Barn- och ungdomsnämndens arbetsutskott

VALLENTUNA KOMMUN Sammanträdesprotokoll Barn- och ungdomsnämndens arbetsutskott 2018-05-08 41 Riktlinjer för personuppgiftsbehandling (BUN 2018.333) Beslut Arbetsutskottet föreslår att: Barn- och ungdomsnämnden noterar informationen och antar föreslagna riktlinjer för personuppgiftsbehandling. Ärendebeskrivning Med anledning av att en ny EU-förordning, Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG, börjar att gälla i alla medlemsländer den 25 maj 2018 har förvaltningen haft som uppdrag att bl.a. kartlägga förvaltningens personuppgiftsbehandlings överensstämmelse med den samt implementera de nya bestämmelserna. Förvaltningen har även tagit fram ett förslag till riktlinjer för barn- och ungdomsnämndens personuppgiftsbehandling. Yrkanden Johan Skog (M) yrkar att arbetsutskottet föreslår att: Barn- och ungdomsnämnden beslutar att revidera nämndens delegationsordning i enlighet med bifogat förslag. Beslutsgång Ordförande, Johan Skog (M), ställer proposition på sitt eget yrkande och finner att arbetsutskottet beslutar i enlighet därmed. Beslutsunderlag 1. Tjänsteskrivelse, 2018-04-17, Implementering av dataskyddsförordningen 2. Information om implementering av dataskyddsförordningen 3. Riktlinjer för behandling av personuppgifter Justerandes sign Justerandes sign Utdragsbestyrkande 16

VALLENTUNA KOMMUN TJÄNSTESKRIVELSE BARN- OCH UNGDOMSFÖRVALTNING 2018-04-174-17 DNR BUN 2018.3338.333 SARA SMEDS SID 1/1 FÖRVALTNINGSJURIST 08-587 856 83 SARA.SMEDS@VALLENTUNA.SE BARN- OCH UNGDOMSNÄMNDEN Tjänsteskrivelse Implementering av dataskyddsförordningen Förslag till beslut Barn- och ungdomsnämnden noterar informationen och antar föreslagna riktlinjer för personuppgiftsbehandling. Ärendet i korthet Med anledning av att en ny EU-förordning, Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG, börjar att gälla i alla medlemsländer den 25 maj 2018 har förvaltningen haft som uppdrag att bl.a. kartlägga förvaltningens personuppgiftsbehandlings överensstämmelse med den samt implementera de nya bestämmelserna. Förvaltningen har även tagit fram ett förslag till riktlinjer för barn- och ungdomsnämndens personuppgiftsbehandling. Handlingar 1. Information om implementering av dataskyddsförordningen 2. Riktlinjer för personuppgiftsbehandling 3. Tjänsteskrivelse, implementering av dataskyddsförordningen Henrik Lennermark Utbildningschef Margareta Håkansson Dahlin VC Resurscentrum Ska expedieras till: Författningssamling Akten BARN- OCH UNGDOMSFÖRVALTNINGEN TUNA TORG 1, 186 21 VALLENTUNA 186 86 VALLENTUNA TFN 08-587 850 00 FAX 08-587 850 88 BUF@VALLENTUNA.SE WWW.VALLENTUNA.SE 17

Dataskyddsförordningen Uppdrag BUF Information om implementeringen av dataskyddsförordningen 18

GDPR-projektet i kommunen Mallar och rutiner Samtycke Personuppgiftsbiträdesavtal Rutin för registerutdrag Digital sekretessförbindelse vid nyanställningar Uppdatering av sidfotsinformation blanketter Gallringsrutin Rutin för rapportering av personuppgiftsincidenter 19

Forts. Information på webben Information på intranätet Implementering förvaltningarna Övergripande kommunikationsplan (samtliga anställda i kommunen, GDPR-körkort etc., förslag på externa kurser) Utseende av ett kommungemensamt dataskyddsombud 20

Forts. Fortsatt arbete/rekommendationer: systemförvaltarnätverket Styrdokument, t.ex. gallringsbeslut och GDPR-policy Påminnelse om regelbunden gallring av e-post Rutin för inköp av nya system (risk- och konsekvensanalys, personuppgiftsbiträdesavtal och dokumentering) Respektive förvaltning ska rensa och inventera system och gemensamma mappar, begränsa åtkomst mappar 21

