Overordna vurdering av personvern i digitale læremiddel

Dette dokumentet er ei overordna vurdering av personvern i digitale læremiddel i Ryfylkeskulen, gjennomført i tråd med krava i personvernforordninga (GDPR) artikkel 35 om vurdering av personvernkonsekvensar og relevante føresegner i opplæringslova og opplæringsforskrifta.

Dokumentet kan nyttast som eit grunnlag når det skal gjerast risikovurderingar og vurderingar av personvernkonsekvensar (DPIA) for digitale læremiddel (vidare omtalt som tenester/appar) i Ryfylkeskulen, som omfattar kommunane Sauda, Suldal, Hjelmeland og Strand.

Innleiing

Digitaliseringa i skulen gjer at læringsbrett med fleire tenester og appar har blitt ein naturleg del av skulekvardagen. Dette aukar både nytteverdien og kompleksiteten av digitale læremiddel i skulen. Når skulane vel å bruka digitale læremiddel, må me samtidig sikra personvernet og informasjonstryggleiken til elevane.

Ryfylkeskulen nyttar ein felles prosess for godkjenning, drift og oppfølging av digitale læremiddel, og byggjer vurderingane på Datatilsynet si sjekkliste for personvernkonsekvensvurderingar (DPIA). Vidare struktur i dokumentet følgjer hovudlinjene i artikkel 35 (7):

1. Systematisk skildring av behandlinga
2. Nødvendigheit og proporsjonalitet
3. Vurdering av risiko og planlagde tiltak
4. Leiinga si validering

Systematisk skildring av behandlinga

I Ryfylkeskulen gjennomfører me vurderingar av personvern i digitale læremiddel på tre ulike nivå:

1. Overordna vurdering av personvern i digitale læremiddel (dette dokumentet), der føremålet er å gje eit bilete av det som er felles for alle universa knytte til personvern, samt ei skildring av prosessen for vurdering av tenestene/appane.
2. Vurdering av personvern for det enkelte universet (iPad, Feide, Microsoft og Google). Vurderinga på nivå 1 ligg som grunnlag for dei vidare vurderingane. Eventuelle tilleggsvurderingar på nivå 2, som Overordna vurdering av personvern på iPad, er å rekna som vedlegg til denne rapporten.
3. Vurdering av den enkelte tenesta/appen. Her blir personvernet i den enkelte tenesta eller appen vurdert, og det blir gjeve ei grunngjeving for om tenesta er godkjent/ikkje godkjent, med retningsliner for bruk. Oversikt over vurderte tenester/appar er publisert på Ryfylkeskulen.no.

Godkjenningsprosess for digitale læremiddel

Ryfylkeskulen vurderer digitale læremiddel gjennom ein felles prosess som gjeld uavhengig av plattform (Feide, iPad, Microsoft, Google eller nettbaserte tenester). Prosessen er delt i ti steg:

1. Behovsmelding: Tilsett(e) som ser eit behov melder inn ny teneste/app til fagnettverk skule.
2. Informasjonsinnhenting: Fagnettverk skule tak ansvar for å henta inn nødvendig informasjon til førebels behandlingsprotokoll, ROS-analyse, utkast til databehandlaravtale (DBA) og vurdering av eventuelle overføringsgrunnlag til tredjeland (SCC).
3. Førebels vurdering: Fagnettverk skule vurderer om tenesta krev eigen DPIA i samarbeid med personvernombod, basert på Datatilsynet si sjekkliste.
4. Avtale og overføringsgrunnlag
   • For leverandørar i EØS: Skriftleg databehandlaravtale, fortrinnsvis basert på Digitaliseringsdirektoratet sin mal. Kommunedirektørane i kvar enkelt kommune har ansvar for å signera databehandlaravtalen.
   • For leverandørar i USA: Skriftleg databehandlaravtale, berre med leverandørar som er godkjende i Data Privacy Framework-programmet.
   • For leverandørar utanfor EØS: EU-kommisjonen sine standard personvernbestemmelsar (SCC) med eventuelle tilleggstiltak.
5. Systemansvar: Fagnettverk skule utnemner kven av representantane i fagnettverket som skal vera systemansvarleg for tenesta, inkludert oppfølging av oppdateringar og funksjonsendringar.
6. Pilotering: Utvalde klassar/skular kan testa produktet i 1–3 månader. Erfaringane blir dokumenterte og brukte til å oppdatera ROS-analyse, risikoscenario og tiltak. Fagnettverk skule utarbeider forslag til retningslinjer for bruk saman med pilotskulen.
7. Endeleg risikovurdering: Oppdatert ROS-vurdering med eventuelle rest-risikoar blir lagde fram for koordineringsgruppe oppvekst, som skal gjera den endelege vurderinga. Tenesta blir anten godkjent, avslått eller sendt til førehandsdrøfting med Datatilsynet.
8. Oppdatering av behandlingsprotokoll: Godkjende tenester blir oppdatert med eventuell DPIA, ROS, DBA/SCC, systemansvarleg, opplæringsmateriell, retningslinjer og annan nødvendig informasjon.
9. Iverksetjing: Tenesta blir aktivert/installert i den aktuelle administrasjonsplattforma, og gjort tilgjengeleg for elevar og tilsette ved skulane/kommunane som ynskjer å ta tenesta i bruk.
10. Oppfølging og utfasing: Systemansvarleg følgjer kontinuerleg med på eventuelle endringar i tenesta. Større endringar kan utløysa ny godkjenningsprosess. Tenester som ikkje lenger er i bruk, blir deaktiverte og behandlingsprotokollen må oppdatertast.

