Samtykke

Etter innspill fra skoleeiere i grunnopplæringen, dialog med Datatilsynet og grundige vurderinger, har Feide sitt samråd for grunnopplæring og høyere utdanning, besluttet å endre dagens praksis med samtykke for brukere i grunnopplæringen ved førstegangs innlogging til en tjeneste. Samtykke erstattes med en informasjonsside der brukerne blir gjort oppmerksomme på hvilke opplysninger som oversendes til den aktuelle tjenesten. Endringen gjelder fra 1. Mars 2017.

Beskrivelse av ny løsning

Dagens samtykkeside blir erstattet med en informasjonsside der brukeren ved førstegangs innlogging til en feidetjeneste blir opplyst om hvilke personopplysninger som sendes over til den aktuelle tjenesten. Brukeren må trykke «Fortsett» for å komme videre. Løsningen innebærer:

  • Kun oppslag mot hvilke data som overføres.
  • Informasjonssiden er lagt på organisasjonsnivå og ikke tjenestenivå.
    • Innebærer at det ikke vil være mulig å velge samtykke for enkelttjenester.
  • Informasjonssiden blir satt som standard for grunnopplæringen.
  • Informasjonssiden blir ikke satt som standard for universiteter og høyskoler. I høyere utdanning vil samtykke fortsatt være gjeldene praksis.
  • Det opprettes et ekstra felt i kundeportalen der det opplyses om at samtykke i Feide håndteres utenfor Feidesystemet. Vertsorganisasjoner i grunnopplæringen som likevel vil bruke samtykke som hjemmel for behandling av persondata i en tjeneste må:

1.      håndtere dette selv, lokalt i egen organisasjon, eller

2.      be om å ha samtykke som standard for sin organisasjon istedenfor informasjonssiden.

 

Bakgrunn for endringen

Utgangspunktet for endringen er at pedagogiske nettjenester ofte behandler ulike typer persondata om elever, ansatte eller foreldre/foresatte, for eksempel innloggingsopplysninger (navn, epostadresse, fødselsnummer, osv.) og egenprodusert innhold (tekster, oppgavebesvarelser, multimediafiler, osv).

Personopplysningsloven krever et gyldig behandlingsgrunnlag (lovlig grunn) når skoleeier lar eksterne tjenestetilbydere behandle slike opplysninger om elever, ansatte eller foreldre/foresatte. Uten et gyldig behandlingsgrunnlag vil skoleeiers bruk av denne typen tjenester ikke være lovlig.

 

Feide har fram til i dag anvendt samtykke som lovlig grunn for bruk av eksterne tjenester hvor personopplysninger behandles. Det innebærer at hver enkelt ansatt og elev, eventuelt elevens foreldre/foresatte, gir sin godkjennelse til at skoleeier tar i bruk pedagogiske nettjenester i opplæringen.

Problemet med samtykke er imidlertid at (i) det skal avgis helt frivillig og (ii) det kan når som helst trekkes tilbake. For skoleeier vil det dermed oppstå to utfordringer:

1.      Det kan tenkes tilfeller hvor skoleeier ber om samtykke uten at det foreligger reelle muligheter til å nekte å gi slikt samtykke (manglende frivillighet), for eksempel dersom det kreves at alle elever anvender en bestemt nettjeneste som en integrert del av opplæringen.

2.      Muligheten for å trekke et samtykke tilbake kan bety at skoleeier tvinges til å avslutte bruken av en viktig nettjeneste fordi ansatte eller elever, eventuelt elevenes foreldre/foresatte, ikke lenger ønsker at tjenesten behandler personopplysninger om dem.

Begge utfordringene gjør at det er ønskelig å anvende en annen lovlig grunn enn samtykke ved bruk av pedagogiske nettjenester.

Datatilsynet foreslår at skoleeier hjemler bruken av pedagogiske nettjenester i personopplysningsloven § 8 bokstav e, det vil si at skoleeier kan anvende nettbaserte tjenester som er nødvendige for å gi elevene den opplæringen de har rett på. Lovlighetsgrunnlaget blir dermed skoleeiers generelle opplæringsplikter slik de følger av opplæringsloven med forskrifter, læreplaner og rundskriv: plikten til å gi lovbestemt opplæring nødvendiggjør at personopplysninger om elever og ansatte behandles i pedagogiske nettjenester som ivaretar læringsmålene for ett eller flere fag.

For at dette lovlighetsgrunnlaget skal kunne anvendes, sier Datatilsynet at dette bare kan skje på visse vilkår:

1.      Skoleeier må forvisse seg om at de pedagogiske nettjenestene som ønskes brukt er nødvendige for at skoleeier skal kunne oppfylle sin lovpålagte opplæringsplikt. Nettjenestene må altså klart ivareta opplæringsbehov som følger av regelverket eller læreplanene i Kunnskapsløftet – det er ikke nok at skoleeier eller skolen begrunner bruken med at tjenestene er hensiktsmessige, nyskapende, populære eller interessante.

2.      Skoleeier må sørge for at elever og ansatte er informert om og innforstått med hvilke opplysninger om dem som ulike pedagogiske nettjenester behandler og hva opplysningene brukes til.

3.      Skoleeier må ivareta sine øvrige plikter etter personopplysningsloven med forskrift, særlig mht. risikovurderinger av aktuelle nettjenester og inngåelse av databehandleravtaler med tjenesteleverandørene.

4.      Skoleeier må forvisse seg om at nettjenestene ikke behandler sensitive personopplysninger om elever og ansatte, for eksempel opplysninger om helse eller helserelaterte forhold.

Øvrige behandlingsgrunnlag

I tillegg til det lovlighetsgrunnlaget som Datatilsynet peker på, vil behandling av personopplysninger i enkelte pedagogiske nettjenester kunne begrunnes i personopplysningsloven § 8 bokstav f – interesseavveining.

Behandling av personopplysninger basert på interesseavveining betyr at en nettjeneste kan benyttes dersom den pedagogiske nytten klart overstiger eventuelle personvernulemper som bruken av tjenesten kan tenkes å innebære for elever og ansatte. Dette kan være tilfelle når det gjelder tjenester som behandler relativt beskjedne mengder ikke-sensitive opplysninger om elever, ansatte eller foreldre/foresatte og tjenesten vurderes å ha betydelig pedagogisk verdi.

Også for slike tjenester må skoleeier ivareta momentene skissert i punktene 2-4 ovenfor.

 

Oppsummering

Ut i fra denne vurderingen har Feide sitt samråd besluttet å endre dagens praksis med samtykke for brukere ved førstegangs innlogging til en tjeneste, til en informasjonsside om dette.