Når du har laget oversikt over personopplysninger du og skolen behandler, må du sjekke om du som skoleeier og skolen har rett til å behandle personopplysningene. Det kaller vi for behandlingsgrunnlag.

Behandlingsgrunnlag

Dersom skolen behandler personopplysninger den ikke har behandlingsgrunnlag for, må du som eier sørge for at skolen stopper behandlingen eller skaffer seg et behandlingsgrunnlag. Et eksempel kan være å sørge for at skolen ber om et gyldig samtykke fra foreldre før den deler bilder av elever.

Du må sjekke om det finnes grunnlag for behandlingen i opplæringsloven eller privatskoleloven med forskrifter, eventuelt andre lover og forskrifter. Hvis du tar for deg en behandling av personopplysninger du eller skolen gjør, kan du stille deg spørsmålet: Behandles disse personopplysningene for å oppfylle rettigheter eller plikter i opplæringsloven eller privatskoleloven? Hvis svaret er ja, har du mest sannsynlig lov til å behandle disse personopplysningene.

[udir-tip]

For skoleeier er de vanligste behandlingsgrunnlagene ved behandling av alminnelige personopplysninger følgende:

Behandlingen er nødvendig for å oppfylle en rettslig forpliktelse. Den rettslige forpliktelsen er typisk en lov- eller forskriftsbestemmelse. Husk å dokumentere hvilken bestemmelse det gjelder.
Behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som skoleeier er pålagt. Husk å dokumentere at oppgaven er nødvendig eller at du er pålagt den offentlige myndigheten.
Eleven/foreldrene har samtykket til den spesifikke behandlingen og formålet.
Behandlingen er nødvendig for formål knyttet til berettigede interesser. Dere må veie de berettigede interessene mot elevene/foreldrene sine grunnleggende personverninteresser.

[uob-info]

Elever som ikke har, eller som ikke kan få, tilfredsstillende utbytte av det ordinære opplæringstilbudet, har rett på individuelt tilrettelagt opplæring. I denne sammenhengen skal det blant annet gjøres en vurdering av eventuelle lærevansker hos eleven og av andre særlige forhold som er viktige for opplæringen. Skolen har dermed rett til å behandle en del opplysninger om blant annet elevens helse i forbindelse med individuelt tilrettelagt opplæring. Disse opplysningene kan ikke uten videre brukes til andre formål.

Du må imidlertid sjekke hvem som har fått en rettighet eller plikt i loven og forskriften. Rektor eller skoleeier har ansvaret for mange av pliktene i opplæringsloven og privatskoleloven. I de tilfellene du som eier har fått ansvaret, betyr det at rektor, lærere eller andre ansatte på skolen ikke kan behandle personopplysninger om elevene for å oppfylle de pliktene eier er pålagt. Da må du i så fall delegere oppgaven til rektor, som kan delegere videre til lærere eller andre ansatte. Dette kaller vi delegert myndighet. Selv om du delegerer en oppgave, er det likevel du som er ansvarlig for at oppgaven utføres riktig, og det er du som er ansvarlig etter personvernregelverket. Du må derfor se til at de som får delegert myndighet, har god nok kunnskap om behandling av personopplysninger.

[udir-task]

Oppgave til skoleeier:

Ta utgangspunkt i oversikten du laget til forrige side. Har du eller skolen lov til å behandle alle disse personopplysningene til det formålet du har oppgitt?

Hvis det er noen behandlinger du er usikker på om dere har lov til, anbefaler vi at du tar kontakt med personvernombudet deres eller Datatilsynet, som er veilednings- og tilsynsmyndighet på personvernfeltet.

Når du har laga oversikt over personopplysningar du og skulen behandlar, må du sjekke om du som skuleeigar og skulen har rett til å behandle personopplysningane. Det kallar vi for behandlingsgrunnlag.

Behandlingsgrunnlag

Dersom skulen behandlar personopplysningar han ikkje har behandlingsgrunnlag for, må du som eigar sørge for at skulen stoppar behandlinga eller skaffar seg eit behandlingsgrunnlag. Eit døme kan vere å sørge for at skulen ber om eit gyldig samtykke frå foreldre før han deler bilete av elevar.

Du må sjekke om det finst grunnlag for behandlinga i opplæringslova eller privatskolelova med forskrifter, eventuelt andre lover og forskrifter. Viss du tek for deg ei behandling av personopplysningar du eller skulen gjer, kan du stille deg spørsmålet: Blir desse personopplysningane behandla for å oppfylle rettar eller pliktar i opplæringslova eller privatskolelova? Viss svaret er ja, har du mest sannsynleg lov til å behandle desse personopplysningane.

[udir-tip]

For skoleeigar er dei vanlegaste behandlingsgrunnlaga ved behandling av alminnelege personopplysningar dei følgande:

Behandlinga er nødvendig for å oppfylle ei rettsleg plikt. Den rettslege plikta er typisk bestemt i lov eller forskrift. Hugs å dokumentere kva for ei føresegn det gjeld.
Behandlinga er nødvendig for å utføre ei oppgåve i allmennheita si interesse eller utøve offentleg mynde som skuleeigar er pålagt. Hugs å dokumentere at oppgåva er nødvendig eller at du er pålagt den offentlege mynda.
Eleven/foreldra har samtykka til den spesifikke behandlinga og føremålet.
Behandlinga er nødvendig for føremål knytt til rettkomne interesser. De må vege dei rettkomne interessene mot elevane/foreldra sine grunnleggande personverninteresser.

[uob-info]

Elevar som ikkje har, eller som ikkje kan få, tilfredsstillande utbytte av det ordinære opplæringstilbodet, har rett på individuelt tilrettelagd opplæring. I denne samanhengen skal det mellom anna gjerast ei vurdering av eventuelle lærevanskar hos eleven og av andre særlege forhold som er viktige for opplæringa. Skulen har dermed rett til å behandle ein del opplysningar om mellom anna helsa til eleven i samband med individuelt tilrettelagd opplæring. Desse opplysningane kan ikkje utan vidare brukast til andre formål.

Du må likevel sjekke kven som har fått ein rett eller ei plikt i lova og forskrifta. Rektor eller skuleeigar har ansvaret for mange av pliktene i opplæringslova og privatskolelova. I dei tilfella du som eigar har fått ansvaret, betyr det at rektor, lærarar eller andre tilsette på skulen ikkje kan behandle personopplysningar om elevane for å oppfylle dei pliktene eigar er pålagd. Då må du i så fall delegere oppgåva til rektor, som kan delegere vidare til lærarar eller andre tilsette. Dette kallar vi delegert mynde. Sjølv om du delegerer ei oppgåve, er det likevel du som er ansvarleg for at oppgåva blir rett utført, og det er du som er ansvarleg etter personvernregelverket. Du må derfor sjå til at dei som får delegert mynde, har god nok kunnskap om behandling av personopplysningar.

[udir-task]

Oppgåve til skuleeigar:

Ta utgangspunkt i oversikta du laga til førre side. Har du eller skulen lov til å behandle alle desse personopplysningane til det formålet du har oppgitt?

Viss det er nokre behandlingar du er usikker på om de har lov til, tilrår vi at du tek kontakt med personvernombodet dykkar eller Datatilsynet, som er rettleiings- og tilsynsmynde på personvernfeltet.