Tietoturva ja tietosuoja hollantilaisissa kouluissa
Tiivistelmä
Alankomaiden opetus-, kulttuuri- ja tiedeministeriön rahoittama Kennisnet opastaa hollantilaisia kouluja tieto- ja viestintäteknologian turvallisessa käytössä. Opetuksessa käytettävät digitaaliset välineet herättävät uusia kysymyksiä oppimista koskevien tietojen suojasta, turvallisuudesta, vaihdosta ja omistajuudesta. Opettajien ja oppilaiden on oltava tietoisia näistä asioista voidakseen hyödyntää tehokkaasti oppimista koskevia todisteita. Lisäksi päättäjien on luotava sopivat olosuhteet. Tämä tapaustutkimus kuvaa Alankomaiden tietosuojatilannetta ja esittää työsuunnitelman oikeanlaisten sopimusten laatimiseen myyjien ja toimittajien kanssa.
Image: Fractal Pictures / Shutterstock.com
Voit ladata tämän artikkelin PDF-muodossa täältä.
Konteksti
Ylemmän perusasteen ja toisen asteen kouluilla on Alankoimaissa tietty autonomia opetusta koskevissa asioissa. Kahden viimeisen vuoden opiskelijoilla on enemmän tai vähemmän ”kansallinen” opetussuunnitelma, joka sisältää 60 % tuntisuunnitelmista (ja on testattu keskitetysti). Opetussuunnitelma määrittää yksityiskohtaisesti, mitä oppilaiden tulee tietää ja pystyä tekemään. Riippuu kuitenkin opettajasta, miten hän tulkitsee ja toteuttaa sen opetuksessaan, oppimisstrategiat mukaan lukien. Alankomaissa järjestetään keskitetty loppukoe vain toisen asteen koulun kahta viimeistä vuotta varten.
Toisaalta toisen asteen alempien luokkien opetussuunnitelma tarjoaa kouluille enemmän vapautta omien valintojen tekemiseen. Valvonnasta vastaa hallituksen perustama, mutta itsenäinen Inspection of Education -tarkastusyksikkö.
Formatiivisen arvioinnin käytännöt riippuvat koulusta ja toteutuvat eri muodoissa. Opetuksen mukauttamiseen ja palautteen valmisteluun käytetään useita digitaalisia välineitä kyselytyökaluista arviointimatriiseja ja seurantaehdotuksia sisältäviin laajoihin järjestelmiin (joissakin on mahdollisuus luoda automaattista palautetta).
Monet koulut käyttävät digitaalisia välineitä formatiiviseen arviointiin, koska ne voivat tallentaa hyvin tarkkoja tietoja. Opettajat näkevät yhdellä silmäyksellä, mitä on opittu, mitkä pistemäärät on saatu ja mitä oppilaiden on vielä tehtävä. Lisäksi opettajilla on ”arkisto”, johon he voivat aina palata tarkistaakseen, miten aiemmat tehtävät on tehty.
Arviointi ja digitointi kytkeytyvät entistä olennaisemmin yhteen. Formatiivisen arvioinnin saaman huomion kasvaessa myös päättäjien huomio kasvaa kansallisella tasolla. Siksi on varmistettava, että tietyt tietosuojaa ja tietoturvaa koskevat edellytykset täyttyvät, kuten tässä asiakirjassa on kuvattu Alankomaiden tilanteen perusteella.
Formatiivisen arvioinnin pilottitutkimus
Leidsche Rijn -koulu (NL) on käynnistänyt formatiivisen arvioinnin pilottitutkimuksen. Oppilaat Fedor, Milan, Souraya ja Emma sanovat: ”Nyt voin valita tehtävät itse ja huomaan, että kotiläksyt voivat olla myös hyödyllisiä."
