Personuppgiftsbehandling i samband med examination och utbildning på distans med anledning av Corona

Behandling av personuppgifter vid undervisning och examination på distans

Med anledning av övergång till undervisning och examination på distans på grund av situationen med Corona lämnar dataskyddsombudet följande rekommendationer avseende behandling av personuppgifter. Den inledande kortare genomgången efterföljs längre ned på sidan av en djupare och mer fullständig vägledning. Detta då avseende vad som gäller generellt angående personuppgifter och dataskydd vid undervisning och examination på distans.

Corona - Personuppgifter och dataskydd för undervisning och examination på distans

Klassrumsundervisning i Zoom

Förutsättningar:

  • Undervisningen sker med hjälp av Zoom on-line möte istället för i ett fysiskt klassrum 
    - Server för Zoom finns i Stockholm, personuppgiftsbehandling sker inte utanför EU
     
  • Funktion finns för webbkamera, ljud, att dela skärm, chatt och inspelning
    -  Läraren kan styra om dessa funktioner ska vara aktiverade eller inte
     
  • Eventuell inspelning sparas lokalt på lärarens dator. Lärare har möjlighet att ladda upp inspelning i Canvas verktyg Studio så att studenter kan ta del av den där

Vad gäller?

Personuppgiftsbehandling är tillåten på den rättsliga grunden ”en uppgift av allmänt intresse” i den utsträckning som behandlingen är nödvändig för att universitetet ska kunna bedriva sin undervisning. Detta gäller under förutsättning att studenterna får tydlig information om hur deras personuppgifter kommer behandlas med anledning av att undervisningen sker via Zoom.

Som lärare är det viktigt att tänka på följande:

  • Överväg alltid om funktionerna för webbkamera, ljud och chatt är nödvändiga att aktivera för studenterna vid undervisningstillfället

       -    Det kan ofta vara motiverat att använda en eller flera av funktionerna men gör det inte slentrianmässigt utan gör ett medvetet ställningstagande

       -    Även om chattfunktionen är aktiverad är det lämpligt att ge studenterna möjlighet att kunna ställa frågor utanför föreläsningen

  • Informera om studentens möjlighet att stänga av funktioner.
     
  • Överväg om inspelning är nödvändig, om det är det, dokumentera beslutet och skälen för detta. Inspelning innebär ett större integritetsintrång än enbart streaming och det ställs därför höga krav på att kunna motivera att inspelning är nödvändig. 

      -   Filmen ska bevaras i två år efter avslutat kurstillfälle och lagras på ett säkert lagringsutrymme under denna tid. Säkerställ rutin för att gallra, det vill säga radera filmen.

  • Informera  studenterna om att de inte får spela in undervisningen.

Ovan gäller under förutsättning att det finns tillräckligt med tekniska och organisatoriska säkerhetsåtgärder på plats.

Inspelning av föreläsning på annat sätt

Förutsättningar

  • Läraren spelar in sig själv/föreläsningen
  • Läraren lägger upp inspelningen i Canvas

Vad gäller?

Att spela in och publicera en föreläsning med enbart anställd personal är tillåtet utifrån dataskyddsperspektiv, då det är en del av medarbetarens tjänstemannauppdrag.

Examination

Personuppgiftsbehandling är tillåten på den rättsliga grunden "uppgift av allmänt intresse" i den utsträckning som behandlingen är nödvändig för att universitetet ska kunna genomföra examinationen. Vid examination har universitetet ett krav att kunna säkerställa en rättssäker examination. Detta får vägas mot det intrång i den personliga integriteten som olika lösningar kan innebära. Baserat på de faktorer som anges nedan får ställning tas om en lösning är tillåten att använda. Det är mycket viktigt att studenterna får tydlig information om hur deras personuppgifter kommer behandlas med anledning av att examinationen övervakas.

Faktorer nedan ska beaktas.

  • ”Övervakning” av student on-line via till exempel Zoom får endast ske om det bedöms nödvändigt för att säkerställa en rättssäker examination.

    -   Beslut om detta bör fattas inför varje examinationstillfälle, skälen för beslutet bör dokumenteras.

    -   Aktivera inte fler funktioner än absolut nödvändigt, till exempel funktion för att spela in, funktion för ljud.
     
  • Inspelning innebär ett större integritetsintrång än enbart "övervakning" online och det ställs därför höga krav på att kunna motivera att inspelning är nödvändig. Överväg om inspelning är nödvändig, om det är det, dokumentera beslutet och skälen för detta. Läs mer om när inspelning är tillåtet i den fullständiga vägledningen längre ner på denna sida. Det är dataskyddsombudets uppfattning att det är svårt att motivera att inspelning av examination eller obligatoriskt moment får ske i andra fall, till exempel i syfte att ha som bevismedel i ett disciplinärende. 

