Framsida » Avgöranden » Förfrågan om hälsouppgifter av en lägerskoledeltagare

Förfrågan om hälsouppgifter av en lägerskoledeltagare

2008

Ärende

Föräldrarna till en elev som deltar i lägerskolan fyller en hälsouppgiftsblankett som tillställs lägerskolans arrangörer. Uppgifterna samlas för att trygga deltagarnas säkerhet och de inverkar på programmens arrangemang.

Dataombudsmannen bad i ärendet ett utlåtande av Utbildningsstyrelsen, som konstaterade med hänvisning till 15 § i lagen om grundläggande undervisning och 9 § i förordningen om grundläggande undervisning, att begreppet undervisning omfattar alla läger, utflykter, besök och övrig motsvarande verksamhet utanför skolan, som förverkligas under skolans arbetstid och som har antecknats i den årliga planen. De är jämställda med skolans verksamhet i övrig undervisning. Således är den som ordnar undervisningen, d.v.s. i praktiken skolan, ansvarig för planeringen av lägerskolan, avslutande av program samt egentligt ordnande. I planeringen och förverkligandet kan samarbetas med personalen på platsen för lägerskolan.

I utlåtandet konstaterades vidare att då man tar noggrannare bestämmelser med i skolans årsplan, definierar man samtidigt vilken verksamhet som är på skolans ansvar. Skolans lägerskola är på skolans ansvar oberoende om var den ordnas och å vems vägnar undervisningen i praktiken sköts under lägerskolan. Ifall i förverkligandet av undervisningen deltar förutom skolans undervisningspersonal också t.ex. personalen på platsen för lägerskolan, skall behövliga bestämmelser om detta tas med i avtalet mellan skolan och lägerstället. Ansvaret över ordnandet av lägerskolan kan dock inte flyttas till en utomstående aktör.

Enligt utlåtandet ställer 29 § i lagen om grundläggande undervisning en skyldighet till undervisningens arrangör att verka så att rätten till en säker undervisningsmiljö förverkligas under alla omständigheter. Över en säker undervisningsmiljö är ansvariga undervisningens ordnare som beslutsfattare över undervisningens resurser och verksamhetsmiljöer, rektorn som ansvarig för sin egen skolas verksamhet samt den berörda läraren som praktisk arrangör av sin egen undervisning. Betydelsen av verksamhetens planering och skyldigheten att säkra undervisningsarrangemangens trygga och ostörda genomförande framhävs särskilt då undervisning ordnas utanför det vanliga skolområdet, t.ex. på en lägerskola. Undervisningens arrangörs uppgift är att komma överens med lägerställets ledare om villkoren för att undervisningen skall kunna förverkligas säkert.

I utlåtandet konstaterades att i praktiken har läraren i sista hand odelat ansvar över ett säkert förverkligande av lägerskolan. Läraren svarar som helhet för lägerskolans säkra genomförande också då själva undervisningen sköts av exempelvis någon från lägerskolans personal eller någon annan personal på platsen för lägerskolan. Lärarens uppgift är att säkra att undervisningen kan skötas också under lägerskolan utan att ge efter på säkerheten. Detta förutsätter i praktiken att läraren under hela lägerskolan är närvarande vid undervisningstillfällena.

Dataombudsmannens svar

Den registeransvariga som ansvarar för behandlingen av personuppgifter har definierats i personuppgiftslagens 3 § 4 punkt. I Undervisningsstyrelsens utlåtande konstateras att med hänvisning till 15 § 4 punkten i lagen om grundläggande undervisning och 9 § i förordningen om grundläggande undervisning, hör lägerskolan till ordnandet av undervisning. På basis av det är undervisningens ordnare registeransvarig över behandlingen av personuppgifter under lägerskolan. Den som fungerar på uppdrag av den registeransvariga svarar för aktsam behandling av personuppgifterna och deras skydd, vilket framgår ur lagens 5 § och 32 §. Till dataombudsmannens behörighet hör inte att ta ställning till hurudana avtal en kommun borde ingå. Däremot hör det till dataombudsmannens behörighet att ge råd i frågor gällande hurudan betydelse ett ingått avtal har för behandlingen av personuppgifter.

Uppgifter om en elevs fysiska och psykiska hälsotillstånd är i personuppgiftslagens 11 § definierade känsliga uppgifter. De kan behandlas endast på de grunder som lagens 12 § nämner. Behandling är enligt paragrafens 1 punkt möjlig med den registerades/minderåriges vårdnadshavares uttryckliga samtycke, i praktiken skriftligt. Ur samtycket bör framgå till hurudan behandling av personuppgifter samtycket har getts. Med beaktande av lagens 3 § 7 punkt skall samtycket vara en frivillig, individualiserad och medveten viljeyttring, med vilken den registrerade godkänner behandlingen av sina personuppgifter. Lagens 24 §:s informeringsskyldighet har en central betydelse vid givandet av samtycke.

