Riktlinjer för skydd av personuppgifter i vuxenutbildning

Inom vuxenutbildningen hanterar vi dagligen en mängd personuppgifter i syfte att utföra avtalade uppdrag och ge elever, studerande och deltagare det stöd de behöver för att nå utbildningens och insatsens mål. För att säkerställa elevers, studerandes och deltagares rätt till integritet och trygghet vid hantering av deras personuppgifter ska varje ansvarig chef och medarbetare inom vuxenutbildningen samt varje chef och medarbetare på stabsnivå hantera personuppgifter i enlighet med dessa riktlinjer.

Vuxenutbildningssegmentets hantering av personuppgifter ska utgå ifrån att:

● Elevers, studerandens och deltagares personuppgifter är deras egna – vi lånar dem bara.
● Bara de personuppgifter som verkligen behövs för syftet ska användas.
● Känsliga personuppgifter ska hanteras (samlas in, lagras och spridas) i så liten utsträckning som möjligt.
● Hantering av personuppgifter ska i möjligaste mån vila på annan rättslig grund än samtycke.

Personuppgiftsansvarig

Inom vuxenutbildningssegmentet är respektive bolag personuppgiftsansvarig för elevers, studerandens och deltagares personuppgiftsbehandling. Det betyder exempelvis att Academedia Eductus AB har det yttersta ansvaret för den personuppgiftsbehandling som sker för elever och deltagare vid Eductus enheter och uppdrag.

Dataskyddsombud

För vuxenutbildningssegmentet finns det ett dataskyddsombud per bolag för de större bolagen, och ett gemensamt för de mindre bolagen inom Tillväxtgruppens Yh-verksamheter respektive övriga verksamheter. Dataskyddsombuden har tillsynsansvaret för elevers, studerandes och deltagares personuppgiftshantering samt rapporteringsansvar till Datainspektionen vid personuppgiftsincidenter. Dataskyddsombudet arbetar på uppdrag av respektive bolagsledning och återkopplar direkt till dem.

Dataskyddsombud för vuxenutbildningssegmentet når du på följande mejladress dataskydd@academedia.se

Personuppgiftsbiträde

De externa parter som behandlar elevers, studerandens och deltagares personuppgifter på uppdrag av någon av vuxenutbildningssegmentets bolag blir ett s.k. personuppgiftsbiträde. För dessa ska det finnas upprättat ett personuppgiftsbiträdesavtal i vilket det regleras vad den externa parten får göra med personuppgifterna. I de fall där AcadeMedia har ramavtal med extern part ligger ansvaret på koncernnivå för att korrekta personuppgiftsbiträdesavtal upprättas. I övrigt är det respektive bolag som ansvarar för att upprätta sina personuppgiftsbiträdesavtal med sina respektive externa parter.

När avtal tecknas med part där centralt ramavtal saknas måste det göras en bedömning av partens lämplighet att vara personuppgiftsbiträde tillsammans med dataskyddsombudet. Den som slutligen tecknar tjänsteavtalet är ansvarig för att det upprättas ett personuppgiftsbiträdesavtal.

Dataskyddsombudet ansvarar för att hålla aktuell förteckning över samtliga personuppgiftsbiträden och fortlöpande göra kontroller av deras lämplighet.

Tredjepartsappar

Med tredjepartsapp avses en app (applikation) som laddas ner till en dator, surfplatta, till en Chromebook eller till annat tekniskt hjälpmedel. Denna app kan hämta/läsa information från en annan redan installerad app samt i vissa fall annan mjukvara eller systeminnehåll. Vid användning av tredjepartsappar finns det en betydande säkerhetsrisk att vi förlorar kontrollen och insynen i hur personuppgifter behandlas av den tredje parten.

Varje enhet eller varumärkets lokala ansvariga har tillgång till policy och instruktioner för att kunna göra säkerhetsbedömningar av tredjepartsapparna. Ansvarig måste alltid anmäla installerad applikation till dataskyddsombudet. Denne gör en bedömning av installerad applikation. Om möjligt upprättar dataskyddsombudet personuppgiftsbiträdesavtal med leverantörer. Dataskyddsombudet ger godkännande eller avslag.

