Hei !
I nyhetsbrevet for to uker siden skrev vi om at du som er en norsk skoleeier, bare kan bruke de tjenestene fra Google hvor Google faktisk er databehandler, og ikke behandlingsansvarlig. Det er nemlig bare du som skal være behandlingsansvarlig.
Men helt på slutten skrev vi et avsnitt om at dette ikke er fullt så svart-hvitt. Det er nemlig en situasjon hvor vi tror det er ok at Google er behandlingsansvarlig for metadata.
Men før vi går inn på det, må vi snakke litt om hva som skiller «metadata» fra «innholdsdata».
Metadata og innholdsdata, og hvorfor skiller vi dem fra hverandre?
Det er vanlig å skille personopplysninger som er «metadata» fra personopplysninger som er «innholdsdata».
Metadata kalles gjerne også diagnostiske data. Dette er data som viser hvordan en elev eller lærer bruker Google Workspace for Education. Dette kan være informasjon om det tråløse nettverket som en elev har koblet Chromebooken sin til. Eller hvilket tidspunkt eleven hadde logget seg på Google Classroom.
Disse dataene er pseudonymiserte. Det betyr at de er indirekte identifiserbare. Det er viktig å huske at dette er personopplysninger, siden det er mulig for Google å identifisere den enkelte eleven.
Likevel er ikke poenget å identifisere eleven. Poenget med å behandle disse opplysningene er som regel å få informasjon om hvordan brukerne bruker løsningen. På den måten kan leverandøren (her Google) sikre at tjenesten er oppe og fungerer som den skal.
Metadata er ikke det samme som innholdsdata. Innholdsdata er f.eks. teksten i oppgaven en elev leverer inn til læreren, den skriftlige tilbakemeldingen som eleven får fra læreren, eller meldinger som elevene sender til hverandre i løsningen. Sagt litt enkelt er dette personopplysninger som brukeren eller dere som skoleeier putter inn i løsningen.
Google er alltid behandlingsansvarlig for metadata
Når det gjelder metadata, er Google alltid behandlingsansvarlig for dem.
Du har kanskje hørt om Helsingørsaken eller Chromebook-saken fra Danmark der det danske datatilsynet forbød 53 danske kommuner å bruke Google Workspace for Education?
Den handler primært om at danske skoleeiere ikke har hjemmel i den danske opplæringsloven til å dele metadata med Google for at Google så skulle behandle personopplysninger til egne formål.
For hvis de gjør det, blir Google behandlingsansvarlige. Og da vil du som norsk skoleeier og behandlingsansvarlig ikke kunne kjøpe tjenester av dem og samtidig ivareta behandlingsansvaret ditt.
Så hva er løsningen på det?
Jo, du må se på om opplæringsloven sier noe om hvordan du kan behandle metadata.
Eller, du trenger ikke se på det. Vi i det nasjonale DPIA-prosjektet har sett på det for deg. I årets andre utgave av Lov&Data som publiseres en gang i juni, kommer artikkelen vår hvor vi redegjør sånn juridisk for dette. Der kan du – eller juristen din – lese hele den tunge, juridiske argumentasjonen for hvorfor vi mener at vi Chromebook-saken ville fått et annet resultat i Norge.
Kort fortalt: i den nye opplæringsloven har bestemmelsen om tilpasset opplæring blitt flyttet til et eget kapittel (kapittel 11). Og så har den blitt presisert at tilpasset opplæring også betyr at opplæringen skal komme elevfellesskapet til gode. Det er presisert at dette ikke er en endring, det er en tydeliggjøring av dagens innhold.
Så det er en tolkning av DEN bestemmelsen vi mener er det supplerende behandlingsgrunnlaget for at du som skoleeier kan behandle metadata til videreutvikling av de digitale løsningene som dere bruker for å gi elevene undervisning.
Men la oss bare understreke det først som sist: Vi har tolket opplæringsloven utvidende. Det betyr at det ikke står svart på hvitt i opplæringsloven at det er helt ok at du som skoleeier bruker metadata om elever til videreutvikling av Google Workspace for Education.
Vi har gjort en tolkning av bestemmelsen om tilpasset opplæring. Det er en tolkning vi mener er riktig. Men den kan også bli kritisert. Den kan til og med bli overprøvd av f.eks. Kunnskapsdepartementet eller Datatilsynet.
Ok, ok! Nok forbehold! Hva har dere egentlig kommet til?
Vi har kommet til at opplæringsloven åpner for at du som skoleeier kan dele metadata med leverandøren din for disse formålene:
1. Levering, tilgjengelighet og sikkerhet for tjenesten
2. Videreutvikling av den konkrete tjenesten
Mens dette formålet er ikke innafor:
3. Videreutvikling av andre og nye produkter og tjenester fra leverandører
Med den konkrete tjenesten sikter vi til det eller de verktøyene som skoleeier anskaffer og kjøper lisens til.
Og så er ikke skillet mellom hva som er den konkrete tjenesten, og en ny tjeneste så tydelig som vi gir inntrykk av her, men det er en annen sak!
Dette betyr uansett at du som norsk skoleeier har behandlingsgrunnlag for å dele metadata med leverandøren din, men bare for de to første formålene.
Hvordan finner du ut om leverandøren din behandler metadata ut over dette? Jo du må se hva som står i den avtalen som du inngår med leverandøren. For Google Workspace for Education har vi i det nasjonale DPIA-prosjektet gjort jobben for deg.
Vi har tolket opplæringsloven utvidende, det er ikke sikkert den tolkningen står seg
Vi må bare understreke (nok en gang) at vi har tolket opplæringsloven utvidende.
Sagt på en annen måte: det står ikke svart på hvitt i opplæringsloven at det er helt ok at du som skoleeier bruker metadata om elever til videreutvikling av Google Workspace for Education.
Dette betyr at denne tolkningen vil kunne overprøves, for eksempel av Kunnskapsdepartementet eller Datatilsynet.
Men på tross av den risikoen, er dette en tolkning vi mener er riktig, og som gjør at vi anbefaler deg å fortsette å bruke Google-tjenestene som vi beskrev i det nyhetsbrevet for to uker siden.
Invitasjon til LinkedIn Live
I neste uke skal vi ha en LinkedIn Live hvor vi presenterer behandlingsprotokollen versjon 2.0. Du finner arrangementet her.
Og fredag den 14.06 kl 12-13 skal vi ha enda en LinkedIn Live hvor vi skal snakke om metoden for tredjelandsvurderinger og den konkrete vurderingen av Taiwan.
Vi begynner nå å bli ganske gode på metoden. Så gode at vi tror at vi kommer til å klare å forklare den på en enkel måte! Gled deg!
Du finner arrangementet her.
Som alltid, hvis du ikke kan delta live, finner du opptaket på den samme linken slik at du kan se det når det passer deg 😊
Jeg ønsker deg en riktig god, personvernvennlig helg!
Vennlig hilsen
Ida Thorsrud
prosjektleder nasjonal DPIA
