Ballen ruller videre

Med ujevne mellomrom dukker det opp kritiske artikler om Googles inntreden i skolen. Kan ikke huske at det var slik da Microsoft hadde mer eller mindre monopol på alt eller når det så ut som om Apple skulle ta over for Microsoft i skolen. De fleste kritiske spørsmål som rettes mot Googles tjenester må også rettes til både Microsoft og Apple – og alle andre skytjenester som ramler inn i skolen. Men la oss ta for oss det som dukker opp om Google – siden vi i Randabergskolen nå har valgt GSuite for Education (GSE) og Chromebook som vår løsning.

Den første nyheten som dukket fikk jeg via nrk.no og der var «Datatilsynet bekymret for Google-avtale i Trondheim-skolene«. Dette viste seg å være en NTB-nyhet, som igjen var en tabloidutgave av en artikkel i Klassekampen 10. april 2017 (side 1 / side 2). Nei, Datatilsynet er ikke bekymret. Jeg fikk vite fra IT-sjef i Trondheim at han faktisk nylig har fått «bekreftet fra Datatilsynet skriftlig at de har ingen spesifikke bekymringer knyttet til Trondheim kommune sin bruk av skytjenester.» Så da så. Uttalelsen fra Martha Eike var ikke bare rettet mot Google, men mot skytjenester generelt. Hva Gisle Hannemyr måtte mene handler om du har tillit til et firma eller ikke. Hvis du ikke har tillit til noen, så har du ikke det – men da kan du heller ikke ha tillit til egen IT-avdelingen. Hvorfor skulle du det?

19. april 2017 dukker «Frykter Google i skolen» opp på nettsiden til Klassekampen. Den er nesten morsom, men egentlig litt tragisk. Det er ikke Klassekampen som frykter Google i skolen, men direktør Nils Viken i skytjenesten itslearning som mistenker Google for å ikke ha rent mel i posen. Han hiver frem noen påstander som er enkelt beviselig feil. Enten vet han at det er tull (og burde ikke gjort det) eller så kjenner han ikke til det han kritiserer (og burde heller ikke ha gjort det). Uansett FUDer han – med vilje sprer han frykt, usikkerhet og tvil i reklameøyemed. Han driver «reklame» for itslearning ved negativ propaganda mot Google. Når han da samtidig sier at «Vi er ikke en direkte konkurrent til Google» blir det hele ufrivillig morsomt. Selvfølgelig er Googles GSuite for Education (spesielt Google Classroom) en direkte konkurrent til itslearning sin unektelig noe tungvinte og litt foreldede løsning i skolen.

Etter å ha først sagt at vi bør være skeptiske, sier han plutselig at «rent juridisk har nok Google sitt på det tørre» før han slenger ut en påstand om at «sømløsheten» i GSE-tjenesten kan føre elevene fra den sikre delen av GSE over i en del av Google som samler data (som ligger utenfor GSE-tjenesten). Hvis en elevbruker i Randabergskolen prøver å gå fra Google Disk til Blogger vil det dukke opp en enkel melding om at…

Det er fordi administrator har sperret alle tjenester utenfor GSE for elevbrukere, fordi vi ikke har den kontrollen vi ønsker i disse tjenestene. Dermed er Vikens bekymring lagt død. Eleven kommer inn i tjenester hvor «eleven legger igjen spor».

Om en administrator glemmer å stenge tjenester eleven ikke skal ha tilgang til, vil kritikken fra itslearning rammer dem selv. Det er ikke Googles problem om kommunen ikke gjør en god nok jobb med å sette opp systemet, på samme måte som det ikke er itslearnings feil om en lærer laster opp personsensitive opplysninger (f.eks. en IOP) i itslearning. (Fordi det er jo veldig lett å laste opp ting i itslearning, Nils Viken?) Begge deler er kommunens feil, som ikke har gode nok rutiner og ikke gjort jobben sin i forkant.

Også klager han på at GSE er gratis og dermed bruker «bakveien inn» i skolen. Derfor, mener han, tenker ikke kommunene over hva de får i pakken og kan komme til ideen om at de «ikke lenger trenger en tradisjonell læringsplattform». Skrekk og gru! 8-O De fleste kommuner jeg kjenner som har gått over til GSE og sagt opp itslearning har gjort det veldig bevisst. De har alle sagt at de synes itslearning er både dyrt og dårlig.

På toppen av det hele er han bekymret for at myndighetene «trekker på skuldrene» og kommunene «går inn i dette uten å ha full oversikt over konsekvensene». Hallo?! Hvor har han vært de siste årene? Datatilsynet har hatt et eget fokus på dette i skolen og takket være Viken og hans like har det vært et jevnt trøkk i media også. Alle kommuner jeg kjenner har gått runden med å sette seg inn i hva GSE faktisk er og fått låne dokumenter fra andre som har trødd seg igjennom det meste.

Torgeir Waterhouse kontrer påstandene fra Viken bra og sier bare riktig ting om skytjenester – «Dataene er ikke mer sikret med en norsk leverandør». Jeg har tidligere på bloggen påpekt at itslearning ikke alltid er like ryddige i sin behandling av elevdata – både i forhold til interne rutiner og utlevering av elevdata til (utenlandsk) tredjepart.

På twitter kom det raskt et forslag til alternativ overskrift i Klassekampen – «Leverandør av dårlig norsk skoleprogram frykter konkurranse fra enkle løsninger som faktisk fungerer.» ;-)

Den 22. april 2017 kommer Klassekampen med tredje artikkel (side 1 / side 2) der forsker Jan Nolin synes det er en naiv bruk av GSE i skolen og at staten burde lage en tilsvarende tjeneste selv(!). Nolin viser til rapporten «About the Google business model» og prøver å lage et slags diktomi mellom hva Google skriver i vilkårene og hva de faktisk gjør, og dette gjør rapporten gjennom en argumentasjonsanalyse. Dette trenger ikke å bli så komplisert som det høres ut som. Det kritikken koker ned til er at de synes det er problematisk at Google samler data om hvordan elever bruker GSE – altså hva de klikker på, hva klikker de så på og hva gjør de etter det osv. Disse dataene regner de med at Google akkumulerer til en database om brukermønstre – og det er disse brukermønstrene de kaller algoritmiske identiteter. Det er viktig å si at rapporten ikke sier at dette identifiseres med en bestemt elev, men at det er en konstruert «elevidentitet» om hvordan elever opptrer i GSE.

