Reglugerð um upplýsingaskyldu framhaldsskóla um skólahald, aðra kerfisbundna skráningu og meðferð persónuupplýsinga um nemendur.

1. gr. Gildissvið.

Mennta- og menningarmálaráðherra fer með yfirstjórn málefna framhaldsskóla og ber ábyrgð á söfnun, úrvinnslu og miðlun upplýsinga um skólastarf til Alþingis, stofnana innanlands og utan og almennings.

Reglugerð þessi tekur til skyldu opinberra framhaldsskóla og annarra framhaldsskóla sem hlotið hafa viðurkenningu mennta- og menningarmálaráðuneytisins til að veita ráðuneytinu þær upplýsingar um skólastarf og skólahald sem það telur nauðsynlegt vegna eftirlits með skólastarfi í framhaldsskólum. Reglugerðin tekur jafnframt til kerfisbundinnar skráningar skóla á upplýsingum um nemendur og meðferð persónuupplýsinga.

2. gr. Upplýsingaskylda framhaldsskóla.

Framhaldsskólum ber skylda til að varðveita upplýsingar um nám nemenda og veita nemendum aðgang að þeim. Framhaldsskólum er skylt að veita mennta- og menningarmálaráðuneyti tvisvar á ári, einu sinni á vorönn og einu sinni á haustönn, eða oftar sé þess krafist, upplýsingar sem nánar er kveðið á um í 3. gr.

Upplýsingarnar skulu veittar á stöðluðu rafrænu formi nema annað sé tekið fram.

3. gr. Öflun upplýsinga.

Þær upplýsingar frá framhaldsskólum sem hér um ræðir eru annars vegar tölulegar upplýsingar sem Hagstofa Íslands aflar árlega fyrir hönd ráðuneytisins og hins vegar upplýsingar sem mennta- og menningarmálaráðuneyti aflar vegna eftirlitsskyldu sinnar, fyrirspurna frá Alþingi og erlendrar samvinnu.

Framhaldsskólar skulu m.a. gera grein fyrir eftirtöldum þáttum um framkvæmd skólahalds:

Nemendur: Fjöldi nemenda í framhaldsskólum, aldur þeirra, kyn, búseta, ríkisfang, móðurmál og dreifing á námsbrautir og skóla.

Námsferill og árangur: Námsframvinda, brottfall, námsmat, þ.m.t. niðurstöður viðmiðunarprófa, skólasókn, brautskráningar. Námsferilsupplýsingar taka til nemenda sem hafa verið skráðir í nemendakerfi viðkomandi skóla frá umsókn og þar til þeir hætta námi með útskrift, brottfalli úr námi eða flutning í annan skóla. Undir þetta falla allar upplýsingar sem nauðsynlegar eru til að meta umsókn viðkomandi, framvindu náms, þ.m.t. áfangar, einkunnir, viðvera, nám metið annars staðar frá, úrsagnir og upplýsingar um námsbraut(ir) viðkomandi og loks almennar persónuupplýsingar svo sem nafn, kennitala, heimilisfang og símanúmer.

Starfsfólk: Fjöldi, aldur, kyn, starfsheiti, menntun, stöðuhlutfall og starfsaldur.

Innra starf skóla: Námsgreinar, kennslumagn, námsbrautir, starfstími, sérkennsla, skólanámskrá, gæðakerfi og matsgögn.

Aðstaða: Húsa- og tækjakostur.

Fjármál: Kennslukostnaður, rekstrarkostnaður og sértekjur.

4. gr. Skráning, meðferð og varsla persónuupplýsinga.

Með persónuupplýsingum er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi.

Við skráningu, meðferð og vörslu persónuupplýsinga skal þess gætt að uppfylltar séu þær kröfur sem gerðar eru til ábyrgðaraðila samkvæmt lögum um persónuvernd og meðferð persónuupplýsinga, nr. 77/2000, og laga um Þjóðskjalasafn Íslands, nr. 66/1985.

5. gr. Ábyrgð á vinnslu og öryggi persónuupplýsinga.

Hver framhaldsskóli er ábyrgðaraðili í skilningi laga um persónuvernd og meðferð persónuupplýsinga. Skólameistari ber ábyrgð á meðferð og vörslu upplýsinga og að skólinn uppfylli lagalegar kröfur sem gerðar eru til ábyrgðaraðila samkvæmt lögum um persónuvernd og meðferð persónuupplýsinga og laga um Þjóðskjalasafn Íslands, nr. 66/1985.

Sé rafrænni tækni beitt við vinnslu persónuupplýsinga innan skóla skulu framhaldsskólar tryggja að vinnslan uppfylli kröfur Persónuverndar hvað varðar heimild til vinnslunnar, sbr. 8. gr. laga um persónuvernd og meðferð persónuupplýsinga, um öryggi upplýsinganna, sbr. 11. gr. laganna og reglna um öryggi persónuupplýsinga, nr. 299/2001, að tilkynnt sé til Persónuverndar á þar til gerðu formi, geri lög ráð fyrir slíkri skyldu, sbr. reglur um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga, nr. 712/2008. Slík tilkynningarskylda er m.a. til staðar ef vinnsla viðkvæmra persónuupplýsinga fer fram í skólanum. Ákveði Persónuvernd að vinnsla skuli vera leyfisskyld skulu skólar aðstoða Persónuvernd við athugun á skólanum og afla sérstakrar heimildar fyrir vinnslunni.

