Skip to main content

Anonymitet og datahåndtering i spørreskjemaer

Denne siden beskriver hva Pomelo faktisk lagrer når elever besvarer spørreskjemaer, og hva som er synlig for hvem. Den utfyller Slik jobber vi med GDPR.

Elever logger aldri inn​

Elever som deltar i et spørreskjema, bruker en kode per gang. Pomelo oppretter ingen innlogging for dem: ingen passord, ingen profil, ingen økt utover selve svartidspunktet.

Deltakeren får en midlertidig identitet som bare eksisterer under besvarelsen, og som ikke lagres etterpå.

Det lagres ingen personopplysninger om elever i det hele tatt. Skolen oppretter klasser med navn og antall elever — ikke enkeltelever.

Hvis skolen er tilknyttet via Skolon​

Da hentes klasselistene automatisk fra Skolon. Elevene telles for å gi klassens størrelse og trinn, og det lagres ingen opplysninger om enkeltelever. Elevkontoer som er opprettet av tidligere versjoner av tjenesten, slettes automatisk ved hver synkronisering.

Det er bare personalets kontoer som opprettes via Skolon. Elevene logger ikke inn, og et svar lagres uten kobling til noen person.

Svarene kan ikke kobles til en elev​

Et svar fra en elev som har logget inn med kode, lagres uten avsender. Det finnes ingen kobling mellom svaret og en person, verken i grensesnittet eller i databasen.

Konsekvensen er gjennomgående:

  • Læreren ser hvor mange som har svart, aldri hvem.
  • Ingen kan i ettertid finne ut hva en enkelt elev har svart — verken læreren, skolens administrator eller vi.
  • Av samme grunn kan et enkelt svar heller ikke fjernes i ettertid. Det finnes ikke noe å peke på.

Det gjelder pulsmålingen, oppsummeringsskjemaet og exit ticket-skjemaet — og det gjelder uansett om skolen er tilknyttet via Skolon eller ikke.

Svarene fra én og samme besvarelse hører sammen​

Et svar lagres uten avsender. Pomelo trenger likevel å vite hvilke svar som kom inn ved samme besvarelse, for å kunne vise en undersøkelse fordelt etter hvordan elevene har svart på et av dens egne spørsmål (se Spørsmål om eleven selv).

Hvert svar merkes derfor med en nøkkel som genereres tilfeldig per besvarelse. Den opprettes når eleven taster inn koden, og lagres ikke som en konto. Nøkkelen peker ikke ut noen person, den finnes ikke i noe annet register, og en elev som svarer på neste undersøkelse, får en ny.

Beskyttelse mot dobbeltsvar​

For at den samme eleven ikke skal svare to ganger på samme enhet, lagres en markering lokalt i nettleseren om at besvarelsen er gjennomført. Markeringen inneholder ingen opplysning om personen, bare hvilken besvarelse det gjelder.

Den blir liggende i elevens nettleser og sendes aldri til oss. En elev som bytter enhet, kan derfor svare igjen — beskyttelsen er en hjelp mot feil, ikke en sperre.

Klassens resultater​

Læreren ser klassens svar som sammenstillinger: fordelinger, gjennomsnitt og antall. Grunnlaget er hele klassen, aldri enkeltrader.

Et resultat vises aldri for færre enn to som har svart. Har bare én elev svart, finnes det ingen sammenstilling å vise — et gjennomsnitt av ett enkelt svar er det svaret. I en klasse der læreren vet hvem som var til stede, ville det kunne peke ut hvem som svarte.

Sperren gjelder overalt der klassens svar vises: pulsmålingen, avstemmingen, exit ticket-skjemaet og den detaljerte statistikken. Den kan ikke omgås — heller ikke ved å avslutte spørreskjemaet tidlig, som ellers lar læreren gå videre uten at alle har svart.

Anbefalinger er ikke resultater. Hvilken styrke Pomelo foreslår at klassen trener på, er et pedagogisk forslag fra tjenesten, ikke en gjengivelse av hva elevene har svart, og vises derfor alltid. Det læreren ikke får se, er sammenstillingen av svarene: fordelinger, gjennomsnitt og antall per spørsmål.

