Medan du njuter av ett välförtjänt sommarlov är det även ett bra tillfälle för en snabb repetition av de begrepp som ofta kommer på tal när det nya läsåret drar igång.
Oavsett om diskussionen rör digitala verktyg, elevdata eller nya AI-funktioner, brukar samma koncept dyka upp i möten med IT-avdelningen, leverantörer eller kommunledningen. Att ha en bra övergripande koll på begreppen gör dessa samtal lättare att leda.
Det här är en enkel topp 10-checklista för skolledare. Listan är enkel att skumma igenom och lätt att återvända till. Om du vill ha en mer detaljerad referens att dela med ditt team hittar du Edudatas fullständiga ordlista här.
Inbyggt dataskydd innebär att dataskydd är integrerat i systemets kärna från början – inte tillagt i efterhand. Dataskydd som standard innebär att verktyget som standard endast samlar in och delar de minimala data som är nödvändiga, utan att användarna själva behöver ändra några inställningar. Om bredare databehandling behövs ska det vara ett medvetet val, inte utgångspunkten.
Tillsammans visar dessa principer om en leverantör proaktivt har utformat tjänsten för att skydda elevernas data, eller om det ansvaret har överlåtits till användarna.
Praktisk fråga att ställa: Är det här verktyget byggt för att skydda elevdata automatiskt, eller hänger det på att lärare eller administratörer ändrar inställningar för att göra det säkert?
NIS2 är ett EU-direktiv som höjer kraven på cybersäkerhet och beredskap inom viktiga samhällsfunktioner, inklusive utbildning. I praktiken leder det till stramare krav på leverantörer, tydligare rutiner för behörighetskontroll och högre förväntningar på hur skolor hanterar digitala incidenter.
Praktisk fråga att ställa: Om ett viktigt skolsystem ligger nere, vet vi vem vi ska ringa och vad vår kommunikationsplan är för den första timmen?
EU:s AI-förordning fastställer regler för hur AI-system byggs, säljs och används, med strängare krav när AI kan påverka människors rättigheter eller möjligheter i betydande grad. I skolan blir detta relevant när ett verktyg använder AI för att flagga elever i riskzonen, ge automatiserad feedback, rekommendationer eller som beslutsstöd.
Praktisk fråga att ställa: Vad gör AI:n egentligen, vilken data använder den och vem ansvarar för att kontrollera att resultaten är korrekta och rättvisa?
Den personuppgiftsansvarige bestämmer varför personuppgifter används och hur de ska användas. I många skolsammanhang är den ansvarige skolans huvudman eller kommunen, och skolan verkar inom de ramar som den personuppgiftsansvarige har satt upp.
Praktisk fråga att ställa: Kan vi tydligt förklara varför vi använder denna elevdata, och vem som är ansvarig för det beslutet?
Ett personuppgiftsbiträde hanterar personuppgifter på uppdrag av den personuppgiftsansvarige. Detta är vanligtvis leverantören som tillhandahåller plattformen, driften (hosting), supporten eller analysverktygen. Biträdet måste följa den ansvariges instruktioner om hur datan hanteras.
Praktisk fråga att ställa: Vilka delar av datahanteringen sköts av leverantören, och vilka delar ligger kvar på vårt ansvar?
Ett PUB-avtal är det kontrakt som lagligen binder en leverantör att följa säkerhets- och integritetsregler. Det omfattar säkerhetsåtgärder, hur incidenter hanteras, vilka underbiträden som är involverade och vad som händer när tjänsten avslutas.
Praktisk fråga att ställa: Har vi ett undertecknat PUB-avtal som matchar hur den här tjänsten faktiskt används i skolan, och inte bara hur den beskrivs i marknadsföringsmaterialet?
En laglig grund är det juridiska skälet till att behandla personuppgifter enligt GDPR. Varje gång skolan använder elevdata måste det finnas ett tydligt och dokumenterat skäl för att göra det. Utan detta är behandlingen inte laglig.
Praktisk fråga att ställa: Vilken är vår lagliga grund för och använda dessa elevdata, och var finns det skälet dokumenterat?
En riskbedömning bör göras för varje digitalt lärverktyg. Den hjälper skolan att identifiera vad som kan gå fel, hur sannolikt det är, vad konsekvenserna kan bli och vilka skyddsåtgärder som krävs. En DPIA är mer specifik och krävs när den planerade användningen av personuppgifter kan leda till hög risk för elevernas rättigheter och friheter. I praktiken hjälper riskbedömningen ofta skolan att inse när integritetsrisken är så hög att en DPIA krävs.
Praktisk fråga att ställa: Har vi bedömt riskerna med detta digitala verktyg, och visar den bedömningen en sådan nivå av integritetsrisk att det krävs en DPIA?
En incident är en säkerhetshändelse som påverkar, eller skulle kunna påverka, tillgängligheten, riktigheten eller konsekventsekretessen för system eller data. En personuppgiftsincident är en specifik GDPR-term och avser en incident som involverar just personuppgifter. Skillnaden är viktig eftersom en personuppgiftsincident kan utlösa en lagstadgad skyldighet att anmäla händelsen till Integritetsskyddsmyndigheten (IMY) och informera de drabbade.
Praktisk fråga att ställa: Om en händelse inträffar, vem avgör om det är en personuppgiftsincident, och hur ser vår tidslinje ut för åtgärder och kommunikation?
Behörighetskontroll definierar vem som har tillgång till vilka data och system. Minimibehörighet innebär att personal och elever endast får den tillgång de behöver för sin specifika roll, och att tillgången tas bort när rollen ändras. I skolan är detta extra viktigt eftersom roller ändras ofta och tillfälliga behörigheter är vanliga.
Praktisk fråga att ställa: Hur säkerställer vi att tillgången till känsliga elevdata tas bort när en medarbetare byter roll eller slutar?
Att ha koll på dessa tio begrepp gör det lättare att leda digitala projekt, ställa rätt frågor i leverantörsmöten och kommunicera tydligt med både IT-team och föräldrar.
Om du vill fördjupa dig täcker Edudatas fullständiga ordlista ett bredare urval av termer som du kan bokmärka och dela med ditt team. Du kan se Edudatas fullständiga ordlista här.