Framsida » Avgöranden » Utlämnande av elevers personuppgifter

Utlämnande av elevers personuppgifter

2005

Ärende:

En grundskola hade lämnat ut elevers kontaktuppgifter till en förening som ordnade en säkerhetskurs åt eleverna vilken ingick i skolans läroplan. Föreningen skickade hem till de elever som deltog i kursen identifikationer med hjälp av vilka de kunde bekanta sig med föreningens hemsidor. Föreningen skaffade också försäkringar åt alla elever. Av dataombudsmannen frågas ifall skolan hade rätt att utlämna elevernas kontaktuppgifter till föreningen utan vårdnadshavarnas samtycke.

Dataombudsmannens svar:

Förverkligande av kursen på uppdrag

I ärendet framgick att ordnandet av säkerhetskursen anknöt till förverkligandet av läroplanen. Enligt 4 § i lagen om grundläggande utbildning är kommunen skyldig att ordna grundläggande utbildning till dem som bor på området och som är i läropliktsåldern. Läroverket behandlar elevernas personuppgifter för ordnandet av utbildningen. Mellan läroverket och eleven finns ett sakligt samband som grundar sig på ett kundförhållande i enlighet med personuppgiftslagens 8 § 1 moment och som behandlingen av elevernas personuppgifter grundar sig på.

Ifall föreningen på uppdrag av skolan kan ge undervisning, kan föreningen enligt dataombudsmannens uppfattning också behandla elevernas personuppgifter i förverkligandet av uppdraget. Detta är enligt personuppgiftslagens 8 § 1 moment 7 punkt möjligt. Till uppdragstagaren kan enligt lagens 9 § ge elevers personuppgifter till den del som de är behövliga för förverkligandet av uppdraget. I ett uppdragsavtal bör man definiera parternas uppgifter och ansvar.

Om lagen om grundläggande utbildning inte tillåter att den grundläggande utbildningen sköts genom ett sådant uppdrag kan behandlingen av personuppgifter inte heller grunda sig på ett uppdragsavtal. Till dataombudsmannens behörighet hör inte att avgöra frågan om ifall en förening kan ordna en säkerhetskurs som omfattas av den grundläggande utbildningens läroplan.

Ordnande av en frivillig kurs

Ifall säkerhetskursen skulle ordnas som en frivillig kurs skulle den minderåriga elevens vårdnadshavare bestämma om deltagandet i kursen. Behandlingen av personuppgifter skulle då grunda sig på det i personuppgiftslagens 8 § 1 moment 5 nämnda sakliga sambandet mellan kursdeltagarna och kursarrangören. I samband med anmälan skulle man också borda informera om behandlingen av elevens personuppgifter i kursen.

Informering om behandling av personuppgifter

Personuppgiftslagens 24 § förpliktar den registeransvariga att informera om behandlingen av personuppgifter. Man bör sörja för att den registrerade kan få information om den registeransvariga och ändamålet med behandlingen av personuppgifterna samt information om vart uppgifterna regelmässigt utlämnas. Också om utnyttjandet av den registrerades rättigheter skall informeras.

Vare sig säkerhetskursen ordnades som anknuten till läroplanen eller som frivillig så ansåg dataombudsmannen att om behandlingen av personuppgifter i samband med förverkligandet av kursen skulle informeras till elevernas vårdnadshavare.

Betydelsen av kontaktuppgifternas sekretess

En del av de uppgifter som läroverket samlar om sina elever kan vara sekretessbelagda. Om sekretessen gällande elevers personuppgifter finns bestämmelser i 40 § i lagen om grundläggande utbildning och 24 § i lagen om offentlighet i myndigheternas verksamhet (offentlighetslagen). Exempelvis kan elevernas kontaktuppgifter enligt offentlighetslagens 24 § 31 punkt vara sekretessbelagda.

Utlämnande av personuppgifter till direktmarknadsföring

Om beviljandet av användarrättigheter till föreningens hemsidor har samband med marknadsföringen av föreningens verksamhet och inte med ordnandet av säkerhetskursen, förutsatte också utlämnandet av elevernas offentliga personuppgifter för beviljandet av användarrättigheter enligt dataombudsmannens uppfattning samtycke av minderåriga elevers vårdnadshavare. Som motivering framförde dataombudsmannen 16 § 3 momentet i offentlighetslagen. Enligt den får ur myndigheters personregister utlämnas personuppgifter för direktmarknadsföring endast om det är föreskrivet i lag eller om den registrerade har gett sitt samtycke till det. Då samtycke begärs skall elevernas föräldrar informeras om att direktmarknadsföringen förverkligas genom att bevilja användarrättigheter till föreningens hemsidor.

Tillämpade bestämmelser:

Personuppgiftslag 8.1 § punkt 5 §, 6 §, 8.1 punkt 7, 9 §, 24 §
Lag om grundläggande utbildning 4 §, 40 §
Lag om offentlighet i myndigheternas verksamhet 16.3 §, 24 §

 
Publicerad 6.2.2014