Hver framhaldsskóli ber ábyrgð á varðveislu og meðferð persónuupplýsinga um nemendur sína og skal sjá til þess að upplýsingar komist ekki í hendur óviðkomandi aðila. Skólar skulu hafa öryggiskerfi sem tryggir vernd persónuupplýsinga og sjá til þess að innra eftirlit sé viðhaft með vinnslu þeirra. Við undirbúning öryggiskerfis skal gerð skrifleg öryggisstefna, skriflegt áhættumat og loks öryggisráðstafanir sem skulu ná til skipulags- og tæknilegra atriða, ytra öryggis og starfsmannamála. Skólar skulu veita ráðuneytinu upplýsingar um það hvernig öryggismálum er háttað samkvæmt þessari grein, sé eftir því leitað.

6. gr. Viðkvæmar persónuupplýsingar.

Viðkvæmar persónuupplýsingar, t.d. upplýsingar um heilsuhagi eða lyfja-, áfengis- og vímuefnanotkun, sbr. 8. tl. 2. gr. laga um persónuvernd og meðferð persónuupplýsinga, skulu geymdar í persónumöppum og varðveittar í læstum hirslum og/eða dulritaðar með fullnægjandi hætti.

Sama gildir um persónuupplýsingar um nemanda, sem lúta að hvers konar upplýsingum um greiningar og/eða sérúrræði.

7. gr. Aðgangur að upplýsingum.

Sérfræðingar og þeir starfsmenn skóla eða stofnunar sem sinna viðkomandi nemanda hafa aðgang að upplýsingum um nemandann í samræmi við starfsreglur viðkomandi skóla.

Óheimilt er, nema lög eða reglur kveði á um annað, að veita upplýsingar um einstaka nemendur, öðrum en þeim sjálfum og forsjárforeldrum þeirra, sé nemandi yngri en 18 ára, eða fósturforeldrum samkvæmt barnaverndarlögum nr. 80/2002. Um rétt forsjárlauss foreldris til aðgangs að upplýsingum um barn sitt upp að 18 ára aldri fer samkvæmt ákvæðum barnalaga nr. 76/2003. Um rétt nemenda til aðgangs að eigin upplýsingum fer samkvæmt ákvæðum 38. gr. laga um framhaldsskóla nr. 92/2008.

Þrátt fyrir ákvæði 2. mgr. er heimilt að veita öðrum skólum upplýsingar um einstaka nemendur vegna flutnings þeirra milli skóla eða vegna þess að þeir stunda nám við fleiri en einn skóla eða fræðslustofnun. Einnig er heimilt að veita fræðsluyfirvöldum slíkar upplýsingar í skýrt afmörkuðum tilgangi. Sé um viðkvæmar persónuupplýsingar að ræða skulu þær þó ekki afhentar nema með upplýstu samþykki forsjárforeldra eða lögráða nemanda.

Persónuupplýsingar skulu afhentar á öruggan hátt þannig að fyllsta trúnaðar sé gætt.

8. gr. Varðveisla og eyðing upplýsinga.

Framhaldsskólum er skylt að varðveita upplýsingar um nám nemenda og prófskírteini með tryggum hætti þar til þeim ber að standa skil á þeim upplýsingum samkvæmt ákvæðum laga um Þjóðskjalasafn Íslands.

Um varðveislu og eyðingu annarra gagna skal gætt ákvæða laga um Þjóðskjalasafn Íslands og fyrirmæla settra samkvæmt þeim lögum.

Gögn skal varðveita á frumriti í framhaldsskólunum nema annað eigi sérstaklega við.

9. gr. Upplýsingaréttur hins skráða.

Um upplýsingarétt hins skráða fer samkvæmt ákvæðum laga um persónuvernd og meðferð persónuupplýsinga.

Ágreiningi um upplýsingarétt hins skráða samkvæmt lögum um persónuvernd og meðferð persónuupplýsinga er heimilt að beina til úrlausnar Persónuverndar.

10. gr. Almenn upplýsingaskylda framhaldsskóla.

Framhaldsskólum er skylt samkvæmt upplýsingalögum nr. 50/1996 að veita almenningi aðgang að gögnum sem varða tiltekna þætti skólahalds þó með þeim takmörkunum sem lögin kveða á um. Þeir sem þess óska geta þannig fengið að sjá eintök af prófverkefnum þeirra prófa sem búið er að halda.

Rísi ágreiningur um aðgang að gögnum á grundvelli upplýsingalaga er heimilt að beina honum til úrlausnar úrskurðarnefndar um upplýsingamál.

11. gr. Gildistaka.

Reglugerð þessi, sem sett er samkvæmt 55. gr. laga um framhaldsskóla nr. 92/2008, öðlast þegar gildi.

Mennta- og menningarmálaráðuneytinu, 7. febrúar 2012.

Katrín Jakobsdóttir.

Ásta Magnúsdóttir.