Nyhetsbrev om nasjonal DPIA for Google Workspace for Education

Hva kan DPIAen gi deg som har en praktisk tilnærming til personvern? 

Hei !

For noen av dere som leser dette nyhetsbrevet, irriterer dere til tider dere over hvor innviklet og nørdete de juridiske vurderingene vi presenterer er. Hvis du er en av dem, har du et poeng. Personvern er noen ganger veldig fremmedgjørende.

Vi har flere prosjektmedarbeidere som er langt mer praktiske enn hun som er prosjektleder og vanligvis skriver disse nyhetsbrevene. To av oss har tatt over nyhetsbrevet denne uken. Vi ønsker nemlig å snakke til deg som tenker mest på de praktiske løsningene.

Hva kan DU få ut av denne DPIAen? 

Hva med betyr arbeidet med nasjonal DPIA for oss som faktisk jobber i og med skolen?

For mange av oss i kommune-Norge har Google (og tilsvarende systemer) blitt innført de siste årene. Prosessen før innføringen av systemene har vært mer, eller mindre, gjennomtenkte. Vi visste mindre da, enn det vi vet nå. 

Siden da har digitaliseringen satt enda mer fart, og det vi begynte med i starten, er noe annet enn det vi har nå. Mulighetene i det enkelte system har økt, sammen med integrasjoner til andre system. Samtidig har forventningene til hvordan en skal håndtere GDPR blitt skjerpet, dette ser vi tydelig fra flere hold; foreldre, organisasjoner og kontrollorganer.

Skal vi være helt ærlige med oss selv, er det jo gode grunner til at denne innskjerpingen. Som vi skrev; vi vet mer nå enn vi gjorde i starten. 

Gjennom den nasjonale DPIAen kan vi som faktisk bruker løsningen få hjelp til å forstå Google sin dokumentasjon, og å forstå den i en norsk kontekst. Kommunene slipper å gjøre hele jobben selv, og kan heller ta utgangspunkt i informasjon som er mer tilgjengelige både med tanke på språk og form.

Prosjektet vil tilby ulike veiledere som kan være til praktisk nytte for oss. Det å føre inn i behandlingsprotokollen krever sitt, og vi har derfor laget et eget utkast som du kan lese mer om her. 

En styrke, og en utfordring, ved Google er at det stadig kommer ny funksjonalitet i tjenesten; alt fra bittesmå endringer som kan forbigås i stillhet, til større endringer som krever grundigere vurderinger.

Derfor kommer det en egen veileder som vi som “sitter og styrer skuta” kan bruke for å fange opp disse endringene, og med punkter du kan bruke for å gjennomføre disse vurderingene.

Vi vil også prøve å hjelpe til med å finne ut når du må koble inn andre ressurser, eksempelvis de nørdete juristene. Prosjektet er tydelig på at dette kan ingen enkeltperson fikse på egenhånd. 

It takes a crew to raise this system! 

Trenger jeg å forstå all jussen selv?

Nei, alle trenger ikke å forstå all jussen. Heldigvis har vi forskjellige roller. Personvernjurister og eksperter på personvern og informasjonssikkerhet kan få lov til å hjelpe oss her! Vær så god!

Men alle må forstå litt😊 Det er viktig å kunne noe om hvorfor det er så viktig at vi har kontroll på våre elever sine personopplysninger, og hvor de havner. Vi har alle opplevd å få spørsmål fra både elever og foresatte. Da må vi kunne gi noen svar.  

Dersom du (og de rundt deg) har en grunnleggende forståelse av personvernprinsippene, er du godt på vei! Det vil også hjelpe deg i å forstå den mer omstendelige dokumentasjonen som ekspertene håndterer.

Prinsippene under er godt kjent for noen, og kanskje nye for andre. Men, alle som jobber i skolen er opptatt av personvern og taushetsplikt. Det er et godt utgangspunkt for å forstå verdien av dem!

• Prinsippene om lovlighet, rettferdighet og åpenhet 
  ❓ Vet jeg at vi bruker systemet på en lovlig måte og at vi legger til rette for å informere om bruken til våre brukere?
• Prinsippet om formålsbegrensning 
  ❓ Vet jeg at jeg bruker systemet til det det er tenkt å brukes til?
• Prinsippet om dataminimering – 
  ❓ har jeg reflektert over om systemet samlet inn mer opplysninger enn det det egentlig er behov for?
• Prinsippet om riktighet
  ❓ Vet jeg hvordan systemet legger til rette for at de riktige personopplysningene brukes, og at riktig data lagres?
• Prinsippet om lagringsbegrensninger 
  ❓ Vet jeg om det er en rutine for å slette persondata som databehandler har samlet inn på våre vegne?
• Prinsippet om integritet og konfidensialitet 
  ❓ vet jeg nok om hvordan systemet er sikret med tanke på data og personvern?
• Prinsippet om ansvarlighet
  ❓Vet jeg at vi som kommune tar ansvaret som skal til for å bruke dette systemet

Vi mener at dersom vi har en forståelse for disse prinsippene, har vi en god forståelse for hvordan vi skal forvalte våre systemer, og vi har en mulighet til å forstå når vi må "spørre en venn”. 

