Skolan får och ska behandla elevers personuppgifter när det finns en laglig grund för detta. Det finns flera lagliga grunder för behandling av personuppgifter, men för skolan är den vanligaste grunden myndighetsutövning och allmänt intresse.

I företagens värld är samtycke den vanligaste, d.v.s. att du godkänner att företaget får använda dina personuppgifter. I skolans värld ska samtycke undvikas - endast när det inte finns andra lagliga grunder kan samtycke användas. När elev/vårdnadshavare gett sitt samtycke för behandling av personuppgifter har denne rätt att när som helst ta tillbaka samtycket. Är den lagliga grunden myndighetsutövning eller allmänt intresse kan man dock inte kräva att personuppgiftsbehandlingen ska upphöra.

Samlade personuppgifter är enligt DSF ett register. Som skolorganisation behöver vi, för att kunna fullgöra vårt uppdrag, bl.a. elevregister (för betygsättning, närvarohantering, ansökan till gymnasiet m.m.) och personalregister (för löneutbetalning m.m). Huvudmannens ansvar är att säkerställa att alla sådana register är registrerade hos den personuppgiftsansvarige (utbildningsnämnden - UBN) och att ändamålet för registren är godkända och har laglig grund.

Lärare har också material som ligger till grund för myndighetsutövningen, betygsättning, egna listor/register (på papper eller digitalt) där de dokumenterar kunskapsutvecklingen för sina elever/klasser. Även dessa arbetsmaterial är register och ska hanteras i enlighet med DSF.