4.1 Institusjonelle praksiser og etterlevelse av GDPR
Spenningsfeltet mellom personvernrettslige krav og datadrevet campusdrift aktualiseres særlig når høyere utdanningsinstitusjoner tar i bruk kommersielle systemer for læringsanalyse. Implementeringen av slike analyseplattformer preges ofte av reaktive tilnærminger til studenters personvern, der institusjonelle retningslinjer og prosedyrer først utvikles i etterkant av de teknologiske valgene (Student Privacy and Learning Analytics, 2023). Dette skaper en betydelig strukturell utfordring overfor personvernforordningens krav om innebygd personvern, rettferdighet og formålsbegrensning. Samtidig viser empiriske undersøkelser av analytiske styringsverktøy at et strengt regulatorisk rammeverk som GDPR ikke nødvendigvis forhindrer verdifull dataanalyse, men tvert imot kan etablere økt transparens og sterkere beskyttelse for den enkelte uten å stanse analyseprosessene (Between Privacy Protection and Data Progression, 2018). Når disse posisjonene sammenholdes, blir det tydelig at konflikten mellom analytisk progresjon og individvern ikke primært skyldes fundamentalt uforenlige formål, men snarere mangelen på helhetlig forankring i organisasjonens forvaltningspraksis. Mens en rent teknologidrevet praksis ofte tenderer mot å samle inn omfattende datasett for fremtidig nytte, krever GDPR en systematisk proporsjonalitetsvurdering som begrenser sekundærbruk til spesifikke, forhåndsdefinerte og legitime formål. For universiteter og høyskoler innebærer dette at læringsanalyse ikke kan behandles som et rent teknisk støtteverktøy, men må underlegges eksplisitte etiske og juridiske vurderinger fra planleggingsfasen. En proaktiv etterlevelsesmodell, slik den etterlyses i nyere forskning (Student Privacy and Learning Analytics, 2023), krever derfor at studentenes rettigheter og integritet ivaretas gjennom kontinuerlig institusjonell åpenhet, tydelig formålsstyring og grundige risikovurderinger før sekundære campusdata tas i bruk.