Får en skola kontrollera elevers webbhistorik på skolans datorer?

Fråga

Vi har datorer som vi lånar ut till eleverna. De skriver på ett datorkontrakt om att de läst och godkänner våra lokala regler. Det inkluderar att behörig personal har rätt att kontrollera information som finns lagrad i skolans IT-system, som besökta internetsidor. Vi undrar, förenklat, om vi därmed har rätt att göra det vi påstår eller krockar det med någon lagstiftning? Finns det för övrigt något generellt om vem som kan fatta beslut och genomföra en sådan kontroll, exempelvis om det måste vara rektor och IT-avdelning?

Juristens svar

Om uppgifter om exempelvis besökta webbplatser kan kopplas till en viss elev är det fråga om personuppgifter. Att samla in, lagra, söka fram eller ta del av sådana uppgifter utgör behandling av personuppgifter, se artikel 4.1 och 4.2 dataskyddsförordningen (GDPR). 

Datorkontraktet och den rättsliga grunden

Att en elev har skrivit under ett datorkontrakt innebär inte i sig att skolan får kontrollera elevens webbhistorik eller andra personuppgifter. Behandlingen måste ha en rättslig grund enligt artikel 6 GDPR. 

Inom skolverksamhet är uppgift av allmänt intresse enligt artikel 6.1 e den rättsliga grund som enligt Integritetsskyddsmyndigheten (IMY) oftast kan användas inom både offentliga och privata skolor (IMY, För personuppgiftsansvariga inom skola och förskola). Behandlingen måste då vara nödvändig för att utföra en uppgift av allmänt intresse som är fastställd i unionsrätten eller svensk rätt, exempelvis genom skollagen, se även 2 kap. 2 § dataskyddslagen. 

Skollagen innehåller bland annat bestämmelser om trygghet, studiero och skolregler. Av 5 kap. 3 § skollagen följer att huvudmannen ska säkerställa arbetet för trygghet och studiero och att rektorn ansvarar för detta arbete. Bestämmelser om skolregler finns i 5 kap. 5 och 5 a §§. Dessa regler kan vara relevanta för att fastställa vilka uppgifter av allmänt intresse skolan ska utföra. De innebär dock inte i sig någon generell befogenhet att kontrollera elevers webbhistorik. 

Samtycke kan enligt IMY vanligtvis inte användas som rättslig grund inom skolans ordinarie verksamhet, bland annat på grund av ojämlikheten mellan skolan och eleven (IMY, För personuppgiftsansvariga inom skola och förskola). Att en behandling anges i ett datorkontrakt innebär inte heller i sig att behandlingen kan grundas på avtal enligt artikel 6.1 b GDPR. EU-domstolen har slagit fast att artikel 6.1 b endast kan användas när behandlingen är objektivt oundgänglig för att avtalets huvudändamål ska kunna uppnås. Det räcker inte att behandlingen nämns i avtalet eller endast är till nytta för att fullgöra det (mål C-252/21, Meta Platforms m.fl., punkterna 98–99).  Att behandlingen nämns i avtalet eller är till nytta för avtalets fullgörande är inte tillräckligt. 

Vilka gränser gäller för kontrollen?

Även när det finns en rättslig grund måste de grundläggande principerna i artikel 5 GDPR följas. Personuppgifter ska bland annat samlas in för särskilda och uttryckligt angivna ändamål och vara adekvata, relevanta och inte för omfattande i förhållande till ändamålen, se artikel 5.1 b och c. IMY framhåller också att skolan inte ska behandla fler personuppgifter än vad som behövs och att uppgifterna ska skyddas mot obehörig åtkomst (IMY, För personuppgiftsansvariga inom skola och förskola). 

Webbhistorik kan dessutom i vissa fall avslöja exempelvis hälsa, religion, politiska åsikter eller sexuell läggning. EU-domstolen har i mål C-252/21, Meta Platforms m.fl., slagit fast att behandling av uppgifter om besök på webbplatser och appar kan omfattas av artikel 9 GDPR när behandlingen gör det möjligt att avslöja sådana känsliga personuppgifter (punkterna 69–73). I sådana fall krävs även att något av undantagen i artikel 9.2 är tillämpligt. 

När eleverna är barn ska dessutom beaktas att barns personuppgifter enligt skäl 38 GDPR förtjänar ett särskilt skydd. Av artikel 12.1 följer att information om personuppgiftsbehandlingen ska lämnas klart och begripligt, särskilt när den riktas till barn. 

Vem får besluta om och genomföra kontrollen?

Det är den personuppgiftsansvarige som ansvarar för att dataskyddsreglerna följs. Enligt IMY är skolans huvudman personuppgiftsansvarig, inte rektorn eller enskilda lärare. I en kommunal skola är det den ansvariga kommunala nämnden (IMY, För personuppgiftsansvariga inom skola och förskola). 

GDPR eller skollagen anger inte att just rektorn måste besluta om, eller att IT-personal måste genomföra, en kontroll av IT-loggar. Rektorn har dock enligt 5 kap. 5 a § skollagen ansvar för skolreglerna och för gemensamma rutiner och förhållningssätt för att upprätthålla dem. Den personuppgiftsansvarige ska samtidigt vidta lämpliga tekniska och organisatoriska åtgärder, se artiklarna 24 och 32 GDPR. Det behöver därför finnas en lämplig intern behörighetsordning. Av artikel 29 följer också att personer med tillgång till personuppgifter under den personuppgiftsansvariges eller ett personuppgiftsbiträdes överinseende som utgångspunkt endast får behandla uppgifterna enligt den personuppgiftsansvariges instruktioner. 

Vid systematisk övervakning av elevers IT-användning kan även en konsekvensbedömning enligt artikel 35 GDPR krävas. Systematisk övervakning och behandling av uppgifter om sårbara personer, där barn ingår, är två kriterier i IMY:s förteckning enligt artikel 35.4 (IMY, När ska en konsekvensbedömning genomföras?). 

Sammanfattningsvis skapar ett datorkontrakt inte i sig någon generell rätt att kontrollera elevers webbhistorik. Bedömningen beror bland annat på ändamålet, den rättsliga grunden och om behandlingen är nödvändig och begränsad till vad som behövs. Det finns inte heller något generellt krav på att kontrollen ska beslutas av rektor eller genomföras av IT-personal, men behörighet och åtkomst behöver regleras tydligt. 

Ursprungligen publicerad i JP ITnet.

Ny praxis och lagändringar kan ha tillkommit sedan texten skrevs. De senaste uppdateringarna och hur dessa påverkat rättsområdet hittar du alltid i relevant informationstjänst.

Publicerad 2 nov 2026

Jonatan Nordlander

Jurist, redaktör