Det samme gjelder skoleelever og studenter. I et år har de skrudd på skolen, mange hjemmefra, på rommet sitt.

Digitale jobbmøter er en god erstatning når vi ikke kan gjennomføre fysiske, selv om alle er enige om at det er en kommunikasjonsform som er betydelig mer krevende. Men fungerer digitale klasserom og forelesningssaler like godt som erstatning?    

Les også: Fem tips om bruk av kamera i skole- og undervisningshverdagen.

Fra et personvernståsted er det i alle fall klart at det er et alternativ som innebærer nye problemstillinger vi ikke har vært vant til å håndtere i skole- og utdanningssektoren. Personvern har plutselig blitt et tema bare ved å være tilstede. Kontrasten fra det fysiske klasserommet er stor, og bruken av kamera har blitt et omdiskutert tema. Kan påskrudde kameraer hos elever kompensere for det vi mister i klasserommet, eller mister vi enda mer?   

Påskrudd hele dagen?

I jobbsammenheng har vi alle deltatt i møter hvor noen eller vi selv har vært representert gjennom et svart bilde. Ofte begrunnet i hakkete lyd og dårlig linje, men kanskje egentlig fordi vi er lei av å se på oss selv på skjermen? Eller at vi trenger en pause fra å være synlig som aktiv, overtydelig lytter. Selv om det er hyggelig å se levende ansikter i bildet, har vi en aksept og forståelse for dette behovet. Men hva hvis dette ikke var et alternativ? Og at vi i arbeidslivet alltid måtte bevise at vi var tilstede gjennom levende bilder og kameraet påskrudd?

Første skritt på veien for å vurdere om det er balanse, er å definere hva man ønsker å oppnå.

Det er realiteten for mange elever og studenter. Vi hører stadig historier om skoler og utdanningsinstitusjoner som stiller krav om at kameraene skal være skrudd på gjennom hele skoledagen. Og det er mange gode grunner som legges på bordet, for eksempel kontroll av deltakelse og fravær, eller at læreren har et behov for å se elevene for å kunne gi god undervisning. 

Det er utvilsomt også mange gode grunner som taler i motsatt retning. Elevene og studentene opplever ubehag, stress og følelsen av å bli overvåket. Mange forteller om hjemmeforhold som de ikke ønsker å vise frem. De er bekymret for å ikke ha kontroll med skjermbildet av seg selv. Og det har store konsekvenser å ikke følge kravet.

Balansegang

Personvernregelverket krever at det er en balanse i regnskapet når man behandler personopplysninger. Det man oppnår må være verdt kostnaden.

Første skritt på veien for å vurdere om det er balanse, er å definere hva man ønsker å oppnå. Formålene med å bruke personopplysninger, må klart angis. Kontroll av fravær kan være et slikt formål. Lærerens arbeidsforhold kan være et annet.

Videre må man blant annet vurdere om behandlingen av opplysninger er egnet og nødvendig for å oppnå formålene.

Det er en kjent sak at unge mennesker er blant de som sliter mest i pandemisituasjonen, og som har det tungt med at samfunnet er stengt ned. Og vi ser nå at de uttrykker klart at det oppleves som en merbelastning å måtte være synlig gjennom påskrudde kameraer gjennom hele skolehverdagen. Det går tydelig frem at kostnaden for elevene og studentene regnes som høy.

Lytt til studenter og elever

For å kunne skape balanse, må man derfor prøve å redusere kostnadene. Datatilsynet oppfordrer til å lytte til studentene og elevenes motforestillinger. Vi oppfordrer til å legge kostnaden inn i regnskapet, og erkjenne at dette er en stor belastning for de det gjelder. Ved å begrense omfanget av når man krever kameraet påskrudd der det er rom for det, vil det kanskje også oppleves som mer greit når det faktisk må være på.

De unge menneskene betaler allerede en høy pris i pandemidugnaden. Kanskje må skoler og utdanningsinstitusjoner i denne dugnaden tåle litt mindre mulighet for kontroll. Kanskje de unge skal gis noe mer tillit til at de tar ansvar for sin egen utdanning – uten at det sjekkes gjennom kontinuerlig påskrudde kameraer. La de også ha hakkete lyd og dårlig linje, som vi voksne har.

