Nyhetsbrev om nasjonal DPIA for Google Workspace for Education og Microsoft 365

Scope for M365-DPIAen 

Hei !

Før nyhetsbrevet begynner på ordentlig, vi skal igjen ha et nytt webinar sammen med UIlensvang kommune på tirsdag 1. april fra kl. 13.00-14.30.

Konkret skal vi fortsette å fylle ut selve personvernkonsekvensdelen av DPIAen. Det betyr å gjennomgå og vurdere risikoscenarioer. Så hvis du er usikker på hvordan vurdere det som kanskje er kjernen i en DPIA, kom på webinar! 

Meld deg på her: https://events.teams.microsoft.com/event/00eaa4d4-8dd4-4254-9ef8-efc739e98602@e1ae18b6-de6f-4b87-a2fc-90d6217d954e

Nå over til nyhetsbrevet!

Vi har fastsatt scope for den nasjonale DPIAen for bruk av M365 i skolen. I dette nyhetsbrevet vil vi forklare deg hva det er, og tankene våre bak dette.

Vi har også publisert en artikkel som i veldig stor grad reflekterer innholdet i dette nyhetsbrevet på ks.no. Her kan du også laste den en oversikt over scope og vurderingene våre knyttet til scope.

Da vi startet arbeidet med DPIA for M365, visste vi at vi ikke kunne ta alt innen M365. Likevel ønsket vi å være ambisiøse. Når vi nå har kommet frem til et scope for DPIAen, synes vi at vi har klart å balansere hva som er realistisk å vurdere med ønsket om å være ambisiøse.

Slik vi jobber i det nasjonale DPIA-prosjektet, er et scope et utgangspunkt, eller en form for arbeidshypotese. Dette betyr at det vil være mulig at vi vil endre scopet etter hvert som vi lærer mer om hvordan de forskjellige tjenestene innen M365-porteføljen og Microsoft-universet er organisert. 

Vurderingskriterier for avgrensning

Vi har hatt fire vurderingskriterier for de avgrensningene vi har gjort i DPIAen av M365:

1 Faktisk bruk i kommunene

Høsten 2024 sendte vi en spørreundersøkelse ut til alle kommuner og fylkeskommuner der vi ba skoleeiere svare på hvilke tjenester i M365 de bruker. Dette har vært et naturlig utgangspunkt for hvilke tjenester vi har tatt med, og hvilke vi har ekskludert. Du kan laste ned resultatene her. 

2 Tilgjengelighet i E3 / A3

I den undersøkelsen viste det seg at den store majoriteten av skoleeiere har en M365-lisens som heter E3 eller A3. Det var derfor også naturlig å se på hvilke tjenester som er en del av denne lisensen. 

3 Mulig omfang av personopplysninger

Til sist gjorde vi noen antagelser om hvor mange personopplysninger som blir behandlet i de ulike tjenestene. For jo flere personopplysninger, desto mer vil det kunne påvirke resultatene i denne DPIAen.

4 Mulighet for å legge inn personopplysninger

Her gjorde vi også noen kvalifiserte antagelser om hvor mange personopplysninger som vil kunne legges inn av brukere eller skoleeier, og dermed behandles i tjenesten. For dette vil også åpenbart kunne påvirke skoleeiers etterlevelse av personvern, og være relevant for denne DPIAen.

Hvilke tjenester skal vi vurdere i den nasjonale DPIAen for M365?

I Microsoft for Education er de forskjellige tjenestene som er tilgjengelig fordelt innenfor de forskjellige kategoriene: applikasjoner, sikkerhet, ledelse og administrasjon, læringssimulatorer og tilgjengelighet[1].

I kategoriene applikasjoner, sikkerhet, ledelse og administrasjon, kjenner vi igjen flere tjenester som brukes på tvers av sektorer, ikke bare i skolesektoren. Mens tjenestene i kategorien læringssimulator er tjenester som nesten utelukkende brukes i skolen.

I kategorien tilgjengelighet finner vi tjenester som skal gjøre det enklere for brukere – uansett funksjonsevne – å bruke tjenestene i M365.

Hva med Copilot?

Dette er et spørsmål vi får hele tiden, for folk ønsker seg virkelig en egen vurdering av Copilot. Noe som er veldig forståelig. Copilot har blitt mer og mer integrert i M365, og det er deler av Copilot som du som skoleeier automatisk «får med på kjøpet» når du bruker M365.

Utgangspunktet vårt var at vi ikke ønsket at denne DPIAen skulle bli en DPIA av Copilot. Undersøkelsen vi har vist til tidligere i denne artikkelen viste oss at relativt få skoleeiere har gjort en DPIA av M365. Dette forteller oss at det er et behov for en DPIA av M365.

Videre er det tydelig fra det arbeidet NTNU gjorde i sine vurderinger av Copilot og Datatilsynets etterfølgende rapport, at det er en forutsetning å ha kontroll på og ha gjort nødvendige vurderinger av M365, før du som behandlingsansvarlig i det hele tatt kan vurdere å skru på Copilot. Vi ønsker at denne DPIAen skal være en del av det forarbeidet behandlingsansvarlige uansett må gjøre.

Men hva med de delene av Copilot du som behandlingsansvarlig ikke kan skru av? De delene som er integrert i M365? Jo, vi ser at vi på en eller annen måte må adressere det i denne DPIAen.

Her har vi ikke svaret på hvordan vi skal adressere dette. Vi vet bare at vi må inkludere de delene av Copilot som er helintegrert i M365 på en eller annen måte. Derfor er Copilot nettversjonen med – altså den delen av Copilot som er en del av Edge.

