PVN-2020-13 Arendal kommunes behandling av personopplysninger i kartleggingsverktøyet Spekter

Personvernnemndas vedtak 9. november 2020 (Mari Bø Haugstad, Bjørnar Borvik, Gisle Hannemyr, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem)

Saken gjelder klage fra Arendal kommune på Datatilsynets vedtak 23. oktober 2019 der tilsynet nedla forbud mot behandling av personopplysninger innhentet ved bruk av kartleggingsverktøyet Spekter, og påla kommunen å slette de innhentede personopplysningene.

Sakens bakgrunn

Datatilsynet mottok 28. november 2018 en henvendelse fra en forelder som gjaldt Arendal kommunes behandling av personopplysninger ved bruk av kartleggingsverktøyet Spekter ved Hisøy skole. Spekter består av et ikke-anonymt digitalt spørreskjema som brukes for å avdekke mobbing og kartlegge læringsmiljø i en skoleklasse. Det er opplyst at Datatilsynet har mottatt flere henvendelser fra foreldre vedrørende bruken av Spekter.

Spekter er utviklet av Læringsmiljøsenteret ved Universitetet i Stavanger (nasjonalt senter for læringsmiljø og atferdsforskning, heretter Læringsmiljøsenteret), og er beregnet på elever fra 3. klasse på barneskolen og opp til og med videregående skole. Spekter, som ble tilgjengelig i digital versjon 1. januar 2018, har vært brukt på skoler i flere år og brukes på over 800 skoler i hele landet.

Følgende spørsmål blir stilt i Spekter:

1. Hvem i klassen vil du helst være sammen med i friminuttene?
2. Hvem i klassen er det som bestemmer mest?
3. Hvem i klassen hjelper andre elever hvis de trenger det?
4. Hvis læreren trenger hjelp, hvilke elever vil hjelpe?
5. Hvem i klassen bråker i timene?
6. Jeg tror de andre i klassen synes det er for mye bråk i timene
7. Jeg synes det er for mye bråk i timene
8. Hvor ofte bråker du i timene?
9. Hvor ofte er du blitt mobbet på skolen av noen i klassen din de siste månedene?
10.  Dersom du er blitt mobbet, hvem er det som har mobbet deg?
11. Hvor ofte har du mobbet andre i klassen din på skolen de siste månedene?
12. Dersom du har mobbet andre, hvem har du mobbet?
13. Hvem i klassen mobber andre?
14. Hvem i klassen blir mobbet?
15. Hvem i klassen tror du vil hjelpe en annen elev dersom hun eller han blir mobbet?
16. Hvor ofte er du blitt mobbet digitalt av noen i klassen din de siste månedene?
17. Dersom du er blitt mobbet digitalt, hvem er det som har mobbet deg?
18. Hvor ofte har du mobbet andre i klassen din digitalt de siste månedene?
19. Dersom du har mobbet andre digitalt, hvem har du mobbet?
20. Hvem i klassen blir mobbet digitalt?
21. Hvem i klassen mobber andre digitalt?
22. Er det noe annet du ønsker å fortelle som gjelder hvordan dere har det i klassen?

Før eleven besvarer spørsmålene, forklares det i skjemaet hva mobbing og digital mobbing er:

«Om mobbing: Mobbing er vonde handlinger som utestenging, ryktespredning, erting eller dytting, slag og spark mot en som ikke kan forsvare seg.»

«Om digital mobbing: Med digital mobbing mener vi vonde handlinger ved bruk av for eksempel mobiltelefon, nettbrett, PC, mot en som ikke kan forsvare seg. Det kan være utestenging i sosiale medier, ryktespredning eller erting.»

Eleven svarer på spørsmålene dels ved å oppgi navn på andre elever, dels ved å krysse av på forhåndsdefinerte svaralternativer i et avkrysningsfelt («Helt uenig», «Litt uenig» «Litt enig» og Helt enig» eller «Aldri», «Av og til» «To-tre ganger i måneden», «Hver uke» og «Omtrent hver dag»). I tillegg er det et fritekstfelt hvor det kan komme andre opplysninger relatert til trivsel i klassen (spørsmål 22).

I Arendal kommune har Spekter vært benyttet på fem skoler. Hisøy skole tok i bruk Spekter i 2018. Skolen har elever på barne- og ungdomstrinnet (1. til 10. trinn). Forut for undersøkelsen ble elevene orientert om Spekter i klassene og foreldrene på foreldremøte. På foreldremøtet ble det også henvist til informasjon på Læringsmiljøsenterets nettsted. Læringsmiljøsenteret utarbeidet et informasjonsskriv om Spekter til foresatte, hvor det blant annet orienteres om foreldrenes rett til innsyn.

Ved gjennomføring av Spekter logger elevene seg på med sin Feide-identitet som entydig identifiserer eleven. Feide er den nasjonale løsningen for sikker innlogging og datadeling i utdanning og forskning.

Det er skoleeier, dvs. kommunen/fylkeskommunen som er behandlingsansvarlig for behandlingen av personopplysningene. Læringsmiljøsenteret er databehandler, og behandler personopplysninger på vegne av behandlingsansvarlig ved å levere og administrere Spekter. Læringsmiljøsenteret inngikk en databehandleravtale med Arendal kommune i august/september 2018. Bouvet Norge AS står for teknisk drift av løsningen. Det foreligger en databehandleravtale mellom Læringsmiljøsenteret og Bouvet Norge AS.

Datatilsynet ba Arendal kommune om en redegjørelse i brev 4. mars 2019. Kommunen ga sin redegjørelse 8. april 2019.

