Av: Thomas Nordlöv,
E-Post: thomas.nordlov@telia.com

Skolorna och personuppgiftslagen

Den 1 oktober gäller den nya personuppgiftslagen (PuL) fullt ut. Hur påverkar PuL det dagliga skolarbetet? Uppsala Nya Tidning publicerade i våras en artikel där man hävdade att skolorna bryter mot PuL. Thomas Nordlöv, Thunmansskolan i Knivsta har gått vidare och begärt besked från datainspektionen.

UPPSALA NYA TIDNING ANKLAGADE i en tidningsartikel i april skolorna för att bryta mot personuppgiftslagen (PuL). Tidningen syftade på att skolorna lade ut bilder på sina webbsidor där elever hade fotograferats i olika sammanhang.

Artikelförfattarna Tina Lövrander och Barbro Jansson hävdar att praktiskt taget alla bilder som en skola lägger ut på sina hemsidor är olagliga. De har fel.

I egenskap av IT-ansvarig vid en skola har jag i en artikel i Datorn i Utbildningen nr 3/01 diskuterat olika konsekvenser av PuL för landets skolor. I samband med denna artikel ställde jag också ett antal grundläggande frågor angående skolornas Internetverksamhet till Datainspektionen.

Datainspektionen har under sommaren besvarat mina frågor och skickat en kopia av svaret till Skolverket. Datainspektionens svar visar att de fl esta skolor inte bryter mot PuL och att Uppsala Nya tidning är ute i ogjort väder.

sverige strikt Personuppgiftslagen träder i full kraft i oktober i år. Lagen har stor betydelse för hanteringen av personuppgifter i Europa. Den gäller för EU och baserar sig på ett EG-direktiv, men naturligtvis tolkas den mer eller mindre strikt i varje EU-land.

Lagen har med andra ord redan fått en nationell prägel. Sverige anses tillhöra de länder som tolkar PuL strikt.

Personuppgifter har tidigare betraktats som diverse data om en person i olika register till exempel i folkbokföringsregister och straffregister. PuL innebär en kraftfull utvidgning av vad som är att betrakta som personuppgifter. En bild av en individ ses till exempel som en personuppgift. Detta är en orsak till att PuL är av stor betydelse. En annan är att hanteringen av personuppgifter sett ur vissa aspekter regleras mer rigoröst än tidigare.

Ytterligare en viktig faktor är tolkningen av PuL. Lagen anses allmänt vara svårtolkad. Det innebär att den handläggande myndigheten, Datainspektionen, bör ge generella riktlinjer för hur de personuppgiftsansvariga vid respektive arbetsplats skall tolka lagen. Ett antal domar enligt PuL i olika rättsinstanser kommer också att krävas för att PuL skall ta form och kunna tillämpas i praktiken.

Personuppgiftsombudet vid olika arbetsplatser är också en ny företeelse. Personuppgiftsombudet, PuO (min förkortning), är en person som på arbetsplatsen skall se till att PuL tillämpas på ett korrekt vis. Varje arbetsplats, till exempel en skola, bör ha ett PuO. En del kommuner anser att det bör räcka med ett PuO för hela kommunen eller för olika sektorer inom kommunen. De har troligen fel. Varje skola bör med stor sannolikhet ha sitt eget PuO.

personuppgifter på webben Skolorna har i huvudsak fyra typer av verksamheter på sina hemsidor där personuppgifter förekommer:

• Klassidor med klassfoton och/eller bilder på enskilda elever, namn förekommer relativt ofta på dessa sidor.
• Listor över elever och personal med olika funktioner vid skolan – till exempel kamratstödjare, elevrådsrepresentanter, personallistor, m.fl .
• Reportage från olika händelser vid skolan. Idrottstävlingar, kulturevenemang, projekt och liknande.
• Skoltidningsverksamhet.

Datainspektionen poängterar att de inte kan ge bindande förhandsbesked beträffande tolkningen av PuL. Det är i första hand en uppgift för PuO på respektive arbetsplats att tolka lagen och göra bedömningar från fall till fall. I andra hand får man avvakta prejudicerande domar för att vara säker på hur lagen skall tolkas, men Datainspektionen beskriver hur man ser på de fyra fallen ovan i grova drag.

Min tolkning av deras svar ger då vid handen att i de två första fallen bör man fråga målsman om det är tillåtet att publicera en bild av barnet eller i det fall det handlar om en tonåring eller en personal så bör man fråga denne – helst skriftligt.

