I forrige uke var jeg på skolebesøk, og det var veldig interessant å høre hva 5-klassinger hadde å fortelle om sine opplevelser på Internett. Det ble nok litt overraskende for foreldrene som jeg hadde en økt med senere på dagen også, og jeg oppfordret dem – som alle andre – å sørge for å ha en god dialog.

I dag er jeg imidlertid mer opptatt av GDPR – General Data Protection Regulation – som fører tl at vi får nye regler for personvern i Norge. GPDR gir både plikter og rettigheter, og har både positive og negative sider slik jeg ser det.

På den positive siden handler det mye om hva som blir samlet inn og formålet med innsamlingen. Det er forsåvidt ikke noe nytt, slike regler har vi hatt en god stund allerede. Innsynet skal bli bedre, og «retten til å bli glemt» står sterkere. I den siste tiden har vi sett hva som kan skje når data om oss og vår aktivitet blir lagret, og kanskje også hacket og delt – eller bare feilsendt. Det er vanligvis ikke de enkelte data som utgjør noen trussel mot oss som individer, men det at mange data blir satt sammen og analysert. At man derfor ønsker en sterk regulering av hva som blir lagret om oss og hvordan det blir brukt er derfor positivt. Jeg tenker at det også er positivt at virksomhetene nå i større grad må redegjøre for hvorfor disse dataene skal samles, behandles og lagres.

På den andre siden er det unektelig en del utfordringer. Databehandleravtaler har vi allerede, men det blir strengere. Den enkelte skal kunne få innsyn i hva som er registrert og kunne få endre og slette opplysningene – og det krever at de som leverer tjenester lett kan gi tilgang til slike opplysninger. Vurdering av personvernkonsekvenser er kanskje området hvor jeg ser at vil skape mange nye utfordringer. I den uoffisielle oversettelsen av forordningen står det blant annet:

Vurderingen skal minst inneholde
a) en systematisk beskrivelse av de planlagte behandlingsaktivitetene og formålene med behandlingen, herunder, dersom det er relevant, den berettigede interessen som forfølges av den behandlingsansvarlige,
b) en vurdering av om behandlingsaktivitetene er nødvendige og står i rimelig forhold til formålene,
c) en vurdering av risikoene for de registrertes rettigheter og friheter som nevnt i nr. 1, og
d) de planlagte tiltakene for å håndtere risikoene, herunder garantier, sikkerhetstiltak og mekanismer for å sikre vern av personopplysninger og for å påvise at denne forordning overholdes, idet det tas hensyn til de registrertes og andre berørte personers
rettigheter og berettigede interesser.

Jeg regner også med at stillingen «personvernrådgiver» vil dukke opp mange steder framover.

I skolen ser jeg at de første reaksjonene går på at man ikke lenger får bruke mange tjenester og apper – fordi det er vanskelig å holde kontroll på persondataene og at man ikke har gjort noen vurderinger av hvorfor akkurat disse tjenestene og appene. For IT-avdelingene, som sikkert får mye av ansvaret for å følge opp GDPR, vil det naturlig nok være enklere å begrense hva den enkelte får tilgang til enn å sørge for at alle plikter blir ivaretatt. Jeg tror det kan bli mye vanskeligere å jobbe med digitale ferdigheter som verktøy for læring i fag framover – nettopp fordi det vil bli satt store begrensninger på hva man får lov til å bruke. Så og si alt vi bruker på nett handler om å gi fra seg opplysninger, og bruken blir også lagret. Det kan jo handle om ting som å vite hvor langt vi har kommet i et læreverk, og for adaptiv læring – som tar utgangspunkt i våre tidligere prestasjoner for å tilby videre innhold – så er det en forutsetning at man faktisk har historikk lagret. Spørsmålet blir hvor lenge man får lov til å lagre slike opplysninger.

GDPR skal sørge for at våre data ikke skal misbrukes, men jeg ser at konsekvensen kan føre til at vi svekkes på andre områder – og jeg er veldig spent på hvordan ting kommer til å bli i praksis.