De nye personvernreglene kommer i mai 2018 og alle kikker nervøst igjennom systemene hvor de lagrer personopplysninger – og med god grunn. Vi gjør dette i Randaberg kommune også – og så langt kan skolen klappe seg selv på skulderen. Vi er langt fra i mål i skolen heller, men vi vet hva vi ikke har på plass. Og nei, det er ikke GSuite for Education som ikke er på plass. Det er alle de «løse» FEIDE-tjenestene vi sliter med. I denne jobben har jeg oppdaget et par tjenester som lagrer mengder av personopplysninger hvor jeg ble veldig usikker på hvilken ansvar vi i kommunen egentlig har.
Tjenestene jeg tenker på et Udir sitt PAS- og PGS-system og fylkeskommunens VIGO-system (opptak til videregående skole). Det som er utfordringen er at dette er systemer hvor henholdsvis Udir og fylkeskommunene er behandlingsansvarlig for personopplysningene de behandler. Udir og fylkeskommunen er ikke databehandler på vegne av kommunen. Den enkelte kommune har ikke noe behandlingsansvar. Dette er de helt tydelige på selv, så det er ikke noe utfordrende akkurat der.
Men… (den måtte komme) til tross for dette er det kommunen/skolen som overfører all informasjon inn i disse systemene slik at Udir og fylkeskommunene har noe å jobbe med. I PAS/PGS legger vi inn elevnavn, gruppetilhørighet og personnummer for Udir. Så er det også vi i skolen som får elevene til å fylle systemet med data gjennom nasjonale prøver, elevundersøkelsen og eksamen. Jeg tok kontakt med Udir og fikk gode svar. De har internkontrollskjema for alle tjenestene og deler dem gjerne. I disse skjemaene kommer det frem at Udir regner overleveringen/innsamlingen av data som et lovpålagt krav for å oppfylle pålagte plikter i opplæringsloven. Kommunen har en rolle som Udirs forlengede arm og gjør en pålagt (ikke-frivillig) oppgave for Udir. Elevene (og kommunen) står derfor ikke fritt til å stå over de ulike prøvene til Udir. Dette er lovpålagte undersøkelser og prøver – og det er et viktig poeng til neste avsnitt.
I VIGO er ting annerledes. Der supplerer kommunen fylkeskommunen med elevnavn, personnummer, karakter 1. termin og standpunkt- og eksamenskarakterer for elever på 10. trinn. Det gjør vi 3 ganger i løpet av skoleåret og det er så standardisert at det er integrert i de skoleadministrative systemene…
VIGO/Fylkeskommunene bruker de ulike rapportene til å forberede opptakssystemene (VIGO1), gjøre en grovsortering (VIGO2), tror jeg, og så en endelig fordeling (VIGO3). Det er en veldig viktig forskjell mellom PAS/PGS og VIGO – det er frivillig om du vil søke på videregående skole og vi overfører denne informasjonen uten å spørre eleven om det er greit. Eleven har ikke søkt på videregående skole og likevel laster vi mengder av data over til VIGO (VIGO1 og VIGO2) – bare fordi det er den mest praktiske måten å gjøre det på (for fylkeskommunen).
Jeg kan komme med noen spørsmål som kan vise det problematiske i at all informasjon om alle elever blir overført til VIGO automatisk. Det finnes elever som bare søker på private videregående skoler og utenlandske videregående skoler og er dermed aldri en del av VIGO-systemet. Hvorfor skal VIGO ha informasjon om disse elevene? Eleven har ikke søkt. VIGO trenger ikke informasjonen. Kommunen overfører den likevel Samme hva VIGO bruker det til – de trenger den ikke. Dette er et brudd på en del allerede eksisterende regler og det er vi i kommunen som utfører det!
Og hva med karakterene fra 1. termin på 10. trinn. Dette er mengder med elevinformasjon VIGO ikke trenger for å ta elever opp til videregående skole og den blir overført før elevene en gang har søkt. Og når du ser alle karakterer for en elev samlet under ett kan du enkelt danne deg et rimelig korrekt bilde av hvem denne eleven er (i grove trekk). Hva bruker VIGO denne karakteren til? Er det er et pre-opptak? En måte å forberede videregåendeskolene på hvordan fordelingen kommer til å se ut? Er det for å teste VIGO-systemet før de ordentlige dataene kommer? Blir disse karakterene slettet? Henger dette med elever i etterkant – også elever som slutter på videregående skole eller som aldri søker?
Kan jeg som kommune nekte å overføre alle disse VIGO-rapportene til fylkeskommunen? Vi har ingen avtale om at vi må. Siden vi ikke har en avtale er dessuten kommunen ansvarlig om fylkeskommunen bruker dette til feil ting. Det er ikke kommunens ansvar å fortelle fylkeskommunen om navnet på elevene som kanskje kommer til å søke på videregående skole. Det må de samle inn selv fra andre offentlige kilder (f.eks. folkeregisteret). Eller…?
Jeg hadde i forkant tatt en prat med Datatilsynet og de påpekte at en slik overføring av personopplysninger måtte være hjemlet i lovverk eller formulert i en avtale mellom kommunen og fylkeskommunen. Dette er ikke hjemlet i lov og det finnes ingen slik avtale – så her stod vi på bar bakke. Neste punkt var å sende denne utfordringen til VIGO-eier fylkeskommunen, som hos meg er Rogaland. De tok ballen, sendte den rundt fra kontor til kontor til den til slutt landet på kontoret til en jeg kjente. Han tok en telefon for å finne ut hva jeg egentlig tenkte på og vi ble raskt enige om at behovet er legitimt. Han hadde heller ikke villet overføre denne mengden med informasjon til noen uten en avtale – og han skal spille ballen videre hos dem.
I samtalen kom det frem at det er noen utfordringer knyttet til overføring av informasjon og avtaler. Kort fortalt vil alle fylkeskommuner kunne bruke informasjonen Randaberg kommune laster opp, fordi elever kan søke på skoler i andre fylker. Og når alle kommuner og fylkeskommune er selvstendige juridiske enheter må altså alle (19) fylkeskommuner ha avtale med alle (426) kommuner… og der passerte vi rett over i noe nokså uhåndterlig (8094 avtaler!). Kanskje dette kan gjøres enklere med at organisasjonen VIGO har avtale med den enkelte kommune? Det får noen andres jurister tenke på.
Det er selvfølgelig mulig å lage systemer for dette i grunnskolen. Vi spør alle elever/foresatte om de godtar en overføring av aktuell informasjon til VIGO, eventuelt i forkant av søkeprosessen, og om de ikke frivillig gjør dette må elev/foresatt selv sende inn godkjent kopi av vitnemål til fylket de søker skoleplass i. Så må vi i kommunen ha rutiner for å ikke få med disse elevene i VIGO-eksporten – noe vi sikker kan ordne sammen med Visma i det skoleadministrative systemet. Tungvindt, men korrekt.
Legg igjen en kommentar