Pilottitutkimus alkoi kolmannella luokalla osana hollannin ns. HAVO-tason (toisen asteen oppilaitos) opetussuunnitelmaa. Kaikki oppilaat saavat palautetta luokassa tekemistään tehtävistä. He voivat myös itse valita, käsittelevätkö he aineistoa visuaalisen materiaalin, oppikirjan tai jossain muussa muodossa. Lisäksi kaikki oppilaat keskustelevat ohjaajan kanssa 15 minuuttia viikossa. Sen aikana käsitellään oppilaan edistymistä mutta jutellaan myös sitä, miltä oppilaasta tuntuu.
Historianopettaja Nelleke Veels kertoo, että jokaisella oppilaalla on mahdollisuus tehdä harjoittelukoe ennen arvosanaan johtavaa koetta jakson lopussa. ”Koska meidän on täytettävä vaatimukset, jotka koskevat siirtymistä kolmannelta neljännelle luokalle, jokaisessa aiheessa pidetään neljä arvosanaan johtavaa koetta vuodessa. Harjoittelukokeen ja tehtävien ansiosta oppilaat tietävät, ovatko he oppineet tarvittavat asiat. ”
Opetus nojautuu entistä enemmän tieto- ja viestintäteknologiaan (TVT). Erilaisiin järjestelmiin tallennettavien tietojen, kuten henkilötietojen, klikkauskäyttäytymisen ja (muodollisten) koetulosten, määrä kasvaa päivittäin. Siksi hyvä tiedonhallinta on tärkeää, jotta oppimista koskevat kriittiset tiedot eivät häviä.
Digitaaliset välineet on helppo ottaa käyttöön, mutta kouluilla pitäisi olla selkeät sopimukset toimittajien ja myyjien kanssa. Yhteydenotto ”ilmaisten” tuotteiden kansainvälisiin toimittajiin ja ehtojen määrittäminen on suuri haaste. Joskus se on yksittäiselle koululle jopa mahdotonta tai erittäin kallista. Tietosuoja on vähemmän ongelmallista, jos oppilaat voivat käyttää työkaluja vierailijatilin kautta tai selaimen incognito-tilassa (esim. Socrative, Kahoot!). Heti kun oppilaiden on kirjauduttava sisään tai annettava henkilötietoja (kuten nimi, syntymäaika tai asuinpaikka), koulujen on oltava tietoisia seurauksista. Eri palveluihin, kuten Google-, Microsoft- tai Apple-palveluihin kirjautumisen monimutkaisuudesta on esimerkki seuraavassa artikkelissa englanniksi.
Siksi digitaalisten välineiden käyttö formatiivisessa arvioinnissa edellyttää hyviä sopimuksia, selkeää tietoisuutta (ja tietoa) mahdollisista riskeistä sekä ammattikulttuuria ja tietoisuutta opettajien, oppilaiden, koulujen johtajien ja päättäjien keskuudessa. Koko ekosysteemi on vastuussa oppilaiden tietoturvasta ja tietosuojasta.
Hollantilaiset organisaatiot pitävät Googlea vastuussa tietosuojariskeistä
Opetuksessa (henkilö)tietoja tallennetaan ja vaihdetaan digitaalisesti entistä useammin. On tärkeää, että se tapahtuu turvallisesti ja vastuullisesti. Groningenin yliopiston (RUG) ja Hogeschool van Amsterdamin (HvA) tilaama tutkimus osoittaa, että Google G Suiten käyttöön liittyy tietosuojariskejä. Riskit koskevat Googlen keräämää metadataa. Kaksi tutkimusta tukevaa organisaatiota (SURF ja SIVON) neuvottelevat Googlen kanssa varmistaakseen, että Google poistaa nämä tietosuojariskit.
Tietosuojariskit tulivat esiin Google G Suite -sovelluksen tietosuojaa koskevassa vaikutustenarvioinnissa (DPIA). DPIA auttaa ymmärtämään, miten tietoja kerätään, mitä niillä tehdään ja mitkä ovat siihen liittyvät riskit. Oikeus- ja turvallisuusministeriö on suorittanut DPIA:n Enterprise-versiolle, ja Groningenin yliopisto ja HvA ovat tehneet Google G Suite Education -ympäristöä koskevan tutkimuksen. Myös SIVON, Kennisnet sekä PO- ja VO-neuvostot (perusasteen ja toisen asteen oppilaitosten neuvostot) osallistuvat tähän.
