sou · H5B349 · 2017-06-02 00:00:00 — Yttrandet riktar sig uttryckligen huvudsakligen till de som hante- rar uppgifter om barn och i skolsammanhang främst till lärare och skolmyndigheter. Yttrandet innehåller avsnitt om hur uppgifter i elevfiler bör hanteras såsom t.ex. information till den registrerade (vårdnadshavare), ändamålsbegränsningar och proportionalitet, icke- diskriminering, vem som ska få tillgång till uppgifterna och bevaran- de och utplånande av uppgifter. Vidare behandlas även frågor om uppgifter om elevers hälsotillstånd, webbplatser och foton av elever. 3 Artikel 29-gruppen för uppgiftsskydds yttrande 2/2009 om skydd för uppgifter om barn (Allmänna riktlinjer och specialfallet skolor). Beträffande elevfiler anges bl.a. att personuppgifter får tas med i elevfiler endast om de är nödvändiga för berättigade ändamål som skolorna strävar efter att uppnå. Uppgifterna får inte användas på ett sätt som är oförenligt med sådana ändamål. De uppgifter som begärs får inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka uppgifterna samlas in (t.ex. är uppgifter om för- äldrarnas akademiska examen eller yrke inte alltid nödvändiga). Behandling av vissa uppgifter i elevfiler kan ge upphov till diskri- minering, t.ex. uppgift om invandrarstatus eller funktionsnedsätt- ning. Det konstateras att sådana uppgifter i regel inhämtas i syfte att trygga att skolan är medveten om och ägnar erforderlig uppmärk- samhet t.ex. åt elever med kulturellt betingade problem såsom språk- problem. Principen om barnets bästa och principen om ändamåls- begränsning bör vara de relevanta kriterierna vid behandling av såda- na uppgifter. Det intas en mycket strikt hållning när det gäller införande av uppgifter om elevers religion i elevfiler. När det av administrativa skäl införs en uppgift om att en elev har särskilda kostönskemål i fråga om skolmat bör det inte i onödan dras några slutsatser om elevens reli- gion. Alla uppgifter som kan ge upphov till diskriminering måste skyd- das genom lämpliga säkerhetsåtgärder och genom andra lämpliga åtgärder. Samtycke till behandling av alla uppgifter som kan ge upp- hov till diskriminering måste vara otvetydigt. Behandling av uppgifter av särskild karaktär – t.ex. uppgifter om disciplinförfaranden, läkarbehandling i skolan, skolans inriktning (t.ex. när det rör sig om en skola som vilar på religiös grund) eller särskild utbildning för funktionshindrade – måste vara underkastad särskilda säkerhetskrav. Elevens vårdnadshavare och eleven själv, om han eller hon uppnått tillräcklig mognadsgrad, bör ges tillgång till uppgifterna i elevfiler. För övrigt bör tillgången till uppgifterna vara strängt reglerad och begränsad till skolmyndigheter, skolinspektörer, hälso- och sjukvårdspersonal, socialarbetare och rättsvårdande organ. Den allmänna principen om att personuppgifter inte ska bevaras än vad som är nödvändigt för de ändamål för vilka uppgifterna insamlades är giltig även när det gäller elevfiler. Vidare konstateras att uppgifter om elevers hälsotillstånd är käns- liga personuppgifter och att dessa bör behandlas endast av läkare och andra personer som direkt ”har hand om” eleverna, såsom lärare och annan skolpersonal som är bunden av tystnadsplikt. För behandling av uppgifter om elevers hälsotillstånd krävs det antingen att vårdnads- havarna har gett sitt samtycke eller att behandlingen är nödvändig för att skydda grundläggande intressen som har att göra med skolan eller utbildningen. Beträffande skolwebbplatser uttalas att spridning av personinfor- mation via webbplatser kräver ett striktare iakttagande av grundläg- gande principer för uppgiftsskydd, särskilt uppgiftsminimering och proportionalitet. I syfte att skydda sådan information rekommen- deras skolorna att använda mekanismer för begräsning av tillträdet till webbplatserna, t.ex. genom inloggning med hjälp av användar-id och personlig säkerhetskod. I yttrandet anges att publicering av fotografier av eleverna på