sou · H4B341 · 2016-06-07 00:00:00 — Vanligt förekommande tjänster i skolorna är möjligheten att via skolans webbplats få åtkomst till bl.a. schema, skolresultat och funk- tioner för frånvaroanmälan. En del lärare kommunicerar med elever via sociala medier. Detta är vanligare i gymnasieskolan än i . Fyra av tio lärare i gymnasieskolan använder sociala medier för att kommunicera med elever, medan motsvarande i är två av tio lärare. I grund- skolan är det dock vanligare att lärare i de högre årskurserna använ- der sociala medier för kommunikation med elever jämfört med lärare i de lägre årkurserna. undersökning visar sammantaget att digitaliseringen av skolan är relativt långt kommen i , även med internationella mått mätt.3 Det görs dessutom satsningar för att ytterligare påskynda digitali- seringen av skolan, både från kommunalt och statligt håll. Vid kommuner och landsting fanns ett s.k. Nationellt forum för skolans digitalisering som var en brett sammansatt grupp som arbetade för att underlätta digitaliseringen av skolan. Vidare har , på uppdrag av regeringen, tagit fram ett förslag till it-strategi som vänder sig till förskolan, förskoleklassen, fritidshemmet och den obligatoriska skolan.4 föreslår att det ska vara en vision att skolväsendet präglas av att digitaliseringens möjligheter tas tillvara, så att de digitala verktygen och resurserna 2 och IT-kompetens i skolan, IT-uppföljning 2015, dnr 2015:00067. 3 Se även delbetänkande En digital agenda i människans tjänst – en ljusnande framtid kan bli vår, SOU 2014:13, s. 129 f. 4 Redovisning av uppdraget om att föreslå nationella IT-strategier för skolväsendet, redovisning av regeringsuppdrag, dnr 2015:01153. bidrar till att resultaten förbättras och verksamheten effektiviseras. Enligt förslaget behöver lärarna enkelt kunna samla in uppgifter om elever som genereras när dessa arbetar med digitala läromedel, digi- tala prov, resultat från nationella prov, bedömningsunderlag och motsvarande. Förhoppningen är att uppgifterna ska underlätta för läraren att individualisera undervisningen och ge eleven underlag för reflektion kring det egna lärandet. lyfter också fram att samlandet av uppgifter långt ifrån är problemfritt och att det särskilt reser frågor som har med personlig integritet att göra. Hur uppgifter av detta slag ska hanteras när det gäller skydd av integritet, lagring och åtkomst kommer enligt att behöva lösas samlat på nationell nivå. I förslaget sägs också att skolorna står inför ett växande behov att skydda elevernas integritet, som man bör använda uppgifterna till att individualisera lärandet, främja forskning och tydliggöra elevens utbildningsframgångar för föräldrar och lärare. Mot bakgrund av den tilltagande digitaliseringen av skolan och ambitionerna att ytterligare påskynda densamma, är det några resul- tat i uppföljning som är särskilt värda att notera ur ett integritetsskyddsperspektiv: •De ökade satsningarna på it i skolan har av undersökningen att döma, inte lett till en lika stor ökning av övergripande styrning och planering. Undersökningen visade att färre grundskolor hade en it-plan jämfört med . har antalet grundskolor med it-plan ökat och är nu ungefär på samma nivå som 2008. Av alla grundskolor har en it-plan. Av gymnasieskolorna har en it-plan. Av de skolor som har en it-plan, anger 51 pro- cent av grundskolorna och av gymnasieskolorna att det i it-planen beskrivs hur skolan ska beakta och hantera elevers in tegritet i olika it-verktyg och plattformar. •Omkring fyra av tio lärare uppger att de inte alls arbetar med sina elever för att främja en säker användning av internet (t.ex. gällande utlämnande av personliga uppgifter, bilder, köp av tjänster och varor), och inte heller arbetar något med att förebygga olika for- mar av kränkningar via mobiltelefon och internet. •Omkring hälften av lärarna i anser sig ha ett stort behov av kompetensutveckling inom olika it-områden: ––av grundskolelärarna anser att de har ett stort be- hov av kompetensutveckling