Personuppgifterna som behandlas skall enligt lagens 9 § vara behövliga med hänsyn till det angivna ändamålet med behandlingen av personuppgifter. Inte ens med samtycke kan man samla uppgifter som inte är behövliga. Behandlingen av personuppgifter skall enligt lagens 6 § vara sakligt motiverat med hänsyn till den registeransvarigas verksamhet. Lagens 5 § föreskriver om en aktsamhetsplikt för den registeransvariga och däri bl.a. en skyldighet att beakta god informationshantering. Personuppgifter som behandlas skall enligt lagens 32 § skyddas mot obehörig åtkomst och olaglig behandling. Sekretessbelagda uppgifter (t.ex. uppgifter gällande hälsotillstånd, sjukdom och medicinering) kan utlämnas till en utomstående på de grunder som nämns i 7 kapitlet i lagen om offentlighet i myndigheters verksamhet. Utlämnande är möjligt endast med den registrerades samtycke.

Undervisningsstyrelsen konstaterade i sitt utlåtande att dess synpunkt var att om exempelvis begränsningar som beror på elevens handikapp eller sjukdom och därtill anknyta medicineringar samt förstahjälpsåtgärder bör underrättas också till personalen på platsen för lägerskolan till den del som det är behövligt för att trygga en säker undervisningsmiljö under lägerskolan. Enligt Undervisningsstyrelsens synpunkt bör skolan före lägerskolan samla från vårdnadshavare med blanketter som har utarbetats för detta ändamål uppgifter om de faktorer som bör beaktas med tanke på förverkligandet av lägerskolan eller lägerskolans plats. Förfrågan bör utföras möjligast nära lägerskolans tidpunkt för att begränsa de givna uppgifter till endast sådana som gäller denna tidpunkt. Ur blanketten bör tydligt framgå vilka uppgifter som skolan får utlämna till personalen på platsen för lägerskolan. Ur blanketten bör även tydligt framgå att den innehåller sekretessbelagda uppgifter.

Dataombudsmannen ser inget hinder för att man av föräldrarna ber med en blankett sådana uppgifter gällande hälsan av de deltagande i lägerskolan, som är behövliga för att trygga en säker undervisningsmiljö. Sådana uppgifter kan anses vara behövliga för ordnandet av undervisningen och deras behandling sakligt motiverad med hänsyn till den registeransvarigas verksamhet. Till föräldrar kan också erbjudas en möjlighet att meddela med en blankett behövliga uppgifter åt personalen på platsen för lägerskolan, för att trygga ett säkert förverkligande av lägerskolan. Föräldrarna skall dock informeras enligt lagens 24 § på förhand om hurudana krav och förutsättningar på hälsotillståndet deltagandet i lägerskolan medför. Föräldrarna kan sedan själva bedöma vilka hälsotillståndsuppgifter som är behövliga att meddela till skolan och personalen på platsen för lägerskolan, för att trygga deltagarens säkerhet.

Anordnaren av undervisningen svarar för blanketternas förvaring och tillförlitliga utplåning. Skolan ger på basis av blanketterna ett sammandrag över de uppgifter för vilkas del vårdnadshavarna har gett sitt samtycke till att utlämnas. På platsen för lägerskolan kan sammandraget behandlas av endast de arbetstagare som behöver uppgifterna i sina arbetsuppgifter. Med beaktande av skyldigheten att skydda uppgifterna rekommenderas det inte att sekretessbelagda hälsotillståndsuppgifter skickas i oskyddade e-postmeddelanden. Om dataskyddsproblem i e-post berättas mera i dataombudsmannens ställningstagande om ärendet. Lägerskolan skall förstöra uppgifterna tillförlitligt eller ge dem till en lärare efter att programmet har slutat.

Dataombudsmannen konstaterade sammanfattningsvis att undervisningens anordnare och platsen för lägerskolan skall när de ordnar lägerskolan försäkra sig om att deltagarnas personuppgifter behandlas lagenligt, om vilket har berättats ovan. I avtalet mellan dessa aktörer skall kommas överens om uppgifter och ansvar gällande behandlingen av personuppgifter. För att säkra lagenligheten vid behandlingen av personuppgifter och god informationshantering är det enligt dataombudsmannens uppfattning ändamålsenligt att undervisningens anordnare handleds i behandlingen av deras personuppgifter som deltar i lägerskolan, eftersom det i ärendet har framkommit osäkerhet. Dataombudsmannen framhävde sin synpunkt i sitt brev till Undervisningsstyrelsen.

Konsumentverket har gett en allmän anvisning om befrämjande av programtjänsters säkerhet. Anvisningen grundar sig på lagen om konsumtionsvarors och konsumenttjänsters säkerhet (75/2004). Från lagens 2 § framgår att lagen tillämpas på konsumtionsvaror och konsumenttjänster till den del det inte i annan lagstiftning föreskrivs att minst samma säkerhetsnivå skall uppnås. Från Undervisningsstyrelsens utlåtande framgår att lägerskolan hör till anordnandet av undervisning. Undervisningens anordnare svarar för en säker undervisningsmiljö.
Dataombudsmannens behörighet omfattar inte bedömningen av sådana ansvarsfrågor.

 
Publicerad 6.2.2014