Skyddsvärda uppgifter om studenter i NyA och Ladok Stockholm den 17 juni 2015 Daniel Erlandsson, produktägarorganisationen, Ladok3-projektet

Syftet med workshopen Belysa hanteringen av skyddsvärda uppgifter i NyA och Ladok ur så många synvinklar som möjligt Resonemang från dagens workshop blir viktiga i det fortsatta arbetet med att implementera ett systemstöd för hanteringen av skyddsvärda uppgifter

Bakgrund – NyA och Ladok två offentliga register NyA är den övergripande benämningen för det nationella antagningssystem som består av flera delar: Sökandewebben (antagning.se), handläggarklienten, NyA-webben och NyA Open. NyA innehåller bl.a. uppgifter om en persons anmälan, meriter och inskickade handlingar Ladok är det systemstöd som används för studiedokumentation vid de flesta högskolor och universitet i Sverige. Ladok innehåller bl. a. personuppgifter, uppgifter en students deltagande i utbildning, resultat och examina

Under hösten 2009 togs ett beslut om att starta ett projekt med målet att ta fram en nytt system som ska ersätta nuvarande Ladok. Beslutet togs av Konsortiets stämma där alla medlemmar representeras. Ladok3-projektet startade sedan upp under våren 2010. Nya Ladok ska tas fram i stark förankring hos medlemmarna enligt det direktiv som projektet fått – denna förankring sker bland annat genom att tidiga resultat har skickats ut på remiss till medlemmarna, genom att projektdeltagarna representerar ett flertal olika lärosäten, genom MIT-miljön där lärosätena kan testa och se den funktionalitet som hittills är utvecklad samt genom att lärosätesrepresentanter deltar i workshops vid kravframtagning.

Dagens Ladok Ladok Classic Ladok Nouveau Ladok på webb 80-tal 1996 2004 Ladok har sin grund i 70-talet med expansion på 80-talet. 1996 infördes Ladok Nouveau, ett Unifacebaserat användargränssnitt som skulle ersätta det gamla terminalbaserade gränssnittet. Avsikten var att föra över all funktionalitet till Nouveau men av ekonomiska skäl fortlevde terminalgränsnittet som ”Ladok Classic”. 2004 togs Ladoks webbtjänster i drift, dessa skulle stödja lokala portaler och därför tog man aldrig fram ett gemensamt användargränssnitt för dem. Dvs inte utöver de gränssnitt som finns för en handfull uppföljningstjänster.

Ladok3 – projektets sju effektmål 2. Ökad tillgänglighet och förbättrad identitetshantering 1.En gemensam plattform som är lättare att integrera med 3. Ökad kostnadseffektivitet för utveckling och underhåll 7. Ökad användbarhet och minimerad pappershantering 4. Förbättrade möjligheter att rationalisera den lokala studie-administrationen 7 effektmål Förkortade effektmål, fullständig version: 1 Högskolorna får en gemensam plattform som snabbt och allsidigt kommunicerar med alla omgivande informationssystem av intresse och vid behov kan dela data med dessa, samt med andra högskolor både nationellt och internationellt 2 Högskolorna har tillgång till Ladokuppgifter 24/7 genom smidig och säker identitetshantering som underlättar studentmobilitet och möjliggör egenrapportering 3 Konsortiet får ökad kostnadseffektivitet för såväl systemutveckling som systemunderhåll, jämfört med 2010 4 Högskolorna har tillgång till ett systemstöd som ger möjlighet till rationalisering och lägre totala systemkostnader för hela den lokala studieadministrationen, jämfört med 2010 5 Högskolorna får, jämfört med 2010, högre tillförlitlighet i applikation och data, minimerat antal fel, möjlighet att dela särskiljbara data mellan högskolor i ett systemstöd som uppfyller högskolans ökande krav på IT-säkerhet 6 Högskolorna får ett hållbart och flexibelt systemstöd, med en struktur som är generellt användbar med avseende på t ex utbildningsnivåer, valutor, periodbegrepp och ursprungsländer, och som byggs i en långsiktigt hållbar teknik med lång återstående livslängd vilket gör att investeringen kan nyttjas under längre tid än den ekonomiska avskrivningstiden 7 Högskolorna får ett systemstöd som upplevs som användbart, lättarbetat, tilltalande och hjälpsamt samt möjliggör minimerad pappershantering; och som är stabilt genom att det utgår från grundläggande processer i kärnverksamheten och är enkelt och väldokumenterat 6. Hållbart och flexibelt systemstöd med en generaliserad struktur för utbildningar etc. 5. Högre tillförlitlighet i applikation och data och möta lärosätenas ökande krav på IT-säkerhet

