Personnummer på skolbarns lånekort

Kommuner och landsting

Fråga:

Jag är personuppgiftsombud vid barn- och utbildningsnämnden i kommunen och jag vill samråda med Datainspektionen om följande.

Varje år lämnas lånekort för lån av böcker vid kommunens bibliotek ut till barnen i förskoleklassen, det vill säga 6-åringarna. Avsikten är att möjligheten att låna böcker skall vara ett led i barnens utveckling och därför har det varit rutin att alla har försetts med lånekort. Därmed har ju eleven tillgång till boklån upp i åren därefter. Biblioteket har utfärdat lånekorten med ledning av förteckningar, som man har fått från skolorna. Förteckningarna har innehållit uppgifter om namn och personnummer.

I sin tur har biblioteket använt de aktuella uppgifterna och fört in dem i bibliotekets register.

I anslutning till att biblioteket begärt förteckningarna från skolorna i år, har skolorna meddelat att man är beredd att lämna ut endast namn och de sex första siffrorna i personnumret (födelsedatum). Detta blir då problem för biblioteket som har låneregister, som bygger på hela personnumret.

Biblioteket har nu aktualiserat tre frågor till mig, som är personuppgiftsombud. Den ena frågan är huruvida det är godtagbart att utfärda lånekort till en sexåring utan att föräldrarna får information om detta före utfärdandet. Detta uppfattar jag som en policyfråga som biblioteket/skolan har att ta ställning till.

Den andra frågan är huruvida information till föräldrarna eller samtycke erfordras innan lånekortet utfärdas och därmed registrering i lånekortsregistret sker.

Den tredje frågan är om det är godtagbart att lånekortregistret innehåller fullständiga personnummer för skolbarnen. Om det är godtagbart kan vi ju meddela skolorna detta och därmed få tillgång till hela personnumret. Om det inte kan undvikas att ange hela personnumret i låneregistret – måste vi då skaffa skriftligt samtycke från föräldrarna?

Svar:

Du har uppgett att kommunens bibliotek från skolor hämtar in uppgifter om namn och personnummer på barn i förskoleklasser. Uppgifterna registreras i bibliotekets låneregister i samband med utfärdande av lånekort till skolbarnen. Du frågar dels om det erfordras information till föräldrarna eller samtycke innan lånekort utfärdas och uppgifterna registreras, dels om det är godtagbart att barnens personnummer registreras i bibliotekets låneregister. Datainspektionen lämnar följande synpunkter.

Som det får förstås är det utbildningsnämnden kommunen som ansvarar både för utbildningsverksamhet omfattande kommunal förskola/grundskola och för kommunens biblioteksverksamhet. Nämnden torde vara personuppgiftsansvarig för behandling av de personuppgifter som här är aktuell.

I 9 § personuppgiftslagen finns grundläggande krav som gäller för behandling av personuppgifter. Den personuppgiftsansvarige måste ange särskilda ändamål för varje typ av behandling, till exempel elevadministration. Uppgifter som har samlats in för detta syfte får sedan inte behandlas för något syfte som är oförenligt med det syfte man samlade in uppgifterna för. Om uppgifterna används för andra oförenliga syften är det fråga om nya ändamål. Vilket i normalfallet innebär att information ska lämnas och eventuellt samtycke inhämtas.

För att en behandling av personuppgifter, för såväl nya som tidigare bestämda ändamål, överhuvudtaget ska vara tillåten enligt personuppgiftslagen måste behandlingen kunna hänföras till 10 § personuppgiftslagen, det vill säga att samtycke inhämtas från den registrerade eller att behandlingen är nödvändigt för någon av de syften som räknas upp i 10 § punkt a-f personuppgiftslagen. Datainspektionen anser att nämnden måste inhämta vårdnadshavarens godkännande innan personuppgifter om förskolebarn förs in i låneregistret.

Uppgift om personnummer får enligt 22 § personuppgiftslagen behandlas med samtycke eller när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. I de fall en sökande frivilligt lämnar uppgift om sitt personnummer till exempel i en blankett efter att ha fått information om behandlingen, kan handlandet ses som konkludent och godtas som samtycke till att uppgiften registreras. För en personuppgiftsansvarig som inte fått samtycke till behandling av personnummer innebär 22 § personuppgiftslagen att denne själv måste göra en intresseavvägning. Tyngden av de skäl som gör att behandlingen av personnummer fordras måste vägas mot behovet av ett skydd för den personliga integriteten.

Den personuppgiftsansvarige ska i samband med att uppgifter samlas in självmant informera den registrerade om vilka personuppgifter som behandlas och hur de kommer att användas. Information ska lämnas till den som uppgifterna avser, men om den registrerade är underårig bör den person-uppgiftsansvarige göra en bedömning av om information även bör lämnas till vårdnadshavaren. Det är inte förenligt med personuppgiftslagen att registrera uppgifter om sexåringar i bibliotekets låneregister utan att barnets föräldrar fått någon information om detta.

Datainspektionen anser att nämnden bör lämna information till barnets vårdnadshavare innan denne lämnar sitt samtycke till registrering i samband med utfärdande av lånekort.

(September 2003)

Personuppgiftsombudet


Samrådsyttranden
Ett personuppgiftsombud kan fråga Datainspektionen om råd när han eller hon är osäker på vilka regler som gäller för hur personuppgifter ska behandlas eller hur de ska användas. På de här sidorna har vi samlat en del av dessa samrådsfrågor och -svar som kan vara av allmänt intresse.

Till listan med samrådsyttranden

Frågor & svar

För dig som vill veta mer har Datainspektionen sammanställt en mängd vanliga frågor och svar om personuppgiftslagen och andra områden.