frsrdg · H604JO1 · 2018-11-14 00:00:00 — 42 §§ inte behöver tillämpas på behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har struktu- rerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter. Sådan behandling får dock inte utföras om den innebär en kränkning av den registrerades personliga integritet. Enligt 10 § d PUL gäller att personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behand- lingen är nödvändig för att en arbetsuppgift av allmänt intresse ska kunna utföras. Som sådan verksamhet av allmänt intresse som avses i denna punkt har ansetts t.ex. skolornas fullgörande av arbetsuppgifter (SOU 2003:103 s. 199). En- ligt nämnda utredning torde det inte föreligga någon tvekan om att skolmyn- digheter enligt skollagen och andra författningar har en rättslig skyldighet i personuppgiftlagens mening att fullgöra sina åligganden gentemot eleverna i fråga om såväl undervisning som elevvård. Enligt 13 § PUL är det förbjudet att behandla personuppgifter som av- slöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Det är också förbjudet att be- handla sådana personuppgifter som rör hälsa eller sexualliv. Uppgifter av denna art betecknas som känsliga personuppgifter. I 31 § PUL stadgas att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av bl.a. hur pass känsliga de behandlade personuppgifterna är. Av 8 § personuppgiftsförordningen (1998:1191) framgår att känsliga per- sonuppgifter även får behandlas av en myndighet i löpande text om uppgif- terna har lämnats i ett ärende eller om de är nödvändiga för handläggningen av ärendet. Av nämnda utredning (SOU 2003:103) framgår att för behandlingen inom ramen för ett elevvårdsärende – eller annan ärendehantering – torde därför de restriktiva bestämmelserna om känsliga personuppgifter inte hindra an- vändandet av ordbehandling, även om samtycke saknas. Bestämmelsen är dock inte tillämplig på behandling som sker i den del av skolornas verksam- het som utgör faktiskt handlande, dvs. när det inte är fråga om ett pågående ärende (s. 201 f.). Av Datainspektionens rapport 2002:2 framgår att inspektionen bedömer att uppgifter om elevers hälsa, t.ex. allergier är känsliga uppgifter enligt PUL och att samtycke ska inhämtas innan sådana uppgifter behandlas för elevadministrativa ändamål. Enligt 4 § förvaltningslagen ska en myndighet lämna upplysningar, vägled- ning, råd och annan sådan hjälp till enskilda i frågor som rör myndighetens verksamhetsområde. O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T 1.Barn- och utbildningsnämndens/förvaltningens hantering av intyg om specialkost Enligt gällande rutin har skolsköterskan samtal med vårdnadshavare och elev om behov av specialkost. Vissa allergier kräver läkarintyg, som skol- sköterskan får ifrån vårdnadshavaren. Utifrån läkarintyget skriver skolskö- terskan ett specialkostintyg till köket för att de ska kunna säkerställa en rätt kost till eleven. Skolsköterskan informerar vårdnadshavarna om att intygen måste lämnas till köket för att eleven ska garanteras specialkosten och vård- nadshavarna skriver under detta på specialkostintygen. I köket förvaras spe- cialkostintygen i en pärm som finns inlåst på kontoret. Enligt kommunens kostpolitiska program ska läkarintygen uppdateras . Barn- och utbildningsnämndens bedömning av rutinerna i förhållande till OSL och PUL (nämnden) bedömer att OSL kräver att skolsköterskan som huvudregel har ett samtycke från föräldrarna om att lämna uppgifter om allergier och specialkost vidare i skolverksamheten, till köket. Nämnden bedömer att Barn- och utbildningsförvaltningens (förvalt- ningen) rutiner säkerställer att sådant samtycke inhämtas. Uppgifter om elevers allergier är en känslig personuppgift enligt PUL, se Datainspektions rapport 2002:2. Hanteringen av elevers behov av speci- alkost hamnar inom den del av skolans verksamhet som utgör faktiskt hand- lande, eftersom specialkosten måste hanteras i skolans verksamhet . Nämnden bedömer därför, om uppgifterna ska behandlas i strukturerad verksamhet, att det enligt PUL krävs ett samtycke från vårdnadshavarna om uppgiften ska få behandlas i den delen av verksamheten som utgör faktiskt handlande. Förvaltningen har rutiner för att säkerställa att ett samtycke från vårdnadshavarna inhämtas för att specialkostintygen ska få lämnas till kö- ket. I köket sitter intygen i en pärm och enligt nämndens bedömning sker därefter inte någon sådan behandling av uppgifterna som omfattas av PUL:s tillämpningsområde i den delen av verksamheten som utgör faktiskt hand- lande. Nämndens bedömning