Dataskyddskompetens i småbarnspedagogiken och i den grundläggande utbildningen

Foto: Opetushallitus

Allmänt

Dataskydd: Skydd av privatlivet är en grundläggande rättighet för alla. För att skydda personers privatliv är också behandlingen av uppgifter om dem, det vill säga personuppgifter, strikt reglerad. Detta brukar kallas dataskydd. 

GDPR: GDPR dvs. General Data Protection Regulation (EU:s allmänna dataskyddsförordning) är en dataskyddsförordning som reglerar behandlingen av personuppgifter och har tillämpats i alla EU-länder sedan våren 2018.

Informationssäkerhet: Med informationssäkerhet avses administrativa och tekniska åtgärder genom vilka det säkerställs informationens a) konfidentialitet, dvs. att information är tillgänglig endast för dem som har rätt att använda den b) integritet, dvs. att informationen inte kan ändras av andra än dem som har rätt till detta samt c) användbarhet, dvs. att informationen och informationssystemen kan utnyttjas av dem som har rätt att använda informationen och systemen. Källa: Cybersäkerhetscentret

Kategorisering av data

Personuppgifter: All information utifrån vilken man direkt eller indirekt kan identifiera en person. Personuppgifter är exempelvis namn, personbeteckning och kontaktuppgifter, men också bilder eller videoinspelningar kan vara personuppgifter, om en person kan identifieras i dem. Även pseudonymiserade uppgifter är personuppgifter.

Sekretessbelagd uppgift: Uppgift som gäller eller inte gäller en person, som separat definierats som sekretessbelagd enligt lag. Exempelvis uppgifter om hälsa.

Särskilda kategorier av personuppgifter: Sådana uppgifter redogör för personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförbund, hälsorelaterade uppgifter, sexuella läggning eller beteende, eller genetiska och biometriska uppgifter för identifiering av personen.

Pseudonymiserade uppgifter, pseudonymisering: : Pseudonymisering betyder att personuppgifter inte längre kan kopplas till en viss person utan att använda tilläggsinformation, som förvaras separat från personuppgifterna. Pseudonymisering används i allmänhet vid forskning och statistikföring. Det handlar också om pseudonymisering exempelvis om en lärare registrerar elever eller studerande i en elektronisk lärmiljö med signaturer eller andra användarnamn, men fortfarande kan skilja mellan eleverna med hjälp av en lista över deras namn och användarnamn.

Offentlig uppgift: Uppgift som gäller eller inte gäller en person, som inte separat definierats som sekretessbelagd enligt lag. 

Anonyma uppgifter, anonymisering: Med anonyma uppgifter avses uppgifter som inte är kopplade till en fysisk person som har identifierats eller kan identifieras. Med anonymisering avses olika åtgärder som vidtas med personuppgifter, som leder till att möjligheten att identifiera en person förhindras oåterkalleligt. För att anonymisera uppgifter kan man exempelvis förenkla informationsmaterialet eller ta bort bakgrundsvariabler så att personen inte längre kan identifieras. Anonymiserat material är exempelvis statistisk information om fostran och undervisning, där enskilda barn, elever eller vårdnadshavare inte går att identifiera.

Personer och aktörer

Dataskyddsombud: Person, vars utnämning, position och uppgifter regleras separat i dataskyddsförordningen. Ett dataskyddsombud följer bl.a. behandlingen av personuppgifter och hjälper till att beakta dataskyddslagstiftningen i registeransvarigens verksamhet. 

Registrerad: Den person, till exempel ett barn, en elev eller en vårdnadshavare, som personuppgifter gäller.

Personuppgiftsansvarig:  En personuppgiftsansvarig är en aktör som ansvarar för behandling av personuppgifter som den själv utför eller som utförs för dess räkning. Den personuppgiftsansvariga är en person eller organisation som definierar syftena och metoderna för behandling av personuppgifter, det vill säga varför och hur personuppgifter behandlas. En anordnare av fostran och utbildning är personuppgiftsansvarig då den använder uppgifter om barn, elever och vårdnadshavare för att ordna undervisningen och fostran.

