Behandling og opbevaring af personoplysninger

Personoplysninger i mails

Hvis du modtager en mail med personoplysninger af følsom eller fortrolig kararakter, skal der altid  tages stilling til om det er relevant at gemme eller om du efter at have læst mailen kan slette den.

Ofte er denne form for oplysninger relevante for en given sag. Du skal herefter sørge for at journalisere mailen ind på den relevante sag i Acadre.

Er personoplysningerne relevante for dit arbejde, men ikke nogle der skal journaliseres i Acadre, kan du opbevare den så længe du har brug for dem til din arbejdsopgave i fx. Onedrive eller Nextcloud.

Du skal stadig huske at slette mailen i Outlook, og slette på OneDrive/ NextCloud når du er færdig med at bruge oplysningerne.

Her ser du en række tænkte eksempler på mails med personoplysninger og hvordan de skal behandles:

Som modulsekretær har du modtaget en mail fra en studerende, som oplyser at hun er syg og ikke kan komme til den obligatoriske undervisning om eftermiddagen. Hun skriver at hun har haft mavesmerter og kastet op, og at hun iøvrigt var til møde i Djøf med tre andre medstuderende som alle havde spist det samme, men at hun er den eneste der er blevet syg. Hun oplyser at det også kan være, fordi hun måske er gravid.

• I  ovenstående mail er der en række følsomme oplysninger, som ikke må ligge i Outlook.
• Det er heller ikke oplysninger der hører til en given sag i Acadre.
• Du bør give oplysning videre til de relevante parter, om fraværet, men det er ikke relevant at videreoplyse om sygdommens karakter eller at hun havde været til møde i sin fagforening. 
• Når du har videregivet de relevante oplysninger kan du slette mailen i Outlook.

Som skemalægger modtager du en mail fra en underviser, som altid underviser i et bestemt fag. Det ved du, at han også skal de næste par år. Han oplyser at han aldrig kan undervise om onsdagen fra 9-12,  fordi han hver dag går til kontrol med sin sukkersyge på OUH. Han er iøvrigt blevet mere synshæmmet og ønsker at hans forelæsninger altid skal placeres i auditorum A, fordi lyset er bedst der.

• Denne type mail er ikke en der skal journaliseres, men der er oplysninger der er vigtige at have som skemalægger.
• Oplysninger som denne kan du gemme i et dokument på Onedrive. Herefter skal mailen slettes fra Outlook, og slettes fra Onedrive, når oplysningerne ikke længere er relevante for din arbejdsopgave. 

Som studiekoordinator modtager du en mail fra en studerende, som overvejer at indsende en dispensationsansøgning studienævnet om at få lov til at følge undervisning online hele semesteret, selvom der er et fremmødekrav, da han ikke synes at det passer med arbejdstiden på hans studiejob. Han oplyser herudover at han har brækket sin arm, at hans mor er syg med cancer og at han pt. får en særlig type medicin, der bevirker at han må besøge toilettet mindst 5 gange i timen, men at  medicineringen stopper få dage efter hans mail er sendt. 

• Denne mail indeholder flere personoplysninger der potentielt vil indgå i en sag. Dog er der endnu ikke tale om en konkret sag, og skal derfor som udgangspunkt ikke journaliseres i Acadre. Når du har besvaret mailen skal du herefter slette den fra Outlook.
• Dog kan det overvejes om oplysningerne har en så væsentlig karakter, at de alligevel bør journaliseres på den studerendes generelle sag i Acadre. Dette vil være en konkret afvejning, der må vurderes fra sag til sag.

Hvordan opbevares fysiske dokumenter med personoplysninger?

Der gælder samme regler for sikker opbevaring af personoplysninger, der fremgår i fysiske dokumenter. Det vil sige, at reglerne om GDPR ikke kun vedrører digitale personoplysninger.

Det er derfor kun personer med et sagligt behov, som skal have adgang til personoplysningerne.

• Det fysiske materiale med personoplysninger skal opbevares i et aflåst skab eller lign., når det ikke bruges.
• Det må kun være tilgængeligt for betroede personer.
• Det fysiske materiale skal makuleres, når formålet med opbevaring af personoplysningerne ikke længere er til stede. 

Egne personlige oplysninger:

•  Som udgangspunkt bestemmer du selv hvad du vil med dine egne personlige oplysninger, og denne typeoplysning må derfor godt stå i fx et ringbind på dit kontor. Det er en god ide, at mærke ringbindet med 'Privat'. 
  • Egne personlige oplysninger er fx. ansættelseskontrakt, MUS-referater, kursusbeviser og lign.

