Denne bloggen står som kronikk i Aftenposten på den internasjonale personverndagen 28. januar.

I dag markeres den internasjonale personverndagen over hele verden. I 2019 har Datatilsynet mottatt over 100 saker hvor barns personvern har blitt skadelidende på grunn av tekniske mangler eller menneskelige feil i en stadig mer digitalisert skolehverdag. Flere av sakene har vært bredt omtalt i media, og en av dem har ført til stor politisk turbulens i Bergen. Våre første og største overtredelsesgebyr etter innføringen av nytt personvernregelverk har gått til kommuner som har sviktet i å beskytte skoleelevers personopplysninger. Det finnes to hovedutfordringer som deles av så nært som alle norske kommuner:

1. Skolenes digitale kompetanse har ikke holdt tritt med digitaliseringstempoet

2. Norske kommuner er ofte ikke i stand til å beskytte sine mest sårbare innbyggeres personvern godt nok

Vi trenger et felles, nasjonalt løft for å lukke gapet mellom kompetansen i norske kommuner og kravene som stilles i en digital skolesektor.

Kommunen er alene

Det kommunale selvstyret står sterkt i Norge. På skolefeltet innebærer det at avtaler om hvilke digitale løsninger som tas i bruk for læring, kommunikasjon og elevvurdering i stor grad forhandles frem i hver enkelt kommune. Videre er hver kommune selv ansvarlig for å gjøre risikoanalyser og vurdere personvernkonsekvenser av verktøy som kjøpes inn, i henhold til regelverket. Dette er ikke en enkel oppgave. Likevel er det ingen vei utenom. Kommuneledelsen kan ikke velge å ikke ta i bruk digitale verktøy, og plikter å gjøre det på en måte som sikrer sine innbyggeres rettigheter og friheter. Denne kombinasjonen av digitaliseringspress og kompetansemangel fører til saker som den mye omtalte skoleapp-saken, der en familie med sterkt beskyttelsesbehov plutselig får sine nye navn og hemmelige adresse eksponert overfor en voldelig ekssamboer.

Det kan synes som en gordisk knute. Digitaliseringstoget har forlatt perrongen og norske kommuner løper etter som best de kan.

Vi må anerkjenne at det digitale økosystemet er for komplisert og krevende å navigere i for den enkelte kommune. Det nye personvernregelverket stiller strenge krav til digitale løsninger som skal behandle personopplysninger, fordi vi har fått en bredere forståelse av hvilken makt som ligger i utstrakt datahøsting. Barn har i tillegg et særskilt vern. Å løfte digitaliseringsarbeidet som i dag gjøres i den enkelte kommune opp på nasjonalt nivå, kan bidra til en mer robust og strømlinjeformet prosess som hadde gagnet alle kommuner.

Store kommuner må dra de små med seg

Det finnes flere kommuner som har bygget imponerende digitale løsninger for skolen, basert på et grundig strategiarbeid. Det er gjerne store kommuner med høykompetente juss- og IKT-avdelinger. Vi bør utforme ordninger som gir disse bjellesauene insentiver til å aktivt dele sine løsninger med andre kommuner uten de samme musklene. Hvor ansvaret for en slik nasjonal strategi for et kommunalt kompetanseløft skal ligge, er en viktig diskusjon som vi nylig reiste på en rundebordskonferanse.

Kommunene trenger hjelp til å nå igjen digitaliseringstoget, og det haster. Datatilsynet har gjennomført en undersøkelse, hvor vi blant annet har spurt om tilliten til at ulike virksomheter er i stand til å beskytte våre personopplysninger.  Tallene viser at tilliten til skoler og barnehager er mye lavere enn til de fleste andre offentlige virksomheter. Med tanke på hvor sensitive opplysninger skolen har ansvar for, er det lave tillittsnivået dypt bekymringsverdig.

Den norske Google-skolen

De fleste sakene vi har behandlet gjelder brudd på informasjonssikkerheten. Samtidig ser vi at flere kommuner inngår avtaler om levering av digitale læringsverktøy med selskaper som har omfattende datainnsamling som forretningsmodell. Google har etter hvert mange av Norges kommuner på kundelisten for levering av digitale skoleløsninger.

De store amerikanske teknologiselskapenes inntreden i skolesektoren er i liten grad problematisert og diskutert i den norske offentligheten. Google har på få år bygget seg opp til å bli et av verdens aller mest verdifulle selskap ved hjelp av intensiv datainnsamling.

