Personvern i barnehagen: GDPR-guide for styrer og barnehageeier

Det viktigste først

Barnehagen behandler mange personopplysninger hver dag. Det gjelder navn, kontaktinformasjon, fravær, allergier og notater om barnet. Personvernforordningen (GDPR) setter rammene for alt dette.

• Eier har ansvaret. Barnehageeier er ansvarlig for å oppfylle kravene.
• Bare det nødvendige. Dere skal ikke samle inn mer enn dere trenger.
• Avtale med leverandører. Apper og systemer som behandler opplysninger for dere, krever databehandleravtale.
• Avvik meldes raskt. Brudd skal som hovedregel meldes til Datatilsynet innen 72 timer.

Hvem har ansvaret?

Barnehageloven § 7 sier hvem som har ansvaret for barnehagen. I kommunale barnehager er det kommunen. I private barnehager er det styret for rettssubjektet som driver barnehagen.

Udir skriver at det er barnehageeier som er ansvarlig for å oppfylle kravene i personvernregelverket. Eier skal kunne dokumentere at reglene følges, og ha oversikt over hvilke opplysninger som behandles.

Som styrer har du likevel en viktig rolle. Mye av det daglige arbeidet skjer i barnehagen. Derfor må de ansatte kjenne reglene og rutinene.

Hvilke opplysninger kan dere samle inn?

Barnehageloven § 47 a gir kommuner og private barnehager rett til å behandle personopplysninger. Vilkåret er at det er nødvendig for å utføre oppgaver etter loven.

Personvernforordningen artikkel 5 sier at opplysningene skal være begrenset til det som er nødvendig. Udir gir et enkelt eksempel: Er fornavn nok, skal dere ikke også lagre fødselsdato eller adresse.

Spør dere selv før dere legger til et nytt felt i et skjema:

1. Hva skal vi bruke opplysningen til?
2. Trenger vi den for å gi barnet et godt tilbud?
3. Hvem skal se den?
4. Når kan den slettes?

Samtykke passer ofte dårlig som grunnlag i barnehagen, fordi samtykke må være frivillig. Udir nevner fotografering som et eksempel der samtykke kan være riktig. Les mer i guiden om bilder i barnehagen.

Når et barn bytter barnehage, kan dere gi den nye barnehagen nødvendige opplysninger. Etter § 47 a gjelder det bare så langt foreldrene har gitt tillatelse.

Helseopplysninger som allergier

Helseopplysninger er en særlig kategori etter personvernforordningen artikkel 9. Udir nevner registrering av allergi som et eksempel. Det samme gjelder at et barn ikke kan spise visse matvarer av religiøse grunner.

Barnehageloven § 47 a åpner for å behandle slike opplysninger når det er nødvendig for oppgavene etter loven. Kravet til forsiktighet er likevel høyere.

• Gi tilgang bare til de ansatte som trenger opplysningen, for eksempel de som lager mat og er på avdelingen.
• Ikke skriv allergier eller diagnoser i meldinger til alle foreldrene.
• Bruk barnehagens systemer, ikke lapper eller private telefoner.

Databehandleravtale med app-leverandører

Bruker dere en app eller skytjeneste som lagrer opplysninger for dere, er leverandøren databehandler. Artikkel 28 krever da en skriftlig avtale.

Avtalen skal blant annet sikre at leverandøren:

• bare behandler opplysningene etter dokumenterte instrukser fra dere
• har ansatte med taushetsplikt
• har god nok sikkerhet
• ikke bruker underleverandører uten forhåndsgodkjenning
• sletter eller leverer tilbake alle opplysninger når avtalen slutter
• lar dere kontrollere at avtalen følges

Datatilsynet skriver at avtalen må være mer konkret jo mer omfattende og risikofylt behandlingen er. Skal dere velge eller bytte system, se guidene om å velge barnehageapp og bytte barnehageapp.

Tilgang, sikkerhet og sletting

Udir sier at bare de som trenger opplysningene skal ha tilgang, og bare til det de trenger. Skill mellom lese- og skrivetilgang. Udir nevner også tiltak som tofaktorinnlogging og logging av innlogginger.

• Gi vikarer tilgang bare til egen avdeling og bare så lenge de jobber.
• Fjern tilgang samme dag som en ansatt slutter.
• Ikke del brukernavn og passord mellom ansatte.
• Bruk ikke sikkerhetslogger til å overvåke de ansatte.

Lagring og sletting

Personopplysninger skal ikke lagres lenger enn nødvendig. Udir skriver at opplysninger skal slettes eller anonymiseres når de ikke lenger trengs. Arkivlova kan likevel kreve at mange opplysninger i offentlig sektor oppbevares.

Lag en enkel oversikt over hva dere lagrer, hvor lenge og hvem som rydder. Gå gjennom den minst én gang i året.

Når noe går galt: avvik og 72 timer

Et avvik kan være en e-post til feil mottaker, en mistet telefon eller feil person med tilgang. Datatilsynet har en lav terskel for hva som skal meldes.

1. Stopp skaden. Be mottakeren slette, endre passord eller stenge tilgang.
2. Varsle eier. Det er den behandlingsansvarlige som melder.
3. Vurder risikoen. Dere slipper å melde bare når bruddet sannsynligvis ikke gir risiko for de det gjelder.
4. Meld innen 72 timer. Fristen løper fra dere fikk kjennskap til bruddet. Meldingen sendes via Altinn.
5. Meld i flere trinn ved behov. Mangler dere opplysninger, sier dere at mer kommer senere.
6. Dokumenter alt. Alle brudd skal dokumenteres, også de som ikke meldes.

Typiske feil

• Ingen databehandleravtale med appen eller skytjenesten dere bruker.
• Alle ansatte ser alt om alle barn.
• Vikarer beholder tilgang etter at de har sluttet.
• Allergier og helse står i felles meldinger.
• Avvik blir ikke meldt fordi «det gikk jo bra».

Sjekkliste

• Vi vet hvem som er behandlingsansvarlig hos eier.
• Vi har protokoll over behandlinger.
• Vi har databehandleravtale med alle leverandører.
• Helseopplysninger er bare tilgjengelige for de som trenger dem.
• Vi fjerner tilganger når noen slutter.
• Alle ansatte vet hvordan de melder et avvik internt.
• Vi rydder og sletter etter en fast plan.

Personvern henger tett sammen med taushetsplikten. Les også guiden om taushetsplikt og opplysningsplikt.

Om forfatteren. Terje Lien er lektor og grunnlegger av Vinka, en app for beskjeder, oppmøte, bilder og bemanning i barnehagen. Guidene er faktasjekket mot lovtekst og veiledning fra Lovdata, Utdanningsdirektoratet, Datatilsynet og andre offentlige kilder, og oppdateres når reglene endres.