Digitala lärtjänster

Med digitala lärtjänster menas de olika webbaserade tjänster som används i undervisningen och/eller för att mäta elevernas, studerandes och deltagares kunskapsutveckling. För att trygga elevernas personuppgifter vid användning av denna typ av lärtjänster har vuxenutbildningssegmentet bestämt att tjänsterna ska granskas av dataskyddsombudet på respektive bolag. Godkända lärtjänster återfinns på segmentets rekommendationslista. Endast de lärtjänster som finns på rekommendationslistan får användas som tvingande i undervisningen.

Personuppgiftsincident

En personuppgiftsincident är en händelse där vi oavsiktligt förlorat, ändrat eller delat med oss av personuppgifter till någon obehörig. Exempel på personuppgiftsincident är:
● Ett mail med känsliga personuppgifter om en elev skickas till fel person.
● Misstänkt intrång i lärplattformar.
● Obehöriga tar sig in i system och sprider personuppgifter.
● Våra databaser drabbas av virus.
● En registerpärm med personuppgifter stjäls från en lärares kontor.

När en personuppgiftsincident har inträffat ska närmaste chef informeras och incidenten omgående anmälas  till dataskyddsombudet. Dataskyddsombudet ansvarar för dokumentation och eventuell rapportering till Datainspektionen (inom 72 timmar från att incidenten identifierats), samt vid behov, ger information till elever och deltagare om vad som skett och vilka åtgärder som vidtagits.

Att tänka på som medarbetare:
● Som medarbetare ska du anmäla alla former av personuppgiftsincidenter som du får kännedom om till dataskyddsombudet.
● Om en personuppgiftsincident inträffar ska anteckningar om datum, händelse och åtgärd föras in i en logg, vilket dataskyddsombudet ska ha tillgång till.
● Det är verksamhetschefen som, efter avstämning med dataskyddsombudet, ger information till elev, deltagare och studerande om en personuppgiftsincident.

Anmälan till dataskyddsombudet ska du göra via webbformuläret för anmälan av personuppgiftsincident.

Hantering av personuppgifter

Hanteringen av personuppgifter består av flera olika moment där varje moment juridiskt sett ses som en personuppgiftsbehandling. Hanteringen av personuppgifter kan ses som en process som börjar med insamling och avslutas med gallring. Bilden nedan illustrerar de olika momenten.

1. Informera

Innan personuppgifter behandlas, exempelvis när en elev eller deltagare börjar i utbildning/insats, måste eleven/deltagaren informeras om hur deras personuppgifter kommer att behandlas. Informationen ska lämnas innan eller i samband med att personuppgifterna samlas in t.ex. i samma blankett eller på samma webbsida. Informationen som lämnas ska vara tydlig, lättförståelig och omfatta:
● Vem som är personuppgiftsansvarig.
● Vilka personuppgifter som samlas in och den rättsliga grunden som finns för att hantera personuppgifterna.
● Vad personuppgifterna ska användas till, vilka som kommer att ta del av dem och hur länge de kommer att sparas.
● Hur eleven/deltagaren kan kontakta dataskyddsombud om de har klagomål gällande personuppgiftsbehandlingen.
● Att eleven/deltagaren får information om rätt till radering, begränsning och att begära utdrag för att kontrollera vilken information som finns insamlad samt begära att felaktiga uppgifter rättas. Vi måste även informera om hur ett samtycke återkallas.

Närmaste chefs ansvar är:
● Att elev/deltagare får information om vår personuppgiftshantering i samband med att eleven/deltagaren påbörjar sin utbildning.
● Att årligen informera alla elever/deltagare om varför och hur vi hanterar deras personuppgifter.
● Att initiera kontakt med dataskyddsombudet om det uppstår behov av att anpassa informationstexten till annat språk.

Standardtext på svenska, engelska, arabiska, somaliska, persiska och tigrinja som ska användas för att informera om hur personuppgifter hanteras hittar du här.

Kameraövervakning

För de enheter som har kameraövervakning är det viktigt att minnas att även detta är en insamling av integritetskänsliga personuppgifter. Elever och deltagare måste informeras om detta i samband med att hen börjar sin utbildning/insats. Informationen ska vara utformad i enlighet med ovan princip.