Kanskje vi kan se på den nasjonale DPIA’en som denne vennen som prøver å rydde litt i dokumentasjonen og “det vanskelige” for oss, slik at vi får muligheten til å fokusere på det som er viktigst for oss; den faktiske bruken, og hvordan vi tilbyr løsningen til våre brukere, både elever og lærere.

Hva betyr DPIA’en for meg i praksis?

For oss som er med og forvalter den faktiske bruken av løsningen, er vi mest opptatt av de konkrete spørsmålene vi må ta stilling til. Spørsmål jeg tipper andre enn oss også har stilt seg er

🤔 Skal alle få lov til alt?

🚀 Hvordan kan jeg følge med på alle endringene som skjer i Google?
🌎 Skal vi ha på eller av ekstern deling av filer?
🤬 Blir det liv i leiren om vi skrur av Youtube – er det riktig å gjøre det? 
🤯 Hva bør jeg egentlig tenke på?   

Gjennom dette prosjektet håper vi å gi de som faktisk sitter ved et admin-panel og tar beslutningene om hvordan Google brukes i organisasjonen, hjelp til å se hvilke problemstillinger en må tenke på. Noen ganger kommer vi til å gi et tydelig råd om hvilke innstillinger som bør velges.

Andre ganger vil vi informere om hva det er viktig å tenke på før dere tar den beslutningen som passer best for dere, i deres setting.

Det er viktig å huske at ingen avgjørelser er “hugget i stein”. Hvis lærere eller elever begynner å bruke tjenestene eller de ulike funksjonene på en annen måte, eller hvis Google gjør endringer, må kommunen gjennomføre nye vurderinger . Dette kan føre til at bruken av tjenestene endres, enten i liten eller stor grad.

En ting vi er helt sikre på, et at det beste rådet vi kan gi, det er å snakke med andre som også bruker løsningen. Ingen kan sitte med hele fasiten alene!

Hva betyr DPIA’en for meg i praksis?

Prosessen med å sluttføre kommunen sin endelige DPIA kan tenke seg å medføre litt stress. Kanskje innser du at bør skru av en tjeneste som til nå har vært tilgjengelig? Kanskje er det slik at læreren i klasse 6A mister tilgang til en ressurs de mener er helt nødvendig i sin undervisning.

Endring er alltid ubehagelig, men det hjelper tross alt godt på å vite hvorfor vi gjør det!

Prosjektet har ikke som mål å innskrenke mest mulig; og det vil være igjen et handlingsrom å gjøre sine vurderinger innen. Men, vi må i hvert fall sikre at vi kan tilby støtte i hva som må vurderes.

Til slutt, et viktig mål med å gjøre en DPIA er at vi som kommune skal få god oversikt over systemet. Vi får en mulighet til å gjøre gode beslutninger om hvordan vi som kommune kan sikre at vi har et system, og en bruk av systemet, som vi kan stå inne for.

Kanskje stresset med å ikke ha den oversikten, og å ikke ha gjennomført vurderingene, er enda større en stresset med å gjøre endringer?

Vi ønsker deg en riktig god, personvernvennlig helg!

Vennlig hilsen 

Stine Randa og Leif Cato Larsen

på vegne av prosjektleder Ida Thorsrud

Ps. Forrige uke publiserte vi forslag til behandlingsprotokoll for kjernetjenestene. Du kan laste den ned her. 

Og så kommer vi til å presentere behandlingsprotokollen i en LinkedIn Live 17.10.2023 kl. 12.00 til 13.00!  

KS er kommunesektorens organisasjon og representerer alle
norske kommuner og fylkeskommuner.

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!

Newsletter: Progress on the National DPIA for Google Workspace for Education

What Can the DPIA Offer You who has a Practical Approach to Privacy?

Hi !

For some of you reading this newsletter, all the technical and legal jargon, may sometimes be frustrating. If you feel frustrated by how nerdy our legal approach is, you have a point. Privacy can sometimes be very alienating.

We have several members of our project team who are far more practical than the one who is the project manager and usually writes these newsletters. Two of us have taken over the newsletter this week and we want to speak to those of you who are most concerned with practical solutions when it comes to privacy in a school setting.

What can YOU gain from this DPIA?

What does the work with the national DPIA mean for those of us who actually work in and with the school?

For many of us in Norwegian municipalities, Google (and equivalent systems) has been introduced in recent years. The process before these systems were introduced, has been more, or less, thoughtful. We knew less then than we do now.

Since then, the digitalization process has increased, and what we started with initially is different from what we now have. The capabilities of each system have increased, along with integrations to other systems.

At the same time, expectations on how to handle privacy issues have increased, both from parents, organizations, and regulatory bodies. To be honest, there are good reasons for the heightened expectations. As previously mentioned, we know more now than we did initially.

Through our work with the national DPIA, those of us who use Google Workspace for Education, can get help understanding Google's compliance documentation and get help putting it in a Norwegian context.

