Til deg som skal til NKUL – blir du med på en liten dugnad?

Blir du med på en dugnad på NKUL om skytjenester og sikring av personopplysninger som kan bli riktig spennende om mange blir med? Først vil jeg si at dette gjør jeg ikke for å lage dårlig stemning eller henge ut noen. Jeg gjør det fordi jeg faktisk lurer og fordi skytjenester og personopplysninger unektelig er i vinden for tiden. Selvfølgelig kunne jeg gjort det helt selv også, men det er mye enklere (og kjekkere) om flere blir med.

Gangen i det er – blant utstillerne på NKUL velger du et én tilbyder av en eller annen form for skytjeneste. I en hyggelig og høflig interessert tone klemmer du inn disse spørsmålene:

  • Hvor blir brukerdata lagret?
  • Hvordan sikrer dere brukerdata vi lagrer hos dere?
  • Sletter dere alle brukerdata når vi eventuelt sier opp avtalen hos dere?
  • Hvordan kan jeg vite (altså sjekke) at dere gjør det du nettopp har fortalt meg?

Det siste spørsmålet er det vanskelige spørsmålet – hvordan vet jeg at du som leverandør faktisk gjør det du lover i databehandleravtalen / kontrakten? Jeg, som behandlingsansvarlig, kan ikke bruke deg som databehandler uten at jeg faktisk kan sjekke dette. Hvordan vet jeg om du bryter kontrakten eller ikke, om jeg ikke kan kontrollere det på en eller annen måte? Og hvordan gjør vi det? Får jeg komme på besøk selv for å sjekke sjekke rutinedokumenter, risikoanalyser, avviksrapporter og serverrom? Eller har dere en uavhengig tredjepart som sjekker dette og får jeg lese rapporten deres? Eller om dere gjør dette selv – får jeg lese disse rapportene?

Bare for å ta et eksempel – tilbyder sier at alt blir lagret på deres tjenere. Hvis de med dette mener virtuelle tjenere hos Amazon AWS (eller Microsoft Azure) er dette noe helt annet enn tjenere i kjelleren i kontorbygget deres. Og selv om de sier at det er på lokale tjenere i kjelleren – hvordan kan jeg kontrollere at de ikke bruker Amazon AWS likevel?

Hvis du så etter beste evne fyller inn svarene du fikk i dette skjemaet (gjerne sjekk skjema på forhånd) – lover jeg at jeg skal blogge om svarene som har tikket inn. Selvfølgelig har du lov til å snakke med flere og sende inn flere skjema…

Er du med? :-)

PS! Jeg synes jo også at de som står på utstillingene for ulike tjenester bør kunne svare på deler av dette – igjen fordi skytjenester og personopplysninger er et stadig aktuelt spørsmål.

13-års aldersgrense og samtykke fra foreldre

Dette er en liten oppfølger til blogginnlegget mitt om «Google sine krav og Norges lover«. Spørsmålet om Google kom til å kreve foreldres godkjenning selv om norsk lov ikke krever det, ble hengende i løse luften. I etterkant av innlegget ble det en liten dialog med Googles europeiske lovavdeling og dette ble det kortet svaret:

The crucial statement here is that schools can obtain parental consent in accordance with the laws of their jurisdiction. If your local law relieves you from obtaining parent/guardian consent, we don’t have intention to enforce the obligation to obtain consent per our standard ToS.

(De skal også gjøre endringer i ToSen hvor dette også kommer frem.)

Og for å være helt presis – ja, det finnes et sted i Personopplysningsloven som spesifikt sier at vi ikke trenger foreldres (eller elevens) positive samtykke. Det er § 8 med underpunkt b som trer i kraft i skolen.

§ 8. Vilkår for å behandle personopplysninger
Personopplysninger (jf. § 2 nr. 1) kan bare behandles dersom den registrerte har samtykket, eller det er fastsatt i lov at det er adgang til slik behandling, eller behandlingen er nødvendig for
b) at den behandlingsansvarlige skal kunne oppfylle en rettslig forpliktelse,

Den behandlingsansvarlige er da skoleeier (kommunen) og den rettslige forpliktelsen som skal oppfylles er Opplæringslova § 13 – å drive grunnskole. For å begrunne bruk av Google sine tjenester kan du f.eks. vise til Opplæringslova § 2-3 som pålegger skolen å undervise i fag, hvor da skolen må definere inn GSuite for Education som en del av dette tilbudet.

Og når kommunen er behandlingsansvarlig trenger skolen ikke samtykke, men det påligger da kommunen å sikre at personopplysningene behandles i tråd med personopplysningsloven. Og personopplysningsloven sier at når behandlingsansvarlig ikke er databehandler må behandlingsansvarlig sikre at databehandler følger personopplysningsloven (og en databehandleravtale kan være en god måte å sikre dette på). Og vil du vite mer akkurat dette kan du sjekke ut presentasjonen med kommentarer i blogginnlegget «Livet er en pussig ting» fra 2015.

Poenget er – en skole trenger ikke samtykke for å lagre personopplysninger i en skytjeneste, så lenge skytjenesten er brukt som en del av opplæringen. Samtidig fratar dette ikke skolen ansvar for å følge Personopplysningsloven – tvert om faktisk.

Faktisk løser dette hele EFFs kritikk mot Google (og andre skytjenester), som rett og slett ikke treffer helt her i Norge på grunn av dette. Del 1 handler om utfordringer rundt foreldres informerte samtykke. Kritikken handler mye om at foreldre må gi samtykke og det er ikke alltid at dette samtykke inneholder alle detaljer. Dette er en utfordring i USA der foreldre  gi samtykke til slike tjenester før en skole kan bruke dem. Hvis du da ikke husker å spørre om at det som kan være aktuelt, er det ikke vanskelig å finne noe å kritisere i etterkant.

Del 2 i rapporten om handler amerikansk lov og den er nokså ulik norsk lov. I Norge har vi Personopplysningsloven og Datatilsynet som passer på at både offentlige institusjoner og private bedrifter følger loven. Del 3 konkluderer de egentlig med at det hadde vært fint om de i USA hadde hatt en lov som liknet en del på den norske Personopplysningsloven.

