Dataskydd i skola och förskola börjar med en konkret fråga: vem bestämmer varför en uppgift samlas in och vem får använda den? Det är huvudmannen som är personuppgiftsansvarig för sin behandling; i en kommunal verksamhet är det normalt den berörda nämnden, inte den enskilda läraren eller rektorn. IMY:s vägledning för personuppgiftsansvariga i skolan beskriver grunder, känsliga uppgifter och skyddade personuppgifter. Den här guiden visar hur en huvudman kan fatta och dokumentera beslut om undervisning, elevhälsa, bilder och digitala tjänster utan att behandla allt som samma slags uppgift.
Börja med en enkel karta över situationerna: antagning, närvaro, undervisning, särskilt stöd, skolhälsovård, kontakt med vårdnadshavare, fotografering och digitala lärverktyg. För varje situation anges ändamål, rättslig grund, vem som behöver uppgiften, lagring och mottagare. En enda allmän text om att ”skolan följer GDPR” förklarar inte varför uppgifter används i ett visst system. Grunderna för personuppgiftsbehandling kan hjälpa vid sorteringen, medan denna artikel utgår från skolans vardag.
Vem ansvarar och vilken grund gäller?
För undervisning och annan fastställd skolverksamhet är uppgift av allmänt intresse enligt artikel 6.1 e ofta den relevanta grunden för både kommunala och fristående skolor. Grunden måste vara fastställd i unionsrätt eller svensk rätt, exempelvis skollagen, och den konkreta behandlingen ska vara nödvändig för uppgiften. Vissa beslut, såsom betyg och särskilt stöd, kan vara myndighetsutövning. Skriv därför inte automatiskt ”samtycke” i varje digitalt formulär. En elev kan normalt inte fritt välja bort den behandling som är nödvändig för utbildningsuppdraget. IMY framhåller att samtycke vanligtvis inte är lämpligt inom ordinarie skolverksamhet.
Det betyder inte att varje ny app kan tas i bruk med orden ”allmänt intresse”. Huvudmannen behöver pröva om just de uppgifter, funktioner och mottagare som appen förutsätter är nödvändiga. Ett schema kan behöva elevens namn och klass; en extern analysfunktion som samlar beteendedata för andra syften kräver en egen bedömning. För en fristående skola kan andra grunder i vissa avgränsade fall vara möjliga, men de får inte användas som genväg runt nödvändighetskravet. Offentliga skolor får inte använda intresseavvägning för att utföra sitt uppdrag enligt artikel 6.1 f:s begränsning. Dokumentera ändamål och skäl per behandling i registerförteckningen.
En förskola har också löpande kontakt med barn och vårdnadshavare, men den konkreta rättsliga analysen ska avse dess verksamhet och tillämpliga regler. Använd inte ett skolårsschema som mall för alla förskoleprocesser. Fråga exempelvis vilka uppgifter som behövs för omsorg, vilka för säker kontakt och vilka endast för en frivillig aktivitet. Begränsa åtkomst till de personer som behöver uppgifterna i sitt arbete. Om en rutin ändras bör huvudmannen uppdatera sin information och sina systeminstruktioner, inte bara byta formulering på webbplatsen.
Bilder, film och samtycke
Skolfotografering eller publicering utanför det ordinarie utbildningsuppdraget kan vara ett fall där samtycke är möjligt. Det måste då vara frivilligt, specifikt och möjligt att återkalla. Men det är för grovt att säga att varje foto av ett barn alltid kräver samtycke eller att publicering automatiskt blir laglig så fort ett formulär är underskrivet. Ändamål, sammanhang, plattform, barnets intressen och skyddade personuppgifter måste bedömas. IMY anger i sin fråga om skolans publicering av luciatåg att publiceraren i regel är personuppgiftsansvarig och att intresseavvägning sällan räcker för sociala medier, särskilt med hänsyn till barn.
Skilj intern pedagogisk dokumentation från öppna sociala medier. Behandlingen, mottagarkretsen och risken är olika. En aktivitet kan dokumenteras för att följa lärande utan att bilden behöver publiceras för allmänheten. Före publicering bör ansvarig kontrollera vilka barn som syns, om någon har skyddade uppgifter, om bilden avslöjar känsliga förhållanden och om det valda rättsliga stödet faktiskt håller. Om material ändå kan publiceras, bestäm vem som tar bort det när förutsättningarna ändras. Mallen för samtycke kan hjälpa att formulera ett frivilligt val där samtycke är lämpligt, men är inte ett generellt publiceringstillstånd.
