To eksperter fra Møre og Romsdal fylkeskommune – personvernrådgiver Christine Marstein og rådgiver i IT-seksjonen Stein Sæter – står midt i krysningspunktet mellom klasserommets høye tempo og strenge personvernskrav. Mens nye digitale læremidler inntar skolehverdagen i et forrykende tempo, viser erfaringene deres hvordan skolen kan møte kravene til risikovurderinger og trygge elevdata, uten å kvele lærernes pedagogiske driv. 

Fra app-kaos til sentral godkjenning

Bakgrunnen for personvernarbeidet i skolesektoren er et krevende landskap der ressursene er ulikt fordelt. Fjorårets brevtilsyn fra Datatilsynet viste at mange kommuner mangler helhetlig oversikt over digitale tjenester. 

I Møre og Romsdal fylkeskommune har strategien vært å flytte ansvaret vekk fra den enkelte skole.

– Vi prøver å få applikasjonene godkjent sentralt og inngå databehandleravtaler på vegne av hele fylkeskommunen, i stedet for at hver enkelt skole gjør dette selv. Da samler vi kompetansen og sikrer like vurderinger på tvers av skolene, forklarer Stein Sæter.

For å kartlegge hvilke verktøy som faktisk var i bruk, valgte fylkeskommunen en intervjurunde med skolene fremfor å hente ut logger. Det å overvåke nettleserhistorikk ville ha føltes altfor inngripende overfor lærere og elever.

Oversikten som sikrer kontroll

Der mange opplever personvernregelverket som tungrodd byråkrati, har Christine Marstein et annet syn. Hun kaller behandlingsprotokollen for selve «eureka-verktøyet» for god virksomhetsstyring.

– Protokollen gir full oversikt over hvilke arbeidsprosesser som behandler personopplysninger. Når det skjer store endringer internasjonalt, for eksempel rundt dataoverføring til USA, kan vi umiddelbart slå opp og se hvilke behandlinger hos oss som rammes og hvor det må settes inn tiltak, fremhever Marstein.

Fylkeskommunen har løst systembehovet med interne ressurser for å unngå kostbare innkjøp. Ved hjelp av Microsoft Power Apps og Microsoft Lists har Sæter og kollegene bygget en integrert løsning der tjenestekatalogen er koblet direkte til behandlingsprotokollen. Dette gir full transparens og sikrer at vurderinger kan gjenbrukes når nye behov meldes inn.

Klasserommet har dårlig tid, vurderingen tar tid

Et klassisk dilemma i skolen er tidsaspektet. Lærere planlegger ofte fra uke til uke og ønsker å ta i bruk nye løsninger raskt.

– Læreren oppdager et nytt verktøy og vil gjerne ha det klart til samfunnsfagstimen førstkommende tirsdag, påpeker Sæter. De grundige vurderingene tar derimot tid, og administrasjonen risikerer fort å bli løpende etter.

Marstein understreker at grundige risikovurderinger er tidkrevende, og at det er umulig å vurdere tjue apper som løser nøyaktig samme oppgave. Løsningen er å prioritere standardisering og involvere lærerne tidlig. Erfaringen viser at lærere som trekkes inn i prosessene, raskt blir de beste personvernambassadørene i organisasjonen.

I tillegg skaper innebygde KI-løsninger nye utfordringer, fordi dataflyten ofte fungerer som en «svart boks» som krever kontinuerlig overvåking over tid.

Hendelseshåndtering og leverandørkontroll

Når et eventuelt datainnbrudd eller avvik inntreffer, fungerer tjenestekatalogen som et oppslagsverk for å kartlegge skadeomfanget og hvilke elevdata som er berørt. For å vurdere alvorlighetsgraden benytter Møre og Romsdal et rammeverk fra EUs cybersikkerhetsbyrå (ENISA).

Oppfølgingen av leverandørene krever også tydelighet og risikoevaluering. Marstein kjenner sitt ansvar godt, og understreker at rollen krever kritiske spørsmål:

– Vi har ansvaret overfor elevene selv om vi setter ut oppgaver til eksterne leverandører. Hvis leverandører endrer vilkår eller vi registrerer gjentatte avvik, må vi gjennomføre kontroller og bruke databehandleravtalen aktivt for å stille dem til ansvar.

Ekspertenes råd er tydelig: Erfaringsdeling er nøkkelen

Ingen kommuner eller fylkeskommuner er tjent med å sitte alene på hver sin tue og finne opp hjulet på nytt. Sæter peker på nasjonale initiativer som «Tryggere digital læring», der 80 prosent av vurderingsgrunnlaget om verktøy gjøres ferdig sentralt, slik at kommunene kun behøver å gjøre en lokal tilpasning på de resterende 20 prosentene. Dette sparer verdifull tid for organisasjoner med begrensede ressurser.

Marstein er krystallklar på at samarbeid og gjenbruk er selve nøkkelen til å lykkes med personvernarbeidet i skolen:

– Vi må fortsette den gode kulturen som jeg opplever at det er allerede i dag mellom kommuner og fylkeskommuner, og dele på tvers, understreker hun.

I Møre og Romsdal har de realisert dette i praksis gjennom en felles personvernombudstjeneste som bistår både fylkeskommunen og flertallet av kommunene. Denne modellen sikrer tett samspill på tvers av forvaltningsnivåene, og gir verdifull erfaringsdeling som gjør at man slipper å gjøre de samme tunge vurderingene helt fra bunnen av.

Dette er Skolon – vi samler Norges beste digitale skoleverktøy og får dem til å fungere i klasserommet

Skolon er en uavhengig samlingsplass for digitale skoleverktøy og læringsressurser, skapt for både lærere og elever. Med Skolon er det enkelt å få tilgang til og bruke sine digitale skoleverktøy – sikkerheten øker, administrasjonen reduseres og det blir mer tid til læring.

De digitale skoleverktøyene kommer fra både små og store leverandører som alle har én ting til felles – de skaper digitale verktøy som er gode for skolens verden.