är därför att rutinerna är förenliga med PUL. Förvaltningens hantering av intyg i anmält ärende aktuellt ärende har hanterats utifrån ovan beskriven rutin. Intyget som är utfärdat har kompletterat ett tidigare intyg om specialkost och har lämnats till köket utan att skolsköterskan har skrivit ett nytt intyg om spe- cialkost. Dåvarande skolsjuksköterska har gått i pension. Utifrån elevens allergier och behov av specialkost har kontinuerliga nätverksträffar hafts en gång per termin, (nätverksträffar runt elever med allergier är väldigt ovan- ligt. Det förekommer endast i enstaka fall där elever har mycket kraftig al- lergi). Vid upprättande av ny matsedel framförde vårdnadshavarna önskemål om förändringar i maträtterna. Vårdnadsha- varna uppmanades att lämna in kostintyg för att styrka ett förändrat behov av specialkost. Det har dock inte framställts krav på att intyget skulle scan- nas och skickas in via e-post. I syfte att säkerställa att Måltidsservice hade det senast upprättade intyget om specialkost skickades ett e-postmed- delande i vilket intyget bifogades. E-postmeddelandet, med det bifogade intyget, skickades till vårdnadshavarna, rektor för skolan, kostchef, kock, skolsköterska och elevens resurs/lärare, vilka samtliga medverkar i syste- matiska nätverksträffar kring elevens situation. Vid dessa träffar har intyget diskuterats. Det var av vikt att säkerställa att mottagarna av e-postmed- delandet arbetade efter samma kostintyg för att garantera att serveringen av specialkost skedde på ett säkert sätt. O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T Nämndens bedömning av handläggningen i anmält ärende Nämnden kan inledningsvis konstatera att intyget om specialkost har han- terats på ett avvikande sätt utifrån förvaltningens rutiner genom att det har scannats och skickats till flera personer inom förvaltningen. Uppgifterna i intyget torde omfattas av sekretessbestämmelserna i 23 kap. 2 § första och andra stycket OSL. Skolverksamheten, förutom den medicinska delen av elevhälsan, utgör dock en och samma verksamhet. Nämnden bedömer där- med inte att e-postmeddelandet har skickats i strid med bestämmelserna i . Intyget har också behandlats på ett sådant sätt som faller inom undan- taget för behandling av personuppgifter i ostrukturerat material enligt 5 a § PUL. E-postmeddelandet ingår inte i något dokument eller ärendesystem som har en personuppgiftsanknuten struktur. Nämnden uppfattar inte att behandlingen har kränkt den personliga integriteten eftersom meddelandet har skickats till personer som redan haft kännedom om innehållet i intyget. För alla som hanterar och bearbetar personuppgifter är det viktigt att sä- kerställa att personuppgifterna skyddas på ett bra sätt. Enligt personupp- giftslagen ska den som är personuppgiftsansvarig vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifterna. Det finns särskilda risker med hantering av personuppgifter i e-post. I detta fall har e-postmeddelandet skickats över e-postservrar över internet. Intyget som har skickats med i meddelandet innehåller enligt nämndens bedömning inte några känsliga personuppgifter och hanteringen har därför inte skett i strid med PUL. Däremot anser nämnden att det är viktigt att de interna ru- tinerna säkerställer vilka typer av personuppgifter som under vilka omstän- digheter får respektive inte får skickas med e-post. Förvaltningen har för avsikt att se över de interna rutinerna och komplettera dessa vid behov. 2.Förvaltningens kontakter med hälso- och sjuk- vården i detta ärende Måltidsservice har kontaktat behandlande vårdenhet för att få råd och stöd i arbetet med att erbjuda en säker specialkost. I e-postmeddelandet beskrivs ärendet med stöd av uppgifter som framkommit till Måltidsservice. Uppgifter om elevens hälsotillstånd som personal vid måltidsservice har eller får kännedom i verksamheten torde omfattas av sekretessbestämmel- serna i 23 kap. 2 § första och andra stycket OSL. I detta fall har inte perso- nalen namngivit eleven och kontakten bedömdes inte innebära att eleven lider men. Nämnden bedömer därför att kontakten som tagits med vårdin- rättningen inte har varit i strid med OSL. Nämnden bedömer inte heller att hanteringen strider mot PUL. Meddelandet ingår inte i och ska inte heller infogas i en databas med en personuppgiftsanknuten struktur som t.ex. ett ärendehanteringssystem. Inte heller uppfattar nämnden det som att med- delandet innehåller uppgifter som kränker den personliga integriteten. Meddelandet innehåller inte något namn, personnummer