GDPR – Login og datasikkerhed i undervisningssoftware til makerspacet

Hvorfor er det vigtigt?
Flere og flere programmer i makerspace kræver, at brugeren logger ind – enten for at gemme projekter, få adgang til ekstra funktioner eller generelt for at få det fulde udbytte af værktøjet. Men med login følger ofte en overførsel af persondata som navn, e-mail og brugeradfærd.

Det kan være helt legitimt og praktisk, men det kan også være i strid med skolens (kommunes) politikker eller databeskyttelsesloven (GDPR), hvis ikke det er vurderet korrekt.

Derfor er det vigtigt at vide:

• Hvornår et program kræver login
• Hvilke data, der bliver samlet
• Hvornår man skal kontakte sin lokale DPO (databeskyttelsesrådgiver)

Bemærk: Vi hos CFU og CFUmaker er ikke jurister. Vores anbefalinger er vejledende og baseret på praksisnær erfaring – ikke juridisk rådgivning. Derfor opfordrer vi til, at du i tvivlstilfælde altid søger sparring med en fagperson, fx skolens eller kommunens DPO eller en medarbejder med viden om GDPR og datasikkerhed.

Hvad er en DPO?
DPO står for Data Protection Officer – på dansk: en person der hjælper med at sikre, at data om elever og lærere behandles korrekt.

I praksis er DPO’en ofte en medarbejder i kommunens it- eller forvaltningsafdeling, som rådgiver skolerne i, hvad man må og ikke må, når det gælder data, programmer og systemer.

Hvornår skal man være opmærksom?
Du skal især være opmærksom, når:

• Programmet kræver login og beder om navn, email eller adgang til filer
• Programmet gemmer projekter eller brugerdata i skyen – for eksempel fordi filer skal sendes via producentens servere for at blive behandlet og printet
• Der gives ingen tydelig information om, hvordan data behandles og deles.
• Elever deler data eller kommunikerer internt i programmet
• Du ikke ved, om programmet er godkendt i kommunen

Login-farvekoder: En hjælp til vurdering

For at gøre det lettere at tage en hurtig beslutning, foreslår vi at bruge farvekoder for login-niveau – eller om programmet kræver adgang til internettet for at virke:

Tjekliste: Er programmet sikkert at bruge?

Før du tager et nyt program i brug, kan du stille dig selv disse spørgsmål:

• Skal elever angive navn, e-mail eller andre persondata?
• Indeholder programmet reklamer eller sporing (tracking)?
• Har programmet adgang til mikrofon, kamera eller filer?
• Hvor gemmes data, og hvem har adgang?
• Kan data slettes eller hentes ud igen?
• Er programmet designet med indbygget databeskyttelse (privacy by design), som krævet i GDPR – eller gælder der andre regler?

(inspireret af Styrelsen for It og Lærings tjekliste til tredjepartsprogrammer.)

Hvilke data skal man være særligt opmærksom på?

I et undervisningsforløb, kan der indgå mange forskellige typer data. Når du anvender programmer og hjemmesider i undervisningen, som behandler disse data, er det vigtigt at være opmærksom på, hvordan dataene håndteres.

• Brugerdata: Navn, e-mail, klassetrin, skole
• Projektdata: Gemte designs, 3D-filer, billeder
• Adfærdsdata: Hvornår elever logger ind, hvordan de bruger programmet
• Kommunikation: Beskeder, kommentarer, forumopslag

Selv teknisk data (som fejlmeldinger fra 3D-printere) kan være personfølsomme, hvis de kan knyttes til en specifik bruger.

GDPR-princip: Databeskyttelse gennem design

I følge artikel 25 i GDPR skal datasikkerhed tænkes ind fra starten. Det kaldes ”privacy by design and by default”:

• Softwaren skal beskytte data allerede i sin grundopsætning
• Standardindstillinger må ikke være datadeling
• Brugerens privatliv skal være udgangspunktet

Dette princip bør også være ledestjerne for valg af software i undervisningen.

Gode råd til lærere og it-vejledere

• Brug programmer uden login, når det er muligt – især i korte forløb
• Undersøg, om din kommune allerede har godkendt programmet
• Hvis du er i tvivl: Søg rådgivning – det er ikke farligt, det er ansvarligt
• Inddrag elever i samtalen om datasikkerhed og digital adfærd
• Opbyg en lokal liste over programmer og deres login-niveauer

Konklusion

At bruge login i undervisningen er ikke forbudt, men det forpligter. Når vi hjælper elever med at bruge digitale værktøjer, skal vi også sikre, at deres data behandles med respekt og lovlighed.