Datatilsynet varslet kommunen 24. juni 2019 om at tilsynet ville nedlegge forbud mot behandling av personopplysninger innhentet ved bruk av Spekter og at tilsynet ville pålegge kommunen å slette opplysningene. Kommunen innga kommentarer til varselet 23. august 2019. Etter at kommunen mottok varselet har skolene ikke brukt Spekter og alle de innhentede personopplysningene er slettet.

Den 23. oktober 2019 fattet Datatilsynet slikt vedtak:

«1. Arendal kommune har ikke rettslig grunnlag for behandlingen av personopplysninger i kartleggingsverktøyet Spekter, jf. personvernforordningen artikkel 6. Datatilsynet innfører på denne bakgrunn et forbud mot behandlingen slik den er beskrevet i saken, jf. personvernforordningen artikkel 58 nr. 2 bokstav f.

2. Som en følge av at Arendal kommune ikke har rettslig grunnlag for å behandle personopplysninger innhentet ved bruk av Spekter må kommunen slette alle personopplysninger lagret i forbindelse med bruk av kartleggingsverktøyet, jf. personvernforordningen artikkel 17 nr. 1 bokstav d.»

Datatilsynet la til grunn at kommunes behandling av personopplysninger om elever i Spekter brøt med grunnleggende prinsipper om personopplysningsvern, herunder åpenhet og riktighet, og at behandlingen bryter med sentrale plikter for informasjonssikkerhet.

Kommunen framsatte 13. november 2019 rettidig klage over Datatilsynets vedtak.

Datatilsynet vurderte klagen, men fant ikke grunn til å endre sitt vedtak. Saken ble oversendt Personvernnemnda 3. juli 2020. Kommunen ble orientert om saken i brev fra nemnda 7. juli 2020, og fikk anledning til å komme med kommentarer. Kommunen har ikke inngitt kommentarer. Nemnda har innhentet tilleggsopplysninger om Spekter fra Læringsmiljøsenteret ved henvendelse 29. september 2020.

Saken ble behandlet i nemndas møte 9. november 2020. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Gisle Hannemyr, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg og Hans Marius Tessem. Sekretariatsleder Anette Klem Funderud var også tilstede.

Datatilsynets avgjørelse i hovedtrekk

Særlig kategorier av personopplysninger

Tilsynet drøfter hvorvidt undersøkelsen innebærer en behandling av helseopplysninger jf. personvernforordningen artikkel 9, men ender med ikke å ta stilling til dette spørsmålet. Tilsynet påpeker at skoleeier, blant annet som følge av fritekstfelt i spørreskjemaet, ikke kan utelukke at innholdet i svarskjemaet vil innebære en behandling av særlige kategorier av personopplysninger. Tilsynet påpeker at dette vil ha betydning for den behandlingsansvarliges plikter etter artikkel 32, 35 og 25.

Rettslig grunnlag

Datatilsynet drøfter hvorvidt opplæringslova kapittel 9A (§§ 9 A-1 til 9 A-5) gir et tilstrekkelig supplerende rettsgrunnlag for behandlingen, sammen med personvernforordningen artikkel 6 nr. 1 bokstav c eller e, jf. artikkel 6 nr. 3, som av Arendal kommune er angitt som behandlingsgrunnlag.

Datatilsynet tar utgangspunkt i opplæringslova § 9 A-3 andre ledd som sier at «(s)kolen skal arbeide kontinuerlig og systematisk for å fremje helsa, miljøet og tryggleiken til elevane slik at krava i eller i medhald av kapitlet blir oppfylte.» Deretter konkluderer tilsynet med at behandlingen av opplysninger i kartleggingssystemet Spekter ikke er en nødvending forutsetning for å kunne oppfylle den rettslige forpliktelsen skolen er pålagt gjennom opplæringslova kapittel 9 A, herunder aktivitetsplikten i § 9 A-4. De nevnte bestemmelsene i opplæringslova oppfyller, etter Datatilsynets vurdering, ikke kravet til supplerende nasjonalt rettsgrunnlag i personvernforordningen artikkel 6 nr. 3. Tilsynet gir en utfyllende redegjørelse for sin tolkning av opplæringslova, som ikke gjengis her.

Datatilsynet peker på at behandlingen av personopplysninger i Spekter innebærer et stort inngrep i retten til det enkelte barns privatliv, herunder personvern. I tillegg er opplysningene av så følsom karakter og måten undersøkelsen gjennomføres på er inngripende. Barn har krav på et særskilt vern etter personvernforordningen. Alle disse forholdene tilsier at det rettslige grunnlaget må være tilstrekkelig klart, forutberegnelig og proporsjonalt og må inneholde nødvendige garantier for den registrerte.

Selv om det ikke er et krav til supplerende nasjonalt rettsgrunnlag at det uttømmende skal beskrive hvilke personopplysninger som kan behandles og hvordan, må grunnlaget overordnet sett tilfredsstille både prinsippet i Den europeiske menneskerettighetskonvensjon (EMK) artikkel 8 om krav til nødvendighet og forholdsmessighet, forordningens grunnleggende prinsipper i artikkel 5, Grunnloven § 102 om retten til respekt for privatlivet mv. og legalitetsprinsippet i norsk rett. Jo mer inngripende en behandling av personopplysninger er, desto klarere må det rettslige grunnlaget for behandlingen være, jf. Prop. 56 LS (2017-2018) punkt 6.3.2 side 33.

Åpenhet

Samlet sett er det Datatilsynets vurdering at det er for lite åpenhet om behandlingen av personopplysninger i Spekter, og at behandlingen dermed er lite forutsigbar for elever og foresatte. Det faktum at Datatilsynet har mottatt en rekke klager på dette verktøyet forsterker dette inntrykket.

Uten informasjon er den registrerte i praksis avskåret fra å bruke sine øvrige rettigheter som rett til innsyn, retting og sletting.

