Uppfærðar leiðbeiningar um fjarkennslu

17.11.2020

Helstu atriði sem hafa ber í huga þegar kemur að nýtingu tæknilausna í fjarkennslu

1. Skólastjórnendur eru hvattir til að veita kennurum, foreldrum og nemendum greinargóðar upplýsingar um þau tæki og tæknilausnir sem notast á við.

2. Æskilegt kann að vera að þeir sem fara með málefni skólasamfélagsins innan sveitarfélaganna hugi að því að samræma notkun tæknilausna á milli skóla, eins og við getur átt. Ef skólastjórnendur eru ekki vissir um að notkun tiltekinna tæknilausna sé heimil og í samræmi við persónuverndarlög, meðal annars að því er varðar öryggi upplýsinga, ættu þeir að hafa samband við persónuverndarfulltrúa sveitarfélagsins. Þá getur þurft að gera áhættumat áður en ný tækni er tekin í notkun og innleiða viðeigandi öryggisráðstafanir.

3. Mikilvægt er að kennarar kanni afstöðu skólastjórnenda til tiltekinna tæknilausna áður en þær eru teknar í notkun.

4. Vakin er sérstök athygli á því að ávallt þarf að gæta fyllstu varkárni við vinnslu viðkvæmra persónuupplýsinga, svo sem um heilsufar, ekki síst þegar nýttar eru stafrænar lausnir. Þannig mælist Persónuvernd til þess að slíkar upplýsingar séu unnar í öruggum upplýsingakerfum skólanna fremur en að þær séu t.d. sendar í óvörðum tölvupósti eða miðlað í gegnum fjarfundabúnað.

5. Upptökur og streymi í kennslustund

Hvað varðar upptökur og streymi af kennslustundum og hvernig skuli bera sig að við slíkar lausnir telur Persónuvernd að líta verði til þess lögbundna hlutverks skólanna að veita nemendum kennslu. Ekki verður séð að skólum sé fært að framfylgja því hlutverki sínu við núverandi aðstæður án þess að nýta tæknilausnir til fjarkennslu. Minnt er á nauðsyn þess að veita öllum hlutaðeigandi aðilum, svo sem kennurum, nemendum og forráðamönnum þeirra, viðeigandi fræðslu, m.a. um að kennslustund eða viðburði sé streymt yfir Netið eða efnið tekið upp og varðveitt, eftir atvikum. Engar formkröfur eru gerðar til fræðslu af þessu tagi en þó þarf hún að vera einföld og á auðskiljanlegu máli. Þá getur þurft að huga að því hvort streymi eða upptökur falli undir reglur um rafræna vöktun, en rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega.

6. Próftaka

Ef fyrirhugað er að próftaka nemenda fari fram með notkun fjarfundarbúnaðar, þ.e. að kveikt sé á myndavél í tölvum nemenda í prófum, bendir Persónuvernd á að lög um persónuvernd taka til slíkrar vinnslu persónuupplýsinga.

Til að mega vinna með persónuupplýsingar þarf að vera til staðar heimild samkvæmt persónuverndarlögum, t.d. samþykki, að vinnslan sé nauðsynleg vegna almannahagsmuna eða við beitingu opinbers valds eða að hún sé nauðsynleg vegna lögmætra hagsmuna. Nánari upplýsingar um vinnsluheimildir er að finna á vef Persónuverndar. Það er hlutverk ábyrgðaraðila (skólanna) að meta hverju sinni hvort, og þá hvaða heimild getur átt við. Þá þarf skólinn einnig að meta hvort um sé að ræða rafræna vöktun með nemendum. Ef um slíka vöktun er að ræða þarf að uppfylla tilteknar viðbótarkröfur sem settar eru fram í lögunum.

Til að kröfum til samþykkis sé fullnægt þarf það að vera frjálst og óháð, en af þeim sökum er ólíklegt að nemendur geti veitt samþykki fyrir vinnslu sem þessari. Nánari fræðslu um samþykki má finna á vef Persónuverndar.

Vinnsla persónuupplýsinga í þessu samhengi þarf því að öllum líkindum að byggja á annarri vinnsluheimild. Eins og vísað var til hér að framan getur hún verið sú að vinnslan sé nauðsynleg vegna almannahagsmuna eða við beitingu opinbers valds, svo sem við töku stjórnvaldsákvörðunar. Hér þarf þá að skoða hvort ákvörðun um hvort nemandi hafi staðist próf feli í sér ákvörðun stjórnvalds og hvaða aðgerðir eru þá nauðsynlegar til að geta tekið slíka ákvörðun.

