Regjeringen ønsker å opprette nasjonale individdataregistre over barnehagebarn og skoleelever. Konsekvensen blir enda mer overvåking, og nok en gang settes barn og unges personvern under press.

Kunnskapsdepartementet jobber i disse dager med et nytt lovforslag som har vært på høring. Målet er å opprette to nasjonale registre med personopplysninger om alle landets barnehagebarn og skoleelever. Forslaget innebærer et radikalt inngrep i befolkningens, og særlig barnas, personvern. Vi er derfor svært bekymret for hvor liten oppmerksomhet dette vies i offentligheten.

Se Datatilsynets høringssvar på lovforslaget.

Mangelfull utredning og manglende vurderinger

Begrunnelsen for å opprette registrene, er et ønske om sentrale datakilder som skal gi et bedre kunnskapsgrunnlag for styring og utvikling av barnehagen og skolen. Vi anerkjenner at det trengs mer kunnskap om skolens bidrag til læring. Registrering og kobling av personopplysninger innebærer samtidig en betydelig svekkelse av personvernet. Det avgjørende spørsmålet er om denne svekkelsen kan forsvares opp mot samfunnsnytten. Utdanningsforbundet og Datatilsynet mener at departementet ikke har besvart dette spørsmålet, og at vurderingene deres ikke er begrunnet godt nok. 

Høringsforslaget mangler blant annet beskrivelser av konkrete utfordringer som skal løses, hvilke typer løsninger registrene kan bidra til eller hva samfunnsnytten egentlig består i. At det faktisk innebærer et inngrep i personvernet når staten registrerer og lagrer store mengder sensitive personopplysninger om alle barn og unge, er heller ikke synliggjort i tilstrekkelig grad.

I en tid med stor politisk uro, og risiko for skadelig bruk av personopplysninger, er det betimelig å understreke at datasikkerhet alene ikke er et absolutt vern mot misbruk av omfattende individregistre. Selv om en rekke datasikringstiltak iverksettes, vil ikke slike tiltak kompensere for det store personverninngrepet opprettelsen av individdataregistrene innebærer. 

Overvåkning uten samtykke

Gjennom høringsnotatet er det lett å forledes til å tro at individregistrene er uproblematiske og lite kontroversielle. Departementet foreslår imidlertid å opprette registre med et svært generelt formål, en vid adgang til å utlevere individdata til forskningsformål uten kontrollmuligheter og en tilnærmet ubegrenset adgang til å koble persondata mot andre statlige registre. Potensialet i disse opplysningene er at de kan gi et fullstendig bilde av et enkeltindivids liv fra vugge til grav.

I tillegg innebærer forslaget at til dels svært sensitive personopplysninger om alle barn i Norge skal registreres uten krav om samtykke eller en mulighet til å reservere seg. Med dette fratas også foreldrene sin mulighet til å beskytte sine barns personlige integritet. Barna og foreldrenes personvern svekkes ytterligere når det ikke gis adgang til grunnleggende rettigheter som å protestere, be om sletting eller retting av egne personopplysninger. 

Svekket personvern svekker tilliten i samfunnet

Personvern er en fundamental demokratisk verdi, som legger grunnlag for ytringsfrihet, informasjonsfrihet og meningsdannelse. Personvern er med andre ord avgjørende for tilliten i samfunnet, både mellom borgerne og ikke minst mellom borgerne og staten.

Regjeringens ønske om å opprette individregistre innebærer en endret maktbalanse mellom myndighetene og enkeltindividet. Dette kan føre til en generell svekket tillit til staten.

Følg Grunnloven

For litt over 15 år siden ble lignende registre foreslått, men forkastet av hensyn til personvernet. Siden den gang har personvernet fått en sterkere posisjon i norsk lovgivning. Ved grunnlovsjubileet i 2014, vedtok Stortinget å styrke vernet om den personlige integriteten i Grunnlovens § 102. Det er altså ikke mer enn drøyt 10 år siden vi fikk grunnlovsfestet at «statens myndigheter skal sikre et vern om den personlige integritet».