Informasjonsarbeid som skal ha til hensikt å etterleve prinsippet om åpenhet og rettighetene til informasjon og innsyn i personvernforordningen må være dokumenterbare, jf. personvernforordningen artikkel 6 nr. 2 og artikkel 24. Uten dokumentasjon på hvilken informasjon som er gitt og i hvilken kontekst, og sammenholdt med at den informasjonen som foresatte blir henvist til på Spekters nettsider er misvisende, kan den informasjonen som er gitt gjennom orientering i klassen og på foreldremøter, etter tilsynets vurdering, ikke tillegges særlig vekt.

Når det gjelder de registrertes mulighet til å utøve sine rettigheter etter personvernregelverket viser Arendal kommune kun til personvernerklæringen til Spekter. Denne personvernerklæringen er etter tilsynets vurdering mangelfull.

Riktighet

Datatilsynet peker på at alle som behandler personopplysninger må sørge for at opplysningene har god kvalitet og er korrekte, jf. personvernforordningen artikkel 5 nr. 1 bokstav d og artikkel 24.

Fra et personvernperspektiv vurderer Datatilsynet det som problematisk at påstander om bråk og mobbing blir stående uten at de som blir navngitt som bråkmakere, mobbere eller mobbeoffer får en mulighet til å imøtegå disse påstandene. Spekter er ikke et informasjonssystem som er beregnet for transparens og kontradiksjon. I sin personvernerklæring argumenterer Spekter på sine nettsider sågar for at elever eller foresatte ikke har rett til innsyn i de personopplysningene som framkommer. Uten rett til innsyn er det ikke mulig å tilbakevise påstander eller komme med egen versjon av hendelser. Uten effektive mekanismer for å kvalitetssikre opplysningene, eller gi mulighet til korrigering, vil prinsippet om riktighet ikke være oppfylt.

Prinsippet om lovlighet og vurdering av personvernkonsekvenser

Lovgivning som skal ligge til grunn for behandling av personopplysninger som er inngripende for den enkelte må ha tydelig hjemmel og være grundig utredet med hensyn til personvernkonsekvenser, jf. personvernforordningen artikkel 5 nr. 1 bokstav a, EMK artikkel 8, Grunnloven § 102 om retten til respekt for privatlivet mv., legalitetsprinsippet og artikkel 35 nr. 10.

Lovbestemmelsen som kommunen mener hjemler behandlingen er svært lite spesifikk og gir ingen anvisning på hvilke personopplysninger som kan behandles, hvordan svarene skal tolkes og viderebehandles, og har heller ingen krav eller begrensninger i prosesseringsoperasjoner og utleveringer. Forarbeidene til loven inneholder ingen holdepunkter for å si at lovgiver har vurdert i hvilken utstrekning personopplysninger må behandles for å oppfylle oppgaver knyttet til det forebyggende anti-mobbearbeidet som kommunen er pålagt, og følgelig heller ingen vurderinger av eventuelle konsekvenser for personopplysningsvernet.

Uten særskilte tiltak og garantier som effektivt kan ivareta elever og foresattes rettigheter og friheter i henhold til personvernregelverket kan tilsynet ikke se at den beskrevne behandlingen kan være lovlig.

Protokoll, risikovurdering og vurdering av personvernkonsekvenser

Kommunen har ikke ført protokoll over behandlingsaktivitetene i Spekter. Det innebærer et brudd på personvernforordningen artikkel 30. Kommunen har heller ikke ved innkjøp av Spekter gjennomført en risikovurdering i henhold forordningens artikkel 32 nr. 2.

Kommunen har en plikt til å vurdere personvernkonsekvenser ved «Behandling av personopplysninger for å evaluere læring, mestring og trivsel i skoler og barnehager», jf. forordningen artikkel 35 nr. 1, jf. nr. 7 og Datatilsynets liste over behandlingsaktiviteter der personvernkonsekvenser alltid skal vurderes. Manglende vurdering av personvernkonsekvenser er et brudd på personvernforordningen artikkel 35 nr. 7.

Konklusjon

Arendal kommunes behandling av personopplysninger om elever i kartleggingsverktøyet Spekter har ikke rettslig grunnlag, jf. personvernforordningen artikkel 6.

Arendal kommunes behandling av personopplysninger om elever i kartleggingsverktøyet Spekter bryter med grunnleggende prinsipper for personopplysningsvern, herunder prinsippet om åpenhet og prinsippet om riktighet, jf. personvernforordningen artikkel 5 nr. 1 bokstavene a og d.

Arendal kommunes behandling av personopplysninger om elever i kartleggingsverktøyet Spekter bryter med sentrale plikter for informasjonssikkerhet, herunder plikten til å gjennomføre risikovurderinger i personvernforordningen artikkel 32 nr. 2.

Arendal kommunes behandling av personopplysninger om elever i kartleggingsverktøyet Spekter bryter med plikten til å vurdere personvernkonsekvenser og iverksette tiltak for behandlinger som innebærer en høy risiko for de registrertes rettigheter og friheter, jf. personvernforordningen artikkel 35.

Det er Datatilsynets vurdering at bruddene på personvernforordningen er så alvorlige at det er nødvendig å innføre et forbud mot behandlingen slik den er beskrevet i saken, jf. personvernforordningen artikkel 58 nr. 2 bokstav f.

Arendal kommunes syn på saken i hovedtrekk

Datatilsynet har delvis lagt til grunn feil fakta når det gjelder Spekter og bruken av undersøkelsen. I Datatilsynets redegjørelse kommer det ikke fram hvordan skolen jobbet videre med dataene som var samlet inn og kommunen er uenig i deler av framstillingen av hvordan personvernet ble ivaretatt med hensyn til kontradiksjon mv. Det foreligger gode forskningsbaserte mekanismer for å kvalitetssikre opplysningene slik at prinsippet om riktighet oppfylles. Skolen benytter veiledere utarbeidet av Læringsmiljøsenteret til dette.