beträffande hur man ska arbeta förebyggande mot kränkningar. ––av grundskolelärarna anser sig ha ett stort behov av mer kunskap om säker it-användning, och ––av grundskolelärarna anser sig ha ett stort behov av kunskap om ”lag och rätt” gällande it-användning.5 Intressant ur integritetsskyddsperspektiv är även en rapport från kommuner och landsting om rektorers bedömningar i själv- skattningsverktyget LIKA.6 •För av skolorna som hade använt sig av tyget gjordes bedömningen att skolan när det gäller digitala verk- tyg saknade god beställarkompetens och ett bra samarbete med leverantörer om vad skolan behöver. För av skolorna gjordes bedömningen att beställarkompetens och bra samarbeta var något som hade påbörjats eller nästan uppnåtts. Övriga be- dömde att detta redan uppnåtts. •För av skolorna som hade använt sig av verktyget gjordes bedömningen att skolan när det gäller digitala verktyg saknade tydliggjorda centrala riktlinjer eller rutiner för hur it- relaterade projekt ska redogöras, vem som ansvarar för vad och hur processen går till vid inköp och beställningar. För av skolorna gjordes bedömningen att tydliga riktlinjer eller ruti- ner var något som hade påbörjats eller nästan uppnåtts. Övriga bedömde att detta redan uppnåtts. Även från statligt håll visar man, som redan nämnts ovan, intresse för skolans digitalisering. Ett aktuellt betänkande som bland annat rör skolans digitalisering är En digital agenda i människans tjänst – en ljusnande framtid kan bli vår.7 Betänkandet är en del av Digitali 5 Gymnasielärarna ligger mellan i sina uppskattningar av behovet av kompetensutveckling på samma områden. 6 Rapporten – Hur långt har vi kommit?, Kommuner och Landsting, . LIKA har tagits fram av SKL och är ett nätbaserat självvärderings- verktyg för utvärdering och utveckling av skolans digitalisering. LIKA står för Ledning, Infrastruktur, Kompetens och Användning. Rapporten baserar sig på de självskattningar som hade gjorts i LIKA för 873 skolor. 7 SOU 2014:13. uppdrag att verka för att målet i regeringens it-politiska strategi It i människans tjänst – en digital agenda för uppnås. I betänkandet föreslås en rad åtgärder som syftar till att främja skolans digitalisering. I korthet innebär förslagen ett tydliggörande av digitala hjälpmedels roll i läroplaner och kursplaner, insatser för att höja it-kompetensen hos skolans personal samt åtgärder för bättre kunskap om effekterna av skolans it-användning. Det är enligt vår uppfattning anmärkningsvärt att när personlig integritet nämns i betänkandet, avses – liksom i många andra samman hang som rör skolans digitalisering – endast kränkningar på internet, dvs. behovet av att skydda elever från att bli kränkta på internet av andra elever eller av vuxna. Det berörs inte alls i betänkandet att digi- taliseringen av skolan medför en ofantlig ökning av möjligheterna för företag, organisationer och myndigheter att kartlägga eleverna. I sitt remissvar på betänkandet påpekar Datainspektionen att det är viktigt att regeringen i det fortsatta arbetet med utredningens för- slag noggrant analyserar vilka konsekvenser behandlingen av person- uppgifter har för den enskildes personliga integritet. Datainspek tionen lyfter bl.a. fram sin erfarenhet att kunskapen inom skolväsendet om hur personuppgifter får behandlas ofta är bristfällig, och pekar på att det är av central betydelse att kunskap om gällande integritets- skyddslagstiftning också måste finnas hos skolhuvudmännen, dvs. inte bara hos enskilda lärare och rektorer. Hanteringen av personuppgifter inom utbildningsväsendet regleras av olika författningar, i huvudsak i enlighet med följande: •Personuppgiftslagen (1998:204). Här kan nämnas att skolornas utbildningsverksamhet anses vara en sådan ”arbetsuppgift av all- mänt intresse” som enligt 10 § personuppgiftslagen möjliggör att personuppgifter får behandlas utan den enskildes samtycke.8 Utredningens om offentlighet och sekretess i skolan betänkande Sekretess i elevernas intresse – Dokumentation, samverkan