Vad IT-ansvariga behöver veta om Cloud Act och elevdata
För IT-ansvariga på gymnasieskolor ökar pressen att hantera elevdata säkert samtidigt som lärare efterfrågar fler digitala verktyg. Men få skolledningar tänker
Varför serverplaceringen spelar mindre roll än du tror
Många organisationer antar att lagring av data i Europa automatiskt skyddar den. I verkligheten spelar tjänsteleverantörens juridiska jurisdiktion en avgörande roll. Om du använder en USA-baserad molntjänst eller SaaS-leverantör kan det företaget vara skyldigt att ge tillgång till data enligt amerikansk lag.
US CLOUD Act ger en juridisk ram för brottsbekämpande myndigheter att få tillgång till personuppgifter som lagras av amerikanska företag på servrar utomlands. Det innebär att även om elevernas inspelade lektioner ligger på en server i Stockholm kan amerikanska myndigheter kräva ut dem – om leverantören kontrolleras från USA.
För dig som IT-ansvarig på gymnasiet betyder det att varje beslut om inköp av AI-verktyg, inspelningssystem eller lärplattformar innebär en dataskyddsfråga. Enligt dataskyddsförordningen (GDPR) ska den personuppgiftsansvariga skydda alla personuppgifter som behandlas.
Konkret exempel: Inspelade lektioner och prov
En typisk gymnasieskola spelar in dussintals lektioner varje vecka. Läraren i MA3 spelar in genomgången av integraler klockan 09:00. En elev som var sjuk tittar på den dagen efter. Inspelningen innehåller lärarens röst, elevernas frågor, ibland ansikten.
IT-ansvarigas arbetsuppgifter brukar bestå av bland annat hantering av licenser och avtal, koordinering av interna och externa resurser, övervakning och underhåll av IT-system. IT-ansvariga arbetar i komplexa IT-miljöer med ansvar för strategiskt planeringsarbete och tar fram budgetunderlag samt ansvarar även för inköp av hårdvara och mjukvara. När du tecknar avtal med en leverantör av inspelningstjänster är frågan om Cloud Act inte teknisk – den är juridisk och blir ditt ansvar att utreda.
EU-datasuveränitet som praktiskt krav
Elevante lagrar all data inom EU och drivs av ett europeiskt bolag. Det innebär att ingen amerikansk lag når inspelningarna från svenskalektionen eller elevernas repetitionsfrågor i kemiprovförberedelserna.
Dataskyddsförordningen, även kallad GDPR, reglerar hur personuppgifter får behandlas i förskolor, skolor och andra verksamheter. Dataskyddsförordningen gäller i hela EU och syftar bland annat till att skydda enskildas grundläggande rättigheter och friheter.
Som IT-ansvarig slipper du förklara för rektorn varför en amerikansk underrättelsetjänst teoretiskt kan begära ut data från gymnasiets biologilektioner. Du slipper även bekymra dig för att skolans samtyckesblankett inte täcker exponering mot utländsk lagstiftning.
Vad du konkret bör fråga leverantörer
När du utvärderar system för inspelning och AI-stöd i undervisningen, ställ dessa tre frågor:
- Var har bolaget sitt säte? Inte bara serverplaceringen – juridisk hemvist avgör.
- Vilka underleverantörer används? En europeisk front mot amerikansk backend hjälper inte.
- Kan ni skriftligen garantera att data aldrig exponeras mot Cloud Act? Om svaret är tveksamt, gå vidare.
Alla skolor i Sverige, såväl kommunala som privata, måste förhålla sig till den lagstiftning som hanterar behandling av personuppgifter, GDPR. Integritetsskyddsmyndigheten, IMY, har även i sin tillsynsplan över planerade granskningar för de närmaste två åren utpekat just skolan som ett prioriterat område, då barn är särskilt skyddsvärda.