Nyhetsbrev om nasjonal DPIA for Google Workspace for Education

Hvordan kan vi ta tiden til hjelp? Et svar på hvorfor det å gjøre en DPIA tar tid! 

Hei !

Det nasjonale DPIA-prosjektet tar tid. Og for deg som er utenfor kan det se ut som denne DPIAen ikke bare tar tid, men tar skikkelig lang tid. 

I dette nyhetsbrevet vil vi derfor snakket litt om hva som er planen for når vi skal være ferdig, men først og fremst hvordan vi tar tiden til hjelp. 

Planen for det nasjonale DPIA-prosjektet

Her ser du planen vår for de forskjellige delene av DPIAen. Helt konkret har vi forskjellige arbeidsflyter innenfor den overordnede leveransen «Felles overordnet DPIA». 

Vi er ganske à jour, og som du ser er opprinnelig plan at vi skal være ferdig i mars 2024. Det kan nok være at deler av DPIAen ikke er ferdig til da, men det vil vi holde deg oppdatert på gjennom dette nyhetsbrevet.  
Men dette nyhetsbrevet handler ikke om å presentere planen for deg for å understeke hvor flinke vi i prosjektet er til å holde planen. Ikke bare i alle fall. Du som har jobbet etter en plan vet at den er et utgangspunkt, og så må den endres når plan møter virkelighet. 

Det vi ønsker å snakke om i dette nyhetsbrevet er hvordan vi sånn helt på ekte har brukt tiden til hjelp. Hvordan det å jobbe med den nasjonale DPIAen over tid har vært helt nødvendig for å modnes og å finne ut av hva som egentlig er behovet. Hvordan sluttresultatene kan bli best mulig.  

Forventningen til at du som ekspert burde jobbe raskere

Selv om mange av oss som jobber i prosjektet er eksperter på de forskjellige fagfeltene våre og derfor har masse erfaring med personvern, DPIAer og alt det som ligger rundt, har prosjektet vært en stor læringsprosess, også for oss. 

Som eksperter har vi en tendens til å haste fremover. Vi er jo tross alt ekspertene, og mange av oss har en internalisert forventningen om at vi allerede burde ha visst svaret. Dette vi nå driver med burde være enkelt for oss. Vi burde allerede ha vært ferdig. 

Men det er ikke slik vi som mennesker fungerer. Ting trenger tid til å modnes. Også når du er ekspert. La oss illustrere det med å fortelle om hvordan vi har arbeidet med features i Google Workspace for Education. 

Ting trenger tid for å modnes 

Da vi først startet å jobbe med den nasjonale DPIAen, så vi fort at vi møtte gjøre noe med «features». 

Først og fremst var det noe uklart for oss hva «features» var. Vår forståelse på det tidspunktet var at det var snakk om funksjonalitet i Google Workspace for Education, og at det var funksjonalitet som kunne endres raskt. 

Bergen kommune hadde forsøkt å få en oversikt over hvor mange «features» som fantes i Google Workspace for Education, men det var vanskelig å få en fullstendig oversikt. 

Som sagt, vi visste at vi «måtte gjøre noe med features», men vi visste ikke hva. 

Skulle vi se på «features» som en behandling av personopplysninger? Var det viktig for kommunen å få den fullstendige oversikten over funksjonalitet i løsningen for å kunne si hvilke personopplysninger som ble behandlet? Skulle vi lage en oversikt over alle features? 

Vi kom til at nei, det ville være lite hensiktsmessig å lage en oversikt over alle features, siden den oversikten ville bli utdatert nesten med én gang vi var ferdig med den. Dette fordi Google kjørte ut endringer i løsningen stadig vekk. 

Og akkurat her begynte vi å forstå hva vi «måtte gjøre med features»: Vi måtte finne ut hvordan skoleeier som behandlingsansvarlig skulle rigge seg for å kunne håndtere slike endringer. Det handlet rett og slett om ✨endringshåndtering✨. 

Når du kjøper et system som Google Workspace for Education, kjøper du ikke noe som er statisk. Systemet oppdateres og endres. Og det krever at du som skoleeier og behandlingsansvarlig skal kunne forvalte endringene.   

For oss betydde dette at leveransen slett ikke skulle handle om å få oversikt, men om hva du som skoleeier må ha på plass for å kunne forvalte en løsning som Google Workspace for Education som er i kontinuerlig endring. 

For hvis endringen er stor nok, må skoleeier ta stilling til om risikobildet også har endret seg. For hvis det har det, kan det være at DPIAen din må oppdateres. 

Og hvis det er snakk om en liten endring, kan den likevel ha konsekvenser som du må ta stilling til. En endring kan f.eks. gjøre at Google har endret standardinnstillingene slik at en tilleggstjeneste du har bestemt deg for å ikke bruke, faktisk blir skrudd på. 