Foton som föräldrar tar för privat bruk kan falla under hushållsundantaget. Öppen spridning till ett obestämt antal personer är en annan situation. IMY:s frågor om anhörigas fotografering visar att skolans egna ordningsregler och barns skydd behöver respekteras. Informera tydligt om fotograferingsrutiner utan att påstå att huvudmannen styr varje privatpersons alla bilder. Frågor om ett äldre barns egen vilja, vårdnadshavarens befogenhet och elevens mognad kräver individuell hantering; en fast åldersgräns för alla fotobeslut vore missvisande.
Elevhälsa och särskilt stöd är inte samma register
Hälsouppgifter och vissa andra uppgifter som avslöjar artikel 9-förhållanden behöver både en grund enligt artikel 6 och ett tillämpligt undantag enligt artikel 9, tillsammans med nationella regler och lämpliga skyddsåtgärder. Men en uppgift i ett ärende om särskilt stöd är inte alltid automatiskt en artikel 9-uppgift; se till innehållet. Ett pedagogiskt behov kan beskrivas utan diagnos, medan en medicinsk anteckning har annan karaktär. Samla inte fler detaljer än vad personalen behöver för uppgiften. Guiden om känsliga personuppgifter förklarar kategorierna.
Den medicinska delen av elevhälsan är enligt IMY en självständig verksamhetsgren inom hälso- och sjukvården, där patientdatalagen också gäller. Lägg inte dess journaluppgifter i ett allmänt lärarsystem bara för att skolan äger båda systemen. Samarbete mellan elevhälsans olika professioner och lärare kan vara nödvändigt, men varje utlämnande måste bedömas mot sekretess, tystnadsplikt och uppdrag. Skolverkets vägledning om sekretess och skyddade uppgifter beskriver att även delar av samma myndighet kan vara självständiga verksamhetsgrenar. Påståendet att ”alla anställda omfattas av samma interna åtkomst” håller alltså inte.
Pröva ett exempel: en elev behöver anpassning i klassrummet och skolsköterskan känner till en diagnos. Läraren kan behöva veta vilka praktiska åtgärder som ska vidtas men inte alltid diagnosen eller hela journalen. Beskriv vem som lämnar vilken uppgift, med vilken rättslig möjlighet och till vem. Logga åtkomst, använd roller och se över dem när personal byter uppgift. Inbyggt dataskydd innebär här att systemets standardbehörighet begränsar spridningen, inte att alla elevdossierer blir synliga tills någon manuellt gömmer dem.
Skyddade personuppgifter genom hela kedjan
När ett barn eller en anställd har skyddade personuppgifter kan en felaktig notifiering, klasslista eller integration avslöja information trots att huvudsystemet är låst. Huvudmannen bör göra en särskild riskbedömning av kontaktvägar, utskick, läroplattform, fakturering och övergång till ny skola. IMY betonar den höga skaderisken för den enskilde och behovet av systematiska säkerhetsrutiner. Den praktiska rutinen för skyddade uppgifter i skolan går djupare i kommunikationskedjan; här är poängen att beslutet följer med till varje relevant tjänst.
Ta en fiktiv elev med skyddad adress. Sök på elevens namn i elevadministration, meddelandeapp, transportlista och automatisk e-post. Kontrollera vilka fält som syns för lärare, vikarier, andra vårdnadshavare och externa leverantörer. Ställ särskilda frågor om supportärenden: kan en tekniker se den skyddade adressen i en skärmbild? Finns en säker rutin för rättelse när uppgiften redan spridits? Använd inte verkliga skyddade elevuppgifter i en leverantörsdemo. Dokumentera vem som kan stoppa ett utskick tills en felaktig integration är rättad.
Digitala läromedel och molntjänster
En molntjänst kan vara personuppgiftsbiträde när den behandlar uppgifter för huvudmannens räkning, men varje leverantör är inte automatiskt biträde i varje del av sin verksamhet. Bedöm faktisk roll och egen eventuell användning av data. För en biträdesrelation kräver artikel 28 ett skriftligt avtal eller en annan bindande rättsakt enligt unions- eller medlemsstatsrätt med föreskrivet innehåll. Avtalet måste täcka instruktioner, sekretess eller lagstadgad tystnadsplikt, säkerhet, underbiträden, hjälp vid rättigheter och incidenter samt återlämnande eller radering inklusive kopior vid avslut, med lagstadgade undantag. Guiden om biträdesavtal hjälper att läsa avtalet mot verklig tjänst.
