikel 32 skal databehandleren – uafhængigt af den dataansvarlige – også vurdere risiciene for fysiske personers rettigheder som behandlingen udgør og gennemføre foranstaltninger for at imødegå disse risici. Med henblik på denne vurdering skal den dataansvarlige stille den nødvendige information til rådighed for databehandleren som gør vedkommende i stand til at identificere og vurdere sådanne risici.
Stk. 3. Derudover skal databehandleren bistå den dataansvarlige med vedkommendes overholdelse af den dataansvarliges forpligtelse efter forordningens artikel 32, ved bl.a. at stille den nødvendige information til rådighed for den dataansvarlige vedrørende de tekniske og organisatoriske sikkerhedsforanstaltninger, som databehandleren allerede har gennemført i henhold til forordningens artikel 32, og al anden information, der er nødvendig for den dataansvarliges overholdelse af sin forpligtelse efter forordningens artikel 32.
Stk. 4. Hvis imødegåelse af de identificerede risici – efter den dataansvarliges vurdering – kræver gennemførelse af yderligere foranstaltninger end de foranstaltninger, som da-tabehandleren allerede har gennemført, skal den dataansvarlige angive de yderligere foranstaltninger, der skal gennemføres, i Bilag 1.
§ 6.§-link ↗
Databehandleren har generel godkendelse til at anvende underdatabehandlere og kan anvende underdatabehandlere under forudsætning af, at styrelsen har pålagt underdatabehandleren tilstrækkelige databeskyttelsesforpligtelser gennem en kontrakt eller andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret. Databehandleren skal skriftligt underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer inden brugen af de omhandlede underdatabehandlere.
Stk. 2. Den dataansvarliges instruks vedrørende brug af underdatabehandlere er fastsat i Bilag 1 afsnit 4.
Stk. 3. Styrelsen for It og Læring fører tilsyn med underdatabehandlerens overholdelse af sine databeskyttelsesforpligtelser som fastsat i kontrakten eller det andet retligt bindende dokument i henhold til EU-retten eller medlemsstaternes nationale ret i henhold til stk. 1.
Stk. 4. Den dataansvarliges instruks vedrørende tilsyn med underdatabehandlere er fastsat i Bilag 1 afsnit 10.
§ 7.§-link ↗
Enhver overførsel af personoplysninger til tredjelande eller internationale organisationer må kun foretages af databehandleren på baggrund af dokumenteret instruks herom fra den dataansvarlige og skal altid ske i overensstemmelse med databeskyttelsesforordningens kapitel V.
Stk. 2. Hvis overførsel af personoplysninger til tredjelande eller internationale organisationer, som databehandleren ikke er blevet instrueret i at foretage af den dataansvarlige, kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt, skal databehandleren underrette den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.
Stk. 3. Den dataansvarliges instruks vedrørende overførsel af personoplysninger til et tredjeland, herunder det eventuelle overførselsgrundlag i databeskyttelsesforordningens kapitel V, som overførslen er baseret på, er fastsat i Bilag 1 afsnit 8.
§ 8.§-link ↗
Den dataansvarlige er ansvarlig for at iagttage de registreredes rettigheder, som er fastlagt i databeskyttelsesforordningens kapitel 3, og som omfatter: 1) Den registreredes indsigtsret, jf. databeskyttelsesforordningens artikel 15. 2) Retten til berigtigelse, jf. databeskyttelsesforordningens artikel 16. 3) Retten til sletning (»retten til at blive glemt«), jf. databeskyttelsesforordningens artikel 17. 4) Retten til begrænsning af behandling, jf. databeskyttelsesforordningens artikel 18. 5) Retten til indsigelse, jf. databeskyttelsesforordningens artikel 21.5) Retten til indsigelse, jf. databeskyttelsesforordningens artikel 21.
Stk. 2. Den dataansvarliges instruks til databehandleren er fastsat i Bilag 1 afsnit 6.
§ 9.§-link ↗
Den dataansvarlige er ansvarlig for efterlevelsen af databeskyttelsesforordningens artikel 35 om udarbejdelsen af en konsekvensanalyse, samt databeskyttelsesforordningens artikel 36 om forudgående høring af tilsynsmyndigheden om visse behandlinger af personoplysninger og konsekvensanalyser.
Stk. 2. Den dataansvarliges instruks til databehandleren vedrørende bistand til den dataansvarlige i forbindelse med konsekvensanalyse er fastsat i Bilag 1 afsnit 6.
§ 10.§-link ↗
Den dataansvarlige er ansvarlig for efterlevelsen af databeskyttelsesforordningens artikel 33 om anmeldelse af brud på persondatasikkerheden til Datatilsynet. Den dataansvarlige underretter i dette tilfælde de registrerede om bruddet på datasikkerheden i overensstemmelse med kravene herom i databeskyttelsesforordningens artikel 34.
Stk. 2. Hvis den dataansvarlige efter stk. 1 er ansvarlig for at foretage anmeldelse til Datatilsynet, men den dataansvarlige ikke selv har opdaget bruddet på persondatasikkerheden, underretter Styrelsen for It og Læring den dataansvarlige om sikkerhedsbruddet uden unødig forsinkelse efter, at hændelsen er kommet til styrelsens kendskab.
Stk. 3. Den dataansvarliges instruks til databehandleren vedrørende anmeldelser af brud på persondatasikkerhed til Datatilsynet er fastsat i Bilag 1 afsnit 6.
§ 11.§-link ↗
Ved ophør af tjenesterne vedrørende behandling af personoplysninger, er databehandleren forpligtet til at slette alle personoplysninger, der er blevet behandlet på vegne af den dataansvarlige og bekræfte over for den dataansvarlige, at oplysningerne er slettet, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne.
Stk. 2. Den dataansvarliges instruks til databehandleren vedrørende sletning er fastsat i Bilag 1 afsnit 7.
§ 12.§-link ↗
Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelsen af databeskyttelsesforordningens artikel 28 og denne bekendtgørelse, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.
Stk. 2. Databehandleren er forpligtet til at give tilsynsmyndigheder, som efter gældende lovgivningen har adgang til den dataansvarliges eller databehandlerens faciliteter, eller repræsentanter, der optræder på tilsynsmyndighedens vegne, adgang til databehandlerens fysiske faciliteter mod behørig legitimation.
Stk. 3. Procedurerne for den dataansvarliges revisioner, herunder inspektioner, med databehandleren og underdatabehandlere er nærmeret angivet i Bilag 1 afsnit 9.
§ 13.§-link ↗
Bekendtgørelsen træder i kraft den 15. maj 2024.
Stk. 2. Bekendtgørelse nr. 283 af 13. marts 2023 om opgaver og ansvar for regionerne som dataansvarlige og for Styrelsen for It og Læring som databehandler i forbindelse med den centrale it-understøttede fordelingsmekanisme, Den Koordinerede Tilmelding til Gymnasiale Ungdomsuddannelser og i de dele af Optagelse.dk, der anvendes til elevfordeling ophæves.