Nyhetsbrev om nasjonal DPIA for Google Workspace for Education og Microsoft 365

Hvordan er det å ta DPIAen fra 80 til 100 %? Erfaringer fra Narvik kommune

Hei !

Mandag hadde vi et webinar med Narvik kommune, hvor vi var så heldige at de delte fra sine erfaringer med å justere og tilpasse den nasjonale DPIAen for bruk av Google Workspace for Education.

 
Den nasjonale DPIAen foreligger som kjent i en 80% versjon, og det er nødvendig at skoleeier gjør den til sin egen for å kunne ferdigstille den i en 100% versjon. 

Vi hadde noen tekniske problemer, så det ble dessverre ikke opptak fra dette webinaret. 

Men! Vi prøver å oppsummere samtalen i dette nyhetsbrevet!

Det som tar tid, er å lage og følge opp handlingsplanen som er et resultat av DPIAen
Det Narvik kommune har erfart med DPIA-arbeidet, er at det som tar aller mest tid, er å ferdigstille og så jobbe med en handlingsplan. 

Hvis du har fulgt med på et av mange webinarer hvor vi har hjulpet Ullensvang kommune med å gjøre selve personvernkonsekvensvurderingen i DPIAen, har du kanskje lagt merke til at vi flere ganger identifiserer «aksjonspunkter». 

Dette er tiltak eller ting som skoleeier må følge opp for å redusere risikoen for personvernbrudd. Det kan være så enkelt som skru på en konfigurasjon, eller så komplisert som å bestemme seg for hvordan kommunen skal informere elever om hvordan deres personvern ivaretas.

Som du ser av dette eksempelet, er det tiltak på denne handlingsplanen som kanskje må bli løpende oppgaver. Det å informere elever er et slikt eksempel. For det holder kanskje ikke med en personvernerklæring, kanskje må elevene informeres mer aktivt. 

Og siden elevmassen byttes ut ved jevne mellomrom, betyr det at skoleeier må bestemme seg for hvordan elever skal informeres over tid. 

For å oppsummere: det som tar tid er å lage og følge opp en handlingsplan. 

Dette tar mer tid hvis kommunen som behandlingsansvarlig ikke har et generelt system for f.eks.  hvordan informerer de registrerte (her lærere, elever, foresatte og andre ansatte) om hvordan deres personvernrettigheter ivaretas. 

Eller hvis kommunen ikke har bestemt seg for hvem som skal håndtere henvendelser om sletting etter GDPR. 

Da må dette på plass som en del av Google-DPIAen, selv om akkurat dette temaet åpenbart er mye større enn kommunens bruk av Google Workspace for Education.    

Samarbeid, særlig mellom IT og oppvekst, er avgjørende for å lykkes
Narvik kommune beskriver et forbilledlig samarbeid mellom IT (drift) og oppvekst. Vi i SkoleSec kjenner til skoleeier som ikke har denne typen samarbeid, og hvor det derfor er mye vanskeligere å lykkes med personvern og informasjonssikkerhet.

Men dette gjelder altså ikke Narvik kommune. Kommunen beskriver at ansatte på IT og oppvekst jobber tett med å lage den ovennevnte handlingsplanen, og å følge den opp. 

De beskriver også at de ser at dette er et arbeid de MÅ gjøre sammen. 

Og det gir veldig mening! 

IT vil typisk ha ansvar for implementeringen av tekniske tiltak som skal redusere personvernkonsekvensene, mens oppvekst historisk sett har hatt et større ansvar for det som så fint heter organisatoriske tiltak. 

Disse to typene av tiltak må sees i sammenheng. De er avhengige av hverandre og må koordineres. 

Denne typen samarbeid tar tid, men det er også en viktig forutsetning for å kunne lykkes med det etterlevelsesarbeidet som er nødvendig for å bedre personvernet hos skoleeier.  

Med så mye jobb, er det viktig å få forankring hos ledere
Narvik kommune beskriver at det å lage og følge opp en handlingsplan, tar tid. Dette er tid som kunne ha blitt til andre ting. 

Ja, det vi er inne på nå er ledelsesforankring. For å kunne bruke tid på dette, er mange av oss avhengige av at lederne våre har sagt at dette er et arbeid som skal prioriteres. 

Særlig gjelder det når IT og oppvekst skal samarbeide, for disse to avdelingene er som regel organisert under forskjellige ledere.  

Dette er et arbeid som tar tid, så husk å ta pauser, feire milepæler og plukk opp igjen tråden hvis (eller rettere sagt «når») du mister den!

La oss starte med det siste først. Jeg har hørt engang at det som skiller amatører fra profesjonelle, er evnen til å plukke opp igjen en arbeidsoppgave etter at vi har neglisjert den en stund. 

Og dette er noe jeg synes er spesielt relevant for denne typen etterlevelsesarbeid. For ting vil skje som gjør at det mer langsiktige arbeidet med å følge opp handlingsplanen vil bli satt på is. Om ikke annet så for en liten stund. 

Problemet er ikke at dette skjer. I en travel kommunehverdag VIL det skje. Igjen og igjen. Dette blir først et problem om vi ikke evner å ta opp igjen arbeidet. 

Jeg kunne ha brukt mange forskjellige klisjeer om hvor langvarig etterlevelsesarbeid på personvern og informasjonssikkerhet er. Det er en maraton. Vi er Frodo og Sam som går til Mordor. Men penget er at dette tar tid. 

Og da må du sette av rikelig tid til pauser. Påfyll av næring og energi. Tid til å gjøre helt andre ting, samtidig som du gradvis og skritt for skritt beveger deg mot mål. 