Det trenger ikke være en stor risiko knyttet til det, men det er likevel en situasjon som behandlingsansvarlig må ha kontroll på. 

Poenget er: det at «features» handlet om endringshåndtering, er innsikt vi ikke hadde fått om vi hadde forhastet oss.

Vi tok tiden til hjelp!  

Jeg ønsker deg en riktig god, personvernvennlig helg!

Vennlig hilsen 

Ida Thorsrud

prosjektleder nasjonal DPIA

Ps. Lurer du på hvilke anbefalinger vi kommer med for å håndtere endringer? Om ca to uker vil vi publisere anbefalingene våre til hvordan du kan håndtere endringer i Google Workspace for Education. Vi gleder oss 😊 

KS er kommunesektorens organisasjon og representerer alle
norske kommuner og fylkeskommuner.

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!

Newsletter: Progress on the National DPIA for Google Workspace for Education

How can you use time as your friend? An answer to why carrying out a DPIA takes time! 

Hi !


The national DPIA project takes time. And for those of you on the outside, it might seem like this DPIA isn't just taking time, but is really taking a long time. 

In this newsletter, we want to discuss our timeline for finishing the project, bur more importantly, how we're using time to our advantage.

The project plan 
The illustration under is an overview of the project plan and the timeline for the various parts of the DPIA. Specifically, we have different workflows within the overarching DPIA. 

We're pretty much on track, and as you can see, our original plan is to finish the DPIA by March 2024. It's possible that parts of the DPIA might not be completed by then, but we'll keep you updated through this newsletter.

However, this newsletter isn't just about showcasing our plan to emphasize how good we are at sticking

to it. Not entirely, at least. 

Those of you who have worked according to a plan know that a plan is a starting point, and it needs to be adjusted when it meets reality. 

What we want to discuss in this newsletter is how we've genuinely used time to our benefit. How working on the national DPIA over time has been essential to understand the contoller's actual needs, so that we produce a final result that actually help the contoller.

Our expectation as experts that we should work fast

Even though many of us working on the project are experts in our respective fields and have a lot of experience with privacy, DPIAs, and everything related, the project has been a significant learning process for us too. 

As experts, we tend to want to rush forward. After all, we are the experts, and many of us have an internalized expectation that we should already know the answer. That what we're doing should be so easy for us, that we should have already finished.

But that's not how we, as humans, operate. Things need time to mature and progress take sits own time. Even when you're an expert. Let's illustrate this by discussing how we've worked with features in Google Workspace for Education.

Progress takes its own time

When we first started working on the national DPIA, we quickly realized we needed to do something about «features». 

Initially, it was unclear to us what «features» meant. Our understanding at the time was that it referred to functionality in Google Workspace for Education, and that this functionality could change rapidly. 

Bergen municipality had already tried to get an overview of how many «features» existed in Google Workspace for Education, but it was challenging to get a complete overview.

As previously mentioned, we knew we had to «do something about features», but we didn't know what. 
Should we view «features» as a processing of personal data? Was it essential for the municipality to have a complete overview of the functionality in order to know what personal information they processed? Should we make a complete overview of all features? 

We concluded that no, it wouldn't be practical to create an overview of all features since that overview would become outdated almost as soon as we finished it. This is because new functionality in the form of «features» is continously rolles out. 

And right here, we began to understand what we had to «do about features»: We needed to figure out how the data controller should set themselves up to handle such changes. Yes, this was about ✨change management✨.  

When you purchase a system like Google Workspace for Education, you're not buying something static. The system gets updated and changed, and it requires that you, as a controller, can manage these changes.

For us, this meant that what we should do about features, had nothing to do with getting an overview, but everything to do with what the controller needed to have in place to manage a system like Google Workspace for Education that is constantly changing. 

If the change is significant enough, the controller have to determine if the overall risk that the controller face has also changed. If it has, your DPIA or risk assessment might need an updating. 

And if it's a minor change, it can still have consequences that you need to address. For instance, a change might mean that Google has altered the default settings so that an additional service you've decided not to use is actually turned on. It might not pose a significant risk, but it's still a situation that you as the data controller have to control.

The point is: the realization that features were about change management, was an insight we wouldn't have had if we had rushed the process. We took our time and it payed off!

I wish you a wonderful, privacy-friendly week-end!

Best regards,

Ida Thorsrud

Project manager national DPIA

This newsletter was translated from Norwegian to English with assistance from ChatGPT by OpenAI. While it guided our translation, we made independent editorial choices. Any discrepancies result from this combined approach.

Ps. Are you curious about the recommendations we'll make for change management? In about two weeks, we'll publish our recommendations on how you can manage changes in Google Workspace for Education. We are looking forward to it 😊

KS is The Norwegian Assosiation of Local and Regional Authorities

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!