Nya Ladok – en gemensam installation Dagens Ladok Nya Ladok

NyA och Ladok – systemen kan innehålla skyddsvärda uppgifter Uppgifter som dokumenteras i NyA och Ladok är som huvudregel offentliga I vissa fall kan det dock skada en sökande/student om dennes uppgifter lämnas ut utan att en sekretessprövning görs Identitetsuppgifter, adress, kontaktuppgifter och relation till utbildning

Skyddsvärda uppgifter – vilka är behoven? Vi har i NyA och Ladok behov av att: erbjuda ett systemstöd som förebygger att skyddsvärda uppgifter om en student lämnas ut utan att en sekretessprövning görs tillhandahålla ett systemstöd som möjliggör att uppgifter om en student hanteras på ett rättssäkert sätt (efterleva lagkrav) erbjuda ett systemstöd som fungerar i verksamheten och som inte är utpekande hantera det faktum att ett lärosäte knyter en student till en geografisk plats hantera det faktum att många lärare och administratörer behöver ha tillgång till information om studenter försöka få en samsyn mellan berörda myndigheter och en enhetlig och säker hantering ur en students perspektiv

Offentlighets- och sekretesslagen (2009:400) 21 kap - Sekretess till skydd för uppgift om enskilds personliga förhållanden oavsett i vilket sammanhang uppgiften förekommer 3 § Sekretess gäller för uppgift om en enskilds bostadsadress eller annan jämförbar uppgift som kan lämna upplysning om var den enskilde bor stadigvarande eller tillfälligt, den enskildes telefonnummer, e-postadress eller annan jämförbar uppgift som kan användas för att komma i kontakt med denne samt för motsvarande uppgifter om den enskildes anhöriga, om det av särskild anledning kan antas att den enskilde eller någon närstående till denne kan komma att utsättas för hot eller våld eller lida annat allvarligt men om uppgiften röjs.    ....

Offentlighets- och sekretesslagen (2009:400) 23 kap Sekretess till skydd för enskild i utbildningsverksamhet, m.m. 5 § Annan utbildningsverksamhet ....Sekretess gäller i annan utbildningsverksamhet än sådan som anges i 1-3 §§ i annat fall än som avses i första stycket och hos Universitets- och högskolerådet i verksamhet som avser biträde vid antagning av studenter för uppgift om en enskilds identitet, adress och andra liknande uppgifter om en enskilds personliga förhållanden, om det av särskild anledning kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs. ....

Offentlighets- och sekretesslagen (2009:400) 10 kap. Sekretessbrytande bestämmelser och bestämmelser om undantag från sekretess 28 § Sekretess hindrar inte att en uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förordning.    Ytterligare sekretessbrytande bestämmelser och bestämmelser om undantag från sekretess finns i anslutning till berörda sekretessbestämmelser i avdelning IV-VI.(2012:920).

