Institutionsadministrativt system
Utbildning
Fråga:
Universitetet avser att utveckla ett institutionsadministrativt system med gränssnitt mot institutionernas olika personalkategorier samt även mot studenterna. All information som idag hanteras i det institutionsadministrativa arbetet är tänkt att ingå i systemet, det vill säga studiedokumentation, kursadministration, uppgifter ur personal- och ekonomisystemen etc. Utgångspunkten för detta arbete har varit att ge så många användare som möjligt tillgång till informationen i systemet. Det är dock inte avsikten att uppgifterna skall läggas ut på så kallat öppet nät utan tillgången till systemet skall vara domän- och IP-nummerstyrd. Överföringsförbudet till tredje land i 33 § personuppgiftslagen aktualiseras således inte.
Då detta ändå innebär en spridning av personuppgifter till en större krets än normalt vill jag samråda med tillsynsmyndigheten kring vilka restriktioner som måste anses nödvändiga med hänsyn till lagstiftningen. Till förutsättningarna hör naturligtvis att sekretessbelagda uppgifter inte får spridas utanför det primära sekretessområdet och att systemet endast tar sikte på sådana uppgifter som är offentliga.
För att underlätta överblicken över de frågor kring behandling av personuppgifter som systemet reser har jag valt att gruppera dessa i tre huvudgrupper: studieadministration, personaladministration och övriga personuppgifter.
Jag redogör nedan för min egen bedömning men emotser alltså tillsynsmyndighetens redovisning på vilka punkter er uppfattning skiljer sig från denna.
Personuppgifter inom studieadministrationen
I 2 kap 6 § Förordning (1993:1153) om redovisning av studier med mera vid universitet och högskolor ges en uttömmande uppräkning till vilka kategorier av mottagare och för vilka ändamål som uppgifter rörande studiedokumentationen får lämnas ut i elektronisk form. Enligt denna bestämmelse får uppgifter lämnas till en studerande om uppgifterna rör henne eller honom själv. Tentamensresultat och andra uppgifter ur LADOK avseende alla studenter på en kurs kan därför inte göras allmänt tillgängliga.
När det gäller uppgifter som hänför sig till själva kursadministrationen, till exempel gruppindelningar vid laborationer, listor över vem som lämnat in inlämningsuppgifter, scheman med lärares namn och litteraturlistor med angivande av författare etc. så är det min uppfattning att detta är sådana behandlingar av personuppgifter som kan anses tillåten efter en intresseavvägning enligt 10 § punkt f personuppgiftslagen.
Mer svårbedömd är frågan kring kursvärderingar som direkt eller indirekt också innehåller en värdering av lärare och kursansvarig. I den äldre datalagen definierades omdömen och andra värderande upplysningar som känsliga uppgifter och reglerades särskilt. Någon direkt motsvarighet finns inte i nu gällande rätt. Det är ändå min bedömning att en sådan här behandling av personuppgifter inte utan vidare kan anses tillåten efter en avvägning enligt ovan. Om lärare/kursansvarig lämnat sitt samtycke måste behandlingen emellertid anses tillåten.
Personuppgifter inom personaladministration
Vissa uppgifter inom det personaladministrativa området skyddas av sekretess enligt 7 kap 11 § sekretesslagen. Uppgift om enskilds hälsotillstånd, omplaceringar och liknande kan inte spridas utanför det primära sekretessområdet. Uppgifter som kan bli aktuella i denna kategori är snarare lönedata om institutionens anställda, tjänstledigheter, sysselsättningsgrad och tjänstgöringsschema för enskild anställd.
De flesta av dessa personuppgifter behandlas primärt i universitetets personalsystem och är nödvändiga för att i olika avseenden utöva myndighetens arbetsgivaransvar. Frågan är hur man ska se på möjligheten att sprida dessa uppgifter i ett system som är öppet för andra grupper än institutionsledning och PA-handläggare. Även med utgångspunkt i resonemanget att ändamålet med behandlingen inte förändras och att de grundläggande kraven i 9 § personuppgiftslagen anses uppfyllda är det tveksamt om en behandling skulle anses nödvändig och därmed tillåten enligt något av kriterierna i 10 §. Mot bakgrund av detta är det min bedömning att det skulle kräva ett samtycke från varje anställd för att göra uppgifter tillgängliga i det tänkta systemet.
Övriga personuppgifter
En särskild form av personuppgiftsbehandling är digitala fotografier. Det är min uppfattning att endast samtycke från anställda/studenter kan ge stöd för en sådan behandling i det här fallet. Jag har svårt att se att det skulle finnas ett sådant berättigat intresse som möjliggör en avvägning enligt 10 § punkten f.