Så da er det jo bra at vi har den ;-)

Google sine krav og Norges lover

2016-09-12-08_07_03-administrasjonskonsollNå tenker jeg du ble interessert ;-)

Den siste uken har flere kommuner kommentert at et tydelig varsel (se bildet til høyre) dukker opp når de vil skru på tjenester i Google Apps for Education som ligger utenfor GAFE-avtalen, f.eks. Maps, Blogger og YouTube. Dette er i seg selv ikke noe nytt og helt greit. Blogger, i dette tilfelle, har andre vilkår enn GAFE, så det skulle bare mangle at vi må tenke nøye igjennom ting og lage oss en egen risiko- og sårbarhetsanalyse om vi vil gjøre pålogging til Blogger tilgjengelig for elevene.

Utfordringen kommer når Google krever positivt samtykke fra foresatte for elever under 18 år.

Det er ikke det praktiske som er problemet. Det er lett å lage et skjema og sendte det ut til alle foreldre. Og siden foreldre kommer i alle varianter vil vi alltid vil få noen som svarer “Nei” og noen som aldri svarer (som da ikke gir oss et positivt samtykke).

Du sitter da med to mer eller mindre uoverkommelige hindringer. Den tekniske hindringen er at alle elever ligger mer eller mindre i samme OU i GAFE, fordi det synkroniseres opp AD / SAS. Da er det teknisk vanskelig å skru på en tjeneste for en gruppe med elever og ikke skru den på for andre elever i klassen eller på trinnet. Den pedagogiske hindringen er at om hele klassen utenom én elev har svart positivt kan læreren ikke lage et opplegg der f.eks. hele klassen bruker Google Maps til å lage turløyper i lokalmiljøet og der den ene eleven sitter og gjør noe annet. Et samtykke til slike ting i skolen må, etter Datatilsynets syn, være informert og reelt frivillig. Det betyr at det ikke skal oppleves som et press eller at det skal gå ut over eleven på noe vis om en svarer negativt.

Men det er hvis vi skal gjøre det på Google-måten. Inn spaserer så Norges lover og gir oss muligheten til å bestemme en masse ting i norsk skole uten å spørre foreldrene om tillatelse. Skolen har fått et mandat fra Stortinget, altså folket, til å drive skole. Det er både en skoleplikt og -rett i Norge. Kommunen er pålagt å drive grunnskolen og kan ut fra dette pålegget si at det er ting skolen må gjøre for å oppfylle dette kravet. Her er det Personopplysningsloven kommer inn, fordi vi trenger å samle inn personopplysninger for å drive skolen. Vi trenger en masse personalia for både elev og foreldre, vi trenger å samle inn elevarbeider, skrive tilbakemeldinger, lagre fravær osv. Personopplysningsloven krever at vi begrunner behovet for å samle inn og lagre disse personopplysningene og det er vanligvis § 13-1 og § 2-3 i Opplæringsloven vi viser til da. Dette må vi gjøre uansett om denne informasjonen er nedtegnet på papir eller lagret i en datamaskin!

Om vi så velger å ta i bruk skytjeneste X er det ingenting som bli annerledes. Vi trenger ikke å spørre foreldrene, så lenge vi som skole mener vi trenger å bruke tjeneste X for å utføre mandatet vi har fra Stortinget og at vi har orden på at de personopplysningene vi legger i X blir behandlet på rett måte. Og det er her Personopplysningsloven kommer med en del krav. Vi må kunne lage et dokument som sier noe om…

  • Hva samler vi inn av personopplysninger til tjenesten? (§ 14 og § 28 i Personopplysningsloven)
  • Hvorfor samler vi det inn? (at vi har bruk for informasjonen – § 8)
  • Hva skal vi bruke det til? (at vi ikke bruker dem til noe annet enn det vi samler dem inn for – § 11)
  • Hvordan sikrer vi opplysningene vi lagrer? (§ 13)
  • Hvordan sikrer vi (rett) rett til innsyn? (§ 18)
  • Hvem deler vi hvilken informasjon med? (§ 19 og § 20)
  • Hvordan informerer vi om hvordan vi samler inn og bruker informasjonen? (§ 19 og § 20)
  • Hvordan retter og sletter vi informasjon? (§ 27 og § 28)

(Her må du også bytte ut «vi» med «tjeneste X».)

Bare så det er sagt – dette må vi gjøre uansett om vi har satt ut behandlingen av dataene til en ekstern databehandler eller ikke! Så må vi også ha på plass en risiko- og sårbarhetsanalyse knyttet til tjeneste X (ut fra svarene vi får på spørsmålene over) og til slutt en konklusjon om tjeneste X er innenfor rimelige krav ut i fra hva den skal løse. Og hvis den er innenfor kan vi bruke den i skolen uten å spørre foreldrene om lov. Vi skal informere, men trenger ikke spørre om lov.

Det er dette vi gjør med tjenester som Visma FLYT Skole, Salaby, VOKAL, itslearning… bare tenk på hvilken som helst norsk skytjeneste. Så når Google skriver

Just like other cloud-based educational tools, Google Apps for Education requires that schools obtain parental consent for any Additional Services they allow students under the age of 18 to use.

…så stemmer ikke dette for Norge.

Kortutgaven er – I Norge trenger vi ikke foreldres velsignelse, om bruken av det skybaserte utdanningsverktøyet er definer som en del av opplæringen i skolen. Da får skolen ansvaret for å vise at den informasjonen vi samler inn i skytjenester en nødvendig og at behandlingen av den følger intensjon og lov. Om noe da skulle gå riv ruskende galt fordi vi bruker tjenesten er det uansett skolen/kommunen som i utgangspunktet har ansvaret (ikke eleven eller foreldrene).

great_seal_of_the_united_states_obverse-svgMen Google sin avtale krever noe annet (se punkt 2.5 og 10.1). Med utgangspunkt i den amerikanske COPPA-loven krever Google individuelt samtykke fra foreldre (som kan dokumenteres). Så hvordan forholder vi oss til dette? Kan Google godta at vi i Norge ikke er underlagt COPPA-loven, men har andre lover som sikrer elevenes (og alle andres) personopplysninger? Kan Google godta at vi gjennom mandatet vi er gitt fra Storting / folket / loven kan opptre på vegne av foreldrene når vi bruker Google sine skytjenester, slik vi gjør i alle andre sammenhenger? Vi er selvfølgelig pliktig å ha alle papirer på stell og vi blir kikket i kortene når vi får tilsyn både av Fylkesmannen og Datatilsynet på disse sakene.

