I helgen rapporterade Lundagård om stora brister i personuppgiftshanteringen hos Studentkortet. Uppgifterna får företaget i från Centrala studiestödsnämnden (CSN) som med stöd i Studiestödsdataförordningen får lämna ut personuppgifter till så kallade ”rabattkortsföretag”.
– Vi har en laglig möjlighet att lämna ut denna typ av uppgifter enligt Studiestödsdataförordningen, det ska underlätta hanteringen. Det kan också gå via offentlighetsprincipen, men när det gäller denna typ av massuppgifter som vi ska hantera så lyder det under den förordningen, säger Klas Elfving, pressekreterare på CSN.
I Studiestödsdataförordningen står det bland annat att CSN utan den registrerades samtycke elektroniskt får lämna ut personuppgifter till vissa myndigheter och företag. Bland annat får CSN lämna ut uppgifter till ”företag som tar fram och till studerande distribuerar bevis om studiestöd för”.
CSN har ingen lagstadgad skyldighet att lämna ut uppgifter men förordningen ska bidra till att underlätta hanteringen av massförfrågningar. Sedan sker en enskild bedömning efter varje förfrågan som CSN får. De företag som enligt Klas Elfving kan bli aktuella är så kallade ”rabattkortsföretag”, likt Studentkortet och att det i övrigt rör sig om några få aktörer.
Han påpekar samtidigt att det är viktigt att de som hanterar uppgifterna gör det på ett sätt som är korrekt så att de studerandes uppgifter inte missbrukas utan hanteras på ett säkert sätt.
– Det är beklagligt att detta har hänt. Det vi kommer göra nu är att kontakta Studentkortet för att säkerställa att man hanterar de uppgifter som vi delar ut på ett seriöst sätt, säger Klas Elfving.
Efter Lundagårds avslöjande meddelade Studentkortet på söndagen att de vidtagit åtgärder för att täppa till luckan och att det inte finns indikationer på att något dataintrång skett.
Enligt honom kommer paragrafen som rör just dessa utlämnanden i Studiestödsdataförordningen inte påverkas av GDPR.
Läs mer:
Brister i Studentkortets personuppgiftshantering uppdagade
Studentkortet åtgärdar säkerhetsbrist efter Lundagårds avslöjande
