Datatilsyn står på sitt. Danske barn fortsatt uten PC-er ved skolestart

− Etter Datatilsynets vurdering har kommunen fortsatt ikke dokumentert at de har tatt ned den høye risikoen for barna i kommunens skoler, skriver det danske datatilsynet i en pressemelding torsdag.

Barna i Helsingør kommune har vært tilbake på skolen en ukes tid, uten PC-er, etter at datatilsynet i sommerferien nedla forbud mot behandling av personopplysninger ved hjelp av Google Chromebooks og Workspace for Education i Helsingør kommune.

− Lærere og barn står akkurat nå i en vanskelig situasjon, der de ikke kan bruke de verktøyene de pleier. Vår avgjørelse forbyr på ingen måte bruk av IT i skolene, men den konkrete bruken av noen bestemte verktøy i kommunen er ikke forsvarlig, sier Allan Frank, sikkerhetsspesialist og jurist i det danske datatilsynet.

Full krangel

Allan Frank har selv blitt utsatt for det som må kalles uheldige personkarakteristikker, i det som har blitt tidenes personvernkrangel i Danmark.

Helsingørs egen borgermester, Benedikte Kiær, gikk i harde ordelag ut mot tilsynet.

I pressemeldingen forsvarer tilsynet seg.

− Målet er ikke å leve opp til noe ugjennomskuelig byråkrati, men å passe på elevenes opplysninger, sier Frank og fortsetter:

− Barn har ifølge GDPR krav på særlig beskyttelse. Vi voksne kan velge fritt hvilke digitale tjenester vi har lyst til å bruke, men barn må bruke de verktøyene som folkeskolene stiller til rådighet for dem. Derfor er det viktig at kommunene sikrer seg, at barnas opplysninger ikke blir brukt til andre formål enn det folkeskoleloven gir mulighet til – eksempelvis markedsføring, profilering eller produktutvikling.

Forbudet gjelder kun Helsingør kommune. Datatilsynet ber likevel de andre danske kommunene se og lære.

− Her består oppgaven i å vurdere om det er lignende problemstillinger i de enkelte kommuner, og i så fall samarbeide med leverandørene for å få orden på behandlingen, sier datatilsynet.

Mangelfull konsekvensanalyse

Torsdagens beslutning kommer etter Helsingør kommunes siste forsøk på å lande innenfor regelverket. Kommunen levert tidlig i august konsekvensanalysen datatilsynet har etterspurt.

Flere danske eksperter har pekt på at konsekvensanalysen trolig ikke ville blir godkjent. Analysen, som digi.no har sett, er spredt utover 36 sider, men fjerner man forsider og ledig plass, er det kun snakk om seks til syv sider ren tekst. Analysen har også blitt kritisert for å være utformet som et tilsvar til datatilsynet, og ikke som en reell risikovurdering.

Det danske datatilsynet var heller ikke imponert.

− Datatilsynet konstaterer at materialet fra Helsingør kommune ikke lever opp til innholdskravene til en konsekvensanalyse. Kommunen har for eksempel ikke vurdert de relevante risikoene – ikke engang for den databehandlingen som er beskrevet, og har bare delvis beskrevet de nødvendige sikkerhetstiltakene, heter det fra datatilsynet.

Hva skjer nå?

Datatilsynet ber Helsingør om et møte «så snart som mulig» for å diskutere hva som skjer videre, slik at «elever og lærere kan komme tilbake til en normal hverdag så raskt som mulig på en forsvarlig måte».

Det gjenstår tilsynelatende fortsatt en del juridisk arbeid, og datatilsynet benytter anledningen til å bestille en ny konsekvensanalyse, og ber Helsingør samarbeide med leverandøren for å ta ned risikoene.

Vil ha skikkelig strategi for skolen i Norge

Også i Norge har debatten om sporing av barn på nett gjennom verktøy delt ut av lærere fått oppmerksomhet.

Barnevakten.no har etterlyst politisk debatt, og Datatilsynet i Norge har blant annet etterlyst gode samstyringsmodeller, kompetanseutvikling og arenaer for læring.

Regjeringen er i gang med sitt arbeid for videre strategi for digital infrastruktur i skolen. I april var det et innspillsmøte med kunnskapsminister Tonje Brenna (Ap) der norsk IT-bransje fikk komme med sine tilbakemeldinger.

– Vi må få på plass bedre samordning enn det vi har i dag. Det er helt klart. Det er mange aktører inne i bildet fra både stat og kommune, og det jobbes med strategier fra nasjonalt hold, sa Janne Stang Dahl i Datatilsynet til Digi.no tidlig i august, og fortsatte:

– Datatilsynet er selvsagt opptatt av at elevenes personopplysninger tas vare på en forsvarlig måte. Selv om det er kommunene og den enkelte skoleeier som har ansvaret for å sikre elevenes personvern, trenger de hjelp og støtte i dette arbeidet.