Nyhetsbrev om nasjonal DPIA for Google Workspace for Education og Microsoft 365

Hvordan vurdere M365s læringssimulatorer 

Hei !

En av tingene vi skal vurdere i den nasjonale DPIAen for M365, er alle de forskjellige læringssimulatorer som er en del av M365-porteføljen. For hvis du kjøper M365 og skal ta det i bruk i skolen, følger det med en pakke med tjenester som kalles læringssimulatorer. Et av dem er heter «Reflect». 

Nrk har nylig skrevet om læringssimulatoren «Reflect».  

«Reflect» ber elevene oppgi hvordan de føler seg i dag, for så å dele informasjonen med lærer. Eleven kan oppgi om hen føler seg «anxious», «nervous», «stressed», «worthless», men også positive følelser som «confident», «creative», «inspired» eller «valued». 

I den nasjonale DPIAen for M365m, skal ikke vurdere er om dette verktøyet bryter med GDPR. Det er ikke vår rolle. 

Det vi skal vurdere er om norske skoleeiere kan bruke verktøyet og samtidig ivareta sine personvernforpliktelser etter blant annet GDPR, men også forpliktelsene etter den norske opplæringsloven. 

Dette er en viktig nyanse. For ofte når du gjør slike vurderinger, vil du høre fra leverandøren av verktøyet at «verktøyet er GDPR-compliant» eller at leverandøren er det. 

Og det er vel og bra det. Men vi er ikke interessert i leverandøren eller Microsoft sin etterlevelse. Vi er interessert i norske skoleeiers etterlevelse. 

Det er i den forbindelse flere ting vi må se på, men dette er noen av dem: 

🟢 Vi skal innhente den registrertes mening om disse læringssimulatorene. Vi er spesielt interessert i å høre hva elever synes om at lærerne skal få denne typen informasjon om dem, og hvilket læringsutbytte lærerne får av informasjonen. 

🟢 Vi skal se på om norske skoleeiere har et gyldig behandlingsgrunnlag (både i personopplysningsloven og i opplæringsloven) for å i det hele tatt kunne behandle denne typen personopplysninger om elever.

🟢 Vi skal identifisere formålet med behandlingen av denne typen personopplysninger. Kan vi hente et formål fra opplæringsloven? 

🟢 Vi skal vurdere om dette er verktøy som er nødvendige å bruke i norsk skole for å oppfylle formålene i opplæringsloven. 

Jeg ønsker deg en riktig god, personvernvennlig helg!

Vennlig hilsen 

Ida Thorsrud

prosjektleder nasjonal DPIA

KS er kommunesektorens organisasjon og representerer alle
norske kommuner og fylkeskommuner.

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!

Newsletter: Progress on the National DPIA for Google Workspace for Education and Microsoft 365

How to assess M36 's learning accelerators 

Hi !

One of the things we need to assess in the national DPIA for M365 is all the different learning accelator that are part of the M365 portfolio. When you purchase M365 and plan to use it in schools, a package of services called learning accelator comes with it. One of them is called "Reflect."

NRK recently wrote about the "Reflect" learning accelator.

"Reflect" asks students to indicate how they feel today, then shares that information with the teacher. The student can indicate feelings such as "anxious," "nervous," "stressed," "worthless," but also positive emotions like "confident," "creative," "inspired," or "valued."

In the national DPIA for M365, we will not assess whether this tool violates GDPR. That is not our role.

What we will assess is whether Norwegian school owners can use this tool while fulfilling their privacy obligations under GDPR, as well as the obligations under the Norwegian Education Act.

This is an important nuance. Because often when conducting such assessments, you will hear from the tool provider that "the tool is GDPR-compliant" or that the provider is.

And that's fine. But we are not interested in the compliance of the provider or Microsoft. We are interested in the compliance of the Norwegian school owner.

In this context, there are several things we need to look at, but here are some of them:

🟢 We need to gather the data subject’s opinion about these learning accelators. We are particularly interested in hearing what students think about teachers receiving this kind of information about them, and what educational benefit the teachers gain from the information.

🟢 We need to assess whether Norwegian school owners have a valid legal basis (both under the Personal Data Protection Act and the Education Act) to process this type of personal data about students.

🟢 We need to identify the purpose of processing this type of personal data. Can we derive a purpose from the Education Act?

🟢 We need to evaluate whether these tools are necessary for Norwegian schools to fulfill the purposes outlined in the Education Act.

I wish you a wonderful, privacy-friendly week-end!

Best regards,

Ida Thorsrud

Project manager national DPIA

This newsletter was translated from Norwegian to English with assistance from ChatGPT by OpenAI. While it guided our translation, we made independent editorial choices. Any discrepancies result from this combined approach.

KS is The Norwegian Assosiation of Local and Regional Authorities

Jeg ønsker ikke å motta flere nyhetsbrev 

Have you missed any newsletter? You can read them here!