Rapporten mener at Google bruker disse bruksdataene (som jeg velger å kalle dem) til å forbedre tjenesten og til å utvikle nye tjenester. Det er dette de kritiserer og sier at GSE ikke er gratis. Skolen «betaler» ved å vise Google hvordan elevene bruker GSE og dermed også tjenester som de også tjener penger på utenfor GSE-avtalene. Forresten – du kan også argumentere slik om vi hadde betalt for tjenesten. Prisen vi betaler er egentlig rabattert, fordi vi gir bruksdata når vi bruker tjenesten :-)

Jeg tar for gitt at Google bruker bruksdata til å forbedre tjenester, noe annet ville nesten være uansvarlig. Jeg er usikker på om de bruker disse dataene til å lage nye tjenester. Dette stod det noe om i ToS tidligere, men de tok det vekk da de fikk kritikk for dette fra bl.a. Datatilsynet.

Alle nettsider bruker bruksdata i større eller mindre grad og det synes jeg ikke rapporten tar høyde for. Den fremhever at Google sine tjenester er så omfattende at det blir viktig å kanskje begrense informasjonstilgangen til akkurat Google, men det blir snevert tenkt. Samtidig dukker det opp et spørsmål jeg har stilt tidligere på bloggen min i «Ren og rettferdig, himmelen verdig?«. Kan vi sende elevene ut på Internett overhode? All Internett-bruk vil gi noen slike bruksdata, som de bruker til å forbedre og lage nye tjenester. Du kan ikke være på vg.no uten å gi dem data. Google er store på Internett. Det er Internett-surfing de lever av, og da kan vi heller ikke unngå å gi Google data – selv om vi ikke bruker GSE. Er det greit? Tja… det må nesten være lov å si at det er sånn verden er. NB! Jeg logger også bruksdata på bloggen, så bare pass deg!

Diskusjonen Nolin ønsker er ryddig og reell, og om vi synes det er et problem er jeg enig i at løsningen hans, at staten drifter liknende tjenester, er den eneste løsningen vi kan ha – selv om jeg ikke tror den er realistisk. Jeg er tilhenger av at ting må reguleres og at det kommende personverndirektivet har noe for seg.

I det jeg skulle trykke på «Publiser» ramlet det inn en ny artikkel, denne gangen fra June Breivik i DN (klikk deg videre fra FB). Jeg skal innrømme at jeg er litt overrasket over artikkelen, fordi jeg er vant til at hun er ryddigere enn det hun er her. Hun kjører ingen-gratis-lunsj-argumentet, selv om det hun skriver mest om hadde vært likt om du betaler for tjenesten eller ikke. Hun prøver seg på en mer uryddig utgave av argumentet til Nolin, men der Nolin får det rett beskrevet (om negativt) så sauser Breivik det sammen med skanning av og ubegrenset tilgang til informasjon, og da blir det bare feil.

Hun treffer heller ikke i kritikken mot Google og avlytting. At NSA satte opp et avlyttingssystem for å plukke opp «mistenkelig» trafikk bl.a. hos Google, mot Googles viten og vilje, kan ikke Google lastes for. Google reagerte, gjorde tiltak og stoppet denne avlyttingen, etter Snowdens avsløringer. Det er galt å påstå at elever avlyttes som potensielle terrorister i USA av Google. Google har en forpliktelse i amerikansk lov, som norske firma også har ift norsk lov, til å utlevere informasjon om brukere ved mistanke og der nødvendige juridiske steg er fulgt. At det er forskjeller mellom norsk og amerikansk juss, som vi gjerne kan være enige eller uenige om er bra, gir likevel ikke amerikanske myndigheter noen blankofullmakt til å sniffe igjennom alt det Google har liggende. Elevene data «overvåkes som potensiell terrorisme» like mye og like lite i USA som i Norge.

Jeg synes også hun bommer i slutten av artikkelen der løsningen er at «elever burde lære seg å bruke ulike tilbydere» og «være kritisk til hvilken informasjon de legger igjen hvor». I tillegg til at det hadde laget et pedagogisk kaos i skolen, tror jeg at elevene får bedre personvern av den grunn – nei. Og til slutt, se litt på illustrasjonsbildet redaksjonen i DN brukte – en haug Apple-maskiner. Jojo… elevene har vel lært seg å være kritiske til hvem de legger igjen hva hos ;-)

Et «liten» forglemmelse…

I helgen ryddet jeg litt i gamle lenker i nettleseren. Gjemt i en mappe med utgåtte lenker fant jeg en lenke til https://fronter.com/randaberggs. I Randaberg har vi for lenge siden (i en galakse langt, langt borte) brukt Fronter. Harestad skole var innom et par år uten å gjøre noe seriøst utav det, mens Grødem skole bruke det systematisk fra 2003 til 2012. Harestad skole sa det opp flere år før vi begynte å bruke Google Apps for Education i 2011. Grødem sa det opp i 2012 da ingen lærere brukte lengre, fordi de hadde også tatt i brukt GAFE i 2011.

Så jeg var litt overrasket over at Randaberg kommune fremdeles hadde en egen «påloggingsportal» i Fronter. Jeg har en lei tendens til å huske brukernavn og passord, så jeg klarte å gjette meg frem til admin-brukernavnet (og passordet) jeg en gang hadde – og til min store overraskelse virket det enda…

Ikke bare virket påloggingen, men alt var enda der. En raskt kikk innom statistikkmodulet listet opp alle aktiviteter og innleveringer fra høsten 2003 og frem til ingen brukte det lengre i juni 2012. Her er alle elever og ansatte enda intakt. Alle kommentarer er der. Alle innleveringer kan enda lastes ned. Karakterer. Anmerkninger. Fravær. Ingenting er slettet. Bare for gøy laget jeg noen nye brukere og logget på med dem. Det virket også. Har sikret meg en god del skjermdumper og nedlastinger, bare for dokumentasjonens del.

Fronter, det vel unødvendig å si at dette ikke er godt nok. Det er ikke et «tilbud» at alle har tilgang til systemet flere år etter at vi har sagt opp avtalen. Det er et brudd på avtalen. Det er et skrekkeksempel på hvordan du ikke skal gjøre ting. Det hjelper lite å skryte av at alt lagres i Norge når du likevel ikke respekterer avtaler og ikke stenger ned tjenesten eller sletter data.

Kanskje jeg skal ta litt selvkritikk fordi jeg ikke har sjekket at Fronter i det minste stengte ned tilgangen til systemet en tid etter Grødem skole sa det opp. Likevel hadde jeg ikke regnet med at Fronter skulle sløve det til på denne måten. Det er snart 5 år siden Grødem sa opp sin avtale og enda lengre siden Harestad gjorde det. Daffe rutiner hos Fronter – og hvis dette er nivået tør jeg ikke tenke på hvordan resten følges opp. Uansett, til dere som har sagt opp avtaler hos Fronter – sjekk om dere virkelig er fjernet.