Og bare for å toppe det hele – egentlig skal vi ha samtykke fra foreldre for elever under 13 år, hvis de skal bruke GAFE, men det er det ingen som gjør (unntatt Humanistskolen ;-). Så vi er allerede ute og kjører i forhold til Googles egne krav.

Vi kan jo bare gi blanke i dette, ha alle papirer i orden som kommune og overse kravet fra Google. Google kommer sikkert ikke til å sjekke det eller bry seg særlig om det. Men det er ikke slik vi kan gjøre det om vi vil være ordentlige og profesjonelle – og det vil vi. Dette er den lille humpen i som kan velte det store lasset, og vi vil heller ikke bli tatt med buksene nede. Det er for viktig til det.

Bare så det er sagt – vi bryter ikke norsk lov. Vi bryter ikke amerikansk lov. Vi bryter kanskje Googles betingelser for bruk av tjensten, siden de krever at vi skal følge betingelsene i COPPA-loven.

Siden jeg nå er leder for GEG Norway tok jeg kontakt med Google Norge for å se om dette var noe de kunne gjøre noe med. De tok ballen umiddelbart og jobber nå med finne en løsning – både i Google Norge og Googles lovavdelinger i Europa og USA. Blir spennende å se om de finner en løsning. Uansett er det kjekt at en liten stemme i et lite land blir lyttet til…

Oppdatering 18. september 2016 – Her er FAQ fra Google om COPPA og GAFE og her er FAQ fra Microsoft om COPPA og O365Edu (søk etter COPPA på siden). Som du ser har Google og Microsoft svært ulike utgangspunkt på spørsmålet om samtykke fra foreldre er nødvendig. Og meg bekjent burde vel Google kunne gjøre det samme som Microsoft?

Har noen spurt om dette?

Recycling_symbolNoen ganger når jeg vandrer på den store verdensveven kommer jeg over noe som setter hodet i «Javel?!»-giret – altså at jeg begynner å lure på om ting er helt slik de skal være. Denne gangen var det setningen fra Fronter sin nettside om plagiatverktøyet Ephorus

Each time the system is used (anywhere and by any school or university), the database of documents and pupil papers for plagiarism detection grows.

Spørsmålet som dukket opp i hodet var «Er dette lov sånn helt uten videre?».

Og for de ikke helt bevandrede i læringsplattformenes verden kan jeg raskt si at Ephorus er et det verktøyet i itslearning og Fronter som sjekker innleveringer for plagiat. Ephorus er, for ikke så lenge siden, kjøpt opp av Turnitin, som er en stor aktør innen plagiatsjekk i USA.

Det som står i sitatet betyr at alt som leveres til kontroll i Ephorus blir lagret hos dem og brukt til kontroll av nye dokumenter som lastes opp – og som igjen lagres og så videre…

Og det er nå spørsmålene dukker opp som perler på en snor.

  • Er brukerne / elevene klar over at alt som blir levert i itslearning/Fronter, og testes mot Ephorus, blir lagret hos Ephorus som en del av deres plagiat-database og brukt av dem? Er det lov uten positivt samtykke fra eleven? Kan skolen/kommunen si at de har kontroll over hvordan disse tekstene / personopplysningene vil bli brukt?
  • Jeg kan heller ikke finne noe om at det som lastes opp til Ephorus noen gang blir slettet. Det betyr at når en elev slutter på skolen, og filer slettes fra itslearning / Fronter (for det regner jeg med det gjør), vil fremdeles elevens tekster ligge i Ephorus sin database. Er det greit?
  • En elev skriver og leverer inn en tekst i LMS-systemet som inneholder noe som ikke kan, eller skal, ligge lagret i et LMS. Skolen har ordentlige rutiner og når lærer oppdager teksten blir den slettet fra systemet. Men – teksten er allerede sjekket opp mot Ephorus og ligger derfor også i deres database. Kan den noen gang slettes hos Ephorus? Er det rutiner for dette?
  • Hvis (når ;-) kommunen / skolen sier opp avtalen med itslearning/Fronter slettes alle data som ligger hos dem, men det slettes ikke hos Ephorus. Er det greit?
  • Har noen en databehandleravtale med itslearning/Fronter eller Ephorus der dette er beskrevet?
  • Ephorus er nå en del av Turnitin – et amerikansk selskap. Jeg regner med at de nå har en felles database, og at den ligger i USA. Er nødvendige avtaler på plass (EUs standardkontrakt eller Privacy Shield) med itslearning/Fronter?
  • På Ephorus sin nettsiden finner jeg Terms & Conditions. Jeg finner ingenting om de spørsmålene jeg har notert meg. Det eneste jeg finner (slik jeg forstår punkt 9.2 og 9.3) er at Ephorus/Turnitin fraskriver seg alt ansvar og legger det på kunden og brukeren. Er det greit?

Så, kjære Verdensvev, har du svaret på disse spørsmål som nå plager meg i mitt indre? :-)

PS! Udir har, meg bekjent, en plagiatkontroll i forbindelse med innlevering av eksamensoppgaver. Bruker de også Ephorus?

«Blir lite tid til spørsmål i dag, tror jeg. Kan Odin svare på spørsmåla på bloggen sin?»

Slides Q&A - AudienceJa, Odin kan svare på spørsmålene til sesjonen på bloggen sin :-).

Dette var et av spørsmålene etter presentasjonen Trondheim og Randaberg hadde på NKUL. Vi hadde åpnet for spørsmål ved hjelp av den nye spørsmål&svar-funksjonen i Google Presentasjon, men vi fikk ikke tid til å svare på alle spørsmålene som kom inn.

Bare så det er sagt – jeg tar utgangspunkt i Randabergskolen, siden det er det jeg kjenner best til. Tut og kjør!

