Några grundläggande begrepp

Personuppgifter

Med personuppgifter avses varje upplysning som avser en identifierad eller identifierbar fysisk person. Avgörande är att uppgiften, enskilt eller i kombination med andra uppgifter, kan kopplas till en levande, fysisk person. Exempel på personuppgifter är namn, adress och IP-nummer, men även flera uppgifter som gemensamt kan kopplas till en fysisk person räknas som personuppgifter.

Observera att det räcker med att någon kan koppla uppgifterna till en fysisk person för att det ska räknas som personuppgifter.

Även om du som behandlar uppgifterna inte vet eller ens har möjlighet att ta reda på vilken person det gäller kan det vara behandling av personuppgifter. För att avgöra om en fysisk person är identifierbar ska man beakta alla hjälpmedel som – antingen av den personuppgiftsansvarige eller av en annan juridisk eller fysisk person – rimligen kan komma att användas för att direkt eller indirekt identifiera den fysiska personen.

Behandling av personuppgifter

Behandling av personuppgifter är ett begrepp som har en vidsträckt tolkning. Alla former av åtgärder med personuppgifter räknas som behandling av personuppgifter, från det att uppgifterna samlas in tills det att uppgifterna slutligt har raderats eller förstörts.

Exempel på behandling av personuppgifter är enligt definitionen i dataskyddsförordningen insamling, registrering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning, spridning och slutligen även själva raderingen eller förstörelsen av personuppgifterna.

Tänk på att till exempel utskrift av personuppgifter på skrivare och skickande av e-post alltid innebär behandling av personuppgifter.

Personuppgiftsansvarig

Personuppgiftsansvarig, det vill säga Södertörns högskola, är den som bestämmer ändamål och riktlinjer för behandlingen av personuppgifter.

Vem ansvarar för all behandling av personuppgifter som sker i högskolans verksamhet?

Södertörns högskola är personuppgiftsansvarig för den behandling av personuppgifter som sker inom lärosätets verksamhet. Detta gäller inte bara den behandling som görs av lärare och administrativ personal, utan universitetet ansvarar som huvudregel även för den behandling av personuppgifter som studenterna utför inom ramen för utbildningen. Om en student till exempel behandlar personuppgifter i sitt uppsatsarbete omfattas behandlingen därför av reglerna i dataskyddsförordningen, och det är Södertörns högskolas ansvar att se till att reglerna efterlevs.

Det finns dock vissa undantagssituationer. Om en student till exempel genomför verksamhetsförlagd utbildning (VFU) är det som huvudregel istället praktikplatsen som är personuppgiftsansvarig när studenten utför olika arbetsuppgifter inom exempelvis skola eller hos Polismyndigheten (på samma sätt som praktikplatsen är personuppgiftsansvarig när dess anställda behandlar personuppgifter).

Grundläggande principer för behandling av personuppgifter

Varje behandling av personuppgifter, oavsett i vilken del av verksamheten, som utförs måste uppfylla de sex grundläggande principer som anges i artikel 5 dataskyddsförordningen. Södertörns högskola måste därför säkerställa och visa på att behandlingen uppfyller nedanstående krav.

• Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den vars personuppgifter vi behandlar, det vill säga den registrerade (laglighet, korrekthet och öppenhet).
• Uppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (ändamålsbegränsning).
• Uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering).
• Uppgifterna ska vara korrekta och om nödvändigt uppdaterade (korrekthet).
• Uppgifterna får inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas (lagringsminimering).
• Uppgifterna ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna (integritet och konfidentialitet).

Detta är grundprinciperna för all behandling av personuppgifter och alla verksamhetsområden på Södertörns högskola ska behandla personuppgifter i enlighet med ovanstående punkter.

Vad är skillnaden mellan GDPR och den tidigare, svenska personuppgiftslagen?