Bruk av leverandørar utanfor EU/EØS

Nokre digitale læremiddel blir leverte av verksemder utanfor EU/EØS. Desse kan berre godkjennast dersom personvernet til brukarane blir ivareteke på same nivå som innanfor EØS.

Hovudreglane for overføring til tredjeland følgjer av GDPR kapittel V:

1. Adekvansavgjerd (art. 45) – Land/verksemder godkjende av EU-kommisjonen.
2. Standard personvernbestemmelsar (SCC) (art. 46) – Brukast når adekvansavgjerd ikkje finst, med vurdering av tilleggstiltak.
3. Andre unntak (art. 49) – Brukast berre unntaksvis.

Krav for godkjenning i Ryfylkeskulen

Tenester/appar frå leverandør utanfor EØS kan berre godkjennast dersom eitt av desse vilkåra er oppfylt:

• Tenesta behandlar ikkje sensitive personopplysningar om elevar, føresette eller lærarar.
• Leverandøren er lokalisert i land/verksemd med adekvansavgjerd frå EU-kommisjonen.
• Det ligg føre gyldig SCC med nødvendige tilleggstiltak, vurdert til å gje reelt vernenivå.

Vurdering av tredjelandsoverføring blir alltid dokumentert i godkjenningsprosessen, sjå pkt. 4.

Behandlinga sin art og omfang

Bruken av digitale læremiddel vil likna på denne analoge parallellen: Skriveboka «hugsar» kva eleven har skrive, slik at eleven kan fortsetta arbeidet neste gong eleven opnar skriveboka. Læraren må òg kunna lesa i eleven si skrivebok, for å kunna vurdera eleven sitt arbeid. Kor langt bak i tid læraren sjekkar eleven sitt arbeid, avgjer kor lang «lagringstida» skal vera. Når eleven og læraren ikkje treng skriveboka lenger, blir den kasta.

Skuleeigar – altså kvar enkelt kommune – er behandlingsansvarleg for personopplysningane som blir behandla om tilsette og elevar i Ryfylkeskulen. I ein digital skulekvardag skjer dei fleste av desse behandlingane i digitale læremiddel og verktøy som er utvikla og leverte av ein ekstern part (utanfor kommunen). Når elevane brukar digitale læremiddel og verktøy legg dei igjen personopplysningar og aktivitetsdata som blir behandla av ein databehandlar, som behandlar personopplysningar på vegner av skuleeigar.

For at ein databehandlar skal kunna behandla personopplysningar, må skuleeigar først vurdera om behandlinga er lovleg, og deretter inngå ein databehandlaravtale som regulerer kva databehandlaren kan og ikkje kan gjera med personopplysningane. Personopplysningar kan mellom anna innehalda informasjon om eleven, kva oppgåver han eller ho har løyst, og korleis desse er løyste.

For å få innsyn i behandlinga sin art, både korleis personopplysningar om elevar og tilsette blir tilgjengelege i dei ulike universa, og omfanget av personopplysningar som blir behandla, kan ein lesa eigne vurderingar av kvart enkelt univers – Feide, iPad, Microsoft og Google – samt særskilt informasjon om kvar enkelt teneste.

Det er skulane sjølv som vel kva godkjende digitale læremiddel og verktøy dei vil ta i bruk. Digitale læremiddel og verktøy blir som hovudregel gjort tilgjengelege gjennom administrasjonsløysingane til Feide, Apple, Jamf, Google og Microsoft. Utvalet av verktøy kan vera ulikt for ulike brukargrupper (elevar, tilsette og føresette). Kor mykje personopplysningar som blir lagra i kvar enkelt teneste er avhengig av bruken av og føremålet med tenesta, og varierer frå skule til skule og frå brukar til brukar.

I enkelte tilfelle er digitale læremiddel og verktøy gratis tilgjengelege, mot at leverandøren får bruka den innsamla informasjonen til statistikk, vidareutvikling av tenesta, målretta reklame eller sal av data til eksterne i samband med eksempelvis reklame. Leverandørar som bruker tenestene sine til å gjera dette med personopplysningar om elevar, blir ikkje godkjende for bruk i Ryfylkeskulen.

Føremålet med behandlinga

Overordna mål

Å leggja til rette for trygg, føreseieleg og effektiv bruk av digitale læremiddel og verktøy i opplæringa. Behandling av personopplysningar skal støtta kjerneoppgåvene i skulen, og samtidig verna om elevane sitt personvern.

Pedagogiske føremål

• Gjennomføring av undervisning og læringsaktivitetar.
• Vurdering undervegs og ved avslutning i tråd med lov og forskrift.
• Tilpassa opplæring, eksempelvis tildela oppgåver og ressursar som er tilpassa eleven sitt nivå.
• Skule–heim-samarbeid, der det er nødvendig for læring og oppfølging.

Operative føremål

• Administrasjon av brukarar, grupper, løyver og tilgangar.
• Sikring og drift, inkludert nødvendig logging for informasjonstryggleik.
• Dokumentasjon som følgjer av lov og forskrift.