Tietoturvan tarkoituksena on ylläpitää yhtenäisiä toimenpiteitä, joilla varmistetaan luotettava tietojen tarjoaminen. Tietoja ei saa muuttaa (petostarkoituksessa tai hyvässä tarkoituksessa) tai poistaa, etenkään kun kyseessä ovat tärkeät tiedot, kuten koetulokset (läpäisty/ei läpäisty) tai oppimista koskevat lausunnot (hyvä/huono).
Tietoturva keskittyy seuraaviin asioihin:
- Käytettävyys: missä määrin tiedot ja/tai toiminnot ovat käytettävissä oikeaan aikaan. Jos koulu haluaa oppilaiden käyttävän tiettyä työkalua esimerkiksi tietovisaa varten, työkalun tulee olla käytettävissä juuri silloin. Oppilaiden on pystyttävä kirjautumaan, käyttämään työkalua ja vastaamaan kysymyksiin. Palvelimen ja työkalun on pystyttävä hallitsemaan esimerkiksi useiden oppilaiden kirjautumisen samaan aikaan.
- Eheys: missä määrin tiedot ja/tai toiminnot ovat oikeat ja muuttumattomat. Jos esimerkiksi koetuloksia mukautetaan, voi tietojen muutoksesta myöhemmin olla vakavia seuraamuksia.
- Luottamuksellisuus: missä määrin tietojen ja toimintojen käyttö ja käsittely on sallittu vain valtuutetuille henkilöille. Esimerkiksi vanhemmilla ei yleensä saa olla pääsyä muiden lasten tietoihin. Koulujen on lisäksi harkittava, onko oppilailla oikeus katsoa toistensa koetuloksia.
Riittämätön tietoturva voi altistaa koulut ei-toivotuille riskeille ja johtaa taloudellisiin vahinkoihin sekä maineen vahingoittumiseen.
Tietoturvarikkomus Stanislascollegessa
Pijnackerissa sijaitsevan Stanislascollegen tapaus on esimerkki siitä, mitä koulujen tulee välttää. Koulu sai useita viestejä oppilailta, vanhemmilta ja opettajilta siitä, että sopimattomia kuvia tai tekstejä oli näkyvissä Zoom-verkkoneuvottelusovelluksessa pidettyjen oppituntien aikana.
Koulu päätti lopettaa välittömästi Zoomin käytön, kun oppilaille oli näytetty pornokuvia verkko-oppitunnin aikana. Stanislascollege kattaa kuusi eri koulua samalla alueella. "Useimmissa tapauksissa kuvia tai tekstejä ovat ilmeisesti näyttäneet henkilöt, joilla ei ole mitään tekemistä koulun kanssa ja jotka olivat tunkeutuneet oppitunnille luvattomasti", koulu kirjoitti vanhemmille osoitetussa kirjeessä.
Tietosuoja koskee henkilötietoja eli tietoja, joiden perusteella henkilö voidaan tunnistaa suoraan tai epäsuorasti. Henkilötietojen jakamisesta on säädettävä voimassa olevien lakien ja säädösten mukaan. Siksi tämä koskee suoraan päättäjiä ja rehtoreita.
Esimerkiksi silmänliikkeiden seuranta on teknologia, joka tuo uusia mahdollisuuksia opetukseen. Sen avulla lukemisongelmat ja lukemisstrategiat voidaan kartoittaa ja niitä voidaan parantaa kohdennetulla palautteella ja mukauttamisella. Se aiheuttaa kuitenkin uusia tietosuojaongelmia samalla tavalla kuin biometristen tai terveystietojen käyttö.