Så kjære itslearning (som nå eier Fronter), kan dere passe på å få slettet alt knyttet til Randaberg kommune i Fronter? Dette er tidligere admin for kommunen som ber om dette. Bare tuller – jeg ber ikke om support fra itslearning via bloggen. Jeg ringte Fronter-support i dag og fikk snakke med en hyggelig svenske. Han hørtes litt overrasket ut, klapret en stund på tastaturet, bekreftet at ingenting var stengt ned, mumlet noe om at «Det må ha skjedd en liten glipp her…» og sa han skulle passe på at kontoen skulle bli avsluttet etter alle kunstens regler. Og for alle tilfellers skyld fikk han eposten min om det skulle dukke opp noe :-)

PS! Litt pussig at en tilfeldig person kan ringe inn til fronter og få dem til å gjøre dette, men han så vel at ingen har tatt i fronter-området siden 2012 og regnet med at det var ok ;-)

Postskript – Noen dager etter dette ble jeg tipset om at det var mulig å få opp pålogging til itslearning for Goa skole – en avtale som også var sagt opp, denne gangen for et par år siden. Jeg fikk tak i brukernavn og passord til admin og, helt riktig, jeg klarte å logge på itslearning for Goa skole. To år etter at Goa skole hadde sagt opp itslearning var alt på plass enda. Brukere, karakterer, prøver, dokumenter, meldinger – alt. Tok ett skjermbilde bare for å vise det for meg selv.  Jeg skal innrømme at jeg smilte litt for meg selv og tenkte at i morgen fikk ta noen flere skjermbiler, ringe itslearning igjen og så skrive et nytt blogginnlegg. Da jeg dagen etter skulle inn og ta noen bilder var Goa-kontoen faktisk stengt. Hvorfor vet jeg ikke. Kanskje de rett og slett hadde startet en liten opprydning etter saken om Fronter. I beste fall håper jeg det. Det ville vært den ordentlige tingen å gjøre. Eller kanskje de oppdaget aktivitet på en itslearning-installasjon som ikke hadde vært brukt på lenge og så at den egentlig skulle vært stengt. Eller så var de litt nervøse for at jeg kom til å oppdage det og kom meg såvidt i forkjøpt. Uansett – dette vet bare itslearning og jeg kommer ikke til å spørre dem.

Har noen spurt om dette?

Recycling_symbolNoen ganger når jeg vandrer på den store verdensveven kommer jeg over noe som setter hodet i «Javel?!»-giret – altså at jeg begynner å lure på om ting er helt slik de skal være. Denne gangen var det setningen fra Fronter sin nettside om plagiatverktøyet Ephorus

Each time the system is used (anywhere and by any school or university), the database of documents and pupil papers for plagiarism detection grows.

Spørsmålet som dukket opp i hodet var «Er dette lov sånn helt uten videre?».

Og for de ikke helt bevandrede i læringsplattformenes verden kan jeg raskt si at Ephorus er et det verktøyet i itslearning og Fronter som sjekker innleveringer for plagiat. Ephorus er, for ikke så lenge siden, kjøpt opp av Turnitin, som er en stor aktør innen plagiatsjekk i USA.

Det som står i sitatet betyr at alt som leveres til kontroll i Ephorus blir lagret hos dem og brukt til kontroll av nye dokumenter som lastes opp – og som igjen lagres og så videre…

Og det er nå spørsmålene dukker opp som perler på en snor.

  • Er brukerne / elevene klar over at alt som blir levert i itslearning/Fronter, og testes mot Ephorus, blir lagret hos Ephorus som en del av deres plagiat-database og brukt av dem? Er det lov uten positivt samtykke fra eleven? Kan skolen/kommunen si at de har kontroll over hvordan disse tekstene / personopplysningene vil bli brukt?
  • Jeg kan heller ikke finne noe om at det som lastes opp til Ephorus noen gang blir slettet. Det betyr at når en elev slutter på skolen, og filer slettes fra itslearning / Fronter (for det regner jeg med det gjør), vil fremdeles elevens tekster ligge i Ephorus sin database. Er det greit?
  • En elev skriver og leverer inn en tekst i LMS-systemet som inneholder noe som ikke kan, eller skal, ligge lagret i et LMS. Skolen har ordentlige rutiner og når lærer oppdager teksten blir den slettet fra systemet. Men – teksten er allerede sjekket opp mot Ephorus og ligger derfor også i deres database. Kan den noen gang slettes hos Ephorus? Er det rutiner for dette?
  • Hvis (når ;-) kommunen / skolen sier opp avtalen med itslearning/Fronter slettes alle data som ligger hos dem, men det slettes ikke hos Ephorus. Er det greit?
  • Har noen en databehandleravtale med itslearning/Fronter eller Ephorus der dette er beskrevet?
  • Ephorus er nå en del av Turnitin – et amerikansk selskap. Jeg regner med at de nå har en felles database, og at den ligger i USA. Er nødvendige avtaler på plass (EUs standardkontrakt eller Privacy Shield) med itslearning/Fronter?
  • På Ephorus sin nettsiden finner jeg Terms & Conditions. Jeg finner ingenting om de spørsmålene jeg har notert meg. Det eneste jeg finner (slik jeg forstår punkt 9.2 og 9.3) er at Ephorus/Turnitin fraskriver seg alt ansvar og legger det på kunden og brukeren. Er det greit?

Så, kjære Verdensvev, har du svaret på disse spørsmål som nå plager meg i mitt indre? :-)

PS! Udir har, meg bekjent, en plagiatkontroll i forbindelse med innlevering av eksamensoppgaver. Bruker de også Ephorus?

Livet er en pussig ting

nkulJeg skulle så gjerne vært på NKUL, men det ble det ikke noe av. Jeg skulle til og med ha en av parallellsesjonene i dag og snakket om «Den digitale skolen på kollisjonskurs med personopplysningsloven». Og jeg hadde tenkt at den store utfordringen ville være at dette ikke er noe som fenger så mange som det burde. Det er litt som å snakke om at elever må komme tidsnok til de elevene som er kommet tidsnok. Også skulle jeg truffet, og snakket med, alle de kjempeflotte folkene jeg bare treffer på Twitter og epost og en videoprat i ny og ne. Også skulle jeg vært med på Trondheims lansering av Google Apps for Education og Chromebook som plattform for trondheimskolen. Også skulle jeg sett og hørt på alt det flotte NKUL finner frem av andre spennende sesjoner hvert år.

