På skolen er reklamesporere forbudt, og det handler ikke om samtykke

Kommersiell nøytralitet er ingen anbefaling

På dette punktet tar CNIL ingen forbehold. Den behandlingsansvarlige må forsikre seg om at verktøyet ikke bruker reklamesporere, som er «i utgangspunktet forbudt» av hensyn til nøytralitetsprinsippet i den offentlige utdanningstjenesten, som omfatter kommersiell nøytralitet. Bruker verktøyet sporingsmekanismer til reklameutnyttelse eller profilering, må den behandlingsansvarlige deaktivere disse funksjonene.

Regelen kommer ikke fra personvernforordningen og lar seg ikke løse med en samtykkeboks: den kommer fra retten om offentlige tjenester. En leverandør som svarer «brukeren kan si nei», har ikke svart på spørsmålet.

Hvorfor samtykket ikke holder

Når bruk av samhandlingsverktøy i undervisningen medfører behandling av personopplysninger, må den behandlingsansvarlige først fastsette behandlingsgrunnlaget for hver enkelt behandling. Svarer behandlingene til skolens offentlige oppgaver — offentlig eller privat — og særlig til den offentlige tjenesten for digital utdanning i artikkel L.131-2 i utdanningsloven, er grunnlaget utførelse av en oppgave i allmennhetens interesse.

Samtykket, skriver CNIL, kan vanskelig legges til grunn: for å være gyldig må det være frivillig, det vil si verken tvunget eller påvirket av den behandlingsansvarliges autoritetsposisjon. En elev, elevens foresatte eller en lærer må kunne nekte uten negative følger, og i skolesammenheng er dette vilkåret ikke oppfylt.

Vurderingen, nesten alltid

Tre av EDPB-kriteriene er aktuelle her: behandling som gjelder sårbare personer, behandling i stor skala og behandling av sensitive opplysninger. Mindreårige hører til den første kategorien — og med dem administrativt og pedagogisk personale i et underordningsforhold.

Er minst to kriterier oppfylt, må vurderingen gjennomføres før behandlingen settes i gang. CNIL legger til at den i de fleste tilfeller sannsynligvis er nødvendig, og at man i tvilstilfeller heller bør gjennomføre den. Den behandlingsansvarlige kan be sitt personvernombud om råd og kan kontakte leverandøren, som i egenskap av databehandler plikter å bistå etter artikkel 28 nr. 3 bokstav f.

Informasjonen skrives for den som skal lese den

Informasjonen skal være kortfattet, åpen, forståelig og lett tilgjengelig (artiklene 12, 13 og 14). For mindreårige ber CNIL om at den tilpasses alderen: klart språk etter ISO 24495-1:2023 og ISO 24495-2:2025, eller metoden «lett å lese og forstå» for personer med lesevansker eller nedsatt funksjonsevne.

• Før behandlingen starter, for eksempel ved første pålogging til verktøyet.
• Også per e-post til alle berørte.
• Og ved hvert skoleårs begynnelse: i barneskolen på foreldremøtet.

Dekretet som snevrer inn valget

For offentlige collèges og lycées er ikke forordningen nok. Dekret nr. 2025-1165 av 5. desember 2025 om referanserammen for det digitale i utdanningen pålegger bruk av digitale verktøy og tjenester som oppfyller tekniske krav til sikkerhet, samvirke og ansvarlig digitalisering fastsatt av statsråden.