internet bör göras grundat på en bedömning av vilken typ av foto det rör sig om, av om det är lämpligt att lägga ut fotot på nätet och av syftet med utläggningen. Eleverna och vårdnadshavarna bör på för- hand underrättas om publiceringen, men samtycke behöver inte nöd- vändigtvis inhämtas av vårdnadshavarna om det gäller gruppfoto och det inte är enkelt att identifiera eleverna (och det är tillåtet enligt nationell lagstiftning). Om en skola har för avsikt att lägga ut indi- viduella foton av eleverna med uppgift om deras identitet, måste den först inhämta vårdnadshavarnas och – beroende på elevernas mog- nadsgrad – elevernas tillstånd för detta. Artikel 29-gruppen drar slutsatsen att bestämmelserna i den gällande rättsliga ramen i de flesta fall på ett ändamålsenligt vis säker- ställer skyddet för uppgifter om barn. En förutsättning för ett ända- målsenligt skydd för barnets integritet är dock att bestämmelserna tillämpas med beaktande av principen om att barnets bästa ska kom- ma i främsta rummet och med beaktande av barnets och vårdnads- havarnas specifika situation. Vid Datainspektionens granskning av skolor 2001 konstaterades att it-system användes i begränsad omfattning för att lagra personupp- gifter om elever.4 En kartläggning visade att skolorna använder centrala it-system inte bara för elevadministration utan också för att hantera uppgifter om sjukdom, frånvaro, betyg och indi- viduella utvecklingsplaner. Datainspektionen fann dock att det fanns stora brister i hur personuppgifterna hanterades i skolorna. För att komma till rätta med de vanligaste bristerna tog Datainspektionen fram en särskild checklista för skolor som använder sig av it-stöd i elevadministrationen. Det är skolans huvudman som har det yttersta ansvaret för hur personuppgifter behandlas. Datainspektionens lista behandlar bl.a. hur fritextfält bör användas, frågor om närvarorap- portering och vilken slags säkerhetsnivå skolans it-system ska hålla om det innehåller s.k. integritetskänsliga personuppgifter och är tillgängligt via internet.5 Datainspektionen gjorde en uppföljning av kartlägg- ningen och kunde konstatera att det fortfarande fanns brister i hur skolorna hanterar personuppgifter om elever och för- äldrar i sina it-system, men de brister som uppmärksammades rörde dock främst bevarande och gallring av personuppgifter.6 I uppföljning 2015 av it-användningen och it-kompe- i förskola, skola och vuxenutbildningen konstateras att it- utrustningen ökar i förskola, grundskola och gymnasieskola jäm- fört med senaste uppföljningen 2012.7 Vidare framgår att både elever och lärare använder it i skolan allt oftare. till eleverna använde de 2015 jämfört med it oftare både till skoluppgifter och på lektionerna och lärarna använde it i allt större utsträckning för olika arbetsuppgifter. Uppemot hälften av eleverna i årskurs 7–9 använde dator, surfplatta eller smartphone på alla eller de flesta lektionerna i svenska och samhällsorienterade 4www.datainspektionen.se/press/nyheter/2008/stora-brister-i-hur-skolor-hanterar- personuppgifter/ 5www.datainspektionen.se/press/nyheter/2008/stora-brister-i-hur-skolor-hanterar- personuppgifter/ 6www.datainspektionen.se/press/nyheter/2009/fortsatta-brister-i-hur-skolor-hanterar- personuppgifter/ 7Skolverkets rapport: IT-användning och IT-kompetens i skolan, IT-uppfölj- ning 2015, dnr 2015:00067. I gymnasieskolan använde närmare sju av tio elever dator eller surfplatta på alla eller de flesta lektionerna i svenska och samhällskunskap. Många skolor, sju av tio grundskolor och åtta av tio gymnasie- skolor, använde 2015 s.k. molntjänster som t.ex. Google apps, Office 365 och iCloud. En molntjänst innebär möjligheten att t.ex. hantera program och datalagring på en extern resurs. Antalet skolor som använder sig av internetbaserade plattformar för samarbetet mellan elever och lärare har också ökat . Sådana plattformar användes 2015 i av de kom- munala grundskolorna, i av de fristående