 

Hvordan løser dere eksamensavviklingen? Tilgang til internett? Kontroll av kommunikasjon?
Dette har jeg skrevet om i et tidligere blogginnlegg, så jeg lenker bare dit – «Eksamen og GAFE (og Chromebook)»

Hva med Dysleksiverktøy?
Det finnes noen verktøy på norsk til Chromebook, men så langt synes de fleste som har prøvd dem at de ikke er gode nok. Elever med spesielle behov, f.eks. dyslektikere eller blinde, får Windows-maskiner eller det de måtte trenge. GAFE virker godt på Windows også :-) Det ryktes at LingIT jobber å lage en utvidelse til Chrome, og om det stemmer vil det virke på Chromebook også.

Hvordan er personvern ivaretatt? Hva skjer med elev info/ konto når de er ferdige på grunnskolen?
Personvernet er ivaretatt gjennom databehandleravtalen vi har med Google – og gjennom kommunens RoS-analyser (og rutinene rundt disse). Elevinfo og -konto blir slettet når de er ferdige på grunnskolen. Da slettes alt denne eleven har lagt igjen i GAFE-systemet, og blir borte for alltid (og ja, det står om dette i databehandleravtalen). Elevene får anledning til å hente ut det de har lagt inn i forkant av slettingen.

Bruker dere et LMS i tillegg til GAFE? Jeg tenker på hvordan dere ivaretar systematisering / lagring av vurdering – fins det muligheter for det i GAFE, eller er man avhengig av et LMS?
Det er ingenting i veien for at dere gjør dette i GAFE, men det finnes også LMS-løsninger som integrere GAFE-tjenester. Vi i Randaberg har ingen LMS mellom det skoleadministrative systemet (Visma FLYT Skole) og GAFE. Vi klarer oss uten. Trondheimskolen har kjøpt IST Læring som LMS, men de har enda ikke gått til innkjøp av nytt skoleadministrativt system. Personlig lurer jeg litt på hva de vil med IST Læring om de f.eks. velger Visma FLYT Skole som SAS. Da har de i så tilfelle to systemer som overlapper hverandre og med alle de utfordringene det medfører.

Hva mangler dere i Google miljøet? Verktøy som dere kunne ønske fantes, men som er ikke der?
Det jeg personlig savner er et godt stop-motion-verktøy. Det finnes to ikke-gode apper til Chromebook og du kan jukse litt i WeVideo, men det hadde vært kjekt om det fantes noe virkelig bra som bare gjorde stop-motion. PS! I etterkant av NKUL er nyheten om at alle Android-apper kommer til å virke med Chromebook, og da er det i praksis ingenting vi savner.

Hvordan gikk dere frem for å få Google-konto til alle elevene?
Vi gikk inn på denne lenken, registrerte oss for å få et GAFE-domene og startet :-) Du kan registrere kontoer direkte eller du kan legge opp en synk mellom AD/brukerbase i kommunen opp til GAFE.

Har dere erfaringer med at elevene bruker Google+ eller har dere sperret dette for elevene?
Vi i Randaberg (og mange andre, tror jeg) har sperret dette for elever. Hvis du skal åpne opp for det må elevene være 13+ år. Dette er en absolutt aldersgrense satt av Google.

Har dere erfart at dere «mister» mindre og mindre ettersom flere og flere tjenester fungerer direkte i nettleseren?
Ja, det er stor forskjell mellom det som var tilgjengelig da vi begynte med GAFE i 2011 og i dag. Det er ikke mange tjenester som ikke er tilgjengelig online – og om det skulle være noe spesielt, så har vi også tjenester som rollApp og Ulteo.

Hva med FEIDE?
FEIDE og GAFE kan snakke sammen og gi SSO via FEIDE. Det skal være laget løsninger både av Senter for IKT/FEIDE og Identum. Vi bruker det ikke. Det lager litt mer krøll enn det vi ønsker. Men – vi har systemer for at brukernavn og passord er slikt mellom FEIDE og GAFE.

Hvordan bruker dere chromebook opp mot smartboard? Bruker dere Smartamp?
Vi bruker ikke SmartBoard i Randaberg, så vi er ikke så opptatt av dette. Men det jeg vet er at Smart jobber med det – og at det er delvis funksjonalitet mellom SmartBoard og Chromebook. Og nei, vi bruker ikke SmartAMP. Vi fikk prøve løsningen, men syntes den virket litt nitten-pil-og-bue og det var bedre løsninger tilgjengelig – f.eks. Google Tegning og Realtimeboard for Education (som også er gratis for utdanning).

Hvorfor tror dere at Google tilbyr alt dette så billig (omtrent gratis?), samtidig som selskapet har milliarder av dollar i overskudd? Hva er det de får tilbake som gjør at dette er lønnsomt for dem?
Det er ikke hemmelig. Hvis du spør dem får du først et svar om at Google er et litt annerledes selskap og dette er en del av deres bidrag til å gjøre verden bedre :-) Hvis du da stirrer litt på dem, så kommer setningen om at de selvfølgelig ønsker at elever skal bli trygge GAFE-brukere, fordi de da vil velge GAFW eller GA når de blir voksne – og disse tjeneste tjener de penger på. Apple og Microsoft gjør akkurat det samme med sine gratisprodukter.

PS! GAFE er gratis. Det eneste vi betaler til Google er én engangsavgift (på €23) per Chromebook for å kunne administrere dem via GAFE. Det andre vi betaler er prisen for Chromebooken – og det er til den som har laget maskinen (ikke Google).

Hva med oss som lever av å drifte og drive support, hva skal vi gjøre?
Tja, drive support på GAFE? :-) Dette er en av veiene utviklingen går innen IKT. Store skytjenester er mer effektive å drifte enn lokalt installerte løsninger. Da blir det mindre behov for drift, og support på drift, i lokalmiljøene.

Hva anbefaler dere innen GAFE til de yngste elevene som ikke bruker tastatur? I dag har de stor glede av Ipad med visuelle sammenkoblinger av bilder og begreper.
Meg bekjent (må kanskje spørre på skolene) tror jeg ikke bruken av Chromebook er så stor på 1. trinn, men elevene bruker dem aktivt til skriving (på tastatur) på 3. trinn. Vi kjøper nå inn noen Chromebooker med touch for å teste ut ulike løsninger, som kanskje også passer godt for 1. trinn. Men – vi har heller ingen motforestillinger mot bruk av iPad der det er fornuftig. Samtidig prioriterer vi å drifte i hovedsak én løsning, så vi ønsker ikke å ha to store IKT-systemer på skolen – og da er det Chromebook vi prøver å standardisere på.