Når en norsk kommune inngår en avtale med Google inkluderer den som regel maskinvare, operativsystem, applikasjoner, programmer, e-post og skylagring. Disse verktøyene tilbys til en relativt rimelig penge. Skolepakkene Google tilbyr tilrettelegger for innsamling av enhetsinformasjon, loggopplysninger, handlingsmønstre, lokasjonsdata, IP-adresse og telefonnummer. Vi vet ikke hva som skjer med disse profilene når barna går ut av skolen og leverer fra seg utstyret. En viktig oppgave for Datatilsynet blir å undersøke lovligheten av denne bruken. Vår undersøkelse viser også en sterk motstand mot å slippe til selskaper som tjener penger på datahøsting inn i skolesektoren.

Vi trenger en nasjonal løsning

Det varierende kompetansenivået i norske kommuner gjør at store, globale aktører i stor grad kan sette premissene for hvordan skolen utformes. I forhandlinger med Google, Apple og Microsoft må det stilles tydelige krav til hvordan læringsmidlene fungerer, og kommunene må ha en reell forståelse av hvilke forretningsmodeller løsningene hviler på. Det er et tungt ansvar som hviler på hver enkelt kommune. Foreldre kan i liten grad motsette seg løsningene som velges, og kommunene tar viktige valg på vegne av en sårbar gruppe.

Skole-Norge navigerer i et komplekst farvann. Det er viktig at kommunene tilfredsstiller kravene til en moderne og fremtidsrettet skole. Samtidig må de sørge for at de ivaretar rettighetene til en sårbar gruppe, nedfelt i et omfattende og til dels krevende lovverk. For å minske sannsynligheten for at barn blir skadelidende som følge av digitaliseringstempoet i skolen, bør vi søke en nasjonal løsning på en utfordring som norske kommuner i dag står alene om å møte.

Vi hadde invitert fire paneldeltakere som bidro til en viktig debatt: Kai Morten Terning, statssekretær i Barne-, likestillings-, og inkluderingsdepartementet (FrP), Bård Vegar Solhjell, stortingsrepresentant for SV, og tidligere kunnskaps- og miljøminister, Heidi Nordby Lunde, stortingsrepresentant for Høyre, men også kjent som bloggeren Vampus og Jan Holm, administrerende direktør i Lyse Smart, blant annet kjent for sine velferdsteknologiprodukter.

Debatten kretset rundt problemstillinger trukket frem i årets personvernrapport, knyttet til tingenes internett og barns rett til personvern.

Individet må være i førersetet

Jan Holm fra Lyse Smart åpnet debatten med å fortelle hvordan selskapet er i ferd med å rulle ut smarthus-teknologi. Han fremhevet at det er forbrukeren som skal eie alle dataene som produseres når hjemmet fylles med smarte sensorer. Løsningen skal bygges slik at det kun er forbrukeren som har tilgang til den samlede oversikten over alle dataene som sendes ut fra hjemmet. Lyse skal ikke ha mulighet til å se «hele bildet». Data skal ikke selges videre til tredjeparter. Holm trakk også frem at Lyse er svært positive til den nye personvernlovgivningen som kommer i løpet av året, som vil gi like konkurransevilkår i Europa.

Bård Vegard Solhjell startet med å si at det ofte blir laget en konflikt i politikken mellom de som er mot teknologi og de som er for personvern. Dette er feil, presiserte han. Ofte er det de som er mest opptatt av teknologi som er mest opptatt av personvern. Det som er viktig er at det er vi mennesker som har kontrollen over den teknologiske utviklingen. Den viktige debatten er hvordan vi skal innføre ny teknologi på en god måte, presiserte han. I denne debatten er ikke kommersielle hensyn den største utfordreren, men alle de gode hensynene som teknologien skal brukes til. Hvem kan være imot at barna lærer bedre, at biler kolliderer mindre og at flere kriminelle blir tatt? «Du må være ond for å være imot det», sa Solhjell, men vi må aksepterer SLARK i samfunnet! Det skal ikke være mulig å måle og kontrollere alt. Den andre viktige debatten knyttet til tingenes internett, som Solhjell trakk frem, er hvordan det at andre kan vite hvor vi er og hva vi gjør påvirker vårt handlingsmønster. Dette vil også være en stor debatt fremover, mente han.

Heidi Norberg Lunde trakk frem viktigheten av å skille mellom overvåking fra staten, som er ufrivillig, og den mer frivillige overvåkingen, den vi utsetter oss for når vi innreder hjemmene våre med sensorer. Ifølge Norberg Lunde må vi se utviklingen an før vi begynner å regulere bruk av sensorteknologi: «Vi begynner ikke å regulere vann når det bare er en liten bekk». Vi må se teknologien i bruk. Det intelligente kjøleskapet har fremdeles ikke flyttet inn i hjemmene til folk, selv om det er over ti år siden vi begynte å prate om det. Foreløpig preges debatten ifølge Norberg Lunde av ytterpunktene dystopi og fremtidsoptimisme.

