Hvordan håndtere personvern når elever skal registreres med navn i et spill/applikasjon?

Dette er en kjent problematikk som krever spesifikk avklaring rundt GDPR og personvernregler for barneskoler før implementering. GDPR (General Data Protection Regulation, på norsk personvernforordningen) er EU/EØS sitt regelverk for hvordan personopplysninger skal samles inn, lagres og brukes. En personopplysning er enhver informasjon som kan knyttes til en identifiserbar person - et navn er nettopp det, så i det øyeblikket du registrerer elevers navn, er du underlagt GDPR.

Når det gjelder barn, er reglene ekstra strenge, fordi barn anses som spesielt beskyttelsesverdige. Det betyr blant annet krav om gyldig behandlingsgrunnlag, ofte samtykke fra foresatte, og at du bare kan samle inn det som er strengt nødvendig (prinsippet om dataminimering). Skolen, ikke du, er gjerne "behandlingsansvarlig", mens du som leverandør blir "databehandler" - og da må det inngås en databehandleravtale (DPA) som regulerer hvordan du håndterer dataene på skolens vegne.

Konkrete steg: (1) Kartlegg nøyaktig hvilke opplysninger du faktisk trenger, og kutt alt unødvendig - kan du for eksempel bruke kallenavn, klassekode eller anonyme ID-er i stedet for fullt navn? (2) Avklar behandlingsgrunnlag og samtykke, særlig fra foresatte. (3) Sørg for databehandleravtale med skolen og en tydelig personvernerklæring. (4) Tenk på datasikkerhet: kryptering, tilgangsstyring, og at data lagres innenfor lovlige rammer. (5) Vurder å lese veiledere fra Datatilsynet, som er den norske tilsynsmyndigheten for personvern, og ta gjerne en avklaring med dem eller med advokat før lansering.

En vanlig fallgruve er å bygge ferdig løsningen først og tenke personvern etterpå. Det riktige er "innebygd personvern" (privacy by design) - altså å bygge personvern inn fra start. Det sparer deg for kostbar ombygging og bygger tillit hos skoler og foreldre, som er avgjørende for å få lov til å bruke produktet i klasserommet.