Municipalities don't have to do all the work themselves and can instead base their understanding on more accessible information, both in terms of language and form. The project will offer various guides that can be of practical use to us. Incorporating this into the record of processing requires effort, and we have therefore created a draft that you can download in Norwegian here.

One strength, and a challenge, with Google is that new features are constantly being added; from tiny changes that can pass unnoticed to larger changes that require thorough evaluations. Therefore, a separate guide will be provided so that you, who work on the municipality side with making sure the day-to-day use of Google Workspace for Education works, can use to handle these changes.

We will also try to help determine when the rolling out of new features from Google mean you need to involve other resources, such as the nerdy lawyers. We want to underline that keeping up with such changes, is not something one person can fix alone.

It takes a crew to raise this system!

Do I need to understand all the legalities myself?

No, not everyone needs to understand all the legalities. Fortunately, we have different roles. Privacy jurists and experts on privacy and information security can help us here! 

But everyone needs to understand a bit😊 It is important to know why it is so crucial that personal data from pupils we process and where it ends up being stored. All of us have experienced receiving questions from both students and guardians about privacy and processing of personal information. And when such questions arise, we need to be able to provide some answers. 

If you (and those around you) have a basic understanding of privacy principles, you are well on your way! It will also help you understand the more cumbersome documentation that the experts handle. The privacy principles below are well known to some and perhaps new to others.

But everyone working in a school setting cares about privacy and confidentiality. It is a good starting point to understand the value of these principles!

• Principles of lawfulness, fairness, and transparency
  ❓ Do I know that we use the system legally and that we facilitate informing our users about the use?
• The principle of purpose limitation
  ❓ Do I know that I use the system for its intended purpose?
• The principle of data minimization
  ❓ Have I reflected on whether the system collects more information than it actually needs?
• The principle of accuracy
  ❓ Do I know how the system facilitates the use of the correct personal information, and that the correct data is stored?
• The principle of storage limitations
  ❓ Do I know if there is a routine for deleting personal data that the data processor has collected on our behalf?
• The principle of integrity and confidentiality
  ❓ Do I know enough about how the system is secured in terms of data and privacy?
• The principle of accountability
  ❓ Do I know that we, as a municipality, take the necessary responsibility to use this system?

We believe that if we understand these principles, we will have a good understanding of how to manage our systems, and we have an opportunity to understand when we need to "ask a friend" for help. 

Perhaps we can see the national DPIA as this friend trying to clear up the compliance documentation and what is " difficult" for us, so that we get the opportunity to focus on what is most important to us; the actual use of systems as Google Workspace for Education. And what solutions we offer to our users, both students and teachers.

What are the practical implications of the DPIA?

For those of us involved in managing the actual use of the systems such as Google Workspace for Education, we are most concerned with the concrete questions we must address: 

🤔 Should everyone be allowed to do everything?
🚀 How can I keep up with all the changes (features) being rolled out in Google Workspace for Education?
🌎 Should we turn on or off external file sharing?
🤬 Will there be an uproar if we turn off YouTube – is it right to do so?
🤯 What are the things that I should really keep  in mind?

Through this project, we hope to assist those of you who are in charge of the admin panels and make the decisions on how Google Workspace for Education is used in your municipality. We hope to help you to see which issues you must consider. Sometimes we will give clear advice on which settings should be chosen.

Other times we will inform you about what is important to consider before you make the decision that suits you and your municipality best.

It is important to remember that no decision is "carved in stone." If teachers or students start using the services or the various functions in a different way, or if Google makes changes, the municipality must conduct new evaluations. This can lead to changes in the use of the services, either to a small or large extent.

One thing we are absolutely sure of is that the best advice we can give is to talk to others who also use the Google Workspace for Education. No one person has all the answers alone!

About the stress 😬

The process of completing the municipality's final DPIA can be stressful. Maybe you realize that you should turn off a service that has been available until now? Maybe the teacher in class 6A loses access to a resource they think is absolutely necessary in their teaching. Change is always uncomfortable, but it helps to know why we are doing it!

The project does not aim to restrict the use of Google Workspace for Education as much as possible; and even if we make a DPIA, there will be flexibility built into the DPIA so that you can make your assessments. But we must at least ensure that we can offer support in what needs to be assessed.

Finally, an important goal of conducting a DPIA is that we, as a municipality, should get a good overview of the system. We get an opportunity to make informed decisions about how we, as a municipality, can ensure that we actually have a functional digital system, and that we are using it in a way we can endorse.

Maybe the stress of not having that overview, and not having conducted the necessary assessments, is even greater than the stress of making changes?

We wish you a wonderful, privacy-friendly week-end!

Best regards,

Stine Randa and Leif Cato Larsen

On behalf of project manager Ida Thorsrud

This newsletter was translated from Norwegian to English with assistance from ChatGPT by OpenAI. While it guided our translation, we made independent editorial choices. Any discrepancies result from this combined approach.

Ps. Last week, we published a proposal for a record of processing for the core services in Google Workspace for Education. You can download it in Norwegian here. 

And we will be presenting the record of processing in a LinkedIn Live on October 17, from 12:00 to 13:00! 

KS is The Norwegian Assosiation of Local and Regional Authorities

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!