Et sted stillheten ikke akkurat senket seg var i min families leilighet.

Som far til to små barn var jeg én av de mange som ble hasterekruttert til jobben som hjemmeskolelærer, turleder og fredsmekler, en stilling jeg til da var vant til å tre inn i når helgen kommer. Da skolen og barnehagen åpnet igjen, med påfølgende champagnespretting og stormende jubel, satt jeg igjen med flere til dels motstridende erfaringer.

Siden innføringen av ny personvernforordning har flere norske kommuner fått hard medfart for sin manglende evne til å beskytte sine barns personopplysninger i skolen. Datatilsynet har skrevet ut flere overtredelsesgebyr, men samtidig pekt på at det muligens er for krevende, komplisert og viktig at hver enkelt kommune skal utforme og være ansvarlige for egne strategier og systemer. Rett før nedstengingen så vi en reell bevegelse i retning av en nasjonal strategi for å gi norske barn beskyttelsen de har krav på.

Hjemme i leiligheten gikk dagene sin kaotiske gang med to foreldre på et provisorisk hjemmekontor og to barn revet løs fra sine faste rutiner. Hver dag satte én av oss seg ned med førsteklassingen for å trekke streker mellom ord, trylle fram M’er på en linje og etablere harmoniske tiervenner. Min beundring og respekt for lærerne som støttet oss gjennom denne prosessen kunne ikke vært større. Hver dag var en ny dagsplan på plass som pedagogisk og målrettet ledet oss gjennom dagen.

Samtlige elever på min datters skole har egen iPad. Jevnlig tikket det inn meldinger fra skoleledelsen som inneholdt ord og formuleringer som får det til å gå kaldt nedover ryggen på informasjonssikkerhetseksperter. «Vi tar i bruk digitale løsninger som vi ikke er øvet til å bruke». «Vi tar i bruk nye kanaler for videosamarbeid». «Det blir en bratt læringskurve».

Nedstengingen, som skjedde på få dagers varsel, tvang norske skoler til å ta i bruk mange ulike verktøy uten å gjennomføre grundige og nødvendige sikkerhets- og personvernkonsekvensanalyser.

Tall fra veiledningstjenesten viser at veldig mange av henvendelsen vi fikk fra skolesektoren kom fra førstelinjen, altså fra lærerne selv. Det er ikke et godt tegn.

Den største tabben vi kan gjøre nå er å tenke at koronavirusets innvirkning på norske kommuners digitaliseringsarbeid i skolen var en velsignelse i forkledning. Tvert imot må vi holde fast ved innsikten om at veldig mye jobb gjenstår før norske barns personvern er godt nok ivaretatt. Det betyr at beslutningstakere i flere departementer, direktorater og forbund må gjøre alvor av intensjonen om å etablere en nasjonal strategi for dette arbeidet, og tette hullene som har ført til så mange personvernskandaler. På samme måte som for mye annet, ble dette arbeidet satt på vent da pandemien rammet Norge. Det må ikke forveksles med at oppgaven er løst.

I neste uke returnerer min datter til skolebenken, og jeg ber til høyere makter om at jeg skal slippe en ny runde med hjemmeskole. Jeg er dypt imponert over hvordan min datters lærer tok utfordringen med hjemmeskole på strak arm, og håper jeg om ikke så lenge kan si det samme om beslutningstakerne høyere opp i systemet.

Denne bloggen står som kronikk i Aftenposten på den internasjonale personverndagen 28. januar.

I dag markeres den internasjonale personverndagen over hele verden. I 2019 har Datatilsynet mottatt over 100 saker hvor barns personvern har blitt skadelidende på grunn av tekniske mangler eller menneskelige feil i en stadig mer digitalisert skolehverdag. Flere av sakene har vært bredt omtalt i media, og en av dem har ført til stor politisk turbulens i Bergen. Våre første og største overtredelsesgebyr etter innføringen av nytt personvernregelverk har gått til kommuner som har sviktet i å beskytte skoleelevers personopplysninger. Det finnes to hovedutfordringer som deles av så nært som alle norske kommuner:

1. Skolenes digitale kompetanse har ikke holdt tritt med digitaliseringstempoet

2. Norske kommuner er ofte ikke i stand til å beskytte sine mest sårbare innbyggeres personvern godt nok

Vi trenger et felles, nasjonalt løft for å lukke gapet mellom kompetansen i norske kommuner og kravene som stilles i en digital skolesektor.