    -   Inspelningar av muntliga examinationer och obligatoriska moment får gallras två år efter examinationen. Om det blir ett ärende där studenten begär ändring av betyg, bör examinationsfilmen ingå i det ärendet och kommer därmed att diarieföras och bevaras. Inspelningar som skett i syfte att övervaka examinationen, vilket endast får ske i undantagsfall, ska gallras omedelbart efter att betyget registrerats i studieregistret. Om filmen kommer att utgöra bevis i ett disciplinärende, ska den ingå i detta och därmed diarieföras och bevaras. Säkerställ att filmen lagras på ett säkert lagringsutrymme.

Ovan gäller i den mån det inte rör sig om behandling av känsliga personuppgifter samt att det finns tillräckligt med tekniska och organisatoriska säkerhetsåtgärder på plats.

Autentisering

Tänk på att behandling av biometriska uppgifter för att entydigt identifiera en person är en känslig personuppgift som inte får behandlas utan särskilt stöd i lag. Samtycke kan inte användas som rättslig grund för denna typ av behandling. Detta på grund av beroendeförhållandet mellan universitetet och en student.

Heltäckande vägledning avseende hantering av personuppgifter och av dataskydd vid undervisning och examination på distans


Både realtidsövervakning (streaming/strömning) och inspelning av ljud och bild är personuppgiftsbehandlingar enligt dataskyddsförordningen (DSF). Båda dessa metoder utgör ett allvarligt integritetsintrång. Detta eftersom det är fråga om en övervakning av en student i en utsatt situation och övervakningen i regel sker i hemmet som är en privat sfär. Inspelning får anses vara ett mer kvalificerat intrång än realtidsövervakning och en inspelning av en student är också i regel en allmän handling som kan lämnas ut på begäran från någon ur allmänheten. Det är därför av synnerlig vikt att universitetet hanterar denna typ av verktyg med respekt för den enskilde och på ett transparent sätt.  

Det ska också noteras att universitetet inte kan förlita sig på samtycke i situationer kopplade till undervisning och examination av en student.

Utgångspunkter

Det är tillåtet att behandla studenternas personuppgifter i digitala hjälpmedel när det är nödvändigt för att genomföra utbildning och examination. Om en personuppgiftsbehandling är nödvändig får avgöras i det enskilda fallet. Här bör även rektors beslut beaktas att tillåta ändring av beslutade kurs- och utbildningsplaner avseende vårterminen 2020 vad gäller formerna för bedömning av studenternas prestationer och för undervisning till genomförande digitalt.

Vid bedömningen av om en personuppgiftsbehandling är nödvändig ska bland annat hänsyn tas till om formerna för en examination kan anpassas till de ändrade förutsättningarna. Kan en salstentamen exempelvis göras om till en hemtentamen?

För att personuppgiftsbehandling i form av realtidsövervakning eller inspelning ska anses nödvändig krävs också att det faktiskt är ett effektivt verktyg för att uppnå ändamålet med behandlingen. Om realtidsövervakning exempelvis inte bedöms minska risken för fusk i någon större utsträckning ska verktyget inte användas för detta ändamål.

Bedömningen ska ske utifrån följande utgångspunkter:

  • Om det är nödvändigt får universitet i samband med undervisning direktsända (livestreama) studenter och lärare om syftet är att bedriva undervisning.
  • Om det är nödvändigt får universitet spela in undervisning där studenter kan förekomma om inspelningen utgör en del i undervisningsunderlaget.
  • Om det är nödvändigt för att säkerställa en rättssäker examination får universitet direktsända (livestreama) en examination eller ett obligatoriskt moment.
  • Om det är nödvändigt för att säkerställa en rättssäker examination får universitetet spela in examinationen eller det obligatoriska momentet om syftet är att inspelningen ska utgöra grund för examinationen.
  • Det är dataskyddsombudets uppfattning att det är svårt att motivera att inspelning av examination eller obligatoriskt moment får ske i andra fall.

Viktigt att tänka på är att en handling är allmän om den förvaras hos universitetet och är att anse som inkommen hit eller upprättad här. Då studenter lämnar in handlingar till sin lärare för bedömning anses dessa i regel ha "anlänt till myndigheten eller kommit behörig befattningshavare tillhanda". Detsamma gäller om föreläsningar eller examinationer spelas in. Dessa inspelningar anses då också i regel som inkomna eller upprättade handlingar i tryckfrihetsförordningens mening och är alltså att se som en allmän handling som kan begäras ut.

Undervisning på distans

Som huvudregel gäller att samma förhållningssätt ska tillämpas för personuppgiftsbehandling vid undervisning på distans som vid sedvanlig undervisning. Personuppgiftsbehandlingen ska vara en förutsättning för att kunna bedriva undervisning eller utgöra underlag för själva undervisningen.

