Persónuvernd fellst á innsend skjöl

Borist hefur bréf frá Persónuvernd, þar sem stofnunin lýsir því yfir að máli nr. 2015/1203 hafi verið lokað. Það þýðir að stofnuninni hafi borist fullnægjandi svör frá þeim fimm grunnskólum sem lentu í úttekt stofnunarinnar árið 2015. Skjöl, sem send voru Persónuvernd í október 2018 og voru hluti af ráðgjöf Marinós G. Njálssonar fyrir grunnskólana, hafa því verið uppfærð á síðu verkefnisins. Eru skólarnir hvattir til að nálgast nýjar útgáfur skjalanna þar.

Vegna þess hve það dróst að fá niðurstöðu Persónuverndar hefur verið ákveðið að síða verkefnisins verði opin a.m.k. fram til 1. júlí 2019. Þá verður aðgangur að henni lokaður með því að skipta um aðgangsorð.

Tölfræði úr áhættumatsskýrslum og samanteknar ályktanir

Þegar þetta er skrifað, hef ég farið yfir sjálfsmatsskjöl 142 grunnskóla.  Dreifing á svörum skólanna er mikil, allt frá hve margir upplýsingaflokkar voru skoðaðir, fjölda hlutverka og upp í líkurnar á atvikum.

Þessir 142 grunnskólar mátu samtals 5712 upplýsingaflokka og á bilinu 5 til 17 hlutverk fyrir hvern flokk.  Þetta gerir að meðaltali 40 flokkar á hvern skóla eða að meðaltali rúmlega 10 á hvern af þáttunum fjórum, þ.e. tiltækileika, trúnaður notenda, trúnaðarbresti óviðkomandi og réttleika.  Hjá tveimur skólum náði matið bara til 16 upplýsingaflokka, þ.e. að meðaltali 4 fyrir hvern þátt sjálfsmatsins.  Sá sem skoðaði flesta flokka, var með 64 flokka eða að meðaltali 16 fyrir hvern þátt.

5712 upplýsingaflokkar þýða 5712 hæstu áhættugildi, en af þeim reyndust 3003 fela í sér litla eða ásættanlega áhættu (grænn litur) sem gerir 52,6% tilfella, 2165 sinnum reyndist áhættan miðlungs sem gerir 37,9% tilfella, 437 sinnum var áhættan mikil og 105 sinum mjög mikil.  Tveir hæstu áhættuflokkarnir koma því fyrir í 9,5% skipta.

Dreifing hjá einstökum skólum var hins vegar mjög mikil og er það ekki síður áhugavert að skoða.  Þrír skólar töldu alla áhættu vera litla/ásættanlega, meðan hjá tveimur skólum var enginn flokkur með hæsta matsgildi lítið, ein tilviðbótar var með litla áhættu einu sinni og þrír með litla áhættu tvisvar.  Dreifingin var því frá 0 og upp í 100% tilfella.  Að meðaltali kom lítil áhætta fyrir ríflega 21 sinni hjá skólunum 142.  Áhyggjuleysið vegna áhættu virðist annars vegar tengjast minnstu skólunum og hins vegar skólum í Kraganum.

Miðlungsáhætta kom oftast fyrir í 32 skipti af 36 eða tæplega 89% tilfella, sem jafnframt var hæsta hlutfallið.  Dreifingin er því frá 0 og upp í 89% en að meðaltali ríflega 15 sinnum hjá hverjum skóla.  Tveir neðstu áhættuflokkarnir komu fyrir í 90,5% tilfella.  Nú eru það hins vegar skólar í Reykjavík og á Suðurlandi sem raða sér í efstu sætin auk eins skóla í viðbót.

Tveir skólar skáru sig úr varðandi mikla áhættu, annar með 20 tilfelli og hinn 19 tilfelli.  Það merkilega við þetta er að þeir eru nánast eins langt í burtu frá hvor öðrum og hægt er að hugsa sér.  Þegar litið til þess, að mikil áhætta kom að jafnaði fyrir rétt rúmlega þrisvar sinnum, þá verða þessi 19 og 20 tilfelli að teljast frávik, sérstaklega þegar tæp 40 og rúm 55% tilfella af heildinni hjá þessum tveimur skólum.

Þegar kemur að mjög mikilli áhættu, þá er eiginlega hægt að hún sé öll vegna tiltækileika eða 103 sinnum.  Aðeins tvisvar kom hún fyrir hjá öðrum þáttum, í bæði skipti hjá sama skóla vegna trúnaðar notenda.  Tveir skólar töldu tímaviðkvæmni sína vera mjög mikla fyrir alla 9 upplýsingaflokkana, meðan sá þriðji taldi svo vera í 8 skipti af 12.  Skólarnir þrír eru hver í sínum landshluta.

Hvað segir þessa mikla dreifing mér sem sérfræðingi í áhættustjórnun?  Ja, það kemur mér ekki á óvart í hve mörgum tilfellum skólarnir meta áhættuna litla.  Í þremur þáttum af fjórum var verið að spyrja um traust skólastjórnenda til starfsfólks síns og þessi niðurstaða sýnir að þetta traust er mikið.  Hitt er að skólarnir hafa flestir verið starfandi áratugum saman án þess að komið hafi upp meiriháttar atvik.  Það þýðir að góð rútína er í skólastarfinu og starfsfólk veit hvernig á að umgangast upplýsingar.  Þetta skein í gegn um svör margra skólanna.  Þar var mikill agi, mjög góð öryggisvitund og þeir höfðu búnað og hirslur til að styðja við hátt öryggisstig.  Ekki það, að ég held að allir skólarnir hafi mikla öryggivitund, en umhverfi þeirra er einfaldlega misjafnt. 

Smávegis um vinnuna

 

Sendir hafa verið tölvupóstar til vel flestra skóla með áhættumatsskýrslu og skjal sem inniheldur viðauka með verklagsreglum nr. 9.2.  Skýrslur fyrir nokkra skóla eru enn í vinnslu, en þeim verið sendur tengill á gögnin hér.

Þegar hafa komið fram ábendingar um mistök og hef ég brugðist við þeim strax.  Oftast er um það að ræða, að ég hef ruglast á vinnueintaki og lokaeintaki skýrslunnar, en einnig hefur rangt nafn slæðst inn.  Ástæðan fyrir "copy-paste" villum er að hver skýrsla er byggð á grunni annarrar.  Helgast það af því, að algengt er að skólar hafa haft samvinnu um áhættumatið eða sama áhættumatið verið grunnurinn að mati hjá nokkrum skólum.  Í annan stað, þá bjó ég til tvo grunna, þ.e. annars vegar fyrir skóla með 10-14 upplýsingaflokka og hins vegar fyrir skóla með allt að 9 upplýsingaflokka.  Hver skýrsla er samt sér unnin fyrir hvern skóla, en á lokametrunum þá samræmdi ég ábendingar á eftir töflum til að tryggja að sama niðurstaða gæfi ekki af sér margs konar ráðgjöf, eftir því hvenær ég vann skýrsluna.

Ég hef lært það af þessu verki, að maður lofar ekki hátt í 150 áhættumatsskýrslum á svona stuttum tíma.

Annað sem ég hef lært, er að ég hefði átt að setja þessa síðu í loftið strax í janúar.  Að geta verið í beinum samskiptum við skólafólk, hefði breytt miklu fyrir báða aðila.  Nú munu hins vegar leikskólarnir njóta þess lærdóms sem ég hef dregið af vinnunni fyrir grunnskólana.