Som eier bør du sette rammer for behandling av personopplysninger i forbindelse med generelle drifts- og forvaltningsoppgaver. Eksempler på oppgaver du bør ha rammer for, er

innkjøp av digitale systemer, for eksempel dataløsninger/systemer, [læringsteknologi](Med læringsteknologi mener vi digitale læremidler og læringsunivers, digitale læringsressurser, læringsplattformer, digitale verktøy og enheter som brukes til læring i skolen.) , og apper
inngåelse av avtaler med databehandlere
oppfølging av avtaleforhold
bruken av de digitale systemene, herunder tilgangsstyring

For at du skal sikre at dere ivaretar personvernet i forbindelse med drifts- og forvaltningsoppgaver, er det viktig at du som eier sørger for at de ansatte har tilstrekkelig kunnskap om personvern.

Digitale systemer

Skoleeier har ansvaret for at de digitale systemene skolene og skoleeier bruker, oppfyller kravene i personvernregelverket. Når skolen og du som skoleeier bruker digitale systemer, må du alltid

kontrollere at det digitale systemet overholder kravene til innebygd personvern
ha gjennomført en risikovurdering av det digitale systemet
ha inngått en databehandleravtale med leverandøren av det digitale systemet
ha gjennomført en DPIA, dersom det er relevant

Når det gjelder apper eller nettjenester, er det viktig at du som eier lager e n rutine som sier at skolen bare skal bruke programmer og apper som er godkjent av deg på forhånd. Du som eier er for eksempel ansvarlig dersom skolen ved bruk av apper eller nettjenester urettmessig overfører personopplysninger til tredjeland.

[udir-importantinfo]

Hvem trenger kunnskapen?

Innkjøpere, forvaltere og sikkerhetsansvarlige trenger god kunnskap. Øvrige ansatte trenger kunnskap på det nivået som kreves for å ivareta personvernet i sitt arbeid.

Hva slags kunnskap trenger dere?

Innkjøpere, forvaltere og sikkerhetsansvarlige trenger kunnskap om krav til behandlingsgrunnlag og formål, krav til sikkerhet, innebygd personvern, risikoanalyser, vurdering av personvernkonsekvenser (DPIA), rutiner for sletting og oppfølging av avtaleparten/databehandleren. Øvrige ansatte trenger kunnskap om personvern generelt, kjennskap til behandlingsgrunnlaget og formålet med den konkrete behandlingen av personopplysninger.

Tiltak for å oppnå kunnskap

Eksempler på tiltak kan være å gi opplæring, å sørge for klare ansvarslinje, å gi informasjon til nyansatte og å innføre ulike rutiner, for eksempel internkontroll, styringssystem for informasjonssikkerhet og rutiner for kvalitetssikring gjennom involvering av sikkerhetsansvarlige og personvernombud.

Som eigar bør du setje rammer for behandling av personopplysningar i samband med generelle drifts- og forvaltningsoppgåver. Døme på oppgåver du bør ha rammer for, er

innkjøp av digitale system, til dømes dataløysingar/system, [læringsteknologi] (Med læringsteknologi meiner vi digitale læremiddel og læringsunivers, digitale læringsressursar, læringsplattformer, digitale verktøy og einingar som blir brukte til læring i skulen.), og appar
inngåing av avtalar med databehandlarar
oppfølging av avtaleforhold
bruken av dei digitale systema, medrekna tilgangsstyring

For at du skal sikre at de varetek personvernet i samband med drifts- og forvaltningsoppgåver, er det viktig at du som eigar sørger for at dei tilsette har tilstrekkeleg kunnskap om personvern.

Digitale system

Skuleeigar har ansvaret for at dei digitale systema skulane og skuleeigar bruker, oppfyller krava i personvernregelverket. Når skulen og du som skuleeigar bruker digitale system, må du alltid

kontrollere at det digitale systemet overheld krava til innebygd personvern
ha gjennomført ei risikovurdering av det digitale systemet
ha inngått ein databehandlaravtale med leverandøren av det digitale systemet

ha gjennomført ein DPIA, dersom det er relevant

Når det gjeld appar eller online-tenester, er det viktig at du som eigar lagar ein rutine som seier at skulen berre skal bruke program og appar som er godkjende av deg på førehand. Du som eigar er til dømes ansvarleg dersom skulen ved bruk av appar eller nettenester urettmessig overfører personopplysningar til tredjeland.

[udir-importantinfo]

Kven treng kunnskapen?

Innkjøparar, forvaltarar og sikkerheitsansvarlege treng god kunnskap. andre tilsette treng kunnskap på det nivået som trengst for å vareta personvernet i arbeidet sitt.

Kva slags kunnskap treng de?

Innkjøparar, forvaltarar og sikkerheitsansvarlege treng kunnskap om krav til behandlingsgrunnlag og formål, krav til sikkerheit, innebygd personvern, risikoanalysar, vurdering av personvernkonsekvensar (DPIA), rutinar for sletting og oppfølging av avtaleparten/databehandlaren. Andre tilsette treng kunnskap om personvern generelt og kjennskap til behandlingsgrunnlaget og formålet med den konkrete behandlinga av personopplysningar.

Tiltak for å oppnå kunnskap

Døme på tiltak kan vere å gi opplæring, å sørge for klare ansvarslinjer, å gi informasjon til nytilsette og å innføre ulike rutinar, til dømes internkontroll, styringssystem for informasjonssikkerheit og rutinar for kvalitetssikring gjennom involvering av sikkerheitsansvarlege og personvernombod.