Nyhetsbrev om nasjonal DPIA for Google Workspace for Education og Microsoft 365

Hva hadde gjort det lettere for deg å følge med på endringer i M365? 

Hei !

En av de vanskeligste tingene når du skal forvalte løsninger som Google Workspace for Education eller Microsoft 365, er å håndtere de endringene som jevnlig rulles ut i de respektive løsningene.

Dette handler om forvaltning, noe som betyr at skoleeier ideelt sett skal ha folk som skal kunne følge med på endringer og håndtere dem.

Hva mener vi med å «håndtere endringer»?

Jo, det kan være et de endringene som rulles ut gjør at du som skoleeier og behandlingsansvarlig må justere internkontrollen din, f.eks. oppdatere behandlingsprotokollen eller DPIAen din.

For hvis en helt ny tjeneste plutselig blir en del av M365, KAN det være at du må ta stilling til om det å bruke den betyr at dere nå behandler flere personopplysninger enn det du gjorde tidligere. Og det betyr igjen at du må ta stilling til om du har et behandlingsgrunnlag, og om risikobildet ditt er endret.

Da må du ha folk som følger med på hvilke endringer som kommer, og så må du ha tilgang til folk som kan hjelpe dem å ta stilling til hvilke konsekvenser endringene har for dere som skoleeiere og behandlingsansvarlige.

Dette bare akselerer nå som disse plattformene i større og større grad ruller ut KI-funksjonalitet, for eksempel generativ KI.  

Vi i SkoleSec har tidligere laget en veileder for hvordan ivareta dette i forbindelse med DPIAen for bruk av Google Workspace for Education i skolen. Du kan lese den her.   

Nå holder vi på med en DPIA for bruk av Micrososft 365 i skolen, og vi vil gjerne høre fra deg som hele tiden løper etter for å holde deg oppdatert på hvilke endringer som skjer i M365:

• Hva vil gjøre det lettere for deg og din skoleeier å forvalte endringer i M365?

Men la meg konkretisere dette litt:

• Hvordan ønsker du at Microsoft skal kommunisere endringer?
• Hvor lang tid i forveien bør informasjon komme?
• Hva ønsker du deg av ressurser internt hos din egen skoleeier for å kunne vurdere hva du skal gjøre med endringene?
• Hvilken forvaltningsrigg savner du internt?
• Er det ting Microsoft kunne gjøre bedre? Finnes det ting som bare rulles ut og skrus på som standard? Burde ting som standard være av? Eller er Microsoft gode på å gi dere som behandlingsansvarlige den kontrollen dere har behov for?

Ja, vi spør rett og slett om hva du ønsker deg til jul!

Og med det ønsker vi i SkoleSec deg en riktig god jul (hvis du feirer det), en god ferie og et riktig godt nyttår! For dette er det siste nyhetsbrevet før jul. 

Jeg ønsker deg en riktig god, personvernvennlig helg!

Vennlig hilsen 

Ida Thorsrud

prosjektleder nasjonal DPIA

Ps. Om du ikke fikk med deg det siste live webinaret vårt hvor vi delte erfaringene våre fra innhenting av den registrertes mening, kan du se opptaket og lese rapporten fra arbeidet her! 

KS er kommunesektorens organisasjon og representerer alle
norske kommuner og fylkeskommuner.

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!

Newsletter: Progress on the National DPIA for Google Workspace for Education and Microsoft 365

What would have made it easier for you to keep up with changes in M365? 

Hi !

One of the most difficult things when managing solutions like Google Workspace for Education or Microsoft 365 is handling the changes that are regularly rolled out in those respective solutions.

This is about governance/management, which means that the school authority/owner should ideally have people who are able to keep track of changes and handle them.

What do we mean by “handling changes”?

Well, it can mean that changes being rolled out require you, as the school authority/owner and data controller, to adjust your internal control system—for example, by updating your records of processing activities or your DPIA.

Because if an entirely new service suddenly becomes part of M365, it may mean that you need to consider whether using it means you are now processing more personal data than you did before. And that, in turn, means you need to consider whether you have a lawful basis for processing, and whether your risk picture has changed.

So you need people who keep track of what changes are coming—and you also need access to people who can help them assess what consequences these changes have for you as school owners and data controllers.

This is only accelerating now, as these platforms increasingly roll out AI functionality, for example generative AI.

At SkoleSec, we have previously produced a guide on how to address this in connection with the DPIA for the use of Google Workspace for Education in schools. You can read it here.

We are now working on a DPIA for the use of Microsoft 365 in schools, and we would like to hear from you—who are constantly running behind trying to stay updated on what changes are happening in M365:

• What would make it easier for you and your school authority/owner to manage changes in M365?

But let me make this a bit more concrete:

• How would you like Microsoft to communicate changes?
• How far in advance should information be provided?
• What resources do you want internally at your own school authority/owner to be able to assess what you should do about the changes?
• What kind of internal governance setup do you feel you are missing?
• Are there things Microsoft could do better? Are there things that are simply rolled out and enabled by default? Should things be off by default? Or is Microsoft good at giving you, as data controllers, the control you need?

Yes, we’re basically asking what you want for Christmas!

And with that, all of us at SkoleSec wish you a very Merry Christmas (if you celebrate it), a good holiday, and a Happy New Year! This is the last newsletter before the holidays.

I wish you a wonderful, privacy-friendly week-end!

Best regards,

Ida Thorsrud

Project manager national DPIA

This newsletter was translated from Norwegian to English with assistance from ChatGPT by OpenAI. While it guided our translation, we made independent editorial choices. Any discrepancies result from this combined approach.

Ps. If you didn’t catch our latest live webinar where we shared our experiences from gathering the data subject’s opinion, you can watch the recording and read the report from the work here.

KS is The Norwegian Assosiation of Local and Regional Authorities

Jeg ønsker ikke å motta flere nyhetsbrev 

Have you missed any newsletter? You can read them here!