Bruk av aktivitetsdata

Aktivitetsdata kan mellom anna omfatta oppgåver eleven har arbeidd med, svar, progresjon, tidsbruk og kopling til kompetansemål. Desse dataa kan brukast av lærar, rektor og skuleeigar til vurdering, tilpassing og kvalitetsutvikling.

Dersom leverandør ønsker å nytta data til eigne formål som statistikk eller tenesteutvikling, skal dette regulerast i avtaleverket og berre skje når data er anonymiserte eller tilstrekkeleg pseudonymiserte.

Avgrensingar

• Ikkje bruk til reklame, marknadsføring eller profilering av elevar.
• Ikkje samanstilling eller vidarebruk utover det som er nødvendig for opplæring, vurdering og drift.
• Ikkje automatiserte avgjerder som får rettslege eller tilsvarande vesentlege konsekvensar for den registrerte.
• Særlege kategoriar etter artikkel 9 (sensitive personopplysningar) skal ikkje behandlast, med mindre det ligg føre særskilt behov og eigne vurderingar og tiltak.
• Dataminimering og lagringsavgrensing gjeld alltid. Sjå kapittelet Nødvendigheit og proporsjonalitet.

Vurdering

«Formålet med vurdering i fag er å fremje læring og lærelyst og å gi informasjon om kompetanse undervegs og ved avslutninga av opplæringa i faga», jf. opplæringsforskrifta § 9-1.

Aktivitetsdata vil kunna gje læraren innsyn i eleven sitt arbeid, styrker og utviklingsområde. Aktivitetsdata skal berre brukast til å avdekka mønster hjå eleven, for å kunna gje eleven tilpassa opplæring og eventuelt tilrå læringsressursar for vidare arbeid.

Aktivitetsdata til vurdering kan nyttast både i samband med lærar sin undervegsvurdering og sluttvurdering, som eit verktøy i skule–heim-samarbeid, jf. opplæringslova §§ 1-3 og 14-2, og i skulebasert kvalitetsutviklingsarbeid, jf. opplæringslova § 17-12, andre til fjerde ledd. Dette er eit systematisk arbeid som er pålagt (sjå utfyllande skildringar i avsnittet om rettsleg grunnlag).

Den enkelte lærar er ansvarleg for å skaffa eit breitt og utfyllande vurderingsgrunnlag for sine elevar, inkludert kva dei meistrar og for å gje rettleiing i korleis dei kan arbeida vidare for å auka kompetansen sin.

Aktivitetsdata skal ikkje vidarebehandlast til nye eller andre føremål enn det som er nemnt over, og skal aldri brukast til å kontrollera og/eller straffa elevane.

Kontekst

Konteksten for behandling av personopplysningar er skule og undervisning. Representanten for behandlingsansvarleg vil for eleven si side som oftast vera læraren, som har eit mandat for undervisninga og dermed står i eit maktforhold til eleven.

I praksis betyr dette at lærar bestemmer kva læremiddel eleven skal bruka og kva oppgåver eleven skal arbeida med. Eleven sjølv har likevel kontroll over korleis dei ulike oppgåvene blir løyste, og kva aktivitetsdata eleven produserer i det enkelte læremiddelet – på same måte som elevane sjølv bestemmer kva dei vil skriva i ulike kladde- og innføringsbøker. På den måten vil behandlinga oppfattast som føreseieleg for eleven.

Lagringstid

Lagringstida er definert i databehandlaravtalen/SCC mellom skuleeigaren (behandlingsansvarleg) og den enkelte leverandør (databehandlar).

Lagringstida vil vera grunngitt ut frå eit pedagogisk behov, i hovudsak basert på varigheita av vurderingsperioden som aktivitetsdataene inngår i – til dømes til eleven er ferdig med skuleåret eller grunnskulen.

Konfidensialitet, integritet og tilgjengelegheit

På lik linje med analoge læremiddel er det viktig at rettane til elevane blir ivaretekne, både når det gjeld konfidensialitet (at informasjon om eleven berre er tilgjengeleg for dei som har behov for ho), integritet (at informasjon om elevar og deira aktivitet er korrekt) og tilgjengelegheit (at dei har tilgang til dei digitale læremidla, eller alternativ, når dei har behov for det for å nå læringsmåla).

Dette er viktig fordi vurdering av elevarbeid får konsekvensar både for vidare valmoglegheiter og for motivasjonen til eleven.

Sårbare grupper

Elevar i grunnopplæringa er barn i alderen 6–19 år, og forordninga krev eit særleg vern av denne gruppa registrerte. Privatlivet skal i størst mogleg grad vernast, til dømes ved at arbeid utført utanfor skulen i minst mogleg grad skal loggast.

Eit døme på dette kan vera at nøyaktig tidspunkt for når ei oppgåve blir løyst, ikkje bør gjerast tilgjengeleg for lærar.

Erfaringar

Personvernbrot som Datatilsynet har sanksjonert sidan 2018, har i stor grad handla om behandling av personopplysningar utan behandlingsgrunnlag, mangelfull sikring av personopplysningane, ulovleg overføring av personopplysningar til tredjeland og manglande oversikt over behandlingar som den behandlingsansvarlege utfører.

Det har òg vore fleire døme på brot innan skulesektoren, til dømes i samband med bruk av Strava, Skolemelding og Vigilo. Dette viser tydeleg at sektoren er viktig å følgja opp frå Datatilsynet si side.