Om regjeringen nå velger å se bort fra dette, må Stortinget være seg sitt ansvar bevisst og sikre at Grunnlovens personvernbestemmelse også får reell betydning for barn og unge i Norge. 

Bekymrede foreldre opplever at skolen ikke har oversikt og kontroll med hvordan deres barns personopplysninger blir brukt. Vi i Datatilsynet deler denne bekymringen og har ved flere anledninger etterlyst en nasjonal strategi som kan veilede kommunene i et utfordrende digitalt landskap.

Mangelfull kompetanse om personvern

I Norge er den obligatoriske skolegangen for barn 10 år. I denne perioden samles det inn betydelige mengder personopplysninger om elevene slik som navn, fødselsnummer, faglige prestasjoner og ferdigheter, familierelasjoner, livshendelser og helseopplysninger. Opplysningene behandles i ulike administrative systemer og digitale verktøy som skolen og kommunen bruker. De brukes i opplæringen og i kommunikasjonen med hjemmet og deles med andre offentlige instanser som Nav, barnevernet, helseforetak og politiet når det er nødvendig. Sannsynligheten er også stor for at de opplysningene som samles inn om en skolestarter i 2020, vil bli brukt til helt nye formål når eleven avslutter grunnskolen i 2030.

Dessverre erfarer Datatilsynet at kompetansen i skolevesenet ikke holder tritt med bruken av de teknologiske verktøyene. Risikoen for at personopplysninger og sensitiv informasjon om enkeltelever kommer på avveie er høy. Det store antallet brudd på personopplysningssikkerheten bekrefter nettopp hvordan mangelfull kompetanse fører til at opplysningene kommer på avveier. I løpet av 2019 fikk vi inn nesten 2000 meldinger om avvik, og om lag en av ti gjaldt avvik som berørte barn og unge.

Ny opplæringslov

Opplæringsloven pålegger ansatte i kommunen og fylkeskommunen å samle inn betydelige mengder personopplysninger om den enkelte elev – også sensitive personopplysninger. Elevene har dermed plikt til å gi fra seg disse opplysningene dersom de skal kunne gjennomføre den obligatoriske skolegangen.

Datatilsynet er overrasket over at lovforslaget til ny opplæringslov ikke er tydelig nok på hvordan personvernet til elevene skal ivaretas.

Her er det mye komplisert juss der personvernforordningen og forvaltningsloven krysser hverandre. I lovforslaget er personopplysningssikkerhet så å si ikke nevnt. Dette til tross for at skoler i dag laster ned og bruker applikasjoner i ordinær undervisning, uten at det er gjennomført en risikovurdering av sikkerheten i forkant av denne bruken. Det viser en bekymringsfull utvikling. Ansvaret for personopplysningssikkerheten må bli tydeliggjort i regelverket.

Alvorlige konsekvenser

Det kommunale selvstyret står sterkt i Norge, og med rette. Det er den enkelte kommune som kjenner lokale forhold best. De er også ansvarlig for at personopplysninger behandles lovlig. Digitaliseringen gir kommunene og den enkelte skole et stort ansvar for personvern og personopplysningssikkerhet.

To saker mot Bergen kommune er illustrerende. I den første saken ble personopplysninger om elever på hemmelig adresse delt med uvedkommende. Slike opplysninger er av svært sensitiv karakter og krever høyeste grad av teknisk sikkerhet og vanntette rutiner. Når slike opplysninger kommer på avveier kan det innebære at de involverte må flytte, og i verste fall kan det være livstruende. Overtredelsesgebyret på tre millioner kroner gjenspeiler alvorligheten i saken.

I den andre saken ble filer med brukernavn og passord til over 35 000 brukere i kommunen tilgjengeliggjort for elever og ansatte i grunnskolen. Dermed kunne elever, ansatte og administrator på skolen logge seg inn på skolens ulike informasjonssystemer og få tilgang til personopplysninger om andre elever og ansatte. Denne avvikssaken er av så alvorlig karakter at Bergen kommune ble gitt et overtredelsesgebyr på 1.6 millioner kroner for mangelfull personopplysningssikkerhet i datasystemene.