Silmänliikkeiden seuranta ja formatiivinen arviointi
Silmänliikkeiden seurantajärjestelmiä käytetään esimerkiksi (kaupallisten) verkkosivustojen parantamiseen. Siten suunnittelijat näkevät tarkasti, mitä sivuston osia käyttäjät katsovat ja kuinka kauan. Jossakin vaiheessa tutkijat päättivät testata sitä opetustarkoituksiin. Mutta mitä nämä tarkoitukset itse asiassa ovat?
Silmänliikkeiden seurantajärjestelmät voivat rekisteröidä, mihin oppilaat katsovat näytöllä tehtävän aikana. Sen perusteella opettaja esimerkiksi näkee, millaisten sanojen lukeminen on oppilaille vaikeaa. Katso myös tämä video (englanniksi), jossa selitetään, miten silmänliikkeiden seuranta voi auttaa tunnistamaan lukemisvaikeuksia (esim. sanojen ohittamisen) ja tukemaan oppilaita.
Opettajat voivat myös seurata, ovatko sivun jotkut elementit liian häiritseviä eli siirtyykö katse pois tietyistä teksteistä. Näiden tietojen perusteella suunnittelijat voivat mukauttaa ja parantaa digitaalista opetusmateriaalia.
Uudet teknologiat, kuten silmänliikkeiden seuranta, HoloLenses-silmikot tai virtuaalinen todellisuus nostattavat uusia kysymyksiä. Päättäjien on oltava tietoisia siitä, miten kukin digitaalinen väline tallentaa, käsittelee ja jakaa yksinkertaisempia tietoja kuten GPS:n, klikkauskäyttäytymisen tai jopa oppilaiden asiakirjojen versiohistorian (esim. mihin aikaan oppilas teki tehtävän valmiiksi). Sana ”käsittely” kattaa lain mukaan tietojen keräämisen, tallentamisen, järjestämisen, säilyttämisen, päivittämisen, muuttamisen, hakemisen, konsultoimisen, käyttämisen, luovuttamisen siirtämällä, jakamisen tai toimittamisen saataville millään muulla tavalla, koostamisen, linkittämisen, suojaamisen, poistamisen ja tuhoamisen.
Päättäjien ja TVT-vastaavien, jotka ovat vastuussa tietosuojasta kouluissa, on harkittava huolellisesti, miksi työkalua käytetään, kuka sitä käyttää, mikä on sen tarkoitus ja mitä tietoja tallennetaan. Koulujen on organisoitava digitaalisten välineiden käyttö oikein ja määritettävä tietyt toimittajat, joiden kanssa ne tekevät yhteistyötä.
Koulujen on myös tiedotettava asiasta hyvin vanhemmille, koulutettava opettajat digitaalisten välineiden käyttöön ja keskusteltava oppilaiden kanssa siitä, miksi jotkut välineet eivät ole sopivia. Kyse on loppujen lopuksi opiskelijasta. Jos hän tuntee olonsa epämukavaksi, asiasta on voitava neuvotella toimittajan kanssa. On erittäin suositeltavaa aloittaa tietoturvan ja tietosuojan organisointi riskianalyysillä.
Tietosuoja: Riskianalyysi Leidenin kouluissa
Uutta tietosuoja-asetusta (GDPR) alettiin soveltaa 25. toukokuuta 2018. Hollantilaisen Leidenin kaupungin koululautakunnan piiriin kuuluvat 16 alakoulua ja kaksi ylä- ja toisen asteen koulua (josta käytettiin lyhennettä SCOL) ryhtyivät työskentelemään asian parissa. SCOL:n tietosuojavastaava Melle Klamer ja SCOL:n johtoryhmän puheenjohtaja Frits Hekstroe kertovat, miksi he aloittivat riskianalyysillä:
”Teetätimme ensin riskianalyysin ja käytimme sitä tietoturvaa ja tietosuojaa koskevan työn lähtökohtana”, sanoo Melle Kramer, SCOL:n tietosuojavastaava.
