Nyhetsbrev om nasjonal DPIA for Google Workspace for Education

Lærdom fra webinar med Asker kommune: personvern handler om å legge byggestein på byggestein

Hei !

Denne uka hadde vi et av flere planlagte webinarer hvor vi i SkoleSec og DPIA-prosjektetveileder kommuner én-til-én på webinar. Denne gangen var det Asker kommune og temaet var: «Hvordan gå fra en systemoversikt til en behandlingsprotokoll». 

Videoopptaket fra webinaret vil bli publisert i neste uke, men vi hadde lyst til å dele en av de tingene vi snakket med Asker kommune om i dette nyhetsbrevet: nemlig at hvis du må gjøre endringer i hvordan du har jobbet med personvern, betyr det IKKE at det du gjorde før er feil. Det betyr at du og virksomheten din nå er mer moden og har et annet behov nå som gjør at det er nyttig å endre måten du jobber på. 

Denne holdningen om at hvis du må justere eller gjøre endringer, så betyr det at det du opprinnelig gjorde var feil, er en refleks vi har sett flere steder. Vi tror det er en holdning som vi ofte møter blant oss som driver med personvern og informasjonssikkerhet. Det ligger på en måte i disse fagfeltenes natur at vi skal gjøre ting riktig. Da er det ikke veldig rart at endringer blir sett på som en bekreftelse på at «noe var feil». 

Og poenget med dette nyhetsbrevet er å minne deg på at det ikke er sant. Det at du må gjøre endringer, er egentlig en nøytral ting. Ting har endret seg, kanskje er du faktisk mer moden og nå har du andre behov. 

Dette så vi spesielt hos Asker kommune. Kommunen er der vi tror veldig mange er: de lagde i sin tid en systemoversikt. Denne oversikten inneholder informasjon som formelt svarer til hva en behandlingsprotokoll skal inneholde. Men informasjonen er knyttet til system. 

Nå har kommunen jobbet med personvern og informasjonssikkerhet en god stund, og har derfor behov for en mer helhetlig oversikt over hvordan personopplysninger behandles. Også ut over hva som behandles i det enkelte systemet. 

Og det betyr ikke at å lage en systemoversikt var feil. Den er fortsatt nyttig. Og her kommer poenget: det å ha en systemoversikt var tvert imot helt nødvendig for å komme hit Asker kommune er i dag hvor de kjenner behovet for å gjøre ting på nye måter. 

Så når du gremmes litt over den jobben du gjorde før, husk at du ikke kunne komme til dette punktet hvor du nå «vet bedre» uten å ha lagt den første byggesteinen! 

Jeg ønsker deg en riktig god, personvernvennlig helg!

Vennlig hilsen 

Ida Thorsrud

prosjektleder nasjonal DPIA

Ps. Se tidligere webinarer i opptak og meld deg på de neste webinarene her!

KS er kommunesektorens organisasjon og representerer alle
norske kommuner og fylkeskommuner.

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!

Newsletter: Progress on the National DPIA for Google Workspace for Education

Lesson learned: privacy compliance is an iterative process 

Hi !

This week, we held one of several planned webinars where we at SkoleSec and the DPIA project provide one-on-one guidance to municipalities via webinar. This time, it was Asker Municipality, and the theme was: "How to go from a system overview to a record of processing."

The video recording from the webinar will be published next week, but we wanted to share one of the points we discussed with Asker Municipality in this newsletter: namely, if you need to make changes in how you've worked with data protection, it does NOT mean that what you did before was wrong. It means that you and your organization are now more mature and have different needs that make it useful to change how you work.

This attitude that needing to adjust or make changes means that what you originally did was wrong is one we sometimes encounter. We believe it's a common mindset among those of us who work with data protection and information security.

It's somewhat in the nature of these fields that we should do things correctly. Therefore, it's not surprising that changes are often seen as a confirmation that "something was wrong."

The point of this newsletter is to remind you that this isn't true. The need to make changes is actually a neutral thing. Circumstances have changed, maybe you are indeed more mature now, and now you have different needs.

This was particularly evident with Asker Municipality. The municipality is where we believe many others are; they created a system overview in the past. This overview contains information that formally corresponds to what a record of processing should contain, but the information is tied to systems.

Now, having worked on data protection and information security for a while, the municipality needs a more comprehensive overview of how personal data are processed, beyond what is processed in each individual system.

This doesn't mean that creating a system overview was wrong. On the contrary, having a system overview was absolutely necessary to get to where Asker Municipality is today, where they feel the need to do things in new ways.

So, when you feel a bit uneasy about the work you did before, remember that you couldn't have reached this point where you now "know better" without having laid that first cornerstone!

I wish you a wonderful, privacy-friendly week-end!

Best regards,

Ida Thorsrud

Project manager national DPIA

This newsletter was translated from Norwegian to English with assistance from ChatGPT by OpenAI. While it guided our translation, we made independent editorial choices. Any discrepancies result from this combined approach.

KS is The Norwegian Assosiation of Local and Regional Authorities

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!