Bekymrede foreldre opplever at skolen ikke har oversikt og kontroll med hvordan deres barns personopplysninger blir brukt. Vi i Datatilsynet deler denne bekymringen og har ved flere anledninger etterlyst en nasjonal strategi som kan veilede kommunene i et utfordrende digitalt landskap.

Mangelfull kompetanse om personvern

I Norge er den obligatoriske skolegangen for barn 10 år. I denne perioden samles det inn betydelige mengder personopplysninger om elevene slik som navn, fødselsnummer, faglige prestasjoner og ferdigheter, familierelasjoner, livshendelser og helseopplysninger. Opplysningene behandles i ulike administrative systemer og digitale verktøy som skolen og kommunen bruker. De brukes i opplæringen og i kommunikasjonen med hjemmet og deles med andre offentlige instanser som Nav, barnevernet, helseforetak og politiet når det er nødvendig. Sannsynligheten er også stor for at de opplysningene som samles inn om en skolestarter i 2020, vil bli brukt til helt nye formål når eleven avslutter grunnskolen i 2030.

Dessverre erfarer Datatilsynet at kompetansen i skolevesenet ikke holder tritt med bruken av de teknologiske verktøyene. Risikoen for at personopplysninger og sensitiv informasjon om enkeltelever kommer på avveie er høy. Det store antallet brudd på personopplysningssikkerheten bekrefter nettopp hvordan mangelfull kompetanse fører til at opplysningene kommer på avveier. I løpet av 2019 fikk vi inn nesten 2000 meldinger om avvik, og om lag en av ti gjaldt avvik som berørte barn og unge.

Ny opplæringslov

Opplæringsloven pålegger ansatte i kommunen og fylkeskommunen å samle inn betydelige mengder personopplysninger om den enkelte elev – også sensitive personopplysninger. Elevene har dermed plikt til å gi fra seg disse opplysningene dersom de skal kunne gjennomføre den obligatoriske skolegangen.

Datatilsynet er overrasket over at lovforslaget til ny opplæringslov ikke er tydelig nok på hvordan personvernet til elevene skal ivaretas.

Her er det mye komplisert juss der personvernforordningen og forvaltningsloven krysser hverandre. I lovforslaget er personopplysningssikkerhet så å si ikke nevnt. Dette til tross for at skoler i dag laster ned og bruker applikasjoner i ordinær undervisning, uten at det er gjennomført en risikovurdering av sikkerheten i forkant av denne bruken. Det viser en bekymringsfull utvikling. Ansvaret for personopplysningssikkerheten må bli tydeliggjort i regelverket.

Alvorlige konsekvenser

Det kommunale selvstyret står sterkt i Norge, og med rette. Det er den enkelte kommune som kjenner lokale forhold best. De er også ansvarlig for at personopplysninger behandles lovlig. Digitaliseringen gir kommunene og den enkelte skole et stort ansvar for personvern og personopplysningssikkerhet.

To saker mot Bergen kommune er illustrerende. I den første saken ble personopplysninger om elever på hemmelig adresse delt med uvedkommende. Slike opplysninger er av svært sensitiv karakter og krever høyeste grad av teknisk sikkerhet og vanntette rutiner. Når slike opplysninger kommer på avveier kan det innebære at de involverte må flytte, og i verste fall kan det være livstruende. Overtredelsesgebyret på tre millioner kroner gjenspeiler alvorligheten i saken.

I den andre saken ble filer med brukernavn og passord til over 35 000 brukere i kommunen tilgjengeliggjort for elever og ansatte i grunnskolen. Dermed kunne elever, ansatte og administrator på skolen logge seg inn på skolens ulike informasjonssystemer og få tilgang til personopplysninger om andre elever og ansatte. Denne avvikssaken er av så alvorlig karakter at Bergen kommune ble gitt et overtredelsesgebyr på 1.6 millioner kroner for mangelfull personopplysningssikkerhet i datasystemene.