Personnummer regleras särskilt i personuppgiftslagen. Enligt 22 § får personnummer behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller annat beaktansvärt skäl. Denna bestämmelse hade samma lydelse i den äldre datalagen och den praxis som utvecklades i anslutning till denna var tämligen restriktiv. Jag utgår därför ifrån att personnummer på anställda och studenter inte kan göras tillgängligt på skärmbilder och i utskrifter i systemet.
Det har slutligen funnits en idé om att också integrera den lokala biblioteksadministrationen med det planerade systemet.. Enligt 9 kap 22 2 sekretesslagen råder sekretess för uppgift i register "om enskilds lån, reservation eller annan form av beställning". Sådana uppgifter kan alltså inte göras läsbara för annan än låntagaren själv och de personer som administrerar låneverksamheten. Sekretessen gäller både manuella och datorbaserade register och omfattar endast "enskild". I det här fallet våra studenter, medan sekretessen inte gäller för sådana lån som offentliganställd gör i tjänsten. Det är därför min uppfattning att nödvändiga personuppgifter för att administrera låneverksamheten kan behandlas med stöd av 10 § punkten a i personuppgiftslagen, men att uppgift om vilken student som lånat eller reserverat en viss bok inte kan göras allmänt tillgänglig inom systemet.
Svar:
Med anledning av din begäran om samråd angående ett institutionsadministrativt system vill Datainspektionen ge följande vägledning.
Studieadministrationen
I förordningen (1993:1153) om redovisning av studier med mera vid universitet och högskolor regleras uttömmande till vilka kategorier av mottagare och för vilka ändamål som studiedokumentation från LADOK och andra studieregister får lämnas ut på medium för automatiserad behandling. Tentamensresultat med mera ur LADOK får därför inte göras allmänt tillgängliga på det sätt som beskrivits.
Uppgifter om gruppindelningar, inlämningsuppgifter, scheman och litteraturlistor kan göras tillgängligt på det sätt som beskrivits.
Personuppgifter i kursutvärderingar får behandlas om de registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för något av de syften som ställs upp i 10 § personuppgiftslagen. Utan samtycke får enligt 10 § f) personuppgiftslagen personuppgifter behandlas när behandlingen är nödvändig för ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av integritetsskydd. Det är den personuppgiftsansvarige som måste göra intresseavvägningen. Enligt Datainspektionens mening är det tveksamt om det är förenligt med personuppgiftslagen att utan samtycke göra personuppgifter i kursutvärderingar tillgängliga på det sätt som angivits.
Personaladministrationen
Uppgifter om lönedata, tjänstledigheter, sysselsättningsgrad, lönetillägg och tjänstgöringsschema för enskild anställd anses normalt inte som känsliga personuppgifter. Behandlingen kan komma att bli tillåten för att ett avtal med den registrerade skall kunna fullgöras eller efter en intresseavvägning, 10 § a) och f) personuppgiftslagen. Om inte någon av dessa bestämmelser är tillämpliga måste de registrerade lämna sitt samtycke till behandlingen. Enligt Datainspektionens mening är det tveksamt om det utan samtycke är förenligt med personuppgiftslagen att göra dessa uppgifter tillgängliga på det sätt som angivits.
Övrigt
När det gäller personuppgiftsbehandling av digitala foton beror det på vilket ändamål som behandlingen av personuppgifterna har. Om inte något av undantagen i 10 § personuppgiftslagen är tillämpligt så måste samtycke inhämtas från de registrerade. Enligt Datainspektionens mening är det även här tveksamt om det är förenligt med personuppgiftslagen att utan samtycke göra digitala bilder tillgängliga i ett institutionsadiministrativt system.
Att göra personnummer allmänt tillgängligt på skärmbilder och utskrifter i systemet är en onödig exponering av personnumren.
Nödvändiga personuppgifter för att administrera låneverksamheten kan behandlas med stöd av 10 § a) personuppgiftslagen. En uppgift om vilken student som lånat eller reserverat en viss bok omfattas av sekretessbestämmelsen i 9 kap.
22 § sekretesslagen. Att göra sådana uppgifter allmänt tillgängliga i systemet är inte förenligt med personuppgiftslagen.
(Juli 2003)
Samrådsyttranden
Ett personuppgiftsombud kan fråga Datainspektionen om råd när han eller hon är osäker på vilka regler som gäller för hur personuppgifter ska behandlas eller hur de ska användas. På de här sidorna har vi samlat en del av dessa samrådsfrågor och -svar som kan vara av allmänt intresse.
Till listan med samrådsyttranden
Frågor & svar
För dig som vill veta mer har Datainspektionen sammanställt en mängd vanliga frågor och svar om personuppgiftslagen och andra områden.