grundskolorna, i av de kommunala gymnasieskolorna och i av de fristående gymnasieskolorna. Även andelen skolor som använde en internetbaserad plattform för kommunikationen mellan vård- nadshavare och skola har ökat. Många skolor har en egen webbplats. Sådana webbplatser används oftare i gymnasieskolor än i grundskolor. Vanligt förekommande tjänster i skolorna är möjligheten att via skolans webbplats eller internetbaserade plattform få åtkomst till bl.a. schema, läxor och hemarbeten, skolresultat och funktioner för frånvaroanmälan. Av redovisning av uppdraget om att före- slå nationella it-strategier för skolväsendet8 framgår att marknaden för digitala läromedel är ganska liten. Av de läromedel som såldes av förlag anknutna till Svenska Läromedel var digitala. Vidare anges att det utvecklas en typ av verk- tyg som registrerar elevernas arbete och resultat för att skapa bättre möjligheter att följa dessa och deras kunskapsutveckling. I verktygen kan uppgifter om t.ex. den tid en elev använt för en uppgift eller interaktion med andra elever registreras. Än så länge sker detta främst inom ramen för enstaka produkter men det utvecklas också verktyg som avser att samla data från olika källor och presentera samlat för läraren. Det här området benämns learning analytics. Learning analytics handlar om att samla och analysera data på olika nivåer för att förbätt- 8 redovisning av uppdraget om att föreslå nationella IT-strategier för skolväsen- det, dnr 2015:01153, IT-strategi som vänder sig till förskolan, föreskoleklassen, fritidshem- met och den obligatoriska skolan, s. 32 ff. och IT-strategin som vänder sig till gymnasiesko- lan, gymnasiesärskolan och skolväsendet för vuxna, s. 42 ff. ra förutsättningarna för elevers lärande. Det handlar också om att ge stöd för lärarens bedömning liksom beslutsstöd på huvudmannanivå.9 Förhoppningen är att den insamlade informationen kan bearbetas och presenteras överskådligt och därigenom underlätta för läraren att bl.a. individualisera undervisningen och ge eleven underlag för reflek- tion kring det egna lärarandet. konstaterar i sitt delbetänkande10 att digi- tala lärplattformar, dvs. internetbaserade system som möjliggör olika sorters interaktivitet och kommunikation mellan elever, lärare och vårdnadshavare, kan möjliggöra en detaljerad loggning av elevens aktiviteter med information om t.ex. när eleven arbetar i systemet, hur eleven interagerar och kommunicerar med lärare och andra elever och hur aktivt eleven arbetar med sina olika ämnen i systemet. Denna information skulle genom learning analytics kunna användas för att få veta mer om elevens inlärningsprocess. Learning analytics är ännu i sin linda. bevakar området learning analytics för att kunna iden- tifiera behov av reglering respektive bidra till utvecklandet av stan- darder för utbyte av information inom skolväsendet.11 Utredningen om nationella prov har i betänkandet Likvärdigt, rättssäkert och effektivt – ett nytt system för kunskapsbedömning, SOU 2016:25, föreslagit bl.a. att en särskild lag om behandling av personuppgifter i en försöksverksamhet med digitaliserade nationella prov ska införas. Det ingår dock inte i utredningens uppdrag att se över den föreslagna lagen och den behandlas därför inte i detta betän- kande. Av beskrivningen i föregående avsnitt framgår att det inom den skol- lagsreglerade verksamheten används olika it-system. Genom använd- ningen av dessa behandlas elevernas personuppgifter i olika samman- hang. Att här ange samtliga behandlingar som sker hos berörda 9www.skolverket.se/skolutveckling/resurser-for-larande/itiskolan/digitala- larresurser/learning-analytics-1.223404 (Senast granskad: ) 10Hur står det till med den personliga integriteten? SOU 2016:41, s. 181 f. 11Skolverkets redovisning av regeringsuppdraget om att föreslå nationella IT-strategier för skolväsendet förskolan etc. s. 33 och gymnasieskolan etc. s. 45. huvudmän och aktörer låter sig inte göras. Utifrån utredningens