Skal skoleleder/rektor ha innsyn i meldinger sendt mellom lærer/elev?

Datatilsynet har tidligere beskrevet hvordan forskrift om arbeidsgivers innsyn i e-postkasser og annet elektronisk lagret materiale og GDPR henger sammen. Forskriften det siktes til gjelder når arbeidsgiver  skaffer seg innsyn i e-post eller filområder som kun arbeidstaker har tilgang til, og omfatter ikke arbeid i en delt mappe eller på et delt filområde. 

Elevmappen i Flyt Skole følger eleven, ikke læreren, og er tilgjengelig for både kontaktlærer og administrasjon/rektor, som har tjenstlig behov for tilgang til informasjonen for å følge opp eleven. I tillegg er informasjonen som er lagret der underlagt dokumentasjonsplikt. Objektivt sett er ikke denne mappen et 'personlig' område for læreren, da den i praksis erstatter en meldingsbok, og vår forståelse er derfor at dette tilfellet ikke er regulert av forskriften.

Det er likevel verdt å merke seg at GDPR kan sette noen begrensninger for bruken av tilgang til elevmappen: Dersom rektor benytter tilgangen til mappen til noe annet enn å følge opp eleven, kan dette være en behandling av dataene som er utenfor det originale formålet med behandlingen av personopplysningene. I slike tilfeller må skolen må ha et annet behandlingsgrunnlag for å gjennomføre det nye formålet med innsynet i mappen. GDPRs krav til åpenhet tilsier videre at skolen bør sørge for at lærerne og foreldrene er informert om hvem som har tilgang til elevmappene, i hvilke tilfeller det er aktuelt at informasjon hentes ut, og til hvilke formål. GDPR legger opp til at disse vurderingene gjøres av den behandlingsansvarlige (her skolen), ettersom det er den behandlingsansvarlige som bestemmer formålet med behandlingen av personopplysningene og har mer oversikt over hvilke opplysninger som lagres i systemet.  

Hvis tilgangen benyttes til å følge med på lærerens arbeidsprestasjoner eller på andre måter overvåke lærere, vil dette i tillegg kunne utgjøre et kontrolltiltak etter arbeidsmiljøloven. I slike tilfeller må skolen følge reglene i arbeidsmiljøloven kap. 9 om gjennomføring av kontrolltiltak. Her er det igjen skolen som arbeidsgiver som må gjøre en vurdering.  

I Visma gjør vi vårt ypperste for å utvikle løsninger som etterlever prinsippet om privacy by design and default, og ønsker at våre systemer legger til rette for at våre kunder skal kunne oppfylle de lovkrav som gjelder for dem. Vi har ikke noe påvirkning på hvordan de ulike skolene benytter systemet og behandler enkeltsaker her, og det er derfor lovgiver har lagt opp til at vurderingene nevnt over skal gjøres av arbeidsgiver/behandlingsansvarlige. Vi bidrar gjerne med våre vurderinger knyttet til systemet, men understreker at vi ikke driver med juridisk rådgivning.