BUF-uppdraget - slut 21 maj 2018 Kartläggning och bedömning Resultat och dokumentering Systemförvaltararbetet (dokumentering, säkerhet och rutiner för hantering) Rättslig grund finns enl. prop. 2017/18:218 ( Behandling av personuppgifter på utbildningsområdet ) behandlingen är nödvändig för att utföra en uppgift av allmänt intresse och samtycke Fristående huvudmän: nya bestämmelser införs i skollagen som innebär att samma rättsliga grund som för allmänna huvudmän gäller för fristående huvudmän OM de kommer att omfattas av offentlighetsprincipen (lagrådsremiss U2018/00617/GV) 22

Forts. Information på webben och intranätet på blanketter Utbildning utbildningspaket till verksamheterna med återrapportering till förvaltning 23

Forts. Styrdokument och rutiner Rutin för hantering av skyddade personuppgifter Samtyckesblanketter Riktlinjer för nämnderna 24

Forts. Fortsatt arbete efter uppdragets slut Uppföljning/fortsättning utbildningspaket Satsa på nyckelpersoner på förvaltningen och i verksamheterna Ta fram förvaltningsspecifika rutiner, bl.a. för lärares användning och införskaffande av appar, molntjänster etc. Ev. komplettera med behörighetsrutiner/säkerhetsåtgärder (beroende på systemförvaltararbetet) M.m. 25

VERSION 1.1 2018-04-12 BARN- OCH UNGDOMSNÄMNDENS Riktlinjer för behandling av personuppgifter Antagna av barn- och ungdomsnämnden den 22 maj 2018 26

Innehåll 1. Personuppgiftslagen och dataskyddsförordningen...3 2. Personuppgiftsansvar...3 2.1 Dataskyddsombud...4 2.2 Rollfördelning...4 2.2.1 Rektorer och chefer...4 2.2.2 Inköpsansvariga...4 2.2.3 Medarbetare...5 3. Behandling av personuppgifter...5 3.1 Ändamål och typ av uppgifter...5 3.2 Automatiserad och manuell behandling...5 3.3 Inhämtande av uppgifter...6 3.4 Tillåten behandling...6 3.5 Aktualitet, gallring och arkivering...6 3.6 E-post...7 3.7 Internet...7 3.8 Kameraövervakning...7 3.9 Information till registrerade...7 3.10 Säkerhet vid behandling av personuppgifter...7 3.10.1 Personalens behörighet...8 3.10.2 Fritextfält...8 3.11 Personer med skyddade personuppgifter...9 BARN- OCH UNGDOMSFÖRVALTNINGEN BOX 29 186 21 VALLENTUNA BESÖK: TUNA TORG 1 TFN: 08-587 850 00 FAX: 08-587 849 10 BUF@VALLENTUNA.SE WWW.VALLENTUNA.SE 27

KAPITEL 2 1. Personuppgiftslagen och dataskyddsförordningen Personuppgiftslagen (1998:204) har till syfte att skydda människor mot att deras personliga integritet kränks när personuppgifter behandlas. Personuppgiftslagen innehåller bestämmelser om när personuppgifter får samlas in, hur de insamlade personuppgifterna får behandlas, hur de registrerade ska informeras, när uppgifter ska raderas m.m. Den 25 maj 2018 ersattes personuppgiftslagen med EU:s nya dataskyddsförordning 1, med regler om hur man får behandla personuppgifter. Till personuppgifter räknas exempelvis namn, personnummer, adress, fotografier och användar-id. Till känsliga personuppgifter räknas uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i en fackförening, hälsa, en persons sexualliv eller sexuella läggning, genetiska uppgifter och biometriska uppgifter som entydigt identifierar en person. Vallentunas barn- och ungdomsnämnds (nedan nämnden ) behandling av personuppgifter får endast ske i enlighet med dataskyddsförordningen, skolförfattningar och hälso- och sjukvårdsförfattningar, samt andra tillämpliga författningar. Syftet med riktlinjerna är att beskriva hur personuppgifter får behandlas inom nämndens verksamhet så att det sker i enlighet med gällande rätt. 2. Personuppgiftsansvar I förskolans och skolans verksamhet är det som regel skolans huvudman som är personuppgiftsansvarig för all behandling av personuppgifter som utförs, såväl på förvaltningen som i verksamheterna. Det innebär att det är nämnden som är personuppgiftsansvarig för den behandling av personuppgifter som görs. Nämnden ska fastställa ändamål och syfte med varje behandling av personuppgifter och se till att det finns administrativa, tekniska och organisatoriska rutiner för behandling av personuppgifter inom sitt verksamhetsområde. Nämnden kan överlåta hanteringen av den faktiska administrationen av behandlingen av personuppgifter till anställd men personuppgiftsansvaret kan aldrig överlåtas. Nämnden fastställer 1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning). BARN- OCH UNGDOMSFÖRVALTNINGEN BOX 29 186 21 VALLENTUNA BESÖK: TUNA TORG 1 TFN: 08-587 850 00 FAX: 08-587 849 10 BUF@VALLENTUNA.SE WWW.VALLENTUNA.SE 28

