sou · H5B352 · 2017-06-07 00:00:00 — En möjlighet är även att myndigheterna låter utföra arbetet genom SIS. Flera av de myndigheter som kommittén föreslår ska få särskilda uppdrag och resurser för att initiera och stödja framtagandet av uppförandekoder, är medlemmar i (exempelvis , och ). Om flera myndigheter väljer att utföra arbetet genom SIS, kan det också innebära effektivitetsvinster genom att SIS då kan samordna arbetet och dra nytta av tillvägagångssätt och metoder inom flera olika branscher. Även om SIS involveras, innebär den statliga finansiering som kommittén föreslår, att medverkan i arbetet med att utarbeta koderna kommer att vara kostnadsfritt för de sammanslutningar av personuppgiftsansvariga eller personuppgiftsbiträden som aktualiseras. 12 Utredningens om effektiv styrning av nationella digitala tjänster betänkande digitalforvaltning.nu (SOU 2017:23). kommer efter Datainspektionens godkännande att offentliggöras och därmed vara fritt tillgänglig utan någon kostnad (artikel 40.6). Vår bedömning är att varken Datainspektionen eller någon av de andra myndigheterna nödvändigtvis behöver rekrytera särskild personal för arbetet med uppförandekoder. Myndigheterna kommer dock att behöva använda resurser åt arbetet med uppförandekoder. De kommer därför att behöva ökade anslag då arbetet med att utarbeta uppförandekoden pågår. Som framgår av kommitténs delbetänkande, har skolornas huvudmän att hantera ett antal risker för den personliga integriteten, relaterade till: Digitala lärplattformar och digitala läromedel (allvarlig risk) Sociala medier i undervisningen (allvarlig risk) Elevhälsan (viss risk) Skolfederationen (viss risk) Kameraövervakning inomhus i skolor (påtaglig risk). förslag: Regeringen bör ge i uppdrag att initiera och stödja utarbetandet av en uppförandekod för skolan.1 1 Med skola avses här sådan verksamhet som i 1 kap. 1 § skollagen (2010:800) går under beteckningen skolväsendet. Ett allmänt hållet regelverk Det finns inget särskilt regelverk för hur personuppgifter ska hanteras i skolan, utöver personuppgiftslagen (fr.o.m. dataskyddsförordningen samt de eventuella, kompletterande regler som kan komma att föreslå, se nedan). Det finns ett stort behov av kunskap om hur det allmänt hållna regelverket ska tillämpas på skolområdet. En särskild registerförfattning för skolan skulle sannolikt bidra till en bättre tydlighet än både dagens generella bestämmelser i personuppgiftslagen och den kommande dataskyddsförordningen, som även den är relativt allmänt hållen. Utbildningsdatautredningen2 ska lämna sitt slutbetänkande ungefär som . har haft i uppdrag att undersöka bland annat vilken reglering av personuppgiftsbehandling inom utbildningsområdet som är möjlig och kan behövas utöver dataskyddsförordningen och den generella reglering som kommer att föreslå. och har löpande stämt av med varandra vilka frågor och förslag som varit aktuella för respektive utredning. Ett alternativ till särskild registerförfattning på skolområdet, kan vara en uppförandekod (se kapitel 4 om uppförandekoder). En fördel med en uppförandekod är att den på ett pedagogiskt sätt kan utformas så att den riktar sig till de befattningshavare i skolorna som i praktiken gör bedömningar och val av vilka digitala hjälpmedel som faktiskt används i skolan. En registerförfattning är, jämfört med en uppförandekod, svårare att utforma så att den ger ledning i konkreta situationer. En författning tar också att ta fram. Det är också mer omständligt och tidskrävande att komplettera eller ändra en författning när behov för detta uppstår . En uppförandekod har vidare den fördelen att det är de personuppgiftsansvariga, dvs. i detta fall skolhuvudmännen, som tillsam- 2 U 2016:03, dir. 2016:63. mans utarbetar koden. De kan därmed förväntas snabbare komma att tillägna sig innehållet, dvs. sprida och använda sig av uppförandekoden, än vad som skulle vara fallet med en helt ny lag. I kapitel 4 om