For de andre delene av Copilot, viser vi til det arbeidet som NTNU og Datatilsynet allerede har gjort på Copilot. Disse vurderingene bør gi en god pekepinn på om organisasjonen din er moden nok til å ta i bruk Copilot eller ikke.

Nederlandske myndigheter har også gjort en DPIA av Copilot som det kan være lurt å ta en titt på. Vi vil anta at mange av de risikoene som Nederland har identifisert, også gjør seg gjeldende for norsk forvaltning.  

Jeg ønsker deg en riktig god, personvernvennlig helg!

Vennlig hilsen 

Ida Thorsrud

prosjektleder nasjonal DPIA

[1] https://cdn-dynmedia-1.microsoft.com/is/content/microsoftcorp/microsoft/final/en-us/microsoft-product-and-services/microsoft-education/downloadables/EDU-Microsoft-365-Plan-Comparison-Table.pdf

KS er kommunesektorens organisasjon og representerer alle
norske kommuner og fylkeskommuner.

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!

Newsletter: Progress on the National DPIA for Google Workspace for Education and Microsoft 365

The scope of the M365-DPIA 

Hi !

Before the newsletter officially begins, we will once again host a new webinar in collaboration with Ullensvang Municipality on Tuesday, April 1, from 13:00 to 14:30.

We will specifically continue to fill out the privacy impact assessment part of the DPIA. This involves reviewing and assessing risk scenarios. So, if you are unsure about how to assess what may be the core of a DPIA, join the webinar!

Register here: https://events.teams.microsoft.com/event/00eaa4d4-8dd4-4254-9ef8-efc739e98602@e1ae18b6-de6f-4b87-a2fc-90d6217d954e

Now, onto the newsletter!

We have established the scope for the national DPIA for the use of M365 in schools. In this newsletter, we will explain what that entails and our thoughts behind it.

We have also published an article that greatly reflects the content of this newsletter at ks.no. Here you can also download an overview of the scope and our assessments related to it.

When we started the DPIA for M365, we knew we couldn't cover everything within M365. However, we aimed to be ambitious. Now that we have determined the scope for the DPIA, we believe we have managed to balance what is realistic to assess with the desire to be ambitious.

In the national DPIA project, a scope is a starting point or a kind of working hypothesis. This means that it is possible that we will change the scope as we learn more about how the various services within the M365 portfolio and the Microsoft universe are organized.

Criteria for Limitation

We had four criteria for the limitations we made in the DPIA of M365:

1 Actual Use in Municipalities

In fall 2024, we sent out a survey to all municipalities and county municipalities asking school owners which services in M365 they use. This has been a natural starting point for which services we included and excluded. You can download the results here. 

2 Availability in E3 / A3

The survey showed that the vast majority of school owners have an M365 license called E3 or A3. It was therefore also natural to look at which services are part of this license.

3 Possible Scope of Personal Data

Finally, we made some assumptions about how much personal data is processed in the various services. The more personal data, the more it could affect the results of this DPIA.

4 Opportunity to Enter Personal Data

Here, we also made some qualified assumptions about how much personal data could be entered by users or school owners, and thus processed in the service. This will obviously also influence the school owner's compliance with privacy laws, and be relevant for this DPIA.

Which services will we assess in the national DPIA for M365?

In Microsoft for Education, the different services available are distributed within various categories: applications, security, management and administration, learning simulators, and accessibility.

In the categories of applications, security, management, and administration, we recognize several services that are used across sectors, not just in the education sector. Meanwhile, the services in the learning simulator category are almost exclusively used in schools.

In the accessibility category, we find services that make it easier for users—regardless of ability—to use the services in M365.

What about Copilot?

This is a question we get all the time, as people really want a separate assessment of Copilot. Understandably so. Copilot has become more and more integrated into M365, and there are parts of

Copilot that you as a school owner automatically "get with the purchase" when using M365.

Our starting point was that we did not want this DPIA to be a DPIA of Copilot. The survey we referred to earlier in this article showed us that relatively few school owners have done a DPIA of M365. This tells us that there is a need for a DPIA of M365.

Furthermore, it is clear from the work NTNU did in their assessments of Copilot and the subsequent report by the Data Inspectorate, that it is a prerequisite to have control over and have made the necessary assessments of M365 before you as a data controller can even consider turning on Copilot. We want this DPIA to be part of the preparatory work data controllers must do anyway.

But what about the parts of Copilot that you as a data controller cannot turn off? The parts that are integrated into M365? Well, we see that we must address this in some way in this DPIA.

We do not have the answer yet on how we will address this. We just know that we must include the parts of Copilot that are fully integrated into M365 in some way. Therefore, the Copilot web version is included – i.e., the part of Copilot that is part of Edge.

For the other parts of Copilot, we refer to the work that NTNU and the Norwegian Data Protection Autorithy have already done on Copilot. These assessments should give a good indication of whether your organization is mature enough to use Copilot or not.

The Dutch authorities have also conducted a DPIA of Copilot that might be worth looking at. We would assume that many of the risks identified by the Netherlands also apply to Norwegian administration.

I wish you a wonderful, privacy-friendly week-end!

Best regards,

Ida Thorsrud

Project manager national DPIA

This newsletter was translated from Norwegian to English with assistance from ChatGPT by OpenAI. While it guided our translation, we made independent editorial choices. Any discrepancies result from this combined approach.

KS is The Norwegian Assosiation of Local and Regional Authorities

Jeg ønsker ikke å motta flere nyhetsbrev 

Have you missed any newsletter? You can read them here!