Hvað varðar þær menntastofnanir, sem ekki teljast stjórnvöld, þyrfti að skoða aðrar heimildir á borð við lögmæta hagsmuni. Til að hægt að sé að nota lögmæta hagsmuni sem vinnsluheimild þarf að fara fram þriggja þátta hagsmunamat. Í fyrsta lagi þarf vinnsla að fara fram í þágu lögmætra hagsmuna ábyrgðaraðila eða þriðja aðila sem aðgang hefur að persónuupplýsingunum. Í öðru lagi er áskilið að vinnslan sé nauðsynleg í þágu þeirra hagsmuna. Í þriðja lagi mega hagsmunir og grundvallarréttindi hins skráða sem krefjast verndar persónuupplýsinga ekki vega þyngra en hagsmunir annarra af vinnslunni.

Þessu til viðbótar þurfa nemendur að fá fræðslu um þá vinnslu persónuupplýsinga sem fer fram um þá. Engar formkröfur eru gerðar til fræðslu af þessu tagi en þó þarf hún að vera einföld og á auðskiljanlegu máli. Slík fræðsla gæti t.d. verið í formi reglna sem gilda um próftökuna. Sjá nánari upplýsingar um hvaða fræðslu þarf að veita á vef Persónuverndar.

Loks þarf að gæta að meginreglum persónuverndarlaga, m.a. um tilgang og meðalhóf. Í því felst að tilgangur og markmið vinnslunnar þurfa að vera skýr, en í því gæti t.d. falist að ákveða þurfi hvað verði gert við þær upplýsingar sem geta orðið til um próftaka. Þá þarf ábyrgðaraðili vinnslunnar (skólarnir) að gæta þess að ganga ekki lengra en þörf er á hverju sinni.

7. Öryggi persónuupplýsinga.

Gæta þarf í hvívetna að öryggi upplýsinganna sem verða til við upptökur eða streymi, t.a.m. að þær séu ekki gerðar aðgengilegar óviðkomandi. Við töku ákvörðunar um hvort og hvaða fjarfundarbúnað eigi að nota ber ábyrgðaraðila að gæta þess að gera viðeigandi tæknilegar og skipulagslegar ráðstafanir með hliðsjón af eðli, umfangi, samhengi og tilgangi vinnslunnar og áhættu fyrir réttindi hins skráða og eftir atvikum framkvæma mat á áhrifum á persónuvernd. Þá þurfa ábyrgðaraðilar að gæta að því hvort sú stafræna lausn sem valin er sé hýst utan Evrópska efnahagssvæðisins. Margar skýjaþjónustur eru hýstar erlendis og oft í Bandaríkjunum. Því er nauðsynlegt að huga að því að til staðar sé fullnægjandi heimild til flutnings persónuupplýsinga úr landi (þ.e. út fyrir EES-svæðið) eða velja lausn sem ekki felur í sér slíkan flutning persónuupplýsinga. Nýlega felldi Evrópudómstóllinn úr gildi svokallað Privacy Shield-samkomulag Evrópusambandsins og Bandaríkjanna og er flutningur persónuupplýsinga til Bandaríkjanna miklum takmörkunum háður. Þannig þarf flutningur persónuupplýsinga í skýjalausnir í Bandaríkjunum, eða öðrum óöruggum þriðju ríkjum, nú einna helst að byggja á stöðluðum samningsskilmálum sem framkvæmdastjórn Evrópusambandsins hefur gefið út.

8. Vakin er athygli á að í tilmælum Persónuverndar til skólasamfélagsins um að nota ekki samfélagsmiðla þegar kemur að vinnslu persónuupplýsinga um börn er sérstaklega tekið fram að upplýsingar, til dæmis um viðburði á vegum skóla og tilkynningar þar um, teljast ekki til persónuupplýsinga. Er því ekkert því til fyrirstöðu að nýta slíka miðla til að dreifa þess háttar upplýsingum. Að sama skapi verður talið að skólasamfélaginu sé heimilt að nýta sér þann vettvang til samskipta, til dæmis til tilkynninga um námsfyrirkomulag, kennsluáætlanir, kennslu á notkun á tækjabúnaði og annað slíkt, að því gefnu að ekki sé um að ræða vinnslu persónuupplýsinga um nemendur. Hins vegar er æskilegt að miðlun á almennum persónuupplýsingum um börn frá skólunum til foreldra eða nemendanna sjálfra fari fram í gegnum öruggan hugbúnað á vegum skólans eða í tölvupósti, t.d. miðlun á upplýsingum um hópaskiptingu o.fl. Sé þörf á að miðla viðkvæmum persónuupplýsingum rafrænt þarf sérstaklega að gæta að öryggi þeirra, þ.e. að þær verði ekki aðgengilegar óviðkomandi. Í því sambandi er áréttað að almennt er skólum óheimilt að senda viðkvæmar persónuupplýsingar um börn í ódulkóðuðum tölvupósti. Þá er skólum almennt óheimilt að miðla viðkvæmum persónuupplýsingum um börn í gegnum samfélagsmiðla.