uppförandekoder, beskrivs olika typer av uppförandekoder. Mot bakgrund av de risker som vi lyfter fram i delbetänkandet, anser kommittén att skolan är exempel på en verksamhet som kan behöva en mer omfattande kod, som hanterar ett flertal olika frågor. På skolområdet finns det tydliga och välorganiserade sammanslutningar som företräder kategorier av personuppgiftsansvariga, vilka skulle kunna vara upphovsmän till en uppförandekod: de största på området är kommuner och landsting (SKL) och . Frågor som kan tas upp i en uppförandekod för skolan Med utgångspunkt i dels de risker som kommittén har bedömt föreligger på skolområdet, dels de skyldigheter som kommer att åligga skolorna enligt dataskyddsförordningen, kan en uppförandekod för skolan beröra bland annat följande frågor: Hur skolorna ska gå till väga för att uppfylla kravet i artikel 30 i dataskyddsförordningen på register över vilka behandlingar av personuppgifter som görs i skolan. Lämpligtvis innefattar koden en metod eller mall (med exempel) för praktisk inventering och dokumentation av vilka uppgifter om eleverna som hanteras i de lärplattformar och digitala läromedel som används på skolan, och om hur uppgifterna används (både av skolan och av leverantören). Hur skolans huvudman och skolans ledning ska bestämma och föra en förteckning över vilka sociala medier som ska användas i undervisningen eller i annan kommunikation med elever och vårdnadshavare. Hur konsekvensbedömningar avseende dataskydd (artikel 35 i dataskyddsförordningen) ska genomföras före införandet av varje nytt system eller större ändring i befintliga system. sig om att skolan börjar använda en ny lärplattform, ett nytt digitalt läromedel eller ett nytt socialt nätverk. Det kan också röra sig om ändrade användarvillkor för tjänster som skolan redan använder sig av. Koden bör även innefatta en mall eller exempel för hur en konsekvensbedömning kan genomföras i praktiken. Hur inbyggt dataskydd och dataskydd som standard (artikel 25 i dataskyddsförordningen) ska genomföras, med angivande av exempel. I vilka situationer som behandlingen kan bygga på samtycke från eleven eller vårdnadshavarna. Det bör exempelvis anges att tystnad, på förhand ikryssade rutor eller inaktivitet inte ska utgöra ett giltigt samtycke.3 Vidare kan anges att samtycke inte ska betraktas som frivilligt om eleven inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke.4 Exempel på rutiner och riktlinjer för hur skyddade personuppgifter ska hanteras. Exempelvis bör anges att det klart och tydligt måste framgå att personuppgifter är skyddade, till exempel genom flaggning, och att det inte ska råda någon som helst oklarhet om att det är uppgifter som särskilt behöver skyddas.5 Hur och när uppgifter ska gallras. Uppgifter om inloggningar och arbetssätt i lärplattformar eller digitala läromedel bör exempelvis kunna gallras eller avidentifieras tämligen omgående, medan betyg och andra författningsreglerade dokumenttyper som individuella åtgärdsprogram och utvecklingsplaner behöver sparas . För kommuner bör även beskrivas när uppgifter i skolans it-system ska omfattas av en dokumenthanteringsplan. Exempel på informationssäkerhetsåtgärder som en skola behöver vidta för att uppfylla kraven i artikel 32 i dataskyddsförordningen (avseende exempelvis behörighet, loggning, säkerhet vid åtkomst över internet osv). 3Se skäl 32 i dataskyddsförordningen. 4Se skäl 42 i dataskyddsförordningen. 