Men den gang ei. Dette ble effektivt stoppet av en saftig sykehustabbe. Min bedre halvdel skulle inn og gjøre et enkelt dagkirurgisk inngrep på SUS, men endte opp med hull på livmor og tynntarm med dertil alvorlige bukhinnebetennelse. Dette ledet til flere nye operasjoner med påfølgende nye komplikasjoner og nye operasjoner og en antibiotikakur som aldri tar slutt (en sånn intravenøs en du må få 3 dager daglig på sykehuset til alle døgnet rare tider). I praksis har vi bodd på sykehus siden slutten av mars og hun er ikke utskrevet enda – men alt går bedre, så målet er å bli skrevet ut til uken med en to ukers ab-kur i tablettform med flere undersøkelser og kontroller underveis. Så nei – kan ikke reise fra familie da, selv ikke til NKUL ;-).

Nok om det. Du får gjort litt forskjellig når du kjeder deg på et sykehus også. Det er mye venting der. Så jeg har fått skrevet et par av bloggens mest populære innlegg – og jeg får tid til å skrive om det jeg skulle ha snakket om på NKUL. Så under finner du hele presentasjonen min og i kommentarfeltet/foredragsnotatet til hvert lysbilde finner du det meste av det jeg hadde tenkt å si høyt.

Denne presentasjonen likner en del på den jeg holdt på nettbrett-konferansen for Senter for IKT, men det er et par nye og viktige ting. Jeg har snakket litt til med Datatilsynet og tenkte jeg skulle slippe et par minibomber her i bloggen nå – noe er med i presentasjonen, andre ting ikke.

Jeg har prøvd å få Datatilsynet til å svare på om det er greit å be foreldre opprette en AppleID for barne frivillig – om skolen deler ut iPad i en 1-til-1-løsning i skolen, og om skolen kan opprette generiske/anonyme AppleIDer for foreldre/elever som ikke vil gjøre det frivillig. Svaret jeg har fått er noe diffust. Frivillighet er greit, men det skal være en reell frivillighet – uten at Datatilsynet sier noe om hva «reell» betyr, annet enn at det er vanskelig å få til i skolen. Vansken har de tidligere begrunnet i at om skolen sier at alle skal, så er det ikke en reell frivillighet, men skal hjemles i lov (f.eks. opplæringsloven § 13 eller § 2-3). Om skolen hjemler det, så er det ikke frivillig – og skolen må ta ansvar for at dette gjøres innenfor det lovverket skolen må forholde seg til (i dette tilfelle personopplysningsloven). Hvis jeg prøver å forstå det betyr det at vi ender opp med en situasjon der bruken av f.eks. iPad må være frivillig for at det skal være frivillig om du vil bruke din egen AppleID. Hvis du  bruke iPad i skolen, må også skolen ta ansvar for AppleIDene som blir brukt i undervisningen – og frivilligheten ryker. Om Apple godtar generiske/anonyme AppleIDer vil Datatilsynet naturlig nok ikke mene noe om, men de som har lest brukervilkårene ser at Apple gjør ikke det på papiret (både navn og fødselsdato skal være ekte i en AppleID) – selv om de ser ut til å vende det døve øre til at det skjer i stor utstrekning.

Den andre tingen jeg lirket ut av dem var at de forventer sterk autentisering på alle tjenester der lærer får tilgang til informasjon om/fra mange elever. De har tidligere presisert at dette gjelder læringsplattformer, f.eks. itslearning, Fronter og Google Apps for Education, men nå presiserte de også at det også gjelder tjenester som Showbie, Duolingo, KhanAcademy, Evernote – altså der lærer har tilgang til personopplysninger om mange elever.

En (nesten) lovlydig festbrems

TTTT – Ting tar tilgjengelig tid – og bloggen er den som lider under det. I dag var jeg med på Senter for IKTs samling om nettbrett i skolen. Mitt bidrag var «En (nesten) lovlydig festbrems»:

Vi vil dele ut nettbrett til alle elever, men får vi det til på en måte som følger personopplysningsloven? I det skolen gir elevene hvert sitt nettbrett dukker det opp en rekke utfordringer med lover og forskrifter om personopplysninger som langt fra alle har tenkt igjennom. Utfordringene står i kø når nettbrett er avhengig av ulike skytjenester – noen ganger åpen og andre ganger skjult. I dette foredraget blir det en gjennomgang av hva skoler må forholde seg til, med praktiske eksempler på utfordringer og løsninger.

Ble rett etterpå invitert til å bidra på skolelederkonferansen på Lillestrøm i november neste år og ble også hektet av Udir som gjerne ville ha innspill til et arbeid de har sammen med Senter for IKT om temaet mitt på konferansen. Tror det gikk bra :-)

Her har du presentasjonen sammen med nokså fyldige notater.

Ellers var jeg med på samlingene for skoleledere og det var en god del interessante innspill rundt nettbrettets plass i skolen.

Håper ikke det er slik, men…

privacyJeg tenker og tenker og tenker på det Datatilsynet prøver å opprettholde av personopplysningsloven innenfor IKT og skole. Loven er på ville veier i forhold til slik verden ser ut i skolen… tror jeg. Men når jeg skulle finne et eksempel på noe urimelig ble jeg plutselig ikke så sikker lengre. Eksemplet under er nok ikke utypisk, men samtidig peker det kanskje også på at Datatilsynet er inne på noe…

Eksempelet er en norsk betal-app som finnes for iPad, Android og Win8 – og den er grådig populær i skolen.

I personvernreglene til firmaet/appen skriver de at de bare samler inn ikke-personlige data, altså informasjon som ikke direkte identifiserer deg. Men hva slags informasjon er dette da? Jo, det er følgende (men ifølge reglene ikke uttømmende!):

  1. Enhetsinnstillinger, inkludert, men ikke begrenset til, IP-adresse, MAC-adresse og UDID (unique device identifier).
  2. Enhetens operativsystem og fastvare.
  3. Mobiloperatør.
  4. Geografiske data, som postnummer og grov stedslokalisering.
  5. Fremdrift i spillet, poengsum og trofeer.
  6. Annen ikke-personlig informasjon som en med rimelighet kan kreve for å forbedre tjenesten og andre produkter firmaet drifter.