Behandling av lärares personuppgifter

Behandlingen av de anställdas personuppgifter i samband med undervisning på distans sker med stöd av den rättsliga grunden avtal, då detta är en del av den anställdes uppdrag enligt anställningsavtalet. Detta gäller såväl om undervisningen direktsänds (livestreamas) eller spelas in.

För studenter som vill filma en undervisningssituation gäller Regler för ljudupptagning, fotografering och filmning i samband med undervisningssituationer även för undervisning på distans. Du kan ta del av dessa genom att klicka på länken nedan.
Regler för ljudupptagning, fotografering och filmning i samband med undervisningssituationer (PDF, 112 kB, öppnas i nytt fönster)
I dessa situationer bör läraren se till att övriga deltagande studenter kan ställa frågor och interagera i undervisningen på ett sådant sätt att deras personuppgifter inte behandlas av den inspelande studenten. Detta då exempelvis genom att de kan ställa anonyma frågor. Kan detta inte ske ska inte inspelning tillåtas av undervisande lärare.

Behandling av studenters personuppgifter

Den rättsliga grunden för universitetets behandling av studenternas personuppgifter vid undervisning är allmänt intresse tillsammans med högskolelagens krav på att lärosätena ska bedriva undervisning. Om syftet med behandlingen är undervisning (oavsett om behandlingen sker genom livestreaming eller inspelning) och behandlingen utgör en förutsättning för att undervisningen ska kunna genomföras, är behandlingen alltså tillåten.

Att direktsända (livestreama) en föreläsning eller annat undervisningsmoment för dem som annars skulle ha deltagit i lokalen är tillåtet. Likaså är den personuppgiftsbehandling, som sker genom att studenterna deltar med ljud och bild i ett sådant direktsänt (livestreamat) undervisningsmoment, tillåten. Detta med den rättsliga grunden allmänt intresse tillsammans med högskolelagens krav på att lärosäten ska bedriva undervisning.

Överväg alltid vilka av funktionerna för webbkamera, ljud och chatt som är nödvändiga att aktivera för studenterna vid undervisningstillfället. Det kan ofta vara motiverat att använda en eller flera av funktionerna men gör det inte slentrianmässigt utan gör ett medvetet ställningstagande. Informera om studentens (eventuella) möjlighet att stänga av funktioner.

Finns det undervisningsmoment där inspelning även i normalfallet sker för att utgöra en del av undervisningen, är detta även möjligt att genomföra på distans. Det kan vara fråga om att  inspelningen utgör underlag för studentens egen reflektion och för diskussion med övriga studenter och lärare. Innehållet i inspelningen utgör alltså en del i undervisningsunderlaget. Det man bör tänka på i dessa fall är att uppmana studenterna att inför inspelningen placera sig i en så neutral miljö i hemmet som möjligt för att minska intrånget i privatlivet.

Inspelningar från undervisningstillfällen får gallras 2 år efter avslutat kurstillfälle. Filmerna ska under denna tid lagras på ett säkert lagringsställe, där åtkomsten är reglerad och där ingen okontrollerad gallring kan ske. 

För frågor om bevarande och gallring hänvisas till avdelningen Dokumenthantering inom sektionen Juridik och dokumenthantering. Kontaktuppgifter och mer information når du genom att klicka på länken nedan.
Avdelningen Dokumenthantering inom sektionen Juridik och Dokumenthantering (öppnas i samma fönster).

Det är viktigt att informera studenterna om att en personuppgiftsbehandling sker genom den digitala uppkopplingen samt att informera om något sparas. Det är även lämpligt att ge studenter möjlighet att kunna ställa frågor utanför föreläsningen. Det blir särskilt viktigt att frågorna ställs utanför föreläsningen om denna spelas in.

Det finns en checklista (A) på Medarbetarportalen där det framgår vilken information som ska lämnas till studenterna. 
Checklista (A) på Medarbetarportalen - klicka här för att komma till checklistan, (öppnas i samma fönster).

Känsliga personuppgifter eller sekretessbelagd information ska inte delas eller förekomma.

Examination på distans

Som huvudregel gäller att samma förhållningssätt ska tillämpas för personuppgiftsbehandling vid examination på distans som vid sedvanlig examination. Om syftet med en inspelning är att utgöra underlag för examination eller dokumentation av obligatoriskt moment, är inspelning tillåten. Om studenterna vid vanlig salstentamen ska identifiera sig och övervakas av tentamensvakter får detta även ske på distans.  

När studenter examineras behandlar universitetet studenternas personuppgifter med stöd av den rättsliga grunden allmänt intresse, där själva examinationen anses vara myndighetsutövning.

