Elevmaskiner har dårlig personvern i Kongsberg-skolen

En mamma fra Kongsberg fant ut at personvernet er dårlig på elevmaskinene. Men det hjalp ikke å klage til kommunen og Datatilsynet.

Publisert |Av Sjur Jansen|KategorierSkole, Personvern

Lene Flesseberg fra Kongsberg oppdaget at elevmaskinene i kommunen har dårlig personvern og dessuten viser reklame. Hun har studert personvern og digital sikkerhetskultur på Høgskolen i Lillehammer de to siste årene og har selv sjekket personvernet i flere av appene som skolen ber elevene bruke.

Ba Datatilsynet følge opp Kongsberg kommune

Flesseberg ba først kommunen rydde opp med bedre personvern og mindre reklame på elevmaskinene, men hun synes responsen var for svak selv om hun viste til lover og regler som kommunen er pliktig til å følge.

Derfor sendte hun et brev til Datatilsynet og ba om en vurdering av Kongsberg kommune. Har kommunen gjennomført de lovpålagte kontrollene ved hver app som er blitt gitt til elevene?

Gratisappene på elevmaskinene samler inn personopplysninger

I et grundig brev til Datatilsynet fortalte hun om sine funn:

  • Elevmaskinene har apper som samler inne lokasjonsdata, IP-adresse og lignende.
  • Når maskinene deles ut, er stedstjenester slått på.
  • Appene samler inn data under bruk og deler det med tredjeparter som Amazon, Facebook, Gameanalytics og Google.
  • I appen Candywriter står det at innsamlet data brukes for å tilpasse annonsene slik at de blir mer relevante for brukerne.
  • Appen Peaksel har tilgang til Facebook, venneliste og e-post.
  • I appen Apalon står det at personopplysninger overføres til USA.
  • I mange av appene gis det ingen opplysninger om personvern.
  • Appen «Ti på topp» er merket med 17+ og samler inn lokasjonsdata.
  • Det er usikkerhet om hvem som er databehandlere og hvem som er behandlingsansvarlig.
  • Uklarhet om samtykke.
  • Datatilsynet kontrollerte kommunen for ti år siden, men påleggene fra den gang er ikke fulgt opp skikkelig.
  • Ifølge reglene skal kommunen gi informasjon til foreldre om apper, i et enkelt og klart språk, men det mangler i Kongsberg kommune som riktignok har noe informasjon ute.
  • Kommunen har dårlige rutiner for backup av elevenes filer.
  • Kommunen sier utad at alle elevene skal ha hver sin hemmelige kode for å åpne nettbrettene, men i praksis har hver elev samme kode. Slik er det lett for elevene å snoke i andre elevers nettbrett.

Bildet over viser eksempler fra elevmaskinen til barnet til Flesseberg. Det står at appen samler inn data fra brukeren for å skreddersy annonser, og at også partnere som Google, Facebook og Amazon samler inn data. Flesseberg mener at elevene ikke skal bruke slike apper fordi personvernet er for dårlig. I tillegg er hun kritisk til at elevene får ansvaret for å gi samtykke.

I sitt brev til Datatilsynet skriver Flesseberg at foreldre må kunne stole på at kommunen faktisk har utført de pålagte vurderingene av risiko og personvern. Kommunen har ifølge Flesseberg svart at alle vurderinger er tatt. Hun er derfor forundret over at appen i bildet over viser lavt nivå av personvern. Et av hennes mange spørsmål er om kommunen har inngått databehandleravtale med appleverandøren eller ikke.

Hun spør også i brevet til Datatilsynet:

«Hvordan skal barn i grunnskolen ta dette valget om hvordan deres personopplysninger skal behandles? Dette er et valg elever rett og slett ikke er i stand til å ta. Er det elevens eget ansvar å lese personvernerklæring på engelsk? Uansett hva en elev trykker i denne appen, så blir man til slutt tvunget til å si seg enig i hvordan appen «Verdenskart» bruker personinnstillingene dine.»

Hva er personopplysninger?

I brevveksling mellom Flesseberg og Kongsberg kommune er det uenighet om hva som er personopplysninger. Flesseberg ber derfor Datatilsynet også sjekke om Kongsberg kommune har tilstrekkelig forståelse av hva som er personopplysninger.

Elevene skal ikke utsettes for kommersielt press

Bildet over er skjermdumper fra elevmaskinen til barnet til Flesseberg. Appene brukes i undervisningen. Skjermene viser reklame for spill og man oppfordres til å kjøpe seg hjelp for å klare å utføre oppgavene som læreren har bedt elevene jobbe med.

I e-post-samtale med kommunen i 2022 sier kommunen at «Reklame skal ikke forekomme i noen av appene som elevene bruker.» Kommunen fjernet da en app som Flesseberg varslet om. I en e-post en måneds tid senere skriver kommunen at man må tåle noe reklame når elevene er på internett.

I følge reglene skal skolene ikke vise reklame på elevmaskiner, skolevegger eller lærebøker som innebærer kommersielt press eller som i stor grad kan påvirke holdninger, atferd og verdier. Det er heller ikke lov med direkte kjøpsoppfordringer rettet til barn.