Gemensam personuppgiftsansvarig: När flera personuppgiftsansvariga definierar syftena och metoderna för behandlingen gemensamt kallas det för gemensamt personuppgiftsansvar. Regler för gemensamt personuppgiftsansvar och ansvarsfördelning mellan exempelvis Utbildningsstyrelsen och utbildningsanordnare i samband med det finns exempelvis i fråga om informationsresursen inom småbarnspedagogik (VARDA) och den nationella informationsresursen för undervisning och utbildning (KOSKI).

Personuppgiftsbiträde, avtal om behandling av personuppgifter: En person eller organisation som behandlar personuppgifter för en personuppgiftsansvarigs räkning. Ett personuppgiftsbiträde är ofta exempelvis en leverantör av IT-tjänster, som en anordnare har köpt ett elevadministrationssystem med relaterade stödtjänster av. Den personuppgiftsansvariga och personuppgiftsbiträdet ska ha ett avtal om behandling av personuppgifter.

Skyldigheter

Dataskyddsprinciperna: Dataskyddsprinciperna ska alltid följas vid behandling av personuppgifter. Dataskyddsprinciperna definieras i dataskyddsförordningen. Principerna är laglighet, korrekthet och transparens, ändamålsbegränsning, uppgiftsminimering, korrekthet, integritet och konfidentialitet samt lagringsminimering.

Personregister: Med ett register avses vilken samling av information som helst som innehåller strukturerade personuppgifter, och ur vilken man kan få information på vissa grunder. Exempelvis ett kundregister för småbarnspedagogiken, ett elevregister för den grundläggande utbildningen eller ett elevhälsoregister. 

Grund för behandling, rättsliga grunder för behandling: Laglighetsprincipen förutsätter att den personuppgiftsansvariga har en lagenlig grund för behandlingen av uppgifterna. Grunderna regleras i dataskyddsförordningen, och man hänvisar ofta till dem som grund för behandlingen eller behandlingens rättsliga grund. Grunder är exempelvis en lagstadgad skyldighet och samtycke.

Den registrerades uppgifter: Den registrerades rättigheter regleras i dataskyddsförordningen och dataskyddslagen. Den registrerades rättigheter är situationsbundna och beror ofta på vilken grunden för behandlingen av uppgifterna är. Den registrerade kan exempelvis ha rätt att kräva att felaktiga eller onödiga uppgifter om hen tas bort ur ett personregister. En registrerad persons begäran om att utöva sina rättigheter ska besvaras inom en viss tid.

Personuppgiftsincident:  En händelse som leder till att personuppgifter förstörs, försvinner, ändras, olovligen överlåts eller hamnar i händerna på en aktör som saknar rätt att behandla dem. Det kan till exempel vara frågan om en överbelastningsattack, ett skadeprogram, ett dataintrång eller -läckage, att inloggningsuppgifter hamnar i fel händer eller stöld av arbetsredskap såsom en dator eller en telefon. En personuppgiftsincident ska meddelas till dataombudsmannens byrå och/eller till den registrerade i enlighet med lagen.

Berätta om behandlingen för den registrerade: Den personuppgiftsansvariga ska informera de registrerade om behandlingen av deras personuppgifter i enlighet med vad som sägs i dataskyddsförordningen och dataskyddslagen. Anordnare av fostran och utbildning tillhandahåller i allmänhet informationen genom särskilda dataskydds- eller motsvarande beskrivningar. 

Konsekvensbedömning: När vissa kriterier uppfylls ska den personuppgiftsansvariga göra en konsekvensbedömning avseende dataskydd innan behandlingen inleds. En konsekvensbedömning kan komma i fråga exempelvis när man vill ta i bruk nya digitala miljöer.

Inbyggd dataskydd och dataskydd som standard: Den personuppgiftsansvariga ska innan behandlingen av personuppgifter inleds säkerställa att kraven gällande dataskydd har beaktats i behandlingen och att den planerade behandlingen är laglig.