KAPITEL härigenom riktlinjer för personuppgiftsbehandling, vilka samtliga anställda är skyldiga att följa. 2 Nämnden ska se till att det finns ett dataskyddsombud samt att det förs en förteckning över vilka behandlingar av personuppgifter som sker inom verksamhetsområdet. Den praktiska hanteringen av förteckningen görs av dataskyddsombudet. 2.1 Dataskyddsombud Ett dataskyddsombud (tidigare benämnt personuppgiftsombud) ska utses av den personuppgiftsansvarige och anmälas till Datainspektionen. Dataskyddsombudets uppgift är att övervaka att nämnden följer dataskyddsförordningen. Det innebär bland annat att samla in information om hur personuppgifter behandlas, kontrollera att regler och styrdokument följs, informera och ge råd inom nämndens verksamheter, ge råd om konsekvensbedömningar, vara kontaktperson gentemot tillsynsmyndighet, registrerade och personal inom verksamheterna samt att samarbeta med tillsynsmyndigheten exempelvis vid inspektioner. Ombudets ska även hantera registrerades begäran om registerutdrag och begäran etc. 2.2 Rollfördelning 2.2.1 Rektorer och chefer Varje verksamhet eller enhet som använder system, molntjänster, applikationer ( appar ) eller utför andra automatiska personuppgiftsbehandlingar eller som utför personuppgiftsbehandlingar genom manuella register ska se till att sådana system etc. anmäls till kommunens personuppgiftsförteckning. Rektor eller chef har ansvaret för detta men kan också utse en anställd eller funktion som gör det. Rektor och chef har även ansvar för att se till att samtlig personal som hanterar personuppgifter har kännedom om reglerna i dataskyddsförordningen och om dessa riktlinjer. 2.2.2 Inköpsansvariga De som är ansvariga för inköp eller tecknande av avtal om nya system, molntjänster etc. ska alltid göra en risk- och sårbarhetsbedömning innan inköp görs eller avtal ingås. Personuppgiftsbiträdesavtal ska alltid tecknas med biträdet, dvs. den som tillhandahåller systemet, molntjänsten etc. Mall på personuppgiftsbiträdesavtal finns på kommunens intranät. BARN- OCH UNGDOMSFÖRVALTNINGEN BOX 29 186 21 VALLENTUNA BESÖK: TUNA TORG 1 TFN: 08-587 850 00 FAX: 08-587 849 10 BUF@VALLENTUNA.SE WWW.VALLENTUNA.SE 29

