GDPR-vurdering af apps i Dagtilbud

Grønne apps kan anvendes i dagtilbud uden at persondata kompromitteres.

Gule apps kan anvendes i dagtilbud uden at persondata kompromitteres, hvis følgende overholdes: 

• Log ikke ind med e-mail
• Del aldrig data gennem appens indbyggede delingsfunktioner, sociale medier, YouTube og andre fildelingstjenester.

Del gennem Aula og INFOBA

Gladsaxe Kommune har databehandleraftaler med leverandørerne af Aula og INFOBA, som sikrer at følsomme persondata opbevares og forvaltes forsvarligt.

En generel rettesnor er derfor kun at dele video, billeder, lyd, tegninger eller tekst, som kan indeholde personfølsomme data gennem Aula og INFOBA.

Røde apps må ikke anvendes af børn i dagtilbud, da de enten indsamler, gemmer eller anvender brugerens persondata, eller ikke klart afviser at gøre det. 

Blå apps er enten udgåede eller ikke er tilgængelige, men er de installeret, kan de måske fortsat bruges.

Den oprindelige kategorisering i forhold til GDPR fremgår af listen, hvor farven i kommentarfeltet til højre for GDPR-vurderingen indikerer, appens oprindelige vurdering.

Vurderingen af de enkelte apps til dagtilbud fremgår af listen.

Apps har ofte forskellige navne på dansk og engelsk. Begge navne fremgår af listen. 

Apps til dagtilbud er oplistet alfabetisk efter de engelske navne i tre kategorier:

• Leg og lær i børnehøjde
• Apps til brug med digitalt legetøj og robotter 
• Apps til voksenbrug

I dagtilbud har hvert børnehus sin lokale GLX App Store, der indeholder de apps, som lederen har bestilt. Disse apps kan installeres uden brug af Apple ID og adgangskode. 

Det er antallet af bestilte licenser til hver app, der afgør, hvor mange iPads appen kan være installeret på samtidig. Hvis en app ikke vises i GLX App Store, kan det skyldes, at den allerede er installeret på det antal iPads, børnehuset har licenser til. For at installere appen, kan appen slettes på en anden iPad, så der frigøres en licens, eller også skal lederen af børnehuset bestille flere licenser til den pågældende app. 

Det er muligt for en områdeinstitution at bestille fælles apps. Fælles apps er betegnelsen for apps, der er tilgængelige i alle områdets børnehuses GLX Apps Stores, så længe der er ledige licenser.

De enkelte børnehuse betaler selv for de apps, de bestiller. Gratis apps kan frit bestilles i stort antal, så de kan installeres på alle børnehusets iPads, hvis det ønskes. For apps der skal betales, opnår kommunen ofte en klækkelig mængderabat. 

Nyt system/app

Følg reglerne for indkøb af systemer/apps i Gladsaxe Kommune.

Opstart ved ny system/app

1: Undersøgelse om system/app opsamler, lagrer og videresender persondata. 
​Ansvar: Systemkonsulent

• 2: Nej: Ingen persondata
  System/app kræver ikke en databehandleraftale og kan bruges. Der kan dog være forbehold i brugen af system/app.
• 2: Ja: Persondata
  
  1. Udpeg en faglig bruger/systemadministrator til system/app. 
     Ansvar: Institution
  2. Indhent databehandleraftale hos leverandør.
     Ansvar: Systemkonsulent
  3. Send databehandleraftalen til godkendelse hos Informationsikkerhedskonsulenterne i Sekretariat og Politik Betjening på Rådhuset.
     Ansvar: Systemkonsulent

​En databehandleraftale er lovpligtig i henhold til Datatilsynet. Databehandleraftaler ændres kun, hvis der er væsentlige ændringer i systemet/appen. 

Årshjul: System/app er i brug

1. Ajourfør systemet/app med brugerrettigheder mv. er korrekt, mindst én gang om året. 
   Ansvar: Institution/Leverandør
2. Kontrollér logning i systemet/app er korrekt.
   Ansvar: Systemkonsulent/Institution
3. Indhent revisorerklæring, hvis den ikk er modtaget indenfor det sidste år.
   Ansvar: Systemkonsulent
4. Kontrollér databehandleraftale med revisorerklæringen. Hvis der ikke er ændringer, som kræver en ny databehandleraftale, så fortsæt, ellers start ved punkt 2 i afsnittet "Opstart ved nyt system/app".
   Ansvar: Informationssikkerhedskonsulent
5. Lav risikovurdering af systemet/app.
   Ansvar: Systemkonsulent, Faglig bruger, Systemadministrator, Informationssikkerhedskonsulent
   Udfyld spørgeskemaet, nogle svar findes i:
   
   • Databehandleraftalen
   • Revisorerklæringen
   • Viden fra Den Faglige Bruger/Systemadministrator
   • Leverandøren
6. Ajourfør KITOS
   Ansvar: Systemkonsulent
7. Kræver systemet/appen en nødplan?
   
   • Nej: Alt okay
   • Ja: Udarbejd en nødplan for system/app.
     Ansvar: Systemkonsulent/Informationssikkerhedskonsulent
8. Kræver systemet/appen en brugervejledning?
   
   • Nej: Alt okay
   • Ja: Udarbejd en brugervejledning for systemet/appen.
     Ansvar: Faglig bruger/Systemadministrator

En risikovurdering skal altid udarbejdes ved opstart, og løbende i forhold til hvor stor mængde persondata, der findes i systemet, svarende til mellem to måneder og to år. 

Ad hoc opgaver

1. Databrud er brud på sikkerheden
   
   • Hvem? 
     Institutionen
   • Hvornår?
     Ved nedbrud eller brud på datasikkerheden
   • Hvordan?
     Henvendelse til informationssikkerhedskonsulenterne
2. Indsigtsanmodning
   
   • Hvem?
     Medarbejder, elev og forældre
   • Hvornår?
     Sker altid på anfordring
   • Hvordan?
     bys@gladsaxe.dk, e-boks eller på tlf.: 39 57 51 13
   • Ansvar
     Institutionen

Aktører

• Faglig bruger/Systemadministrator
  Den pædagog/lærer som har et indgående fagligt kendskab til systemet/appen. 
  Ved større og mere tværgående systemer/apps vil det være en systemadministrator.
  Fokus er på faglighed af system/app.
• Institution
  Den enkelte institutions ledelse/administrator/it-ansvarlig/tekniker.
  Fokus er på administration af den enkelte institution.
• Systemkonsulent
  Tværfaglig systemadministrator af systemer/apps og kontakt til leverandøren af system/app.
  Fokus er på den administrative del af GDPR.
• Informationssikkerhedskonsulenter
  Godkendelse af databehandleraftaler og udarbejdelse af risikoanalyser.
  Fokus er på den juridiske del af GDPR.
• Leverandør
  Leverandør af system/app.
  Fokus er på system/app.

Læs om baggrunden for arbejdet med GDPR. og få en uddybende beskrivelse af GPV's arbejdsgang i forbindelse med vurdering af apps.

GPV's beskrivelse af GDPR-arbejdsgang: Vurdering af Apps