Personvern under press i skolen

I fjor sjekket tilsynet 50 kommuner; i år er det nye tilsyn.

– Risikoen er at kommunene ikke vet hva risikoen er, sier juridisk rådgiver Knut André Sande.

Det er snakk om læringsverktøy som skolen bruker: Apper, nettsteder og digitale lærebøker. Grunn­skolene bruker hundrevis av digitale læringsverktøy uten å vurdere dem godt nok, fortalte direktør Line Coll etter brevtilsyn hos 50 kommuner i fjor.

Senere fikk fire kommuner besøk, og i år er Datatilsynet på nye besøk.

– Vi vil gjerne se om det har hatt noen effekt og hvordan status er nå. Skjer det ting der ute? lurer Sande.

Han forteller hvordan én kommune kan bruke flere hundre digitale verktøy i grunnskolen.

– Det er ikke alltid de fanger opp i rutinene at de skal vurderes. Applikasjoner som de leier, kan fanges opp gjennom anskaffelsesregelverket. Men hvis de finnes på internett, mangler det rutiner, forklarer han.

Sporet søvn

Sande peker på et eksempel som lokalavisen Dalane Tidende fortalte om nå i vår: Microsoft sporet elevenes søvnvaner og sendte rapporter om dem til Dalane videregående skole, uten at noen hadde bedt hverken om registreringen eller om rapportene.

Skolen bruker Microsoft Teams. Insights er en del av programmet. Det er en løsning som gjør det mulig for lærerne å fange opp mønstre i hvordan elevene bruker tjenestene. Men plutselig kunne skolen få rapport om at en enkeltelev stadig logget seg på midt på natten.

– Elevene visste ikke at det eksisterte, fordi vi ikke visste at det eksisterte. Vi får ikke beskjed om hva det dreier seg om eller muligheten til å ta stilling til om vi ønsker funksjonen, sier IKT-pedagog og lærer Livar Mellemstrand til Dalane Tidende.

Det samme skjedde med en annen Microsoft-funksjon, Reflect, der elevene ble bedt om å rapportere inn følelsene sine. Nå er både Insights og Reflect stengt i skolene i Rogaland.

Og for seks år siden fikk Ålesund kommune bot fordi elevene ble pålagt å bruke Strava i kroppsøving. Den skulle vise om elevene fullførte de oppgavene de fikk, men i tillegg kunne appen følge med på privatadresser og helseinformasjon.

Kan slås av

Kommunikasjonsdirektør Cornelia Bjørke-Hill i Microsoft Norge understreker at både Reflect og Insight er funksjoner som lærerne kan slå av og på.

– Hensikten med Reflect er å hjelpe elevene med å reflektere over og legge inn tilbakemeldinger om hvordan de har det på skolen, sier hun og forteller at verktøyet ikke bruker kunstig intelligens for å tolke eller analysere følelsene sine.

– Det er et verktøy laget for å hjelpe elever med å uttrykke følelser innenfor trygge rammer, og bistå lærere med å øke elevenes trivsel uten automatisert analyse, sier hun.

– Insights i Microsoft Teams presenterer oversiktlige data som gjør det mulig å hjelpe lærere med å følge med på elevenes prestasjoner og generelle trivsel, sier Bjørke-Hill.

Hun snakker om et dashbord som skal hjelpe lærerne med planlegging og gi tilbakemelding til elever.

– Verktøyet viser klassenivåtrender basert på eksisterende elevprestasjoner innen læringsmiljøet. Det bistår lærere med å fremme engasjement, uten personlig profilering eller KI-drevet overvåking, sier Cornelia Bjørke-Hill.

Trenger rutiner

Hvor svikter det mest i skolen? Knut André Sande kan ikke peke på én enkelt ting, men trekker frem at kommunene ikke kjenner risikoen.

– Du vet ikke hvilke apper du har, og du vet ikke om de er risikovurdert. Mange har trolig lav risiko, fordi det er begrenset hvilke opplysninger som går inn. Men problemet er at de ikke vet, sier han.

Han mener at kommunen må ha en jurist å gå til for å få hjelp når det skal lages rutiner.

– Juristen må sørge for at rutinene blir riktige med tanke på regelverket, sier han.

De siste månedene har mange snakket om å gå bort fra amerikansk programvare. Det har ikke Data­tilsynet lagt noen vekt på i skoletilsynene sine.

– Men hvis du overfører data ut av EU og EØS, må du ha et overføringsgrunnlag for det. I tillegg er det alltid lurt å ha en plan B, for eksempel hvis det skjer noe med amerikanske tjenester, råder Sande.

Nå også KI

Han trekker også frem nye KI-verktøy som mange legger inn i programmene og på nettsidene sine.

– Det blir veldig komplekst med de store plattformene å følge med og skru av eller på alt som skjer. Med noen plattformer kan elevene få beskjed om at opplysningene som samles inn, bare skal brukes i undervisningen, men så kan du legge inn navn og gjøre at de kan spore deg på tvers opp mot andre ting igjen. Kanskje mot noe privat eller mot sosiale medier, forklarer han.

– Kommunen og skolen kan i utgangspunktet bare behandle personopplysninger i forbindelse med undervisningen. Derfor må de sjekke at leverandørene ikke bruker opplysningene til egne formål.

Den statlige IT-leverandøren Sikt lager en læremiddelkatalog som skal gi en oversikt over alt som finnes av digitale læremidler.

– Men kommunene må fortsatt vurdere personvernet, sier Knut André Sande.

KS ser på hva organisasjonen kan bidra med og om mer kan gjøres på nasjonalt plan.

– Det er ikke hensiktsmessig at 357 kommuner skal snakke med hver leverandør om hver ting. Det er dét regelverket sier, men det er vanskelig i praksis, slår Sande fast.

Nå etablerer Sikt, KS og Utdanningsdirektoratet en nasjonal støttetjeneste for digitale læringsverktøy. Der skal det blant annet gjøres delvurderinger for skolene, forteller han og mener denne tjenesten blir veldig bra for kommunene.

– Skolene skal lære barn og unge om å ha et digitalt liv. Vi skjønner at ikke alle lærerne skal kunne hele personvernregelverket på rams, men skolene må fange opp at dette er en problemstilling som noen må se på, sier Knut André Sande.