och integritet i skolan, SOU 2003: 103 s. 199. Särskilda krav gäller emellertid när det är fråga om känsliga uppgifter i personuppgiftslagens mening, uppgifter om lagöverträdelser eller personnummer. •Generellt inom offentlig verksamhet gäller offentlighets- och sekretesslagen (2009:400). För fristående skolor finns mot svarande bestämmelser i 29 kap. 14 § skollagen (2010:800). Det bör dock noteras att den mest grundläggande delen av skolverk- samheten över huvud taget inte omfattas av offentlighets- och sekretesslagens bestämmelser (eller av motsvande bestämmelser i skollagen). Det är den normala dagliga pedagogiska verksam heten – dvs. den vanliga undervisningen – som inte alls är under- kastad sekretess. Uppgifter som rör elevers studieresultat, när- varo och scheman m.m. är med andra ord i princip alltid offentliga. Det är först när verksamheten inriktas på andra åtgärder för elever, t.ex. hälsoundersökningar eller som ett led i s.k. särskild elevstödjande verksamhet, som uppgifter av hänsyn till elevernas och deras närståendes integritet kan vara sekretessbelagda.9 •Patientdatalagen (2008:355) gäller för den hälso- och sjukvård som bedrivs på skolorna. För uppgifter i hälso- och sjukvården i skolorna gäller offentlighets- och sekretesslagen. För privata vårdgivare som bedriver hälso- och sjukvård i skolan finns mot- svarande bestämmelser i patientsäkerhetslagen (2010:659). I första hand följande tillsynsmyndigheter kontrollerar hanteringen av personuppgifter inom utbildningsväsendet: Datainspektionen (utövar tillsyn enligt personuppgiftslagen), Skolinspektionen (ut övar tillsyn enligt skollagen), Barn- och elevombudet (som är en del av Skolinspektionen och bl.a. kan begära skadestånd för barn och elever som varit utsatta för kränkningar i skolan), Inspektionen för vård och omsorg (utövar tillsyn enligt hälso- och sjukvårdslagstift- ningen med inriktning på patientsäkerhet inom skolhälsovården). Därtill utövar ombudsmän () och i viss mån Justitiekanslern tillsyn över det allmänna utbildnings- väsendet. 9 SOU 2003:103, s. 65 f. I ett senare betänkande, Utredningens om sekretess för uppgifter i skolväsendet och vissa andra utbildningsformer och verksamheter betänkande Skolans doku- ment – insyn och sekretess, SOU 2011:58, har vissa ändringar föreslagits, bl.a. att individuella utvecklingsplaner skulle omfattas av sekretess, men förslagen har inte lett till lagstiftning. Den enskilde som anser att hennes eller hans uppgifter hanterats på ett felaktigt sätt, kan således vända sig till olika tillsynsmyndig heter med ett klagomål. Beroende på vad klagomålet rör, är det olika myndigheter som ansvarar för tillsynen. Exempelvis ansvarar Data- inspektionen för frågor som rör vilka uppgifter om eleverna som får hanteras och hur länge de får sparas. Skolinspektionen ansvarar för frågor som rör hur skolorna dokumenterar elevernas arbete. Barn- och elevombudet kan i tvister om skadestånd enligt skollagens sjätte kapitel (med förbud mot kränkande behandling) föra talan för en elev som samtycker till det. Inspektionen för vård och omsorg ansvarar t.ex. för frågor om tillsyn av om dokumentationen uppfyller patientdatalagens krav. Vidare finns det en möjlighet för eleven att själv begära skade- stånd för den ideella skada (dvs. kränkningen) som hon eller han an- ser sig ha lidit på grund av integritetsintrång, och att i så fall väcka talan vid allmän domstol. 