Kommunen er alene

Det kommunale selvstyret står sterkt i Norge. På skolefeltet innebærer det at avtaler om hvilke digitale løsninger som tas i bruk for læring, kommunikasjon og elevvurdering i stor grad forhandles frem i hver enkelt kommune. Videre er hver kommune selv ansvarlig for å gjøre risikoanalyser og vurdere personvernkonsekvenser av verktøy som kjøpes inn, i henhold til regelverket. Dette er ikke en enkel oppgave. Likevel er det ingen vei utenom. Kommuneledelsen kan ikke velge å ikke ta i bruk digitale verktøy, og plikter å gjøre det på en måte som sikrer sine innbyggeres rettigheter og friheter. Denne kombinasjonen av digitaliseringspress og kompetansemangel fører til saker som den mye omtalte skoleapp-saken, der en familie med sterkt beskyttelsesbehov plutselig får sine nye navn og hemmelige adresse eksponert overfor en voldelig ekssamboer.

Det kan synes som en gordisk knute. Digitaliseringstoget har forlatt perrongen og norske kommuner løper etter som best de kan.

Vi må anerkjenne at det digitale økosystemet er for komplisert og krevende å navigere i for den enkelte kommune. Det nye personvernregelverket stiller strenge krav til digitale løsninger som skal behandle personopplysninger, fordi vi har fått en bredere forståelse av hvilken makt som ligger i utstrakt datahøsting. Barn har i tillegg et særskilt vern. Å løfte digitaliseringsarbeidet som i dag gjøres i den enkelte kommune opp på nasjonalt nivå, kan bidra til en mer robust og strømlinjeformet prosess som hadde gagnet alle kommuner.

Store kommuner må dra de små med seg

Det finnes flere kommuner som har bygget imponerende digitale løsninger for skolen, basert på et grundig strategiarbeid. Det er gjerne store kommuner med høykompetente juss- og IKT-avdelinger. Vi bør utforme ordninger som gir disse bjellesauene insentiver til å aktivt dele sine løsninger med andre kommuner uten de samme musklene. Hvor ansvaret for en slik nasjonal strategi for et kommunalt kompetanseløft skal ligge, er en viktig diskusjon som vi nylig reiste på en rundebordskonferanse.

Kommunene trenger hjelp til å nå igjen digitaliseringstoget, og det haster. Datatilsynet har gjennomført en undersøkelse, hvor vi blant annet har spurt om tilliten til at ulike virksomheter er i stand til å beskytte våre personopplysninger.  Tallene viser at tilliten til skoler og barnehager er mye lavere enn til de fleste andre offentlige virksomheter. Med tanke på hvor sensitive opplysninger skolen har ansvar for, er det lave tillittsnivået dypt bekymringsverdig.

Den norske Google-skolen

De fleste sakene vi har behandlet gjelder brudd på informasjonssikkerheten. Samtidig ser vi at flere kommuner inngår avtaler om levering av digitale læringsverktøy med selskaper som har omfattende datainnsamling som forretningsmodell. Google har etter hvert mange av Norges kommuner på kundelisten for levering av digitale skoleløsninger.

De store amerikanske teknologiselskapenes inntreden i skolesektoren er i liten grad problematisert og diskutert i den norske offentligheten. Google har på få år bygget seg opp til å bli et av verdens aller mest verdifulle selskap ved hjelp av intensiv datainnsamling.

Når en norsk kommune inngår en avtale med Google inkluderer den som regel maskinvare, operativsystem, applikasjoner, programmer, e-post og skylagring. Disse verktøyene tilbys til en relativt rimelig penge. Skolepakkene Google tilbyr tilrettelegger for innsamling av enhetsinformasjon, loggopplysninger, handlingsmønstre, lokasjonsdata, IP-adresse og telefonnummer. Vi vet ikke hva som skjer med disse profilene når barna går ut av skolen og leverer fra seg utstyret. En viktig oppgave for Datatilsynet blir å undersøke lovligheten av denne bruken. Vår undersøkelse viser også en sterk motstand mot å slippe til selskaper som tjener penger på datahøsting inn i skolesektoren.