KAPITEL 2.2.3 Medarbetare 2 Varje medarbetare ansvarar för att ta till sig information om reglerna kring personuppgiftsbehandling och om dessa riktlinjer. Varje medarbetare ansvarar även för att kontakta dataskyddsombudet omgående vid upptäckt eller misstanke om att obehörig har fått tillgång till personuppgifter ( personuppgiftsincident ), exempelvis genom hackning, IT-incident eller förlust av portabel enhet såsom dator eller mobiltelefon. Rutin för rapportering av sådana personuppgiftsincidenter finns på kommunens intranät. 3. Behandling av personuppgifter 3.1 Ändamål och typ av uppgifter Inom nämndens verksamhet behandlas bland annat vårdnadshavares samt barns och elevers personuppgifter för administration inom nämndens verksamhetsområden. De personuppgifter som behandlas och i vissa fall registreras är namn, personnummer, adressuppgifter, telefonnummer, klass- och skoltillhörighet samt uppgifter som rör utbildning och pedagogisk verksamhet såsom omdömen, resultat och betyg. Även känsliga uppgifter såsom exempelvis uppgifter om hälsa inom elevhälsans arbete eller uppgifter om allergier inom kostenheten, uppgift om modersmålsundervisning eller behov av särskilt stöd behandlas. Vidare behandlas personuppgifter såsom fotografier och inspelningar i verksamheterna. Om stöd i lag eller författning finns kan nämndens personuppgifter kan i förekommande fall även behandlas av andra kommuner eller myndigheter samt de personuppgiftsbiträden som används för att kunna utföra nämndens tjänster och fullgöra nämndens skyldigheter gentemot de registrerade. 3.2 Automatiserad och manuell behandling Behandling och registrering av personuppgifter görs i olika IT-system och molntjänster. Informationsklassning av dessa ska göras genom Sveriges kommuners och landstings verktyg KLASSA och dokumenteras i kommunens personuppgiftsförteckning. Systemen har servrar i Sverige eller inom EU/ESS. I de fall personuppgifter behandlas av personuppgiftsbiträden utanför EU/ESS får det endast ske om lämpliga skyddsåtgärder har vidtagits, såsom exempelvis bindande företagsregler eller standardiserade dataskyddsbestämmelser. Utbildningsrelaterade register förs även manuellt inom verksamheterna i pärmar, listor i dator samt elev- och personalakter, exempelvis elevregister i syfte att hantera basuppgifter, kurser, bedömning stödåtgärder, frånvaro och disciplinära åtgärder. BARN- OCH UNGDOMSFÖRVALTNINGEN BOX 29 186 21 VALLENTUNA BESÖK: TUNA TORG 1 TFN: 08-587 850 00 FAX: 08-587 849 10 BUF@VALLENTUNA.SE WWW.VALLENTUNA.SE 30

KAPITEL 3.3 Inhämtande av uppgifter 2 Uppgifterna hämtas främst in från Skatteverket och därutöver från elever, vårdnadshavare och personal. För behandling av fotografier och inspelningar samt känsliga personuppgifter inhämtas skriftligt samtycke från de personer vars uppgifter behandlas. 3.4 Tillåten behandling Personuppgifter behandlas för fullgörande av nämndens arbetsuppgifter, bland annat för genomförande av pedagogiskt arbete, administration av skolval, kommunikation och lagring av pedagogiskt arbete. För de uppgifter som hämtas in av nämndens verksamheter inom utbildningsområdet är samtycke i de flesta fall inte nödvändig. Det beror på att uppgifterna används för att utföra en uppgift av allmänt intresse eller i samband med myndighetsutövning (artikel 6.1 e i dataskyddsförordningen) eller för att kunna fullgöra en rättslig förpliktelse som åligger nämnden (artikel 6.1 c i dataskyddsförordningen). Samtycke kan dock behövas i vissa fall, främst för fotografering och inspelning. I dessa fall inhämtas skriftligt samtycke läsårsvis på en framtagen blankett från vårdnadshavaren. Blanketten finns på kommunens intranät. Samtycket kan när som helst återkallas skriftligt. 3.5 Aktualitet, gallring och arkivering De personuppgifter som behandlas ska vara sakliga, riktiga och aktuella i förhållande till ändamålet med behandlingen. Felaktiga personuppgifter ska rättas, utplånas eller blockeras. När ändamålet med behandlingen av personuppgifter är uppnått ska alla personuppgifter gallras. Undantag finns, bland annat i särskilda arkivbestämmelser eller bokföringsregler. Huvudsystemet, vilket för över personuppgifter till andra system, ska gallras manuellt en gång per år. Övriga system och molntjänster gallras regelbundet per automatik. 3.6 E-post E-post som kommer in till en myndighet blir normalt en allmän handling som ska registreras eller hållas ordnad. Det är tillåtet att behandla personuppgifter för att uppfylla kraven i arkivlagen om bevarande av allmänna handlingar. En stor del av den personuppgiftsbehandling som förekommer i en kommunal myndighets e-post kan också hänföras till de lagliga grunderna som beskrivs ovan såvida innehållet eller BARN- OCH UNGDOMSFÖRVALTNINGEN BOX 29 186 21 VALLENTUNA BESÖK: TUNA TORG 1 TFN: 08-587 850 00 FAX: 08-587 849 10 BUF@VALLENTUNA.SE WWW.VALLENTUNA.SE 31