7.2Digitala lärplattformar och läromedel Digitala lärplattformar är internetbaserade system som möjliggör olika sorters interaktivitet och kommunikation mellan elever, lärare och vårdnadshavare. Den vanliga engelska beteckningen för dem är De digitala lärplattformarna kallas ibland för virtuella klassrum, och innehåller vanligen funktioner för: •att skapa grupper och klasser, •att visa schema och närvaro eller frånvaro, •att visa betyg, omdömen och individuella utvecklingsplaner, •att genomföra prov, •diskussionsforum och chattfunktion, •virtuella rum där lärare och elever kan skicka meddelanden och läraren kan lägga ut planering, undervisningsmaterial, länkar osv. och eleverna kan lösa och lämna in uppgifter, och •åtkomst för vårdnadshavare för att kunna kommunicera med skolan och följa det egna barnets arbete. Digitala lärplattformar kan möjliggöra en detaljerad loggning av elevens aktiviteter med information om exempelvis när eleven arbetar i systemet, hur eleven arbetar med en viss uppgift, hur eleven interagerar och kommunicerar med lärare och andra elever och hur aktivt eleven arbetar med sina olika ämnen i systemet. Informationen om elevens aktiviteter i den digitala lärplattformen kan användas för att få veta mer om elevens inlärningsprocesser. Kunskap om elevens inlärning gör det möjligt både att anpassa upp- gifter och arbetssätt till den individuella eleven, att identifiera elever som behöver särskilt stöd, och till att allmänt förbättra systemen. Det här området kallas ibland för inlärningsanalys (på engelska lear- ning analytics), vilket kan sägas vara en tillämpning av big data- analyser på utbildningsområdet, i vilket uppgifter från lärplattformar är en av flera möjliga datakällor. Inlärningsanalys är ännu i sin linda, men spås bli viktigt . Vissa lärplattformar med stor spridning i förbereder sina lärplattformar för att kunna stödja inlärningsanalys.10 Ofta finns lärplattformen i molnet. Det är alltså en annan organi- sation än skolan som lagrar personuppgifterna och står för systemets drift. Det innebär att de frågeställningar som uppkommer för moln- tjänster är aktuella även för lärplattformarna. Faktum är att de moln- tjänster som i granskats mest ingående av Datainspektionen, har varit just lärplattformar Exempelvis har den molnbaserade lär- plattformen Google Apps for Education granskats och kritiserats i en rad beslut. Några exempel på andra i vanligt förekommande lärplatt- formar är Fronter, Pingpong och Infomentor. Det är inte ovanligt att mindre lärplattformar delvis är integrerade med andra, större platt- formar, som exempelvis nämnda Google Apps for Education. 10 Personvern 2015 – tillstand og trender, rapport från Datatilsynet och i . På universitet och högskolor används lärplattformar för s.k. MOOC-kurser (vilket står för Online Course) som är webbaserade kurser som oftast både är gratis och öppna för allmän- heten. MOOC-kurser har i uppmärksammats för oklarheter kring vilken lagstiftning som skyddar det stora antal personuppgifter som behandlas om studenterna när de genomgår MOOC-kurser.11 Det finns många olika digitala läromedel på marknaden. Ofta hand- lar det om material som kombinerar text, ljud och bild, som är inter- aktivt och som är åtkomligt över nätet. Digitala läromedel kan underlätta inlärningen och göra undervisningen effektivare eftersom läraren inte behöver delta i de moment där läromedlet kan instruera eleven. Läraren kan i stället fokusera på de delar som absolut kräver hans eller hennes handledning. Ofta förutsätter användningen av digitala läromedel att varje en- skild elev registreras som användare hos leverantören, dvs. hos för laget. Leverantören kan då vanligen följa elevens användning av läro- medlet på en mycket detaljerad nivå. Även data från elevernas användning av läromedel är förstås av stort intresse för inlärnings- analys. Digitala läromedel ges i ut av förlag som även ger ut pappersbaserade läroböcker och av förlag som enbart sysslar med digitala läromedel. Personuppgiftslagens bestämmelser gäller för hanteringen av person uppgifter i digitala lärplattformar och läromedel. Av särskild betydelse är i detta sammanhang är personuppgiftslagens bestämmelser om personuppgiftsansvaret, ändamålsbegränsning, samtycke, informa- tion och säkerhetsåtgärder. 11 , Are MOOC-Takers ‘Students’? Not When It Comes to the , publicerad i . 