Last ned denne vurderingen i word med alle referanser i fotnoter her

Hvorfor GDPR artikkel 6 nr. 1 bokstav c kan brukes av skoleeier 

Det kan stilles spørsmål om dette behandlingsgrunnlaget kan brukes når behandlingsansvarlig er et offentlig organ, her en kommune. Dette fordi det i utgangspunktet er GDPR artikkel 6 nr. 1 bokstav e som skal brukes når man er pålagt en oppgave i allmennhetens interesse eller når man utøver offentlig myndighet.   

Artikkel 29-gruppen har imidlertid uttalt at også offentlige myndigheter kan være pålagt en rettslig forpliktelse, så lenge forpliktelsen har hjemmel i lov. Loven må tydelig definere plikten. Datatilsynet har presisert dette på denne måten:  

"Den rettslige forpliktelsen må være klart nok formulert. Det må være klart at det er en plikt, altså at det ikke foreligger valgfrihet. Dessuten må det komme frem hva plikten innebærer når det gjelder behandling av personopplysninger og hva slags personopplysninger som er gjenstand for plikten."

Det at GDPR artikkel 6 nr. 1 bokstav c kan brukes av offentlige myndigheter, støttes også av den norske personvernnemnda. I Spekter-saken konkluderte nemnda med at behandlingsgrunnlaget for kartleggingsverktøyet Spekter var GDPR artikkel 6 nr. 1 bokstav c, jf. opplæringslova kapittel 9 A. Videre har nemnda konkludert med at en barnehage hadde behandlingsgrunnlag i artikkel 6 nr. 1 bokstav c for å ta videoopptak av et barnehagebarn fordi det var nødvendig for å oppfylle deres undersøkelsesplikt etter barnehageloven. 

Disse to sakene viser at når en kommune som skole- eller barnehageeier er pålagt en klar rettslig forpliktelse, f.eks. en undersøkelsesplikt, vil det være riktig å bruke GDPR artikkel 6 nr. 1 bokstav c som det primære behandlingsgrunnlaget.

Nærmere om plikten til å sørge for grunnskole- og videregående opplæring

Ansvaret for opplæringen følger av opplæringslova kapittel 13. Her fremgår det at skoleeier har en plikt til å sørge for opplæring i henhold til opplæringslova og tilhørende forskrifter.  

Retten til opplæring i grunnskolen er regulert i opplæringslova § 2-1, som gir barn og unge rett til en offentlig grunnskoleopplæring i samsvar med opplæringslova og tilhørende forskrifter.  

Innholdet i opplæringen er regulert i opplæringslova 2-3, som fastsetter bestemte fag og emner som grunnskoleopplæringen skal omfatte. Forskrift til opplæringslova gir utfyllende regler for innholdet i opplæringen. Det fremgår av forskriften § 1-1 at opplæringen i grunnskolen skal være «i samsvar med Læreplanverket for Kunnskapsløftet».  

Med andre ord er skoleeier rettslig forpliktet til å sørge for at opplæringen er i samsvar med Læreplanverket for kunnskapsløftet. 

Læreplanverket for Kunnskapsløftet styrer innholdet i opplæringen, og består av en overordnet del, læreplaner og fag- og timefordelingen i fagene. Alle delene av Læreplanverket er forskrifter til opplæringsloven. Det betyr at skoleeier er forpliktet til å følge Læreplanverket, og at Læreplanverket er en rettslig bindende regulering av opplæringen.  

Læreplanverket definerer fem ferdigheter som er grunnleggende for hele opplæringsløpet. Digitale ferdigheter er en av disse ferdighetene.  

Utdanningsdirektoratet beskriver «digitale ferdigheter» som å være i stand til å:

«Innhente og behandle informasjon, være kreativ og skapende med digitale ressurser, og å kommunisere og samhandle med andre i digitale omgivelser. Det innebærer å kunne bruke digitale ressurser hensiktsmessig og forsvarlig for å løse praktiske oppgaver. Digitale ferdigheter innebærer også å utvikle digital dømmekraft ved å tilegne seg kunnskap og gode strategier for nettbruk». 

Det er dermed plikten til å sørge for digitale ferdigheter som gjør det nødvendig for skolene å bruke Google Workspace for Education i opplæringen. 