”Olimme perustaneet aluksi laajan työryhmän tätä aluetta varten. Huomasimme kuitenkin nopeasti, että työskentely oli tehokkaampaa pienemmässä, päättävästi toimivassa ryhmässä. Aloitin sitten yhteistyön johtoryhmän sihteerin ja viestintäasioista vastaavan kanssa. Tämä joustava ryhmä pääsi nopeasti eteenpäin riskianalyysissä ilmenneiden ”punaisten” kohtien kanssa. Ne koskivat kolmea aluetta: toimintapolitiikka, teknologia ja käyttäytyminen.”
Koulujen digitalisointia tukeva Schoolinfo-organisaatio on rakentanut Alankomaissa sivuston, joka sisältää arvioita hyvistä työkaluista kouluja ja opettajia varten, jotka haluavat aloittaa digitaalisten työkalujen käytön.
Jos koulu käyttää digitaalisia sovelluksia, jotka sisältävät oppilaiden ja henkilökunnan henkilötietoja, koulun on tehtävä tarvittavat järjestelyt toimittajien kanssa. Koulun johtokunnan olisi varmistettava, että tiedot tallennetaan turvallisesti eikä niitä käytetä väärin tai luvatta. Siksi Kennisnet on laatinut kaksi asiakirjaa, joiden avulla koulut voivat tehdä hyviä sopimuksia toimittajien kanssa. Molemmat asiakirjat ovat saatavilla päättäjien avuksi:
Uusi tietosuoja-asetus (GDPR) velvoittaa koulut tallentamaan toimittajien kanssa tehdyt tietoturva- ja tietosuojasopimukset niin sanottuna tietojenkäsittelysopimuksena. Se sisältää toimittajien kanssa – joita kutsutaan myös henkilötietojen käsittelijöiksi – tehdyt sopimukset henkilötietojen käsittelystä samalla tavalla. Näiden sopimusten laillisuus on testattu kattavasti, mutta voivat edellyttää mukauttamista muissa maissa. Kennisnet on laatinut myös listan toimittajista, jotka ovat allekirjoittaneet tietosuojasopimuksen.
Vaihe 1: Onko toimittaja jo allekirjoittanut tietosuojasopimuksen?
Voit kysyä tätä toimittajalta ja tarkistaa listaan kuuluvat toimittajat. Jos toimittaja ei ole (vielä) allekirjoittanut tietosuojasopimusta, pyydä heitä tekemään se.
Vaihe 2: Pyydä toimittajalta tietojenkäsittelysopimusta
Tietosuoja-asetuksen mukaan koulun johtokunnan täytyy varmistaa, että tietojenkäsittelysopimus on tehty. Pyydä toimittajalta täytettyä kopiota. On sovittu, että koulujen täytyy saada tietojenkäsittelysopimus toimittajalta neljän viiakon sisällä sen pyytämisestä.
Vaihe 3: Tarkista tietojenkäsittelysopimus
Kun sopimus vastaanotetaan, käsittelijöiden on tarkistettava, että sopimus on täytetty oikein eikä toimittaja ole muuttanut alkuperäistä tekstiä.
Vaihe 4: Tietojenkäsittelysopimuksen hyväksyminen ja palauttaminen
Onko tietojenkäsittelysopimus oikeanlainen? Koulun johtokunta voi silloin allekirjoittaa sen. Toimivaltainen viranomainen on viime kädessä vastuussa oppilaiden ja työntekijöiden tietosuojasta.
Tutkimus – Teknologiasuhteemme arviointi ja kyseenalaistaminen
Opetuksen tulevaisuudentutkija Keri Facer (2011) ehdottaa, että sekä opettajia että oppilaita pitäisi kannustaa ymmärtämään ja kyseenalaistamaan oma teknologiasuhteensa ja se, miten tietoa kerätään ja suodatetaan heidän puolestaan. Facer sanoo: ”Kun tätä sovelletaan tiedon suodatukseen, kuten hakukoneissa, emme voi ajatella vuorovaikutusta näiden järjestelmien kanssa niiden käyttöprosessina. Niillä on aktiivinen rooli vuorovaikutusten muovaamisessa ja hallinnassa.” (S. 66).
