Riktlinjer för skydd av personuppgifter i gymnasieskolan

För att kunna utföra skolans uppdrag och ge eleverna det stöd de behöver, hanterar varje gymnasieskola dagligen en mängd personuppgifter.  Även på huvudmannanivå hanterar vi dagligen olika personuppgifter. För att värna elevernas och vårdnadshavarnas rätt till integritet och trygghet vid hantering av deras personuppgifter ska varje rektor och varje medarbetare på varje skola – liksom varje chef och varje medarbetare på stabsnivå – medvetet hantera personuppgifter enligt dessa riktlinjer.

Utgångspunkter för gymnasiesegmentets hantering av personuppgifter är:

  • Elevers och vårdnadshavares personuppgifter är deras egna – vi lånar dem bara.
  • Bara de personuppgifter som verkligen behövs för det aktuella syftet ska användas.
  • Känsliga personuppgifter ska hanteras (samlas in, lagras och spridas) i så liten utsträckning som möjligt.

Personuppgiftsansvarig

Inom gymnasiesegmentet är respektive bolag personuppgiftsansvarig för behandlingen av elevers och vårdnadshavares personuppgifter. Det betyder exempelvis att Plusgymnasiets AB har det yttersta ansvaret för den personuppgiftsbehandling som sker för elever och deras vårdnadshavare vid Plusgymnasiets skolor.

Dataskyddsombud

För gymnasiesegmentet finns ett gemensamt dataskyddsombud, som har tillsynsansvaret för hanteringen av elevernas och vårdnadshavarnas personuppgifter. Det gemensamma dataskyddsombudet har också rapporteringsansvar till Datainspektionen vid personuppgiftsincidenter. Ombudet arbetar på uppdrag av respektive bolagsstyrelse och återkopplar direkt till bolagsstyrelsen. Dataskyddsombud för gymnasiesegmentet är Mattias Flodwall, dataskydd@academedia.se.

Personuppgiftsbiträde

Den externa part som behandlar elevers och/eller vårdnadshavares personuppgifter på uppdrag av någon av gymnasiesegmentets bolag blir ett så kallat personuppgiftsbiträde. För denna part ska det finnas ett personuppgiftsbiträdesavtal upprättat. I det regleras vad den externa parten får göra med personuppgifterna. Där AcadeMedia har ramavtal med extern part (till exempel SchoolSoft) ligger ansvaret på koncernnivå för att ett korrekt personuppgiftsbiträdesavtal är upprättat.

Om verksamheten tecknar ett avtal med en extern part och ett centralt ramavtal saknas, måste verksamheten tillsammans med dataskyddsombudet göra en bedömning av partens lämplighet att vara personuppgiftsbiträde. Den som slutligen tecknar tjänsteavtalet är ansvarig för att det också upprättas ett personuppgiftsbiträdesavtal. Dataskyddsombudet ansvarar för att hålla förteckningen över samtliga personuppgiftsbiträden aktuell och fortlöpande göra kontroller av deras lämplighet.

Tredjepartsappar

Med en tredjepartsapp menas en app (applikation) som laddas ner till en dator, surfplatta, Chromebook eller ett annat tekniskt hjälpmedel. Denna app kan hämta eller läsa information från en annan redan installerad app och i vissa fall från en annan mjukvara eller annat systeminnehåll. Vid användning av tredjepartsappar finns det en betydande säkerhetsrisk. Faran ligger i att man förlorar kontrollen och insynen i hur personuppgifter behandlas av en tredje part.

Skolans eller varumärkets lokala administratör har tillgång till policy och instruktioner för att kunna göra säkerhetsbedömningar av tredjepartsapparna. Administratören måste alltid anmäla installerad applikation till dataskyddsombudet. Denne gör en bedömning av den installerade applikationen. Om möjligt upprättar dataskyddsombudet ett personuppgiftsbiträdesavtal med leverantören. Dataskyddsombudet ger godkännande eller avslag.

Medarbetare inom EHT-teamen får aldrig installera en tredjepartsapp som inte är godkänd – det finns en risk att en app installeras som läser materialet från till exempel EHT-medarbetarens Google drive.

Länk till lista med godkända tredjepartsappar.