Att tänka på som ansvarig chef vid kameraövervakning:

● För att en enhet ska få sätta upp övervakningskameror krävs att det finns ett övervakningsintresse som väger tyngre än integritetsintresset. Det är enhetens ansvariga chef som ska visa att det finns ett rättsligt stöd för kameraövervakningen och att den utförs i enlighet med gällande lagstiftning för kameraövervakning.
● Du som lokalt ansvarig chef ska diskutera med din verksamhetschef innan kameraövervakning införskaffas. Verksamhetschefen måste ihop med AcadeMedias juridiska avdelning göra en analys av vilket övervakningsintresse enheten har.

2. Registrera och samtycke

Innan personuppgifter samlas in måste skolan göra en bedömning om det behövs samtycke för att skolan ska få lov att samla in personuppgifterna. Se nedan vägledning om i vilka situationer samtycke behövs. Om samtycke behövs ska det inhämtas innan vi påbörjar insamling eller registrering.

Ett samtycke ska vara individuellt, särskilt och frivilligt samt vara en ”otvetydig viljeyttring”. I samtycket ska det tydligt framgå vad personuppgifterna ska användas till. Flera samtycken kan inhämtas i samma blankett, men vart och ett måste beskrivas, motiveras och kunna ges samtycke till separat t.ex. med hjälp av olika kryssrutor. Det måste gå att säkerställa vilka elever/deltagare som samtyckt till vad.

I utbildning krävs alltid elevens/deltagarens samtycke:
● För att publicera en bild eller film på sociala medier, webbsida eller i tryck där individen går att identifiera.
● Om någon del av undervisningen sker på sociala medier, där inte eleverna/deltagarna redan befinner sig, under förutsättning att eleven/deltagaren uppfattar att det är frivilligt att samtycka.

Det är närmaste chefs ansvar att vi har dokumenterade och korrekta samtycken för de situationer där bilder eller filmer ska användas i varumärkets lokala marknadsföring. Chefen ansvarar också för att dessa samtycken gallras när de inte längre är aktuella. Vid central marknadsföring är det marknadsavdelningen som ansvarar för att det finns samtycke och att dessa gallras.

Ett samtycke kan återkallas av elev/studerande/deltagare. Om ett samtycke återkallas får ytterligare personuppgifter som samtycket gäller inte längre behandlas. Däremot är det inte möjligt för den registrerade att stoppa behandling av personuppgifter som tidigare samlats in med stöd av samtycket.

Att tänka på som ansvarig chef:
● Att samtycken sparas så att aktuella samtycken kan tas fram eller gallras.
● Att nya samtycken upprättas vid varje start av utbildning och insats.

Blanketter för samtycke för bild, film och namn finns här.

3. Spara

Att spara personuppgifter är detsamma som att personuppgifterna lagras någonstans. Det finns flera olika alternativ för var personuppgifter kan sparas/lagras exempelvis i ett IT-system, i en molntjänst, i e-post, på en filserver, i ett USB-minne eller på papper i en pärm. Platsen för var personuppgifterna sparas måste väljas medvetet och med kunskap om hur skyddsvärd varje personuppgift är. Personuppgifterna får inte sparas längre tid än vad som behövs för ändamålet. För att kontrollera hur länge olika personuppgifter ska sparas i skolan, se AcadeMedias arkiveringsplan.

Hur ska okänsliga personuppgifter sparas?
Okänsliga personuppgifter är harmlösa ur ett integritetsperspektiv och kan därför sparas digitalt i samtliga lagringsplatser som AcadeMedia erbjuder t.ex på filservern, i e-post, i Google-drive/ One-drive och i IT-system. Egna digitala system utanför detta är inte tillåtet.

Hur ska integritetskänsliga personuppgifter sparas?
Integritetskänsliga personuppgifter är exempelvis personnummer eller beskrivningar om studiesituationen som innefattar såväl kunskapsutveckling som förutsättningar för den. Integritetskänsliga personuppgifter ska alltid hanteras med försiktighet och sparas i system avsedda för dessa uppgifter. De ska inte lyftas ut ur avsedda IT-system eller sparas på annan plats om inte hanteringen där är säker.