eller annan per- sonuppgift. Nämnden anser dock att kontakt med vårdinrättning för rådgivning som berör enskild som huvudregel bör ske på ett sätt som vårdnadshavarna sam- tyckt till varför förvaltningen avser att vidta åtgärder för att säkerställa att så sker. Nämnden anser också, som nämnts ovan, att det är viktigt att de interna rutinerna säkerställer vilka typer av personuppgifter som under vilka omständigheter får respektive inte får skickas med e-post och förvalt- ningen har för avsikt att se över de interna rutinerna i detta syfte. O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T 3.Förvaltningens hantering av inkomna frågor i ärendet inkom ett e-postmeddelande med frågor ställda till Förvaltningen. Frågeställaren fick dagen efteråt en återkoppling om att ärendet inkommit och att det överlämnats till en handläggare för besva- rande. Under handläggningen uppdagades att förvaltningen var tvungen att inhämta extern kompetens, detta medförde tyvärr att svarstiden blev lång. Detta har föregåtts av en för- frågan om ett möte med vårdnadshavaren som denne avböjde. Nämnden är medveten om den långtgående serviceskyldighet som följer av förvaltningslagen och att den långa svarstiden inte är acceptabel. Någon form av besked borde ha lämnats till den sökande i ett tidigt skede. Förvalt- ningen har därför förändrat sina interna rutiner så att det inte ska upprepas. Till remissvaret bifogades ett yttrande från kostchefen och kostekonomen . AA kommenterade remissvaret. I ett beslut anförde stf JO följande. Sekretess betyder ett förbud att röja en uppgift, vare sig det sker muntligen, genom utlämnande av en allmän handling eller på något annat sätt (3 kap. 1 § OSL). Bestämmelser om sekretess till skydd för enskild i utbildningsverksamhet, m.m.finns i 23 kap. OSL. Sekretess gäller i förskoleklassen, , grundsärskolan, specialskolan, sameskolan, gymnasieskolan och gymnasie- särskolan för uppgift om en enskilds personliga förhållanden i sådan elevhälsa som avser psykologisk, psykosocial eller specialpedagogisk insats, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. På samma område gäller sekretess dels i särskild elevstöd- jande verksamhet i övrigt för uppgift om en enskilds personliga förhållanden, dels för uppgift som hänför sig till ärende om tillrättaförande av en elev eller om skiljande av en elev från vidare studier, med undantag för beslut i ett ärende. Denna sekretess gäller dock endast om det kan antas att den enskilde eller nå- gon närstående till denne lider men om uppgiften röjs. På samma område gäller sekretess i andra fall för uppgift om en enskilds identitet, adress och andra lik- nande uppgifter om en enskilds personliga förhållanden, om det av särskild an- ledning kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs (2 § första–tredje styckena). I 25 kap. OSL finns bestämmelser om sekretess till skydd för enskild i verk- samhet som avser hälso- och sjukvård m.m. Sekretess gäller inom vården och i annan medicinsk verksamhet för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men (1 § första stycket). Sekretessen hindrar emellertid inte att en uppgift om en enskild lämnas från O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T sådan elevhälsa som avser medicinsk insats till annan elevhälsa eller särskild elevstödjande verksamhet i övrigt inom samma myndighet, om det krävs att uppgiften lämnas för att en elev ska få nödvändigt stöd (13 a §). Säkerhet vid behandling av personuppgifter Syftet med PuL är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter (1 §). Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Med behandling av personuppgifter avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automa- tisk väg eller inte (3 §). Personuppgifter får behandlas bara om den registrerade har lämnat sitt sam- tycke eller om behandlingen är nödvändig för vissa angivna ändamål (10 §). Det är som huvudregel förbjudet att behandla s.k. känsliga personuppgifter. Hit hör personuppgifter om bl.a. hälsa (13 §). Ett uttryck för att det är fråga om känsliga uppgifter kan vara att de omfattas av sekretess (se Datainspektionens allmänna råd Säkerhet för personuppgifter, reviderade , s. 18). Undantag från förbudet att behandla känsliga personuppgifter gäller bl.a. vid nödvändig behandling inom hälso- och sjukvården samt vid samtycke till be- handlingen (14–19 §§). Dessa bestämmelser behöver inte tillämpas på behand- ling av personuppgifter i ostrukturerat material. Sådan behandling får dock inte utföras om den innebär en kränkning av den registrerades personliga integritet (5 a §). Som utgångspunkt för bedömningen av om en behandling av person- uppgifter innebär en kränkning av den registrerades personliga integritet kan man ta bestämmelserna om grundläggande krav på behandling av personupp- gifter och om när behandling av personuppgifter är tillåten (se 9 och 10 §§ samt och , Personuppgiftslagen – En kommentar, version , Zeteo, kommentaren till 5 a §). Uppgifter om elevers hälsa, t.ex. allergier, betraktas som känsliga, och det krävs samtycke för att sådana uppgifter ska få behandlas för elevadministrativa ändamål (se Datainspektionens rapport 2002:2, Behandling av elevers person- uppgifter i , s. 8). Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisato- riska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, kostnaden för åtgärderna, särskilda risker med behand- lingen och hur pass känsliga uppgifterna är (31 § första stycket). Kraven på säkerhetsåtgärder kan inte frångås ens med den registrerades samtycke (se och , Personuppgiftslagen – En kommentar, ver- sion , Zeteo, kommentaren till 31 §, med där angivna hänvisningar). Informationssäkerhet vid användande av e-post Hantering av personuppgifter i e-post innefattar särskilda risker. Det krävs där- för en hög säkerhetsnivå vid sådan hantering. O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T finns information om säkerhet för personuppgifter i e-post (/lagar-och-regler/personuppgiftslagen/sakerhet-enligt-person- uppgiftslagen/sakerhet-for-personuppgifter-i-e-post/). Där anförs bl.a. följ- ande: Det är svårt att försäkra sig om att endast den avsedda mottagaren kan ta del av ett e-postmeddelande. I många fall är det omöjligt att säkerställa identi- teten hos en mottagare enbart utifrån en uppgiven e-postadress. När ett e-post- meddelande skickas mellan olika e-postservrar över internet passerar det ofta andra servrar på vägen. Om informationen i e-postmeddelandet är okrypterad eller på annat sätt oskyddad finns det inget som hindrar att kopior av informa- tionen sparas på var och en av dessa servrar. Det kan också vara svårt att för- hindra att obehöriga tar del av kopior av e-postmeddelanden som ligger kvar i enskilda användares brevlådor, särskilt om e-posten är åtkomlig via ett öppet nät. På utbildningsområdet saknas föreskrifter som talar om i vilken utsträckning och under vilka förutsättningar e-post får användas. Generellt gäller dock att det måste ställas höga krav på säkerhet vid överföring av uppgifter som omfat- tas av sekretess. Om en tillfredsställande säkerhetsnivå inte kan upprätthållas bör sådana uppgifter inte föras över via e-post (se prop. 2002/03:62 s. 12 och JO 2001/02 s. 201, dnr 3570-2000). Föreskrifter om när och hur e-post får användas finns i viss utsträckning på andra områden. När det gäller hälso- och sjukvårdsområdet finns bestämmelser i 5 kap. 6 § patientdatalagen (2008:355) och i föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården (HSLF-FS 2016:40). Enligt föreskrifter får pati- entuppgifter överföras över öppna nät om det kan göras så att inga obehöriga kan ta del av uppgifterna och om åtkomst till patientuppgifter föregås av stark autentisering (3 kap. 15 §). Det innebär i praktiken ett krav på att patientupp- gifterna i ett e-postmeddelande ska krypteras på ett sådant sätt att endast den avsedda mottagaren kan ta del av dem. En vårdgivare får dock efter en behovs- och riskanalys besluta om undantag från kraven i 15 § vid överföring av på- minnelser och kallelser till vård och behandling (3 kap. 16 §). Sådana uppgifter kan då skickas med sms eller oskyddad e-post. En överföring av en påminnelse eller en kallelse får endast göras efter att patienten har gett sitt medgivande, och överföringen får inte avslöja detaljer om patientens hälsotillstånd eller andra personliga förhållanden (3 kap. 17 §). JO har i ett beslut som gäller möjligheter att skicka sekre- tessbelagda uppgifter per e-post uttalat bl.a. följande: När ett e-postmeddelande innehåller känsliga personuppgifter krävs särskilda säkerhetsåtgärder för att sä- kerställa att rätt person får åtkomst till uppgifterna och att de överförs på ett säkert sätt (t.ex. genom kryptering). Om det däremot rör sig om personuppgifter som inte är känsliga ur integritetssynpunkt bör viss kommunikation kunna ske även utan kryptering eller liknande (JO 2016/17 s. 333, dnr 1376-2013). Myndigheters serviceskyldighet och tillgänglighet Varje myndighet ska lämna upplysningar, vägledning, råd och annan sådan hjälp till enskilda i frågor som rör myndighetens