Spekter skulle brukes som et supplement til øvrig mer tradisjonell kartlegging i det systematiske elevmiljøarbeidet, og skulle ikke erstatte dette. Både elever og foreldre er gitt informasjon om Spekter i forkant. Informasjonen som er gitt tilfredsstiller informasjonsplikten og åpenhetsprinsippet. Kommunen stiller seg undrende til Datatilsynets vurdering av at informasjon gitt i klassen og på foreldremøter «ikke kan tillegges særlig vekt.» Landets fagmyndighet på læring og læringsmiljø, Utdanningsdirektoratet, har anbefalt bruk av Spekter.

Behandlingsgrunnlag

Kommunen har behandlingsgrunnlag i personvernforordningen artikkel 6 nr. 1 bokstav c til å behandle personopplysninger om elevene i Spekter (rettslig forpliktelse), jf. personvernforordningen artikkel 6 nr. 3, jf. opplæringslova kapittel 9 A (§§ 9 A-1 til 9 A-5).

Kravet til supplerende rettsgrunnlag i artikkel 6 nr. 3, som fastslår at «[f]ormålet med behandlingen skal være fastsatt i nevnte rettsgrunnlag», er oppfylt i opplæringslova kapittel 9 A om «Elevane sitt skolemiljø». Opplæringslova fastslår skolens aktivitetsplikt overfor elevene. Det er ikke et krav om at det supplerende rettsgrunnlaget må regulere behandling av personopplysninger uttrykkelig. Etter ordlyden i artikkel 6 nr. 3 er det tilstrekkelig at det supplerende rettsgrunnlaget pålegger den behandlingsansvarlige en rettslig forpliktelse som det er nødvendig å behandle personopplysninger for å oppfylle, jf. Prop. 56 LS (2017-2018) punkt 6.3.2 side 33 og forordningens fortalepunkt 45.

Opplæringslova uttrykker klart behovet for kartlegging av elevenes læringsmiljø, jf. kravet til tydelighet i forordningens fortalepunkt 41. Formålet med behandlingen er utdypet i forarbeidene til opplæringslova som fastslår at skolen har både plikt og rett til å behandle personopplysninger som en konsekvens av de handlinger aktivitetsplikten krever, jf. Prop. 57 L (2016-2017) punkt 5.5.2.6.

Det følger av opplæringslova § 9 A-3 annet avsnitt at skolen skal «arbeide kontinuerlig og systematisk for å fremje helsa, miljøet og tryggleiken til elevane». Bestemmelsen innebærer at skolen ikke kan nøye seg med passivt å vente på at noen klager på forholdene. Skolen må arbeide systematisk gjennom hele skoleåret, stikkprøver er ikke nok. Spekter er et egnet verktøy for å oppfylle skolens plikt til å systematisk fremme helse, miljø og sikkerhet for elevene.

Skolen skal også «sørgje for at involverte elevar blir høyrde. Kva som er best for elevane, skal vere eit grunnleggjande omsyn i skolen sitt arbeid», jf. opplæringslova § 9 A-4 femte ledd. Plikten til å la elevene bli hørt er et sentralt prinsipp i loven. Spekter gir elevene mulighet til å uttale seg om sin arbeidshverdag og hvordan de trives, og fungerer godt som et supplement for å kartlegge elvenes psykososiale miljø, idet elevene gir ærlige tilbakemeldinger i undersøkelsen. Dette har vært et effektivt verktøy for å sikre at elevene blir hørt.

Spekter ivaretar også hensynet til elever som mistenkes for å krenke andre elever eller har krenket andre elever. Svarene fra undersøkelsen brukes til å iverksette elevsamtaler med den som påstås mobbet, den som påstås å mobbe, samt andre elever for å avkrefte eller bekrefte om påstanden stemmer. Den som påstås å mobbe skal bli hørt i prosessen og sikret kontradiksjon.

Departementet la til grunn at som en konsekvens av de handlinger aktivitetsplikten krever, så har skolen både plikt og rett til å behandle personopplysninger. Dette gjelder både ordinære personopplysninger og sensitive opplysninger. Departementet anså at kravet om behandlingsgrunnlag, i det som den gang var personopplysningsloven § 8 og § 9 første ledd bokstav b, var oppfylt ved at «aktivitetspliktsbestemmelsen så tydelig forutsetter behandling av personopplysninger», jf. Prop. 57 L (2016-2017) punkt 5.5.2.6. Bestemmelsene svarer til dagens artikkel 6 nr. 1 bokstav c i personvernforordningen om at behandling av personopplysninger er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige.

Datatilsynet tar dermed feil når det konkluderer med at forarbeidene til loven ikke tilsier at lovgiver har vurdert i hvilken utstrekning personopplysninger må behandles for å oppfylle oppgavene som kommunen er pålagt. Tvert imot viser lovforarbeidene at lovgiver har vurdert hvilke personopplysninger som behandles, som er informasjon om elevers trivsel på skolen, hvem som eventuelt utøver mobbing og hvem blir mobbet. Lovgiver har også vurdert denne type opplysninger opp mot personopplysningsvernet og konkludert med at behandling av personopplysninger er nødvendig for å oppnå formålet om et godt psykososialt miljø for elevene.

Eventuelt behandling av særlige kategorier personopplysninger

I utgangspunktet innebærer ikke Spekterundersøkelsen at det oppgis sensitive opplysninger om en selv eller andre. Dersom en elev blir mobbet så kan dette ha konsekvenser for vedkommendes helseforhold og dette kan, etter en konkret vurdering av det enkelte forhold, muligens utgjøre en helseopplysning som faller inn under «særlige kategorier» av personopplysninger.

