Anonymitet och datahantering i enkäter

Den här sidan beskriver vad Pomelo faktiskt sparar när elever svarar på enkäter, och vad som är synligt för vem. Den kompletterar Så här jobbar vi med GDPR.

Elever loggar aldrig in

Elever som deltar i en enkät använder en kod per tillfälle. Pomelo skapar ingen inloggning för dem: inget lösenord, ingen profil, ingen session utöver själva svarstillfället.

Deltagaren får en tillfällig identitet som bara lever under enkättillfället och som inte sparas efteråt.

Inga personuppgifter alls lagras om elever. Skolan lägger upp klasser med namn och antal elever — inte enskilda elever.

Om skolan är ansluten via Skolon

Då hämtas klasslistorna automatiskt från Skolon. Eleverna räknas för att ge klassens storlek och årskurs, och inga uppgifter om enskilda elever lagras. Elevkonton som skapats av tidigare versioner av tjänsten raderas automatiskt vid varje synkronisering.

Det är bara personalens konton som skapas via Skolon. Eleverna loggar inte in, och ett svar lagras utan koppling till någon person.

Svaren kan inte kopplas till en elev

Ett svar från en elev som loggat in med kod sparas utan avsändare. Det finns ingen koppling mellan svaret och en person, varken i gränssnittet eller i databasen.

Konsekvensen är genomgående:

• Läraren ser hur många som svarat, aldrig vilka.
• Ingen kan i efterhand ta reda på vad en enskild elev svarat — inte läraren, inte skolans administratör, inte vi.
• Av samma skäl kan ett enskilt svar inte heller plockas bort i efterhand. Det finns inget att peka ut.

Det gäller pulsmätningen, avstämningsenkäten och exit ticket-enkäten — och det gäller oavsett om skolan är ansluten via Skolon eller inte.

Svaren från ett och samma tillfälle hör ihop

Ett svar sparas utan avsändare. Pomelo behöver ändå veta vilka svar som kom in vid samma tillfälle, för att kunna redovisa en enkät uppdelad på hur eleverna svarat på en av dess egna frågor (se Frågor om eleven själv).

Varje svar märks därför med en nyckel som slumpas fram per tillfälle. Den skapas när eleven anger koden och sparas inte som något konto. Nyckeln pekar inte ut någon person, den finns inte i något annat register, och en elev som svarar på nästa enkät får en ny.

Skydd mot dubbelsvar

För att samma elev inte ska svara två gånger på samma enhet sparas en markering lokalt i webbläsaren om att tillfället är avklarat. Markeringen innehåller ingen uppgift om personen, bara vilket enkättillfälle det gäller.

Den ligger kvar i elevens webbläsare och skickas aldrig till oss. En elev som byter enhet kan alltså svara igen — skyddet är en hjälp mot misstag, inte en spärr.

Klassens resultat

Läraren ser klassens svar som sammanställningar: fördelningar, medelvärden och antal. Underlaget är hela klassen, aldrig enskilda rader.

Ett resultat visas aldrig för färre än två svarande. Har bara en elev svarat finns det ingen sammanställning att visa — ett medelvärde av ett enda svar är det svaret. I en klass där läraren vet vilka som var närvarande skulle det kunna peka ut vem som svarade.

Spärren gäller överallt där klassens svar redovisas: pulsmätningen, avstämningen, exit ticket-enkäten och den detaljerade statistiken. Den går inte att kringgå — inte heller genom att avsluta enkäten i förtid, som annars låter läraren gå vidare utan att alla svarat.

Rekommendationer är inte resultat. Vilken styrka Pomelo föreslår att klassen tränar på är ett pedagogiskt förslag från tjänsten, inte en redovisning av vad eleverna svarat, och visas därför alltid. Det läraren inte får se är sammanställningen av svaren: fördelningar, medelvärden och antal per fråga.

Spärren stoppar alltså inte undervisningen. Läraren kan gå vidare, välja en styrka och låta klassen träna även när bara en elev har svarat — hur långt ett klassprojekt drivs är lärarens beslut. Det som hålls tillbaka är insynen i svaren, tills minst två elever har svarat.

Frågor om eleven själv

En enkät kan innehålla en fråga om eleven själv, vars svar de övriga svaren går att gruppera på. Läraren kan då se hur olika grupper i klassen har svarat, i stället för enbart klassens samlade siffror. I dag finns en enda sådan fråga, och den gäller kön.

Frågan besvaras som alla andra frågor i enkäten. Svarsalternativen är Pojke, Flicka, Annat och Vill inte berätta, och varje alternativ bildar en egen grupp — ingen elev hamnar utanför grupperingen.

En grupps svar visas bara om minst fem elever har svarat i den gruppen. Grupper som når dit visas, övriga hålls tillbaka var för sig. En tillbakahållen grupp syns med sitt namn och ingenting mer — hur de eleverna har svarat på klassens övriga frågor redovisas inte.

Antalet i en tillbakahållen grupp redovisas inte heller, och en grupp som ingen elev valt hålls tillbaka på samma sätt. Det gör att "ingen har valt det här" och "fyra har valt det här" ser likadana ut.

Gränsen är högre än de två svarande som gäller klassens resultat i övrigt. En grupp bygger på en delmängd av klassen och är alltså alltid mindre än den, och i en klass där läraren känner eleverna säger en liten grupp mycket om de enskilda som ingår. I en normalstor klass når därför sällan alla grupper upp till fem.

Svaren på en sådan fråga räknas aldrig in i klassens styrkor, i rekommendationen om vad klassen ska träna på, eller i jämförelserna med andra skolor.

Jämförelser mellan skolor

Klassens resultat kan jämföras med andra skolor på fyra nivåer: skolan, kommunen, landet och globalt. Jämförelserna byggs av avidentifierade och aggregerade siffror.

Ett medelvärde visas aldrig för färre än tio svar. Understiger underlaget tio visas i stället att värdet är dolt, tillsammans med antalet. Det hindrar att en liten grupp går att räkna baklänges till enskilda elever.

Det är en högre gräns än den för klassens egna resultat (två svarande), och det är avsiktligt: en jämförelse ställer flera skolors underlag mot varandra, och ju mindre en jämförd grupp är desto mer säger den om de enskilda som ingår.

Grupper som är markerade som administrativa — personalgrupper, arbetslag — ingår inte alls i jämförelserna.

Jämförelserna räknas om varje natt och sker aldrig direkt mot andra skolors råa svar.

Personal har konton

Lärare och administratörer har riktiga konton med namn och e-postadress. Det som sparas om dem är kontouppgifterna, vilka grupper de tillhör och när de senast loggade in.

När ett personalkonto tas bort anonymiseras det: namn och e-postadress skrivs över och personen kan inte logga in igen. Klassprojekt och enkäter som personen skapat finns kvar, utan att peka ut en namngiven individ.

Omdömen som delas mellan skolor

Lärares betyg och kommentarer på övningar är avsiktligt synliga för lärare på andra skolor. De visas med förnamn och initial, skola och kommun.

Det är den enda personuppgift i Pomelo som medvetet delas utanför den egna skolan, och den kommer alltid från en lärare — aldrig från en elev. Elevernas stjärnbetyg räknas in i snittet men listas inte.

Var uppgifterna finns

Pomelo drivs på servrar i Sverige, hos en svensk leverantör. Se Så här jobbar vi med GDPR för hur vi arbetar med personuppgifter i stort.