● Uppgifter om kunskapsutveckling och extra anpassningar ska sparas i bolagens lärplattformar.
● Pedagogiska kartläggningar och utredningar kan sparas i Google-drive/One-drive så länge dokumentet bara delas med den som har rätt till det, alternativt lokalt på datorn i ett lösenordsskyddat dokument.
● Uppgifter om elevens sociala situation kan sparas i Google-drive/One-drive så länge dokumentet bara delas med den som har rätt till det, alternativt lokalt på datorn i ett lösenordsskyddat dokument.
● Kränkningsanmälningar kan sparas i Google-drive/One-drive.
● Tillbud/olycksfall kan sparas i Google drive/One-drive.

Hur ska känsliga personuppgifter sparas?
Känsliga personuppgifter är uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i en fackförening, hälsa, en persons sexualliv eller sexuella läggning samt genetiska eller biometriska uppgifter. Känsliga personuppgifter ska alltid hanteras med extra försiktighet och sparas i IT-system avsedda för dessa uppgifter. De ska inte lyftas ut ur avsedda IT-system och sparas på annan plats som erbjuds av AcadeMedia om inte hanteringen där är säker.

● Personal inom vuxenutbildningen kan behöva hantera känsliga personuppgifter. Det kan exempelvis vara en lärare som behöver skriva egna minnesanteckningar vid en klassrumsplacering för att alla elever utifrån sina behov ska få bästa förutsättningar. Denna typ av anteckningarna kan göras i Google-drive/One-drive så länge dokumentet bara delas med den som har rätt till det, alternativt lokalt på datorn i ett lösenordsskyddat dokument.
● Uppgifter om allergi och sjukdomsbild som eleven medgivit till att de ska vara kända, kan sparas i Google-drive/One-drive så länge dokumentet bara delas med den som har rätt till det, alternativt lokalt på datorn i ett lösenordsskyddat dokument.

4. Dela

Med delning av personuppgifter inom verksamheten menas personuppgifter som delas/sprids mellan individer. När person A delar personuppgifter med person B måste det göras på ett medvetet sätt utifrån om uppgifterna är okänsliga, integritetskänsliga eller känsliga.

Hur ska okänsliga personuppgifter delas?
Okänsliga personuppgifter är harmlösa ur ett integritetsperspektiv och kan delas digitalt på de olika sätt som AcadeMedia ger möjligheter till.

Hur ska integritetskänsliga personuppgifter delas?
Integritetskänsliga personuppgifter är exempelvis personnummer eller beskrivningar om studiesituationen som innefattar såväl kunskapsutveckling som förutsättningar för den. Om integritetskänsliga personuppgifter behöver delas utanför IT-system avsedda för sådana uppgifter kan det göras på följande sätt:

● Via Google-drive/One-drive, där den som delar har kontroll över vem som får åtkomst och hur länge mottagaren ska ha åtkomst.
● Via krypterad e-post (AcadeMedias interna mail är krypterad) om det går att säkerställa att sändare och mottagare tar bort mailet när det inte längre behövs för syftet.
● Med krypterad e-post om filen är lösenordsskyddad och lösenordet skickas på annat sätt.
● Med krypterat och lösenordsskyddat USB-minne.

Hur ska känsliga personuppgifter delas?
Känsliga personuppgifter är uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i en fackförening, hälsa, en persons sexualliv eller sexuella läggning samt genetiska eller biometriska uppgifter. Om känsliga personuppgifter behöver delas utanför IT-system avsedda för sådana uppgifter kan det göras på följande sätt:

● Via Google-drive/One-drive, där den som delar har kontroll över vem som får åtkomst och hur länge mottagaren ska ha åtkomst.
● Via krypterad e-post (AcadeMedias interna mail är krypterad) om det går att säkerställa att sändare och mottagare tar bort mailet när det inte längre behövs för syftet.
● Med krypterad e-post om filen är lösenordsskyddad och lösenordet skickas på annat sätt.
● Med krypterat och lösenordsskyddat USB-minne.

