Hver dag bruger langt de fleste af landets godt 100.000 gymnasieelever sammen med deres ­gymnasielærere administrations- og kommunikationsplatformen Lectio.

Platformen benyttes af mere end 90 pct. af landets gymnasier.

Hovedparten af informationerne på platformen ligger bag et login, men når det gælder detaljerede oplysninger om hver enkelt navngivne elevs skemaer og skemaændringer, holdlister med navngivne kammerater og studie­rapporter er systemet designet til at være ­pivåbent.

Med ganske få klik står det enhver uanset hensigt frit for at finde frem til oplysningerne.

Berlingske har uden problemer kunnet ­finde oplysninger om unge medlemmer af kongehuset og landets rigeste familier, børn af ­kendte topchefer i landets største virksomheder og politikere, børn af kendte skuespillere, musikere og mediefolk.

»Det er klart, at det er en mulig sikkerhedsrisiko, at denne typer oplysninger ligger ­offentligt tilgængeligt. Men om det er en reel risiko, vil afhænge af en konkret, samlet ­vurdering af den enkelte persons sikkerhedsmæssige situation,« siger tidligere PET-chef Jakob Scharff, adm. dir. og medstifter af ­virksomheden Certia Intelligence & Security.

Én af de opgaver, Scharff og hans virksomhed udfører, er sikkerhedsvurderinger og ­-analyser af private virksomheder, deres topchefer og familie.

Kongehuset har ikke ønsket at ­kommentere, at oplysninger om et af dets medlemmer ­figurerer på Lectio, og den pågældendes ­skole henviser til foreningen Danske Privatskoler.

Det er da også langt fra kun, når det gælder børn af samfundets spidser, at oplysningerne på Lectio skaber bekymring.

Efter kupforsøget i Tyrkiet sidste sommer blev 14 danske gymnasier placeret på en liste over skoler, der støtter den tyrkiske præsidents modstandere og »terror«. Listen har siden cirkuleret på de sociale medier.

Et af gymnasierne er Høje Taastrup ­Private Gymnasium, hvis rektor, Crilles Bacher, ­også er formand for gymnasieudvalget i Danske Privatskoler.

Sidste sommer fik Crilles Bacher en ­henvendelse fra en elev, som var bekymret over, at vedkommendes oplysninger var frit tilgængelige.

Af en orientering, som Crilles ­Bacher har sendt til den daværende undervisningsminister Ellen ­Trane Nørby, fremgår det, at rektoren rettede henvendelse til leverandøren af ­Lectio.

»Den 22/8 (2016, red.) modtog jeg svar fra Lectio om, at det ikke var muligt at anonymisere elevernes navne. Jeg er senere mundtligt blevet orienteret om, at navne kan udskiftes med numre, men at dette så ville gælde hele det studieadministrative system. Både af hensyn til arbejdsmængden og det kaos, jeg kan se, det vil skabe at udskifte navne med numre, har jeg undladt dette,« skriver Crilles ­Bacher til den daværende undervisnings­minister.

Crilles Bacher er stærkt utilfreds med ­situationen, som endnu ikke er løst. Han ­understreger endvidere over for Berlingske, at foreningen Danske Privatskoler ikke har ­accepteret den nuværende indretning af ­Lectio.

»Foreningen har ikke til opgave at acceptere eller godkende bestemte systemer. Der indgår mange parametre i den enkelte skoles i valg af studieadministrationssystem, og den meget store åbenhed, Lectio har, er ikke en af de faktorer, der taler for at vælge dette system,« skriver han i en mail til Berlingske.

Han har nu rettet fornyet henvendelse til leverandøren.

Adgangen til de detaljerede informationer om hver enkelt danske gymnasieelev er ­heller ikke en situation, som foreningen Danske ­Gymnasier, der dækker de offentligt finansierede gymnasier i landet, er stolt af.

Danske Gymnasier har ifølge Berlingskes oplysninger de seneste år med stigende ­styrke forsøgt at få leverandøren af Lectio til at ændre systemet, så al information ligger bag ­login, ligesom gymnasierne har ønsket større ­datasikkerhed omkring Lectio.

»Da systemet blev lanceret i 2005, var der ikke den samme fokus på datasikkerhed som i dag. Men der er sket en udvikling i sam­fundet, og behovet for beskyttelse er vokset,« siger Anne-Birgitte Rasmussen, formand for ­Danske Gymnasier.

»Lectio er meget populært på gymnasierne, fordi det er nemt at bruge og billigt, men over årene har vi med stigende styrke ønsket at få forbedret datasikkerheden omkring systemet, herunder at få lagt alle oplysninger bag login. Det er nu et meget stort ønske fra vores side,« udtaler hun.

Svært at lave beredskabsplaner

Ifølge Berlingskes oplysninger har Danske ­Gymnasier heller ikke haft held til at få ­leverandøren bag Lectio til at lægge skema- og holdoplysninger bag login. Konsekvensen er, at det for eksempel er svært for ­gymnasierne at lave ordentlige beredskabsplaner mod skole­skydning og terror, når detaljerede skema­oplysninger ligger frit tilgængeligt.

