Kort sagt
To dokumenter, samme dag, samme materie. Forskjellen gjelder sporerne: i utgangspunktet forbudt i skolen, frarådet ved universitetet. Studenten er myndig, men står i et underordningsforhold og er derfor fortsatt en sårbar person i vurderingen, og samtykket fungerer fremdeles ikke som behandlingsgrunnlag.
Den eneste virkelige forskjellen
I skoleteksten skriver CNIL at den behandlingsansvarlige må forsikre seg om at verktøyet ikke bruker reklamesporere, «i utgangspunktet forbudt» av hensyn til nøytraliteten i den offentlige utdanningstjenesten, som omfatter kommersiell nøytralitet. Finnes de, må de deaktiveres.
I teksten for høyere utdanning «anbefaler» det samme tilsynet, samme dag, «å foretrekke verktøy der leverandøren ikke bruker sporere eller sporingsmekanismer til reklameutnyttelse, profilering eller kommersiell gjenbruk av opplysningene, eller der institusjonen kan slå av slike funksjoner». Anbefaler: forbyr ikke. Og nøytralitetsprinsippet i den offentlige utdanningstjenesten påberopes ikke.
Det er ingen forglemmelse. Skoleforbudet hviler på et prinsipp som gjelder den offentlige tjenesten for skoleutdanning; høyere utdanning har sin egen ramme. For et personvernombud er den praktiske følgen konkret: konklusjonen om sporere i en videregående skoles vurdering kopieres ikke inn i et universitets, fordi den rettslige premissen er en annen.
Studenten er myndig, og fortsatt sårbar
Når det gjelder sårbarhet, viker CNIL ikke. I universitetsteksten begrunner tilsynet anbefalingen om å beskytte opplysningene mot risikoen for utlevering til myndigheter i tredjeland nettopp med «sårbarheten til de registrerte, særlig studentene, som befinner seg i en situasjon av underordning».
Underordningen har to virkninger. I vurderingen av behandlingsgrunnlaget utelukker den samtykket, som må være frivillig og ikke påvirket av den behandlingsansvarliges autoritetsposisjon: studenten må kunne nekte uten negative følger, og kan det ikke. I vurderingen av personvernkonsekvenser utløser den kriteriet om sårbare personer, akkurat som mindreårige.
Det som ikke endrer seg
- Behandlingsgrunnlag: utførelse av en oppgave i allmennhetens interesse, for offentlige som private institusjoner.
- Kortfattet, åpen, forståelig og lett tilgjengelig informasjon (artiklene 12, 13 og 14), tilgjengelig før behandlingen starter og gjentatt ved hvert studieårs begynnelse.
- Vurdering påkrevd når to EDPB-kriterier er oppfylt, og sannsynlig i de fleste tilfeller.
- Databehandlerens garantier etter artikkel 28 og en avtale med de obligatoriske punktene, inkludert sluttbestemmelsene om tilbakeføring og sletting.
- Overføringer etter kapittel V, med SecNumCloud nevnt som eksempel på utelukkende underleggelse under europeisk rett.
Det som mangler ved universitetet
To elementer fra skoleteksten mangler i universitetsteksten: henvisningen til artikkel L.131-2 i utdanningsloven, som gjelder den offentlige tjenesten for digital skoleutdanning, og dekret nr. 2025-1165 av 5. desember 2025, som binder de tekniske valgene til offentlige collèges og lycées. Universitetene står fritt på den siden, og er mer utsatt på den andre: valget må begrunnes i vurderingen, ikke overlates til leverandøren.
Feilen du ikke skal gjøre
Å behandle de to dokumentene som ett. De er tvillinger i åtti prosent av teksten og skiller lag nettopp der innkjøpet vanligvis avgjøres: er et verktøy med reklamesporere akseptabelt? I skolen er svaret nei. Ved universitetet er det «helst ikke, og finnes de, må de kunne slås av».
Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
