Gallring i praktiken – så får du koll på dina handlingar

När vi pratar in­for­ma­tions­han­te­ring i skolan handlar det ofta om vad som ska sparas. Men minst lika viktigt är frågan om vad som faktiskt ska bort. Det konstaterade Zandra Larsen, jurist och data­skydds­sam­ord­na­re på Freja Partner, när hon under Gotit Week höll ett webbinarium om gallring enligt GDPR och SKR:s vägledning Bevara eller gallra 2 för ut­bild­nings­verk­sam­het.

– Gallring är inte bara en administrativ detalj, utan en kritisk del av in­for­ma­tions­han­te­ring­en som både skyddar organisationen och individers integritet, säger hon.

Mellan bevarande och lag­rings­mi­ni­me­ring

För den som arbetar i gymnasie- eller vuxverksamhet kan det ibland kännas som att lagstiftningen drar åt två håll. Å ena sidan har vi arkivlagen, som säger att viktiga handlingar ska bevaras för att säkra rättssäkerhet, insyn och möjlighet att följa en elevs skolgång över tid. Å andra sidan ställer GDPR krav på lag­rings­mi­ni­me­ring – personuppgifter får bara sparas så länge de är nödvändiga för ändamålet.

I praktiken innebär det att vissa handlingar ska bevaras länge, ibland permanent, medan andra ska gallras direkt när de inte längre behövs. Gymnasiebetyg och komvuxarbeten är exempel på uppgifter som ska bevaras – inte minst för att elever ofta återkommer till vuxutbildningen efter flera år och behöver kunna bygga vidare på tidigare studier.

Samtidigt finns mängder av handlingar som tvärtom ska gallras när de blivit inaktuella, till exempel ansökningar om ledighet, tillfälliga intyg eller medgivanden inför friluftsdagar och utflykter.

– Syftet med gallringskravet är att skydda den enskildes integritet. Ju längre vi sparar uppgifter utan behov, desto större blir risken för obehörig åtkomst, missbruk och felaktig behandling, säger Zandra Larsen.

”Bevara eller gallra 2” – stöd, inte facit

I det arbetet är SKR:s vägledning Bevara eller gallra 2 ett viktigt stöd. Den ger rekommendationer om hur olika handlingstyper i ut­bild­nings­verk­sam­het bör hanteras – från elevakter och betyg till personaluppgifter och webbrelaterat material. Vägledningen är dock inte ett färdigt facit som man bara kan hänvisa till och sedan luta sig tillbaka.

– Råden är just råd. De ger en struktur och pekar ut riktningar, men de säger också att lokala förhållanden spelar stor roll. Det är varje kommun och huvudman som måste fatta egna beslut och dokumentera varför man gör den bedömning man gör, säger Zandra Larsen.

För administratörer innebär det i praktiken att man behöver veta vilka lokala beslut som gäller, och var de finns – i in­for­ma­tions­han­te­rings­plan, gallringsbeslut eller andra styrdokument. När osäkerhet uppstår är det klokt att ta hjälp: dataskyddsombud, arkivfunktion och ibland även system­le­ve­ran­tö­rer.

– Dataskyddsombudet finns där för att hjälpa till. Samarbete med både arkivfunktion och dataskyddsombud gör gallringsfrågorna betydligt lättare att hantera, understryker Zandra Larsen.

Från principer till praktik i systemen

För många blir gallring verklig först när man tittar in i de system man arbetar i varje dag, som Alvis och Skolplatsen. Här finns ofta tekniska möjligheter till automatisk gallring. Det kan handla om att an­sök­nings­hand­ling­ar rensas bort efter en viss tid, eller att vissa dokument försvinner när en elev avslutar sin utbildning. Men tekniken löser inte allt.

– Automatiska gallringar i systemen är väldigt smidiga, men de kräver att man testar och kontrollerar att de verkligen gör rätt. Det får inte raderas tidigare än vad lagar och beslut säger, säger Zandra Larsen.

En nyckel är att börja med att identifiera handlingstyperna: vad är egentligen en ”handling” i Alvis eller Skolplatsen? Vad ingår i en ansökan? Vilka fält tillhör elevakten, och vilka är mer tillfälliga uppgifter? Både Gotit och många kommuner har lagt mycket arbete på att definiera detta, just för att kunna koppla rätt gallringsregler till rätt uppgifter.

När handlingstyperna är tydliga blir nästa steg att koppla dem till de beslutade gall­rings­fris­ter­na och se över om systemen kan stödja arbetet. En del verksamheter arbetar med ett årshjul där gallring är en återkommande punkt: under hösten går man igenom elevakter och fysiska pärmar, senare på året kontrollerar man de digitala systemen, och i början av nästa år dokumenterar man vilka gallringar som faktiskt har genomförts och varför.

Det kan låta ambitiöst, men poängen är att göra gallringen till en naturlig del av året, inte något som bara tas upp i samband med en incident.

När det går fel

Om gallringen inte fungerar kan konsekvenserna bli både juridiska, ekonomiska och praktiska. GDPR ger till­syns­myn­dig­he­ter möjlighet att utfärda betydande sanktionsavgifter vid brott mot till exempel principen om lag­rings­mi­ni­me­ring i artikel 5.

Men den kanske allvarligaste effekten i vardagen handlar om förtroende. Läckta uppgifter, felaktiga beslut på grund av gamla eller bristfälliga underlag och elever som inte får rätt betyg eller underlag – allt detta eroderar tilliten till skolan som myndighet.

Som varnande exempel nämner Zandra Larsen det omfattande dataintrånget hos system­le­ve­ran­tö­ren Miljödata 2025. Där hade personuppgifter i vissa fall sparats sedan 2006, långt utöver vad som varit rimligt. När uppgifterna läckte ut drabbades över 1,5 miljoner svenskar, bland dem personer med skyddade personuppgifter.

– Det här visar väldigt tydligt att gallring inte är en ”nice to have”-fråga. Låter vi uppgifter bli liggande år efter år ökar vi också risken för allvarliga skador vid en incident, säger Zandra Larsen.

I slutändan är budskapet tydligt, menar hon: gallring är inget sidospår – det är en förutsättning för tillit. Att skolor hanterar information ansvarsfullt innebär minskade risker, starkare rättssäkerhet och ökad trygghet för alla berörda. För bakom varje uppgift finns en människa och deras integritet förtjänar att tas på största allvar.