Men med den nuværende lovgivning er det de enkelte gymnasiers eget ansvar, at oplysningerne er offentligt tilgængelige, oplyser undervisningsminister Merete Riisager til Berlingske.

Datatilsynet, som skal kontrollere, at blandt andet Persondataloven bliver overholdt, har et par gange behandlet en klage over Lectios omgang med oplysningerne på den åbne del af hjemmesiden. Gymnasie­lærerne er nemlig også utilfredse med situationen, blandt andet fordi det på Lectios åbne del er muligt at finde oplysninger om, hvornår en lærer er syg eller har fri.

I 2009-10 behandlede Datatilsynet således en klage, men her vurderede tilsynet, at der ikke var tale om brud på persondataloven, og at det var det enkelte ­gymnasiums ansvar at vurdere, om det var rimeligt at lægge oplysninger, som kunne ­vise lærernes sygefravær og lignende ud på Lectio.

»Ministeriet lægger til hver en tid Data­tilsynets fortolkning af loven til grund for sin praksis. Som det er nu, har Datatilsynet ikke vurderet, at Lectio ikke overholder Person­dataloven,« skriver undervisningsminister Merete Riisager i en mail til Berlingske.

»Vi stiller ikke krav til gymnasierne, der ligger ud over persondataloven, men jeg har en klar forventning om, at gymnasierne følger med og reagerer på eventuelle generelle råd om beskyttelse af personoplysninger. Og selvom det ikke er ulovlig praksis, er det oplagt, at gymnasierne overvejer, om det er nødvendigt med offentligt tilgængelig data om ­eleverne – nuværende såvel som tidligere – på internettet,« fortsætter undervisningsminister Merete Riisager i en mail til Berlingske.

Danske Gymnasier sætter deres lid til, at EUs nye regler for beskyttelse af persondata, som træder i kraft 25. maj 2018, vil betyde en stramning, som kan tvinge leverandøren til at ændre sit ­system.

Leverandøren er den lille IT-virksomhed Macom, som i 2003 begyndte at udvikle Lectio. Lectio ­opstod efter en idé fra en pensioneret matematik- og fysiklærer på Nørre Gymnasium i København, Einar Poulsen. Ideen blev overtaget af Einar Poulsens søn, Mads Steckel Poulsen, der i dag er bestyrelses­formand for ­Macom, og hans ven, Martin Holbøll, der er adm. direktør i firmaet.

De videreudviklede ideen til det, der i dag er Lectio.dk, som er tæt på at sidde på hele markedet for administrations- og lærings­platforme på gymnasieområdet i Danmark.

Økonomisk ser det ud til at være en fin forretning. Ifølge årsregnskabet for 2016, som blev offentliggjort for godt en måned siden, voksede selskabets bruttofortjeneste med 33 pct. til 12 mio. kr., mens driftsresultatet blev mere end fordoblet fra 1,7 mio. kr. i 2015 til 4,2 mio. kr. i 2016, og resultatet efter skat landede på 3,2 mio. kr. sidste år mod 2,3 mio. kr. i 2015.

Gemmes til evig tid

Over for Berlingske henviser adm. direktør Martin Holbøll til, at virksomheden følger Kulturarvsstyrelsens regler, og understreger med henvisning til afgørelser fra Datatilsynet, at virksomheden ikke har overtrådt persondataloven.

»Kulturarvsstyrelsens regler er, at man skal gemme de eksamensbeviser, folk har fået, til evig tid,« siger Martin Holbøll.

Her taler vi ikke om eksamensbeviser, men om oplysninger, som er offentligt tilgængelige, om skemaer og holdkammerater for enkeltpersoner. Hvorfor har I valgt at levere den løsning?

»Beviserne bliver dannet ud af de oplysninger, der ligger om, hvilke hold og forløb ­eleverne har deltaget i. Men jeg tror, det bliver lavet om, når EUs Persondataforordning træder i kraft i maj 2018. Der er en arbejdsgruppe i gang, og planen er, at Folketinget fremsætter ny lovgivning i oktober 2017, som træder i kraft 25. maj 2018,« siger Martin Holbøll.

Men nu spørger jeg til den hidtidige løsning, som betyder, at der ligger detaljerede oplysninger, som alle kan få fat i, helt tilbage til 2005. Hvorfor har I som virksomhed valgt at tilbyde en løsning, der giver alle adgang til så detaljerede oplysninger om enkeltpersoner?

»Jeg synes, der er en vis bias i de spørgsmål, du stiller, som om der ligger en bestemt holdning bag. Vi kan som virksomhed ikke have holdninger. Det har man interesseorganisationer til. Datatilsynet er myndighed på ­området, og de har afgjort, at det er i orden,« siger Martin Holbøll.

Berlingske har forsøgt at få en uddybende kommentar fra Datatilsynet, men det er ikke lykkedes på grund af påskeferien.