Statssekretær Kai Morten Terning fremholdt at tingenes internett allerede er her i form av velferdsteknologi. Regjeringen er opptatt av de nye mulighetene som sensorteknologien gir for å ta vare på eldre og andre med spesielle omsorgsbehov, slik at de kan bo hjemme lengst mulig. Bruk av sensorteknologi på barn var statssekretæren skeptisk til, men den samme teknologien kan imidlertid ha svært stor nytte overfor eldre og demente.

Holm fra Lyse var enig i at «slark» i samfunnet er bra og riktig. Men når det gjelder velferdsteknologi, så er dette på full fart inn i hjemmene, og her er det viktig å få på plass klare retningslinjer. Det er snakk om å bruke de rette dataene i de rette kontekstene, poengterte han.

Debatten beveget seg så over på barns rett til personvern.

Er det grenser for hvor mye vi skal passe på barna?

Innlederne var enige om at det ikke hersket stor politisk uenighet i dette spørsmålet. Foreldre vil gjøre alt de kan for å passe på barna sine. Solhjell mente likevel at dette vil bli en kjempedebatt om noen år. Hvor langt skal vi gå i å passe på barna? Statssekretær Herning sa at han forstår at foreldre vil følge med på hva barna gjør. Men å gjøre dette i skjul er ikke greit. Det er egentlig det samme som å lese i barnas dagbok. Statssekretær Herning var også tydelig på at det ikke er lov å samle inn personopplysninger fra barn for å drive markedsrettet reklame. Slik innsamling og videreutnyttelse av data skal heller ikke skje ved hjelp av digitale verktøy i skolen.

Nordby Lunde avsluttet debatten med en Harry Potter-analogi knyttet til bruken av prediktiv analyse, en analyseform som brukes til å forutsi folks handlemønster. Når Harry Potter ankommer Galtvort får han en «Sorting hat» som skal avgjøre hvilket hus på skolen han skal tilhøre. Hatten bestemmer at han skal til Smygard. Men Harry Potter vil heller til et annet hus, og bestemmer på tvers av hva hatten sier.

– Det er viktig at vi selv har mulighet til å velge, og at ikke dataene bestemmer for oss.  Dataanalyse må kun fungere som en støtte til å ta gode valg.

Vi hadde invitert fire personverninteresserte paneldeltakere som bidro til en viktig debatt: Statssekretær Paul Chaffey (H), venstreleder Trine Skei Grande, Googles Nordisk Policy Counsel David Mothander, og internettgründer og teknologidirektør i Opera Software Håkon Wium Lie.

Personverndagen 2014 – panel

Statssekretær Paul Chaffey fra Kommunal- og moderniseringsdepartementet åpnet debatten med å fremheve at ny teknologi ofte innebærer innsamling av persondata, for eksempel innen eldreomsorg og terrorbekjempelse, og at fordelene med disse må avveies opp mot personvernhensyn. Det er der vi er i dag – vi må hele tiden foreta avveininger for å trekke grensene for hvordan vi bruker personopplysningene våre, sa Chaffey. Han sa videre at en viktig oppgave for hans departement var å sørge for at personvernhensyn blir vurdert når viktige beslutninger blir tatt.

Hvilke konsekvenser får Snowden-saken?
Snowden-saken fikk naturlig nok mest oppmerksomhet i debatten. Flere av paneldeltakerne tok til orde for et europeisk eller internasjonalt regelverk som styrer overvåking av borgere på tvers av landegrenser. Andre spørsmål som ble debattert var: Hvor langt skal den norske stat gå i å sikre egne borgere? Bør vi bygge en nasjonal infrastruktur for nettkommunikasjon og bør kommuner nektes å lagre informasjon hos selskaper utenfor Norge og Europa? Panelet vårt var ikke enig; Håkon Wium Lie tok til orde for infrastrukturelle grep med alternative domener som sikrer at innhold forblir lagret i Norge. Googles David Mothander mente at en nasjonal infrastruktur ikke er noen god ide. Trine Skei Grande argumenterte for at Snowden-saken har fått fram hvor viktig det er at staten tar aktive grep for legge til rette for sikre løsninger og bedre personvern.

”Du trenger en høystakk for å finne nåla.” Dette utsagnet fra lederen for National Security Agency i USA trakk vår egen direktør, Bjørn Erik Thon frem i sin presentasjon, og høystakken ble fulgt opp også under debatten.  Istedenfor å lete etter målrettet informasjon om mistenkte enkeltindivider, samler NSA inn et bredt spekter av telefontrafikk, kontaktlister og annen aktivitet på sosiale medier, e-post- og chattehistorikk. Skei Grande oppsummerte stemningen i salen fint: Du ønsker at barna dine skal være trygge, men det er ikke ønskelig eller mulig å overvåke dem hundre prosent. Barn må læres opp til å ta gode beslutninger for å bli trygge selvstendige individer. Det samme prinsippet må gjelde for staten. Statens oppgave er ikke å overvåke alle hele tiden. Politiet og sikkerhetstjenestene bør fokusere på grupper som de har skjellig grunn til å mistenke for kriminelle handlinger. Før øvrig skal ikke folk måtte la være å ringe anonyme alkoholikere. Vi må kunne leve livene våre uten å frykte at vi blir sett over skuldra.