Slutsatser och rekommendationer i utredning från 2007 Slutsatser ur utredning (*) Uppgifter om sökande och studenter kan sekretessbeläggas om utlämnande innebär risk för men för dem själva eller närstående Den det berör måste själv påtala behovet Även andra uppgifter än personnummer, namn, adress och e-postadress kan beläggas med sekretess Det finns inga hinder för att de leveranser av data som sker mellan myndigheter idag kan fortsätta Rekommendation ur utredning (*) Införa alias som en tillämpning i NyA och Ladok utifrån förändringarna av sekretesslagen daterade 2006-01-10 * Utredning: Hantering av sekretess i Ladok och Nya, 2007-05-27, Sundberg/Stenport

Alias – hantering i dagens NyA och Ladok Vad är ett alias? Intern kod i Ladok och NyA som utseendemässigt liknar ett interimspersonnummer för utländska studenter Modifierat förnamn (möjlighet finns) Modifierat efternamn (möjlighet finns) Eventuella kontaktuppgifter På alias:et dokumenteras sedan uppgifter om studier dvs. t.ex. anmälningar, antagningar, registreringar och resultat Ur Ladok erbjuds studenten ett alias-intyg som används då en student behöver identifiera sig Koppling mellan ett alias och en sökandes/students verkliga personnummer och namn är tillgänglig endast för en administratör med särskild behörighet När information levereras från NyA och Ladok till interna system, används uppgifterna om alias, inte de verkliga personuppgifterna När information levereras från NyA och Ladok till CSN och SCB används de verkliga personuppgifterna

Alias – ett exempel Alias Verkliga uppgifter Personnummer: 830229-T002 Namn: Karl Efternamn: Svensson Adress: Ekvägen 23, 702 86, ÖREBRO Telefon: 019-303000 Antagen till Läkarprogrammet inför höstterminen 2014 Registrerad på Medicinsk temakurs 1, 30 hp, höstterminen 2014 Verkliga uppgifter Personnummer: 830229-1010 Namn: Johan Efternamn: Olsson

Alias – fördelar Antagning och studiedokumentation kan ske ”som vanligt” på en sökandes/students alias Utlämnande kan hanteras som för alla andra sökande/studenter Vid grupputsökningar kommer information om alla sökande/studenter med Kräver inte någon stor utbildningsinsats i verksamheten Påverkar inte systemstödet i NyA och Ladok i någon större omfattning (kostnadseffektivt)

Alias – nackdelar Tvingar den sökande/studenten att uppträda under ”falsk” identitet Potentiellt flera identiteter per myndighet Hantering av alias-intyg kan väcka uppmärksamhet Följer vi offentlighetsprincipen? Externa frågor som handlar om huruvida en viss person är sökande/student vid ett lärosäte eller inte, måste i vissa fall slussas vidare till administratör med särskild behörighet. Det gäller om den efterfrågade personen inte kan hittas med hjälp av det angivna personnumret och/eller namnet

Underlag för diskussion – alias Vilka verksamhetsproblem har vi kring dagens hantering med alias? Hur fungerar alias ur ett utlämnandeperspektiv Är utlämnande av uppgifter dokumenterade på alias problematiskt? Det är ju samma person i grund och botten Hur är våra erfarenheter kring alias ur den skyddsvärde sökandes/studentens perspektiv? Kan en sökande/student kräva skydd men motsätta sig alias? I nya Ladok kommer identitetsinformation vara gemensam för alla lärosäten – hur påverkar det alias-hanteringen? NyA och Ladok3 byggs ihop via gemensam persontjänst Icke högskoleutbildning – påverkan på alias-hanteringen? Är verkligen alla uppgifter om en sökande/student skyddsvärda? Alias efter studietiden – vilket ansvar har lärosätet?

Alternativ tillämpning i NyA och Ladok Alternativ till alias i tidigare utredning (*) Manuell dokumentation Sekretessmarkering Signal om sekretess Tillgång till skyddade uppgifter begränsas Tillgång till skyddade uppgifter styrs av användarens roll och organisatoriska hemvist * Utredning: Hantering av sekretess i Ladok och Nya, 2007-05-27, Sundberg/Stenport

Manuell dokumentation – tänkbar hantering i NyA och Ladok Ingen information om en sökande/student dokumenteras i NyA och Ladok All antagning och studiedokumentation för berörda individer sköts centralt på UHR/ett lärosäte i samverkan med berörda institutioner Antagningsbesked, studieintyg och liknande dokumenteras manuellt