Erfaringane frå tilsynsverksemda til Datatilsynet viser at det er avgjerande å ha kontroll på kva slags personopplysningar som blir behandla kvar, kva leverandørar som blir nytta, og at det er gjort gode nok vurderingar av tenestene/appane som skal brukast i skulen.

Vidare må det vera fokus på bevisstgjering om personvern blant lærarane. Involvering av lærarar (gjennom godkjenning av appar) og elevar (gjennom innspel til overordna vurderingar) i arbeidet med personverngodkjenning vil kunna ha ein positiv effekt.

Ulike datasett og føremål

Korleis datasett og føremål blir definerte for dei ulike tenestene/appane, er skildra i vurderingane for dei ulike universa.

Kjelder, mottakarar, informasjonstryggleik og ansvarsforhold

Alle problemstillingar i dette avsnittet er ivaretekne av databehandlaravtalen, som er basert på malen frå Digitaliseringsdirektoratet. Dette er òg område som skal vera ivaretekne i SCC.

Desse forholda vil variera for dei ulike universa, og er nærare skildra i vurderingane for dei ulike universa.

Nødvendigheit og proporsjonalitet

Bruken av digitale læremiddel inneber innsamling og behandling av personopplysningar som er nødvendige for å identifisera brukarar, gi tilgang til ressursar og tilretteleggja undervisninga. Datamengda og typen opplysningar skal alltid vere avgrensa til det som er nødvendig for formålet.

Det skal ikkje behandlast særlege kategoriar personopplysningar etter artikkel 9 i GDPR, med mindre det ligg føre særskilt behov og tilpassa vurderingar og tiltak.

Personvernprinsippa

Personvernforordninga sine grunnleggjande prinsipp krev at personopplysningar skal behandlast på ein lovleg, rettferdig og open måte, jf. personvernforordninga art. 5 nr. 1. Dette betyr at det må finnast eit rettsleg grunnlag for at behandlinga skal vera lovleg, at behandlinga skal respektera interessene til dei registrerte, og at ho skal vera oversiktleg og føreseieleg.

Dette kan delast inn i meir detaljerte prinsipp, og nedanfor står det korleis dette blir gjort i Ryfylkeskulen.

Rettsleg grunnlag og avgrensing av føremålet

Personopplysningar skal berre behandlast for spesifikke, uttrykkeleg angitte og legitime føremål. For at behandlinga av personopplysningar skal vera lovleg, må det liggja føre eit behandlingsgrunnlag, jf. artikkel 6 i personvernforordninga. I utdanningssektoren er det særleg følgjande rettslege grunnlag i art. 6 som er aktuelle:

• Behandlinga er nødvendig for å utføra ei oppgåve i allmenta si interesse eller utøva offentleg myndigheit som den behandlingsansvarlege er pålagt (nr. 1, bokstav e)
• Behandlinga er nødvendig for å oppfylla ei rettsleg plikt som påkviler den behandlingsansvarlege (nr. 1, bokstav c)

Det er ein føresetnad at dette er fastsett i nasjonal rett som eit supplerande rettsgrunnlag. For digitale læremiddel er dette:

• Opplæringslova (Kunnskapsdepartementet, 2023)
• Forskrift om utfylling av dei overordna måla og prinsippa for opplæringa (Kunnskapsdepartementet, 2017)
• Forskrift til opplæringslova (opplæringsforskrifta) (Kunnskapsdepartementet, 2024)

Det finst ingen konkret rettsleg plikt i opplæringslova til å ta i bruk digitale læremiddel og verktøy. Digitale ferdigheiter er likevel ein del av læreplanverket, men skuleeigar har eit handlingsrom og kan sjølv velja korleis dei vil leggja til rette for dette og støtta elevane sin digitale utvikling.

Denne fridomen inneber at kvar skule sjølv vel korleis dei best skal løysa dette, og kva digitale læremiddel og verktøy dei ønskjer å bruka. Difor vil det i dei fleste tilfella vera personvernforordninga artikkel 6 nr. 1 bokstav e som er behandlingsgrunnlag for dei fleste digitale læremiddel og verktøy, når føremålet er opplæring og/eller vurdering/tilpassing relatert til kompetansemål i læreplanen.

Ved bruk av artikkel 6 nr. 1 bokstav e har eleven/foresette rett til å protestera, jf. personvernforordninga artikkel 21 nr. 1.

Det blir vidare vist til drøftingane i høyringsnotatet frå Kunnskapsdepartementet til framlegg om endringar i opplæringslova, punkt 2.1.3 (rettsleg grunnlag for behandling av personopplysningar).

Her blir nokre av dei viktigaste heimlane trekte fram med kommentarar, for å visa at personopplysningar som blir behandla i digitale læremiddel er baserte på lovlegheit, rettferd og openheit.

Opplæringslova

§ 2-1 første ledd – Rett til grunnskoleopplæring

Barn har rett til offentlig grunnskoleopplæring frå det året dei fyller seks år, til dei har avslutta det 10. trinnet.

§ 2-2 første ledd – Plikt til grunnskoleopplæring

Barn har plikt til grunnskoleopplæring frå det året dei fyller seks år, til de har avslutta det 10. trinnet.

Her slås det fast at alle barn har plikt til opplæring og at den offentlige skolen er en av flere muligheter til å oppfylle denne plikten.