KAPITEL ämnet berör de arbetsuppgifter myndigheten har att fullgöra inom ramen för den kommunala kompetensen, t.ex. för handläggning av barnomsorg. 2 Känsliga personuppgifter ska inte skickas med oskyddad e-post. Övriga personuppgifter ska behandlas med varsamhet vad gäller e-post. Varje medarbetare ska minst en gång per år gallra sina e-postmeddelanden. Meddelanden som hör till ärenden diarieförs i respektive ärende och raderas, övriga meddelanden raderas eller avidentifieras när de inte längre behövs. 3.7 Internet För publicering av personuppgifter på Internet finns kommungemensamma riktlinjer, Riktlinjer för hantering av personuppgifter vid webbpublicering. 3.8 Kameraövervakning För kameraövervakning utomhus, exempelvis på skolgårdar, krävs tillstånd från tillsynsmyndigheten. För kameraövervakning inomhus, exempelvis inne i skolbyggnader i syfte att övervaka inlåst särskilt värdefull utrustning, ska en bedömning enligt den så kallade överviktsprincipen göras. Information och checklistor för hur en sådan görs finns på tillsynsmyndighetens hemsida. Rådgivning kan även ges av dataskyddsombudet. 3.9 Information till registrerade Information om nämndens personuppgiftsbehandling lämnas skriftligen på kommunens hemsida och intranätet. 3.10 Säkerhet vid behandling av personuppgifter Nämnden ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, såsom t.ex. brandväggar, kryptering, anti-virus och behörighetsbegränsningar. Känsliga personuppgifter ställer högre krav på säkerhetsåtgärder. För system eller register där känsliga uppgifter, t.ex. till elevhälsosystem eller system med skriftliga omdömen och utvecklingsplaner, behandlas bör säker inloggning, t.ex. e-legitimation, engångslösenord via mobil eller skraplott eller säkerhetsdosa, i möjligaste mån användas. BARN- OCH UNGDOMSFÖRVALTNINGEN BOX 29 186 21 VALLENTUNA BESÖK: TUNA TORG 1 TFN: 08-587 850 00 FAX: 08-587 849 10 BUF@VALLENTUNA.SE WWW.VALLENTUNA.SE 32

KAPITEL Inför varje ny behandling, t.ex. vid inköp av ett nytt system, ska en risk- och sårbarhetsbedömning göras och dokumenteras i personuppgiftsförteckningen samt i Platina. Personuppgiftsbiträdesavtal ska tecknas med den som tillhandahåller ett system, molntjänst eller liknande om personuppgifter ska behandlas där. Avtalet ska dokumenteras i personuppgiftsförteckningen och i Platina tillsammans med huvudavtalet. 2 Vidare bör tillses att endast de personuppgifter som behövs behandlas och att dessa gallras regelbundet samt att uppgifterna inte används på sätt som är oförenligt med de ändamål för vilka de samlades in. 3.10.1 Personalens behörighet Det är viktigt att informationen i systemet skyddas mot obehörig åtkomst och att användare inte ges tillgång till mer information än vad som är nödvändigt. Tekniska behörigheter i systemet ska alltid stämma överens med den funktion eller roll som den anställda personen har. Behörigheterna för en individ ska beslutas av ledningsgruppen för verksamheten som bär ansvaret för medarbetarnas behörigheter. Beslut om behörighet ska dokumenteras så att det är tillgängligt för alla medarbetare. Medarbetare bör hantera sina inloggningsuppgifter med varsamhet och se till att enheter såsom datorer och mobiltelefoner låses när de förvaras utom uppsikt. 3.10.2 Fritextfält Vid inköp av nya system bör tillses att dessa inte har tillgång till fritextfält, annat än i undantagsfall om det finns ett specifikt behov. Medarbetare bör vara medvetna om när fritextfält finns och vilken målgrupp som har tillgång till detta. Verksamheten måste tydliggöra att vid användande av fritextfunktioner ska personal utrycka sig professionellt, sakligt, i relation till den specifika frågan, och i övrigt överensstämmande med likabehandlingsplanen, god etik, samt gällande lagar och förordningar. Integritetskänsliga uppgifter eller kränkande uttalanden får inte förekomma. Om andra än personalen har tillgång till fritextfält, såsom vårdnadshavare eller elever, ska de informeras vilka som har tillgång till fälten och vad som får skrivas där. 3.11 Personer med skyddade personuppgifter För hantering av personuppgifter avseende personer med skyddade personuppgifter finns en separat rutin på kommunens intranät. BARN- OCH UNGDOMSFÖRVALTNINGEN BOX 29 186 21 VALLENTUNA BESÖK: TUNA TORG 1 TFN: 08-587 850 00 FAX: 08-587 849 10 BUF@VALLENTUNA.SE WWW.VALLENTUNA.SE 33