Skolorna har halkat efter den tekniska utvecklingen och har så allvarliga brister i sina it-system, anser DI, att de genom sin hantering av personuppgifter bryter mot lagen om att skydda eleverna mot integritetskränkning.
Men de it-ansvariga på skolan kan ganska lätt avhjälpa felen genom att följa en checklista som Datainspektionen gjort och som vi publicerar nedan.
I början av september gjorde DI en enkätundersökning hos tvåhundra skolor och genomförde inspektioner hos femton skolor runt om i Sverige.
Resultatet var nedslående. Samtliga de inspekterade skolorna hanterar elevernas personuppgifter på sätt som bryter mot Person-uppgiftslagen, PuL.
- Resultatet från undersökningen pekar på att det finns stora brister i kunskapen hos både skolorna och deras it-leverantörer kring hur personuppgifter får behandlas, säger Patrik Sundström, som ansvarar för projektet på DI.
DI konstaterar också att inte heller de som sköter driften av datasystem har tillräckliga kunskaper om hur information som registreras om skoleleverna i Sverige ska hanteras och skyddas så att de följer reglerna i PuL.
- Juridiskt ansvarig för detta är den nämnd/styrelse som ansvarar för skolan. Det är dem vi riktar vår tillsyn mot. Vi kritiserar inte enskilda rektorer, säger Patrik Sundström.
Vanliga fel som begås på skolorna är att det saknas kontroll över om och hur uppgifter om gamla elever gallras bort från it-systemen, att känsliga personuppgifter registreras utan samtycke från vare sig elever eller föräldrar och att it-system kan nås via webben utan tillräckligt hög säkerhet.
Ett annat fel som ofta begås är att det saknas regler och instruktioner för vad som får skrivas i fritextfälten.
- Utan riktlinjer som bland annat beskriver hur värderande omdömen om elever ska formuleras är det väldigt lätt hänt att fritextsfält används för att registrera kränkande omdömen och känsliga personuppgifter. Det har vi sett många exempel på under våra inspektioner, berättar Patrik Sundström.
Senast Datainspektionen granskade skolor var hösten 2001. Då använde skolorna it-system i mycket begränsad omfattning för att lagra personuppgifter om elever.

Numera använder många skolor centrala it-system inte bara för vanlig elevadministration, utan även för att hantera uppgifter om bland annat elevernas sjukdom, frånvaro, betyg och utvecklingsplaner.
En avgörande orsak till de brister som DI påpekar är att skolorna inte hänger med i it-utvecklingen.
- Då skolan har infört nya datasystem missar de ofta att tänka på integritetsfrågorna, säger Patrik Sundström.
- De måste få en tydlig plats så fort man behandlar personuppgifter - och personuppgifter är enligt lagen all information som direkt eller indirekt kan hänföras till en människa i livet. Hanteringen är reglerad i lag och den måste följas.
Är det ett generellt problem att skolorna saknar kontroll över sina uppgifter?
- Ja. De vet inte hur länge uppgifterna finns kvar i systemen, hur länge de sparas, var de sparas, man har ofta anlitat en extern leverantör som sköter driften av systemet men vet inte att det kanske är hos leverantören de sparas, eller när de försvinner.
- Ändå får de bara behållas så länge de behövs. När gallras uppgifterna, när försvinner de? Det är den kommunala nämnden eller bolagsstyrelsens ansvar att se till att detta sköts. Det måste finnas ett avtal med leverantören som säger att leverantören endast får hantera uppgifterna som beställaren anger.
- Det är dessutom inte bara det som syns på skärmen som ska hanteras rätt. Leverantörernas servrar kan befinna sig var som helst. Det är där uppgifterna finns rent fysiskt och även där ska de rensas.

text: Bill Erlandsson

Det är genom att Skolledaren ställer den specifika frågan om ansvaret som DI upplyser om att det är skolans huvudmän som är juridiskt ansvariga, men de vet inte dagspress, radio och tv. Detta är dessutom bara en i raden av alla de "larmrapporter" om skolan som kommer med jämna mellanrum.

Sveriges Skolledarförbunds ordförande Lars Flodin reagerar mot detta.
- Skolans ledning ska hålla reda på en enorm mängd lagar, läroplaner och bestämmelser: Skollagen, läroplanen, kursplanerna, sekretesslagstiftningen, Personuppgiftslagen, Arbetsmiljölagen, Tryckfrihetsförordningen, Barn- och elevskyddslagen, diskrimineringslagstiftningen, Brottsbalken, Regeringsformen, femhundra olika skolförordningar och författningar, ett antal åtgärdsprogram, förordningarna om brandskydd, byggnadslagstiftning, Livsmedelslagen och Trafikförordningen.
- Därutöver är det skolans skyldighet att följa de förändringar lagar, författningar och förordningar som hela tiden sker. Detta är orimligt att kräva av en skola.
- Ett företag som omfattas av så många lagar och förordningar har ett antal jurister anställda. Det kan självklart ingen enskild skola ha. Samtidigt kan skolan inte bortse från de lagar och bestämmelser som gäller, konstaterar Lars Flodin.

Lars Flodin menar att skolans huvudmän, skolpolitiker, kommunala nämnder och friskolors styrelser måste ta sitt fulla ansvar för att stötta rektorerna i detta arbete och ta på sig sitt ansvar.
Rektor är i regel överlastad med arbete och ansvar samt har för dåligt administrativt stöd. I stället för att peka ut enskilda skolor borde myndigheterna tala klartext att det är skolans huvudmän som ska ställas till svars.
- En rektor klarar inte hur mycket press som helst från massmedia, myndigheter och andra aktörer. Särskilt inte då rektor med de förutsättningar som gäller ofta har mycket små möjligheter att klara de brister som finns.
- Det är dags för skolpolitikerna att ta sitt ansvar, att träda fram och stötta sina rektorer!

text: Bill Erlandsson

(1/2009)