EU:s dataskyddsförordning och den nationella lagstiftningen

GDPR, det vill säga General Data Protection Regulation (allmänna dataskyddsförordningen) är en lag som reglerar behandlingen av personuppgifter och som började tillämpas i alla EU-länder våren 2018. I EU:s dataskyddsförordning fastställs de regler som företag och andra organisationer ska följa i sin behandling av personuppgifter. Där anges också vilka rättigheter du har när ett företag eller en organisation behandlar dina personuppgifter. Dataskyddsförordningen ger ett bättre skydd för dina personuppgifter och fler metoder för att styra behandlingen av dina uppgifter. På dataombudsmannens webbplats finns omfattande information om dina rättigheter gällande dataskydd.

Enligt EU:s allmänna dataskyddsförordning har du rätt att bland annat  

• få information om behandling av dina personuppgifter,
• se de uppgifter som samlats in om dig,
• korrigera uppgifter som samlats in om dig,
• begära att dina uppgifter ska raderas och att du ska bli bortglömd,
• begränsa behandlingen av dina uppgifter,
• överföra dina uppgifter från ett system till ett annat,
• motsätta dig behandling av dina uppgifter,
• inte bli föremål för automatiskt beslutsfattande.

De rättigheter som listas här är huvudregler, och det finns undantag. 

Det är viktigt att eleven vet att utbildningsanordnaren sköter dataskyddet och datasäkerheten när det är fråga om användning av digitala tjänster som utbildningsanordnaren skaffat i undervisningen. Eleverna bör också informeras om var de kan få mer information om hur deras uppgifter behandlas i undervisningen, och hurdana rättigheter de har som registrerade. Detta beskrivs i allmänhet på utbildningsanordnarens webbplats, men verksamhetsmodellerna kan variera.

Det är bra för eleven att veta att nivån på dataskyddet och datasäkerheten i tjänster som används på fritiden, såsom sociala medier och olika applikationer, kan variera. En tjänsteleverantör kan exempelvis samla in många olika slags personuppgifter om eleverna för olika syften. En del av uppgifterna behövs för att använda tjänstens grundläggande funktioner, men en del kan användas för direktmarknadsföring, och uppgifter kan också säljas vidare. Det är viktigt att eleven vet var hen vid behov kan hitta mer information om dessa frågor och om sina egna rättigheter som registrerad. Eleven har nämligen ofta möjlighet att begränsa behandlingen av sina uppgifter i en tjänst eller begära att uppgifterna tas bort helt ur tjänsten. I allmänhet har tjänsten en dataskyddsbeskrivning eller någon motsvarande beskrivning gällande detta.

En utbildningsanordnare kan ha gett olika anvisningar för arbete i de digitala miljöer som används i undervisningen, exempelvis gällande hanteringen av personliga inloggningsuppgifter. Det är viktigt att eleven förstår varför man måste följa anvisningarna. Syftet med anvisningarna är att trygga säkerheten i de digitala miljöerna bland annat så att eleven själv eller andra inte utsätts för skada.

I tjänster som används på fritiden, såsom sociala medier och olika applikationer, kan det samlas många olika personuppgifter om eleven, som används för olika syften. En del av uppgifterna behövs för att använda tjänstens grundläggande funktioner, men en del kan användas för direktmarknadsföring, och uppgifter kan också säljas vidare. Därför är det viktigt att eleverna bekantar sig med integritetsinställningarna i de tjänster de använder och vid behov själva kan begränsa vilka uppgifter tjänsterna får samla in och för vilka ändamål uppgifterna får användas. I en del tjänster kan man också publicera bilder, videor eller annat material. Det är viktigt att eleverna kan använda tjänsternas integritets- och offentlighetsinställningar på ett ändamålsenligt sätt.

Man bör konkret gå igenom med eleverna var apparaternas och tjänsternas integritetsinställningar finns. Samtidigt lär man sig hur man kan ändra inställningarna. I skolans apparater som administreras på distans är möjligheterna att ändra integritetsinställningarna ofta begränsade. Det är bra att också diskutera med eleverna varför vissa inställningar inte går att ändra.

Grundläggande kunskap

Eleven ska veta hur skolans apparater och digitala tjänster kan hanteras på ett säkert sätt, även med beaktande av dataskyddet. Eleven ska exempelvis veta vad man ska göra om ett lösenord har hamnat i fel händer. Eleven vet att det även vid problem som gäller dataskydd är viktigt att meddela om saken och vid behov be om hjälp.  