EU:s dataskyddsförordning blev tillämplig den 25 maj 2018 och dess syfte är att skapa en enhetlig och likvärdig nivå för skyddet av personuppgifter. Mycket i den nya lagstiftningen liknar de tidigare regler som fanns i personuppgiftslagen. Det som skiljer är införandet av sanktionsavgift samt högre grad av transparens som bland annat innebär följande:

• Datainspektionen är tillsynsmyndighet och kan vid överträdelser utdöma sanktionsavgift på upp till 10 mkr.
• Skyldighet att kunna visa på dokumentation som styrker att EU:s dataskyddsförordning efterlevs (ansvarsskyldighet).
• Skyldighet för personuppgiftsansvarig att föra register över alla behandlingar av personuppgifter.
• Tydligare krav för personuppgiftsansvarig att dokumentera rättslig grund för behandlingen av personuppgifter.

Vad kan jag göra om jag vill lära mig att tillämpa GDPR i praktiken?

Fundera över ditt dagliga arbetssätt utifrån principerna ovan och ställ dig själv frågan om du uppfyller de grundläggande kraven som finns i dataskyddsförordningen. Tala gärna med dina kollegor om hur ni kan förbättra era rutiner för att arbeta i enlighet med gällande lagstiftning.

För mer information kontakta dataskydd@sh.se

Nedan följer ett antal övningar att titta igenom och öva på om du behöver friska upp GDPR-minnet (med tillhörande facit).

Följande två blanketter ska användas när ni ska inhämta samtycke från en person att medverka vid fotografering/filmning

Den här blanketten ska användas för att informera deltagare vid större sammankomster att fotografering/filmning sker

Vad är "nödvändigt"?

För att avgöra om en behandling är nödvändig kan du utgå från följande frågor:

• Är behandlingen ett effektivt sätt att genomföra utbildningen?
• Finns det andra alternativ till hur utbildningen kan genomföras som är lika effektiva men mindre ingripande för studenterna?

Om svaret på den första frågan är "ja" och den andra frågan "nej" så är behandlingen förmodligen nödvändig och alltså tillåten enligt GDPR.

Nedan finns mer specificerade rekommendationer kring ett antal behandlingar som är särskilt förekommande under coronapandemin (med anledning av distansläget). Mer information om vad GDPR generellt ställer för krav vid digital undervisning går att läsa om hos Datainspektionen.

Examination är en viktig central myndighetsuppgift som måste ske rättssäkert.

Tre villkor kan ställas upp för att rättssäkerhet ska anses råda:

1. Aktuella regler ska vara klara och adekvata.
   
2. Aktuella regler ska vara publicerade .
3. Aktuella regler ska tillämpas lojalt och korrekt av de rättstillämpande organen (i det här fallet högskolan som examinerar studenten).

Live-streaming

Vid föreläsning/seminarium

Det går inte att ”tvinga” studenter att ha kameran påslagen, såvida det inte bedöms vara nödvändigt för att kunna bedriva undervisningen. I ett tillfälle där studenten ska delta digitalt och där det är nödvändigt att delta med bild, kan du som lärare göra bedömning, i det enskilda fallet, att deltagande med aktiverad kamera är nödvändigt för genomförandet av undervisningen. Studenten ska i god tid innan tillfället ha fått information om att detta är ett krav (se blankett nedan). I de fall det inte bedöms vara nödvändigt för att bedriva undervisningen har läraren möjlighet att framföra sin önskan att samtliga deltagare har kameran påslagen, men har ingen rätt att vidta ytterligare åtgärder om så inte sker.

Den personuppgiftsbehandling som sker genom att studenterna deltar med ljud och bild i ett sådant live-streamat undervisningsmoment är därmed tillåten. Detta med den rättsliga grunden "allmänt intresse" tillsammans med högskolelagens krav på att lärosäten ska bedriva undervisning. Med det sagt kan vi inte kräva att studenterna har kameran påslagen (såvida det inte är nödvändigt).

Studenterna ska vara informerade om personuppgiftsbehandlingen (varför den är nödvändig, hur den sker, hur länge uppgifterna sparas, vem studenten kan kontakta vid frågor). Streaming i Zoom innebär inte att ljud, film och chatt sparas, den informationen hanteras endast under tiden streaming pågår. Information om webbmötet (till exempel användarnamn, tidpunkt för möte, andra som deltagit) kan komma att sparas.

För att minska intrånget i privatlivet kan studenterna uppmanas att placera sig i en så neutral miljö i hemmet som möjligt.

Blanketten nedan ska tillgängliggöras för studenterna om du använder dig av tekniska hjälpmedel för din undervisning.