Jaha…

De bruker et tredjeparts firma for å samle og analysere bruk av tjenesten – og de kan gi andre tilgang til oppsamlede data for å analysere bruk av tjenesten og utvikle den og andre tjenester videre. Javel…

Og de skriver også at du, som bruker, vet og er enig i at analysefirmaet kan kombinere informasjonen de samler inn med annen informasjon de har samlet inn uavhengig fra andre tjenester og produkter knyttet til din aktivitet. Yikes!

De viser til at de er temmelig sikre på at analysetjenesten de bruker følger COPPA-standarden (som ikke er noen norsk standard). Utfordringen i en norsk kontekst er at COPPA overhode ikke nevner IP eller MAC eller UDID – og i praksis ikke anser dette som personopplysninger.

Det gjør derimot Datatilsynet! Datatilsynet har hatt en god runde omkring webanalyse-verktøy under forståelsen av at en IP-adresse er en personopplysning. Og vips – ble denne appen ulovlig å bruke i skolen, hvis du da ikke som skole/kommune skaffe deg en databehandleravtale med firmaet (og gjennom dem en ordentlig avtale med analysefirmaet de bruker).

For å toppe det hele – i personvernreglene skriver også firmaet at de forbeholder seg retten til å endre personvernreglene ved passende anledninger, så de anbefaler at du besøker den ofte! Hvis de gjør større endringer kan det hende at de poster en notis om dette på firmaets hjemmeside – og at din fortsatte bruk av tjenesten/appen viser at du har godtatt denne endringen.

Og hvilken app snakker vi egentlig om… følg denne lenken. (Og her er lenken til personvernreglene.)

Varsel om vedtak og foreløpig kontrollrapport

Datatilsynet har tenkt ferdig. Vi har fått «Varsel om vedtak og foreløpig kontrollrapport» etter besøket på Harestad skole i høst.

Det meste av det som står i kontrollrapporten og i de varslede vedtakene er ingen overraskelse. Vi hadde ikke ting på plass i forhold til internkontroll, vi må bedre risikovurderingen og så må vi ha sikkerhetsrevisjoner. Dette er selvfølgelig avvik vi må lukke. Men – vi fikk ikke avvik på sikkerhetsledelse, og vi fikk en fin kommentar om at vi hadde et «noenlunde bevisst forhold til grunnleggende personverninteresser i forbindelse med behandling av personopplysninger» (må hente fram det som gikk bra også :-).

Det som kom som en overraskelse var at læringsplattform(er) må sikres med sterk autentisering for ansatte. Med begrunnelse i at ansatte har tilgang til informasjon om mange elever via eksterne nett (altså Internett) holder det ikke med en svak autentisering (bare brukernavn og passord). Jeg måtte dobbelsjekke med Datatilsynet om det var det de mente – og det var det. Jeg snakket også med Senter for IKT i utdanningen, som kunne bekrefte at alle skolene som hadde hatt besøk av Datatilsynet hadde fått dette pålegget.

I vårt tilfelle gjelder dette Google Apps for Education og teknisk sett er det barnemat å hive på 2-trinns bekreftelse/autentisering. Det er ett klikk i administrasjonspanelet og det koster ingenting ekstra.  Løsningen i GAE er elegant nok – du får en ekstra kode på SMS (eller via en app på mobilen) og maskinen du logger på kan «huske» denne ekstra bekreftelsen i 30 dager, om du ønsker det. Dessverre er dette en høy bruksterskel for den jevne ansatt-bruker, og vi må nok bruke en del tid og krefter på å forklare hvorfor og vise hvordan. Og siden en i praksis bør (må) ha en mobiltelefon kommer nok også diskusjonen via Utdanningsforbundet om ikke skolen bør supplere hver lærer med hver sin. GAE kan lage en «nødlapp» med 10 koder, men det er en reserveløsning.

Det som vrir seg litt i meg er at dette pålegget bare gjelder oss som fikk besøk av Datatilsynet. Kommuner som ikke er kontrollert trenger ikke skru på noen 2-trinn bekreftelse. Senter for IKT i utdanningen kommer antakeligvis til å lage en «anbefaling» om det, men det er stor forskjell på det og et pålegg. Ikke det – jeg regner med at noen i itslearning nå svetter litt. Det er i utgangspunktet ikke lenger mulig å tilby læringsplattformer i Norge uten at det er sterk autentisering for ansatte. FEIDE bør nok også gjøre en jobb, selv om de kan velge å si at FEIDE autentiserer sitt nivå (svakt) og så må det enkelte nettsted gjøre en ekstra autentisering ut fra hvem som logger seg på. pas.udir.no har f.eks. et ekstra passord når du logger deg inn via FEIDE.

Og en siste ting til 2-trinn bekreftelse – det skoleadministrative systemet vårt, Visma Flyt Skole, har ingen sterk autentisering (enda) og er en ren skytjeneste tilgjengelig via Internett. Det var ikke noe krav om 2-trinn bekreftelse der, selv om jeg tror de fleste synes det ansatte får tilgang til der er mer personsensitivt enn det som ligger på læringsplattformen.

Den andre tingen vi må gjøre er å avklare om Google bruker personopplysninger til «egne formål». Det litt pussige i bakgrunnen for dette er at Datatilsynet under punktet om databehandleravtaler skriver…

«Som ledd i denne kontrollen vurderer ikke Datatilsynet nærmere innholdet i de fremlagte databehandleravtalene.»

…men, til tross for dette vil de ha utdypet noe knyttet til Googles databehandleravtale…

«Når det gjelder avtalen med Google Inc. er Datatilsynet spørrende til om kommunen i tilstrekkelig grad sikrer at Google Inc. ikke bruker personopplysninger om brukerne (elever og ansatte) til egne formål.»

«Egne formål» er her forstått etter Personopplysningsloven §15 første ledd og betyr at Google ikke kan bruke personopplysninger på «annen måte enn det som er skriftlig avtalt». Heldigvis er det Google sin avtale som er god :-) Den er presis og velformulert (og lang) – i motsetning til stort sett alle de andre avtalene vi har med norske databehandlere (som er vage og korte). I de norske avtalene står det egentlig bare «vi skal følge norsk lov», men i Googles avtale kommer det tydelig frem at de ikke bruker personopplysninger til noe annet enn det som er avtalt – og de skriver til og med hva som er avtalt, hva de samler inn av opplysninger og hva de bruker det til. Det gjør ingen av de norske. Jeg hadde ikke hatt nubbesjanse til å vise at de norske databehandlerne ikke bruker personopplysninger til «egne formål» – og jeg vet vel i praksis at flere av dem bruker opplysningene ut over det vi har gitt dem lov til… eller i det minste til ting som ikke det står noe om i databehandleravtalen at bruken var tiltenkt. Så ikke kom å si at Datatilsynet ikke er interessert i å stramme opp de som velger å bruke Google som databehandler.

