Schrems II försenar DNP ytterligare

– När Schrems II-domen föll i EU-domstolen förändrades de rättsliga förutsättningarna för de digitala nationella proven, vilket innebär att det kommer bli försenat, säger Eva Westberg, chefsjurist på Skolverket.

Schrems II-domen kom i juni 2020. Varför har inte beslutet kommit tidigare?

– Det har varit en hel del förhandlingar med vår leverantör för att lösa situationen. Nu har vi fått ett nytt förslag från leverantören som vi framåt kommer att arbeta med, säger Eva Westberg.

Mer konkret har Skolverket gjort bedömningen att det krävs förändringar i både drift och support av molntjänsten som ska användas. Skolverkets leverantör av provplattformen har sitt säte i Storbritannien och verksamhet i Australien. Därför måste Skolverket säkerställa att personuppgifter kan hanteras inom EU/EES-området, alternativt i Storbritannien, men förutsatt att de har en adekvat skyddsnivå, det vill säga en tillräckligt hög skyddsnivå i enlighet med GDPR. I så fall behöver landet inte vara med i EU eller EES, men är ändå godkänd att hantera personuppgifter.

GDPR och Schrems II

– Om det finns ett adekvansbeslut, alltså ett beslut som indikerar att Storbritannien hanterar personuppgifter på ett sätt som är kompatibelt med GDPR, kan leverantören drifta och supporta provplattformen även där. Men detta beslut kommer inte förrän i höst, det är därför vi i dagsläget har spannet hösten 2024 till hösten 2025. I höst kommer även en mer detaljerad tidsplan, säger Marcello Marrone, projektledare för digitalisering av nationella prov på Skolverket.

Marcello Marrone tycker att beskedet är extra tråkigt för de huvudmän och skolor som låg långt fram i förberedelserna inför DNP och som var måna om att sätta igång. Han menar dock att det nu finns extra tid för förberedelser men att förseningen inte är en anledning till att slå av på takten.

– Vi har sett att det finns skolor och huvudmän som välkomnar mer tid till förberedelser, både tekniska och organisatoriska. Dessa skolor, men även de som ligger långt fram, har nu en bra möjlighet att verkligen vara redo när det är dags för DNP.

Hur kommer det här beslutet påverka andra system i skolan som också lagrar data i molntjänster?

– Det kan jag inte svara på riktigt. På Skolverket har vi fullt fokus på att ta fram en provplattform för en miljon användare per år och som har GDPR-efterlevnad. Med det sagt vill vi inte peka med hela handen, vi är inte någon talesperson som försöker säga hur alla skolor ska göra i sin dagliga verksamhet. Det är varje huvudmans eller skolas ansvar att hantera sina egna system när de är personuppgiftsansvariga, säger Marcello Marrone.

Hur fortsätter arbetet?

– Utöver höstens adekvansbeslut ska vi även färdigställa en konsekvensbedömning i samråd med Integritetsskyddsmyndigheten, IMY, som ska ge ett utlåtande på skyddsåtgärder som vi, tillsammans med vår leverantör, kan vidta för att minimera risker. De kanske ser något som vi inte tänkt på, eller så är allt i sin ordning. Vi vill i alla fall ta vårt ansvar för att se till att allt hanteras på rätt sätt, säger Marcello Marrone.