Sperren stopper altså ikke undervisningen. Læreren kan gå videre, velge en styrke og la klassen trene også når bare én elev har svart — hvor langt et klasseprosjekt drives, er lærerens beslutning. Det som holdes tilbake, er innsyn i svarene, til minst to elever har svart.

Spørsmål om eleven selv​

En undersøkelse kan inneholde et spørsmål om eleven selv, som de øvrige svarene kan grupperes etter. Læreren kan da se hvordan ulike grupper i klassen har svart, i stedet for bare klassens samlede tall. I dag finnes ett eneste slikt spørsmål, og det gjelder kjønn.

Spørsmålet besvares som alle andre spørsmål i undersøkelsen. Svaralternativene er Gutt, Jente, Annet og Vil ikke fortelle, og hvert alternativ danner en egen gruppe — ingen elev faller utenfor grupperingen.

En gruppes svar vises bare dersom minst fem elever har svart i den gruppen. Gruppene som når dit, vises; de øvrige holdes tilbake hver for seg. En tilbakeholdt gruppe vises med navnet sitt og ingenting mer — hvordan de elevene har svart på undersøkelsens øvrige spørsmål, oppgis ikke.

Antallet i en tilbakeholdt gruppe oppgis heller ikke, og en gruppe som ingen elev har valgt, holdes tilbake på samme måte. Det gjør at «ingen har valgt dette» og «fire har valgt dette» ser like ut.

Grensen er høyere enn de to svarende som gjelder klassens resultater ellers. En gruppe bygger på en delmengde av klassen og er derfor alltid mindre enn den, og i en klasse der læreren kjenner elevene, sier en liten gruppe mye om de enkelte som inngår. I en klasse av vanlig størrelse når ikke alle gruppene opp i fem.

Svarene på et slikt spørsmål telles aldri med i klassens styrker, i anbefalingen om hva klassen skal trene på, eller i sammenlikningene med andre skoler.

Sammenlikninger mellom skoler​

Klassens resultater kan sammenliknes med andre skoler på fire nivåer: skolen, kommunen, landet og globalt. Sammenlikningene bygges av anonymiserte og aggregerte tall.

Et gjennomsnitt vises aldri for færre enn ti svar. Er grunnlaget under ti, vises i stedet at verdien er skjult, sammen med antallet. Det hindrer at en liten gruppe kan regnes baklengs til enkeltelever.

Det er en høyere grense enn den for klassens egne resultater (to som har svart), og det er bevisst: en sammenlikning stiller flere skolers grunnlag mot hverandre, og jo mindre en sammenliknet gruppe er, desto mer sier den om de enkelte som inngår.

Grupper som er markert som administrative — personalgrupper, team — inngår ikke i sammenlikningene i det hele tatt.

Sammenlikningene beregnes på nytt hver natt og skjer aldri direkte mot andre skolers rå svar.

Personalet har kontoer​

Lærere og administratorer har ekte kontoer med navn og e-postadresse. Det som lagres om dem, er kontoopplysningene, hvilke grupper de tilhører, og når de sist logget inn.

Når en personalkonto slettes, blir den anonymisert: navn og e-postadresse overskrives, og personen kan ikke logge inn igjen. Klasseprosjekt og spørreskjemaer som personen har opprettet, finnes fortsatt, uten å peke ut en navngitt person.

Vurderinger som deles mellom skoler​

Læreres vurderinger og kommentarer på øvelser er bevisst synlige for lærere ved andre skoler. De vises med fornavn og initial, skole og kommune.

Det er den eneste personopplysningen i Pomelo som bevisst deles utenfor egen skole, og den kommer alltid fra en lærer — aldri fra en elev. Elevenes stjernevurderinger regnes inn i snittet, men listes ikke opp.

Hvor opplysningene finnes​

Pomelo driftes på servere i Sverige, hos en svensk leverandør. Se Slik jobber vi med GDPR for hvordan vi arbeider med personopplysninger generelt.