Det är dataskyddsombudets bedömning att universitetet har utrymme att behandla studenternas personuppgifter när det krävs att de identifierar sig genom att uppvisa legitimation. Krav på identifikation ska dock inte förekomma om det är en examinationsform som normalt inte kräver identifiering med legitimation (till exempel hemtentamen). Om identifiering vid en digital examination ska ske genom uppvisande av legitimation finns risk att bland annat personnumret kan ses av övriga examensdeltagare. Identifiering genom legitimation måste därför ske på ett sådant sätt att övriga deltagare inte har möjlighet att se personnumret eller andra unika uppgifter. Om identifiering kan ske med hjälp av till exempel fotolistor bör detta alternativ användas.

Det ska understrykas att identifiering genom tekniska hjälpmedel som möjliggör ansiktsigenkänning inte får användas. Sådan behandling utgör behandling av känsliga personuppgifter. Detta kräver särskilt lagstöd och vilket dataskyddsombudet bedömer inte föreligger.

Direktsändning (livestreaming) av examinationer och obligatoriska moment

Att identifiera och övervaka studenter via webbkamera kan i vissa fall vara tillåtet om det är nödvändigt. Men det ska inte ske om det är en examinationsform som normalt inte kräver identifiering med legitimation (till exempel hemtentamen). Beslut om detta bör fattas inför varje examinationstillfälle, skälen för beslutet bör dokumenteras.

I samband med digitala tentamensformer kan det finnas ett behov av att såväl identifiera studenten som att övervaka studenten under pågående skrivning. Det är viktigt att informera studenterna om att en personuppgiftsbehandling sker genom den digitala uppkopplingen samt informera om att inget sparas.   

Det finns en checklista (A) på Medarbetarportalen där det framgår vilken information som ska ges till studenterna.

Checklista (A) på Medarbetarportalen - klicka här för att komma till checklistan, (öppnas i samma fönster)

En realtidsövervakning av examinationen kan anordnas på motsvarande sätt som vid en salstentamen utan att en inspelning av studenterna sker. Detta skulle då innebära att läraren eller annan i realtid övervakar studenternas tentamensskrivning via den digitala uppkopplingen. Det antal personer som övervakar examinationen kan behöva anpassas i den enskilda situationen. Denna typ av övervakning får universitetet anses ha rättslig grund för i högskolelagen och dataskyddsförordningen med hänvisning till allmänt intresse.

Inspelning av examinationer och obligatoriska moment

Inspelning av studenter i deras hemmiljö får anses utgöra ett allvarligt intrång i den personliga integriteten och det bör ställas höga krav för att detta ska kunna motiveras.  Beslut om detta bör fattas inför varje examinationstillfälle, skälen för beslutet bör dokumenteras.

Muntliga examinationer och obligatoriska moment förutsätter att de är av individuellt prövande karaktär. Detta förhållande kan kräva att de dokumenteras på lämpligt vis. Sker en inspelning i dessa fall för att erhålla nödvändig dokumentation av underlaget inför examination eller bedömning av det obligatoriska momentet, är inspelningen tillåten. Det kan också handla om att inspelningen utgör underlag för studentens egen reflektion eller för diskussion. Detta är också tillåtet. 

I motsvarande fall är inspelning av studenter vid muntlig examination eller vid annat obligatoriskt moment på distans tillåtet. Det man bör tänka på i dessa fall är att uppmana studenterna att inför inspelningen placera sig i en så neutral miljö i hemmet som möjligt för att minska intrånget i privatlivet.

Det är dataskyddsombudets uppfattning att det är svårt att motivera att inspelning av examination eller obligatoriskt moment får ske i andra fall, till exempel i syfte att ha som bevismedel i ett disciplinärende. 

Inspelningar från muntliga examinationer får gallras 2 år efter examinationen. Om en examination leder till ett ärende om ändring av betygsbeslut kan filmen komma att ingå i detta och ska i sådana fall diarieföras och bevaras i det ärendet. Inspelningar som skett i syfte att övervaka examinationen, vilket endast får ske i undantagsfall, ska gallras omedelbart efter att betyget registrerats i studieregistret. Om filmen kommer ingå som bevis i ett disciplinärende, ska den i sådana fall diarieföras och bevaras i det ärendet. Säkerställ att filmerna lagras på ett säkert lagringsutrymme, där åtkomsten är reglerad och ingen okontrollerad gallring kan ske. 

För frågor om diarieföring, bevarande och gallring hänvisas till avdelningen Dokumenthantering inom sektionen Juridik och dokumenthantering. Kontaktuppgifter och mer information når du genom att klicka på länken nedan.
Dokumenthantering inom sektionen Juridik och Dokumenthantering (öppnas i samma fönster)