Men igjen – fingeren jeg vil peke på noen andre får jeg bare i retur. Det er vi som kommune som er ansvarlig for egne data. Hvis jeg virkelig mener at databehandlere ikke gjør som avtalt, så er det jeg som må ordne opp i eget rede – sier regelverket. Det er slik sett bare Datatilsynet som kan peke på andre enn seg selv. Likevel – jeg synes det er fortærende når det virker som om de hopper bukk over nærliggende utfordringer når de først kikker oss i kortene.

Skal jeg se positivt på alt dette, så er vel lærdommen at jeg nå kan mye mer om databehandleravtalene vi har inngått (spesielt Google sin) og er mer bevisst personvernting enn jeg var før. Det er vel også litt av ideen til Datatilsynet med tilsynet, men det er også irriterende at ting blir hengende i løse luften der det kunne vært klarere retningslinjer for alle. Mitt tidligere hjertesukk om dette gjelder enda. Det er ikke samsvar mellom den digitale verden og det Datatilsynet ønsker – og siden regelverket er utformet slik det er, kan du leve i synden til du får et pålegg. Jeg skulle ønske at noen mer sentralt plasser enn meg kunne tatt fatt i hjertesukket mitt.

Når instruksen ikke passer med virkeligheten

Jeg har tenkt litt etter besøket fra Datatilsynet. Egentlig skisserte Datatilsynet en håpløst situasjon i forhold til databehandleravtaler og internkontrolldokumenter, som kommunen må ha i orden for enhver skytjeneste/digital læringsressurs hvor en legger igjen personidentifiserbar informasjon.

Prøver meg på en liten liste over netttjenester en lett ber elever bruke i skolen, og som faller inn under personopplysningslovens krav:

  • Fronter, Google Apps for Education og itslearning + alle tjenester du kan koble, eller er koblet, opp til dem (her er listene til itslearningGoogle og Fronter (nederst på siden)).
  • Alle sosiale nettverk – Facebook, Google+, Twitter og faktisk også Wikipeida.
  • Alle FEIDE-tjenester (hvis eleven må logge seg på via FEIDE)! Bare for å ta en eksempel – på minstemme.no står det at du ikke trenger en egen avtale med leverandør, men det handler om å få tilgang til tjenesten. Du, som kommune,  ha en databehandleravtale og internkontrolldokumenter om du sier at elever skal bruke det.
  • Alle apper på iPad/Android/Win8 som lagrer og deler informasjon i skyen (bortsett fra innlysende skytjenester). Tenk litt over hvor mange apper på en iPad som bruke iCloud eller sin egen lagrings-/delingstjeneste på nett (f.eks. Doceri, Prezi, SlideShare osv).
  • Og som en oppfølging til punktet over – alle nettressurser som krever autentisering, f.eks. KhanAcademy.

Husk at grensen for når du skal ha en databehandleravtale og må lage internkontrolldokumenter med risikovurdering ikke er at skolen/kommunen offisielt bruker det – det er at en lærer ber elevene om å gjøre skolearbeid ved hjelp av en av disse tjenestene!

For å si det på en annen måte: Hvilke tjenester må du inngå en databehandleravtale med og lage interkontrolldokumenter til? Jo, alle digitale tjenester du ber elever bruke i skolen og som lagrer brukergenerert eller personrelatert informasjon et annet sted enn på skolen/kommunen.

Lovens (nesten) umulige krav
Først skal hver eneste kommune prøve å skaffe en databehandleravtale med tjenesteleverandør – og det er ikke selvsagt at tjenesteleverandør overhode er interessert i det. Det er ikke sikkert du får nrkskole.no (NRK) eller matematikk.org (UiO) eller minstemme.no (Senter for IKT) til å skjønne at du må det. Og så skal hver kommune/skole lage sine egne internkontrolldokumenter for hver tjeneste. Det sier seg selv at kvaliteten kommer til å variere fra kommune til kommune og skole til skole – uansett hvor mange kontroller som gjøres eller veiledere som lages. Det er så mye sky for tiden at det i praksis er umulig å ha klar sikt over alt.

Det er vårt ansvar som kommune/skole (dataeier) å ha gode nok kunnskaper om tjenesteyters (databehandlers) rutiner og systemer for å sikre våre data. Derfor skal vi ha en databehandleravtale med dem der dette formaliseres. I praksis betyr det at vi skal ha mulighet til å kontrollere hvordan databehandler lever opp til sine rutiner (og da må du jo vite om dem!). I tillegg skal dataeier gjøre en risikovurdering ut i fra hvilke opplysninger som lagres hos databehandler.

Og for å ta dette som et praktisk eksempel – vi bruker Visma FLYT Skole som skoleadministrativt system. Det er en skytjeneste. Vi har inngått en databehandleravtale med Visma, men vi har ingen oversikt over deres rutiner omkring sikring og tilgang til våre data (som f.eks. Google har for Google Apps). Siden vi ikke har den oversikten kan vi ikke vite noe om risiko knyttet til informasjonen vi lagrer hos Visma – vi må bare stole på at de har alt i orden. Det er ikke godt nok overfor personopplysningsloven. Den sier at vi skal ha denne oversikten og at vi skal gjøre en risikovurdering – og vi kan ikke gjøre det uten denne informasjonen. Nå vil jeg tilføye at vi skal få denne informasjonen fra Visma. De har den ikke klar enda, men skal lage den – fordi jeg har spurt etter den.

Så var det at vi skal ha anledning til å kontrollere at databehandler gjør det de sier i sitt rutineskriv/internkontrolldokument. Google har ordnet det med at en tredjepart kontrollerer og gjør resultatet av kontrollen tilgjengelig for dataeier. Dette aner jeg ikke om Visma gjør via tredjepart, eller om de kommer til å tillate meg (som kommunerepresentant) å kontrollere det selv. Men for kunne si at jeg som dataeier har god nok kontroll over dataene min, må en av disse to mulighetene være oppfylt.