Be leverantören visa vilka elevuppgifter tjänsten faktiskt behöver, om den används i hemmet och vilka andra användare som kan se material. Fråga om supportåtkomst, underbiträden, loggar, säkerhetskopior och export vid byte av tjänst. Lagring i EU löser inte ensamt frågan om åtkomst från tredje land; en leverantör utanför EU är inte automatiskt förbjuden. Bedöm överföringar och skydd enligt kapitel V när de förekommer. Begränsa konton och se över dem när elev eller personal lämnar verksamheten. Bedömning av konsekvenser ska göras när en planerad behandling sannolikt medför hög risk, inte för varje ny digital tjänst per automatik.
Testa en ny läroplattform med ett fiktivt klassrum. Kan lärare skilja eget undervisningsmaterial från elevhälsouppgifter? Ser en vårdnadshavare bara sitt barns information? Hur raderas eller arkiveras material när eleven lämnar skolan enligt tillämpliga regler? Kan en elev med skyddade uppgifter använda tjänsten utan läckande automatiska meddelanden? En positiv leverantörschecklista ersätter inte den här lokala acceptansprövningen.
Incidenter, rättigheter och dokumentation
En teknisk störning är inte alltid en personuppgiftsincident. Om en sådan incident inträffar måste huvudmannen enligt artikel 33.5 dokumentera omständigheter, effekter och åtgärder. Anmälan till IMY görs utan onödigt dröjsmål och, om möjligt, inom 72 timmar från kännedom när det inte är osannolikt att incidenten medför risk för personers rättigheter och friheter; senare anmälan behöver motiveras. Artikel 34 ställer en särskild fråga om information till berörda vid hög risk. Öva med en feladresserad elevlista och en otillgänglig tjänst: de kan få olika rättslig bedömning. Guiden om personuppgiftsincidenter behandlar processen mer ingående.
Elever och vårdnadshavare behöver begriplig information om behandlingarna enligt artiklarna 13 och 14, med hänsyn till hur uppgifterna samlas in och vem texten riktas till. En begäran om tillgång eller rättelse måste nå ansvarig även när den kommer till en lärare. Bedöm vem som får utöva en viss rättighet för en minderårig utifrån sammanhang, mognad och vårdnadsförhållanden; lämna inte ut känslig information slentrianmässigt till alla som säger sig vara vårdnadshavare. Ett standardsvar för varje elevålder är otillräckligt. Spara beslutet och lämna ett begripligt svar.
Kommunala skolhuvudmän ska utse dataskyddsombud enligt artikel 37.1 a för offentlig myndighet eller offentligt organ, utom domstolar när de dömer. För en fristående huvudman gäller andra grunder i artikel 37 om kärnverksamheten består av regelbunden och systematisk övervakning av enskilda i stor omfattning eller storskalig behandling enligt artikel 9 eller 10; bedöm om de faktiskt uppfylls, och kontrollera särskilda regler. Ingen generell regel säger att varje enskild skola måste ha ett eget heltidsombud. Guiden om dataskyddsombud beskriver uppgift och ställning.
Skellefteåärendet som prövning av proportionalitet
I IMY:s ärende om Gymnasienämnden i Skellefteå beslutade myndigheten den 20 augusti 2019 om 200 000 kronor i sanktionsavgift efter ett försök med ansiktsigenkänning för närvarokontroll. Ärendesidan anger att beslutet överklagades men vann laga kraft. Det var ett konkret fall om biometrisk behandling, nödvändighet och samtycke i skolans beroenderelation, inte ett generellt pris på bristande skol-IT. Fråga före ny teknik om syftet kan uppnås med en mindre ingripande metod och om den aktuella behandlingen verkligen har stöd.
Ett nytt närvarosystem som kräver ansiktsmallar bör därför inte passera inköp därför att leverantören kallar tekniken säker. Vem får se biometriska uppgifter, hur länge finns de kvar, hur fungerar alternativet för eleven och vilka rättsliga villkor skulle över huvud taget kunna uppfyllas? Att dokumentera de frågorna innan upphandling är ett bättre lärande av ärendet än att anta att en viss prislapp eller ett visst system är förbjudet i alla skolor.