Opettajat voivat olla joskus liian innostuneita ja nopeita ottamaan uuden digitaalisen työkalun käyttöön, eivätkä he aina ajattele henkilötietoja, joita työkalu käsittelee. Siksi Kennisnet on kehittänyt appchecker-itsearviointityökalun (saatavana englanniksi). Se muistuttaa verkkolomaketta tai tarkistuslistaa ja sisältää tietosuojaan liittyviä kysymyksiä, jotka on pidettävä mielessä digitaalista työkalua valittaessa (esim. ”Pyytääkö työkalu täyttämään henkilötietoja?” tai ”Pyytääkö se pääsyä johonkin älypuhelimesi tai tietokoneesi osaan?”). Se antaa myös selitykset kysymyksille. Työkalun perimmäisenä tarkoituksena on lisätä opettajien tietoisuutta ja tukea kouluja tietosuojan hallinnassa.
Tutkimus – Eettisen viitekehyksen kehittäminen päätöksentekijöiden oppaaksi opetusteknologioiden käytössä
Olcott et al. (2014) tekivät yhteistyötä Katalonian koulujen kanssa ja analysoivat esiin tulleita, digitaalista teknologiaa koskevia eettisiä kysymyksiä ja valintoja, joilla oli merkitystä myös muissa paikallisissa ja kansallisissa yhteyksissä. Sitten he kehittivät eettisen kontekstin jatkumoon (Ethical Context Continuum, ECC) perustuvan viitekehityksen, joka ohjaa päätöksentekoa erilaisten digitaalisten teknologioiden mahdollisista haitoista ja/tai eduista yksilöille ja ryhmille.
Viitekehys esittää neljä periaatetta, jotka hallitusten, yritysten, opettajien, yksityishenkilöiden ja muiden on otettava huomioon:
- Teknologioiden vastuullista, turvallista ja eettistä käyttöä koskevan koulutuksen täytyy ulottua yhteiskunnan kaikkiin jäseniin.
- Opetus perustuu arvoihin ja opetus tapahtuu arvojen mukaisesti.
- Teknologioita ei tule pelkästään käyttää, vaan niitä tulee käyttää tarkoituksenmukaisesti (järkevästi ja kunnioittavasti).
- Yksilöllinen ja kollektiivinen sitoutuminen vaikuttaa ratkaisevasti teknologioiden vastuulliseen ja esimerkilliseen käyttöön (esim. yksilöllinen tai kollektiivinen haitta ja/tai hyöty).
Kirjoittajien mukaan kompleksisuus ja mahdolliset eettiset ongelmat, jotka liittyvät digitaalisten teknologioiden käyttöön opetuksessa, tulevat lisääntymään.
Johtopäätös
Hollantilaiset koulut ovat tulleet entistä tietoisemmiksi tietoturvasta ja tietosuojasta. Siksi koulut pyrkivät käsittelemään oppilaiden tietoja ja koetuloksia huolellisesti.
Tietojenkäsittelysopimusten laatiminen on yleistä. Siitä huolimatta opettajat saattavat yhä etsiä itse työkaluja internetistä ja käyttää niitä opetuksessa ilman varotoimia.
Tässä esitettyjä, Alankomaissa käytettäviä asiakirjoja ja hyviä käytäntöjä voi mukauttaa muiden maiden olosuhteisiin. Lisäksi koulun tasolla on tärkeää, että koulun johtokunnan, tietosuojavastaavan (tai TVT-vastaavan) ja opettajien välillä vallitsee hyvä yhteistyö.
Myös oppilaiden ja vanhempien tulisi osallistua tietoisuuden levittämiseen, koska he ovat keskeinen osa ekosysteemiä. Tavoitteena on saada oppilaat esittämään kriittisiä kysymyksiä digitaalisen arviointityökalujen käytöstä luokassa. Vaikka tavoitetta ei ole vielä saavutettu, Alankomaissa on otettu jo ensimmäiset askeleet.