Slår alarm om brukervilkår i Lyderia

For tre uker siden ble det nettbaserte musikkspillet Lyderia lansert. Spillet er utviklet av Rikskonsertene, og skal lære barn og unge å lage sin egen musikk i forbindelse med musikkundervisningen i grunnskolen.

Periskop har sett nærmere på personvernet og utveksling av elevenes kontaktdata i den over 1600 ord lange teksten med brukervilkår som elevene må skrive under på før de tar den i bruk. Her står det blant annet at barn under 13 år må ha tillatelse fra foreldre eller foresatte for å bruke Lyderia, mens barn over 13 år ikke trenger dette.

Når barna melder seg inn kreves det også at de oppgir både fullt navn, alder og e-postadresse. Det er likevel ikke laget noen verifiseringsløsning som sikrer at navnet som oppgis er korrekt.

Eirin Oda Lauvset, seniorrådgiver i Datatilsynet, reagerer på brukervilkårene.

– Det finnes ingen lov som sier at barn fra 13 år har lov til å skrive under på brukervilkår, mens yngre barn ikke har det. Dette har å gjøre med samtykkekompetanse og at barna faktisk forstår hva de skriver under på. Det er skjønnsmessig og vil variere fra tilfelle til tilfelle, sier Lauvset.

Hun legger også til at Rikskonsertene var i kontakt med Datatilsynet i forbindelse med utformingen av brukervilkårene i Lyderia.

– Vi veiledet dem i hva de bør tenke over og hvilke lover og regler som gjelder, men det er ikke slik at Datatilsynet godkjenner brukervilkår. De står selv ansvarlig for det de skriver, sier Lauvset.

Bør bedre brukernes kontroll

Lyderia lagrer ifølge brukervilkårene alt av mediefiler hos Amazon og data fra cookiene som legges igjen behandles av blant andre Google.

Lauvset gir Lyderia ros for å oppgi hva slags informasjon de henter inn og hva det kan brukes til. Hun er likevel bekymret for at ikke alle brukerne ikke nødvendigvis vil forstå rekkevidden av hva de skriver under på.

– De bruker både Amazon og Google, og begge disse selskapene er kjent for å utlevere brukeropplysningene videre. Det kan være vanskelig helt å forstå rekkevidden av dette, og hvor mye som blir brukt og hva som blir levert videre. Slike ting vil det være lettere for voksne som har satt seg inn i disse tingene å ta stilling til, sier Lauvset.

– Samtidig kan man stille spørsmål om skolen virkelig skal legge til rette for deling av denne typen opplysninger. Jeg ser behovet i skolen for å bruke nettbaserte verktøy, men man bør som bestiller av disse verktøyene være kritisk før man tar dem i bruk. I bunn og grunn handler det om å ha kontroll på opplysningene man oppgir, og at man kan ta dem ut og skifte leverandør om ønskelig. Akkurat det kan man stille spørsmålstegn om er mulig her.

– Lyderia er ment som en læringsressurs i skolen i forbindelse med musikkundervisningen. Hva om en elev ikke vil skrive under på disse vilkårene?

– Det blir jo en situasjon hvor alternativene til ikke å skrive under er ganske uaktuelle, enten fordi eleven ikke vil bli holdt utenfor eller ved at det blir en kjedelig time. Da kan man jo også stille spørsmål om det er reelt frivillig å skrive under på brukervilkårene, sier Lauvset.

Lauvset mener brukerne Lyderia burde ha lagt opp til at brukerne selv får mer kontroll over dataene de legger igjen i spillet.

– Det viktigste de kunne gjort annerledes er å sørge for bedre brukernes kontroll over opplysningene, og ikke legge opp til at brukerne gir dem en blankofullmakt til å behandle dataene slik de vil. De burde også ha begrunnet vilkårene bedre. De kan se ut som om de har en «big data-tankegang» hvor de vil ha masse informasjon som de kan bruke senere til noe de kanskje ikke helt vet hva er ennå.

Stiller spørsmål om frivillighet

Tommy Tranvik, personvernforsker ved Institutt for rettsinformatikk ved Universitetet i Oslo, sier det er skoleeier, altså kommune eller fylkeskommune, som står ansvarlig for bruken av nettbaserte verktøy i skolene.

– Skoleeier er pliktig til å sjekke om avtalene Rikskonsertene har gjort med en tredjepart er lovlige og korrekte, og de skal risikovurdere tjenesten for å forsikre seg om at opplysninger om elever og ansatte er godt nok sikret. Eier skal også inngå en særskilt avtale med tjenesteleverandøren som gjør at skoleeier har kontroll med hvordan tjenesteleverandøren og underleverandører bruker opplysningene før de tar verktøyet i bruk. Dersom de verktøyet tas i bruk, og avtalene er lovstridige, er det skoleeier som får smekken, sier Tranvik.

Han sier at det ut ifra teksten i brukervilkårene er vanskelig å se nøyaktig hvilke typer opplysninger som lagres hos de ulike tjenesteleverandørene.

– Hva mener de for eksempel med at data forbundet med cookiene behandles av Google? Det er ikke så lett å forstå.

Tranvik stiller samtidig spørsmålstegn ved om det å skrive under på brukervilkårene blir reellt frivillig dersom en lærer har bestemt seg for å bruke verktøyet i en klassesituasjon.