Digitala lärtjänster

Med digitala lärtjänster menas de olika webbaserade tjänster som används i undervisningen eller för att mäta elevernas kunskapsutveckling, till exempel Kunskapsmatrisen. För att trygga elevernas personuppgifter vid användning av dessa lärtjänster har gymnasiesegmentet bestämt att tjänsterna ska granskas av dataskyddsombudet. Godkända lärtjänster finns på segmentets rekommendationslista och endast de får användas som tvingande i undervisningen.

Länk till segmentets rekommendationslista

Personuppgiftsincident

En personuppgiftsincident är en händelse där vi oavsiktligt förlorat, ändrat eller delat med oss av personuppgifter till någon obehörig. Exempel på personuppgiftsincident är när:

  • ett mail med integritetskänsliga personuppgifter om en elev har skickats till fel person,
  • ett misstänkt intrång skett i SchoolSoft.

När en personuppgiftsincident har inträffat ska du informera din närmaste chef och incidenten ska omgående anmälas till dataskyddsombudet.

Dataskyddsombudet ansvarar för dokumentation och eventuell rapportering till Datainspektionen (inom 72 timmar från att incidenten identifierats). Vid behov ska verksamheten informera elever och vårdnadshavare om vad som skett och vilka åtgärder som vidtagits.

Att tänka på som medarbetare:

  • Du ska till dataskyddsombudet anmäla alla former av personuppgiftsincidenter som du får kännedom om.
  • Det är verksamhetschefen som, efter avstämning med dataskyddsombudet, ger information till elev och/eller vårdnadshavare om en personuppgiftsincident.

Anmälan till dataskyddsombudet ska du göra via webbformulär för anmälan personuppgiftsincident.

Hantering av personuppgifter

Hanteringen av personuppgifter består av flera olika moment där varje moment juridiskt sett betraktas som en personuppgiftsbehandling. Hanteringen kan ses som en process som börjar med insamling och avslutas med gallring. Bilden nedan illustrerar de olika momenten.

1. Informera

När personuppgifter ska behandlas, exempelvis när en elev börjar på skolan, måste eleven och vårdnadshavaren informeras om hur deras personuppgifter kommer att behandlas. Informationen ska lämnas innan personuppgifterna samlas in. Av informationen ska det bland annat framgå vem som är personuppgiftsansvarig, vilka personuppgifter som samlas in, den rättsliga grunden för att få hantera personuppgifterna, vad personuppgifterna ska användas till och hur länge de sparas. På trygg.academedia.se finns information om detta för vårdnadshavarna och eleverna.

Rektors ansvar:

  • Du ansvarar för att elev och vårdnadshavare i samband med att en elev börjar på skolan får information om hur personuppgifter hanteras.
  • Du ansvarar för att årligen informera alla elever och vårdnadshavare om varför och hur skolan hanterar personuppgifter.
  • Om det finns behov av att översätta informationen till ett annat språk än engelska, arabiska, persiska, somaliska och tigrinja, ta kontakt med dataskyddsombudet.

Standardtext på svenska, engelska, arabiska, persiska, somaliska och tigrinja som ska användas för att informera om hur personuppgifter hanteras hittar du här.

Kameraövervakning

På skolor som har kameraövervakning är det viktigt att ha i åtanke att även detta utgör behandling av integritetskänsliga personuppgifter. Elever och vårdnadshavare måste informeras om detta i samband med att eleven börjar på skolan. Informationen ska vara utformad i enlighet med principerna ovan.

Att tänka på som rektor vid kameraövervakning:

  • För att en skola ska få sätta upp övervakningskameror krävs att det finns ett övervakningsintresse som väger tyngre än integritetsintresset. Det är skolans huvudman som ska visa att det finns ett rättsligt stöd för kameraövervakningen och att denna övervakning utförs i enlighet med gällande lagstiftning.
  • Du som rektor ska diskutera med din verksamhetschef innan kameraövervakning installeras . Verksamhetschefen måste tillsammans med AcadeMedias juridiska avdelning göra en analys av vilket övervakningsintresse skolan har.

Standardtext som ska användas för att informera om hur personuppgifter hanteras. Inte klar.

2. Samtycka och registrera

Innan personuppgifter samlas in måste skolan bedöma om samtycke krävs. För vägledning i bedömningen se nedan. Notera att samtycke alltså ska inhämtas innan skolan påbörjar insamling eller registrering.

