Nyhetsbrev om nasjonal DPIA for Google Workspace for Education

Publisering av ny versjon av behandlingsprotokollen 

Hei !

I forrige uke hadde vi en LinkedIn Live om den nye utgaven av behandlingsprotokollen. Fikk du det ikke med deg? Du kan se opptaket her. 

Vi har nå publisert en ny utgave av protokollen som du kan finne her på samme sted som den gamle. 

Så hva er nytt sammenlignet med det forrige utkastet? Jo, nå skal du høre. 

Særlig kategorier personopplysninger er med 
Når du har systemer med fritekstfelt, altså hvor de som bruker systemet ditt kan skrive akkurat det de vil, er det alltid en risiko for at de skriver personopplysninger som også er sensitive personopplysninger. Disse kalles formelt «særlig kategorier av personopplysninger» og det er opplysninger som helseopplysninger eller religiøs tilhørighet.

I Google Workspace for Education har elever flere muligheter for å skrive inn det vi her kaller «fritekst». Faktisk er det veldig viktig at elever kan skrive akkurat de som de vil når de svarer på oppgaver, snakker med læreren og andre elever. 

Og da må du som kommune, skoleeier og behandlingsansvarlig dokumentere at dette faktisk skjer. 

Det å ikke dokumentere det kan få konsekvenser. Det var en av de tingene som det islandske datatilsynet poengterte da fem islandske kommuner fikk bot for bruken av Google Workspace for Education i desember 2023. 

Løsningen?

Dokumenter! Mange er litt redde for sensitive personopplysninger, men mye er gjort hvis du faktisk dokumenterer. 

Start med å identifisere hvilke sensitive personopplysninger som du faktisk behandler. Og vær ærlig!  

Som du vil se av behandlingsprotokollen har vi tydeliggjort når personopplysningene er sensitive, og hva som er behandlingsgrunnlaget for det.  

Det har blitt så mye tydeligere for oss at behandlingsprotokollen er generell
Vi har laget en behandlingsprotokoll for den behandlingen av personopplysninger som skjer i Google Workspace for Education. Men det som har skjedd, er at vi har laget en generell behandlingsprotokoll som du som har andre løsninger enn Google Workspace for Education også kan bruke. 

Det har blitt mer og mer vanlig å lage behandlingsprotokoll for prosesser og ikke for systemer. Det har vi også gjort, og det betyr at vi har laget noe som gjelder skole generelt. Ikke bare Google Workspace for Education.

Hvis du ikke har en behandlingsprotokoll på skoleområdet, men bruker en annen løsning enn Google Workspace for Education, prøv å ta utgangspunkt i vår! Og så justerer du selvfølgelig på system. Og så justerer du selvfølgelig på system. Men ikke “copy -paste!” til annen løsning!

Vi tror du vil bli overrasket over hvor mye du faktisk kan bruke. 

Hva med den nye opplæringsloven?
En av de tingene vi visste at vi måtte ha i behandlingsprotokollen var forslag til behandlingsgrunnlag. 

Ikke bare er dette viktig fordi du må det for at du skal ha lov til å behandle personopplysninger, det er også ikke helt rett frem hva du skal velge. 

Som kommune, skoleeier og behandlingsansvarlig er det opplæringsloven som er ditt behandlingsgrunnlag. Det er den som pålegger deg å gi elevene opplæring, og setter rammer for opplæringen. 

Den nye versjonen av behandlingsprotokollen inneholder som sagt våre forslag til behandlingsgrunnlag i all hovedsak fra opplæringsloven. 

Men vi får en ny opplæringslov som trer i kraft i august. Så hva da? 

Jo, da må vi oppdatere behandlingsprotokollen. Faktisk har vi en dedikert prosjektmedarbeider som nå jobber med å finne de nye behandlingsgrunnlagene i den nye opplæringsloven. 

Derfor kommer det en ny versjon av behandlingsprotokollen i august hvor behandlingsgrunnlagene er den nye opplæringsloven. Gled deg!

Jeg ønsker deg en riktig god, personvernvennlig helg!

