Nyhetsbrev om nasjonal DPIA for Google Workspace for Education

Kunnskapsdepartementet har talt – det generelle behandlingsgrunnlaget i skolen er GDPR artikkel 6(1) bokstav e) 

Hei !

Før sommeren fikk vi et etterlengtet svar fra Kunnskapsdepartementet om en problemstilling mange av oss har lurt på lenge:

Skal det primære behandlingsgrunnlaget for behandling av personopplysninger i løsninger som Google Workspace for Education være 

1. GDPR artikkel 6(1) bokstav c) «rettslig forpliktelse» eller
2. GDPR artikkel 6(1) bokstav e) «oppgave i allmennhetens interesse eller uttøvelse av offentlig myndighet».

Vår opprinnelige tilnærming

Vi i det nasjonale DPIA-prosjektet hadde egentlig ikke tenkt å konkludere på dette spørsmålet. Tanken vår var at vi i DPIAen ønsket å lage to forskjellige begrunnelser, en for bokstav c) og en for bokstav e), og så kunne behandlingsansvarlig velge. 

Du som behandlingsansvarlig kunne også velge å lytte til vår rådgivning om hva vi hadde valgt dersom vi var personvernrådgiveren din (vi hadde valgt bokstav e). 

Men det var et tydelig ønske fra skoleeiere som SkoleSec-prosjektet jevnlig snakker med, at vi skulle be Kunnskapsdepartementet om en uttalelse, så vi endte opp med å gjøre det. 

Kunnskapsdepartementet har konkludert: det er GDPR artikkel 6(1) bokstav e)

Og svaret kom før sommeren: Kunnskapsdepartementet mener også at det primære behandlingsgrunnlaget for skoleeiers behandling av personopplysninger i løsninger som Google Workspace for Education er GDPR artikkel 6(1) bokstav e). 

Du kan brevet fra Kunnskapsdepartementet her. 

Dette svaret gjør at vi kan bli enda tydeligere i rådgivningen vår til hvilket behandlingsgrunnlag du som skoleeier og behandlingsansvarlig skal bruke. Vi har derfor endret anbefalingen vår. Nå sier vi i klartekst at det generelle behandlingsgrunnlaget er GDPR artikkel 6(1) bokstav e). 

Du kan fortsatt laste ned både begrunnelsen vår for bokstav e) og for bokstav c), men det nasjonale DPIA-prosjektet sin anbefaling er nå helt klart bokstav e). 

Og så er det verdt å fortsatt nevne at dette er ikke egentlig en diskusjon mellom bokstav c) og e). Som vi har sagt før: i forslaget vårt for behandlingsprotokoll, bruker vi flere behandlingsgrunnlag enn bare c) og e). Du kan laste ned forslaget vårt til behandlingsprotokoll for Google Workspace for Education her.

Ja, den er oppdatert til å gjelde den nye opplæringsloven som trådte i kraft 01.08.24. Velbekomme! 

Retten til å protestere

Det mange er bekymret for når du som behandlingsansvarlig bruker bokstav e), er at den registrerte beholder retten til å protestere. Denne rettigheten ble allment kjent da Meta bestemte seg for at de skulle kunne bruke alle bildene du har publisert på Facebook og Instagram til å trene AIen sin.

 
Retten til å protestere kan fremstå som en blankofullmakt til å stoppe behandlingen, men den ER litt annerledes for deg som er skoleeier og behandler personopplysninger til barn med hjemmel i opplæringsloven enn den er for Meta. Dette skrev vi mer om i forrige nyhetsbrev, sjekk det ut her. 

Og for deg som fortsatt er bekymret for retten til å protestere, har vi en veileder om hvordan gripe den an som du kan lese her. 

Jeg ønsker deg en riktig god, personvernvennlig helg!

Vennlig hilsen 

Ida Thorsrud

prosjektleder nasjonal DPIA

Ps. Vi i det nasjonale DPIA-prosjektet skal på personverndagene i Trondheim 17. - 18. September 2014 der vi blant annet skal snakke om Google-DPIAen og erfaringene våre fra å lage en slik nasjonal vurdering, og om metoden vi har brukt for tredjelandsvurderingene våre. 

Vil du være med? Arrangørene har gitt oss en rabattkode som vi vil dere meg deg som ønsker å være med. Bruk «INVITED20» og få 20% i rabatt! Sjekk ut programmet her! 

KS er kommunesektorens organisasjon og representerer alle
norske kommuner og fylkeskommuner.

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!

Newsletter: Progress on the National DPIA for Google Workspace for Education

The Ministry of Education Has Spoken – The General Legal Basis in Schools is GDPR Article 6(1)(e)

Hi !

Before the summer, we received a long-awaited answer from the Ministry of Education on a question many of us have been pondering:

Should the primary legal basis for the processing of personal data in solutions like Google Workspace for Education be

1. GDPR Article 6(1)(c) "legal obligation" or
2. GDPR Article 6(1)(e) "task carried out in the public interest or in the exercise of official authority".

Our initial approach

We in the national DPIA project originally did not intend to conclude on this question.

Our idea was that in the DPIA, we wanted to create two different justifications, one for clause (c) and one for clause (e), and then the data controller could choose.

As a data controller, you could also choose to listen to our advice on what we would have chosen if we were your privacy advisor (we would have chosen clause (e)).

But there was a clear desire from school owners who regularly speak with the SkoleSec project that we should ask the Ministry of Education for a statement, so we ended up doing that.

The Ministry of Education has concluded: it is GDPR Article 6(1)(e)

And the answer came before the summer: The Ministry of Education also believes that the primary legal basis for school owners' processing of personal data in solutions like Google Workspace for Education is GDPR Article 6(1)(e).

You can read the response letter from the Ministry of Education here.

This answer allows us to be even clearer in our advice on which legal basis you as a school owner and data controller should use. Therefore, we have changed our recommendation. Now we clearly state that the general legal basis is GDPR Article 6(1)(e).

You can still download both our justification for clause (e) and for clause (c), but the national DPIA project's recommendation is now clearly clause (e).

And it is worth still mentioning that this is not really a discussion between clause (c) and (e). As we have said before: in our proposal for a record of processing, we use more legal bases than just (c) and (e).

You can download our proposal for a record of processing for Google Workspace for Education here.

Yes, it has been updated to comply with the new Education Law that came into effect on 01.08.24. You're welcome!

The right to object

Many are concerned that when you as a data controller use clause (e), the data subject retains the right to object. This right became widely known when Meta decided that they could use all the images you have posted on Facebook and Instagram to train their AI.

It appears as a blank check to stop processing, but it IS a bit different for you as a school owner and processor of children's personal data under the Education Law. We wrote more about this in the previous newsletter, check it out here. 

And for those who are still concerned about the right to object, we have a guide on how to tackle it which you can read here.

I wish you a wonderful, privacy-friendly week-end!

Best regards,

Ida Thorsrud

Project manager national DPIA

This newsletter was translated from Norwegian to English with assistance from ChatGPT by OpenAI. While it guided our translation, we made independent editorial choices. Any discrepancies result from this combined approach.

Ps. We in the national DPIA project will be at the Privacy Days in Trondheim on 17 - 18 september 2024 where we will talk about the Google DPIA and our experiences from creating such a national assessment, and about the method we have used for our third-country assessments.

Would you like to join? The organizers have given us a discount code that we would like to share with you if you wish to attend. Use "INVITED20" and get a 20% discount! Check out the program here!

KS is The Norwegian Assosiation of Local and Regional Authorities

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!