I forlengelsen av ideen om en støygrense skal jeg innom et par varianter som klart ikke ligger innenfor GDPR, men som kanskje ikke burde vært så farlig – og hvor det kanskje finnes en vei rundt de største hindrene.
Hva skjer når elever skal bruke tjenester som Biodigial Human eller Duolingo eller BookCreator (de supplerte meg nettopp med GDPR-kontrakten sin!) eller Kahoot eller Euclidea eller Kostholdsplanleggeren? Listen er ikke utfyllende ;-)
Noen av tjenestene over må du logge deg på for å kunne bruke, men andre er nesten meningsløse å bruke (over tid) uten at du har en konto. Når elever skal bruke Duolingo eller Biodigital må de logge seg på med en bruker. Begge er gode ressurser hver på sitt område. Biodigital lagrer navn og epost, og sikker noe om hvordan du bruker tjenesten. Biodigital trenger i utgangspunktet ikke denne informasjonen for å gi deg basistjenesten, fordi det du stort sett bruker tjenesten til er å vise / lete etter anatomi, men de vil ha den likevel. Duolingo lagrer navn og epost og progresjon i språklæringen, og sikker noe om hvordan du bruker tjenesten (sjekk ut selv ;-). Det gir mening at Duolingo trenger å lagre en eller annen form for identifikasjon, slik at nettstedet kan holde orden på hvor du var i løypen for å lære kinesisk neste gang du logger på. Dessuten sender Duolingo deg påminnelser i epost om at at du bør øve jevnt og trutt (helt til de gir opp :-).
For de fleste slike tjenester er det ikke enkelt (les umulig) å få tak i en databehandleravtale og eventuelt et godkjent overføringsgrunnlag til land/organisasjon utenfor EU/EØS. Les blogginnlegget «Samtykke og samtykke og frivillighet» nå, om du ikke har gjort det før. Du står nå i en situasjon hvor du enten må la elevene bruke tjenestene frivillig eller klare å få bruken innenfor opplæringsloven § 2-3 og si at elevene skal bruke det. Om du velger det siste tar du på deg ansvaret for personinformasjon som måtte flyte til tjenesten. Siden det ikke er mulig å få tak i en databehandleravtale må du igjen tenke litt over om du heller vil gjøre det frivillig eller om du vil prøve å få ting til så godt du kan.
Hva betyr det å få ting til så godt du kan? Jo, du må dokumentere så mye som du kan av behandlingen hos tjenesten (som er databehandler) og bruke denne dokumentasjonen til å vise at du i det minste har tenkt på hvilke og hvordan personopplysninger brukes. Sjekk ut «Terms of use«, «Privacy Policy» og liknende ressurser som alle netttjenester har. Det står mye der som kan være til hjelp med å finne ut hvordan personopplysninger blir brukt. Hvis en tjeneste ikke har disse ressursene lett tilgjengelig – da skal du tenke nøye igjennom ting! Det hjelper også godt på om du gjør deg opp en skriftlig vurdering om behandlingen av personopplysningene står i rimelig forhold til nytten og bruken av tjenesten. Og ja, jeg har laget et skjema som hjelper deg med alt dette, men det slipper jeg ikke før på sesjon 3H mandag 7. mai 2018 på NKUL 2018…
Nå lover jeg på ingen måte at dette får deg innenfor det Datatilsynet synes er godt nok. Jeg er rimelig sikker på at de av prinsipp ikke liker ting hvor du ikke har en kontraktfestet databehandleravtale. Samtidig har du absolutt ingen sjanse om du ikke har gjort det. Dette kan være forskjellen mellom en bot eller et avvik (som du vel og merke kanskje ikke klarer å lukke).
Så langt lett banning – her kommer noen mer grove gloser…
I prinsippet kan du bruke søkemotoren Google uten en databehandleravtale, men bruker du Euclidea må du ha en databehandleravtale med dem (de lagrer epost, navn og progresjon). Samtidig lagres det mindre reelle og viktige personopplysninger i Euclidea enn det som lagres når du søker etter noe på Google eller YouTube. Hvorfor må jeg ha databehandleravtale på det som er så godt som uviktig, men ingenting på det som kan inneholde mer juicy personinformasjon? Navn og epost er knapt nok personinformasjon i denne sammenhengen og eposten til eleven vil dessuten være ubrukelig når eleven ikke er elev lengre (fordi da slettes den – ikke sant?!). Kan jeg si at tjenester som bare lagrer uviktige personopplysninger kan gå under «støygrensen» og jeg trenger ikke å gjøre mer (altså ikke noe mer enn jeg gjør når elever søker på Google – som er ingenting)? Den er mer frekk, men kanskje det burde være noen slike tanker i omløp også?
Oppsummeringen av de tre blogginnleggene om NKUL2018 blir omtrent som følger – Ta deg den friheten å vurdere om en tjeneste på verdensveven er under «støygrensen», selv om den samler inn epost, navn og kanskje noen andre uviktige/naturlige data. Vurder om nytteverdien står i rimelig forhold til formålet og da om du gjør den obligatorisk for elevene dine. Gjør gjerne vurderingen skriftlig, slik at du (og andre) vet hva du har tenkt. Det er veldig mye bedre enn å bare ikke si noe til noen (og da heller ikke tenke gjennom ting), som jeg tror er status på mye av det digitale arbeidet som foregår i klasserommet i dag.
«Jeg tar meg den frihet. Der ligger hemmeligheten med frihetens vesen. Man tar seg den. Ingen gir oss frihet, vi må ta den selv.» – Jens Bjørneboe
Epilog – Alt det jeg har skrevet om nettsider i disse tre bloggpostene gjelder selvfølgelig også for apper til iPad og Android. Det er som regel mye verre der, fordi du alltid er identifisert i appen med kontoen på nettbrettet/mobiltelefonen.
Legg igjen en kommentar