Datatilsynet har beslutat att bötfälla Ålesunds kommun med 50 000 norska kronor för kommunens användning av träningsappen Strava.
Strava är en träningsapp som loggar utbildning och som gör det möjligt för användare att analysera och jämföra sina data med sina egna eller andras träningsloggar. Strava Inc. lagrar informationen som appen genererar. Denna information räknas som personuppgifter.
På två skolor i Ålesund kommun krävde lärarna att eleverna var tvungna att ladda ner träningsappen Strava för användning i gymklasser. Eleverna fick sedan uppgifter, medan lärarna använde spårning med appen för att kontrollera att alla elever hade slutfört uppgifterna. Nedladdningen var obligatorisk och appen laddades ner till elevernas privata telefoner. Användning av spårningsfunktionen räknas som en behandling av personuppgifter om de enskilda eleverna. Utbildningsappen har även behandlat personuppgifter genom att systematiskt övervaka effektivitet och färdigheter. Syftet med träningsappen har varit att se om eleverna har slutfört uppgifterna, men man kan också mäta färdigheterna mot andra.
Användningen av Strava ägde rum i en situation där lärarna var tvungna att gå mycket långt för att kunna utföra bra undervisning i en pandemisituation. Enligt Datatilsynet är detta dock inte en ursäkt för kommunens bristande kontroll över användningen av olika applikationer i skolan. Strava-träningsappen har vidare tagits i bruk utan att en riskbedömning genomförts. Datatilsynet anser att användningen av träningsappen Strava kommer att medföra aktiviteter som kräver en konsekvensbedömning avseende dataskydd (DPIA).
Detta fall visar att det inte finns några rutiner i kommunen över vilka appar som ska användas i skolans regi. Det finns inte heller några tydliga rutiner i samband med nedladdning av appar, så att de måste riskbedömas innan de används.
Datatilsynet betonar att det inte är Strava själv som är problemet här utan Ålesunds kommuns rutiner för att använda appar i skolan.