GDPR

En personuppgift är en uppgift som på något sätt kan kopplas till en levande fysisk person. Exempel på personuppgifter:

• Personnummer
• Namn
• Foto
• Röst
• IP-adress
• e-postadress

Även annan typ av information kan vara en personuppgift om man med hjälp av anslutande uppgifter kan förstå vem det rör sig om.

En personuppgiftsbehandling är alla former av åtgärder som man kan tänkas göra med personuppgifter, exempelvis:

• Insamling
• Registrering
  
• Lagring
• Ändring
• Bearbetning
  
• Utlämning
• Spridning eller tillhandahållande på annat sätt

Dina personuppgifter är en värdehandling

I den digitala världen kan man jämföra en personuppgift med en värdehandling.

När vi lämnar ifrån oss t.ex. vårt namn, vår adress, vårt personnummer etc. på nätet händer bland annat följande:

• Vi ger ifrån oss en uppgift som har ett värde för mottagaren
• Som privatperson tappar jag som regel kontrollen över hur mina uppgifter hanteras vidare

Det innebär i sin tur att bland annat följande kan hända:

• Det är inte ovanligt att den som registrerar dina personuppgifter använder dem för att kartlägga dig och tjäna pengar på denna kartläggning, t.ex. ditt köpbeteende, hur du rör dig geografiskt, vad du konsumerar på nätet o.s.v.
• Det är inte ovanligt att det handlas med personuppgifter - att tredje part köper dina personuppgifter för att t.ex. kunna rikta anpassad reklam till dig
• Det är inte ovanligt att kriminella på olika sätt försöker fiska upp dina personuppgifter för att göra olagliga saker med dem, t.ex. komma åt dina kontouppgifter för att kunna stjäla dina pengar
• Det är inte ovanligt att tredje part eller tom företrädare för främmande makt kan tänkas använda dina personuppgifter för att försöka påverka dina politiska eller religiösa åsikter och skicka riktad information till dig

Vem ansvarar för hur vi behandlar personuppgifter?

Som privatperson på nätet ansvarar du själv för var du väljer att ge ifrån dig dina personuppgifter. När du arbetar tas detta ansvar över av den som är juridiskt "personuppgiftsansvarig". Inom utbildningsförvaltningen är det våra nämnder; Barn- och utbildningsnämnden och Utbildnings- och arbetsmarknadsnämnden.

Det innebär att du som anställd är skyldig att följa lagar och förordningar och den ansvariges rutiner.

Viktigt skydda barn/elever, brukare och dig själv

Vi är skyldiga att följa de anvisningar och riktlinjer som nämnderna beslutat om, och som till exempel tas upp på denna sida.

Vi ska göra vårt bästa för att skydda barn, elever, kollegor och oss själva från onödig exponering för risker.

Vilket är ändamålet med behandlingen?

Det mesta vi gör i förskola och skola har sin bakgrund i en lag eller en förordning.

Så länge vi sysslar med kunskapsdokumentation, betygsättning, skolmåltid, skolskjuts etc. så har vi ett godkänt ändamål för personuppgiftsbehandling.

Behandlingen stöds på den rättsliga grunden allmänt intresse som utgår från skollagen. Till det kommer tillhörande styrdokument och riktlinjer från myndigheter och/eller utbildningsförvaltningen.

Det finns ett mycket begränsat om ens något ändamål att använda elevers personuppgifter för något annat än undervisning. Extern publicering ska inte ske eftersom det går lika bra att undervisa eleverna utan sådan exponering.

Du bör fundera över varför den enskilda behandlingen görs. Om du t.ex. skapat ett register över eleverna i en grupp har du kanske gjort det med syftet att registrera deras kunskapsutveckling på något sätt. När du kommit fram till ett syfte så måste du enligt lagen hålla dig till det, och inte använda de insamlade uppgifterna till något annat än det ursprungliga syftet. Man ska undvika vad lagen kallar för uppgiftsglidning.

Inte ta in mer personuppgifter än vad som behövs

Du bör även fundera över hur många personuppgifter du behandlar. Behöver uppgifterna verkligen samlas in för att syftet ska uppnås? Att säkerställa detta kallas ur lagens perspektiv för uppgiftsminimering.

