Datatilsynet afslutter tilsyn med frie grundskolers behandling af personoplysninger uden kritik, men med anbefalinger til forbedring

Datatilsynet har gennemført et tilsyn med 25 frie grundskoler for at undersøge deres behandling af personoplysninger, særligt vedrørende videregivelse, indsigt og sletning. Tilsynet var afdækkende og fokuserede på skolernes generelle overholdelse af databeskyttelsesreglerne uden at vurdere enkeltsager.

Fokusområder for tilsynet:

• Hjemmel til videregivelse af personoplysninger, især elektronisk videregivelse via e-mail og platforme som Forældreintra.
• Håndtering af anmodninger om indsigt i henhold til Databeskyttelsesforordningen § 15.
• Sletning af personoplysninger i henhold til Databeskyttelsesforordningen § 17.

Datatilsynet konstaterede, at der generelt er behov for forbedring i skolernes identifikation af kategorier af personoplysninger, formål med behandlingen og behandlingshjemmel. Det blev understreget, at det ikke er tilstrækkeligt blot at angive, at behandling er "nødvendig" eller sker i henhold til gældende lovgivning; der skal henvises til en specifik behandlingshjemmel.

Særlige bemærkninger:

• Samtykke: Skolerne bør overveje, om samtykke er det mest hensigtsmæssige behandlingsgrundlag, da det kan give registrerede en fejlagtig forventning om kontrol over behandlingen.
• Kontrakt: Ved brug af Databeskyttelsesforordningen § 6, stk. 1, litra b (kontrakt) skal det påvises, at der foreligger en gyldig kontrakt, og at behandlingen er nødvendig for at opfylde den.
• Retlig forpligtelse og samfundets interesse: Anvendelse af Databeskyttelsesforordningen § 6, stk. 1, litra c (retlig forpligtelse) og Databeskyttelsesforordningen § 6, stk. 1, litra e (samfundets interesse) kræver et supplerende retsgrundlag i EU-retten eller national ret.
• Interesseafvejningsreglen: Ved anvendelse af Databeskyttelsesforordningen § 6, stk. 1, litra f skal der foretages en afvejning af den dataansvarliges legitime interesser over for den registreredes interesser.
• Særlige kategorier af personoplysninger: Behandling af følsomme personoplysninger kræver identifikation af en undtagelse i .