Man kan då fundera över vad som menas med tonåring, men så vitt jag förstått detta begrepp så är en tonåring en person som är 13-19 år gammal. Datainspektionen har i ett annat sammanhang talat om en åldersgräns vid 16 år. PuL anger dock ingen speciell åldersgräns.

webbreportage och skoltidningar De två andra exemplen i listan ovan är av stor vikt för webbansvarigas verksamhet. I många fall utgör de själva grundvalen för en del skolors Internetverksamhet. Datainspektionens svar anger att i de här fallen är det tillåtet att publicera bilder av individer på nätet om det är av journalistiska eller konstnärliga skäl. Datainspektionen skriver följande:

”Utifrån de uttalanden som gjorts ovan (Man syftar på ett uttalande från Högsta Domstolen i ett mål) skulle undantaget i 7§ andra stycket PuL kunna bli tillämpligt då skoltidningar och reportage publiceras på Internet. Undantaget, som även omfattar behandling av personuppgifter som sker uteslutande för konstnärligt skapande, torde även kunna göras gällande beträffande fotografi er som tagits av konstnärliga skäl. Något hinder att publicera dessa på Internet föreligger då inte förutsatt att bestämmelserna i PuL om säkerhet iakttas."

Detta uttalande från Datainspektionen är av stor vikt för skolornas Internetverksamhet. Man kan fortsätta att bedriva skoltidningsverksamhet på nätet och webbmasters kan lägga ut reportage med bilder på hemsidorna om man tar hänsyn till säkerhetsaspekten, det vill säga inte publicerar kompletta namn och adresser på de fotograferade. Datainspektionens svar är mycket positivt i det här fallet. Utan skoltidningar och reportage med bilder skulle skolornas hemsidor bli så ointressanta att de troligen skulle läggas ned.

Naturligtvis kan ett fall dyka upp som leder till ett mål i en domstol och där domstolen har en annan uppfattning när det gäller tolkningen av PuL än Datainspektionen. Man har dock utgått från vad som sagts i ett mål i Högsta domstolen, så skolornas webbmasters kan säkerligen ”tuta och köra” om dock ”med säkerhetsbältet på”.

känsliga personuppgifter på drift i Europa Ovanstående tar upp en del av personuppgiftslagen och hur den bör tolkas. Självfallet finns det andra aspekter av PuL. Ett exempel är arbetsgivares rätt och skyldighet att av olika mer eller mindre goda skäl, till exempel lagen om åtgärder mot etnisk diskriminering, samla in känsliga personuppgifter om arbetstagarnas etniska bakgrund. De personuppgifterna skyddas inte av personuppgiftslagen och arbetstagaren kan inte motsätta sig att uppgifterna finns i ett register hos arbetsgivaren. PuL ger i det här fallet ett bristfälligt skydd för att nu inte säga – inget alls.

En annan av intentionerna med PuL är också att underlätta spridandet av in-formation – varför det torde råda viss osäkerhet om hur olika arbetsgivare kan hantera register med känsliga personuppgifter. Det kan fi nnas all anledning för fackföreningarna att noga sätta sig in i PuL för att tillvarata sina medlemmars intressen och bland annatt omsorgsfullt bevaka tillsättning av personuppgiftsombud på respektive arbetsplats.

THOMAS NORDLÖV,
Thunmansskolan, Knivsta
E-Post: thomas.nordlov@telia.com

Björn Nordlövs första artikel kring PuL ooch påverkan på skolornas arbete kan du läsa på Datorn i Utbildningens webbplats:
www.diu.se/nr3-01/nr3-01.asp

Mer om PuL
Ytterligare information finner man även på webbplatsen:
www.datainspektionen.se

En webbplats som kritiskt granskar och debatterar PuL är:
www.pul.nu

Arbetsgivaren och PuL
Arbetsgivaren kan kartlägga känsliga uppgifter med stöd av PuL. det skriver universitetslektor Catharina Calleman, Umeå, på DN Debatt.
www.dn.se (sök på personuppgiftslagen)

- Datalagen passar inte det moderna IT-samhället och pul är en 70-talsprodukt som skapar en byråkratisk djungel, säger Jan Freese, en av datalagens fäder till Computer Sweden.
www.idg.se (sök på Freese och datumsökning)