Dataskyddsförordningen

Dataskyddsförordningen (DSF) är det svenska namnet för General Data Protection Regulation (GDPR). Den gäller från den 25 maj 2018 och syftet är att skydda Europas medborgares personuppgifter från att missbrukas.

Förenklat kan man beskriva det som att du lånar ut dina personuppgifter till företag och organisationer. Bara de du lånat ut uppgifterna till har rätt att behandla dem (behörighet) och de måste göra sig av med uppgifterna när de inte längre behöver dem eller har rätt att använda dem (gallring).

Personuppgift

En personuppgift är all typ av information som kan identifiera en levande person. (namn, personnummer, fingeravtryck, DNA m.m.).

I skolan hanterar vi personuppgifter inom ramen för vårt myndighetsutövande. Personuppgifter är emellertid olika skyddsvärda enligt DSF. När du hanterar känsliga eller integritetskänsliga personuppgifter ställs särskilda krav på hur du hanterar dem, i vilket system.

Känsliga personuppgifter

1. etniskt ursprung,
2. politiska åsikter,
3. religiös eller filosofisk övertygelse,
4. medlemskap i fackförening,
5. hälsa
6. sexualliv eller sexuell läggning
7. biometriska uppgifter (exempelvis fingeravtryck)

I skolan hanteras bara känsliga personuppgifter när det finns grund för det i vårt myndighetsutövande. Det kan vara att en elev läser hemspråk (avslöjar etnicitet) eller att elevhälsan registrerar uppgifter om elevers hälsa. De system som hanterar dessa uppgifter har särskilt höga krav på säkerhet och behörighet. Som lärare och rektor ska du utforma undervisningen så att inte känsliga personuppgifter inhämtas. Flytta aldrig uppgifter som är känsliga ut ur system som har rätt att förvara dessa.

Integritetskänsliga personuppgifter (uppgifter som inte är känsliga enligt definitionen ovan, men ändå extra skyddsvärda) Exempelvis:

• Betygsunderlag och omdömen i svit
• Bedömningar
• Uppgifter om hemförhållanden och beteendeproblematik
• Fullständigt personnummer

I skolan hanterar vi ofta integritetskänsliga personuppgifter. Dessa får emellertid bara behandlas om det är nödvändigt och i system med extra skydd. Det är därför som vissa delar i Hjärntorget (bedömningsmatriser, utvecklingssamtal) ligger bakom tvåstegsinloggning. Som lärare och rektor är det viktigt att säkerställa att du bara hanterar dessa uppgifter i system som är godkända för detta.

Behörighet

I skolan har vi olika behörighet till våra IT-system. Alla lärare kan t.ex. inte se alla elevers resultat, alla rektorer kan inte se alla elevers frånvaro. Begränsningar i behörighet följer personuppgifternas känslighetsgrad. Ju känsligare uppgifter systemen hanterar desto färre personer har behörighet att använda dem. UBF hanterar känsliga personuppgifter om hälsa i bl.a. PMO och det är därför bara rektorer och viss elevhälsopersonal som har behörighet där. Behörigheten är också begränsad till de elever som t.ex. elevhälsopersonalen har i sin organisation.

I grunden kan man tänka att som myndighetsutövare har jag bara rätt att se och behandla uppgifter för de elever som finns inom mitt myndighetsutövande. Exempelvis:

• En rektor på ett program har inte rätt att se en annan rektors elever.
• En specialpedagog har bara rätt att se information om de elever som hen faktiskt hanterar.
• En lärare i Kinesiska har inte rätt att se eller behandla uppgifter för en elev i matematik.

Alla tjänster eller register som innehåller personuppgifter ska vara registrerade och godkända för användande hos huvudmannen. Det innebär att

• det genomförts en riskanalys och informationssäkerhetsklassning
• att syftet med behandlingen är klargjort och dokumenterat
• att ett personuppgiftsbiträdesavtal tagits fram (reglerar hur IT-leverantören får använda personuppgifterna)
• att en användarinstruktion tagits fram där bla gallring och behörighet beskrivs

För nya IT-system tar IT-avdelningen alltid fram användarinstruktioner (appar och Tjänster UBF).