7.2.3Risker för den personliga integriteten När alla funktioner i digitala lärplattformar och läromedel används av eleverna, genereras en stor mängd mycket detaljerade uppgifter om vad de arbetar med, hur de arbetar och om deras relationer till andra elever och till lärare. Det generella gapet mellan det formella ansvaret för hanteringen av personuppgifterna och kunskapen och kontrollen över hur upp- gifterna faktiskt hanteras, medför förstås en rad olika risker ur ett integritetsskyddsperspektiv. Det finns en risk för att onödigt många uppgifter om eleverna hanteras i systemen och för att uppgifterna sprids och hanteras för andra ändamål än de som huvudmannen ursprungligen bestämt och informerat elever och vårdnadshavare om. Det strider i så fall mot personuppgiftslagen och kanske även mot de avtal som finns mellan huvudmanen och personuppgiftsbiträdena. En faktor som driver på och ökar dessa risker är det stora intres- set hos leverantörer, systemutvecklare och förlag av att hantera så många olika uppgifter som möjligt från de digitala lärplattformarna och läromedlen. Syftet med det är att kunna använda inlärnings analytiska metoder för att utveckla och förbättra system och läro medel. Här är verkligen alla uppgifter som över huvud taget kan lag- ras av intresse, även innehållet i chattar mellan eleverna och likaså samtal i den mån ljud lagras i systemet och kan analyseras (jfr s.k. social metrics). är medvetet om utvecklingen och skriver följande på sin webbsida. har möjligheterna att göra detta [samla kunskap om elevernas sätt att lära] med digitalt stöd ökat till exempel genom använd- ningen av lärplattformar och verktyg för individuella utvecklingsplaner. som vi ser hur den tekniska utvecklingen kraftigt ökar möjlig heterna för att samla data aktualiseras frågor om vad som är önskvärt och lämpligt.12 12 Samla och analysera. larande/itiskolan/digitala-larresurser/learning-analytics-1.223404 Hämtat . Om det finns brister i huvudmännens kunskap om, och kontroll över hur uppgifter hanteras i lärplattformarna, finns det naturligtvis också en stor risk för att elever och vårdnadshavarna varken får till- räcklig information om hanteringen eller får möjlighet att påverka hanteringen. Vissa av de största och mest populära lärplattformarna i molnet är ”gratis” för skolan, på så sätt att någon direkt ekonomisk ersättning inte begärs för tjänsterna. I den rådande affärsmodellen får dock leverantörerna sin ersättning i form av användbara uppgifter om de elever vars uppgifter hanteras i systemen, som leverantörerna driftar för skolhuvudmannans räkning. Digitala lärplattformar hämtar vanligen grunduppgifter om eleverna från något av skolhuvudmannens elevregister. Dessa kan vara rent administrativa databaser eller kommungemensamma befolknings register. Det finns då en risk för att det förs över fler uppgifter än vad lärplattformen egentligen behöver. Det finns också en risk för att uppgifter om elever med skyddad identitet förs över och får en sprid- ning i lärplattformen som innebär att personernas identiteter röjs. 7.3Sociala medier i undervisningen Sociala medier är ett sätt att kommunicera, skapa relationer, främja dialog och dela kunskap. Exempel på sociala medier är: •webbplatser med nyhetskommentarer, länkar, chatt och kom mentarsfält, •Facebook, LinkedIn, Twitter, YouTube, Flickr och många andra, •wikier, där användarna hjälps åt att skapa innehållet.13 har det blivit populärt att använda sociala medier i skolan, som ett inslag i undervisningen eller som ett sätt att hålla kontakt lärare emellan. Sociala medier är snabba, lättanvända och gör det enklare att omvärldsbevaka, kommunicera och dela material med 13 E-delegationens riktlinjer Myndigheters användning av sociala medier, version 1.0, . elever, föräldrar och kollegor. Vissa lärare menar att deras elever blir motiverade att skriva och skapa när deras material blir synligt för en vidare krets än klasskamraterna. Andra lyfter fram betydelsen av att lärarna får ett stort professionellt nätverk för kollegialt lärande och diskussion. Facebook, bloggar och wikier14 är populära redskap i skolan för samarbete, kommunikation och publicering av text, bild och ljudfiler. Personuppgiftslagens