Datatilsynet har gitt Rambøll tillatelse til å håndtere informasjon om elever

Rambøll har søkt Datatilsynet om konsesjon for å kunne håndtere rådata fra Elevundersøkelsen på individnivå. Det har konsulentselskapet fått, men med begrensninger knyttet til personvernet.

Publisert

For å få tilgang til rådata fra Elevundersøkelsen på individnivå, måtte det private konsulentselskapet Rambøll sende en søknad til Utdanningsdirektoratet. Søknaden ble sendt i januar 2016.

I søknaden ber Rambøll om å få tilgang til personnummer til elever i videregående skoler som har deltatt i Elevundersøkelsen, samt om dispensasjon fra taushetsplikten.

Da Rambøll i mai 2016 fikk svar fra Utdanningsdirektoratet, framkommer det at Elevundersøkelsen ikke inneholder personnummer på elever.

I stedet har Utdanningsdirektoratet fattet vedtak om å gi Rambøll tilgang til rådata fra Elevundersøkelsen på individnivå, men med visse begrensninger knyttet til blant annet personopplysningsloven, samt vilkår satt i godkjenning fra personvernombudet for forskning.

 

Rambøll har fått konsesjon fra Datatilsynet – på vilkår

Utdanning har spurt Datatilsynet om Rambøll trenger konsesjon for å kunne analysere rådataene fra Elevundersøkelsen.

– Datatilsynet har gitt Rambøll konsesjon til å håndtere dataene fra Elevundersøkelsen. Konsesjonen er gitt på visse vilkår, sier Eirin Oda Lauvset, seniorrådgiver i Datatilsynet til Utdanning.

– Rambøll må følge personopplysningsloven og i tillegg vilkårene i konsesjonen som er gitt. Det betyr blant annet at analysene de gjør på vegne av skoleeier ikke skal kunne føre til at svarene elevene har gitt i Elevundersøkelsen kan spores tilbake til den enkelte elev. Å svare på elevundersøkelsen er frivillig og elevene som svarer har fått informasjon om at de ansatte på skolen ikke vil kunne se hva de har svart. Årsaken til anonymiseringen av svarene, er et ønske om å få så ærlige svar som mulig fra elevene, sier Lauvset.

– Dataene fra Elevundersøkelsen skal legges inn per klasse og ikke per individ. I den grad det kommer fram sensitive opplysninger i undersøkelsen, så trengs det en særskilt tillatelse til å håndtere det.

I søknaden Rambøll sendte til Utdanningsdirektoratet, går det klart fram at det private konsulentselskapet ønsker å analysere elevresultater på individnivå. Dette er bakgrunnen for at de ønsker personnummer på elevene, samt dispensasjon fra taushetsbestemmelsene.

 

– Underlig med en kobling fra én leder til medarbeidere og elever

I Rambølls manual «Rambøll Results.» blir det beskrevet hva dataverktøyet «Hjernen og hjertet» kan brukes til. Manualen har tittelen: «Til styring og måling av innsatser i den offentlige sektor».

I manualen kan vi blant annet lese at Rambøll kan tilby skoleledelsen og skoleeier «et brukervennlig system til kontinuerlig måling av progresjon av innsats og resultater over tid for en lik målgruppe, innsatsen de får, og de resultater og effekter som skapes.»

Rambøll oppgir også at det skal være mulig å «koble svaret fra for eksempel én leder med svarene fra relevante medarbeidere, brukere eller elever.»

– Slik de beskriver det her, kan det se ut som om de mener at opplysningene kan knyttes til enkeltpersoner. Nå vet jeg jo ikke hvilke spørreundersøkelser det her er tale om, men dersom de har tenkt å benytte data fra Elevundersøkelsen så skal disse ikke være knyttet til enkeltelever. Derfor virker det underlig at de beskriver muligheten de har til en kobling fra én leder til medarbeidere, brukere og enkeltelever på denne måten, sier Lauvset.

Hun er usikker på om det lar seg gjøre for Rambøll å koble sammen opplysninger fra ulike databaser for å lage resultatmålinger basert på opplysninger på individnivå knyttet til elever og lærere.

 

 Færre forhåndsgodkjenninger fra neste år

– Er det vanlig å søke Datatilsynet om forhåndsgodkjenning for å kunne koble sammen informasjon fra ulike dataregistre som inneholder sensitive opplysninger om for eksempel elever og lærere?

– Etter dagens regelverk skal Datatilsynet som hovedregel forhåndsgodkjenne analyse- og forskningsprosjekter som planlegger å behandle sensitive personopplysninger om elever og lærere. De virksomheter som har personvernombud kan i noen grad basere seg på tilrådning fra personvernombudet istedenfor forhåndsgodkjenning fra oss. Når det nye personvernregelverket trer i kraft i mai 2018, faller det meste av ordningen med forhåndsgodkjenning bort. Det vi i Datatilsynet kan gjøre for å påse at personvernreglene overholdes, er å foreta etterkontroll eller tilsyn, sier hun og legger til:

-Et grunnleggende prinsipp for behandling av personopplysninger er transparens og åpenhet rundt hvilke personopplysninger som behandles, hvem som har tilgang på opplysningene og hva opplysningene skal brukes til. Formålet skal nemlig være klart definert, sier Lauvset.

I vedtaket som Utdanningsdirektoratet har fattet, gis åtte navngitte personer hos Rambøll tilgang til rådataene. Disse åtte har taushetsplikt og de må forplikte seg til ikke å videresende rådataene. Rådataene skal lagres på egen server med egen database i Danmark.

– Hva synes du om at det nye dataverktøyet til Rambøll er kjøpt inn av fylkeskommunene uten at dette er drøftet med tillitsvalgte i Utdanningsforbundet?

– Dersom det er slik at de kobler data fra ulike kilder på en måte som identifiserer enkeltpersoner og trekker en type slutninger som de ansatte ikke på forhånd er blitt informert om så synes jeg det virker merkelig. Det er også slik at arbeidsmiljøloven inneholder bestemmelser om arbeidsgivers styringsrett og arbeidstakeres rettigheter. Dersom det er fare for at bruken av det nye dataverktøyet kan komme i konflikt med bestemmelser i arbeidsmiljøloven, er det kanskje noe organisasjonene bør se nærmere på, sier Lauvset.

 

Utdanningsdirektoratet vurderer personvernulempene som små 

– Det skal også gjøres risikovurderinger i forhold til sikkerhet knyttet til håndteringen av så store datamengder som det Rambøll nå har fått tilgang til, forklarer Lauvset og fortsetter:

– Og når det gjelder publisering av data fra de analysene Rambøll gjør, er det viktig at konsulentselskapet følger Utdanningsdirektoratets regler for såkalt prikking. Dette dreier seg om å minimere faren for indirekte identifisering av elever i for eksempel små klasser eller på små skoler.

Utdanningsdirektoratet skriver i sitt vedtak til Rambøll at de vurderer «personvernulempene knyttet til prosjektet som så små at utleveringen ikke medfører uforholdsmessige ulemper for andre interesser.»

I svaret Rambøll har fått fra Utdanningsdirektoratet, heter det også at vedtaket kan påklages. Det skal skje innen tre uker etter at Rambøll har mottatt brevet. Klageinstans er Kunnskapsdepartementet, men klagen skal rettes til Utdanningsdirektoratet.

Utdanningsdirektoratet har ikke mottatt noen klage. Rambøll har heller ikke bedt om utlevering av ytterligere opplysninger i forbindelse med dataverktøyet, får Utdanning opplyst fra Utdanningsdirektoratet.

Powered by Labrador CMS