uppdrag, att det när dataskyddsförordningen ska börja tillämpas ska finnas en reglering som möjliggör en ändamålsenlig behandling inom utbildningsområdet, ges nedan därför en översiktlig beskrivning endast av de huvudsakliga behandlingarna som sker inom området. Personuppgifter om elever behandlas i skolväsendet för elevadmi- nistrativa ändamål för att kunna planera, genomföra och följa upp elevernas utbildning. Inom kommunernas organisation för bl.a. mottagande och erbju- dande av plats i de olika skolformerna behandlas bl.a. elevens namn, personnummer, adress, vårdnadshavare och kontaktuppgifter till des- sa. Det kan också förekomma att känsliga personuppgifter behandlas, t.ex. uppgifter om elevens hälsotillstånd. Inom skolornas elevadministration behandlas uppgifter om bl.a. elevens namn, personnummer, adress, vårdnadshavare och kontakt- uppgifter till dessa. Vid skapandet av klasslistor behandlas person- uppgifter i form av namn och adress. I skolorna behandlas också elevens personuppgifter i samband med att de registrerar elevers från- varo respektive närvaro (7 kap. 17 § skollagen), för dokumentation för att kunna skriva utvecklingsplaner och i utvecklingsplanen (t.ex. 10 kap. 12 och 13 §§ skollagen). Vid upprättandet av t.ex. en lista över elevers ämnesval, såsom språkval och modersmålsundervisning (t.ex. 10 kap. 7 § skollagen), behöver också personuppgiftsbehand- ling ske. Även vid dokumentation inför betygssättning och av själva betygssättningen (3 kap. 13 § skollagen), t.ex. i betygsregister, behandlas elevernas personuppgifter i form av namn, personnummer och betyg i ämnen, kurser och gymnasiearbete. När en skola utreder och beslutar om stödåtgärder (t.ex. 3 kap. 5 a och 8 §§ skollagen) respektive åtgärdsprogram (3 kap. 9 § skol- lagen) behandlas också personuppgifter. Om disciplinära åtgärder vidtas ska dessa dokumenteras skriftligt (5 kap. 24 § skollagen) var- vid personuppgiftsbehandling sker. Personuppgifter behandlas även inom elevhälsan, t.ex. i samband med allmänna hälsokontroller som ska erbjudas i vissa skolformer (2 kap. 26 § skollagen) eller vid specialpedagogiska insatser (2 kap. 25 § skollagen). Även vid lämnande av information till eleven eller elevens vård- nadshavare (3 kap. 4 § skollagen) kan personuppgiftsbehandling bli aktuell beroende på hur informationen lämnas t.ex. genom ett e-post- meddelande. Beroende av val av it-lösning kan det administrativa systemet vara integrerat med funktioner för det dagliga pedagogiska och admi- nistrativa arbetet för lärarna med t.ex. närvarohantering, betygs- sättning, provscheman, planeringar, nyheter, elevinlämningar och kommunikation mellan lärare och elev respektive vårdnadshavare. Elevernas personuppgifter kan även behandlas automatiskt i undervisningen genom att t.ex. en lärare anvisar eleverna till att lämna in en uppsats via en lärplattform eller via e-post. En annan situation där det sker personuppgiftsbehandling är om eleverna får ett konto på skolans server eller får en bärbar dator och eleverna använder dessa till att t.ex. skriva sina elevarbeten eller leta efter information på internet. Känsliga personuppgifter kan förekomma vid vissa personupp- giftsbehandlingar, t.ex. i uppgiftssamlingar om allergier inom elev- hälsan och skolmatsalen, uppgifter om funktionsnedsättning och olika diagnoser i elevhälsan, elevvårdsteam och åtgärdsprogram. I utvecklingsplaner kan integritetskänsliga omdömen och bedömningar av elevernas möjligheter att nå kunskapskrav förekomma. Personuppgiftsbehandling förekommer också i form av att barnen fotograferas av personalen i syfte att dokumentera verksamheten inom främst förskolan. Personuppgiftsbehandling i form av ljud- och filminspelningar kan även förekomma i undervisningssammanhang och elevarbeten. Även i skolbiblioteken behandlas elevernas personuppgifter för att personalen ska kunna ha kontroll över vilka böcker som är utlå- nade till vem. I förskolorna, fritidshemmen och pedagogisk