§ 28-1 Plikt for kommunen til å sørgje for grunnskoleopplæring

Kommunen skal oppfylle retten til grunnskoleopplæring og førebuande opplæring for vaksne for det som bur i kommunen.

Her slås det fast at det er kommunen som har plikt til å oppfylle denne rettigheten til elever i grunnutdanninga.

§ 1-4 andre ledd – Mål og prinsipp for opplæringa

Departementet gir forskrift om læreplanar i fag.

§ 2-3 Innhald, vurdering og dokumentasjon i grunnskoleopplæringa

Departementet gir forskrift om individuell vurdering, om klage på vurdering og om dokumentasjon.

Her slås det fast at mål og innhold i skolen være det som departementet har fastsatt i forskriften, som vi også kaller læreplanen (jf. forskriften § 1-1). Forskriften setter også rammene for vurderingsarbeidet.

Til slutt slås det fast at elevene har en plikt til å delta i den undervisningen som undervisningspersonalet legger til rette for i tråd med forskriften.

§ 25-1 Behandling av personopplysningar og unntak frå teieplikt

Kommunar, fylkeskommunar og lærebedrifter kan behandle personopplysningar når det er nødvendig for å utføre oppgåver etter lova.

Utgangspunktet er at skoleeier kan behandle personopplysninger når det er nødvendig for å utføre oppgaver etter loven. Denne bestemmelsen fungerer ikke som en selvstendig lovhjemmel, men man må se hen til supplerende lovhjemmel i opplæringsloven som sier noe om oppgaven som er nødvendig å utføre som har sammenheng med behandlingen av personopplysningene.

§ 15-3 Krav til rettskriving og krav til skriftspråk i læremiddel

Med læremiddel er her meint alle trykte, ikkje-trykte og digitale element som er utvikla til bruk i opplæringa, som skal brukast jamleg i opplæringa, og som dekkjer vesentlege delar av læreplanen i faget.

Denne bestemmelsen sier noe hvilke krav som stilles for at et læremiddel skal være dekket av denne bestemmelse, og den omfatter også digitale læremidler.

§ 11-1 Tilpassa opplæring

Kommunen og fylkeskommunen skal sørgje for at opplæringa er tilpassa, det vil seie at elevane får eit tilfredstillande utbytte av opplæringa uavhengig av føresetnader, og at alle skal få utnytta og utvikla evnene sine.

Tilpassa opplæring er et grunnleggende prinsipp i opplæringen og digitale læremiddel eller verktøy kan bidra positivt til at hver enkelt elev får den tilpassa opplæringa eleven har behov for.

§ 17-12, 2 til 4 ledd Skolefaglig kompetanse og kvalitetsutvikling

Kommunen og fylkeskommunen skal arbeide med å halde ved lag og heve kvaliteten i grunnskoleopplæringa og den vidaregåande opplæringa.

Kommunen og fylkeskommunen skal sørgje for at skolane jamleg vurderer i kva grad organiseringa, og tilrettelegginga og gjennomføringa av opplæringa medverkar til å nå dei måla som er fastsette med heimel i §§ 1-4 første og andre ledd og 1-5 andre og tredje ledd.

Her slås det fast at skoleeier jevnlig skal vurdere om opplæringen bidrar til å nå målene i læreplanen og at skoleeieren har ansvar for dette.

Opplæringsforskrifta

§ 3-2 Rett til vurdering

Elevar i offentleg grunnskoleopplæring og elevar, lærlingar, praksisbrevkandidatar og lærekandidatar i offentleg vidaregåande opplæring har rett til vurdering etter reglane i dette kapitlet. Retten til vurdering inneber både ein rett til undervegsvurdering og sluttvurdering og ein rett til dokumentasjon av opplæringa.

Skoleeigar har ansvaret for at eleven, lærlingen, praksisbrevkandidaten eller lærekandidaten sin rett til vurdering blir oppfylt […]

Her slås det fast at de elevane har rett til både underveisvurdering, sluttvurdering og dokumentasjon, og at det er skuleeigar (kommunen) som har ansvaret for dette.

§ 9-1 Formålet med og grunnlaget for vurdering i fag

Formålet med vurdering i fag er å fremje læring og lærelyst og å gi informasjon om kompetanse undervegs og ved avslutninga av opplæringa i faga.

Grunnlaget for vurderinga i eit fag er kompetansemåla i læreplanen i faget. Kompetansemåla skal forståast i lys av teksten om faget i læreplanen. Elevar og det som har opplæring i bedrift, skal vere gjort kjende med læreplanen i faget.

Her slås det fast at formålet både er å fremme læring og å uttrykke kompetansen underveis og ved avslutningen av faget. Vurderingen skal bygge på kompetansemåltene i læreplanen og elevene skal være kjent med læreplanen i faget.

§ 9-11 Undervegsvurdering

All vurdering som blir gjord før opplæringa er avslutta, er undervegsvurdering.

Undervegsvurderinga i fag skal vere ein integrert del av opplæringa, og ho skal tene til å fremje læring, auke kompetansen i faga og gjere opplæringa betre tilpassa den enkelte.

Undervegsvurderinga kan vere munnleg, skriftleg eller begge delar.

I undervegsvurderinga i fag skal elevar […]
a. delta i vurderinga av sitt eige arbeid og reflektere over si eiga læring og faglege utvikling
b. forstå kva dei skal lære, og kva som blir forventa av dei
c. få vite kva dei meistrar
d. få rettleiing om korleis dei kan arbeide vidare for å auke kompetansen sin.