Flessebergs henvendelse til Datatilsynet er på til sammen 12 sider pluss en rekke vedlegg. Vi kan ikke behandle alle poengene i denne artikkelen, men generelt sier norske retningslinjer at skolene må sørge for at elevene:

Datatilsynet hadde ikke kapasitet

Datatilsynet svarer at på grunn av interne prioriteringer kan ikke Tilsynet behandle klagen til Flesseberg. Men Tilsynet takker for henvendelsen og skriver:

«Du har gjort et grundig arbeid i å undersøke Kongsberg kommunes bruk av digitale læremidler og redegjort for manglene som foreligger hva gjelder informasjonssikkerhet og personvern.»

Tilsynet skriver at problemstillingene som Flesseberg reiser, har relevans for alle kommunene og skolene i Norge. Datatilsynet vurderer derfor å starte på et bredere kartleggingsarbeid. Samtidig ønsker Tilsynet å koordinere arbeidet med Skolesec som KS (kommunenes egen organisasjon) står for.

Dersom Flesseberg klager på at saken ikke behandles, må hun klage innen tre uker, og da kan det hende at den havner i Personvernnemnda, med mindre Datatilsynet ombestemmer seg og tar saken likevel.

Leif Gunnar Vestbøstad Vik er daglig leder i Barnevakten.

–

– Det er tydelig at Datatilsynet trenger flere ressurser når man velger å avslutte en sak der man får alt i hendene. Lene Flesseberg stiller gode spørsmål om personvern, sikkerhetsrutiner, informasjonsplikt, definisjoner, samtykke og reklame i skolen. Hun ber om en kontroll av kommunen, men Tilsynet sier nei. Datatilsynet burde i det minste ha sjekket om deres egne pålegg i 2014 er blitt fulgt opp. Skulle det vise seg at kommunene kan blåse i pålegg fra Datatilsynet, har vi havnet i tragiske tilstander i norsk skole, sier Leif Gunnar Vestbøstad Vik som er daglig leder i Barnevakten.

Han sier videre at Barnevakten oppfordrer Flesseberg å klage på svaret fra Datatilsynet.

– Det vil gi nødvendige avklaringer på hvordan myndighetene prioriterer datasikkerheten til alle elever i norsk skole, håper Leif Gunnar Vestbøstad Vik.

Lene Flesseberg ba også om veiledning fra Datatilsynet. Hva skal foreldre gjøre når skoleeier ikke tar ansvar ved gratisapper? I en annen sak fra Tønsberg vurderer en pappa å koble på Statsforvalteren. Pappaen fant upassende innhold på elevmaskinene.

Kongsberg kan svare på kritikken

Barnevakten har gitt Kongsberg kommune anledning til å svare på kritikken. Artikkelen vil eventuelt oppdateres.

Oppdatering 7. mars 2024: Kongsberg kommune har svart på noen spørsmål som Barnevakten sendte:

Kommuen svarer at det stemmer at elevene må gi samtykke dersom skoleapper for eksempel ønsker elevens gps-posisjon, da må elevene enten godkjenne eller avslå denne tilgangen. For eksempel kartappen er ubrukelig uten at den får tilgang til gps-posisjon når den er i bruk, skriver Morten Nyhus Lindbo til Barnevakten, han er skolefaglig rådgiver innen digitalisering, ved oppvekstkontoret.

Han tilføyer at gps-posisjon kan forsvares med kompetansemål etter 10. trinn i LK20 i kroppsøving “forstå fleire typer kart og digitale verktøy og bruke dei til å orientere seg i kjende og ukjende miljø”.

Lindbo skriver også at kommunen sjekker personvernet i samtlige apper som elevene bruker. Hvis en app ikke blir godkjent, vil den ikke bli lagt inn på elevenes læringsbrett.

– Stemmer det at skoleapper i Kongsberg kan vise annonser for elevene, som er skreddersydd etter den enkelte elevs oppførsel i appen?

– Dette har vært tilfelle tidligere, men ikke nå lenger. Vi har sett på §9-6 i opplæringsloven, og stengt ned de appene som har reklame i seg. Vi har ikke stengt ned nettleser fordi det er her elevene henter mye av informasjonen til skolearbeidet sitt.

– Er dere fornøyd med personvernet og nivået på reklame i elevmaskinene eller planlegger dere noen grep?

– Vi kan alltid bli bedre, men vi har tatt grep og lager ny rutine for anskaffelser av digitale tilganger til lærere og elever. Vi har tatt utgangspunkt i KS sin flytversjon.

– Stemmer det at mange elever i samme klasse må ha samme kode for å åpne nettbrettene? 

– Nei. Dette stemmer ikke. Personvernombud i Kongsbergregionen har vært tydelig på at elevene skal ha sin egen kode for å åpne læringsbrettene.

Hovedbildet helt øverst viser nettbrettet som barnet til Flesseberg bruker på skolen. Foto: Privat.

Les også