omsorg behandlas barnens och elevernas personuppgifter i form av i vart fall namn för att kunna planera och genomföra respektive uppdrag att stimulera barnens och elevernas utveckling och lärande. Personalen i respek- tive verksamhet behöver även kunna notera när ett barn eller en elev kommit respektive gått för dagen. Även inom dessa verksamheter kan det finnas behov av att kunna behandla känsliga personuppgifter, t.ex. uppgifter om allergier. Huvudmän för fristående förskolor och skolor behandlar även barnens respektive elevernas personuppgifter i samband med att de informerar kommunen om att de tagit emot ett barn eller en elev för att huvudmannen ska få bidrag från hemkommunen (t.ex. 9 kap. 19 § och 10 kap. 37 § skollagen). I de fall en elev har ett omfattande behov av särskilt stöd eller ska erbjudas modersmålsundervisning ska hem- kommunen betala ett tilläggsbelopp (t.ex. 9 kap. 21 § och 10 kap. 39 § skollagen). I ansökan om tilläggsbelopp förekommer känsliga person- uppgifter om eleven, t.ex. uppgift om funktionsnedsättning och behov av tekniska hjälpmedel. Skolorna behandlar även elevernas personuppgifter vid resultat- uppföljningar som görs för dels huvudmannens systematiska kvali- tetsarbete (4 kap. 3 § skollagen), dels nationell uppföljning och utvärdering (26 kap. 25 § skollagen, förordning [1992:1083] om viss uppgiftsskyldighet för huvudmännen inom skolväsendet m.m. och föreskrifter [SKOLFS 2011:142] om uppgiftsinsamling från huvudmännen inom skolväsendet m.m.). Elevhälsan omfattar medicinska, psykologiska, psykosociala och specialpedagogiska insatser. Den del av elevhälsan som består av den medicinska grenen (hälso- och sjukvård) anses utgöra en självständig verksamhetsgren i förhållande till den övriga elevhälsan. För den personuppgiftsbehandling som sker inom hälso- och sjukvården som bedrivs på skolorna gäller patientdatalagen (2008:355). Förutom patientdatalagen med tillhörande förordning innehåller Socialstyrel- sens föreskrifter och allmänna råd (HSLF-FS 2016:40) om journal- föring och behandling av personuppgifter inom hälso- och sjukvården bestämmelser om dokumentation. Vid vård av patienter ska det föras patientjournal (3 kap. 1 § patientdatalagen). Syftet med journalen är i första hand att bidra till en god och säker vård av patienten. För skolsköterskan och skol- läkaren är journalen för elevhälsans medicinska insats ett underlag för att bedöma eventuella behov av uppföljning eller åtgärder utifrån tidi- gare undersökningsfynd eller åtgärder. Det kan till exempel gälla uppföljning av en ryggundersökning som genomförts i den egna elevhälsan eller i en annan elevhälsa. Journalen för elevhälsans medi- cinska insats är även en informationskälla för vårdnadshavaren och eleven. Även skolpsykologer brukar ingå i hälso- och sjukvårdsperso- nalen och har skyldighet att föra patientjournal. Huruvida en skol- psykologs utredning av och insatser för en elev är hälso- och sjuk- vård eller inte beror på dess karaktär. Om skolpsykologen gör en individuell utredning av elevens psykiska hälsa i en patient- och behandlarrelation är verksamheten hälso- och sjukvård. En sådan utredning kan bl.a. ha sin grund i att det pedagogiska arbetet inte fungerar. Om utredningen och insatserna i stället är av mer generell karaktär och främst är knutna till den pedagogiska miljön är det emellertid inte hälso- och sjukvård.12 Journalföringsskyldigheten är densamma i fristående skolor som i kommunala skolor. Elevhälsans psykosociala insatser utförs vanligen av skolkuratorer och de specialpedagogiska insatserna av personal med specialpeda- gogisk kompetens. Även om en specialpedagog eller motsvarande och, i vissa fall, en skolkurator inte har någon skyldighet att föra patientjournal så har de en dokumentationsskyldighet vid handlägg- ning av enskilda elevärenden som avser myndighetsutövning (29 kap. 10 § skollagen). Det kan exempelvis vara ärenden om särskilt stöd. Personuppgiftsbehandlingen ska då göras enligt personuppgifts- lagens bestämmelser. För insatser inom ramen för faktiskt handlande finns inget dokumentationskrav. Gränsen mellan vad som är ärende- handläggning och faktiskt handlande är inte alltid helt tydlig. 