Vi trenger en nasjonal løsning

Det varierende kompetansenivået i norske kommuner gjør at store, globale aktører i stor grad kan sette premissene for hvordan skolen utformes. I forhandlinger med Google, Apple og Microsoft må det stilles tydelige krav til hvordan læringsmidlene fungerer, og kommunene må ha en reell forståelse av hvilke forretningsmodeller løsningene hviler på. Det er et tungt ansvar som hviler på hver enkelt kommune. Foreldre kan i liten grad motsette seg løsningene som velges, og kommunene tar viktige valg på vegne av en sårbar gruppe.

Skole-Norge navigerer i et komplekst farvann. Det er viktig at kommunene tilfredsstiller kravene til en moderne og fremtidsrettet skole. Samtidig må de sørge for at de ivaretar rettighetene til en sårbar gruppe, nedfelt i et omfattende og til dels krevende lovverk. For å minske sannsynligheten for at barn blir skadelidende som følge av digitaliseringstempoet i skolen, bør vi søke en nasjonal løsning på en utfordring som norske kommuner i dag står alene om å møte.

Det siste året har vi gjennomført 20 tilsyn med hvordan personopplysninger om barn håndteres ved skoler og barnehager. Grunnen er at skolen har vært gjennom en endring vi har sett i mange andre sektorer: Billigere og mer brukervennlig teknologi har blitt tilgjengelig. Samtidig som det offentliges ønske om å registrerer ulike typer opplysninger for å forbedre kvaliteten på skolen har blitt større.

Det er ingen ende på hva som kan registreres og lagres. Karakterer, orden, oppførsel, adferd og språkutvikling er noen eksempler. Det finnes også verktøy som gjør det mulig å logge hvilke nettsteder elevene har besøkt i skoletiden.

Det kan være gode grunner for å registrere alle disse opplysningene. Det krever imidlertid svært gode rutiner, god informasjonssikkerhet og ikke minst en gjennomtenkt holdning til hvorfor man skal lagre de ulike opplysningene, hva de skal brukes til og hvor lenge de skal lagres. Det er viktig å presisere at det er eierne av skoler og barnehager som er ansvarlig for å gjøre skolene og barnehagene i stand til dette. For offentlige skoler og barnehager er skoleeier kommune og fylkeskommune. For private skoler og barnehager er det øverste leder i virksomheten.

«Skoleeier trenger digital kompetanse og forståelse for personvern»

Vi har nå oppsummert tilsynene i en samlerapport; Personvern i barnehager og skoler. Blant hovedfunnene er:

• Skoleeier og skolene mangler oversikt over hvilke personopplysninger de faktisk har lagret
• Manglende risikovurderinger – skoleeier har med andre ord ikke vurdert sannsynligheten for at personopplysningene kan komme på avveier, hvilke konsekvenser det vil få, og hvilke sikkerhetstiltak som må på plass for å forhindre at det skal skje
• Deling av personopplysninger med tredjeparter, som for eksempel skyleverandører
• Uklarhet om hvem som egentlig har ansvar for at personopplysningene behandles skikkelig
• Logging av elevenes bruk av IKT

Selv om funnene er mange og alvorlige, har vi opplevd en sektor som helt klart ser at de har en utfordring, og som vil gjøre noe med den. Men kommunene, fylkeskommunene og virksomhetslederne trenger hjelp. Regelverket er ikke særlig enkelt å forstå, og mange eiere mangler kompetanse til å gjøre ting riktig. Derfor tar Datatilsynet nå initiativ til at det lages en norm for hvordan skolene skal behandle og sikre personopplysninger. Vi ser for oss en selvhjelpspakke til skoleeierne og skolene som blant annet kan inneholde huskelister, sjekklister, veiledere og annet materiale de kan bruke for å få hjelp til å følge reglene.

Mange må bidra for å få dette til. Vi skal så absolutt gjøre vårt. Men også vi trenger hjelp, først og fremst fra regjeringen gjennom et tydelig signal om at barnehagebarn og skoleelevers personvern skal ivaretas bedre. Da finner vi forhåpentligvis ikke feil neste gang vi kommer på tilsyn, men en skole som har nettopp det de skal lære elevene; solid digital kompetanse og forståelse for personvern.