Det är ej tillåtet att samla på sig uppgifter bara för att de kan vara "bra att ha".

Inte lagra personuppgifter längre än vad som behövs

När vi behandlar personuppgifter är det viktigt att radera dem om vi inte längre använder dem till det ursprungliga syftet.

En gång per termin rekommenderas du att titta igenom dina dokument och radera de som innehåller personuppgifter och som du inte längre använder - elevlistor från en undervisningsgrupp du inte längre träffar, bilder på elever, klassfoton o.s.v.

Inte spara känsliga personuppgifter

Känsliga personuppgifter är en särskild kategori uppgifter som anses kunna orsaka särskild skada om de läcker ut eller registreras. Det handlar bland annat om uppgifter om politisk och/eller religiös åsikt, etnicitet, funktionshinder, hälsa, facklig tillhörighet, sexualitet, DNA, biometriska uppgifter o.s.v.

Grundregeln är att inte registrera denna typ av personuppgifter alls.

Det finns dock enskilda undantag från detta i vår verksamhet. Det handlar om verksamheter som har en uppgift som inte går att utföra utan att känsliga uppgifter registreras.

Det kan till exempel handla om modersmålsenheten, som måste registrera en elevs modersmål för att kunna uppfylla sin uppgift eller skolmåltidspersonal som måste kunna registrera matallergier för att kunna ta tillvara barns och elevers intressen.

Eftersom barn kan ha svårare att förstå risker med att lämna ifrån sig personuppgifter anses deras uppgifter vara särskilt skyddsvärda. Integritetsskyddsmyndigheten ger vägledning och råd för skolor och förskolor.

Vägledning och råd för skolor och förskolor IMY

IMY - Vanliga frågor och svar

Finns det ett biträdesavtal med den tjänst/app jag vill använda

Den personuppgiftsansvarige (d.v.s. våra nämnder) är enligt lag skyldig att upprätta avtal med varje leverantör av en digital tjänst (t.ex. Vklass, Office 365 etc) eller en applikation (t.ex. Vklass-appen, appar i lokal appstore) om hur de får hantera personals och barns/elevers personuppgifter. Denna typ av avtal kallas för personuppgiftsbiträdesavtal (eller kort: PUB-avtal).

Om ett sådant avtal inte finns med en tjänst eller en app som kräver personuppgifter för att fungera, får tjänsten ej användas.

I Jönköpings kommun tecknar vi avtal med leverantörer av appar och tjänster utifrån gällande lagstiftning. Vi arbetar med följande nivåer:

OK att använda

Dessa appar och tjänster bedöms vara okej att använda. Ett personuppgiftsbiträdesavtal med leverantören finns om sådant behövs.

OK att använda med anvisningar

Vissa appar bedöms vara okej att använda om man följer anvisningar.

Nekad

Att en app/tjänst är nekad kan till exempel bero på att leverantören inte vill eller kan teckna något personuppgiftsbiträdesavtal med Jönköpings kommun även om appen/tjänsten kräver personuppgifter för att fungera. Vi kan alltså inte använda den och samtidigt uppfylla lagen. Det kan också vara så att appen/tjänsten innehåller reklam.

Vilka appar/tjänster får jag använda? (för anställda i jönköpings kommun)

Lär dig mer om personuppgifter och hur de ska hanteras via Sveriges kommuner och landsting (SKR). De har en grundutbildning i GDPR och en avdelning där de svarar på vanligt förekommande frågor.

Skolverket informerar på sin webbplats om att dataskyddsförordningen gäller som lag i Sverige och att det innebär att dataskyddsförordningen är överordnad skollagen i de delar som gäller just persondataskydd. Skolverket hänvisar till Integritetsskyddsmyndigheten (IMY) för vägledning kring GDPR.

GDPR för skola och förskola - utbildning UBF Jönköping

SKR om dataskyddsförordningen

Integritetsskyddsmyndigheten

Skolverkets information om GDPR

UBF-support: om du har frågor kring GDPR