Den siste tingen jeg vil at du skal gjøre, er å feire alle milepæler. Og ikke bare milepæler, feire de bitte små tingene som føles for uviktige til å feires. 

Som nevnt er dette arbeidet langtekkelig, og vi blir dessuten «aldri ferdig». Du vil alltid kunne gjøre forbedringer i styringssystemet ditt f.eks. Og da er det desto viktigere at du bestemmer når noe er verdt å feire. 

Jeg anbefaler å feire ofte! Det gjør det langtekkelige arbeidet både morsommere og enklere! 

Jeg ønsker deg en riktig god, personvernvennlig helg!

Vennlig hilsen 

Ida Thorsrud

prosjektleder nasjonal DPIA

KS er kommunesektorens organisasjon og representerer alle
norske kommuner og fylkeskommuner.

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!

Newsletter: Progress on the National DPIA for Google Workspace for Education and Microsoft 365

What’s it like taking the DPIA from 80 to 100%? Lessons from Narvik Municipality

Hi !

On Monday, we held a webinar with Narvik Municipality, where we were fortunate enough to have them share their experiences with adapting and finalizing the national DPIA for the use of Google Workspace for Education.

As you may know, the national DPIA exists in an 80% version, and it’s necessary for the data controller—typically the school owner—to complete it into a full 100% version to make it their own.

Unfortunately, we experienced some technical difficulties and were unable to record the webinar.

But! We're summarizing the discussion in this newsletter!

The most time-consuming part: creating and following up on the action plan that results from the DPIA

Narvik Municipality has learned that the most time-consuming aspect of the DPIA process is not necessarily completing the DPIA itself, but creating and then working through the action plan that comes out of it.

If you’ve attended any of our many webinars where we assisted Ullensvang Municipality with conducting the actual data protection impact assessment within the DPIA, you’ve probably noticed that we frequently identify "action points."

These are steps or measures the data controller (school owner) must take to reduce the risk of privacy breaches. These actions can range from something as simple as adjusting a configuration, to something as complex as deciding how to inform students about how their privacy is protected.

As this example shows, some actions from the action plan may need to become ongoing responsibilities. Informing students is one such example. A privacy policy alone may not be sufficient—students may need more active communication.

And since the student population changes regularly, the school owner must decide how to ensure students continue to receive this information over time.

To sum up: what takes time is developing and following up on the action plan.

This process takes even longer if the municipality, as the data controller, does not already have a general system for, for example, informing data subjects (in this case, teachers, students, parents, and other staff) about how their data protection rights are ensured.

Or if the municipality hasn’t yet decided who will handle deletion requests under the GDPR.

In that case, this needs to be addressed as part of the Google DPIA—even though this issue clearly extends beyond just the use of Google Workspace for Education.

Collaboration—especially between IT and education departments—is essential for success

Narvik Municipality describes an exemplary collaboration between their IT (operations) and education departments. At SkoleSec, we’re aware of other school owners who don’t have this type of cooperation, making it much harder to succeed with data protection and information security.

But that’s not the case in Narvik. The municipality describes how IT and education staff work closely together to develop and follow up on the action plan mentioned earlier.

They also recognize that this is work that must be done together.

And that makes perfect sense!

IT typically takes responsibility for implementing technical measures to reduce privacy risks, while the education department has historically been more involved in so-called organizational measures.

These two types of measures need to be seen as interconnected. They depend on one another and must be coordinated.

This kind of collaboration takes time, but it's also a key prerequisite for succeeding with the compliance work necessary to improve privacy protections for school owners.

With so much work involved, leadership support is crucial

Narvik Municipality points out that developing and following up on an action plan is time-consuming. Time that could have been used elsewhere.

Yes—we’re now talking about leadership buy-in. To be able to spend time on this work, many of us depend on our leaders making it clear that this is a priority.

This is especially important when IT and education must work together, as these departments are usually under different leadership structures.

This work takes time—so take breaks, celebrate milestones, and get back on track when you lose it

Let’s start with the last point. I once heard that what separates amateurs from professionals is the ability to pick up a task again after neglecting it for a while.

That feels particularly relevant in this kind of compliance work. Things will happen that cause the long-term work of following up on the action plan to be paused—at least temporarily.

The problem isn’t that this happens. In the busy reality of municipal work, it will happen—again and again. It only becomes a problem if we don’t have the ability to pick up the work again afterward.

I could use a lot of clichés about how privacy and information security compliance work is a long journey. It’s a marathon. We’re Frodo and Sam heading to Mordor. But the point is: this takes time.

So make sure to take breaks. Refill your energy and motivation. Take time to do other things, while gradually moving forward step by step.

The last thing I want to emphasize is to celebrate every milestone. And not just the big ones—celebrate the tiny things that might seem too insignificant to celebrate.

As mentioned, this is a long process, and you’re never truly “done.” There will always be room for improvement in your management system, for example. That’s why it’s even more important that you decide what’s worth celebrating.

I recommend celebrating often! It makes the long road more enjoyable—and easier!

I wish you a wonderful, privacy-friendly week-end!

Best regards,

Ida Thorsrud

Project manager national DPIA

This newsletter was translated from Norwegian to English with assistance from ChatGPT by OpenAI. While it guided our translation, we made independent editorial choices. Any discrepancies result from this combined approach.

KS is The Norwegian Assosiation of Local and Regional Authorities

Jeg ønsker ikke å motta flere nyhetsbrev 

Have you missed any newsletter? You can read them here!