Når skolen bruker Spekter så er det som en del av aktivitetsplikten for å sikre et trygt skolemiljø og forhindre mobbing. Dersom skolen behandler helseopplysninger i forbindelse med at en elev blir mobbet, så er det for å tilby eleven nødvendig helsehjelp. Behandling av personopplysningene skjer dermed etter vår oppfatning i forbindelse med forvaltning av helsetjeneste eller system som har grunnlag i nasjonal rett, herunder for å sikre elevens psykososiale miljø i skolen etter opplæringslova kapittel 9 A. Videre så behandles opplysningene av ansatte som «har taushetsplikt i henhold til (…) medlemsstatenes nasjonale rett», jf. artikkel 9 nr. 3 idet personalet i skolen er underlagt taushetsplikt etter forvaltningsloven § 13. Dette taler etter kommunens vurdering for at bruk av Spekter vil kunne hjemle behandling av sensitive personopplysninger, dersom det blir nødvendig i det konkrete tilfellet. Forarbeidene nevner eksplisitt retten for skolen til å behandle både ordinære og sensitive personopplysninger.

Oppsummering

Datatilsynet har i for liten utstrekning lagt til grunn opplysningene om hvordan Arendal kommune faktisk har brukt Spekter. Videre synes Datatilsynet å ikke ha vektlagt nok metodikken for bruken av Spekter som er forskningsbasert og dokumentert gjennom vedlegg i saken fra Læringsmiljøsenteret ved UiS. Her er det svikt i det faktiske grunnlaget for vedtaket som har virket inn på vedtakets innhold.

Arendal kommune har rettslig grunnlag for behandlingen av personopplysninger i kartleggingsverktøyet Spekter, jf. personvernforordningen artikkel 6 med supplerende rettsgrunnlag i opplæringslova kapittel 9 A.

For kommunens del har Spekter vært et egnet verktøy når mindre inngripende tiltak (eksempelvis anonym elevundersøkelse) ikke har vist seg å være tilstrekkelig. Kommunens grundige overveielser før bruken har vært med på å sikre forholdsmessighet mellom mål og middel. Det er gjort en konkret vurdering hos skoleledelsen fra tilfelle til tilfelle.

Når det gjelder åpenhet vises det til beskrivelsen av informasjon som er gitt i forkant av undersøkelsen mv. ovenfor. Kommunen mener den informasjonen som er gitt er tilfredsstillende.

Når det gjelder riktighet så vises det også til beskrivelsen som er gitt ovenfor. Kommunen viser også til veilederen som blir benyttet og som bl.a. skal ivareta hensynet til kontradiksjon. Elevsamtaler med de involverte blir alltid gjennomført.

Kommunen har erkjent at det ikke er ført protokoll og vil innrette seg etter dette i fremtiden.

Når det gjelder risikovurdering har kommunen benyttet seg av en undersøkelse som er anbefalt av Utdanningsdirektoratet og har ansett Læringssenteret ved Universitetet i Stavanger som en seriøs partner, og det er signert en grundig databehandleravtale. Skolene er dessuten erfarne i god og sikker håndtering av personopplysninger og ansatte har taushetsplikt. Likevel ønsker kommunen å ta lærdom av kritikken fra Datatilsynet når det gjelder risikovurdering, og vil ved eventuell fremtidig bruk av Spekter gjøre en mer utførlig risikovurdering.

Personvernnemndas vurdering

Innhenting og bruk av opplysninger ved bruk av kartleggingsverktøyet Spekter er å anse som en behandling av personopplysninger som faller innenfor virkeområdet til personopplysningsloven og personvernforordningen. Det betyr at behandlingen må ha et lovlig behandlingsgrunnlag i personvernfordringen artikkel 6, samt i artikkel 9 dersom behandlingen også omfatter særlige kategorier opplysninger. I tillegg må behandlingen av personopplysningene skje på en lovlig, rettferdig og åpen måte, jf. personvernforordningen artikkel 5, slik at blant annet de registrertes rettigheter fastsatt i personvernforordningen kapittel III ivaretas.

Behandlingsgrunnlag

De alminnelige reglene om behandlingsgrunnlag følger av personvernforordningen artikkel 6, og nemnda legger til grunn at aktuelt behandlingsgrunnlag i dette tilfellet er artikkel 6 nr. 1 bokstav c «behandlingen er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige». Den rettslige forpliktelsen må i henhold til artikkel 6 nr. 3 være fastsatt i unionsretten (bokstav a) eller i nasjonal rett (bokstav b). Arendal kommune har angitt opplæringslova kapittel 9 A «Elevane sitt skolemiljø» som supplerende rettsgrunnlag og spørsmålet for nemnda er om opplæringslova kapittel 9 A er et tilstrekkelig rettsgrunnlag for den behandlingen av personopplysninger som skjer ved bruk av kartleggingsverktøyet Spekter.

Det følger av personvernforordningen artikkel 6 nr. 3 at formålet med behandlingen skal være fastsatt i nevnte rettslige grunnlag. Det er imidlertid ikke nødvendig at det supplerende rettsgrunnlaget regulerer behandlingen uttrykkelig, jf. forordningens fortalepunkt 45 og forarbeidene til personopplysningsloven, Prop. 56 LS (2017-2018) punkt 6.3.2 side 33, hvor Justis- og beredskapsdepartementet blant annet uttaler:

«Samlet sett taler altså ordlyden i artikkel 6 nr. 3 for at det må påvises et supplerende rettsgrunnlag i unionsretten eller nasjonal rett, men at det ikke er nødvendig at det supplerende rettsgrunnlaget uttrykkelig regulerer behandling av personopplysninger. Departementet viser i denne forbindelse også til artikkel 35 nr. 10, hvor det forutsetningsvis fremgår at det rettslige grunnlaget for behandling etter artikkel 6 nr. 1 bokstav c og e ikke behøver å spesifikt regulere behandlingsaktivitetene.»

