Hop til hovedindhold

Anonymitet og datahåndtering i spørgeskemaer

Denne side beskriver, hvad Pomelo faktisk gemmer, når elever besvarer spørgeskemaer, og hvad der er synligt for hvem. Den supplerer Sådan arbejder vi med GDPR.

Elever logger aldrig ind​

Elever, der deltager i et spørgeskema, bruger en kode pr. gang. Pomelo opretter intet login til dem: ingen adgangskode, ingen profil, ingen session ud over selve svartidspunktet.

Deltageren får en midlertidig identitet, der kun eksisterer under besvarelsen, og som ikke gemmes bagefter.

Der gemmes slet ingen personoplysninger om elever. Skolen opretter klasser med navn og antal elever — ikke enkelte elever.

Hvis skolen er tilsluttet via Skolon​

Så hentes klasselisterne automatisk fra Skolon. Eleverne tælles for at give klassens størrelse og klassetrin, og der gemmes ingen oplysninger om enkelte elever. Elevkonti, der er oprettet af tidligere versioner af tjenesten, slettes automatisk ved hver synkronisering.

Det er kun personalets konti, der oprettes via Skolon. Eleverne logger ikke ind, og et svar gemmes uden tilknytning til nogen person.

Svarene kan ikke kobles til en elev​

Et svar fra en elev, der har logget ind med en kode, gemmes uden afsender. Der er ingen forbindelse mellem svaret og en person, hverken i brugerfladen eller i databasen.

Konsekvensen er gennemgående:

  • Læreren ser hvor mange, der har svaret, aldrig hvem.
  • Ingen kan efterfølgende finde ud af, hvad en enkelt elev har svaret — hverken læreren, skolens administrator eller vi.
  • Af samme grund kan et enkelt svar heller ikke fjernes bagefter. Der er intet at pege på.

Det gælder pulsmålingen, opfølgningsskemaet og exit ticket-skemaet — og det gælder, uanset om skolen er tilsluttet via Skolon eller ej.

Svarene fra én og samme besvarelse hører sammen​

Et svar gemmes uden afsender. Pomelo har alligevel brug for at vide, hvilke svar der kom ind ved samme besvarelse, for at kunne vise en undersøgelse opdelt efter, hvordan eleverne har svaret på et af dens egne spørgsmål (se Spørgsmål om eleven selv).

Hvert svar mærkes derfor med en nøgle, der tilfældigt genereres pr. besvarelse. Den oprettes, når eleven indtaster koden, og gemmes ikke som en konto. Nøglen peger ikke på nogen person, den findes ikke i noget andet register, og en elev, der svarer på den næste undersøgelse, får en ny.

Beskyttelse mod dobbeltsvar​

For at den samme elev ikke skal svare to gange på samme enhed gemmes en markering lokalt i browseren om, at besvarelsen er gennemført. Markeringen indeholder ingen oplysning om personen, kun hvilken besvarelse det drejer sig om.

Den bliver liggende i elevens browser og sendes aldrig til os. En elev, der skifter enhed, kan derfor svare igen — beskyttelsen er en hjælp mod fejl, ikke en spærring.

Klassens resultater​

Læreren ser klassens svar som sammenstillinger: fordelinger, gennemsnit og antal. Grundlaget er hele klassen, aldrig enkelte rækker.

Et resultat vises aldrig for færre end to respondenter. Har kun én elev svaret, findes der ingen sammenstilling at vise — et gennemsnit af ét enkelt svar er det svar. I en klasse, hvor læreren ved, hvem der var til stede, ville det kunne udpege, hvem der svarede.

Spærringen gælder alle steder, hvor klassens svar vises: pulsmålingen, opfølgningen, exit ticket-skemaet og den detaljerede statistik. Den kan ikke omgås — heller ikke ved at afslutte spørgeskemaet i utide, hvilket ellers lader læreren gå videre, uden at alle har svaret.

Anbefalinger er ikke resultater. Hvilken styrke Pomelo foreslår, at klassen træner, er et pædagogisk forslag fra tjenesten, ikke en gengivelse af, hvad eleverne har svaret, og vises derfor altid. Det, læreren ikke får se, er opsamlingen af svarene: fordelinger, gennemsnit og antal pr. spørgsmål.