Läraren ska säkerställa dataskyddet för eleverna i enlighet med utbildningsanordnarens anvisningar. Läraren ska säkerställa att eleverna känner till anvisningarna för säker användning av skolans apparater och digitala tjänster. I det här materialet beskrivs de centrala frågor som läraren ska beakta i fråga om dataskydd. Läraren föregår med gott exempel för trygg användning av apparater och tjänster.

Utbildningsanordnaren ansvarar för att anvisningarna för dataskydd och datasäkerhet är uppdaterade och tillgängliga för personalen.

Det är viktigt att utbildningsanordnaren ger anvisningar för hur man ska agera säkert i olika digitala miljöer. Det är också viktigt att eleverna vet vilka situationer som betraktas som brott mot datasäkerheten och hur man ska agera i sådana situationer. Det kan exempelvis vara fråga om att en elev av misstag har fått tillgång till uppgifter om en annan elev med samma namn i en digital miljö. En elev kan också bli föremål för nätfiske.

I användningen av gemensamma apparater är det viktigt att tänka på elevernas dataskydd.

Det är viktigt att eleven förstår betydelsen av lösenord för att skydda sina uppgifter. Man börjar öva på att skydda sina uppgifter i årskurs 1–2, när man lär sig att logga in i de digitala miljöer som skolan använder och att använda användarnamn och lösenord. Det är viktigt att eleven tidigt förstår att man aldrig ska ge sitt lösenord till någon. Eleven bör också vara medveten om att nätfiskemeddelanden är vanliga och att inloggning alltid ska ske genom den egentliga appen eller webbplatsen för tjänsten. 

I digitala tjänster, såsom tjänster i sociala medier och olika applikationer, kan tjänsteleverantören ha angett en åldersgräns för användningen av tjänsten. Information om åldersgränsen finns ofta i tjänstens användningsvillkor, som användaren måste godkänna innan tjänsten används för första gången. Användningsvillkoren finns i allmänhet på tjänstens webbplats.

Om man ska använda elevens egen apparat i undervisningen måste man be om lov för det. Närmare information om detta finns i Utbildningsstyrelsens guide för mobila enheter.

Skolan bör gärna ha gemensamma regler för hur apparater, perifera enheter och andra tillbehör ska hanteras. Det är viktigt att eleverna och vårdnadshavarna vet vad de ska göra om en apparat som tillhör skolan går sönder eller tappas bort. 

Utbildningsanordnaren ansvarar för att de läromedel och arbetsredskap som eleverna får är trygga. I tjänster som används på fritiden, såsom sociala medier eller olika appar, kan det dock finnas stora skillnader i fråga om datasäkerhet och dataskydd. Tjänsterna kan exempelvis samla in många olika uppgifter om eleven, och informationen kan användas för direktmarknadsföring och även säljas vidare.

Man diskuterar god sed i digitala miljöer i undervisningen. Det är viktigt att eleverna förstår att de regler för uppförande som gäller när man träffas ansikte mot ansikte även gäller på nätet. Till gott uppförande hör en förståelse för när det är lämpligt att fotografera eller filma, och hurdana bilder man kan dela.

Eleverna kanske har läst nyheter eller diskussioner om dataskydd och datasäkerhet, som det är naturligt att ta upp i undervisningen. När man tar upp temat med hjälp av konkreta exempel hjälper det eleverna att förstå dataskyddets betydelse i vardagen, vilket synliggör betydelsen av det egna agerandet.

När man i undervisningen bekantar sig med det digitaliserade samhällets möjligheter, är det viktigt att tänka på säkerhetsfrågor såsom dataskydd och datasäkerhet. Var och en har rätt till skydd av sina personuppgifter. När eleven förstår vad som menas med dataskydd och lagstadgade rättigheter, kan hen påverka behandlingen av sina egna uppgifter i digitala tjänster. Detta gör det också lättare att se risker med anknytning till dataskydd i det egna agerandet. Kunskap om dataskyddsförordningens och den nationella lagstiftningens grundläggande principer hjälper eleven att uppfatta omfattningen och betydelsen.