Vi, Eirin Lauvset og Martha Eike, har holdt innlegg om «Bedre personvern i skolen og i barnehagen». Det var omtrent 100 årvåkne deltakere til stede. Vi presenterte funn fra kontroller vi har gjennomført i 2013 og 2014 ved 15 skoler og 5 barnehager. Dette skriver i også om i en rapport som vi skal publisere før sommeren. Våre kontroller så mest på personopplysninger om barn i læringsplattformer (LMS), skoleadministrative system (SAS), kommunikasjonsplattformer, kartleggingsverktøy, digitale læringsressurser, og verktøy for overvåking/logging. I vår rapport kommer vi med anbefalinger til hvordan skole- og barnehageeiere bør jobbe for å få bedre personvern i skolen og i barnehagen.

Under vårt 90 minutters lange innlegg fikk vi god dialog med deltakerne, som både ser utfordringer og muligheter for hvordan ting kan bli bedre. Vi ba om innspill til hvordan vi i Datatilsynet best kan gi råd og veiledning. Vi fikk noen innspill der og da, og håper på enda flere tilsendt i etterkant av konferansen. Vi ser frem til fulle innbokser!

Det er viktig for oss å få kommunisert råd og veiledning nå, samt finne gode kanaler for dette.

Informasjon om konferansen og vår presentasjon ligger tilgjengelig på http://www.nkul.no.

Vi ser frem til en ny dag på NKUL i dag, og vi lærer stadig noe nytt om hvilke muligheter og utfordringer det er med ny teknologi i skole og barnehage. Vi i Datatilsynet ønsker ikke å være en bremsekloss, men vi vil at ting skal gjøres riktig og godt vurdert.

Ville du akseptert dette? Neppe. Hvorfor skal du da akseptere det når det gjelder barna dine?

Foresatte vet per i dag altfor lite om hvilke opplysninger skolen samler inn om barna, hvordan opplysningene brukes og hvem de deles med. Dette vet vi i Datatilsynet fordi vi i høst har gjennomført flere tilsyn på skoler for å finne ut hvordan de bruker opplysninger om elever.

Vil registrere sensitive opplysninger om hver enkelt elev
Nå kan det dessuten bli enda vanskeligere både for elever og foresatte å ha kontroll med opplysningene. Kunnskapsdepartementet foreslår nemlig at sensitive og taushetsbelagte opplysninger om elever på 10. trinn i grunnskolen og i videregående skole, skal lagres i et sentralt register. Det betyr at Utdanningsdirektoratet får tilgang hver enkelt elevs fravær, karakterer, behov for spesialundervisning og andre taushetsbelagte opplysninger.

Departementet og direktoratet påstår at de trenger identifiserende informasjon for å forske på trender og utviklingstrekk, og for å administrere skolesektoren. Det er vi uenige i. Vi mener at de bør kunne klare seg med aggregert informasjon om elevene, det vil si opplysninger som ikke kan spores tilbake til hver enkelt elev.

Uakseptabelt med andre vilkår for barn enn for voksne
La det være helt klart; Datatilsynet er ikke mot forskning. Men vi mener at behovet for å forske på trender og utviklingstrekk kan løses på andre måter enn å opprette enda et nytt register. Sentrale utdanningsmyndigheter kan for eksempel bruke opplysninger som Statistisk sentralbyrå allerede har, eller de kan følge de samme spillereglene som andre forskningsmiljøer må følge – de må be om samtykke fra elevene det skal forskes på.

Det foregår mye forskning på utviklingstrekk i arbeidslivet, og det skjer uten at arbeidsgivere rapporterer inn arbeidstakernes prestasjoner og skavanker til et nasjonalt register. Datatilsynet mener at det er uakseptabelt at opplysningene om barn i skolen skal brukes på helt andre vilkår.

Elevene skal vite og kunne velge
Poenget er at alle, også skoleelever har rett til å vite hvem som har opplysninger om dem og hva personopplysningene brukes til. De må også kunne velge om de vil bidra til forskningen eller ikke.

Les også høringsuttalelsen vår om saken «Sentralt register med sensitive opplysninger om elever er unødvendig».