Hvem er databehandler og hvem er dataansvarlig?

Den part der bestemmer over formål og hjælpemidler er dataansvarlig jf. databeskyttelsesforordningen artikel 4 nr.7. Afgørende for afklaringen af hvem der råder over formål og hjælpemidler er om man har en instruktionsbeføjelse over for den anden part for så vidt angår hvordan opgaven udføres.

Forberedende voksenuddannelse (FVU) udbydes på voksenuddannelsescentrene (VUC). En driftsoverenskomstaftale mellem VUC (driftsherre) og en uddannelsesinstitution (driftsoverenskomstpart) indebærer, at driftsoverenskomstparten overtager ansvaret for at udføre opgaven med at udbyde FVU jf. FVU-bekendtgørelsen § 19, stk.1 og FVU/ordblindelovens § 7.

Driftsoverenskomstpartens leder har den administrative og pædagogiske ledelse af institutionen og træffer alle konkrete afgørelser om den enkelte deltager, herunder om deltagerens adgang til undervisning jf. FVU/ordblindelovens § 18.

VUC/driftsherren kan ikke instruere uddannelsesinstitutionen/driftsoverenskomstparten i hvordan denne skal udføre sine administrative og pædagogiske opgaver.

Persondata indsamles og behandles af driftsoverenskomstparten til brug for dennes udførelse af sin opgave som denne har fået delegeret af driftsherren. Med driftsoverenskomstaftalen er råderetten over formålet blevet delegeret fra driftsherren til driftsoverenskomstparten. Sidstnævnte bestemmer derfor over formålet med behandlingen og har som følge af FVU/ordlindelovens § 18 også råderetten over hvilke hjælpemidler der anvendes i forbindelse med at opfylde formålet.

Uddannelsesinstitutionen/driftsoverenskomstparten er derfor selvstændigt dataansvarlig.

Er der tale om en databehandlerkonstruktion som kræver en databehandleraftale?

Driftsherren behandler ikke persondata på vegne af driftsoverenskomstparten og der skal derfor ikke indgås en databehandleraftale imellem dem for den opgave som driftsoverenskomstparten udfører i forbindelse med undervisningen.

Skal der indgås en databehandleraftale mellem driftsherre og driftsoverenskomstpart for de indberetninger som driftsherre laver til undervisningsministeriet?

Når Driftsherren indberetter data til undervisningsministeriet som oprindeligt blev indsamlet af driftsoverenskomstparten skal der ikke indgås en databehandleraftale, hvis indberetningerne sker i samme studieadministrative system som anvendes af driftsoverenskomstparten. Her vil det være tilstrækkeligt med en fortrolighedserklæring.

Når driftsherren indberetter data til undervisningsministeriet som oprindeligt blev indsamlet af driftsoverenskomstparten skal der indgås en databehandleraftale, hvis driftsherren har fået personoplysningerne tilsendt fra driftsoverenskomstparten på en sådan måde at personoplysningerne sendes ’’ud af huset’’ og opbevares i driftsherrens selvstændige server, og hvis denne server hverken deles med eller anvendes af driftsoverenskomstparten.

Man kan med fordel anvende Datatilsynets skabelon for en databehandleraftale.

Tilfælde, hvor der er tale om fælles dataansvar

Som nævnt oven for er driftsherren ikke databehandler for driftsoverenskomstparten for de oplysninger som sidstnævnte behandler i forbindelse med at forestå FVU. Der skal derfor ikke indgås en databehandleraftale for denne del.

Hvis driftsoverenskomstparten indberetter personoplysninger i et studieadministrativt system som anvendes af driftsherren, og hvis driftsherren samtidig anvender de samme personoplysninger til egne formål og hvis driftsoverenskomstpartens oprindelige indberetning er en forudsætning for at driftsherren kan opfylde sine formål vil der være tale om et fælles dataansvar.

Der vil i sådanne situationer skulle indgås en aftale om fælles dataansvar mellem driftsherren(VUC) og driftsoverenskomstparten(uddannelsesinstitutionen).

Man kan med fordeling anvende Datatilsynets skabelon til en aftale om fælles dataansvar.