5Se Datainspektionens Checklista för skolor – Skyddade personuppgifter i skolan (). Under vilka omständigheter information kan delas mellan skolhälsovården och den undervisande verksamheten (rekommendationen bör ges efter samråd med ). Vilken information som måste ges till elever, vårdnadshavare och anställda vid skolan om hur uppgifter används, med angivande av exempel. Här bör exempelvis anges hur information kan ges med hjälp av standardiserade symboler för att ge en överskådlig, begriplig, lättläst och meningsfull överblick över hur uppgifterna hanteras och av vem.6 Rutiner och riktlinjer för hur stora datauttag (det kan exempelvis röra sig om många uppgifter om en elev, eller om ett fåtal slags uppgifter om ett stort antal elever) från systemen bör bedömas. Exempelvis bör anges hur tryckfrihetsförordningens bestämmelser kan bli tillämpliga på loggar i lärplattformar, digitala läromedel och sociala medier. Vidare bör anges när och hur 21 kap. 7 § offentlighets- och sekretesslagen (2009:400) kan bli tillämplig. I vilka situationer kameraövervakning inomhus kan användas och hur skolan bäst kan uppfylla kraven i kameraövervakningslagen på exempelvis dokumentation och information. Exempelvis bör anges att kameraövervakning inte är en lösning som ska väljas i första hand. Här kan det anges vilka alternativ till kameraövervakning som kan finnas, som exempelvis inlåsning av särskilt värdefull utrustning, förstärkt skalskydd till vissa rum och utrymmen i skolan, ombyggnationer av ytor med skymd sikt, rörelsestyrda vattenkranar, ökad vuxennärvaro etc.7 Vem ska uppmuntra utarbetandet av uppförandekoder? Skyldigheten att uppmuntra utarbetandet av uppförandekoder enligt artikel 40 i dataskyddsförordningen gäller inte bara Datainspektionen. Regeringen kan och bör agera även genom andra myndigheter. 6Se skäl 60 i dataskyddsförordningen. 7Se Datainspektionens checklista Kameraövervakning inomhus i skolor (). Förslag om kameraövervakning kommer att lämnas av Utredningen om kameraövervakning – brottsbekämpning och integritetsskydd (Ju 2015:14) som bl.a. ska ta ställning till om integritetsskyddet i samband med kameraövervakning i skolor behöver förbättras. Som framgår i avsnittet om uppförandekoder, anser att regeringen så långt som möjligt bör uppdra åt andra myndigheter att i samråd med Datainspektionen stå för merparten av det arbete som en myndighet behöver utföra när det gäller uppförandekoder. Ett skäl till detta är att Datainspektionen inte ska bli överbelastad med uppdrag av detta slag inom en rad olika områden på en gång, som myndigheten har ett stort arbete framför sig med att anpassa sin verksamhet till dataskyddsförordningen. Ett annat skäl till detta är att en branschspecifik myndighet bättre än Datainspektionen känner till vilken slags vägledning (både till form och innehåll) som efterfrågas inom branschen som myndigheten inte sällan redan har etablerade kontakter med aktörer och branschföreträdare. Det sagda gäller i hög grad för som samlat på sig och vidareförmedlat kunskap och erfarenheter gällande skolans digitalisering. Ordet ”uppmuntra” används i dataskyddsförordningen, och ska enligt kommitténs tolkning i detta sammanhang närmast förstås som att initiera och stödja. I arbetet med att initiera och stödja framtagandet av uppförandekoder, kan exempelvis bjuda in branschorganisationerna och andra ansvariga myndigheter för ett samtal om förutsättningarna för en uppförandekod på området, där även alternativen till en uppförandekod kan tas upp. Om det inte finns en uppförandekod, måste de personuppgiftsansvariga och personuppgiftsbiträdena själva – utan närmare tolkningshjälp – tillämpa dataskyddsförordningen eller annan, allmänt hållen ramlagstiftning. Det skulle kunna innebära en ökad risk för administrativa sanktionsavgifter enligt artikel 83 i dataskyddsförordningen. Det krävs en särskild kompetens för att leda projekt för att ta fram uppförandekoder. Det finns specialister på detta som kan anlitas av myndigheterna för att leda och genomföra sådana projekt, exempelvis inom SIS (). Särskilt för del skulle det kunna vara ett alternativ att utföra allt eller en del av arbetet med hjälp av SIS, eftersom är medlem i SIS. Sammanfattningsvis anser vi att regeringen bör ge i uppdrag att i samråd med Datainspektionen vidta åtgärder för att initiera och stödja utarbetandet av en uppförandekod för skolan. förslag: Regeringen bör låta utreda frågan om ett utökat sekretsskydd för uppgifter