Spærringen stopper altså ikke undervisningen. Læreren kan gå videre, vælge en styrke og lade klassen træne, også når kun én elev har svaret — hvor langt et klasseprojekt føres, er lærerens beslutning. Det, der holdes tilbage, er indsigt i svarene, indtil mindst to elever har svaret.

Spørgsmål om eleven selv​

En undersøgelse kan indeholde et spørgsmål om eleven selv, som de øvrige svar kan grupperes efter. Læreren kan så se, hvordan forskellige grupper i klassen har svaret, frem for kun klassens samlede tal. I dag findes ét enkelt sådant spørgsmål, og det handler om køn.

Spørgsmålet besvares som alle andre spørgsmål i undersøgelsen. Svarmulighederne er Dreng, Pige, Andet og Ønsker ikke at fortælle, og hver mulighed danner sin egen gruppe — ingen elev falder uden for grupperingen.

En gruppes svar vises kun, hvis mindst fem elever har svaret i den gruppe. De grupper, der når dertil, vises; de øvrige holdes tilbage hver for sig. En tilbageholdt gruppe ses med sit navn og intet andet — hvordan de elever har svaret på undersøgelsens øvrige spørgsmål, oplyses ikke.

Antallet i en tilbageholdt gruppe oplyses heller ikke, og en gruppe, som ingen elev har valgt, holdes tilbage på samme måde. Det gør, at "ingen har valgt det her" og "fire har valgt det her" ser ens ud.

Grænsen er højere end de to besvarelser, der gælder klassens resultater i øvrigt. En gruppe bygger på en delmængde af klassen og er derfor altid mindre end den, og i en klasse, hvor læreren kender eleverne, siger en lille gruppe meget om de enkelte, der indgår. I en klasse af normal størrelse når ikke alle grupper op på fem.

Svarene på et sådant spørgsmål tæller aldrig med i klassens styrker, i anbefalingen af, hvad klassen skal træne, eller i sammenligningerne med andre skoler.

Sammenligninger mellem skoler​

Klassens resultater kan sammenlignes med andre skoler på fire niveauer: skolen, kommunen, landet og globalt. Sammenligningerne bygges af anonymiserede og aggregerede tal.

Et gennemsnit vises aldrig for færre end ti svar. Er grundlaget under ti, vises i stedet, at værdien er skjult, sammen med antallet. Det forhindrer, at en lille gruppe kan regnes baglæns til enkelte elever.

Det er en højere grænse end den for klassens egne resultater (to respondenter), og det er bevidst: en sammenligning stiller flere skolers grundlag over for hinanden, og jo mindre en sammenlignet gruppe er, desto mere siger den om de enkelte, der indgår.

Grupper, der er markeret som administrative — personalegrupper, teams — indgår slet ikke i sammenligningerne.

Sammenligningerne beregnes på ny hver nat og sker aldrig direkte mod andre skolers rå svar.

Personalet har konti​

Lærere og administratorer har rigtige konti med navn og e-mailadresse. Det, der gemmes om dem, er kontooplysningerne, hvilke grupper de tilhører, og hvornår de senest loggede ind.

Når en personalekonto slettes, anonymiseres den: navn og e-mailadresse overskrives, og personen kan ikke logge ind igen. Klasseprojekter og spørgeskemaer, som personen har oprettet, findes fortsat, uden at pege på en navngiven person.

Bedømmelser, der deles mellem skoler​

Læreres bedømmelser og kommentarer til øvelser er bevidst synlige for lærere på andre skoler. De vises med fornavn og initial, skole og kommune.

Det er den eneste personoplysning i Pomelo, der bevidst deles uden for den egen skole, og den kommer altid fra en lærer — aldrig fra en elev. Elevernes stjernebedømmelser tæller med i gennemsnittet, men vises ikke enkeltvis.

Hvor oplysningerne findes​

Pomelo driftes på servere i Sverige hos en svensk leverandør. Se Sådan arbejder vi med GDPR for, hvordan vi arbejder med personoplysninger generelt.