5. Arkivera/gallra

När syftet med att hantera personuppgifterna inte längre finns ska personuppgifterna arkiveras eller gallras. AcadeMedias arkiveringsplan anger efter hur lång tid olika typer av personuppgifter ska tas bort. Huvudregeln är att personuppgifter om elever och deltagare inom vuxenutbildningen ska tas bort senast sex månader efter att eleven slutat. Uppgifter kan behöva sparas längre än sex månader, om särskilda skäl finns. De undantag som finns är angivna i arkiveringsplanen. Ett exempel kan vara om det pågår en process, till exempel anmälan till Skolinspektionen, eller att sådan kan förväntas. Varje ansvarig chef måste bedöma vilket material som måste sparas under en längre tid och ansvarar för att det tas bort när det inte längre finns något behov.

Att tänka på:
● Gallring ska ske på samtliga platser där personuppgifterna i fråga finns lagrade.
● Även e-post måste gallras.

Dataskydd i specifika IT-system

Novo

Novo är Hermods digitala utbildningsplattform för elever/deltagare, personal och kunder.

Med en fungerande dator med internetuppkoppling kan man som elev/deltagare, kund, lärare eller övrig personal på Hermods, använda Novo när och var man vill. Webbklienten/webbfunktionaliteten fungerar i den senaste versionen av de vanligaste webbläsarna; Chrome, Firefox, Edge och Safari.

Kurserna i Novo är webbaserade där man som elev har kontakt med lärare, handledare och andra kursdeltagare.

Tillträde till systemet har de som behöver det i sin roll som elev, personal eller kund. Tillträde till de olika delarna i Novo ges utifrån behov och definieras som roller. Användarbehörighet tilldelas enligt principen att minsta möjliga behörighet ska ges. En policy för tillsättning av roller i Novo finns.

Gruppidentitet ska inte användas. Eventuella undantag godkänns enligt policyn för tillsättning av roller i Novo.

Känslig information, som lösenord, är lagrad i krypterad form i applikationen eller i databasen som används av applikationen. Trafiken mellan klient och server är krypterad enligt gällande lagar för kommunikation av känsliga personuppgifter.

Novos huvudfunktioner är pedagogik, administration och kommunikation. I systemet finns följande delar:

  • Användarregister för elever/deltagare, personal och kund
  • Rapportfunktioner
  • Verktyg för uppföljning av eleverna
  • Verktyg för planering, bedömning och betygssättning
  • Möjlighet att dela planering, dokument och filer med elever
  • Kommunikation mellan elev och lärare, eller elev och administratör (bl.a. via meddelande, nyheter, blogg och forum)

Trepartsprodukter

De trepartsprodukter som används av eller inom systemet är följande:

  • Adobe Connect som används för att genomföra muntlig examination för eleverna.
  • Storyline som är ett program för att bygga interaktiva kurser i Novo.

Fritextfält

Fritextfälten får inte användas för att registrera andra uppgifter än vad de är till för. Vid användande av fritextfunktioner ska personal uttrycka sig professionellt, sakligt, i relation till den specifika frågan, rättvist och i övrigt överensstämmande med likabehandlingsplanen, god etik, samt gällande lagar och förordningar. Integritetskänsliga eller känsliga uppgifter och kränkande uttalanden får inte förekomma.

Registrering av frånvaro

Vid registrering av frånvaro får inte uppgifter om sjukdom eller mående registreras. Enbart anmäld frånvaro eller oanmäld frånvaro får anges.

Gallring

Automatisk gallring av uppgifter i Novo kommer att ske enligt policy om radering.

Omnius

Omnius är ett webbaserat system för elever, personal och uppdragsgivare,  tillgängligt dygnet runt via dator, surfplatta och mobil. Tillträde till Omnius har de som behöver det i sina studier eller yrkesroller. Ny personal ska ha gått en utbildning i systemet innan tillträde ges. Rektor/platschef har det övergripande ansvaret för hur systemet används på respektive enhet. Även personal på stabs/huvudmannanivå har tillgång enbart till de delar de behöver i sin yrkesutövning.