om elever i skolans it-system. I delbetänkandet konstaterade kommittén att det genereras allt fler och allt mer detaljerade uppgifter om eleverna i skolan, alltifrån hur de använder sig av läromedel och chattar med klasskamraterna, till vilka kamrater de helst syns tillsammans med i skolan. Kommittén konstaterade också att det för elever i och gymnasieskolan inte finns någon sekretess eller tystnadsplikt för större delen av den växande uppgiftsmassan. Utredningen om offentlighet och sekretess i skolan konstaterade att nya arbetsformer inom skolan, som bl.a. innebar ökade dokumentationskrav för uppföljning och utvärdering av arbetet och insatserna inom elevhälsan, sannolikt medförde att allt fler känsliga uppgifter om elever skulle komma att hanteras av personalen.8 Man beaktade också att införandet av arbetsmetoder med mer individualiserad undervisning skulle leda till ökad dokumentation om eleverna. Utredningens kartläggning av dokumentationen i skolorna och analysen av dokumentens offentligrättsliga status, visade emellertid inte på sådana problem eller brister i sekretessregleringen att det borde föranleda nya eller ändrade bestämmelser. Behovet av ett sekretesskydd för elevarbeten behandlades särskilt. Det ansågs att uppgifter som inte omfattades av sekretess eftersom de var direkt hänförliga till undervisningen även fortsättningsvis borde vara offentliga. Det kunde finnas behov av att i undantagsfall sekretessbelägga annars offentliga uppgifter, t.ex. när uppgifterna avslöjade känsliga personliga förhållanden eller när det av annan orsak kunde förväntas att en enskild elev skulle ta mycket illa vid sig om uppgifterna spreds. Eftersom stor restriktivitet borde iakttas när man övervägde att införa nya sekre- 8 Utredningens om offentlighet och sekretess i skolan betänkande Sekretess i elevernas intresse – Dokumentation, samverkan och integritet i skolan (SOU 2003:103), s. 120 ff. tessbestämmelser som begränsade offentligheten i myndigheternas verksamhet och avsaknaden av en sådan bestämmelse inte heller påtalats som ett praktiskt problem, föreslogs ingen ändring. ansåg att det från integritetsskyddssynpunkt var en riskfaktor att dokumentationen om enskilda elever liksom tillgängligheten till denna dokumentation ökade i den ordinarie undervisningen.9 Det ifrågasattes mot denna bakgrund om skolsekretessens avgränsning till uppgifter i den elevvårdande verksamheten var ändamålsenlig. Utredningen om sekretess för uppgifter i skolväsendet och vissa andra utbildningsformer lämnade betänkandet Skolans dokument – insyn och sekretess.10 Utredningen behandlade bland annat behovet av en möjlighet till sekretess för uppsatser och andra elevarbeten. När det gäller behovet av skydd för uppgifter i elevarbeten konstaterade utredningen följande. Elevarbeten ingår i underlaget för betygssättningen. I de samrådskontakter som utredningen hade haft, hade det inte framkommit att avsaknaden av ett sekretesskydd för elevarbeten var ett praktiskt problem, bland annat eftersom elevarbeten ofta lämnades tillbaka till eleverna efter en bedömning. Kvar står dock att elevarbeten bör hanteras i enlighet med de krav som ställs för hantering av allmänna handlingar. Utredningen konstaterade också att uppgifter i en uppsats eller ett elevarbete av annat slag, med gällande regler normalt sett är att betrakta som offentliga. Undantagsvis kan de omfattas av sekretessen i den särskilda elevstödjande verksamheten. Så kan vara fallet om uppgifterna föranleder åtgärder som faller inom den särskilda elevstödjande verksamheten. Uppgifter om enskildas hälsa och sexualliv som finns i elevarbeten kan enligt utredningen omfattas av sekretess enligt 21 kap. 1 § offentlighets- och sekretesslagen. Utredningen menade att insynsintresset beträffande hur utbildningsväsendet fungerar är betydande. Ett minimikrav som ställts har varit att uppgifter som uteslutande rör elevernas studieresultat alltid ska vara offentliga. De