Vid examination

Vid examination har högskolan ett krav att kunna säkerställa en rättssäker examination. Detta får vägas mot det intrång i den personliga integriteten som olika tekniska lösningar (exempelvis användandet av Zoom) vid examination kan innebära för studenterna?

Om övervakning av examinationen kommer att ske med hjälp av tekniskt hjälpmedel, använd blanketten nedan.

Baserat på de faktorer som anges nedan får läraren ta ställning till om en teknisk lösning är lämplig att använda eller inte. Som lärare bör du överväga följande:

• Övervakning av tentaskrivande student online, med exempelvis Zoom, får endast ske om det bedöms nödvändigt för att säkerställa en rättssäker examination. De digitala verktygen måste användas på sådant sätt att det inte innebär ett intrång i integriteten. Det är därför viktigt att ni tänker igenom vilket tekniskt hjälpmedel som ni kommer att använda (exempelvis Zoom, Microsoft Teams) och på vilket sätt dessa kommer användas (när studenterna ska sätta på kameran, vad händer om studenten under examinationen stänger av kameran, etc.).

• Det är inte tillåtet att begära att studenten filmar runtom i sitt hem i syfte att förhindra fusk. Det är inte heller tillåtet att begära att studenterna visar upp sitt ID i helgrupp, utan det ska ske i så kallade break-out rooms.

• För att minska intrånget i privatlivet kan studenterna uppmanas att placera sig i en så neutral miljö i hemmet som möjligt.
• Beslut om övervakning av studenter via tekniskt hjälpmedel bör dokumenteras inför varje examinationstillfälle i en diarieförd tjänsteanteckning. Externa övervakningsverktyg som använder sig av ansiktsigenkänning får inte köpas in och användas.

Inspelning av föreläsningar

Vad är bra att komma ihåg om jag vill spela in en föreläsning?

Innan du trycker på ”Record” bör du ge följande instruktioner:

• Var noga med att informera studenterna att undervisningstillfället kommer att spelas in och samtligas ljud och bild stängs av under presentationen (inspelningen).

• Informera om att eventuella frågor hänvisas till efter att presentationen är klar, eller privat i chatten till läraren under presentationens gång. Det är enbart lärarens röst och presentationen som redovisas som ska spelas in för att minimera mängden personuppgifter.

Inspelade föreläsningar är allmänna handlingar och ska hanteras (bevaras eller gallras) enligt gällande regelverk, se informationshanteringsplan nedan. Kontakta arkivarie på arkivarie@sh.se för mer information om bevarande/gallring av just dina inspelningar.

Får min chef kräva att jag spelar in min föreläsning?

Om en chef beordrar inspelning av föreläsning måste en bedömning ske om det är nödvändigt för att fullgöra ett avtal parterna emellan (det vill säga fullgörande av ett anställningsavtal) och att det föreligger allmän intresse (som innebär att inspelning är nödvändigt för att vi ska kunna leva upp till kraven i högskolelagen).

Om alla studenter samtycker till att inspelning sker och allas bild- och ljud är påslagna under en föreläsning, då borde det väl vara ok?
Inspelning av seminarier/föreläsning där studenterna aktivt delar kan inte vila enbart på den så kallade samtyckesgrunden (det vill säga att studenterna ger sitt samtycke att spelas in). Bedömningen måste göras utifrån om inspelningen är nödvändig för en uppgift av allmän intresse (som innebär att inspelningen får ske om det är nödvändigt för att vi ska kunna leva upp till kraven i högskolelagen).

I fall där inspelning sker på seminarium där studenterna aktivt deltar är det tveksamt om det kan bedömas vara nödvändigt att inspelning sker för att kunna bedriva undervisning jämte det intrång i den personliga integriteten som det innebär.

Inspelning av examinationer och obligatoriska moment

Inspelning av studenter i deras hemmiljö anses vara ett sådant intrång i den personliga integriteten att uttryckligt lagstöd krävs för att universitetet som myndighet ska anses ha den rätten. Eftersom uttryckligt lagstöd saknas för att spela in studenter i examinationssituationer i syfte att motverka eller utgöra underlag för bedömning av fusk (eller annat vilseledande beteende) är det dataskyddsombudets uppfattning att en sådan inspelning även på distans strider mot dataskyddsförordningen.