verksamhetsområde. O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T ska lämnas i den utsträckning som är lämplig med hänsyn till frågans art, den enskildes behov av hjälp och myndighetens verksamhet. Frågor från enskilda ska besvaras (4 § första och andra styckena förvaltnings- lagen [1986:223]). Det innebär att den myndighet som har fått en förfrågan från en enskild måste lämna någon form av svar. Om myndigheten finner att den inte kan eller bör stå till tjänst med t.ex. en begärd upplysning, måste den i varje fall tala om detta för den som har begärt att få upplysningen. Svaret får inte dröja längre än nödvändigt (se prop. 1985/86:80 s. 60). har i sitt remissvar uppgett att ett e-postmed- delande med den aktuella elevens läkarintyg, som gällde behov av specialkost på grund av allergi, har skickats mellan e-postservrar över internet till vård- nadshavarna samt till rektorn, kostchefen, kocken, skolsköterskan och resur- sen/läraren. E-postmeddelandet innehöll uppgifter som enligt nämnden torde omfattas av sekretess. Som har redovisats ovan anges det i Datainspektionens allmänna råd Säker- het för personuppgifter att ett uttryck för att det är fråga om känsliga person- uppgifter kan vara att de omfattas av sekretess. Vidare har Datainspektionen i sin rapport av elevers personuppgifter i uttalat att upp- gifter om elevers hälsa, t.ex. allergier, betraktas som känsliga, och att det krävs samtycke för att sådana uppgifter ska få behandlas för elevadministrativa än- damål. När e-postmeddelandet med läkarintyget skickades borde det därför ha vid- tagits särskilda säkerhetsåtgärder för att säkerställa att rätt person fick åtkomst till uppgifterna och att de överfördes på ett säkert sätt (t.ex. genom kryptering). Eftersom det inte gjordes fanns det risk för att obehöriga, dvs. andra än de av- sedda mottagarna, kunde ta del av de känsliga personuppgifterna. Förvalt- ningen förtjänar kritik för hanteringen. I sitt remissvar har barn- och utbildningsnämnden också redovisat att ett e-postmeddelande har skickats till en vårdenhet för att få råd och stöd i arbetet med att erbjuda en säker specialkost. E-postmeddelandet saknade uppgift om elevens namn, personnummer, adress och andra identifikationsuppgifter. Det är tveksamt om informationen i e-postmeddelandet kunde hänföras till en fy- sisk person. Utredningen i ärendet klarlägger således inte att e-postmeddelan- det innehöll uppgifter som omfattades av sekretess eller andra känsliga person- uppgifter vars behandling krävde säkerhetsåtgärder. Jag har inte grund för att kritisera hanteringen i denna del. har uppgett att förvaltningen har för avsikt att se över rutinerna för hantering av personuppgifter i e-postmeddelanden. Jag välkomnar denna översyn och utgår från att nämnden säkerställer att det finns tydliga rutiner som talar om i vilken utsträckning och under vilka förutsätt- ningar e-post får användas. O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T AAfick svar på de frågor som han ställde i sitt e-postmeddelande först , . Som barn- och utbildningsnämnden har uppgett i sitt remissvar är det ett oaccepta- belt dröjsmål. Förvaltningen förtjänar kritik för dröjsmålet med att besvara hans frågor. En ordförande i en nämnd ansågs ha kränkt en skolkurators yttrandefrihet genom att i ett svar på en fråga i kommunfullmäktige uttala att ett inlägg som den anställde gjort på sin privata Facebooksida var ”uppenbart olämpligt” (Dnr 172-2016) Beslutet i korthet: gillade en kurator, som var anställd vid en av kommunala skolor, en bild på sin privata Facebooksida. Fa- cebookinlägget återpublicerades och kommenterades sedan av Antifascis- tisk Aktion (). Inlägget bestod av bilder på två av de per- soner som avled under skolattacken i och en uppmaning att hålla namngivna borgerliga politiker och journalister ansvariga. Med anledning av det inträffade kontaktade i Hud- dinge kommuns ordförande, (tillika ledamot av kommunfullmäktige), rektorn på den skola där kuratorn arbetade. AA hade ett möte med rektorn . ställde politikern en s.k. enkel fråga till Kommun- fullmäktige i kommun där han undrade om det var i linje med skolans och kommunens värderingar att en kurator på en av kommunens gymnasieskolor offentligt instämde med att kalla vissa borgerliga de- battörer och journalister för mördare. Han ville undersöka om kuratorn skulle skiljas från sitt uppdrag. I en skrivelse svarade AApå BB:s fråga och anförde bl.a. att kuratorns inlägg var ”uppenbart olämpligt”. Enligt JO utgjorde inte med rektorn i sig någon repressalie.