Heller ikke forordningens fortale gir støtte for et ubetinget krav om at behandlingen av personopplysninger må være regulert uttrykkelig i det supplerende rettsgrunnlaget. Fortalepunkt 45 gir uttrykk for at behandlingen i disse tilfellene bør «ha rettslig grunnlag i unionsretten eller medlemsstatenes nasjonale rett», men at det ikke kreves «en særlig lovbestemmelse for hver enkelt behandling».

Departementet uttaler samme sted at det er tilstrekkelig etter ordlyden i artikkel 6 nr. 3 at det supplerende rettsgrunnlaget pålegger den behandlingsansvarlige en rettslig forpliktelse som det er nødvendig å behandle personopplysninger for å oppfylle.

I noen tilfeller er det imidlertid ikke tilstrekkelig å oppfylle minimumskravene i forordningens ordlyd, slik det framkommer av Prop. 56 LS (2017-2018) punkt 6.4 side 35, hvor departementet uttaler:

«Samtidig er det ikke tvilsomt at forordningens generelle regler, eventuelt i kombinasjon med et supplerende rettsgrunnlag som bare oppfyller minimumskravene etter ordlyden i artikkel 6 nr. 3, ikke alltid vil gi tilstrekkelig spesifikt rettsgrunnlag eller nødvendige garantier i tråd med Grunnloven og EMK. Det blir da nødvendig å utforme mer spesifikke rettsgrunnlag og ytterligere garantier i nasjonal rett, og det vil i mange tilfeller være nødvendig med uttrykkelig hjemmel i særlovgivning. Forordningen må med andre ord tolkes og anvendes i lys av Grunnloven og EMK.

[…]

Hva som kreves av det supplerende rettsgrunnlaget, kan ikke besvares generelt, men må avgjøres etter en konkret vurdering.»

Da opplæringslova ble endret i 2017 var hensikten med de nye reglene å «styrke rettighetene til elever som blir mobbet og deres foreldre, og være et effektivt virkemiddel mot mobbing og dårlige skolemiljøer», jf. Prop. 57 L (2016-2017) punkt 1 side 5, hvor det heter:

«Forslaget innebærer en fullrevisjon av dagens kapittel om skolemiljø i opplæringsloven. I et helt nytt kapittel 9 A foreslås det både nye regler og endringer i eksisterende. Det legges tydelige og strenge plikter på skoleeiere og skoler. Det ligger en klar forventning i regelverket om at skolene skal mobilisere det forebyggende arbeidet, og vise rask og effektiv handling i enkeltsaker. Dersom skolene ikke reagerer raskt og riktig, skal elevene enkelt kunne få saken prøvd av fylkesmannen og skoleeier kan få dagbøter. Vernet om elevenes rett til et trygt og godt skolemiljø er satt i høysetet i dette forslaget til nye skolemiljøregler.»

Om skolens behandling av personopplysninger i forbindelse med den aktivitetsplikten som innføres sier departementet i punkt 5.5.2.6 side 27/28:

«Aktivitetsplikten som departementet foreslår å lovfeste forutsetter at det behandles personopplysninger av ulike slag. Departementet legger til grunn at som en konsekvens av de handlinger aktivitetsplikten krever, så har skolen både plikt og rett til å behandle personopplysninger. Dette gjelder både ordinære personopplysninger og sensitive opplysninger. Departemente[t] anser at kravet om behandlingsgrunnlag, jf. personopplysningsloven § 8 og § 9 første ledd bokstav b, er oppfylt ved at aktivitetspliktsbestemmelsen så tydelig forutsetter behandling av personopplysninger. En eksplisitt lovhjemmel for slik behandling er etter departementets syn overflødig å ta inn i opplæringsloven kapittel 9 A. Det er heller ikke eksplisitte lovhjemler for andre områder i loven der behandling av personopplysninger også er aktuelt. Departementet viser for øvrig til Meld.St.11 (2011–2012) Personvern – utsikter og utfordringar kapittel 6 der lovhjemmel som grunnlag for behandling av personopplysninger omtales.»

Etter opplæringslova § 9 A-2 har alle elever rett til et trygt og godt skolemiljø som fremmer, helse, trivsel og læring. Det er presisert i kommentarene til bestemmelsen at det er elevens egen opplevelse som er avgjørende for om eleven har et trygt og godt skolemiljø. I § 9 A-3 slås det fast at skolen skal ha nulltoleranse mot krenkelser som mobbing, vold, diskriminering og trakassering og i annet ledd er det fastsatt at skolen «skal arbeide systematisk for å fremje helsa, miljøet og tryggleiken til elevane, slik at krava i eller i medhald av kapitlet blir oppfylde». I § 9 A-4 er skolen pålagt en aktivitetsplikt for å sikre at elevene har et trygt og godt psykososialt miljø. Aktivitetsplikten er delt i fem handlingsplikter, og oppstiller krav til å sørge for elevenes medvirkning og til dokumentasjon. Pliktene til å følge med, gripe inn og varsle rektor i bestemmelsens første og andre ledd er plikter som gjelder skolens ansatte. Tredje ledd legger en undersøkelsesplikt på skolen og skolen er i siste ledd pålagt å dokumentere hva som er gjort for å oppfylle aktivitetsplikten.