Kommunene trenger hjelp

Dagens regelverket er ganske komplisert, og det å ta i bruk digitale verktøy, apper og skoleadministrative systemer kan ikke overlates til de enkelte kommune alene. Når Norges nest største kommune med en relativt stor IT-avdeling og lovavdeling gjør alvorlige feil, sier det seg selv at dette er et svært komplekst område

Mange kommuner gjør en god jobb med personvern og sikkerhet og leder an i digitaliseringen. Dersom en kommunen har risikovurdert en app, bør andre kommuner få vite at de kan bruke den samme appen. KS har tatt flere gode initiativer for å få de flinke til å dra de andre med seg, og vil utvikle verktøy som den enkelte kommune kan bruke. Kommunene selv arbeider også iherdig med å sette seg inn i regelverket og få gode rutiner på plass.

Det er likevel viktig og helt nødvendig med en sentral, overordnet styring fra høyeste hold.

Datatilsynet mener det haster med å få på plass en nasjonal strategi for personvern og sikkerhet i grunnskolen og videregående skole i Norge. Vi har ingen tid å miste. Et godt læringsmiljø og en trygg skolehverdag i 2020 betyr også at våre barns personopplysninger behandles på en forsvarlig og trygg måte, i tråd med regelverket.

Det siste året har vi gjennomført 20 tilsyn med hvordan personopplysninger om barn håndteres ved skoler og barnehager. Grunnen er at skolen har vært gjennom en endring vi har sett i mange andre sektorer: Billigere og mer brukervennlig teknologi har blitt tilgjengelig. Samtidig som det offentliges ønske om å registrerer ulike typer opplysninger for å forbedre kvaliteten på skolen har blitt større.

Det er ingen ende på hva som kan registreres og lagres. Karakterer, orden, oppførsel, adferd og språkutvikling er noen eksempler. Det finnes også verktøy som gjør det mulig å logge hvilke nettsteder elevene har besøkt i skoletiden.

Det kan være gode grunner for å registrere alle disse opplysningene. Det krever imidlertid svært gode rutiner, god informasjonssikkerhet og ikke minst en gjennomtenkt holdning til hvorfor man skal lagre de ulike opplysningene, hva de skal brukes til og hvor lenge de skal lagres. Det er viktig å presisere at det er eierne av skoler og barnehager som er ansvarlig for å gjøre skolene og barnehagene i stand til dette. For offentlige skoler og barnehager er skoleeier kommune og fylkeskommune. For private skoler og barnehager er det øverste leder i virksomheten.

«Skoleeier trenger digital kompetanse og forståelse for personvern»

Vi har nå oppsummert tilsynene i en samlerapport; Personvern i barnehager og skoler. Blant hovedfunnene er:

• Skoleeier og skolene mangler oversikt over hvilke personopplysninger de faktisk har lagret
• Manglende risikovurderinger – skoleeier har med andre ord ikke vurdert sannsynligheten for at personopplysningene kan komme på avveier, hvilke konsekvenser det vil få, og hvilke sikkerhetstiltak som må på plass for å forhindre at det skal skje
• Deling av personopplysninger med tredjeparter, som for eksempel skyleverandører
• Uklarhet om hvem som egentlig har ansvar for at personopplysningene behandles skikkelig
• Logging av elevenes bruk av IKT

Selv om funnene er mange og alvorlige, har vi opplevd en sektor som helt klart ser at de har en utfordring, og som vil gjøre noe med den. Men kommunene, fylkeskommunene og virksomhetslederne trenger hjelp. Regelverket er ikke særlig enkelt å forstå, og mange eiere mangler kompetanse til å gjøre ting riktig. Derfor tar Datatilsynet nå initiativ til at det lages en norm for hvordan skolene skal behandle og sikre personopplysninger. Vi ser for oss en selvhjelpspakke til skoleeierne og skolene som blant annet kan inneholde huskelister, sjekklister, veiledere og annet materiale de kan bruke for å få hjelp til å følge reglene.

Mange må bidra for å få dette til. Vi skal så absolutt gjøre vårt. Men også vi trenger hjelp, først og fremst fra regjeringen gjennom et tydelig signal om at barnehagebarn og skoleelevers personvern skal ivaretas bedre. Da finner vi forhåpentligvis ikke feil neste gang vi kommer på tilsyn, men en skole som har nettopp det de skal lære elevene; solid digital kompetanse og forståelse for personvern.