Du kan laste ned denne vurderingen i word med alle referanser i fotnoter her

Skoleeiers handlingsrom i grunnskoleopplæring

Det generelle handlingsrommet i opplæringslova

GDPR artikkel 6(1) bokstav e) gir lovlig grunnlag for behandling av personopplysninger når det er «nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt».  

Dette er behandlingsgrunnlaget som generelt skal brukes for behandlinger av personopplysninger som gjøres av offentlige myndigheter, f.eks. en kommune som skoleeier.   

GDPR artikkel 6 nr.1 bokstav e skal brukes som behandlingsgrunnlag når det supplerende behandlingsgrunnlaget gir deg som behandlingsansvarlig valgfrihet. I lovkommentaren til GDPR forklares dette slik: 

I motsetning til artikkel 6 nr. 1 bokstav c, vil en oppgave som referert til i artikkel 6 nr. 1 bokstav e som regel ikke resultere i presist angitte forpliktelser for den behandlingsansvarlige, men derimot i en mer generell fullmakt til å gjøre det som er nødvendig for å utføre oppgaven.1 (vår oversettelse) 

Dette utgangspunktet viser at når en skoleeier er pålagt en oppgave i nasjonal lovgivning hvor den samtidig har stor frihet til å bestemme hvordan oppgaven skal løses, vil det være riktig å bruke GDPR artikkel 6(1) bokstav e) som det primære behandlingsgrunnlaget. 

Handlingsrom i lærerplanverket

Kommunens plikt til å sørge for grunnskoleopplæring følger av opplæringslova § 13-1. Denne bestemmelsen fastsetter at kommunen «skal oppfylle retten til grunnskoleopplæring» for alle som er bosatt i kommunen.  

Retten til opplæring i grunnskolen er regulert i opplæringslova § 2-1, som gir barn og unge rett til en offentlig grunnskoleopplæring i samsvar med opplæringslova og tilhørende forskrifter.  

Innholdet i opplæringen er regulert i opplæringslova 2-3, som fastsetter bestemte fag og emner som grunnskoleopplæringen skal omfatte. Forskrift til opplæringslova gir utfyllende regler for innholdet i opplæringen. Det fremgår av forskriften § 1-1 at opplæringen i grunnskolen skal være «i samsvar med Læreplanverket for Kunnskapsløftet».  

Med andre ord er skoleeier forpliktet til å sørge for at grunnskoleopplæringen er i samsvar med Læreplanverket for kunnskapsløftet. 

Læreplanverket for Kunnskapsløftet styrer innholdet i opplæringen, og består av en overordnet del, læreplaner og fag- og timefordelingen i fagene. Alle delene av Læreplanverket er forskrifter til opplæringsloven. Det betyr at skoleeier er forpliktet til å følge Læreplanverket, og at Læreplanverket er en rettslig bindende regulering av opplæringen.  

Læreplanverket definerer fem ferdigheter som er grunnleggende for hele opplæringsløpet. Digitale ferdigheter er en av disse ferdighetene.  

Utdanningsdirektoratet beskriver «digitale ferdigheter» som å være i stand til å «innhente og behandle informasjon, være kreativ og skapende med digitale ressurser, og å kommunisere og samhandle med andre i digitale omgivelser. Det innebærer å kunne bruke digitale ressurser hensiktsmessig og forsvarlig for å løse praktiske oppgaver. Digitale ferdigheter innebærer også å utvikle digital dømmekraft ved å tilegne seg kunnskap og gode strategier for nettbruk». 

Selv om Læreplanverket er en rettslig bindende regulering av opplæringen, har skoleeier og lærer stor grad av frihet til å bestemme hvordan ferdighetene og målene i lærerplanen skal oppnås. Det er et lokalt og pedagogisk ansvar å avgjøre hvilke læringsaktiviteter, arbeidsmåter, metoder eller verktøy som er hensiktsmessig for at elevene skal oppnå målene i Læreplanverket. Dette betyr at skoleeier har valgfrihet i hvilke læremidler som skal benyttes.  

Denne valgfriheten taler for at det vil være riktig å bruke GDPR artikkel 6 nr. 1 bokstav e som det primære behandlingsgrunnlaget. 