frågor som ingår i skolans värdegrundsuppdrag kan i andra sammanhang anses falla inom den privata sfären. Att de finns i ett utbildningssammanhang skiljer det dock från dessa 9Integritetsskyddskommitténs delbetänkande, Skyddet för den personliga integriteten – Kartläggning och analys (SOU 2007:22), s. 34. Intresset av insyn får anses stort också i den del av skolans uppdrag som avser värdegrundsarbetet. Elevarbeten ingår i det underlag på vilket betyg ska sättas och rättssäkerhetsskäl talar därför också för en öppenhet, enligt utredningen. Ett generellt skydd för uppgifter av det aktuella slaget skulle enligt utredningen kunna uppnås genom en regel om generell sekretess inom skolväsendet utanför den särskilda elevstödjande verksamheten med ett rakt skaderekvisit för uppgifter om enskildas personliga förhållanden. Utredningen kom fram till att insynsintresset beträffande skolväsendets sätt att fungera är betydande, och att elevarbeten ingår i det underlag på vilket betyg ska sättas samt att även rättssäkerhetsskäl talar för öppenhet. Enligt utredningens bedömning fanns därmed inte tillräckliga skäl att genom ny eller ändrad lagstiftning utöka sekretessen att omfatta också uppgifter i elevarbeten. Ännu har inga av de förslag som utredningen lämnade genomförts. Datainspektionen har i remissvar påpekat att det inom skolundervisningen i stort tenderar att förekomma mer och mer uppgifter om elevernas personliga åsikter, tankar och förmågor. Det är enligt Datainspektionen ur ett integritetsperspektiv inte acceptabelt att sådana uppgifter helt kan sakna sekretesskydd.11 Utredningen om offentlighetsprincipen i fristående skolor har i betänkandet Ökad insyn i fristående skolor föreslagit att offentlighetsprincipen ska införas hos huvudmän för fristående skolor.12 En ny bestämmelse föreslås i offentlighets- och sekretesslagen av innebörd att vad som föreskrivs i tryckfrihetsförordningen om rätt att ta del av allmänna handlingar hos myndigheter i tillämpliga delar ska gälla också handlingar hos huvudmän för fristående skolor. Samtliga huvudmän för fristående skolor ska omfattas. Huvudmännen ska vid tilllämpningen av offentlighets- och sekretesslagen jämställas med myndigheter. 11Datainspektionens remissvar på betänkandet Skolans dokument – insyn och sekretess (SOU 2011:58), Datainspektionens dnr 1502-2011. utredningar tillkom i då digitaliseringen av skolan ännu inte hade nått lika långt som . har lärplattformar och digitala läromedel utvecklats och fått en större spridning . Vidare synes tidigare utredningar ha tagit fasta på de olika dokumenttyper som skapas i samband med handläggningen av ärenden hos skolorna, eller på uppgifter som finns i andra, avgränsade dokumenttyper som exempelvis uppsatser. Beträffande uppsatserna var exempelvis uppfattningen att uppsatserna lämnas tillbaka till eleverna, vilket sannolikt kommer att göras i allt mindre omfattning när elevarbeten i stället lämnas in och därefter sparas elektroniskt. Det innebär att effekterna av den omfattande digitaliseringsvågen i allt väsentligt inte har beaktats i de tidigare utredningarna. Om digitaliseringen tas med i beaktande, blir bilden enligt kommitténs mening en helt annan. I dagens digitaliserade skola kan det hanteras ett stort antal olikartade och närgångna uppgifter om varje enskild elev. Dessa uppgifter skapas inte medvetet i och med att viss dokumentation upprättas, utan genereras automatiskt, och omedvetet, genom att eleverna använder olika former av it-stöd i skolan. Som vi konstaterade i delbetänkandet finns det ett stort intresse hos olika aktörer i samhället att kunna använda sig av dessa uppgiftssamlingar för olika ändamål. Mycket tyder på att kunskapen om hur dessa datamängder faktiskt ska kunna utnyttjas ännu är under utveckling, men att vi framöver kommer att få se en vilja att få åtkomst till data hos skolorna, ner på individnivå. Kommittén anser liksom tidigare utredningar att det är viktigt