Det er ingen tvil om at skolen, for å oppfylle sine plikter etter opplæringslova kapittel 9 A, må behandle en rekke personopplysninger, slik departementet også har forutsatt i lovforarbeidene. Alle de opplysningene som etterspørres i spørreskjemaet i Spekter (se opplisting innledningsvis under «Sakens bakgrunn»), er opplysninger som etter nemndas vurdering er relevante og nødvendige for at kommunen skal oppfylle sin plikt etter loven til å arbeide systematisk for å sikre et trygt og godt skolemiljø. Det er derfor ikke noe med karakteren av de opplysningene som samles inn som gjør at rettsgrunnlaget i opplæringslova ikke er tilstrekkelig hjemmel for å samle inn og behandle opplysningene. Selv om opplysningene kvalitativt kan bli forskjellig ved digital innsamling sammenlignet med innsamling via for eksempel observasjoner og elevsamtaler, er heller ikke dette noe som medfører at rettsgrunnlaget i dette tilfellet ikke anses tilstrekkelig. Nemnda ser det ikke som sin oppgave å vurdere egnetheten av Spekter versus andre måter å samle inn de samme opplysningene på.

Nemnda konkluderer etter dette med at Arendal kommune har behandlingsgrunnlag for den behandlingen av personopplysninger som skjer ved bruk av kartleggingsverktøyet Spekter i personvernforordningen artikkel 6 nr. 1 bokstav c, jf. opplæringslova kapittel 9 A.

Spørsmålet om særlige kategorier av opplysninger

Dersom opplysningene som behandles tilhører gruppen særlige kategorier av personopplysninger, jf. artikkel 9 nr. 1, må kommunen i tillegg til å ha behandlingsgrunnlag etter artikkel 6, også oppfylle et av vilkårene i artikkel 9 nr. 2.

Basert på de spørsmålene som stilles i Spekter legger nemnda til grunn at kartleggingen i utgangspunktet ikke etterspør særlige kategorier av personopplysninger. Mobbing av en elev kan imidlertid få konsekvenser for vedkommendes helseforhold, og opplysninger om dette kan derfor i noen tilfeller utgjøre en helseopplysning. I og med at det i kartleggingen også benyttes muligheter for fritekst, kan ikke skolen være sikker på at man ikke også får inn opplysninger som faller inn under artikkel 9. Dette er imidlertid ikke opplysninger som er etterspurt og skolen må derfor ikke ha behandlingsgrunnlag i artikkel 9 for selve innsamlingen av data i Spekter.

Nemnda bemerker at ved utformingen av datainnsamlingsverktøy som Spekter så kan den behandlingsansvarlige sørge for at det benyttes personvernøkende teknologier som for eksempel å begrense muligheten for fritekst. Dette vil være særlig viktig når verktøyet er rettet inn mot barn og benyttes til å kartlegge et tema som for mange er nettopp svært sensitivt og vanskelig.

Nemnda påpeker at muligheten for at man mottar særlige kategorier av opplysninger skjerper kravene til den behandlingsansvarliges vurdering av personvernkonsekvensene, kravene til informasjonssikkerhet og etablering av rettssikkerhetsgarantier for de registrerte.

Grunnleggende prinsipper om behandling av personopplysninger – særlig om de registrertes rettigheter

Selv om kommunen har lovlig behandlingsgrunnlag i artikkel 6, med supplerende rettsgrunnlag i opplæringslova, må behandlingen av personopplysningene også skje i tråd med de øvrige reglene i personvernforordningen, herunder de grunnleggende prinsippene for behandling av personopplysninger i artikkel 5 nr. 1. De registrertes rettigheter etter personvernforordningen kapittel III må også ivaretas for at behandlingen skal være lovlig.

Datatilsynet har i sitt vedtak konkludert med at det er manglende åpenhet om den behandlingen av personopplysninger som finner sted i Spekter og at de registrerte dermed er avskåret fra å bruke sine rettigheter når det gjelder innsyn, retting og sletting. Tilsynet har også konkludert med at kravet til riktige opplysninger ikke er oppfylt og har påpekt at kommunen mangler mekanismer for å kvalitetssikre, eventuelt korrigere opplysningene.

Nemnda vurderer først om kravene til informasjon til den registrerte er oppfylt.

Kommunen har opplyst å ha orientert elevene om Spekter i klassene. Foreldrene fikk informasjon av rektor på foreldremøte hvor det også ble vist til ytterligere informasjon på Læringsmiljøsenterets side om Spekterundersøkelsen, og Læringsmiljøsenteret utarbeidet et skriv med informasjon om Spekter til foresatte, hvor det blant annet ble orientert om foreldrenes rett til innsyn. Ifølge rektor ved Hisøy skole ville de foresatte også få en generell informasjon om resultatene fra undersøkelsen når den var gjennomført.

Etter personvernforordningen artikkel 12 skal den behandlingsansvarlige treffe egnede tiltak for å sikre den registrerte informasjon som nevnt i artikkel 13 og 14. Dette omfatter at den registrerte har krav på informasjon om hvem som vil motta opplysningene (artikkel 13 nr. 1 bokstav e), retten til innsyn i og retting og sletting av opplysningene (artikkel 13 nr. 2 bokstav b), samt informasjon om hvorvidt den registrerte har plikt til å gi opplysningene eller kan velge å ikke svare (artikkel 13 nr. 2 bokstav f). I og med at undersøkelsen forutsetter at elevene gir opplysninger om andre elever (hvem i klassen bestemmer mest, hvem i klassen blir mobbet, hvem i klassen mobber andre? osv), vil de elevene det samles inn opplysninger om ha krav på informasjon etter artikkel 14, og rett til innsyn etter artikkel 15. Dette kan reise vanskelige avveininger opp mot lærernes taushetsplikt og viser at det er både hensiktsmessig og nødvendig at den behandlingsansvarlige foretar en vurdering av personvernkonsekvenser for elevene som omfattes av undersøkelsen, jf. personvernforordningen artikkel 35.

Det framlagte informasjonsskrivet om Spekter som gis til foresatte inneholder etter nemndas vurdering uriktig informasjon når det heter:

«Læringsmiljøet vurderer derfor at elevene i forkant av gjennomføringen, på samme måte som i dag, trygges på at ingen andre elever eller foreldre skal få innsyn i deres besvarelse.»