Andre ansattes bilag og kvitteringer

• Bilag og kvitteringer, der indeholder personoplysninger, må kun gemmes, indtil afregningen er godkendt. Herefter findes dokumenterne elektronisk i rejseafregningssystemet og skal slettes både i mailboks, på netværksdrev mm. 

Regnskabsbilag

• Regnskabsbilag skal som udgangspunkt gemmes i 5 år. For specifikke projekter kan der være krav om, at regnskabsbilagene gemmes længere.
• Dokumentation for udgifter modtages på mail og vedhæftes i økonomisystemet. Derefter slettes mailen i Outlook.

Honorarblanketter

• Mailen slettes efter blanketten er sendt til lønkontoret

Arbejdsrelaterede lister

• Arbejdstøj, kontorplacering, udlån af arbejdsudstyr, nøgler og lign. 
  • Arbejdsrelaterede lister kan placeres på fællesdrevet (T-drevet) med en formålsbeskrivelse.
  • Listerne skal holdes opdaterede og skal slettes, når der ikke længere er brug for dem.  

Private lister

• Fødselsdagslister og kage/brødlister anses som private lister.
  • Denne form for kollegiale initiativer er frivillige, og  ikke omfattet af databeskyttelsesreglerne.
  • Det anbefales, at man tydeliggør på listerne, at deltagelse af frivilligt.
  • Listerne skal holdes opdaterede, og skal slettes, når der ikke længere er brug for dem.
  • Listerne kan opbevares på fællesdrevet (T-drevet) eller på  Onedrive. 

Pårørende liste

• Det kræver samtykke, som opfyldes ved, at medarbejderen frivilligt afgiver oplysningerne, og altid kan bede om at få opdateret eller slettet oplysningerne igen.
• Gemmes kun på nuværende ansatte i en sikker mappe på onedrive .

HR-udtræk/rapporter (ledelsesinformation)

Rapporter skal som udgangspunkt blive i systemerne, så nedenstående er kun relevant hvis man laver udtræk.

• Man må kun gemme nødvendige oplysninger, som er fagligt relevant at opbevare.
• Oplysningerne skal opbevares i en sikker mappe på Onedrive.
• Udtræk og rapporter skal gennemgås jævnligt, og opdateres i fht. bl.a. fratrådte medarbejdere.
• Oplysningerne slettes løbende, når de ikke længere er relevante. 

Lønoplysninger mv. til brug for de årlige lønforhandlinger

Oplysninger forefindes i lønsystemet, men hvis man har behov for at trække oplysningerne ud:

• Gemmes i en sikret mappe på Onedrive, indtil lønforhandlinger er afsluttet. Derefter slettes oplysningerne.

Fleksskemaer

• Kan gemmes i en sikret mappe på Onedrive, så længe der er et reelt behov. Derefter slettes oplysningerne.

Omsorgsdage

• En mail med information om omsorgsdage kan gemmes i en sikret mappe på Onedrive frem til udløbet af kalenderåret (januar måned).
• Derefter slettes oplysningerne, og mailen slettes i Outlook.

Ferie

• Hvis man modtager information  fra medarbejderen om afholdelse af ferie/særlige feriedage via mail
  • Mailen kan gemmes i en sikret mappe på Onedrive frem til ferieårets afslutning, og slettes fra Outlook.   

Sygdom

• Mail fra medarbejderen/kollegaen med orientering om egen sygdom og/eller børns sygdom
  • Mailen slettes som udgangspunkt efter tastning i HR-systemet.
  • Må maksimalt opbevares i 30 dage efter modtagelsen. 
• Ved forventet langtidssygemelding (over 30 dage) sendes mailen til HR til journalisering .

Projektbeskrivelser som indeholder navn og stillingsbetegnelse på samarbejdspartnere.

• Du må opbevare personoplysninger, så længe det er nødvendigt for det formål, de er indsamlet til. Du kan dermed opbevare projektbeskrivelsen, så længe du arbejder med den, eller med det efterfølgende bevilgede projekt. Derefter skal den slettes.
• Hvis projektet ikke bevilges, og du ønsker at opbevare projektbeskrivelsen til senere ansøgninger, skal du anonymisere den, så den ikke indeholder personoplysninger.
• Hvis der er følsomme personoplysninger, gælder andre regler for opbevaring (opbevaring i max. 30 dage).

Artikler og rapporter, der indeholder navn, mail, stillingsbetegnelse, tlf. nr. osv.

• Er der tale om offentliggjorte artikler og rapporter, må de gerne opbevares.
• Er artiklerne og rapporterne endnu ikke offentliggjort, afhænger det af, hvad formålet med at opbevare dem er.  

Endelige kontrakter på forsknings- og rådgivningsprojekter

• Du skal sende endelige kontrakter på forsknings- og rådgivningsprojekter til SDU RIO.