Personuppgifter i skola och förskola
I skolan behandlas många olika slags personuppgifter, till exempel närvarolistor, betygsunderlag och personliga utvecklingsplaner. Personuppgifter om barn är särskilt skyddsvärda eftersom barn kan ha svårare att förutse riskerna med att lämna ifrån sig uppgifter och förstå vilken rätt de har till skydd för sina uppgifter.
Läraren ansvarar inte för personuppgifterna
Det är den personuppgiftsansvariga som ansvarar för att dataskyddsreglerna följs och för att personuppgifter behandlas korrekt. Den personuppgiftsansvariga är den verksamhet som bestämmer för vilka ändamål personuppgifterna behandlas och hur behandlingen ska gå till. För en kommunal skola kan till exempel en utbildningsnämnd vara personuppgiftsansvarig och för en friskola ett aktiebolag. Rektorn, läraren och andra anställda är inte personuppgiftsansvariga, men de ska behandla personuppgifter i skolverksamheten enligt instruktion från den personuppgiftsansvariga.
För personuppgiftsansvariga inom skola och förskola
Skyddade personuppgifter
Enligt dataskyddsförordningen (GDPR) ska den personuppgiftsansvariga skydda alla personuppgifter som behandlas. Om en elev eller personal har skyddade personuppgifter (skyddad identitet) bör säkerheten vara särskilt hög med hänsyn till att risken för skada för den enskilda är stor om uppgifterna röjs till obehöriga.
För att säkerställa tillräckligt skydd behöver skolan vidta både tekniska och organisatoriska åtgärder vid hanteringen av skyddade personuppgifter.
Informationssäkerhet för verksamheter
Skolan har även en skyldighet att informera elever och personal med skyddade personuppgifter om hur deras personuppgifter behandlas. Skolan kan även ha en informationsskyldighet mot en förälder.
Anledningen till att skolan har dessa skyldigheter är att de registrerade, det vill säga den vars personuppgifter behandlas, har ett antal rättigheter enligt GDPR. Den registrerade har bland annat rätt att veta varför uppgifter kommer att användas och vem som kommer att ta del av uppgifterna.
Dataskyddsombudet kontrollerar och ger stöd
Vissa verksamheter som behandlar personuppgifter måste utse ett dataskyddsombud. Det gäller exempelvis kommunala verksamheter. Ombudet ska kontrollera att dataskyddsreglerna följs inom skolan och ge råd om hur behandlingen av personuppgifter bör gå till. Dataskyddsombudet ska också vara en kontaktpunkt för den registrerade. Elever och föräldrar kan därför kontakta dataskyddsombudet för att ställa frågor om skolans behandling av personuppgifter.
Om skolan inte har ett dataskyddsombud och vill ha vägledning har IMY kunskapsfilmer att ta del av.
Kunskapsfilmer om GDPR