Poenget blir at dette nesten er umulig å oppfylle for dataeier. En ting er å skaffe databehandleravtale – det har de store norske tjenestetilbydere rutiner på (også noen av de utenlandske). Men når en krever innsyn i rutiner for sikring og innsyn hos databehandler blir ting mye vanskeligere. Jeg tviler sterkt på at det bare er Visma og Conexus som per dags dato ikke kan levere fra seg noe som likner på det Google kan levere. Da blir det omtrent helt vilkårlig hvilken tjeneste som blir «forbudt». Alle tjenester som kommer i Datatilsynets søkelys vil falle igjennom – hos kommunen. Ingen kommune kan leve opp til kravet. Det ble Google Apps i Narvik, men Google har orden på tingene og kan dokumentere det (og gi den dokumentasjonen til kommunen). Hva med alle de andre skytjenestene som skoler rundt omkring i landet forventer at elever skal bruke for å utføre skolearbeid? Bare plukk ut en og sjekk om kommunen kan leve opp til kravet i personopplysningsloven.

Problemet er at vi ikke bare kan, eller bør, ønske personopplysningsloven vekk. Jeg liker den! Det er viktig at informasjon ikke flyter uten styring, og det er bra at vi har et Datatilsyn som passer på. Vi skal vokte oss vel for den regjering som vil sette Datatilsynet under politisk styring eller ønsker å fjerne det!

Et forslag til forbedring
Så hva gjør vi da? Det er en ting at det å følge personopplysningsloven i en digital tidsalder genererer hauger av dokumenter og rutiner. Det er verre at loven er mer eller mindre umulig å leve opp til. En lov ingen klarer å følge i praksis er en dårlig lov. Du kan ikke forby alle skytjenester i skolen. Det funker bare ikke. Den tid er allerede forbi.

Det beste jeg klarer å tenke ut er at ansvaret for å sikre at databehandlers behandling av data er god nok må vekk fra kommunen/skolen. Nå er det slik at hver kommune må lage sin egen avtale og sin egen internkontroll for f.eks. itslearning – selv om den i praksis kommer til å være identisk. Det må vekk fra hver enkelt kommune og over på en aktør.

Her er det flere mulige alternativer. Enten kan tjenesteleverandør få en «godkjenning» fra Udir/Datatilsynet gjennom en sertifisering som tjenesteleverandør kan vise til at de oppfyller (gjennom tredjepart). Eller Udir kan på vegne av utdanningssektoren lage internkontrolldokumenter og databehandleravtaler med tjenesteleverandørene. Det er en ulempe med dette alternativet, nemlig at da er det Udir som velger ut hvilke tjenester de vil godkjenne. Det er bedre om tjenesteleverandør kan få tredjepart til å bekrefte at de lever opp til standarder satt av Udir for tjenester levert til undervisningssektoren.

Da kan enhver i undervisningssektoren (som er en stor sektor) benytte tjenesten vel vitende om at de er innenfor lovens krav. Loven må nok endres litt for å få dette til, men det er jo blant annet det vi har Udir til :-)

Og om ingen sentrale personer tar fatt i dette får vi trø til med en kjent og velfungerende modell – vi deler det vi har sammen! I forrige innlegg på bloggen lovet jeg at jeg skulle legge ut internkontrolldokumentene for Google Apps for Education når jeg har fått revidert dem. Jeg lover også at jeg også skal utforme dem slik at andre skoler/kommuner lett kan gjøre dem til sine dokumenter. Kanskje vi kunne samle alle slike dokumentmaler ett felles sted? Da slipper kommuner som vil ta tjenester i bruk å finne opp kruttet på nytt når en jobber seg hjelpesløst gjennom utydelige veiledere.

Mens vi venter på Datatilsynets rapport

ctrl-buttonDa har Datatilsynet gjennomført sin stedlige kontroll på Harestad skole – og ting forløp omtrent som forventet. Det var ingen hemmelighet at de fleste av dokumentene vi sendte til Datatilsynet ble til etter at de hadde meldt kontrollen – noe de kunne bekrefte at ikke var uvanlig :-)

I korte trekk må ha vi flere ting på plass. Vi må være mer profesjonelle med internkontrolldokumentene våre og gjøre mer detaljerte risikovurderinger, sammen med bedre beskrivelser av hvilke type opplysninger som lagres i hver tjeneste (hvilke intenderte opplysninger som skal lagres). Jobben blir også å pensle ut rutiner mer skriftlig, som også inkluderer veiledninger for brukere av systemet om hva systemet er ment for og ikke ment for. Så til slutt et system for å sikre at vi formidler, følger og jevnlig justerer disse rutinene. Ja, det blir litt sånn rutiner for å sikre at vi har rutiner for de rutinene vi har.

Jeg fikk anledning til å spørre dem om et par ting jeg har lurt på lenge. Er det f.eks. nok at itslearning går god for Ephorus (plagiatkontrollen i itslearning) eller må kommunen ha en egen databehandleravtale med Ephorus for å kunne bruke den? Juristen fra Datatilsynet mente at dette var en separat tjeneste levert av en ekstern aktør utenfor itslearning, så ja – kommunen må inngå en databehandleravtale med Ephorus for å oppfylle lovens krav om databehandling. Det holder ikke at itslearning går god for dem. Tygg litt på den, alle plagiatkontrollelskende itslearning-brukere der ute :-)

Forresten – du må også ha en databehandleravtale med alle du har knyttet FEIDE-autentisering mot og du må ha internkontroll-dokumenter for dem. Så det er bare å sjekke om du har gjort det mot NDLA, KorArti, Matematikk.org, Multi, NRK Skole osv…

Et morsomt poeng i kontrollen er at Google Apps har lett tilgjengelig dokumentasjon om deres internkontroll, hvordan de sikrer data både teknisk og fysisk, hvem som har tilgang til informasjonen som legges inn og hva de gjør med informasjonen. De har også gjort tilgjengelig tredjeparts vurdering om i hvilken grad de lever opp til det de sier at de gjør. Dette er per dags dato ikke mulig å oppdrive for Visma FLYT Skole og Conexus PULS/VOKAL. Ikke det – jeg har snakket med både Visma og Conexus, og de har sagt at de skal lage dette og sende det til meg. Kan noen som bruker itslearning be dem om å supplere tilsvarende informasjon (som de bør kunne oppdrive for deg som dataeier)?