4.6Rättslig grund för personuppgiftsbehandling 4.6.1Utredningens uppdrag i denna del För att personuppgifter ska få behandlas helt eller delvis automatiskt eller annan behandling ska få ske av personuppgifter som ingår i eller kommer att ingå i ett register krävs att en rättslig grund i artikel 6.1 i dataskyddsförordningen är tillämplig. Enligt artikel 6.3 första stycket ska grunden för den behandling av personuppgifter som av- ses i artikel 6.1 c och e fastställas i enlighet med unionsrätten eller den nationella rätten som den personuppgiftsansvarige omfattas av. 12 och Vägledning för elevhälsa – reviderad version 2016, s. 26. Enligt kommittédirektiven behöver det analyseras vad dataskydds- förordningens krav i denna del innebär i fråga om nationell författ- ningsreglering. ska analysera om det behövs kompletterande bestämmelser som ger ett generellt stöd för myn- digheters och andra organs behandling och lämna behövliga och lämpliga författningsförslag. När det gäller behandling av personuppgifter som utförs av myn- digheter, kommuner, landsting och enskilda inom utbildningsom- rådet, förutom forskningsverksamhet, uppdras det åt utredningen att analysera om en eller flera regleringar på nationell nivå är möjlig och kan behövas, utöver den generella reglering som Dataskydds- utredningen kommer att föreslå, för att säkerställa att nödvändig behandling av personuppgifter inom utbildningsområdet kan ske på ett ändamålsenligt sätt som enskildas fri- och rättigheter skyddas. Utredningen ska därför undersöka vilken reglering på nationell nivå av personuppgiftsbehandling inom skollagsreglerad utbildnings- verksamhet som är möjlig och kan behövas utöver dataskyddsför- ordningen och den generella reglering som kommer att föreslå och lämna de författningsförslag som behövs. regleras skolväsendets och de övriga skollagsreglerade utbildningsverksamheternas personuppgiftsbehandling av person- uppgiftslagen. Förutom för den medicinska verksamheten inom elevhälsan, som omfattas av patientdatalagen, finns det ingen särskild registerförfattning för denna personuppgiftsbehandling. ska dataskyddsförordningen börja tillämpas. Utredningen utgår från att förslag till lag (2018:xx) om kom- pletterande bestämmelser till EU:s dataskyddsförordning (data- skyddslagen) kommer att träda i kraft och att person- uppgiftslagen därigenom kommer att upphävas. För en personuppgiftsansvarig som anordnar utbildning eller full- gör andra uppgifter enligt skollagen innebär detta att denne måste ha stöd för sin behandling i en rättslig grund enligt artikel 6.1 i data- skyddsförordningen om behandlingen företas på helt eller delvis automatisk väg eller ingår i eller kommer att ingå i ett register. rättsliga grunder som främst är aktuella för en personuppgiftsansvarig inom det skollagsreglerade utbildningsområdet att tillämpa är dels att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (c), dels att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (e). Ytter- ligare grunder som skulle kunna vara aktuella är samtycke från den registrerade till behandlingen (a) och för enskilda huvudmän intresse- avvägningen enligt (f). Beträffande de rättsliga grunderna i artikel 6.1 c och e i data- skyddsförordningen krävs, enligt artikel 6.3 första stycket, att de är fastställda i enlighet med unionsrätten eller en medlemsstats natio- nella rätt som den personuppgiftsansvarige omfattas av för att de ska vara tillämpliga. Detta är nytt i jämförelse med personuppgiftslagen. Såsom redogjorts för i avsnitt 3.4.1 är upp- fattning att det med grunden för behandlingen i artikel 6.3 första stycket avses den rättsliga förpliktelsen, uppgiften av allmänt intresse respektive myndighetsutövningen (SOU 2017:39, avsnitt 8.3.1).