Dette er, slik nemnda ser det, feilinformasjon og representerer en krenkelse av elevenes rett til klar og tydelig informasjon etter artikkel 12. Elevene har krav på informasjon om at det de forteller om kan blir brakt videre, både til andre ansatte på skolen (for eksempel rektor), elevens foreldre og i alvorlige tilfeller også til andre navngitte elever og deres foreldre. Dette er ikke informasjon som kan underslås overfor elevene i den hensikt til å få elevene til å fortelle mest mulig.

Elevene må også informeres om at de ikke har noen plikt til å svare på de spørsmålene som stilles i undersøkelsen og det må sørges for at undersøkelsen er lagt opp slik at de ikke må avgi et svar for å komme videre. Selv om skolene i opplæringslova er pålagt en rettslig forpliktelse til å arbeide systematisk med å sikre et godt skolemiljø for alle elevene, pålegger ikke opplæringslova elevene noen rettslig forpliktelse til å gi opplysninger. Informasjon om at undersøkelsen er frivillig og at man kan velge ikke å svare på spørsmål er derfor viktig informasjon som må gis både til elevene og de foresatte, jf. artikkel 13 nr. 2 bokstav f.

I personvernerklæringen for digitalt Spekter opplyses det om retten til informasjon og innsyn og det er gitt en korrekt gjengivelse av reglene som gjelder. Den sier imidlertid ingenting om hvordan disse reglene anvendes i praksis fra skolenes side. Det er også framlagt en utskrift fra Læringsmiljøsenterets nettside 24. september 2018 der det framgår utfyllende informasjon om foreldrenes rett til innsyn. Der gis det en fornuftig presentasjon av de ulike hensynene som må veies opp mot hverandre når det gjelder barnas rett til privatliv og foreldrenes rett til informasjon for å utøve sitt foreldreskap. Det er imidlertid ikke berørt hvordan retten til innsyn i opplysninger er ivaretatt for den eleven (og dennes foreldre) som er utpekt som mobber. Også dette kan reise vanskelige spørsmål knyttet til forvaltningslovens bestemmelser om taushetsplikt, rett til kontradiksjon mv. Dette viser igjen behovet for at den behandlingsansvarlige foretar en grundig vurdering av de personvernkonsekvensene bruken av kartleggingsverktøyet reiser for den enkelte registrerte, og at det utarbeides skriftlige rutiner som viser hvordan de registrertes rettigheter etter personvernforordningen blir ivaretatt.

Nemnda går etter dette over til å vurdere om kravene til kvalitet og riktighet av opplysningene er oppfylt. Det påhviler den behandlingsansvarlige en plikt til å sørge for at opplysningene som behandles har god kvalitet og er korrekte, jf. personvernforordningen artikkel 5 nr. 1 bokstav d. Kravet til korrekte opplysninger understøttes av retten den registrerte har til å få rettet uriktige opplysninger, jf. artikkel 16.

Nemnda legger til grunn at de innsamlede opplysningene gir uttrykk for den enkelte elevs subjektive vurderinger på de spørsmålene som stilles. Selv om opplysningene som gis ikke nødvendigvis er objektivt sett riktige, sier det seg selv at den eleven som for eksempel er omtalt som en mobber, ikke uten videre kan kreve opplysningen rettet fordi vedkommende (eller hans/hennes foreldre) mener den innsamlede opplysningen er uriktig. Nemnda legger derfor til grunn at kravene til korrekte opplysninger er ivaretatt ved at de elevene som navngis som mobbere gis anledning til kontradiksjon. Kommunen har i sin klage redegjort for at skolen bruker elevsvarene til å gjøre en innledende analyse av resultatene, før den går videre for å innhente mer informasjon som kan bekrefte eller avkrefte informasjon fra elevene. Svarene brukes deretter til å iverksette elevsamtaler med den som påstås mobbet, den som påstås å mobbe, samt andre elever for å avkrefte eller bekrefte om påstanden stemmer. Rektor ved Hisøy skole har også opplyst at dersom det framkommer opplysninger som skolen må undersøke nærmere, snakker skolen med elevene og deres foresatte. Etter nemndas vurdering er dette tilfredsstillende rutiner for å sikre opplysningenes riktighet.

Arendal kommune har etter dette fått medhold i sin klage om at de har behandlingsgrunnlag for å benytte kartleggingsverktøyet Spekter i skolene i personvernforordningen artikkel 6 nr. 1 bokstav c, jf. opplæringslova kapittel 9 A. Kommunen har ikke fått medhold i at deres bruk av Spekter oppfyller de øvrige reglene i personvernforordningen, herunder de grunnleggende prinsippene for behandling av personopplysninger i artikkel 5 nr. 1 og reglene om de registrertes rettigheter etter personvernforordningen kapittel III. For at kommunen lovlig kan benytte kartleggingsverktøyet Spekter i framtiden må det utarbeides skriftlige rutiner som sikrer etterlevelse av disse reglene.

Arendal kommune har erkjent at de ikke har utarbeidet protokoll etter personvernforordningen artikkel 30. Både protokoll og øvrige internkontrollrutiner er forhold som må på plass for at Spekter lovlig kan benyttes i framtiden.

Konklusjon

1. Arendal kommune har behandlingsgrunnlag for å benytte kartleggingsverktøyet Spekter i skolene i personvernforordningen artikkel 6 nr. 1 bokstav c, jf. opplæringslova kapittel 9 A.

2. Arendal kommune må, for lovlig å kunne benytte Spekter i framtiden, etablere internkontrolldokumentasjon og rutiner som sikrer etterlevelse av personvernforordningen.

Vedtaket er enstemmig.

 

 

Oslo, 9. november 2020

Mari Bø Haugstad

Leder