Korleis får de registrert fråver og vurderingar?
Vi gjør det i det skoleadministrative systemet vår – Visma FLYT Skole. Der registrerer vi også orden- og adferdsanmerkninger, halvårvurderinger og karakterer. Systemet har også en digital meldebok med støtte for to-veis SMS. Også er det en skytjeneste – og vi er veldig godt fornøyd med det.

Er PP dere viser tilgjengelig etterpå? Hvor?
Du finner den her – «NKUL 2016«.

Om ei kommune/skule vil gå for 1:1 Chromebook – kva er dei største utfordringane ein vil møte på når ein går frå Windows?
Prøver å ta denne kort – Egentlig få i forhold til bruk. Overgangen handler lite om Chromebook, men mer om overgangen til GAFE (fra Office365). I Randabergskolen var GAFE godt innarbeidet og da var overgangen til Chromebook helt uproblematisk, faktisk var det noe de aller fleste satte pris på. I en overgang til GAFE vil det være spørsmål fra lærere om heldagsprøve og eksamen. Flyttingen fra filtjener til skylagring bør gjøres på en planlagt og god måte (se nestneste spørsmål). Det vil også alltid være noen lærere som har noen snedige måter å bruke Office på som ikke lar seg gjøre i GAFE. Etter noen uker med aktiv bruke av GAFE er det få negative stemmer (vil jeg våge å påstå :-).

Føler dere at GAFE støtter ferdigheter som elever trenger senere i arbeidslivet? Læring med teknologi, ikke om teknologi…
I aller høyeste grad – og i større grad enn bruk av iPad og Windows/Office365, fordi GAFE/Chromebook fokuserer og gjør arbeidet med IKT i skole enklere å ta i bruk.

Kan Randaberg si noe om den gode måten for overgang fra alt på filer til skyløsningen?
Ja, på planlagt vis og med god beskjed i forkant til ansatte stenger dere ned filtjeneren for skriving, men beholder at alle kan lese. Samtidig som dette skjer lager dere (ledelse/IKT-ansvarlig) en OK struktur i Google Disk og legger selv over de viktigste dokumentene og malene, slik at de ser ordentlige ut. Så skal alle ansatte lagre alle nye dokumenter i strukturen dere har laget i Google Disk. Lærerne kan hente gamle dokumenter de trenger fra filtjeneren. Etter ett år stenger dere ned filtjeneren helt. Alt dette bør dere har gjort før ansatte får Chromebooker (hvis de skal over til dette), slik at de har tilgang til både filtjeneren og Google Disk på samme maskin i perioden dette foregår.

Hva koster investeringen i infrastruktur? Trådløse aksesspunkt, kapasitet osv?
Vi har kjøpt Cisco Meraki som WiFi-løsning og er veldig godt fornøyd med det. Hvor mange APer du trenger vil variere med lokale forhold, men et vanlig Meraki AP skal klare 50-100 maskiner under å stresse for mye. Husk at hvert AP sprenger Internett-kapasiteten til skolen (i alle fall i noen år til), så om en sender har 10 eller 50 chromebooker koblet på så betyr ikke det så mye. På Harestad skole må vi ha et AP i hvert klasserom pga tykke betongvegger. I 2014 kjøpte vi 40 stk Meraki APer til ungdomstrinnene og da var prisen rundt kr 5 000,- per punkt (Meraki MR34) og kr 1 000,- for en 3-års lisens for skykontrolleren per punkt. MR34 var «over kill» i forhold til hva vi trengte og vi har siden kjøpt billigere APer fra Meraki. I dag har vi rundt 80 Meraki-APer tilsammen på de 3 skolene.

Hadde dere utfordringer med foreldre som ikke hadde nett-tilgang hjemme? og hva gjorde dere da?
Nei, faktisk ikke. I den første Windows-piloten opplevde vi én elev som ikke hadde WiFi hjemme, men de hadde kablet nettverk. Da fikk eleven en USB/Ethernet-overgang og saken var løst.

Hva vet dere om økonomisk side, Randaberg – prisforskjeller på valgmulighetene dere hadde?
Det får bli kortutgaven. Minimumsutgavene var at iPad+tastatur+MDM ville være rett over dobbel pris av den Chromebook-løsningen vi vurderte. I tillegg manglet vi kompetanse til MDM-løsningen. Windows-løsningen krevde programvare/lisenser som doblet utgiftene vi hadde til løsningen og igjen landet oss langt over dobbel pris av Chromebook-løsningen. Og prisen for Chromebook? Nå i 2015 ble prisen per maskin kr 1862 + kr 220 for en admin-lisens per maskin (og vi kjøpte 225 maskiner) – og det var det. Ah.. vi kjøpte omslag til dem også (kr 65). Dette er de eneste økonomiske utgiftene vi har til GAFE og Chromebook. Vi har heller ingen utgifter til konsulenter eller noe slikt – skolene løser resten gjennom sine IKT-ansvarlige.

Kommentarer til denne – «Google Acknowledges Data Mining Student Users Outside Apps for Education«?
Ja, denne er ikke noe problem. Det er helt sant som artikkelen sier – hvis du bruker en elevkonto utenfor de tjenestene som ligger innenfor GAFE-avtalen vil Google sine vanlige avtaler gjelde. Derfor har vi lagt inn i systemet at elevene ikke får lov til å bruke GAFE-kontoen sin i disse tjenestene. Prøver elevene f.eks. å åpne Blogger får de beskjed om at administrator har sperret denne tjenesten for denne brukeren. De kan selvfølgelig logge seg på Blogger med en privat Google-konto, om de har det. Det kan vi ikke hindre.

Men – ikke glem at dette er helt likt for Office365 for Education. Der er det også slik at om elever bruker O365Edu-kontoen sin utenfor O365Edu-avtalen vil Microsoft sine vanlige avtaler gjelde. Bruker elevene f.eks. Bing Maps mens de er innlogget vil alt de gjør bli logget, aggregert og knyttet til denne brukeren – og bli brukt av Microsoft til det de selv ønsker. Jeg regner med at admin i O365Edu kan sperre tilgang til disse tjeneste, på lik linje med GAFE.