Denne forståelsen støttes også av det norske datatilsynet som, på spørsmål fra Senter for IKT i utdanningen om behandlingsgrunnlag for digitale verktøy i skolen, har uttalt at skoleeier trolig ikke vil kunne påberope seg opplæringsloven med forskrifter og læreplaner som grunnlag for behandling av personopplysninger i pedagogiske nettjenester (for referanse last ned word-dokumentet til denne begrunnelsen). Bakgrunnen for dette er at:  

Regelverket og læreplanene i Kunnskapsløftet etter Datatilsynets vurdering ikke direkte pålegger eller klart forutsetter at skoleeier skal anvende slike nettjenester i opplæringen. 

Datatilsynet foreslo isteden at skoleeier skulle hjemle behandlingen av personopplysninger i den gamle personopplysningsloven § 8e (som i stor grad tilsvarer GDPR artikkel 6(1) bokstav e)), det vil si gjennom at skoleeier utøver offentlig myndighet. Dette behandlingsgrunnlaget innebærer at behandling av personopplysninger kan begrunnes ut i fra skoleeiers generelle plikter slik de følger av opplæringsloven med forskrifter, læreplaner og rundskriv: plikten til å gi lovbestemt opplæring nødvendiggjør at personopplysninger om elever og ansatte behandles, også gjennom bruk av pedagogiske nettjenester.

Handlingsrom til å velge læremidler 

Kommuner er et politisk valgt forvaltningsnivå med selvstendig styre, jf. Grunnloven § 49 andre ledd. Statsforvaltningen har ingen generell styrings- eller instruksjonsrett overfor kommunenes, og har heller ingen generell kompetanse til å overprøve kommunens vedtak eller beslutninger. Eventuelle begrensninger i det kommunale selvstyret må med andre ord ha hjemmel i lov eller forskrift, jf. kommuneloven § 2-1. 

En avgjørelse om at skolene i en kommune skal bruke Google Workspace for Education i opplæringen, er å anse som et vedtak som er truffet på vegne av kommunen av en offentlig myndighet, jf. kommuneloven §§ 5-3 og 5-4. Det vil si at det treffes en avgjørelse «under utøving av offentlig myndighet og som generelt eller konkret er bestemmende for rettigheter eller plikter til private personer», jf. forvaltningsloven § 2(b). 

Kommuner kan treffe vedtak om at skolene skal benytte Google Workspace for Education i undervisningen med hjemmel i Forskrift om utfylling av dei overordna måla og prinsippa for opplæringa i grunnskolen og i den vidaregåande opplæringa, jf. opplæringslova § 2-3. 

Det er skoleeier som har ansvaret for at skolene har tilgang til «nødvendig utstyr, inventar og læremiddel», jf. opplæringslova § 9-3. Denne bestemmelsen innebærer at skoleeier har en plikt til å sørge at skolene har adekvate læremidler slik at undervisningspersonellet kan tilrettelegge og gjennomføre opplæringen i samsvar med læreplanene for fagene, jf. opplæringslova § 2-3 fjerde ledd. 

Det er naturlig å se ordlyden «læremiddel» i sammenheng med definisjonen av læremiddel forskrift til opplæringslova § 17-1 fjerde ledd. Et «læremiddel» omfatter da «alle trykte, ikkje-trykte og digitale element som er utvikla til bruk i opplæringa». Elementene kan være «enkeltståande eller gå inn i ein heilskap, og dekkjer aleine eller til saman kompetansemål i Læreplanverket for Kunnskapsløftet».  

Google Workspace for Education er et system som er «utvikla til bruk i opplæringa». Det dekker ikke alene alle kompetansemålene i Læreplanverket, men vil gå inn i helheten av løsninger og verktøy som skoleeier har etablert for å gi elever den undervisningen de har krav på. Google Workspace for Education er med andre ord et «læremiddel» i forskrift til opplæringslova § 17-1 fjerde ledd sin forstand.  

Norske kommuner har med andre ord frihet til å bestemme hvilke læremidler som skal innføres lokalt for å oppfylle kravene i opplæringslova. Denne valgfriheten taler for at det vil være riktig å bruke GDPR artikkel 6(1) bokstav e) som det primære behandlingsgrunnlaget.

Denne forståelsen støttes av Kunnskapsdepartementet som i et brev til KS av 19. juni 2024 sier følgende:
"Departementet viser videre til at skoleeier har et handlingsrom i hvordan den løser oppgavene som er pålagt gjennom opplæringsloven og tilhørende forskrifter, jf. Prop. 57 L (2022-2023) punkt 4.5.3.