Undervegsvurderinga skal brukast til å vurdere om elevane har tilfredsstillande utbytte av opplæringa, jf. Opplæringsloven § 11-2.

Elevar og lærekandidatar som får individuelt tilrettelagd opplæring, skal ha undervegsvurdering ut i frå måla i den individuelle opplæringsplanen som er utarbeidd for dei, jf. opplæringslova § 11-10.

Her slås det fast at underveisvurderingen skal gis løpende og systematisk, og brukes som grunnlag for tilpasset opplæring for å gi økt kompetanse. Videre skal underveisvurderingen inneholde informasjon om oppnådd kompetanse og veiledning om hvordan kompetansen kan videreutvikles. Dette kan digitale læremidler bidra med.

§ 20-2 Styrt tilgang til personopplysningar

Kommunar og fylkeskommunar skal sørgje for tilgangsstyring slik at dei som arbeider for verksemda, berre har tilgang til personopplysningar dersom og i den utstrekning dei treng opplysningane for formål som nemnde i opplæringslova § 25-1.

Kommunar og fylkeskommunar skal sørgje for at den som arbeider for verksemda, har nødvendig kunnskap om personvern og informasjonstryggleik før vedkommande får tilgang til personopplysningar.

Krava i første ledd gjeld personopplysningar som fell inn under personopplysningsloven.

Her slås det fast at ansatte som har tilgang til personinformasjon, skal ha tilstrekkelig kunnskap om personvern og informasjonssikkerhet og at personinformasjon skal tilgangsstyres til dem som har tjenstlig behov.

Krav om bruk av digitale læremiddel

Overordna del

Overordna del av læreplanen er heimla i Forskrift om utfylling av dei overordna måla og prinsippa for opplæringa i grunnskolen og i den vidaregåande opplæringa. Denne slår fast og utdjupar fleire av prinsippa som allereie er drøfta i dette dokumentet, mellom anna vurdering av den faglege kompetansen til elevane og tilpassa opplæring for den enkelte eleven.

Læreplanar

Det finst om lag 5000 læreplanar i Utdanningsdirektoratet si oversikt over fagplanar for grunnutdanninga (grunnskule + vidaregåande opplæring). Oversikta omfattar både utgåtte, gjeldande og kommande planar. Ordet «digital» er nemnt over 700 gonger i kompetansemåla i dei gamle læreplanane, og det digitale fokuset er endå større i nye læreplanar, som mellom anna har innført programmering som nytt konsept i fleire fag. Ofte er dette formuleringar av typen Eleven skal kunne <gjera noko fagspesifikt> ved bruk av digitale verktøy.

Digitale ferdigheiter er òg definerte som éin av fem grunnleggjande ferdigheiter i læreplanen/forskrifta. Kvart fag har ein eigen tekst for kvar av dei grunnleggjande ferdigheitene, som skildrar kva ferdigheitene inneber i faget og korleis dei skal utviklast. I kompetansemåla er dei grunnleggjande ferdigheitene integrerte som ein del av den kompetansen eleven skal utvikla i det aktuelle faget. Utdanningsdirektoratet har laga eigne rammeverk for kvar av dei grunnleggjande ferdigheitene, inkludert digitale ferdigheiter.

Sentrale føringar

Det er òg gitt ei rekkje sentrale føringar som utfyller det supplerande rettsgrunnlaget. Nasjonale styresmakter støttar og legg til rette for digitalisering i utdanningssektoren, mellom anna ved sjølv å eige og forvalta Feide som den viktigaste fellestenesta for sektoren. Me vil òg trekkja fram nokre andre sentrale føringar:

Kunnskapsdepartementet sin Digitaliseringsstrategi for grunnopplæringa 2017–2021 (forlengd til 2022) Framtid, fornying og digitalisering peikar mellom anna på at digitale læringsressursar utvidar moglegheitene for ulike metodar og innfallsvinklar, og for tilpassing av undervisninga både for elevar som presterer høgt, elevar som strevar fagleg, og elevar med særskilde opplæringsbehov (s. 19).

Vidare står det at:

Når skolen skal velge digitale læremidler er det derfor behov for også å vurdere hvordan læremiddelet utnytter det digitale mediets muligheter på ulike måter. Nye teknologier og bruk av store datamengder åpner for nye muligheter for adaptive læremidler og læringsanalyse, men krever også økt oppmerksomhet om kvalitet, etikk, personvern og informasjonssikkerhet. For lærere vil det være særlig utfordrende å vurdere hvilke forhåndsdefinerte valg som gjøres i et adaptivt læremiddel, for eksempel hva som måles, hvilket elev- og læringssyn som legges til grunn og hva slags oppgaver og lærestoff som blir tilgjengelig for hvilke elever.

Handlingsplanen innenfor denne digitaliseringsstrategien er i hovedsak viet til arbeid med digitale læringsressurser med ekstra fokus på personvern og informasjonssikkerhetsarbeidet.

Som hjelp til å finne gode digitale læremidler har Utdanningsdirektoratet utvikla kvalitetskriterier for læremidler.