Muntliga examinationer och obligatoriska moment förutsätter att de är av individuellt prövande karaktär. Detta förhållande kan kräva att de dokumenteras på lämpligt vis. Sker en inspelning i dessa fall för att erhålla nödvändig dokumentation av underlaget inför examination, eller bedömning av det obligatoriska momentet, är inspelningen tillåten. Det kan också handla om att inspelningen utgör underlag för studentens egen reflektion eller för diskussion, vilket också är tillåtet.

I motsvarande fall är inspelning av studenter vid muntlig examination eller vid annat obligatoriskt moment på distans tillåtet. Det man bör tänka på i dessa fall är att uppmana studenterna att inför inspelningen placera sig i en så neutral miljö i hemmet som möjligt för att minska intrånget i privatlivet.

Dessa inspelningar ska bevaras/gallras i enlighet med informationshanteringsplanen (se ovan) och informationshanteringslagen (se ovan). Vid frågor kan du kontakta arkivarie@sh.se.

För mer information kontakta dataskydd@sh.se

Mallar för samtyckes- och informationsblankett

Om en student ska samla in personuppgifter behöver studenten inhämta ett informerat samtycke från varje enskild person som ska delta i studentens studie. Högskolan har tagit fram en mall för informations- och samtyckesblankett som studenter kan använda när de inhämtar samtycke. Mallen finns nedan på både svenska och engelska:

Om handledaren har godkänt att studenten får samla in känsliga personuppgifter ska studenten använda mallen ”Informations- och samtyckesblankett – känsliga personuppgifter”. Mallen finns nedan på både svenska och engelska:

Samtycke kan även inhämtas muntligen. Vid muntligt samtycke är det viktigt att samtycket dokumenteras, till exempel genom inspelning. Innan ett muntligt samtycke kan ges måste personen ha fått information om personuppgiftsbehandlingen. Högskolan har därför tagit fram en mall för informationstext som studenter kan använda när de samlar in muntligt samtycke. Mallen finns nedan på både svenska och engelska:

Mall för registerförteckning

När en student har samlat in personuppgifter ska studenten upprätta en så kallad registerförteckning. Förteckningen ska innehålla en beskrivning av personuppgiftsbehandlingen. Förteckningen ska inte innehålla några faktiska personuppgifter, till exempel namn på personer som har intervjuats. Högskolan har tagit fram en mall för registerförteckning som studenterna ska använda. Mallen finns nedan:

Säkerhetsåtgärder vid behandling av personuppgifter

Utöver de säkerhetsåtgärder som framgår av riktlinjerna gäller följande.

Studenter ska inte hantera personuppgiftsmaterialet på externa lagringstjänster som till exempel Dropbox, Google Docs, iCloud och liknande. De får endast använda de verktyg som högskolan erbjuder, till exempel Office 365 (till exempel för lagring), Zoom (till exempel för intervjuer) och Sunet Survey (för digitala enkätundersökningar).

Känsliga personuppgifter ska inte lagras på någon av Microsofts tjänster, såsom Onedrive eller Teams. Känsliga personuppgifter får endast hanteras i sådana IT-miljöer som högskolan godkänt. Känsliga personuppgifter får för närvarande endast lagras på högskolans gemensamma lagringsyta G: eller H:. Eftersom studenter inte har tillgång till G: eller H: saknas det tekniska lösningar för att studenter ska kunna få behandla denna typ av personuppgifter. Som handledare är det viktigt att ta hänsyn till detta i den lämplighetsbedömning som ska göras enligt riktlinjerna.

För frågor om hantering av känsliga personuppgifter, kontakta dataskydd@sh.se.

Gallring av personuppgiftsmaterialet

När studentarbetet har fått ett godkänt betyg ska personuppgiftsmaterialet gallras. Det är studenten som ansvarar för att informera handledaren när studenten har gallrat personuppgiftsmaterialet. När materialet har gallrats ska handledaren lämna en försäkran om att gallring har skett genom att fylla i och skriva under ett gallringsprotokoll. Protokollet ska sedan skickas till arkivarie. Gallringsprotokoll finns nedan:

För frågor om gallringsförfarande, kontakta arkivarie@sh.se.