I gymnasieskolan krävs alltid elevens och vårdnadshavarens samtycke:

  • För att få publicera en bild eller film på sociala medier, på webbsida eller i tryck där eleven går att identifiera.
  • Om någon del av undervisningen sker på sociala medier där eleverna inte redan befinner sig. En förutsättning är att eleven uppfattar att det är frivilligt att samtycka.

Det är rektors ansvar att skolan har dokumenterade och korrekta samtycken för de situationer där bilder eller filmer används i skolans lokala marknadsföring. Rektor ansvarar också för att inaktuella samtycken gallras bort. Vid central marknadsföring är det marknadsavdelningen som ansvarar för att aktuella samtycken finns och att det gallras bland dessa.

Ett samtycke kan återkallas om vårdnadshavarna är överens om det. Återkallande medför inte att den behandling som redan gjorts (exempelvis bildpubliceringar) blir olagliga. Däremot får vi inte fortsätta att använda personuppgifterna (exempelvis bilder) efter att samtycket återkallas.

Att tänka på som rektor:

  • Att samtycken sparas så att aktuella samtycken kan tas fram och inaktuella gallras ut.
  • Att nya samtycken upprättas vid varje läsårsstart (augusti).

Blanketter för samtycke för att använda bild/foto/film vid marknadsföring lokalt/centralt hittar du här.

3. Spara

Var personuppgifter sparas är detsamma som var personuppgifterna lagras. Det finns olika alternativ; de kan lagras exempelvis i ett IT-system, i en molntjänst, i e-post, på en filserver, i ett USB-minne eller analogt i en pärm. Platsen för var personuppgifterna sparas måste väljas med omsorg och med insikt om hur skyddsvärda personuppgifterna är. De får inte sparas längre tid än vad som behövs för ändamålet. För att kontrollera hur länge olika personuppgifter ska sparas, se AcadeMedias arkiveringsplan.

Hur ska okänsliga personuppgifter sparas?

Okänsliga personuppgifter är harmlösa ur ett integritetsperspektiv och kan därför sparas digitalt på samtliga lagringsplatser som AcadeMedia tillhandahåller, till exempel på filservern, i e-post, i Google-drive/One-drive och i IT-system. Egna digitala system, utanför de uppräknade, är inte tillåtna.

Hur ska integritetskänsliga personuppgifter sparas?

Integritetskänsliga personuppgifter är exempelvis personnummer eller beskrivningar av studiesituationen som kan innefatta såväl kunskapsutveckling som förutsättningar för den. Integritetskänsliga personuppgifter ska alltid hanteras med försiktighet och sparas i de system de är avsedda för. De ska inte lyftas ut ur avsedda IT-system eller sparas på annan plats om inte hanteringen är säker.

  • Uppgifter om kunskapsutvecklingen och extra anpassningar ska sparas i SchoolSoft.
  • Pedagogiska kartläggningar och utredningar kan sparas i Google-drive/One-drive så länge dokumentet delas enbart med den som har rätt till det, alternativt lokalt på datorn i ett lösenordsskyddat dokument.
  • Uppgifter om elevens och familjens sociala situation kan sparas i PMO, i Google-drive/One-drive så länge dokumentet delas enbart med den som har rätt till det, alternativt lokalt på datorn i ett lösenordsskyddat dokument.
  • Kränkningsanmälningar kan sparas i servicewebben eller i Google-drive/One-drive så länge dokumentet delas enbart med den som har rätt till det, alternativt lokalt på datorn i ett lösenordsskyddat dokument.
  • Tillbud/olycksfall kan sparas i servicewebben eller i Google-drive/One-drive så länge dokumentet delas enbart med den som har rätt till det, alternativt lokalt på datorn i ett lösenordsskyddat dokument.

Hur ska känsliga personuppgifter sparas?

Känsliga personuppgifter är uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i en fackförening, hälsa, en persons sexualliv eller sexuella läggning samt genetiska eller biometriska uppgifter. Känsliga personuppgifter ska alltid hanteras med extra försiktighet och sparas i avsedda IT-system. De ska inte lyftas ut ur avsedda IT-system och sparas på annan plats som tillhandahålls av AcadeMedia om hanteringen inte är säker.