Kommunene trenger hjelp

Dagens regelverket er ganske komplisert, og det å ta i bruk digitale verktøy, apper og skoleadministrative systemer kan ikke overlates til de enkelte kommune alene. Når Norges nest største kommune med en relativt stor IT-avdeling og lovavdeling gjør alvorlige feil, sier det seg selv at dette er et svært komplekst område

Mange kommuner gjør en god jobb med personvern og sikkerhet og leder an i digitaliseringen. Dersom en kommunen har risikovurdert en app, bør andre kommuner få vite at de kan bruke den samme appen. KS har tatt flere gode initiativer for å få de flinke til å dra de andre med seg, og vil utvikle verktøy som den enkelte kommune kan bruke. Kommunene selv arbeider også iherdig med å sette seg inn i regelverket og få gode rutiner på plass.

Det er likevel viktig og helt nødvendig med en sentral, overordnet styring fra høyeste hold.

Datatilsynet mener det haster med å få på plass en nasjonal strategi for personvern og sikkerhet i grunnskolen og videregående skole i Norge. Vi har ingen tid å miste. Et godt læringsmiljø og en trygg skolehverdag i 2020 betyr også at våre barns personopplysninger behandles på en forsvarlig og trygg måte, i tråd med regelverket.

Et sted stillheten ikke akkurat senket seg var i min families leilighet.

Som far til to små barn var jeg én av de mange som ble hasterekruttert til jobben som hjemmeskolelærer, turleder og fredsmekler, en stilling jeg til da var vant til å tre inn i når helgen kommer. Da skolen og barnehagen åpnet igjen, med påfølgende champagnespretting og stormende jubel, satt jeg igjen med flere til dels motstridende erfaringer.

Siden innføringen av ny personvernforordning har flere norske kommuner fått hard medfart for sin manglende evne til å beskytte sine barns personopplysninger i skolen. Datatilsynet har skrevet ut flere overtredelsesgebyr, men samtidig pekt på at det muligens er for krevende, komplisert og viktig at hver enkelt kommune skal utforme og være ansvarlige for egne strategier og systemer. Rett før nedstengingen så vi en reell bevegelse i retning av en nasjonal strategi for å gi norske barn beskyttelsen de har krav på.

Hjemme i leiligheten gikk dagene sin kaotiske gang med to foreldre på et provisorisk hjemmekontor og to barn revet løs fra sine faste rutiner. Hver dag satte én av oss seg ned med førsteklassingen for å trekke streker mellom ord, trylle fram M’er på en linje og etablere harmoniske tiervenner. Min beundring og respekt for lærerne som støttet oss gjennom denne prosessen kunne ikke vært større. Hver dag var en ny dagsplan på plass som pedagogisk og målrettet ledet oss gjennom dagen.

Samtlige elever på min datters skole har egen iPad. Jevnlig tikket det inn meldinger fra skoleledelsen som inneholdt ord og formuleringer som får det til å gå kaldt nedover ryggen på informasjonssikkerhetseksperter. «Vi tar i bruk digitale løsninger som vi ikke er øvet til å bruke». «Vi tar i bruk nye kanaler for videosamarbeid». «Det blir en bratt læringskurve».

Nedstengingen, som skjedde på få dagers varsel, tvang norske skoler til å ta i bruk mange ulike verktøy uten å gjennomføre grundige og nødvendige sikkerhets- og personvernkonsekvensanalyser.

Tall fra veiledningstjenesten viser at veldig mange av henvendelsen vi fikk fra skolesektoren kom fra førstelinjen, altså fra lærerne selv. Det er ikke et godt tegn.