For de som er nervøse for hvordan det gikk med Google Apps for Education har jeg ikke annet å melde enn at den ikke skiller seg negativt ut fra andre digitale tjenester på nett (også norske). Utfordringen fra Datatilsynet er at mange skoler forholder seg til skytjenester som «hyllevare», hvor det bare er å kjøpe tjenesten og så bruke den. Datatilsynet er opptatt av at du må gjøre en jobb i forkant før du tar i bruk tjenesten. Du skal tenke igjennom (og skrive ned) hvilken informasjon som lagres, hvordan den forholder seg til eksisterende lovverk, hvilken risiko som knytter seg til lagringen av denne informasjonen og hvilke rutiner du har for å hindre uønskede hendelser/risiko. Du må også gjøre en vurdering om leverandør har god nok sikring og gode nok rutiner for å sikre de dataene du gir dem tilgang til som dataeier (det er det du skal sikre gjennom databehandleravtalen). Trikset er at dette er helt uavhengig om det er itslearning, Fronter, Facebook, Dropbox, Google Apps for Education, iCloud, Visma FLYT Skole, iTunes, KorArti, NDLA osv. Så lenge du ber elever om å bruke en skytjeneste hvor de legger igjen (teoretisk) identifiserbar personinformasjon skal du ha dette i boks. Lykke til! (Ikke glem alle de der appene på nettbrett som lagrer noe informasjon ett eller annet sted på der ute på Internett!)

Og så lover jeg at jeg skal legge ut internkontroll-dokumentet vårt for Google Apps for Education her på bloggen når vi har revidert det :-)

Olav, Datatilsynet kjem!

Harestad skole er en av de heldige vinnerne av Datatilsynet satsingsområde denne høsten – stedlig kontroll av skoler. Og nei, det er ikke ironi – vi synes faktisk det er spennende å få besøk av Datatilsynet og bli kikket litt i kortene.

Selvfølgelig er det også stress å få dem på besøk. De har en interessant list med dokumenter de vil ha inn før kontrollen – og det er ikke til å stikke under en stol at det var mange av disse dokumentene vi ikke hadde helt på plass!

Her er listen…

  • Styrende dokumenter for internkontroll, jf. personopplysningsloven §14 og forskriften kapittel 3 (herunder oversikt over behandlinger av personopplysninger, rettslig grunnlag for behandlingene, ansvarsplassering, identifiserte plikter, oversikt over etablerte rutiner, hvordan følges rutinene opp).
  • Styrende dokumenter for informasjonssikkerhet, jf. personopplysningsloven §13 og forskriften kapittel 2.
  • Risikovurdering av skoleadministrativt system (SAS) og læringsplattform (LMS).
  • Oversikt over informasjonssystemenes utforming
    1. Konfigurasjons- eller systemkart.
    2. Beskrivelse av skoleadministrativt system (SAS).
    3. Beskrivelse av læringsplattform (LMS).
    4. Oversikt over digitale læringsressurser som brukes av skolen (f.eks. Kikora, Salaby, Kartleggeren, etc.).
    5. Oversikt over andre nettressurser som brukes av skolen (f.eks. Dropbox, Google Drive, Facebook, bloggsteder, etc.).
    6. Beskrivelse av tilgangsstyring i løsningene nevnt i 2), 3), 4) og 5).
  • Beskrivelse av dataflyt mellom skoleadministrativt system, læringsplattform og evt. andre systemer.
  • Oversikt over hvor elevopplysninger blir utlevert (f.eks. SSB, UDIR, Fylkeskommunen, forskning, etc.).
  • Databehandleravtale med leverandør av læringsplattform, skoleadmnistrativt system og evt. andre systemer.

Pjuh… det ble 26 vedlegg i eposten til Datatilsynet. Kan de ha det så godt når de må lese dem :-)

Vi har bestemt oss for å være ærlige. Det koster oss lite å si hvor vi har gode rutiner og hvor vi ikke har det. Den siste uken har gått med på å skrive ned alle de rutinene vi faktisk har, men som vi aldri har skrevet ned før. Vi kommer til å feile totalt ift personoppysningloven (med forskrifter) med at vi ikke har hatt systemiske gjennomganger av disse dokumentene (som vi ikke har skrevet før nå ;-) – og hvor vi også skulle ha ført referat. Vi kan bare bli bedre – og dette er slett ikke dumt å bli bedre på.

I prosessen med å lage internkontrolldokumenter for de ulike systemene på Harestad skole har jeg oppdaget flere ting jeg nå tenker at jeg burde gjøre noe med eller vite mer om…

  • Skolesystemet med alle sine linuxservere, nettverket og ulike tjenester – her vet vi mye og vi er flinke å dokumentere hva vi gjør og holder på med. Men – vi kan alltid bli bedre og det er ting jeg for første gang har tenkt og skrevet i internkontrolldokumentet om skolesystemet. Burde vi bruke penger og få på plass ordentlig nødstrøm?
  • IOP-tjeneren – dette er vår egen løsning for å bli kvitt minnepinnene og sikre at det bare finnes en digital utgave av en IOP til en elev. Skal vi ha granulert tilgangskontroll slik at de ansatte bare har «need to know»-tilgang til enhver tid?
  • Visma FLYT skole – det skoleadministrative systemet, som er en skytjeneste. Plutselig begynte jeg å tenke på at jeg faktisk ikke vet noe som helst om hvordan Visma sikrer dataene. Jeg bare antar at de har gode redundansløsninger og sikkerhetskopier – og hvem har egentlig tilgang til elevinformasjonen vår hos Visma. Har hele Visma support tilgang til enhver tid? Ikke det at jeg tror vondt om det – det gjør jeg ikke – men jeg kan heller ikke si at jeg vet at Visma gjør dette på en ordentlig måte. Jeg bare regner med det.
  • Google Apps for Education – som på en eller annen måte alltid virker som en het potet, hvis neste setning inneholder ordet «Datatilsynet». Her har vi så god kontroll som vi kan ha – og jeg vet mer om hvordan Google gjør tingene sine enn hvordan Visma gjør det (eller for den saks skyld Conexus – hvor vi har VOKAL og PULS).
  • De fysiske elevmappene – skal en ikke skal kimse av. Hva havner i dem og hvor blir det av – og hvordan kom de dit? Og hva ville skjedd om hele elevarkivet brant opp – eller ble utsatt for store vannmengder? Og hvem har egentlig tilgang og hvordan kan du være sikker på det?

Jeg har allerede gjort endringer i deler av systemene våre etter å ha skrevet internkontroll dokumentene (har skrudd på en «Angre»-funksjon når du sender epost i Google Apps!). Jeg har også kommet på mange andre kilder til elevdata som jeg aldri har tenkt over at vi har! Det nytter ikke å si at dette ikke har vært nyttig – så ja, vi må gjøre dette årlig!

En ting jeg er lurer på er om det overhode finnes skoler som har så godt som perfekt orden på alt dette papir-/rutinearbeidet. En ting å ha noen generelle fraser om informasjonssikkerhet på kommunenivå – men hvordan er det på den enkelte skole? Det er kanskje det Datatilsynet vil finne ut…

Uansett – torsdag 17. oktober 2013 kl. 09:00 braker det løs!