Etter departementets syn må derfor behandling av personopplysninger i forbindelse med bruk av produkter som Google Workspace for Education utledes av personvernforordningen artikkel 6. nr. 1 bokstav e, som gir behandlingsgrunnlag hvor «behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt".

Grunnskoleopplæring som en oppgave i allmennhetens interesse 

Det er skoleeieren som har ansvaret for at skolene har tilgang til «nødvendig utstyr, inventar og læremiddel», jf. opplæringslova § 9-3. Denne bestemmelsen innebærer at skoleeier har en plikt til å sørge for at skolene har adekvate læremidler slik at undervisningspersonellet kan tilrettelegge og gjennomføre opplæringen i samsvar med læreplanene for fagene, jf. opplæringslova § 2-3 fjerde ledd. 

I Læreplanverket er fem ferdigheter definert som grunnleggende for læring i skole og arbeids- og samfunnsliv. Disse ferdighetene er grunnleggende i den forstand at de er viktige redskaper for læring i alle fag og en forutsetning for at elevene og lærlingene skal kunne vise sin kompetanse. Alle disse fem grunnleggende ferdighetene er inkludert i de aller fleste læreplaner for fag: muntlige ferdigheter, lesing, skriving, regning og digitale ferdigheter. Den enkelte ferdighet kommer til uttrykk på ulik måte og i ulik grad i den enkelte læreplan for fag, avhengig av hvilken relevans ferdigheten har i det aktuelle faget.  

Ifølge opplæringslova § 1-1 skal opplæringen blant annet «åpne dører mot verden og framtiden og gi elevene historisk og kulturell innsikt og forankring». Læreplanverkets overordnede del utdyper de grunnleggende verdiene og prinsippene som skal prege den pedagogiske praksisen i grunnopplæringen. Denne understreker at sosial læring skjer både i det fysiske miljøet og i det digitale miljøet: 

Dette viser at det er i allmennhetens interesse at barn i skolen utvikler god, digital dømmekraft, noe som taler for at det vil være riktig å bruke GDPR artikkel 6(1) bokstav e) som det primære behandlingsgrunnlaget.  

Når du har to aktuelle behandlingsgrunnlag, skal du velge det som gir den registrerte best vern 

Det fremgår av veiledningen til det europeiske personvernrådet (EDPB) og av Juridikas lovkommentar, at hvis en behandlingsansvarlig har to behandlingsgrunnlag som er aktuelle, bør den velge det grunnlaget som gir den registrerte best mulig vern. Sagt på en annen måte, skal man velge det behandlingsgrunnlaget som «stiller den registrerte i en best mulig posisjon, for eksempel med hensyn til å kunne protestere eller trekke tilbake samtykke».  

Retten til å protestere er en rettighet den registrerte har når behandlingsgrunnlaget er GDPR artikkel 6(1) bokstav e) eller f). Om man bruker bokstav c), vil det begrense den registrertes rett til å protestere, og dermed føre til et dårligere personvern for den enkelte.  

Denne forståelsen støttes også av NOU 2023: 19 Læring, hvor ble det av deg i alt mylderet, hvor ekspertutvalget sa følgende om GDPR artikkel 6(1) bokstav c) som behandlingsgrunnlaget for behandling av personopplysninger til læringsanalyseformål: 

[Bruk av GDPR artikkel 6(1) bokstav c) som behandlingsgrunnlag v]il innskrenke rettighetene den registrerte har. Dette tilsier økt varsomhet ved å utforme supplerende rettslig grunnlag i regelverket som baserer seg på en «rettslig forpliktelse». 

Dette taler for at GDPR artikkel 6(1) bokstav e) vil være det mest passende primære behandlingsgrunnlaget for denne behandlingen. 

Vurderingen av hvilket behandlingsgrunnlag du skal bruke, er opp til deg som skoleeier og behandlingsansvarlig. Men for deg som synes dette er vanskelig, som kanskje ikke har tilgang til veldig mange mennesker som kan personvern i din kommune, ønsker vi i det nasjonale DPIA-prosjektet å rådgi. Vi ønsker å ta på oss hatten som din personvernrådgiver og gi fortelle deg hva vi hadde anbefalt deg om vi jobbet som personvernrådgiver i din kommune.

For denne muntlige rådgivningen, se denne LinkedIn Liven hvor vi forklarer deg hva vi synes du bør velge

Du kan laste ned presentasjonen fra rådgivningen vår her