Vet folk hva personvern er?
Spørsmålene fra salen tok opp Hvermannsen sin rolle. Hvorfor må høystakken bli stadig større? Er det virkelig behov for å samle inn data om folk flest? Vet folk hva personvern er? Hvordan kan vi sørge for at folk vet hvordan de forvalter personvernet sitt? Tallene fra vår undersøkelse viser at folk er opptatt av personvern. Nær halvparten sier de er mer opptatt av personvern enn før. Men hva folk legger i begrepet sier tallene ikke noe om. David Mothander sa at Google i økende grad prøver å legge til rette for at folk selv kan regulere hvor mye de deler. I følge ham er utfordringen imidlertid å få brukerne til å interesseres seg nok til at de faktisk gjør seg noen selvstendige vurderinger og foretar endringene i innstillingene sine.  Bjørn Erik Thon avsluttet debatten med å kommentere at han for sin del er blitt oppløftet av tallene fra undersøkelsen som viser at ungdom viser større interesse og bedre ryggmarksreflekser når det kommer til eget personvern, enn den eldre generasjonen.

Det er altså håp…..

Du kan lese mer om temaene som ble diskutert i rapporten ”Personvern 2014 tilstand og trender». Du kan også se streamingen av seminaret her.

For den som vil ha et innblikk i hva personvern betyr, serverer vi dette på sølvfat ved å invitere til nettstreamet personvernfrokost.

Sammen med Teknologirådet gjentar vi fjorårets suksess og arrangerer seminaret ”Personvern -tilstand og trender 2014”. Årets seminar var fullt allerede et par uker etter at vi åpnet påmeldingen, vi har derfor flyttet arrangementet til større lokaler på Stratos og det er lang venteliste. Alle som ikke får plass inviteres derfor til å følge streamingen av seminaret her fra kl 09.00

I år som i fjor åpnes seminaret med en presentasjon begivenheter i året som gikk, som har hatt stor betydning for den enkelte borgers personvern og hvilke personvernrelaterte trender vi kan forvente i 2014. Vi presenterer også tall fra en ny undersøkelse om personvern.

Etter de innledende presentasjonene blir det spennende paneldebatt med:

• Paul Chaffey – statssekretær i kommunal- og moderniseringsdepartementet. Paul har lang erfaring som politiker, adm. dir. for Abelia, stortingsrepresentant og blogger.
• Trine Skei Grande – Venstreleder, svært erfaren politiker og trofast personvernforkjemper. Trine  takker aldri nei til en god debatt om personvern.
• David Mothander – Nordisk Policy Counsel hos Google. David har blant annet jobbet som advokat, og for NRA Sweden før han begynte hos Google. Han er ansvarlig for arbeidet med policy work og myndighetskontakt mellom Google og de nordiske land samt Estland og Latvia.
• Håkon Wium Lie – Teknologidirektør i Opera Software. Håkon er doktor i informatikk og forkjemper for publisering av åpne offentlige data. Han har blant annet jobbet på Televerkets forskningsinstitutt, for CERN, WC3 og MIT Media Lab før han begynte i Opera.
• Bjørn Erik Thon – direktør i Datatilsynet.

Debatten ledes av Tore Tennøe, direktør i teknologirådet, og panelet skal debattere hendelser i året som gikk. Her snakker vi Snowden, NSA, PRISM og om dette har hatt en nedkjølingseffekt (det vil si at man endret hva de er villig til å dele på nettet for å unngå at det registreres), om folk bryr seg om personvern, metadata og kroppsnær teknologi.

Dette gleder vi oss til!

Datatilsynet har en rekke veiledere og annet temastoff på nettsidene som er vel verdt å bruke tid på.

Les mer om:

• Hva er personopplysninger?
• Hva er personvern?
• Hva er personvernprinsippene?
• Hva er reglene for kameraovervåking?
• Hvilke bilder av barna bør jeg ikke publisere på nett?
• Hvilke regler er det for internkontroll og informasjonssikkerhet?

Om ikke noe av dette frister kan du lese vår rapport om Big Data eller ”Hva vet appen om deg” eller teste hvor utsatt du er for ID-tyveri eller om virksomheten din er god nok til å sikre egne og kunder personopplysninger (Sikker ID-testen)?

God personverndag!