Minister løfter pegefinger over for skoler i sag om Lectio

Medmindre et gymnasium har en god grund til at have data liggende om tidligere elever, skal det fjernes.

Børne- og undervisningsminister Pernille Rosenkrantz-Theil (S) kommer nu med en påmindelse til gymnasier om, hvad reglerne er i forhold til at opbevare og slette persondata.

Det sker, efter gymnasieskolen.dk har beskrevet, at lærere via Lectio på nogle skoler har adgang til opgaver, fraværsstatistik og karakterer for elever, som blev studenter for mere end 10 år siden.

“Som dataansvarlig har gymnasierne en vigtig opgave i at værne om børn og unges data. Mange er allerede opmærksomme på dette, men jeg har for en god ordens skyld bedt STIL (Styrelsen for It og Læring) om at orientere institutionerne om de relevante regler for opbevaring og sletning af data,” skriver ministeren til gymnasieskolen.dk.

Oplysninger skal slettes
Svaret kommer, efter undervisningsordfører for Venstre Ellen Trane Nørby og gymnasieordfører for SF Astrid Carøe har stillet spørgsmål om sagen til børne- og undervisningsministeren og til justitsministeren.

Ministrene forholder sig ikke direkte til, at lærerne på en skole har adgang til data fra tidligere elever. Men i et svar fra justitsminister Nick Hækkerup står der blandt andet: 

“Et gymnasium er således forpligtet til løbende at vurdere, om det fortsat er nødvendigt at opbevare oplysninger om eksempelvis tidligere elever … I det omfang oplysningerne ikke kan anses som nødvendige, skal oplysningerne slettes.”

Da gymnasieskolen.dk talte med lærere og ledere om den praksis, at en række data om tidligere elever kan ligge i mange år på Lectio, var det nyt for mange af kilderne. Eller sagt på en anden måde: Skolerne har tilsyneladende ingen grund til at have disse data liggende, da de slet ikke bruger dem.

Venstre: Minister skal tage ansvar
Ellen Trane Nørby mener, at børne- og undervisningsministeren skal tage et større ansvar i forhold til skolernes opgave med at overholde databeskyttelsesregler. Det er for lidt blot at sende en påmindelse ud til skolerne om at overholde reglerne, mener hun.

“Institutionerne har ikke en jurist siddende til at forholde sig til databeskyttelsesregler, og det skal de heller ikke have. Jeg mener, ministeren skal stille sig i spidsen for, at der bliver udarbejdet standardvurderinger og vejledninger i forhold til GDPR-problemstillinger på skolerne. Disse opgaver bliver kun større i de kommende år,” siger Ellen Trane Nørby.

Hun nævner som eksempel, at der i dag på Lectio ligger opgaver fra tidligere elever med elevens navn på.

“Der kan godt være en faglig pointe i at opbevare gamle opgaver, men så skal de selvfølgelig anonymiseres. Jeg savner, at ministeren forholder sig til de problemstillinger,” siger Ellen Trane Nørby.

Stadig fri adgang til data
Siden gymnasieskolen.dk skrev om adgangen til tidligere elevers data på Lectio, har Macom, firmaet bag Lectio, lavet en systemopdatering, som tilsyneladende lukker adgangen for lærere til at se data for tidligere elever. Men det viser sig, at der stadig er fri adgang til data, så længe skolerne ikke sletter dem.

Gymnasieskolen.dk har bedt Julian Bybeck Tosev, som er gymnasielærer på Herlev Gymnasium og optaget af debatten om GDPR, om at undersøge, om det stadig er muligt at finde oplysninger om tidligere elever.

Systemet er stadig åbent, lyder hans konklusion efter nogle få minutters undersøgelse og nogle enkelte klik. 

 “Det er muligt på flere måder at kunne se tidligere elevers data. Du kan for eksempel skifte årstal i menuen, klikke på en tidligere elev og højreklikke. Derefter kommer samtlige opgaver, karakterer og fravær frem,” forklarer Julian Bybeck Tosev.  

“Som lærer skal jeg selvfølgelig ikke have adgang til den slags data. Jeg mener, skolerne burde holde op med at bruge Lectio, til der er rettet op på datasikkerheden. For elevernes skyld skal der rettes op på det hurtigst muligt.” siger han.

Fandt dommerens data på Lectio
Han fortæller, at lærere på den lukkede facebook-gruppe Gymnasielærernes chatroom har diskuteret adgang til tidligere elevers data på Lectio. 

Her fortæller en lærer, at han i forbindelse med en sag i fogedretten kunne finde data om dommeren i sagen på Lectio. Gymnasieskolen.dk har læst opslaget fra læreren på facebook.

“Data fra tidligere elever kan blive misbrugt, og det er åbenlyst, at det ikke skal ligge fremme,” siger Julian Bybeck Tosev.

Rektor: Adgangen skal lukkes
Henrik Nevers, som er rektor på Roskilde Gymnasium, har været i kontakt med Macom efter den seneste artikel på gymnasieskolen.dk om, at lærere har adgang til data om tidligere elever. Han konstaterer, at lærere stadig har adgang til for eksempel karakterer fra tidligere elever, selv om Macom har lavet en systemopdatering, som lukker én vej til data for lærerne.

“Vi skal komme i mål med at lukke adgangen til data om tidligere elever, og det har vi også meddelt Macom. Vi skal være på sikker grund i forhold til GDPR,” siger Henrik Nevers.

Han fortæller, at Roskilde Gymnasium gør meget for at slette data om tidligere elever, men han ville i stedet foretrække et system, hvor alt data om tidligere elever blev slettet fra Lectio efter eksempelvis to år.

Skoler har dog pligt til at gemme eksamenskarakterer i 30 år.

“Jeg vil dog foretrække, at karaktererne i Lectio kun kan tilgås af få personer i skolens administration” siger Henrik Nevers.

Minister: skolernes ansvar
Pernille Rosenkrantz-Theil slår i sit skriftlige svar til Ellen Trane Nørby fast, at det er uddannelsesinstitutionerne, som er dataansvarlige. Det betyder også, at det er skolernes lovpligtige ansvar, at data i for eksempel Lectio opbevares sikkert. Det betyder med andre ord, at ministeren ikke forholder sig til sikkerheden i Lectio eller andre studieadministrative systemer. 

Gymnasieskolen.dk har kontaktet Macom med spørgsmål. Men firmaet er ikke vendt tilbage på vores henvendelser.