Pröva en elevs väg genom tre system
Följ en påhittad elev från ansökan till klassrum och elevhälsa. I antagningssystemet kan identitetsuppgifter och beslut behövas för en lagstadgad uppgift. Lärplattformen använder kanske närvaro, inlämningar och meddelanden för undervisning. Den medicinska elevhälsan behandlar andra uppgifter och omfattas dessutom av särskilda regler om patientuppgifter och sekretess. En gemensam inloggning gör inte dessa användningar till ett enda ändamål. Be varje systemansvarig visa vilka fält som förs över, vilka som endast visas och vem som kan söka fram elevens uppgifter.
Lägg till en skyddad folkbokföringsuppgift i exemplet. Fråga om uppgiften följer med i klasslistor, utskrifter, aviseringar till vårdnadshavare och gamla exporter. Det räcker inte att dölja ett namn på startsidan om en schemarapport eller en fotografitjänst åter visar det. Dokumentera vem som får veta skyddsbehovet, hur nya medarbetare instrueras och hur ett fel kan rapporteras snabbt. Bedöm åtkomsten efter arbetsuppgift och de aktuella sekretessreglerna, inte efter en allmän etikett på elevkontot.
Avsluta provet med att en vårdnadshavare frågar vilka uppgifter som behandlas och en leverantör byts ut. Huvudmannen behöver hitta de relevanta behandlingarna, bedöma barnets egen ställning och sekretess samt förklara vilka uppgifter som lämnas vidare. Använd guiden om registerutdrag för att skilja rätten till tillgång från en generell rätt till varje underliggande handling. Vid leverantörsbyte behöver man veta vilka uppgifter som återlämnas eller raderas och vilka kopior som finns kvar enligt tillämpliga regler. Ett faktiskt genomfört elevscenario visar svaga överlämningar mellan verksamheter bättre än ett allmänt intyg om att plattformen är säker. Om ett fel inträffar behöver den lokala incidentrutinen visa vem som bedömer vad som hänt och hur det dokumenteras.
Vanliga frågor
Behövs samtycke för den vanliga undervisningen?
Vanligen inte. Behandling som är nödvändig för en fastställd uppgift av allmänt intresse kan stödjas på artikel 6.1 e och relevant svensk rätt. Samtycke är ofta olämpligt i skolans beroendeförhållande. Pröva varje användning av uppgifter; en extra funktion i en app får inte automatiskt samma rättsliga stöd som undervisningen.
Måste alla skolbilder ha vårdnadshavarens samtycke?
Nej, bilder används i olika sammanhang. Frivillig skolfotografering och extern publicering kan aktualisera samtycke, men undertecknandet ensamt löser inte nödvändighet, information eller barns skydd. Öppen spridning i sociala medier kräver särskild försiktighet; IMY anser att intresseavvägning sällan räcker där. Pröva även elevens egen ställning och skyddade uppgifter.
Är varje läroplattform ett personuppgiftsbiträde?
Bedöm leverantörens faktiska roll för varje behandling. Om den behandlar uppgifter för huvudmannens räkning behövs artikel 28-arrangemang med rätt innehåll, normalt ett biträdesavtal. Om leverantören bestämmer egna ändamål för någon del måste den delen bedömas särskilt. Tjänstens namn eller serverland avgör inte rollen.
Kräver alla nya appar en konsekvensbedömning?
Nej. Artikel 35 gäller när den planerade behandlingen sannolikt innebär hög risk för fysiska personers rättigheter och friheter. Barn, storskalighet, känsliga uppgifter och ny teknik kan vara relevanta riskfaktorer, men gör en faktisk bedömning. Dokumentera varför en AIPD behövs eller inte; en leverantörsmall är inte huvudmannens beslut.
Ett beslut per behandling
Skola och förskola behöver inte samma blankett för undervisning, medicinsk elevhälsa, foto och digital plattform. Huvudmannen ska kunna visa syfte, rättsligt stöd, nödvändiga uppgifter, åtkomst och skydd för varje användning. Börja med en fiktiv elevresa genom systemen, kontrollera sekretess och skyddade uppgifter och låt ansvariga besluta om nya funktioner före drift. Då blir dataskydd en del av skolans faktiska arbetssätt, inte en samling generella samtycken.