bestämmelser gäller för hanteringen av person uppgifter i sociala medier. Av särskild betydelse i detta sammanhang är personuppgiftslagens bestämmelser om personuppgiftsansvaret, ändamålsbegränsning, samtycke, information och säkerhetsåtgärder. krävs samtycke för att hanteringen ska vara förenlig med personuppgiftslagen, exempelvis vid ingående av avtal med det sociala mediet om personuppgiftshanteringen. Av betydelse är då att personuppgiftslagen saknar bestämmelser om från vilken ålder unga personer själva kan samtycka till att uppgifterna publiceras. Data inspektionen anger följande i frågan: Också den som är underårig (det vill säga under ) kan lämna giltigt samtycke till en tilltänkt behandling om han eller hon är kapabel att förstå innebörden av samtycket. (…) Om uppgifter om underåriga ska behandlas är det särskilt viktigt att göra en seriös bedömning av den unges förmåga att förstå de totala konsekvenserna av en behandling. En tumregel kan vara att den som fyllt normalt är kapabel att ta ställning i samtyckesfrågan. är det dock så att andra regler än de som finns i person uppgiftslagen hindrar att personuppgifter om barn behandlas. Det finns till exempel begränsningar när det gäller att skicka direktreklam till barn.15 Här kan också bestämmelser om möjligheten att ingå avtal med underåriga bli tillämpliga. I Vägledning om marknadsföring riktad till barn och unga, berörs möjligheten att ingå avtal med underåriga: 14 En wiki är en webbplats där besökarna själva skapar innehållet, ett känt exempel är . 15 Datainspektionens informationsskrift Samtycke enligt personuppgiftslagen. Se även Artikel 29-gruppens yttrande 1/2008 on the protection of children’s personal data (General guidelines and the special case of schools). Barns behörighet att ingå avtal regleras i 9 kap. Den som är är omyndig och får inte själv ingå avtal. Barn som fyllt får dock själva bestämma över pengar som de tjänat. Avtalsparten måste i varje enskilt fall ta reda på om den andra avtalsparten är myndig och behörig att ingå avtal. Det räcker alltså inte med att ett företag tror att motparten är myndig för att ett avtal ska bli giltigt. För att ett avtal med en minderårig ska bli giltigt krävs att förmyndare, normalt föräldern, samtyckt till det. I vägledningen berörs emellertid varken personuppgiftslagen eller avtal som reglerar just hanteringen av personuppgifter. I har konsumentskyddsmyndigheten des abusives formulerat rekommendationer för hur sociala medier bör utforma sina avtalsvillkor. Flera av rekommendationerna rör avtalsvillkor om hanteringen av personuppgifter. Myndigheten pekar inledningsvis på problemet att sociala medier vanligen felaktigen utgår från att underåriga har sina legala ställföreträdares godkännande till att ingå avtal med det sociala mediet. Därefter rekommenderar myndigheten att sociala mediers avtalsvillkor ska föreskriva uttryck- ligt samtycke från den underåriges legala ställföreträdare beträffande behandlingen av uppgifter om underåriga som saknar kapacitet att själva lämna ett giltigt samtycke.16 Det finns inga motsvarande rekommendationer om sociala mediers avtalsvillkor om personuppgifter från det svenska . 7.3.3Risker för den personliga integriteten I kommitténs kontakter med skolföreträdare har framförts att an- vändningen av sociala medier i undervisningen kan medföra många fördelar för eleverna, exempelvis att elever kan uppleva det som stimulerande och positivt när deras skolarbeten kan ses av en större publik på sociala medier. innebär de sociala mediernas han- tering av uppgifter om eleverna en rad olika risker ur ett integritets- perspektiv. Sociala medier kan även användas av elever för att sprida krän- kande uppgifter om andra. Nya skyddsintressen har därför upp kommit och medfört ett väsentligt ökat behov av ett bättre utformat straffrättsligt skydd för privatlivet och den personliga integriteten. 16 Recommandation n°2014-02 relative aux contrats proposés par les fournisseurs de services de réseaux sociaux Hämtat .