9. Öryggi persónuupplýsinga í fjarvinnu (fyrir starfsmenn skólanna)

Persónuvernd hefur birt leiðbeiningar vegna vinnslu persónuupplýsinga í fjarvinnu. Þar segir eftirfarandi um öryggi persónuupplýsinga við þær aðstæður:

Ákvörðun um fjarvinnu starfsmanna, þ.e. með veitingu aðgangs að kerfum utan innra nets vinnustaðar sem innihalda persónuupplýsingar, þarf allajafna að byggjast á áhættumati, sem tekur mið af eðli þeirra upplýsinga sem starfsmenn vinna með. Því viðkvæmari eða umfangsmeiri sem upplýsingarnar eru, því strangari kröfur þarf að gera til þeirra ráðstafana sem grípa þarf til í því skyni að tryggja öryggi innri neta í viðkomandi starfsemi.

Algengasta öryggisráðstöfunin nú er að setja upp svokallaðar VPN-tengingar á vinnutölvur starfsmanna. Með vinnutölvum starfsmanna er átt við tölvur sem vinnuveitandi útvegar og eru ekki notaðar í einkatilgangi. Í VPN-tengingu felst að samskipti starfsmanns við innra net eru dulkóðuð yfir Netið. Almennt hefur sú ráðstöfun þótt nægileg til að tryggja öryggi þeirra upplýsinga sem unnið er með á viðunandi hátt en Persónuvernd ítrekar að ákvörðun um það hvort slík ráðstöfun sé nægileg þarf að byggjast á áhættumati. Eftir sem áður þarf jafnframt að tryggja að lykilorð séu sterk, vera með virkar aðgangsstýringar og brýna fyrir starfsmanni almenna öryggisvitund, svo sem að vista skjöl í skjalavistunarkerfum eða á öðrum öruggum stöðum og að eyða skjölum sem hlaðið hefur verið niður á drif vinnutölvunnar þegar búið er að vinna í þeim. Í því sambandi er bent á að nauðsynlegt getur verið að setja verklagsreglur um fjarvinnu starfsmanna.

Almennt má ætla að ríkar ástæður, svo sem með tilliti til almannaöryggis og almannahagsmuna, þurfi að koma til svo starfsmenn geti farið með viðkvæm pappírsgögn út af starfsstöð vinnuveitanda. Í þeim tilvikum þarf einnig að framkvæma áhættumat og grípa til viðeigandi öryggisráðstafana, svo sem með setningu verklagsreglna um afhendingu/skil gagna til starfsmanns, hvernig öryggi gagna er tryggt á heimili o.s.frv.

Að öðru leyti er gott að hafa eftirfarandi í huga við fjarvinnu starfsmanna:

Símar og spjaldtölvur og önnur minni tæki:

· Gæta varúðar um að smærri tæki, svo sem USB-lyklar, símar, spjaldtölvur og tölvur, týnist ekki eða lendi á röngum stað

· Allur hugbúnaður sé búinn nýjustu uppfærslum

· Tæki séu notuð á öruggu svæði, t.d. þar sem ekki eru líkur á að einhver annar sjái hvað þú ert að gera í tölvunni, sérstaklega ef unnið er með viðkvæmar upplýsingar

· Notaðu virkar ráðstafanir til að stýra aðgangi, svo sem tveggja þátta auðkenningu eða sterkt lykilorð. Í sumum tilvikum þarf að nota dulkóðun til að stýra aðgangi og draga úr áhættu sé búnaði stolið eða hann týnist.

· Ef búnaði er stolið eða hann týnist þarf að gera ráðstafanir umsvifalaust til að eyða gögnum af honum.

Tölvupóstur og innri samskipti:

· Fylgdu verklagsreglum vinnustaðarins við notkun á tölvupósti.

· Notaðu vinnutölvupóstinn en ekki einkatölvupóst fyrir samskipti vegna vinnu, ekki síst þegar senda þarf persónuupplýsingar. Ef þú þarft nauðsynlega að nota einkapóstinn til að senda mikilvægar upplýsingar þá getur þurft að dulkóða skjöl með sterku lykilorði, ef þau innihalda persónuupplýsingar.

· Gakktu úr skugga um að þú sért að senda á réttan viðtakanda og að rétt viðhengi fylgi. Jafnvel getur verið nauðsynlegt að opna viðhengið úr póstinum til að ganga úr skugga um að um rétt skjal sé að ræða.

· Forðastu að eiga samskipti á samfélagsmiðlum við samstarfsmenn um viðkvæm mál. Hér þarf að fylgja verklagsreglum vinnustaðarins í hvívetna.

Skýjaþjónusta og netkerfi:

· Þegar starfsmaður vinnur fjarvinnu skal leitast við að hann vinni eingöngu á innra neti viðkomandi starfsemi og að öllum skipulagslegum ráðstöfunum sé fylgt hvað varðar þær þjónustur sem vinnustaðurinn býður upp á.