att det finns insyn i skolornas verksamhet, och att en förutsättning för detta är att det är möjligt att ta del av vissa uppgifter om enskilda elever. Vi menar också att tillgängliggörandet och vidareanvändningen av data från skolornas system bör uppmuntras, när data efterfrågas och används av privata och offentliga aktörer som vill utveckla nya system och undervisningsmetoder. Med tanke på ökningen av uppgifter om eleverna som behandlas i och med att skolan digitaliseras, finns det emellertid anledning att befara att stora och närgångna uppgiftsmängder om eleverna på individnivå kommer att lämnas ut, eftersom de inte omfattas av någon sekretessregel. Ett utökat sekretesskydd för personuppgifter i skolan skulle kunna förbättra skyddet, utan att för den skull försämra förutsättningarna för utomstående att granska skolornas verksamhet. Kommittén anser därför att regeringen bör låta utreda frågan om ett utökat sekretsskydd för uppgifter om elever i skolans it-system. 5.2.3Statlig kontroll och styrning förslag: Regeringen bör ge Skolinspektionen och Datainspektionen i uppdrag att hitta lämpliga samarbetsformer. Kommittén anser att de ansvariga myndigheterna på området, i första hand Datainspektionen, och Skolinspektionen bör utveckla sin samverkan när det gäller tillsyn och vägledning till skolorna i ärenden och frågor som rör skolornas digitalisering. Skolinspektionen har en mycket omfattande och djupgående tillsynsverksamhet. Datainspektionens tillsyn av skolorna är av naturliga skäl av en helt annan och mindre omfattning. Samverkan mellan Skolinspektionen och Datainspektionen kan exempelvis bestå i att Skolinspektionen, om myndigheten i sin tillsyn uppmärksammar ett återkommande problem för skolorna som rör behandling av personuppgifter, underrättar Datainspektionen om detta. Datainspektionen kan då genom vägledning eller tillsyn vidta åtgärder för att bidra till att avhjälpa problemen. Myndigheternas samarbete bör utformas på ett sätt som hjälper dem att hitta och motverka problem i skolorna. Samarbetet bör också vara anpassat till skolornas och myndigheternas aktuella behov. Ett möjligt exempel på samverkan skull kunna vara att Skolinspektionen i sin tillsyn uppmärksammar en ökning i användningen av kameraövervakning inomhus i skolor i ett visst geografiskt område. Myndigheten skulle då kunna meddela Datainspektionen om ökningen, varpå Datainspektionen skulle kunna rikta informationsinsatser om kameraövervakning till skolorna i området. I arbetet med att initiera och stödja och granska en uppförandekod för skolan, kommer enligt vårt förslag Datainspektionen och att behöva samverka. Därutöver är det viktigt att Skolinspektionen och Datainspektionen också utvecklar ett samarbete. Regeringen bör därför ge Skolinspektionen och Datainspektionen i uppdrag att hitta lämpliga samarbetsformer. Som framgår av kommitténs delbetänkande, finns det inom arbetslivet ett antal risker för den personliga integriteten för arbetstagare, relaterade till: Användningen av positionering och annan övervakning för att kontrollera arbetstagarnas aktiviteter och beteenden på arbetet (allvarlig risk) Företeelsen att arbetsgivare skannar av sociala medier för att bilda sig en uppfattning om vad arbetstagarna gör på nätet (viss risk) Kompetensdatabaser och utförande av bakgrundskontroller (viss risk) Kameraövervakning på arbetsplatser (allvarlig risk) Företeelsen att vårdgivare tillhandahåller såväl hälso- och sjukvård som personaladministrativa tjänster (viss risk). förslag: Regeringen bör ge i uppdrag att initiera och stödja utarbetandet av uppförandekoder för arbetslivet. Ett allmänt hållet regelverk Det finns inget särskilt regelverk för hur personuppgifter ska hanteras i förhållandet mellan arbetsgivare och arbetstagare, utöver personuppgiftslagen och, fr.o.m. , dataskyddsförordningen. Det finns ett stort behov av kunskap om hur det allmänt hållna regelverket ska tillämpas inom arbetslivet.