Vennlig hilsen 

Ida Thorsrud

prosjektleder nasjonal DPIA

Ps. Vi har en LinkedIn Live i dag om tredjelandsvurderinger. Den starter kl 12.00 altså om 30 min! Du er invitert! Trykk her for å gå til eventen!

Dette er for deg som ikke skjønner hva en tredjelandsvurdering er, deg som sitter alene med ansvaret for en TIA (Transfer Impact Asessment) og river deg i håret fordi hvor i alle dager skal du starte? Og det er også for deg som har gjort en tredjelandsvurdering før – for du er en av veldig få og da trenger du i alle fall et faglig fellesskap. Vi kan være det faglige fellesskapet!  

KS er kommunesektorens organisasjon og representerer alle
norske kommuner og fylkeskommuner.

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!

Newsletter: Progress on the National DPIA for Google Workspace for Education

Publication of New Version of the Record of Processing 

Hi !

Last week, we had a LinkedIn Live session about the new edition of the record of processing. Did you miss it? You can watch the recording here https://www.linkedin.com/events/presentasjonavbehandlingsprotok7199365762636021760/comments/ 

We have now published a new edition of the record which you can find here in the same place as the old one. 

So, what's new compared to the previous draft? Well, let me tell you.

Special categories of personal data are included
When you have systems with free-text fields, where users can write whatever they want, there is always a risk that they include personal data, which may also be sensitive personal data. These are formally called "special categories of personal data," and they include information such as health details or religious affiliation.

In Google Workspace for Education, students have several opportunities to enter what we call "free text." It is actually very important that students can write exactly what they want when they respond to tasks, talk to the teacher, and other students.

And then, as a municipality, school owner, and data controller, you must document that this actually happens.

Failing to document this can have consequences. This was one of the things that the Icelandic Data Protection Authority pointed out when five Icelandic municipalities were fined for using Google Workspace for Education in December 2023. Read more about this case here: Icelandic Data Protection Case.

The solution?

Document! Many are a bit wary of sensitive personal data, but much is achieved if you actually document.

Start by identifying. And be honest with yourself about the processing you actually do.

As you will see from the record of processing, we have clarified when the personal data are sensitive, and what the legal basis for processing them is.

It has become much clearer to us that the record of processing is general.
We have created a record of processing for the processing of personal data that occurs in Google Workspace for Education. But what has happened is that we have created a general record of processing that you can use also if you have other solutions than Google Workspace for Education.

It has become more and more common to create records of processing for processes and not for systems. We have done that too, and it means that we have created something that applies to schools in general. Not just Google Workspace for Education.

If you don't have a record of processing in the school area but use a different solution than Google Workspace for Education, try to base it on ours! And then adjust it of course on the system.

We think you will be surprised at how much you can actually use.

What about the new education law?
One of the things we knew we needed in the record of processing was proposals for legal bases.

Not only is this important because you must have it to legally process personal data, but it's also not straightforward what you should choose.

As a municipality, school owner, and data controller, the education law is your legal basis. It obliges you to provide education to the students and sets the framework for the education.

The new version of the record of processing contains, as mentioned, our suggestions for legal bases mainly from the education law.

But we get a new education law coming into force in August. So what then?

Well, then we must update the record of processing. In fact, we have a dedicated project worker who is now working on finding the new legal bases in the new education law.

Therefore: a new version of the record of processing in August where the legal bases are the new education law. Look forward to it!

I wish you a wonderful, privacy-friendly week-end!

Best regards,

Ida Thorsrud

Project manager national DPIA

This newsletter was translated from Norwegian to English with assistance from ChatGPT by OpenAI. While it guided our translation, we made independent editorial choices. Any discrepancies result from this combined approach.

Ps. We have a LinkedIn Live today about third-country evaluations. It starts at 12.00, that is, in 30 minutes! You are invited! Click here to go to the event LinkedIn Event. 

This is for you if you don't understand what a third-country evaluation is, you who are alone responsible for a TIA (Transfer Impact Assessment) and are tearing your hair out because where in the world should you start? And it is also for you who have done a third-country evaluation before – because you are one of very few and then you definitely need a professional community. We can be that professional community!

KS is The Norwegian Assosiation of Local and Regional Authorities

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!