Dette er eitt eksempel fra disse kvalitetskriteriene som indikerer at det er ønskelig at digitale læremidler lagrer elevenes aktivitetsdata og tilgjengeliggjør disse for læreren umiddelbart:

Dataminimering

Dataminimering blir ivareteken ved at kvar teneste/app, uavhengig av univers, skal gjennom ein eigen godkjenningsprosess (sjå avsnittet Livssyklus). I denne prosessen skal det gå klart fram kva som er formålet med behandlinga, og kva for aktivitetsdata som blir lagra. Godkjenningsprosessen skal sikra at det berre blir samla inn data som er nødvendige for det formålet som er definert.

Riktighet

Sjå avsnittet om integritet under Kontekst.

Lagringsavgrensing

Lagringsavgrensing blir avtalt i databehandlaravtalen/SCC mellom skuleeigar og leverandør. Fagets varigheit er utgangspunktet for å vurdera kor lenge aktivitetsdata kan lagrast hos leverandøren.

Rettane til dei registrerte

Dei registrerte har rett til rettferdig og open behandling, jf. personvernforordninga artikkel 12, 13 og 14. Bruken av digitale læremiddel i Ryfylkeskulen legg ikkje opp til behandlingsgrunnlag basert på samtykke, sjå avsnittet om rettsleg grunnlag.

Retten til innsyn blir ivareteken av innsynsfunksjonaliteten i Feide-universet, og i dei andre universa ved å sikra at leverandør legg til rette for at brukarane kan få innsyn i eigne personopplysningar via ein innsynsfunksjon.

Data som blir registrerte i digitale løysingar, kjem av at lærar i meir eller mindre grad bestemmer kva eleven skal arbeida med. Nokre undervisningsopplegg har høg grad av lærarstyring, medan annan elevaktivitet kan vera meir open og styrt av elevens eigne val og prioriteringar. Dersom ein elev opplever at lærar legg opp til digitale læringsaktivitetar som eleven eller føresette har innvendingar mot, er dette ei sak mellom lærar og elev på same måte som for analoge læringsaktivitetar.

Det skal ikkje brukast tenester/appar som inneheld automatiserte avgjerder.

Integritet, konfidensialitet og ansvarlegheit

Sjå avsnittet om integritet under Kontekst.

At det er gjort ei overordna vurdering av personvern i digitale læremiddel, både for kvart av dei enkelte universa og for kvar av dei enkelte tenestene/appar, er eit tiltak som bidreg til å sikra personopplysningane til elevar og lærarar.

Fridomane til dei registrerte

Universa representerer ingen avgrensingar i høve til Den europeiske menneskerettskonvensjonen.

Vurdering av risiko for dei registrerte sine rettar og fridomar, og planlagde tiltak for å handtera risikoane

Risikovurdering skal gjerast for å avdekka mogelege truslar mot personvernet til elevar og tilsette ved bruk av digitale læremiddel i Ryfylkeskulen. Målet er å identifisera og vurdera konsekvensar for dei registrerte sine rettar og fridomar, og å leggja ein plan for å redusera risikoen til eit akseptabelt nivå.

Risiko for brot på konfidensialitet

Moglege truslar:

• Uautorisert tilgang til personopplysningar (t.d. via svak tilgangskontroll eller datalekkasjar).
• Overføring av data til tredjeland utan gyldig overføringsgrunnlag.

Tiltak:

• Streng tilgangsstyring basert på tenestleg behov.
• Kryptering av data under overføring og lagring.
• Bruk av Feide som autentiseringsløysing der det er mogeleg.
• Databehandlaravtalar med klare krav til informasjonstryggleik.

Risiko for brot på integritet

Moglege truslar:

• Feil eller ufullstendige data som kan påverka vurdering, tilpassing eller oppfølging av elev.
• Manipulasjon av data, anten ved tekniske feil eller skadeleg åtferd.

Tiltak:

• Logging og kontrollrutinar for endringar i data.
• Regelmessig kvalitetssikring av registrerte opplysningar.
• Avklarte rutinar for retting av feil.

Risiko for redusert tilgang

Moglege truslar:

• Nedetid eller tekniske feil som hindrar bruk av digitale læremiddel.
• Manglande alternative løysingar ved bortfall av system.

Tiltak:

• Krav til leverandør om høg oppetid og beredskapsplanar.
• Tilgang til alternative undervisningsressursar dersom digitale tenester feilar.

Risiko for unødvendig innsamling og lagring av data

Moglege truslar:

• Innsamling av fleire opplysningar enn nødvendig.
• Lagring av data utover fastsett periode.

Tiltak:

• Streng bruk av dataminimeringsprinsippet.
• Klare føringar for lagringstid i databehandlaravtalar.
• Jamleg revisjon av databruken.

Risiko for manglande forståing

Moglege truslar:

• Elevar, føresette og tilsette får ikkje god nok informasjon om korleis data blir brukt.
• Manglande forståing kan føra til mistillit eller feil bruk av løysingane.

Tiltak:

• Tydeleg og brukarvennleg informasjon om databehandling, tilpassa ulike aldersgrupper og målgrupper, lett tilgjengeleg på Ryfylkeskulen.no.
• Opplæring for lærarar i å formidla personverninformasjon til elevane.
• Moglegheit for å stilla spørsmål og gi tilbakemeldingar om bruk av digitale læremiddel.

Risiko for manglande medverknad

Moglege truslar:

• Skulemiljøutval, elevråd og FAU blir ikkje involverte i spørsmål om bruk av digitale løysingar og personvern.
• Elevane opplever at dei ikkje har innverknad på den digitale kvardagen.