– Dersom det skal være frivillig, noe det er ment å være i dette tilfellet, skal det ikke være noen form for press på eleven. Det kan være vanskelig å oppfylle i en klassesituasjon, både fra lærers side og sosialt ved at eleven kanskje ikke ønsker å skille seg ut. Når det er frivillig å skrive under på brukervilkårene må det også være laget et alternativt opplegg for dem som ikke ønsker å gjøre det.

– Så en elev kan nekte å bruke Lyderia dersom de ikke godtar brukervilkårene?

– Ja, så lenge det er frivillig å skrive under på brukervilkårene må det være åpent for at eleven kan si nei. På den annen side kan skolen pålegge eleven å bruke tjenesten dersom de mener de er avhengige av den for å ivareta opplæringsplikten, men det gjelder ikke her. Leverandøren sier at samtykket gjelder, og da har de ikke forestilt seg at tjenesten skal være så sentral i undervisningen at skoleeier kan pålegge eleven å bruke den.

Tranvik mener likevel ikke at Rikskonsertene har brutt noen lover i forbindelse med utformingen av brukervilkårene.

– Det er ikke noe av dette som jeg vil tolke som lovstridig. Det er tydelig at de har forsøkt å gjøre det rette, og de har tildels lyktes, men det er en del problemer som dukker opp her som også dukker opp ved mange andre nettbaserte tjenester. Det er likevel først og fremst et problem for skoleeier som tar tjenesten i bruk, og ikke for leverandøren av tjenesten.

Kan gå på blemmer

Prosjektleder i Lyderia Kjetil Moen skriver i en e-post at de blant annet har hatt dialog med NRK Super under utformingen av brukervilkårene, i tillegg til Datatilsynet og Medietilsynet.

Han sier at aldersgrensen på 13 år er valgt med utgangspunkt i sosiale plattformer som Facebook og Instagram.

– Mange av disse opererer med 13 års aldersgrense, så vi opplever at dette er en aldersgrense barna er vant til å forholde seg til. At mange av de store aktørene velger denne aldersgrensen beror i stor grad på amerikansk lovgivning, da mange av disse er etablert i USA. Gjennom dialog med målgruppen og andre informasjonskanaler er vår oppfatning at barn under 13 år er vant til å rådføre seg med sine foreldre rundt bruk av sosiale medier.

– Har alle 13-åringer kompetanse til å vite hva de skriver under på i slike brukervilkår?

– Akkurat som voksne er 13-åringer veldig forskjellige. Når det gjelder de kognitive aspektene er vi veldig nysgjerrige på å gjøre oss erfaringer med dette. Vi har også vektlagt i samråd med Datatilsynet å gjøre disse dokumentene så lettleste som mulig. Mange har lært seg sunt nettvett hjemmefra, mens andre kanskje går på noen blemmer før de forstår ting, noe som i seg selv har en oppdragende effekt.

– For oss er det viktig å vise at Lyderia er en aktør med gode intensjoner hvor man ønsker å bidra til å øke barnas kunnskapsnivå om sosiale medier og nettvett. Vi er svært opptatt av at barna skal følges opp hvis noe har fått uheldige konsekvenser, og sørge for at vi selv også er ryddige i våre egne, interne prosesser og prosedyrer, skriver Moen.

Tar råd til etterretning

– Dere lagrer ifølge brukervilkårene alt av mediefiler hos Amazon og data fra cookiene som legges igjen behandles av blant andre Google. Er dere trygge på at dataene ikke gis videre av disse selskapene?

– Vi forholder oss til at Amazon, Google og Microsoft tydelig beskriver i sine brukervilkår at de ikke gir bort eller bruker eventuelle data fra Lyderia til andre formål enn å yte de beste respektive tjenester vi betaler for hos disse. Som med norske aktører er det kun ved rettslige pålegg disse aktørene vil utlevere kundeinformasjon og data til utenforstående.

– Amazon deltar forøvrig i «Safe Harbor Program», som er et internasjonalt samarbeid mellom USA, EU og Sveits. Programmets formål er å forplikte store internasjonale databehandlere til felles rutiner og «protokoll» vedrørende databehandling og eventuelle personvernsbrudd eller -saker, skriver Moen.

Han vil imidlertid ikke love at Lyderia vil følge Lauvset i Datatilsynet sine råd om å bedre brukernes kontroll over egne opplysninger.

– At Datatilsynet nå har videre råd å gi oss, er noe vi setter pris på og vil ta til etterretning, skriver Moen.

– Lyderia er ment som en læringsressurs i skolen. Samtidig er det her snakk om et frivillig samtykke til brukervilkårene når eleven skriver under. Hva om en elev ikke vil skrive under på vilkårene?

– Her er vi veldig interesserte i å se de første eksemplene på at Lyderia tas i bruk i skolen for å se hvordan vi forholder oss til dette fremover. I utgangspunktet tenker vi at ingen kan pålegges/tvinges til å akseptere brukervilkår og tjenester skolen ønsker å benytte, slik at det må være tillatt for elevene å ikke bruke Lyderia. Vi er avhengige av erfaringer fra foreldre, lærere og skoler for å utforme de beste retningslinjene videre på dette området.