Manuell dokumentation – fördelar Få personer hanterar uppgifterna, vilket minimerar risken för felaktig utlämning Påverkar inte alls systemstödet i NyA och Ladok

Manuell dokumentation – nackdelar För UHR och ett lärosäte blir administrationen av sökande/studenterna mer komplicerad och riskerar att väcka större uppmärksamhet. Kostnadsineffektivt? Högskolans ekonomiska ersättning för helårsstudenter och helårsprestationer riskerar att utebli Informationsöverföring från till andra myndigheter försvåras (SCB, CSN och Migrationsverket) Lokala system som idag bygger på Ladok måste hitta egna lösningar (passerkort, lånekort, studentkonton etc.) För studenterna själva påverkas tillgången till webbtjänster i NyA och Ladok. Sökande/studenten blir indirekt mer utpekad Externa frågor som handlar om huruvida en viss person är sökande/student vid ett lärosäte eller inte, måste i vissa fall slussas vidare till administratör med särskild behörighet. Det gäller om den efterfrågade personen inte kan hittas med hjälp av det angivna personnumret och/eller namnet

Manuell dokumentation – underlag för diskussion Hur skulle manuell dokumentation fungera ur ett lärosätesperspektiv? Hur skulle manuell dokumentation fungera ur ett studentperspektiv? Hur skulle manuell dokumentation fungera ur ett juridiskt perspektiv? Ur perspektiven ovan, är hanteringen bättre eller sämre än alias?

Sekretessmarking – tänkbar hantering i NyA och Ladok I NyA och Ladok införs en sekretessmarking för sökande/studenter med skyddsbehov En administratör med låg behörighet möts av information om att sekretess råder vid utsökning. Inga uppgifter visas En administratör med hög behörighet kan se och administrera samtliga uppgifter Vid grupputsökning anges att t.ex. en sökande/student uteslutits p.g.a. sekretess

Sekretessmarkering – fördelar En sökande/student finns i systemen på sina riktiga uppgifter inget alias behövs Få administratörer hanterar uppgifterna, vilket minimerar risken för felaktig utlämning

Sekretessmarkering – nackdelar Stort beroende av de administratörer som har den höga behörigheten. Dessa sköter i princip all studiedokumentation För UHR och ett lärosäte blir administrationen av sökande/studenter mer komplicerad och riskerar att väcka större uppmärksamhet Olika administratörer får olika utsökningsresultat vilket skulle kunna leda till förvirring kring systemets tillförlitlighet Sökande/studenten blir indirekt mer utpekad Lokala system som idag bygger på Ladok måste hitta egna lösningar (passerkort, lånekort, studentkonton etc.) Dock skulle markeringen kunna föras vidare till andra system

Varianter av sekretessmarkering Sekretessmarkering utan skydd av uppgifter Alla administratörer kan se alla uppgifterna, vilket förutsätter att de är välinformerade och följer reglerna All antagning och studiedokumentation kan ske som vanligt utan några hinder Stor risk att uppgifterna felaktigt sprids Sekretessmarkering med behörighet för flera olika roller och organisatorisk hemvist Exempel: En lärare kan ha tillgång till alla uppgifter på viss kurs där den undervisar, men ej på andra kurser. Exempel: En utbildningsadministratör skulle kunna se uppgifter om alla studenter vid sin institution med inte vid en annan institution Omfattande lokal administration av roller krävs Kräver mycket av systemstödet

Sekretessmarkering – underlag för diskussion Hur skulle sekretessmarkering fungera ur ett lärosätesperspektiv? Hur skulle sekretessmarkering fungera ur ett studentperspektiv? Hur skulle sekretessmarkering fungera ur ett juridiskt perspektiv? Ur perspektiven ovan, är hanteringen bättre eller sämre än alias?

Summering

Vad har vi kommit fram till?