Redo för granskning? 5 frågor för ledare inom skola och utbildning

När dataskyddsmyndigheter granskar dina skolor måste du kunna bevisa att varje digitalt lärverktyg är kartlagt, har utvärderats och hanteras på ett säkert sätt.

Baserat på Edudata.io:s arbete med dataskydd och säkerhetsstyrning i skolan har vi sammanställt en checklista med 5 punkter för att hjälpa utbildningsledare att förbereda sig inför en tillsyn.

Varför nordiska myndigheter granskar närmare

De nordiska tillsynsmyndigheterna (Datatilsynet i Norge, Integritetsskyddsmyndigheten IMY i Sverige och Dataombudsmannens byrå i Finland) skärper sitt fokus på digitaliseringen i skolan.

Under 2025 granskade norska Datatilsynet 50 kommuner och fann återkommande brister i godkännandeprocesser för programvara, saknade riskbedömningar och brist på central kontroll över leverantörer. Förväntningen är tydlig: kommunledningen måste kunna visa upp en aktiv styrning och kontroll över den teknik som används i klassrummen.

De 5 frågorna som varje skoldirektör och förvaltningschef måste kunna besvara

1. Vilka digitala lärverktyg används faktiskt?

Revisorer och inspektörer vill se en komplett översikt över alla digitala lärverktyg som används i dina skolor. Det handlar om mer än bara era huvudsakliga lärplattformar – ni behöver även ha koll på webbläsartillägg, kommunikationsverktyg och AI-verktyg som lärarna använder.

För varje digitalt lärverktyg bör du kunna besvara:

• Omfattning och användning: Vilka skolor, årskurser och personalgrupper använder verktyget och varför?
• Dataspår (Data Footprint): Vilka personuppgifter behandlas i verktyget?
• Styrningsstatus: Vem har godkänt verktyget? Är riskbedömningen aktuell? Finns ett giltigt personuppgiftsbiträdesavtal (DPA)?

Utan en central översikt riskerar digitala lärverktyg att användas utan de nödvändiga dataskyddskontrollerna. På Edudata.io hjälper vi kommuner att upprätthålla en komplett och uppdaterad lista över alla aktiva verktyg, vilket gör det enkelt att se vem som använder dem, vilka data de hanterar och om de är godkända.

2. Är våra konsekvensbedömningar (DPIA) uppdaterade?

En konsekvensbedömning avseende dataskydd (DPIA) ska uppdateras när ett digitalt lärverktyg ändras eller får ny funktionalitet. Den måste återspegla hur verktyget faktiskt används i era skolor idag, inte bara hur det användes när det först köptes in.

Beroende på typen av data och verktyg kräver europeiska dataskyddsregler att en DPIA genomförs. Ni måste göra en egen bedömning och visa hur verktyget används samt vilka åtgärder som skyddar elevernas uppgifter.

Skolledare bör veta vilka verktyg som har en DPIA, när den senast sågs över och vilka skyddsåtgärder som har införts.

3. Vad behandlar våra leverantörer?

Även när en leverantör ansvarar för driften av tjänsten är det kommunen som bär det slutliga ansvaret för elevernas personuppgifter. Inspektörer kommer därför att kontrollera om era avtal med leverantörerna stämmer överens med hur de digitala lärverktygen faktiskt används i praktiken.

Om en leverantör i tysthet lägger till en AI-funktion eller ändrar sina användarvillkor, utsätter ett utdaterat biträdesavtal (DPA) kommunen för betydande efterlevnadsrisker.

4. Hur godkänner vi nya verktyg?

Nya digitala lärverktyg ska alltid granskas innan de tas i bruk i klassrummen.

Fallet i Ålesunds kommun (Norge) visar vad som kan hända när det saknas tydliga rutiner. Datatilsynet konstaterade att kommunen inte hade genomfört grundläggande säkerhetskontroller eller en obligatorisk DPIA för ett verktyg som användes i idrottsundervisningen.

Lärare bör ha ett enkelt sätt att föreslå nya verktyg. Därefter ska kommunen utvärdera och godkänna dem innan de används tillsammans med eleverna.

5. Kan vi rapportera regelefterlevnad idag?

Om en inspektör kontaktar er kommun ska ni kunna få fram nödvändig information snabbt.

Att vara förberedd inför en granskning kräver omedelbar tillgång till:

• Godkända digitala lärverktyg och deras användare
• Aktuella konsekvensbedömningar (DPIA) och riskbedömningar
• Personuppgiftsbiträdesavtal (DPA)
• Register över behandlingsaktiviteter (ROPA) och datum för senaste översyn

Denna information måste ständigt vara uppdaterad. Med Edudata.io samlar kommuner alla bedömningar, leverantörsavtal och dokumentation om regelefterlevnad på ett ställe, så att ni kan ta fram rätt underlag direkt.

Alltid redo för granskning med Edudata.io

En tillsyn eller granskning ska aldrig behöva komma som en överraskning för kommunledningen. När ni har en tydlig och uppdaterad översikt över verktyg, risker och leverantörsavtal i era skolor blir svaren till tillsynsmyndigheterna både enklare och betydligt mindre stressande.

Edudata.io hjälper utbildningsanordnare att behålla kontinuerlig kontroll över dataskydd, AI-risker och säkerhetsdokumentation på ett och samma ställe. Utforska Edudatas tjänster för att se hur våra verktyg stöttar er granskningsberedskap i hela er organisation, och boka demo.