Under lång tid har Sveriges universitet och högskolor ägnat både tid och resurser åt att förbereda sig för den nya GDPR-lagens krav. Den som önskar ska till exempel få veta vilka personuppgifter som lagrats i systemen – och under vissa omständigheter ska man också kunna få sina uppgifter raderade.
Kan eventuellt radera tentor
SVT Nyheter har varit i kontakt med flera svenska universitet som uppger att det redan kommit in önskemål från olika personer om både information och radering. Men ännu finns inget självklart svar på vad som gäller, och om man till exempel har rätt att få sina gamla misslyckade resttentor raderade.
– Eventuellt, om det inte längre finns ett ändamål för universitetet att hantera dem, svarar Benita Falenius, informationssäkerhetschef och dataskyddsombud vid Stockholms universitet.
Enligt de ansvariga på landets lärosäten har det inte varit möjligt att göra några generella ställningstaganden eftersom GDPR-lagen inte varit i kraft förrän nu – och det inte finns några domstolsutslag att luta sig mot.
Olagliga uppsatser?
Ett annat frågetecken gäller de hundratusentals forskningstexter som finns på lärosätenas servrar och som också publicerats på nätet. Även en enkel uppsats kan innehålla många personuppgifter och frågan är om uppsatsen kan fortsätta ligga ute som i dag.
– Vi måste titta närmare på det och göra en rättslig utredning, säger Benita Falenius.
Vid Göteborgs universitet känner man sig mer säkra på att kunna behålla rapporterna. Universitetets förvaltningsjurist Kristina Ullgren säger till SVT att man i slutänden kan hänvisa till universitetens grundläggande ändamål om forskning och utbildning.
Kritiserat undantag
Den nya GDPR-lagen har ett undantag för vad som kallas ”akademiskt skapande”, men det begreppet är helt nytt och har kritiserats för att vara oklart. Vetenskapsrådet skrev i fjol i en remiss att oklarheten ”är olycklig och kan komma att innebära tolkningsproblem och öppna för oönskade konsekvenser när förordningen ska börja tillämpas och innan praxis har utvecklats.”
Enligt Datainspektionen går det i dag inte att ge ett generellt svar på om universiteten har lagligt stöd för att behålla personuppgifter i till exempel gamla uppsatser. Enligt myndigheten måste lärosätena göra en bedömning av lagligheten i varje enskilt fall.
I slutändan kan även denna fråga komma att avgöras av domstol, till exempel om någon kräver att ett universitet plockar bort personuppgifter från en gammal uppsats och universitetet motsätter sig detta.