Dataskyddsförordningen är den lag som gäller för personuppgiftsbehandling och som infördes av samtliga medlemsländer i EU den 25 maj 2018. GDPR (General Data Protection Regulation) är den engelska förkortningen av lagen. Lagstiftningen innebär att all behandling av personuppgifter som genomförs måste uppfylla de grundläggande principer som dataskyddsförordningen anger.
Högskolans ansvar och studentens ansvar
Högskolan ansvarar för studenters behandling av personuppgifter inom ramen för sina studier, s.k. personuppgiftsansvarig. Detta innebär att du som student har en skyldighet att se till att den egna personuppgiftsbehandlingen sker enligt högskolans beslutade regler vid exempelvis arbete med uppsatser, inlämningsuppgifter och examensarbeten.
Studenters behandling av personuppgifter
Behandling av personuppgifter inom ramen för utbildningen får bara ske i enlighet med högskolans regler och riktlinjer och på lärares instruktion eller efter lärares/handledares godkännande. Behandling av personuppgifter är ett vitt begrepp och omfattar alla åtgärder som görs med personuppgifterna elektroniskt. Exempel på behandlingar är insamling, registrering, organisering, strukturering, lagring, bearbetning, ändring, framtagning, läsning, användning, utlämning, spridning eller att de tillhandahålls på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring av personuppgifter.
Integritetskänsliga personuppgifter (d.v.s såväl känsliga som extra skyddsvärda personuppgifter) får aldrig behandlas inom utbildning på grundnivå och avancerad nivå.
Personuppgifter
Med personuppgifter avses varje upplysning som avser en identifierad eller identifierbar fysisk person. Avgörande är att uppgiften, enskilt eller i kombination med andra uppgifter, kan identifiera en levande person. Exempel på personuppgifter är personnummer, namn, kontaktuppgifter som mejladress, elektroniska identiteter av olika slag som användarnamn på sociala medier, samt bild- och/eller ljudupptagningar. Dessa och andra personuppgifter som förekommer i intervjusvar, enkätsvar, bilder och annan inhämtad empiri omfattas av dessa regler.
Beakta att även om du som behandlar uppgifterna inte vet eller ens har möjlighet att ta reda på vilken person det gäller, så kan det vara behandling av personuppgifter. Det är tillräckligt att någon kan koppla uppgifterna till en fysisk person för att det ska räknas som personuppgifter. För att avgöra om en fysisk person är identifierbar måste du beakta möjligheten till kompletterande uppgifter, samt alla hjälpmedel som rimligen kan komma att användas för att direkt eller indirekt identifiera den fysiska personen.
Känsliga personuppgifter
Dataskyddsförordningen listar särskilda kategorier av personuppgifter som anses särskilt känsliga och därför har ett starkare skydd, s.k. känsliga personuppgifter. Känsliga personuppgifter får som huvudregel inte behandlas av studenter under utbildningen.
Undantag från detta är om ditt examensarbete är en del av ett större forskningsprojekt, vilket har ett etiskt godkännande från Etikprövningsmyndigheten. Du får även behandla känsliga och integritetskänsliga personuppgifter under verksamhetsförlagd utbildning, VFU, under förutsättning att VFU-placeringen tillåter det och att behandlingen inte ingår i en uppsats, redovisning eller dylikt.
Känsliga personuppgifter är personuppgifter som avslöjar:
- Etniskt ursprung
- Politiska åsikter
- Religiös eller filosofisk övertygelse
- Medlemskap i fackförening
- Hälsa
- Sexualliv eller sexuell läggning
- Genetiska uppgifter
- Biometriska uppgifter för att entydigt identifiera en fysisk person
Utöver de uppgifter som listas ovan finns ytterligare typer av personuppgifter som är särskilt skyddsvärda enligt IMY. Dessa kan till exempel vara:
- Löneuppgifter
- Uppgifter om lagöverträdelser
- Värderande uppgifter, till exempel uppgifter från utvecklingssamtal, uppgifter om resultat från personlighetstester eller personlighetsprofiler
- Information som rör någons privata sfär
- Uppgifter om sociala förhållanden.