Den største tabben vi kan gjøre nå er å tenke at koronavirusets innvirkning på norske kommuners digitaliseringsarbeid i skolen var en velsignelse i forkledning. Tvert imot må vi holde fast ved innsikten om at veldig mye jobb gjenstår før norske barns personvern er godt nok ivaretatt. Det betyr at beslutningstakere i flere departementer, direktorater og forbund må gjøre alvor av intensjonen om å etablere en nasjonal strategi for dette arbeidet, og tette hullene som har ført til så mange personvernskandaler. På samme måte som for mye annet, ble dette arbeidet satt på vent da pandemien rammet Norge. Det må ikke forveksles med at oppgaven er løst.

I neste uke returnerer min datter til skolebenken, og jeg ber til høyere makter om at jeg skal slippe en ny runde med hjemmeskole. Jeg er dypt imponert over hvordan min datters lærer tok utfordringen med hjemmeskole på strak arm, og håper jeg om ikke så lenge kan si det samme om beslutningstakerne høyere opp i systemet.

Det siste året har vi gjennomført 20 tilsyn med hvordan personopplysninger om barn håndteres ved skoler og barnehager. Grunnen er at skolen har vært gjennom en endring vi har sett i mange andre sektorer: Billigere og mer brukervennlig teknologi har blitt tilgjengelig. Samtidig som det offentliges ønske om å registrerer ulike typer opplysninger for å forbedre kvaliteten på skolen har blitt større.

Det er ingen ende på hva som kan registreres og lagres. Karakterer, orden, oppførsel, adferd og språkutvikling er noen eksempler. Det finnes også verktøy som gjør det mulig å logge hvilke nettsteder elevene har besøkt i skoletiden.

Det kan være gode grunner for å registrere alle disse opplysningene. Det krever imidlertid svært gode rutiner, god informasjonssikkerhet og ikke minst en gjennomtenkt holdning til hvorfor man skal lagre de ulike opplysningene, hva de skal brukes til og hvor lenge de skal lagres. Det er viktig å presisere at det er eierne av skoler og barnehager som er ansvarlig for å gjøre skolene og barnehagene i stand til dette. For offentlige skoler og barnehager er skoleeier kommune og fylkeskommune. For private skoler og barnehager er det øverste leder i virksomheten.

«Skoleeier trenger digital kompetanse og forståelse for personvern»

Vi har nå oppsummert tilsynene i en samlerapport; Personvern i barnehager og skoler. Blant hovedfunnene er:

• Skoleeier og skolene mangler oversikt over hvilke personopplysninger de faktisk har lagret
• Manglende risikovurderinger – skoleeier har med andre ord ikke vurdert sannsynligheten for at personopplysningene kan komme på avveier, hvilke konsekvenser det vil få, og hvilke sikkerhetstiltak som må på plass for å forhindre at det skal skje
• Deling av personopplysninger med tredjeparter, som for eksempel skyleverandører
• Uklarhet om hvem som egentlig har ansvar for at personopplysningene behandles skikkelig
• Logging av elevenes bruk av IKT

Selv om funnene er mange og alvorlige, har vi opplevd en sektor som helt klart ser at de har en utfordring, og som vil gjøre noe med den. Men kommunene, fylkeskommunene og virksomhetslederne trenger hjelp. Regelverket er ikke særlig enkelt å forstå, og mange eiere mangler kompetanse til å gjøre ting riktig. Derfor tar Datatilsynet nå initiativ til at det lages en norm for hvordan skolene skal behandle og sikre personopplysninger. Vi ser for oss en selvhjelpspakke til skoleeierne og skolene som blant annet kan inneholde huskelister, sjekklister, veiledere og annet materiale de kan bruke for å få hjelp til å følge reglene.

Mange må bidra for å få dette til. Vi skal så absolutt gjøre vårt. Men også vi trenger hjelp, først og fremst fra regjeringen gjennom et tydelig signal om at barnehagebarn og skoleelevers personvern skal ivaretas bedre. Da finner vi forhåpentligvis ikke feil neste gang vi kommer på tilsyn, men en skole som har nettopp det de skal lære elevene; solid digital kompetanse og forståelse for personvern.