10 viktige begreper for skoleledere: Gjør deg klar til skolestart

Mens du nyter en velfortjent sommerferie, kan dette være et godt tidspunkt for en rask oppfriskning av begrepene som ofte preger samtalene når skolen starter opp igjen.

Enten du diskuterer digitale læringsverktøy, elevdata eller nye KI-funksjoner, dukker de samme begrepene ofte opp i møter med IT, leverandører og kommuneledelsen. Når man vet hva de betyr, blir disse samtalene lettere å lede.

Dette er en enkel topp 10-liste for skoleledere. Den er rask å lese og lett å gå tilbake til når ting tar seg opp igjen. 

1) Innebygd personvern og personvern som standardinnstilling

Innebygd personvern betyr at personvern er bygget inn i selve kjernen av systemet fra starten av — ikke lagt til som en ettertanke. Personvern som standardinnstilling betyr at verktøyet som standard bare samler inn og deler de dataene som er strengt nødvendige, uten at brukerne selv må justere på noen innstillinger. Dersom det er behov for mer omfattende databehandling, skal dette være et bevisst valg og ikke utgangspunktet.

Sammen viser disse prinsippene om en leverandør proaktivt har utformet tjenesten for å beskytte elevenes data, eller om det ansvaret er overlatt til brukerne.

Praktisk spørsmål å stille: Er dette verktøyet bygget for å beskytte elevdata automatisk, eller er vi avhengige av at lærere eller administratorer husker å endre innstillinger for at det skal være trygt?

2) NIS2 (Network and Information Security Directive)

NIS2 er et EU-direktiv som skjerper forventningene til cybersikkerhet og beredskap i viktige offentlige tjenester, inkludert utdanning. I praksis fører det til strengere krav til leverandører, tydeligere rutiner for tilgangskontroll og større forventninger til hvordan skoler håndterer digitale hendelser.

Praktisk spørsmål å stille: Hvis et viktig skolesystem slutter å fungere, vet vi hvem vi skal kontakte og hva kommunikasjonsplanen vår er den første timen?

3) EUs AI Act

EUs AI Act setter regler for hvordan KI-systemer bygges, selges og brukes, med strengere krav når kunstig intelligens kan påvirke menneskers rettigheter eller muligheter i betydelig grad. I skolen blir dette relevant når et verktøy bruker KI til risikoflagging av elever, automatisert tilbakemelding, anbefalinger eller beslutningsstøtte.

Praktisk spørsmål å stille: Hva gjør KI-en faktisk, hvilke data bruker den, og hvem har ansvar for å kontrollere at resultatene er riktige og rettferdige?

4) Behandlingsansvarlig

Den behandlingsansvarlige bestemmer hvorfor personopplysninger brukes og hvordan de skal brukes. I mange skolesammenhenger er dette skoleeier eller kommunen, og skolen opererer innenfor rammene som den behandlingsansvarlige har satt.

Praktisk spørsmål å stille: Kan vi tydelig forklare hvorfor vi bruker disse elevdataene, og hvem som er ansvarlig for den beslutningen?

5) Databehandler

En databehandler håndterer personopplysninger på vegne av den behandlingsansvarlige. Dette er vanligvis leverandøren som tilbyr plattformen, hosting, support eller analysefunksjoner. Databehandleren må følge instruksjonene fra den behandlingsansvarlige om hvordan dataene skal håndteres.

Praktisk spørsmål å stille: Hvilke deler av datahåndteringen styres av leverandøren, og hvilke deler er fortsatt vårt ansvar?

6) Databehandleravtale (DPA)

En databehandleravtale er kontrakten som juridisk forplikter en leverandør til å følge kravene deres til sikkerhet og personvern. Den dekker sikkerhetstiltak, hvordan hendelser håndteres, hvilke underdatabehandlere som er involvert, og hva som skjer når tjenesten avsluttes.

Praktisk spørsmål å stille: Har vi en signert databehandleravtale som samsvarer med hvordan tjenesten faktisk brukes på skolen, og ikke bare med hvordan den beskrives i markedsføringen?

7) Behandlingsgrunnlag

Et behandlingsgrunnlag er det juridiske grunnlaget for å behandle personopplysninger etter GDPR. Hver gang skolen bruker elevdata, må det finnes en tydelig og dokumentert grunn for det. Uten det er ikke behandlingen i tråd med regelverket.

Praktisk spørsmål å stille: Hva er vårt juridiske grunnlag for å bruke disse elevdataene, og hvor er det dokumentert?

8) Risikovurderinger og DPIA (Data Protection Impact Assessment)

En risikovurdering bør gjennomføres for hvert digitale læringsverktøy. Den hjelper skolen med å identifisere hva som kan gå galt, hvor sannsynlig det er, hvilke konsekvenser det kan få, og hvilke tiltak som trengs. En DPIA er mer spesifikk og er nødvendig når den planlagte bruken av personopplysninger kan medføre høy risiko for elevers rettigheter. I praksis vil risikovurderingen ofte hjelpe skolen med å se når personvernrisikoen er så høy at en DPIA er nødvendig.

Praktisk spørsmål å stille: Har vi vurdert risikoen ved dette digitale verktøyet, og viser den vurderingen et nivå av personvernrisiko som gjør at vi trenger en DPIA?

9) Hendelse vs. brudd på personopplysningssikkerheten

En hendelse er en sikkerhetshendelse som påvirker, eller kan påvirke, tilgjengeligheten, integriteten eller konfidensialiteten til systemer eller data. Et brudd på personopplysningssikkerheten er et spesifikt GDPR-begrep og viser til en hendelse som involverer personopplysninger. Skillet er viktig fordi et slikt brudd kan utløse en juridisk plikt til å varsle myndigheter og de berørte.

Praktisk spørsmål å stille: Hvis noe skjer, hvem avgjør om det er et brudd på personopplysningssikkerheten, og hva er tidslinjen vår for handling og kommunikasjon?

10) Tilgangskontroll og minste nødvendige tilgang

Tilgangskontroll definerer hvem som har tilgang til hvilke data og systemer. Minste nødvendige tilgang betyr at ansatte og elever bare får den tilgangen de trenger for sin rolle, og at tilgangen fjernes når rollen endres. I skolen er dette viktig fordi roller endres ofte, og midlertidig tilgang er vanlig.

Praktisk spørsmål å stille: Hvordan sikrer vi at tilgang til sensitive elevdata fjernes når en ansatt bytter rolle eller slutter?

Klar for det nye skoleåret

Å være kjent med disse ti begrepene gjør det lettere å lede digitale prosjekter, stille de riktige spørsmålene i leverandørmøter og kommunisere tydelig med både IT-avdelingen og foresatte.

Disse ti begrepene er bare et utgangspunkt. Hvis du vil gå dypere, dekker Edudatas fullstendige ordliste et bredere sett med begreper som du kan lagre og dele med teamet ditt. Du kan se Edudatas fullstendige ordliste her.