Livet er en pussig ting

nkulJeg skulle så gjerne vært på NKUL, men det ble det ikke noe av. Jeg skulle til og med ha en av parallellsesjonene i dag og snakket om «Den digitale skolen på kollisjonskurs med personopplysningsloven». Og jeg hadde tenkt at den store utfordringen ville være at dette ikke er noe som fenger så mange som det burde. Det er litt som å snakke om at elever må komme tidsnok til de elevene som er kommet tidsnok. Også skulle jeg truffet, og snakket med, alle de kjempeflotte folkene jeg bare treffer på Twitter og epost og en videoprat i ny og ne. Også skulle jeg vært med på Trondheims lansering av Google Apps for Education og Chromebook som plattform for trondheimskolen. Også skulle jeg sett og hørt på alt det flotte NKUL finner frem av andre spennende sesjoner hvert år.

Men den gang ei. Dette ble effektivt stoppet av en saftig sykehustabbe. Min bedre halvdel skulle inn og gjøre et enkelt dagkirurgisk inngrep på SUS, men endte opp med hull på livmor og tynntarm med dertil alvorlige bukhinnebetennelse. Dette ledet til flere nye operasjoner med påfølgende nye komplikasjoner og nye operasjoner og en antibiotikakur som aldri tar slutt (en sånn intravenøs en du må få 3 dager daglig på sykehuset til alle døgnet rare tider). I praksis har vi bodd på sykehus siden slutten av mars og hun er ikke utskrevet enda – men alt går bedre, så målet er å bli skrevet ut til uken med en to ukers ab-kur i tablettform med flere undersøkelser og kontroller underveis. Så nei – kan ikke reise fra familie da, selv ikke til NKUL ;-).

Nok om det. Du får gjort litt forskjellig når du kjeder deg på et sykehus også. Det er mye venting der. Så jeg har fått skrevet et par av bloggens mest populære innlegg – og jeg får tid til å skrive om det jeg skulle ha snakket om på NKUL. Så under finner du hele presentasjonen min og i kommentarfeltet/foredragsnotatet til hvert lysbilde finner du det meste av det jeg hadde tenkt å si høyt.

Denne presentasjonen likner en del på den jeg holdt på nettbrett-konferansen for Senter for IKT, men det er et par nye og viktige ting. Jeg har snakket litt til med Datatilsynet og tenkte jeg skulle slippe et par minibomber her i bloggen nå – noe er med i presentasjonen, andre ting ikke.

Jeg har prøvd å få Datatilsynet til å svare på om det er greit å be foreldre opprette en AppleID for barne frivillig – om skolen deler ut iPad i en 1-til-1-løsning i skolen, og om skolen kan opprette generiske/anonyme AppleIDer for foreldre/elever som ikke vil gjøre det frivillig. Svaret jeg har fått er noe diffust. Frivillighet er greit, men det skal være en reell frivillighet – uten at Datatilsynet sier noe om hva «reell» betyr, annet enn at det er vanskelig å få til i skolen. Vansken har de tidligere begrunnet i at om skolen sier at alle skal, så er det ikke en reell frivillighet, men skal hjemles i lov (f.eks. opplæringsloven § 13 eller § 2-3). Om skolen hjemler det, så er det ikke frivillig – og skolen må ta ansvar for at dette gjøres innenfor det lovverket skolen må forholde seg til (i dette tilfelle personopplysningsloven). Hvis jeg prøver å forstå det betyr det at vi ender opp med en situasjon der bruken av f.eks. iPad må være frivillig for at det skal være frivillig om du vil bruke din egen AppleID. Hvis du  bruke iPad i skolen, må også skolen ta ansvar for AppleIDene som blir brukt i undervisningen – og frivilligheten ryker. Om Apple godtar generiske/anonyme AppleIDer vil Datatilsynet naturlig nok ikke mene noe om, men de som har lest brukervilkårene ser at Apple gjør ikke det på papiret (både navn og fødselsdato skal være ekte i en AppleID) – selv om de ser ut til å vende det døve øre til at det skjer i stor utstrekning.

Den andre tingen jeg lirket ut av dem var at de forventer sterk autentisering på alle tjenester der lærer får tilgang til informasjon om/fra mange elever. De har tidligere presisert at dette gjelder læringsplattformer, f.eks. itslearning, Fronter og Google Apps for Education, men nå presiserte de også at det også gjelder tjenester som Showbie, Duolingo, KhanAcademy, Evernote – altså der lærer har tilgang til personopplysninger om mange elever.

Håper ikke det er slik, men…

privacyJeg tenker og tenker og tenker på det Datatilsynet prøver å opprettholde av personopplysningsloven innenfor IKT og skole. Loven er på ville veier i forhold til slik verden ser ut i skolen… tror jeg. Men når jeg skulle finne et eksempel på noe urimelig ble jeg plutselig ikke så sikker lengre. Eksemplet under er nok ikke utypisk, men samtidig peker det kanskje også på at Datatilsynet er inne på noe…

Eksempelet er en norsk betal-app som finnes for iPad, Android og Win8 – og den er grådig populær i skolen.

I personvernreglene til firmaet/appen skriver de at de bare samler inn ikke-personlige data, altså informasjon som ikke direkte identifiserer deg. Men hva slags informasjon er dette da? Jo, det er følgende (men ifølge reglene ikke uttømmende!):

  1. Enhetsinnstillinger, inkludert, men ikke begrenset til, IP-adresse, MAC-adresse og UDID (unique device identifier).
  2. Enhetens operativsystem og fastvare.
  3. Mobiloperatør.
  4. Geografiske data, som postnummer og grov stedslokalisering.
  5. Fremdrift i spillet, poengsum og trofeer.
  6. Annen ikke-personlig informasjon som en med rimelighet kan kreve for å forbedre tjenesten og andre produkter firmaet drifter.

Jaha…

De bruker et tredjeparts firma for å samle og analysere bruk av tjenesten – og de kan gi andre tilgang til oppsamlede data for å analysere bruk av tjenesten og utvikle den og andre tjenester videre. Javel…

Og de skriver også at du, som bruker, vet og er enig i at analysefirmaet kan kombinere informasjonen de samler inn med annen informasjon de har samlet inn uavhengig fra andre tjenester og produkter knyttet til din aktivitet. Yikes!