  • Om elevhälsans kompetenser (skolpsykolog, skolläkare, skolsköterska, kurator och specialpedagogisk kompetens) har tillgång till PMO sparar de sin dokumentation där.
  • Om kuratorn och/eller specialpedagogen saknar tillgång till PMO kan de spara sin dokumentation i Google-drive/One-drive så länge dokumentet delas enbart med den som har rätt till det, alternativt lokalt på datorn i ett lösenordsskyddat dokument.
  • EHT-teamens dokumentation kan sparas i PMO, i Google Teamdrive/One-drive så länge dokumentet delas enbart med den som har rätt till det, alternativt lokalt på datorn i ett lösenordsskyddat dokument. Rektor är ansvarig för behörighetstilldelningen på Google Teamdrive/One-drive.
  • Personal i skolan kan behöva hantera känsliga personuppgifter. Det kan exempelvis vara en lärare som behöver skriva egna minnesanteckningar för att alla elever utifrån sina behov ska få bästa förutsättningar. Denna typ av anteckningar kan göras i Google-drive/One-drive så länge dokumentet delas enbart med den som har rätt till det, alternativt lokalt på datorn i ett lösenordsskyddat dokument.
  • Uppgifter om allergi och specialkost kan sparas i PMO, i Google-drive/One-drive så länge dokumentet delas enbart med den som har rätt till det, alternativt lokalt på datorn i ett lösenordsskyddat dokument.

4. Dela

Med delning av personuppgifter menas att personuppgifter delas/sprids mellan individer. När person A delar personuppgifter med person B måste det göras med omsorg och med hänsyn till om det är okänsliga, integritetskänsliga eller känsliga personuppgifter som delas.

Hur ska okänsliga personuppgifter delas?

Okänsliga personuppgifter är harmlösa ur ett integritetsperspektiv och kan delas digitalt på de olika sätt som AcadeMedia har tillgång till.

Hur ska integritetskänsliga personuppgifter delas?

Integritetskänsliga personuppgifter är exempelvis personnummer eller beskrivningar av studiesituationen vilken kan innefatta såväl kunskapsutveckling som förutsättningar för den. Om du behöver dela integritetskänsliga personuppgifter utanför avsedda IT-system (exempelvis SchoolSoft och servicewebben) kan du göra på följande sätt:

  • Via Google-drive/One-drive, där du som delar har kontroll över vem som får åtkomst och hur länge mottagaren ska ha åtkomst.
  • Via krypterad e-post (AcadeMedias interna e-post är krypterad) om det går att säkerställa att sändare och mottagare tar bort mailet när det inte längre behövs för syftet.
  • Med krypterad e-post om filen är lösenordsskyddad och lösenordet skickas på annat sätt.
  • Med ett krypterat och lösenordsskyddat USB-minne.

Hur ska känsliga personuppgifter delas?

Känsliga personuppgifter är uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i en fackförening, hälsa, en persons sexualliv eller sexuella läggning samt genetiska eller biometriska uppgifter. Om du behöver dela känsliga personuppgifter utanför avsedda IT-system kan du göra på följande sätt:

  • Via Google-drive/One-drive, där du som delar har kontroll över vem som får åtkomst och hur länge mottagaren ska ha åtkomst.
  • Via krypterad e-post (AcadeMedias interna e-post är krypterad) om det går att säkerställa att sändare och mottagare tar bort mailet när det inte längre behövs för syftet.
  • Med krypterad e-post om filen är lösenordsskyddad och lösenordet skickas på annat sätt.
  • Med ett krypterat och lösenordsskyddat USB-minne.

5. Arkivera/gallra

När ändamålet med personuppgifterna inte längre är aktuellt ska personuppgifterna arkiveras eller gallras. AcadeMedias arkiveringsplan anger efter hur lång tid olika typer av personuppgifter ska tas bort. Huvudregeln är – om inget annat anges i arkiveringsplanen – att personuppgifter om elever och vårdnadshavare ska gallras senast sex månader efter att eleven har slutat. Om särskilda skäl finns kan uppgifter sparas längre än sex månader. Ett exempel kan vara om det pågår en process, till exempel när en anmälan gjorts till Skolinspektionen, eller om en process kan förväntas. Varje rektor måste göra en bedömning av vilket material som behöver sparas under en längre tid och rektor ansvarar också för att uppgifter tas bort när de inte längre behövs.

Att tänka på :

  • personuppgifter måste gallras från samtliga platser de lagras på exempelvis e-post, filserver och pärmar.

