Hei !
Før nyhetsbrevet begynner på ordentlig, vi skal ha et nytt webinar sammen med UIlensvang kommune på tirsdag 25. mars fra kl. 13.00-14.30.
Konkret skal vi fylle ut selve personvernkonsekvensdelen av DPIAen. Det betyr å gjennomgå og vurdere risikoscenarioer. Så hvis du er usikker på hvordan vurdere det som kanskje er kjernen i en DPIA, kom på webinar!
Meld deg på her: https://events.teams.microsoft.com/event/1ea0f2f8-8610-483e-a6b7-d50cd8148fd9@e1ae18b6-de6f-4b87-a2fc-90d6217d954e
Nå over til nyhetsbrevet: Vi kommer til å skuffe deg? Det er en dramatisk overskrift. Hva mener vi egentlig med det?
Da vi jobbet med DPIAen for Google Workspace for Education, ble det raskt tydelig at folk hadde ønsker, tanker og forventninger til hvordan denne DPIAen skulle bli:
- Skoleeiere som ønsket å bruke tilleggstjenestene – som ikke kunne tenke seg en verden der elevene ikke hadde tilgang til YouTube.
- Skoleeiere som ønsket en ferdig DPIA som de kunne skrive under på og så var de ferdig med personvernetterlevelse for i år.
- Skoleeiere som hadde en veldig sterk mening om hva som var det korrekte primære behandlingsgrunnlaget, og at vårt arbeid skulle gi dem rett.
-
Personverneksperter som mente at Google var en leverandør som ikke hadde noe å gjøre i norsk skole, og som forventet at vi kom til å konkludere med at alle Google-produkter skulle forbys.
- Foresatte som ønsker mindre skjerm i skolen, og som så for seg at Google-DPIAen kunne tale deres sak.
Lista er lang, og vi kunne ha kommet med mange flere eksempler. Men la oss stoppe her fordi poenget er: har du forventninger til den DPIAen vi nå er i ferd med å gjøre på M365, kan vi nesten garantere deg at du vil ble skuffet.
Vi kommer ikke til å svare ut alle de tingene du ønsker i denne DPIAen.
Allerede vet vi at flere ønsker at vi skal gjøre en DPIA av Copilot. Det kommer vi ikke til å gjøre. Arbeidshypotesen vår er at vi gjør en DPIA av alt det du må ha orden på FØR du i det hele tatt kan vurdere å skru på Copilot.
Så vær forberedt på å bli skuffet!
Det gjelder deg som er ansatt i en kommune som bruker M365, og som ønsker at vi skal gjøre vurderinger av akkurat DEN tjenesten dere bruker spesifikt i skolen. Du som ønsker vi skal se på alle tjenestene i M365, vil oppleve at vi ikke innfrir akkurat her.
Du er kanskje en som mener at vi burde ha gjort vurderinger av systemene til en annen leverandør? Eller du som mener at vi ikke burde ha startet på denne DPIAen, fordi vi burde ha tatt alle de store skyleverandørene som brukes i skolesektoren samtidig?
Du mener at vi ikke gjør grundige nok vurderinger? Du mener for eksempel at vi burde ha vurdert alle Microsoft sine underleverandører. Eller du mener at vi bør gjøre mer omfattende tekniske undersøkelser.
Eller du er en som vil bli skuffet over de resultatene vi kommer til i DPIAen? Enten fordi du mener at vi ikke er strenge nok, eller fordi du mener at vi disse personverngreiene er sterkt overdrevet? Eller kanskje du synes at anbefalingene våre ikke er tydelige nok?
Jeg er her for å si at du vil bli skuffa. Og det er greit, fordi vi må starte et sted.
Vi må starte et sted
Da vi diskuterte hvordan vi i prosjektet skal kommunisere med deg som er interessert i å følge med på hvordan det går, var vi inne på flere mulige løsninger. Noen av dem var langt mer kompliserte enn at prosjektet skriver et nyhetsbrev til deg ca. en gang i uka.
Men vi valgte denne formen fordi vi visste at den var gjennomførbar. Det er den samme rettesnoren vi har for DPIAen: Vi skal legge oss på det nivået som er realistisk akkurat nå, og det som faktisk svarer på utfordringen.
Og det er en tendens vi har sett andre steder i etterlevelsesarbeid. Hvis utfordringen blir for overveldende, er det enklere å ikke gjøre noe, enn faktisk å starte.
Det handler rett og slett om å ikke la ideen om det perfekte bli det godes fiende. Det vil fremdeles være et omfattende arbeid som er gjort og som dere vil dra nytte av, til tross for at den ikke ble akkurat sånn som du hadde tenkt. Selv om du skulle ønske at den så annerledes ut, eller at premissene var noen andre enn det de er.
Vi ser på denne DPIAen som en grunnmur, noe det kan bygges på etter hvert. Ingen byggverk er særlig imponerende ved oppstart, men de kan heller ikke eksistere uten dette fundamentet.
Og kanskje er ikke fundamentet optimalt. Men det som er fint er at dette ikke er et byggverk. Så det vil være forholdsvis enkelt å justere selv dette fundamentet om det skulle vise seg å ikke fungere slik vi ønsker at det gjør.
Vi kan justere underveis, og vi kan lære av de erfaringene vi gjør oss nå, slik at den neste nasjonale DPIAen kan bli ENDA bedre.
Jeg ønsker deg en riktig god, personvernvennlig helg!
Vennlig hilsen
Ida Thorsrud
prosjektleder nasjonal DPIA