De viser til at de er temmelig sikre på at analysetjenesten de bruker følger COPPA-standarden (som ikke er noen norsk standard). Utfordringen i en norsk kontekst er at COPPA overhode ikke nevner IP eller MAC eller UDID – og i praksis ikke anser dette som personopplysninger.

Det gjør derimot Datatilsynet! Datatilsynet har hatt en god runde omkring webanalyse-verktøy under forståelsen av at en IP-adresse er en personopplysning. Og vips – ble denne appen ulovlig å bruke i skolen, hvis du da ikke som skole/kommune skaffe deg en databehandleravtale med firmaet (og gjennom dem en ordentlig avtale med analysefirmaet de bruker).

For å toppe det hele – i personvernreglene skriver også firmaet at de forbeholder seg retten til å endre personvernreglene ved passende anledninger, så de anbefaler at du besøker den ofte! Hvis de gjør større endringer kan det hende at de poster en notis om dette på firmaets hjemmeside – og at din fortsatte bruk av tjenesten/appen viser at du har godtatt denne endringen.

Og hvilken app snakker vi egentlig om… følg denne lenken. (Og her er lenken til personvernreglene.)

Når instruksen ikke passer med virkeligheten

Jeg har tenkt litt etter besøket fra Datatilsynet. Egentlig skisserte Datatilsynet en håpløst situasjon i forhold til databehandleravtaler og internkontrolldokumenter, som kommunen må ha i orden for enhver skytjeneste/digital læringsressurs hvor en legger igjen personidentifiserbar informasjon.

Prøver meg på en liten liste over netttjenester en lett ber elever bruke i skolen, og som faller inn under personopplysningslovens krav:

  • Fronter, Google Apps for Education og itslearning + alle tjenester du kan koble, eller er koblet, opp til dem (her er listene til itslearningGoogle og Fronter (nederst på siden)).
  • Alle sosiale nettverk – Facebook, Google+, Twitter og faktisk også Wikipeida.
  • Alle FEIDE-tjenester (hvis eleven må logge seg på via FEIDE)! Bare for å ta en eksempel – på minstemme.no står det at du ikke trenger en egen avtale med leverandør, men det handler om å få tilgang til tjenesten. Du, som kommune,  ha en databehandleravtale og internkontrolldokumenter om du sier at elever skal bruke det.
  • Alle apper på iPad/Android/Win8 som lagrer og deler informasjon i skyen (bortsett fra innlysende skytjenester). Tenk litt over hvor mange apper på en iPad som bruke iCloud eller sin egen lagrings-/delingstjeneste på nett (f.eks. Doceri, Prezi, SlideShare osv).
  • Og som en oppfølging til punktet over – alle nettressurser som krever autentisering, f.eks. KhanAcademy.

Husk at grensen for når du skal ha en databehandleravtale og må lage internkontrolldokumenter med risikovurdering ikke er at skolen/kommunen offisielt bruker det – det er at en lærer ber elevene om å gjøre skolearbeid ved hjelp av en av disse tjenestene!

For å si det på en annen måte: Hvilke tjenester må du inngå en databehandleravtale med og lage interkontrolldokumenter til? Jo, alle digitale tjenester du ber elever bruke i skolen og som lagrer brukergenerert eller personrelatert informasjon et annet sted enn på skolen/kommunen.

Lovens (nesten) umulige krav
Først skal hver eneste kommune prøve å skaffe en databehandleravtale med tjenesteleverandør – og det er ikke selvsagt at tjenesteleverandør overhode er interessert i det. Det er ikke sikkert du får nrkskole.no (NRK) eller matematikk.org (UiO) eller minstemme.no (Senter for IKT) til å skjønne at du må det. Og så skal hver kommune/skole lage sine egne internkontrolldokumenter for hver tjeneste. Det sier seg selv at kvaliteten kommer til å variere fra kommune til kommune og skole til skole – uansett hvor mange kontroller som gjøres eller veiledere som lages. Det er så mye sky for tiden at det i praksis er umulig å ha klar sikt over alt.

Det er vårt ansvar som kommune/skole (dataeier) å ha gode nok kunnskaper om tjenesteyters (databehandlers) rutiner og systemer for å sikre våre data. Derfor skal vi ha en databehandleravtale med dem der dette formaliseres. I praksis betyr det at vi skal ha mulighet til å kontrollere hvordan databehandler lever opp til sine rutiner (og da må du jo vite om dem!). I tillegg skal dataeier gjøre en risikovurdering ut i fra hvilke opplysninger som lagres hos databehandler.

Og for å ta dette som et praktisk eksempel – vi bruker Visma FLYT Skole som skoleadministrativt system. Det er en skytjeneste. Vi har inngått en databehandleravtale med Visma, men vi har ingen oversikt over deres rutiner omkring sikring og tilgang til våre data (som f.eks. Google har for Google Apps). Siden vi ikke har den oversikten kan vi ikke vite noe om risiko knyttet til informasjonen vi lagrer hos Visma – vi må bare stole på at de har alt i orden. Det er ikke godt nok overfor personopplysningsloven. Den sier at vi skal ha denne oversikten og at vi skal gjøre en risikovurdering – og vi kan ikke gjøre det uten denne informasjonen. Nå vil jeg tilføye at vi skal få denne informasjonen fra Visma. De har den ikke klar enda, men skal lage den – fordi jeg har spurt etter den.

Så var det at vi skal ha anledning til å kontrollere at databehandler gjør det de sier i sitt rutineskriv/internkontrolldokument. Google har ordnet det med at en tredjepart kontrollerer og gjør resultatet av kontrollen tilgjengelig for dataeier. Dette aner jeg ikke om Visma gjør via tredjepart, eller om de kommer til å tillate meg (som kommunerepresentant) å kontrollere det selv. Men for kunne si at jeg som dataeier har god nok kontroll over dataene min, må en av disse to mulighetene være oppfylt.