Dataskydd i specifika IT-system

SchoolSoft

Schoolsoft är ett digitalt system för personal, elever och vårdnadshavare. Programmet är webbaserat och är när som helst tillgängligt via en dator med internetuppkoppling. Tillträde till systemet har den som behöver det i sin yrkesroll plus elever och vårdnadshavare. Tillträde till de olika delarna i systemet tilldelas utifrån behov och definieras som roller. Skolans personal ska som nya användare alltid ha genomgått utbildning för att få tillträde till systemet. Skoladministratörer ska ha genomgått certifiering. Rektor har det övergripande ansvaret för hur systemet används på enheten. Även personal på stabs- och huvudmannanivå ska ha tydliga roller som ger access till enbart de delar de anställda behöver i sin yrkesutövning.

Systemets huvudfunktioner är administration, pedagogik och kommunikation. Följande delar finns  i programmet:

  • register över elever, vårdnadshavare och personal, med ett antal rapportfunktioner,
  • närvarorapportering,
  • kalenderfunktion,
  • schemafunktion,
  • verktyg för uppföljning av elevernas kunskapsutveckling,
    analysverktyg för skolledning
  • verktyg för planering, bedömning och betygsättning,
  • möjlighet att dela planering, prov, uppgifter och filer med elever,
  • kommunikation mellan samtliga parter utifrån den behörighet man har i systemet.

Inom AcadeMedia integreras Schoolsoft med Novaschem och SPAR. Schoolsoft tillhandahåller även en app som huvudsakligen vänder sig till elever och vårdnadshavare. Med appen får man enkelt åtkomst till schema, närvaro, kalender och den mobilanpassade versionen av Schoolsoft.

Fritextfält

Fritextfälten får inte användas för att registrera andra uppgifter än vad fälten är till för. När du använder fritextfunktioner tänk på att alltid uttrycka dig professionellt, sakligt i relation till den aktuella frågan, rättvist och i övrigt i överensstämmelse med likabehandlingsplanen, god etik samt gällande lagar och förordningar. Integritetskänsliga eller känsliga uppgifter och kränkande uttalanden får inte förekomma.

Registrering av frånvaro

Vid registrering av frånvaro får uppgifter om sjukdom eller hur eleven mår inte registreras. Enbart anmäld och oanmäld frånvaro får anges. Riktlinjerna finns beskrivna här.

Profdoc Medical Office (PMO)

Elevhälsans medicinska insats använder Profdoc Medical Office, PMO, ett elektroniskt journalsystem som stödjer hanteringen av medicinsk dokumentation och patientadministration. PMO är CE-certifierat som en medicinteknisk produkt. Verksamheterna har inte sammanhållen journalföring med varandra eller någon annan part. Ingen patient/elev eller vårdnadshavare har enskild direktåtkomst till uppgifterna.

Verksamhetschefen för Elevhälsans medicinska insats ansvarar för att behöriga befattningshavares åtkomst begränsas till vad som är nödvändigt för att kunna ge god och säker vård. Vårdgivarna har enats om att använda de fyra behörighetsnivåerna administratör, skolsköterska/skolläkare, skolpsykolog samt IT-tekniker. Administratören ger behörighet till att utföra administrativa uppgifter i Admin-client samt i PMO-client. Exempel på administrativa uppgifter är att lägga till nya användare, inaktivera användare och arkivera journaler. Behörighetsnivåerna skolsköterska/skolläkare och skolpsykolog ger åtkomst till patientuppgifter. Behörighetsnivån IT-tekniker ger åtkomst endast till en fiktiv skola och fiktiva patienter.

Behörig användare loggar in mot en domän för att sedan via fjärrskrivbord komma åt PMO. För att säkerställa stark autentisering för åtkomst används SITHS-kort vid inloggning. Användning av PMO-client ska ske på arbetsplatsen av behörig användare. Undantag kan beviljas av verksamhetschefen för Elevhälsans medicinska insats. Användning av PMO-admin bör ske från arbetsplatsen av behörig användare. Logg-kontroller genomförs regelbundet enligt verksamhetens ledningssystem och säkerställer att användarna av systemet agerar i enlighet med sin behörighet.

Innan anställning eller konsultuppdrag påbörjas kontrollerar vi skolsköterskans/skolläkarens och psykologens legitimation hos Socialstyrelsen.

Den som verksamhetschefen för elevhälsans medicinska insats har utsett till behörig beställare kan beställa HSAid och SITHS-kort. När en behörig användare avslutar sitt uppdrag inaktiveras användaren i PMO och därigenom spärras åtkomsten till patientuppgifter.