Eksperterne gør dig lidt klogere: Sådan bliver du mere datasikker

I maj 2018 trådte EU’s databeskyttelsesfor­ordning i kraft. Dens officielle navn er General Data ­Protection ­Regulation, forkortet GDPR.

På nogle punkter giver den de enkelte lande ­mulighed for selv at bestemme. Det har Danmark valgt at gøre, og derfor er forordningen ledsaget af den danske lov om ­databeskyttelse.

GDPR og databeskyttelsesloven skal blandt andet beskytte borgerne imod, at uvedkommende kan opsnappe følsomme eller fortrolige personoplysninger. Det betyder, at institutioner og skoler kun må indhente de oplysninger om børn og forældre, der er nødvendige, og at oplysningerne skal håndteres på en måde, så kun dem, der har brug for oplysningerne, har adgang til dem. Men hvordan vurderer man det? Rasmus Jakobsen, der er jurist og fuldmægtig i Datatilsynet, mener, at man skal bruge sin fornuft.

»Generelt er det vigtigt, at man går ind i den enkelte situation og vurderer. Så kan det godt ske, at man kommer frem til et resultat, som nogle vil mene ikke er helt efter bogen, men der findes nu engang ikke overalt firkantede svar på, hvad man må og ikke må. Derfor er det vigtigt, at man også bruger sin sunde fornuft.«

Et eksempel: Et barn er ked af det ved afleveringen om morgenen. En time senere leger barnet og er glad, og pæda­gogen tager et foto af det og sender det til for­ældrene. Det skal give forældrene ro i sindet, men dermed trans­mitteres en personoplysning i form af et foto på en usikker forbindelse.
Og så er man på usikker grund.

»På den anden side er det jo tilforladeligt. Pædagogen bør dog straks efter afsendelsen slette billedet, for han eller hun kan jo spørge sig selv: Ville jeg bryde mig om, at der lå flere fotos af mit barn på en anden voksens mobiltelefon? Den kan jo hackes, glemmes eller stjæles. I det hele taget er det en god tommelfingerregel at bruge: Hvad ville jeg mene, hvis det var mit eget barn?« siger Rasmus Jakobsen.

Hvad er følsomme oplysninger?

Følsomme oplysninger er oplysninger om helbred, seksualitet, medlemskab af en fagforening, etnisk oprindelse, politisk og religiøst tilhørsforhold.
Følsomme personoplysninger må ikke videregives via mail eller sms, der er usikre forbindelser. Det gælder også oplysninger om sygdom, udvekslet ­mellem pædagoger og forældre. Her er det en følsom oplysning, hvis der gives nærmere oplysninger om sygdommens art og dermed helbredsforhold.

RIGTIGT: Du må godt sms’e til forældre: ’Emil er syg.’
FORKERT: Du må ikke sms’e: ’Emil er syg. Han har ondt i ørerne.’

Hvis forældrene begynder at sms’e eller maile om et barns sygdom, og hvad barnet fejler, bør du stoppe dialogen med et: ’Ring lige til mig, og lad os snakke om det’ og derefter slette sms eller mail.

Hvad er usikker opbevaring?

Følsomme personoplysninger må ikke opbevares på mobiltelefon eller iPad. Fotos af børn på mobil­telefon eller iPad skal slettes. Nogle kommuner bruger en regel, der siger, at de skal slettes efter senest 30 dage. Fuldmægtig Rasmus Jakobsen fra Datatilsynet fortæller:

»Den regel eksisterer ikke længere, men den kan benyttes som tommelfingerregel for, hvor længe oplysninger bør bevares. Man må jo så ­argumentere for, hvorfor det er nødvendigt at vente så længe.«

Hvad er sikker opbevaring?

Fotos og følsomme personoplysninger kan op­bevares på et sikkert system, hvor man har kontrol over, hvem brugerne er, og hvor kun dem, der har behov for oplysningerne, kan logge sig ind. DayCare og lignende systemer til komme/gå-registrering er sikre systemer, som kun brugerne har adgang til.

Hvad er situationsfotos og portrætfotos?

Portrætfoto er et foto, hvor man er tæt på det enkelte barn. Situationsfoto er taget fx ved en koncert med mange børn eller under aktiviteter, hvor barnet er ét blandt mange. Her kan forældre i princippet ikke sige nej til, at deres barn kan ses på fotoet.
Databeskyttelsesrådgiver Mette Mejlsted Lundsgaard, Silkeborg Kommune:

»Grænserne mellem situationsfotos og portrætfotos kan udviskes, når et ­situationsfoto er meget tæt på enkelte børn. Det skal man være opmærksom på,
hvis ­forældrene har sagt nej til portrætfotos.«

Hvis der tages et opstillet gruppebillede af en børnegruppe, er det ikke et situationsfoto, og så skal hvert enkelt barns forældre give tilladelse, hvis det skal offentliggøres.
Det kan være nødvendigt med et portrætfoto af hvert barn på en tavle i daginstitu­tionen. ’Nødvendigheden’ er afgørende. Der kan argumenteres med, at det af pædagogiske grunde er nødvendigt med collager med fotos fra fester, bedste­forældredage mv. ophængt på institutionens vægge.

Hvad med samtykke?

Forældre skal aktivt sige ja eller nej til, at der må tages/­bruges fotos og video af deres børn i institutionen. Det sker ved indskrivningen. Et nej gælder portrætfotos og i princippet ikke situationsfotos. Forældre kan godt sige ja til, at barnet må fotograferes, men nej til, at et foto med barnet må bruges på institutionens Facebook.

Må børn og unge selv bestemme?

Databeskyttelsesrådgiver Mette Mejlsted Lundsgaard, Silkeborg Kommune:

»I Danmark har man vedtaget, at børn på 13 år og derover selv kan sige ja eller nej til, om de vil ’lægges ud’ på de sociale medier. De danske politikere har ment, at 13-årige er modne nok til at forstå konsekvenserne, og at der også ligger noget dannelse i at lade dem tage stilling selv.«

Hvordan bruger vi vores databeskyttelsesrådgiver?

Alle offentlige myndigheder skal have en databeskyttelsesrådgiver. I kan altid kontakte kommunens rådgiver, hvis I er i tvivl. Rådgiveren er rådgivende over for forvaltningerne og skal holde tilsyn med, at reglerne om persondata overholdes. Det er kommunens ansvar, at reglerne overholdes i kommunale institutioner.

Husk nu at slette

For nylig fik et forældrepar aktindsigt i al billed- og videomateriale, som deres barn medvirker i i daginstitutionen. Offentlighedsloven sikrer nemlig borgere ret til at få aktindsigt i sager i den offentlige forvaltning. I dette tilfælde betød det altså, at forældrene havde ret til at se, hvor deres barn optrådte på fotos og videoer. Derfor skulle institutionen gennemgå flere tusinde billeder og videoer for at finde barnet.  Datatilsynet mener, at sagen bør få institutioner til ikke at opbevare oplysninger længere end højst nødvendigt.

Kilder: Datatilsynet, databeskyttelsesrådgiveren ved Silkeborg Kommune, juridisk konsulent Ulla Nielsen, BUPL. Få flere oplysninger på Datatilsynet.