Omnius huvudfunktion är att vara ett pedagogiskt (LMS), administrativt och kommunikativt verktyg. Följande områden finns i systemet:

  • Elev-och personalregister med ett antal rapportfunktioner.
  • Närvarorapportering.
  • Kalenderfunktion.
  • Uppföljning av elevernas kunskapsutveckling.
  • Analysverktyg för skolledning.
  • Analysverktyg för uppdragsgivare.
  • Verktyg för planering, bedömning och betygsättning.
  • Möjlighet att dela planering, prov, uppgifter och filer med elever.
  • Kommunikation mellan samtliga parter utifrån den behörighet man har i systemet.
  • Faktureringsmöjligheter enligt avtal.

Elevlogg

Fritextfälten i elevloggen får inte användas för att registrera andra uppgifter än vad de är till för. När vi använder fritextfunktionen uttrycker vi oss professionellt och sakligt. Integritetskänsliga eller känsliga uppgifter och kränkande uttalanden får inte förekomma.

PingPong

PingPong är en webbaserad lärplattform för studerande, personal och utbildare, tillgängligt dygnet runt via dator, surfplatta och mobil. Tillträde till PingPong har de som behöver det i sina studier eller yrkesroller. Ny personal ska ha gått en utbildning i systemet innan tillträde ges. Utbildningschef/Regionchef/platschef har det övergripande ansvaret för hur systemet används på respektive enhet. Även personal på stabs/huvudmannanivå har tillgång enbart till de delar de behöver i sin yrkesutövning.

PingPongs huvudfunktion är att vara ett pedagogiskt (LMS), administrativt och kommunikativt verktyg. Följande områden finns i systemet:
• Studerande- och användarregister med ett antal rapportfunktioner.
• Schema/Kalenderfunktion.
• Uppföljning av studerandes studieresultat.
• Analysverktyg för personal.
• Rapportverktyg för utbildare.
• Verktyg för planering, inlärning, bedömning och betygsättning.
• Möjlighet att dela planering, prov, uppgifter och filer med elever.
• Kommunikation mellan samtliga parter utifrån den behörighet man har i systemet.

Återkoppling till studerande

Fritextfält i formulär som används för återkoppling och annan kommunikation får inte användas för att registrera andra uppgifter än vad de är till för. När vi använder fritextfält uttrycker vi oss professionellt och sakligt. Integritetskänsliga eller känsliga uppgifter och kränkande uttalanden får inte förekomma.

Workbuster

För löpande dokumentation av deltagare inskrivna i våra arbetsförmedlingsuppdrag använder vi systemet Workbuster.
Deltagarnas uppgifter importeras till Workbuster direkt från Arbetsförmedlingen genom en Excelfil som exporteras och läses in i Workbuster. Excelfilen raderas sedan från datorn.

Alla våra deltagare måste godkänna att vi hanterar deras personuppgifter via en blankett. Denna fyller de i vid första mötet.

Varje gång personuppgifter överförs mellan Arbetsförmedlingens webbstöd och Workbuster ”mellanlandar” de i en särskild mapp på One Drive. Denna mapp töms varje dag och filerna raderas permanent.

Workbuster kräver inloggning med bank -id och alla personuppgifter kan därför lagras där säkert. Användarkonton för personal tillhandahålls av AFTAA (Arbetsförmedlingstjänsters Administrativa Avdelning). Det finn en rutin för att ta bort konton för personal som avslutar sin anställning.

I Workbuster finns 3 behörigheter:
1. Coach – Lägst behörighet. Tillåter användaren att se deltagare som man är tilldelad. Används av handledare och lärare ute i verksamheterna.
2. Arbetsledare – Mellanhög behörighet. Tillåter användaren att se alla deltagare kopplat till ett specifikt projekt. Denna används av enhetschefer, administratörer samt studie- och yrkesvägledare
3. Administratör – Högst behörighet. Tillåter användaren att se alla deltagare i systemet. Används av AFTAA och bolagens ledningsgrupp.

Workbuster arbetar efter en anonymiseringsprincip vilket innebär att när en deltagare har varit inaktiv under en viss tid så raderas alla personuppgifter och endast ett ärendenummer kopplat till ett datum och projekt, finns kvar. Det sistnämnda behövs för att bolagen skall kunna föra statistik över avslutade deltagare.