Tiltak:

• Skulane må gi god informasjon om kva personopplysningar som blir behandla, og kva dette betyr for elevane sine rettar.
• Temaet skal setjast på dagsorden i elevråd, FAU og skulemiljøutval.

Risiko for manglande openheit

Moglege truslar:

• Omfanget av digitale løysingar i skulen gjer det vanskeleg å forstå kva som behandlar personopplysningar.
• Elevar kan leggja igjen digitale spor utan å vita om det.

Tiltak:

• Tydeleg informasjon om kvar løysing, kva data som blir registrert, og korleis dei blir behandla.
• Bruka læreplanmåla i samfunnsfag om personvern og nettvett aktivt i undervisninga.

Risiko for manglande føreseielegheit i behandlinga

Moglege truslar:

• Elevar har ikkje oversikt over kva informasjon som blir behandla, kven som har tilgang, og kva som blir delt.
• Manglande oversikt hos lærarar over kven som har innsyn i vurderingar og oppgåver.

Tiltak:

• Avslag på bruk av løysingar der det ikkje er mogeleg å sikra føreseielegheit.
• Digitale læremiddel retta mot utdanningssektoren skal ha innebygd personvern og rollebasert tilgangsstyring.
• For ikkje-sektor-spesifikke appar skal det gjerast ekstra kontroll, med dokumentasjon av kva data som blir behandla.

Leiinga si stadfesting av overordna vurdering av personvern i digitale læremiddel

Samla vurdering og presentasjon av funn

Digitale læremiddel gjev mange moglegheiter for å leggja til rette for god og motiverande undervisning. Samstundes fører dei òg med seg utfordringar knytt til personvern som det må takast stilling til. Ved å etablera gode prosessar for personverngodkjenning av tenester og appar, blir det enklare for lærarar å bruka digitale hjelpemiddel som tek vare på personvernet til elevane. Det er viktig å involvera lærarane i dette arbeidet, både for å sikra at berre dei tenestene og appane skulane faktisk ønskjer å ta i bruk, blir vurderte, og for å auka bevisstheita og kompetansen om personvern.

Enkelte løysingar har høgare tillit enn andre, basert på kvar dei er lokalisert, kva område dei rettar seg mot, og kven som er involvert i utvikling og drift. Det er viktig å hugsa at ingen digitale løysingar er utan risiko, og at ein må gjera grundige vurderingar før ein tek dei i bruk.

Ryfylkeskulen bør halda fram med å støtta strategiske nasjonale initiativ i skulesektoren. Det gjev både høve til å bidra med eigne erfaringar og kompetanse, dra nytte av andres erfaringar, og vera med å setja standard for korleis ein skal arbeida med personvern i skulen.

Gjennom å følgja dei etablerte vurderingsprosessane kan skulane sikra at digitale tenester og appar blir nytta på ein trygg måte, og at berre godkjende løysingar blir tekne i bruk.

Synspunkt frå personvernombodet (artikkel 35 nr. 2)

Den overordna vurderinga av personvern i digitale læremiddel blei lagt fram for personvernombodet hausten 2025, saman med overordna vurderingar for universa Feide og iPad.

Personvernombodet gav følgjande tilbakemelding:

Ombodet har vore involvert undervegs i prosessen og er positiv til det gode samarbeidet. Tilnærminga, med fleire nivå av vurderingar – frå overordna vurdering til vurdering av enkeltappar – blir støtta. Det har vore lagt vekt på tydeleg språk, oversiktleg struktur og ei fagleg tilnærming i tråd med Datatilsynet sine sjekklister for personvernkonsekvensvurderingar (DPIA). Ombodet ser gjerne at ein i sluttfasen involverer brukarorgan som Foreldreutvalet for grunnopplæringa (FUG) og Elevorganisasjonen (EO) meir aktivt.

Informasjon frå personverngruppa i Ryfylkeskulen

Innspela frå personvernombodet har i hovudsak gått ut på å tydeleggjera prosessane og justera strukturen for å gjera dokumenta meir forståelege. Desse endringane er innarbeidde før utsending til høyring.

Synspunkt frå dei registrerte eller deira representantar (artikkel 35 nr. 9)

Den overordna vurderinga blei sendt til FUG, EO og representantar for lærarane i Ryfylkeskulen. Grunnutdanninga omfattar elevar frå 6 år til myndig alder, og det er difor viktig å inkludera både føresette og elevrepresentantar i prosessen.

Dokumenta blei sende på høyring, med høve til skriftleg innspel, og det blei halde eit fysisk høyringsmøte der representantar frå både FUG, EO og personvernombodet deltok. Innspela frå desse er innarbeidde både i den overordna vurderinga og i vurderingar av kvar enkelt teneste.

Leiinga si godkjenning

Denne overordna vurderinga av personvern i digitale læremiddel – inkludert rutinar for personverngodkjenning – blir lagt fram for godkjenning på ledernivå i Ryfylkeskulen etter at innspela frå personvernombodet, FUG og EO er innarbeidde.

VERSJONSLOGG
0.2 – 14.08.2025 – Systematisering og språkvask
0.3 – 26.10.2025 – Lagt til "Google" i hierarki-diagrammet over digitale læremiddel
0.4 – 28.11.2025 – Revidert kapitla Innleiing, Systematisk skildring av behandlinga og Godkjenningsprosess for digitale læremiddel