Poenget blir at dette nesten er umulig å oppfylle for dataeier. En ting er å skaffe databehandleravtale – det har de store norske tjenestetilbydere rutiner på (også noen av de utenlandske). Men når en krever innsyn i rutiner for sikring og innsyn hos databehandler blir ting mye vanskeligere. Jeg tviler sterkt på at det bare er Visma og Conexus som per dags dato ikke kan levere fra seg noe som likner på det Google kan levere. Da blir det omtrent helt vilkårlig hvilken tjeneste som blir «forbudt». Alle tjenester som kommer i Datatilsynets søkelys vil falle igjennom – hos kommunen. Ingen kommune kan leve opp til kravet. Det ble Google Apps i Narvik, men Google har orden på tingene og kan dokumentere det (og gi den dokumentasjonen til kommunen). Hva med alle de andre skytjenestene som skoler rundt omkring i landet forventer at elever skal bruke for å utføre skolearbeid? Bare plukk ut en og sjekk om kommunen kan leve opp til kravet i personopplysningsloven.

Problemet er at vi ikke bare kan, eller bør, ønske personopplysningsloven vekk. Jeg liker den! Det er viktig at informasjon ikke flyter uten styring, og det er bra at vi har et Datatilsyn som passer på. Vi skal vokte oss vel for den regjering som vil sette Datatilsynet under politisk styring eller ønsker å fjerne det!

Et forslag til forbedring
Så hva gjør vi da? Det er en ting at det å følge personopplysningsloven i en digital tidsalder genererer hauger av dokumenter og rutiner. Det er verre at loven er mer eller mindre umulig å leve opp til. En lov ingen klarer å følge i praksis er en dårlig lov. Du kan ikke forby alle skytjenester i skolen. Det funker bare ikke. Den tid er allerede forbi.

Det beste jeg klarer å tenke ut er at ansvaret for å sikre at databehandlers behandling av data er god nok må vekk fra kommunen/skolen. Nå er det slik at hver kommune må lage sin egen avtale og sin egen internkontroll for f.eks. itslearning – selv om den i praksis kommer til å være identisk. Det må vekk fra hver enkelt kommune og over på en aktør.

Her er det flere mulige alternativer. Enten kan tjenesteleverandør få en «godkjenning» fra Udir/Datatilsynet gjennom en sertifisering som tjenesteleverandør kan vise til at de oppfyller (gjennom tredjepart). Eller Udir kan på vegne av utdanningssektoren lage internkontrolldokumenter og databehandleravtaler med tjenesteleverandørene. Det er en ulempe med dette alternativet, nemlig at da er det Udir som velger ut hvilke tjenester de vil godkjenne. Det er bedre om tjenesteleverandør kan få tredjepart til å bekrefte at de lever opp til standarder satt av Udir for tjenester levert til undervisningssektoren.

Da kan enhver i undervisningssektoren (som er en stor sektor) benytte tjenesten vel vitende om at de er innenfor lovens krav. Loven må nok endres litt for å få dette til, men det er jo blant annet det vi har Udir til :-)

Og om ingen sentrale personer tar fatt i dette får vi trø til med en kjent og velfungerende modell – vi deler det vi har sammen! I forrige innlegg på bloggen lovet jeg at jeg skulle legge ut internkontrolldokumentene for Google Apps for Education når jeg har fått revidert dem. Jeg lover også at jeg også skal utforme dem slik at andre skoler/kommuner lett kan gjøre dem til sine dokumenter. Kanskje vi kunne samle alle slike dokumentmaler ett felles sted? Da slipper kommuner som vil ta tjenester i bruk å finne opp kruttet på nytt når en jobber seg hjelpesløst gjennom utydelige veiledere.

Mange lurer på Google Apps for Education og databehandleravtalen

Etter runden om Google Apps for Education på NKUL har det ramlet inn eposter med spørsmål fra fjern og nær i skole-Norge. Og det er jo gøy! :-)

Det er tydeligvis en del skole og kommuner der ute som har lyst til å komme seg videre i verden med å satse på Google Apps for Education. Mange har lurt på problemstillingen rundt Google Apps for Education og databehandleravtale – og jeg har svart etter beste evne. Men… jeg har alltid hatt en gnagende  tvil om det jeg har svart har vært helt riktig. Ikke det at jeg har sagt feil ting – jeg har bare ikke vært heeelt bombesikker på alle detaljene. Jeg tok derfor en liten ekstra runde med et par av aktørene knyttet til saken i Narvik og fikk litt mer ro i sjelen.

Spørsmålet om databehandleravtale mellom Google og organisasjonen er nokså greit å svare på. Bedriften/kommunen/skolen må godta standardavtalen en inngår ved oppstart av Google Apps (for Education) i tillegg til to ekstra som er laget for EU. Google signerer ikke egne kontrakter, ei heller lager unike kontrakter, knyttet til Google Apps for Education (eller for Business, for den saks skyld). Det er det samme om du er en bedrift, kommune eller skole – eller om du bruker en Google Partner som f.eks. www.avaloncloud.com – det standardkontrakten(e) med Google som gjelder om du vil bruke Google Apps. Google-partneren Avalon Cloud, som hjalp Narvik kommune på vei, mener ikke med at det er noe problem å bruke Google Apps i Norge,  siden Datatilsynet har gitt grønt lys ift at det er OK å bruke Google Apps med de kontraktene som finnes i dag.

Det som du til gjengjeld ikke skal kimse av, og som jeg tror mange hopper bukk over, er at du skal gjennomføre en sikkerhets-/risikoanalyse før du går i gang med en skytjeneste. Det er det samme om det er itslearning, Google Apps, DropBox eller [sett inn navnet på skytjenesten din]. Du må dokumentere rutiner for data som går inn og ut av tjenesten og at informasjon som ikke kan eller skal være der ikke havner der. Hvilke rutiner har du for at ingen laster opp IOPer på Google Disk? Og hva gjør du for å avdekke om noen har gjort det – og hva gjør du da? Du må være sikker på at du vet hvordan du setter opp og bruker tjenesten, og hva den innebærer for organisasjonen. Disse tingene bør du også kunne vise frem om Datatilsynet spør, slik at du kan vise at du har tenkt igjennom datasikkerhet og -rutiner knyttet til systemet på en god måte.

Forresten… opp med hånden de som har laget en god sikkerhets- og risikoanalyse før de dro igang itslearning/fronter, iCloud eller [skytjeneste]? ;-)