Publisert: 25.03.2025

Da vi startet arbeidet med DPIA for M365, visste vi at vi ikke kunne ta alt innen M365. Likevel ønsket vi å være ambisiøse. Når vi nå har kommet frem til et scope for DPIAen, synes vi at vi har klart å balansere hva som er realistisk å vurdere med ønsket om å være ambisiøse.

Slik vi jobber i det nasjonale DPIA-prosjektet, er et scope et utgangspunkt, eller en form for arbeidshypotese. Dette betyr at det vil være mulig at vi vil endre scopet etter hvert som vi lærer mer om hvordan de forskjellige tjenestene innen M365-porteføljen og Microsoft-universet er organisert. 

Vurderingskriterier for avgrensning

Vi har hatt fire vurderingskriterier for de avgrensningene vi har gjort i DPIAen av M365:

  1. Faktisk bruk i kommunene

Høsten 2024 sendte vi en spørreundersøkelse ut til alle kommuner og fylkeskommuner der vi ba skoleeiere svare på hvilke tjenester i M365 de bruker. Dette har vært et naturlig utgangspunkt for hvilke tjenester vi har tatt med, og hvilke vi har ekskludert.
Du kan laste ned resultatene her

  1. Tilgjengelighet i E3 / A3

I den undersøkelsen viste det seg at den store majoriteten av skoleeiere har en M365-lisens som heter E3 eller A3. Det var derfor også naturlig å se på hvilke tjenester som er en del av denne lisensen. 

  1. Mulig omfang av personopplysninger

Til sist gjorde vi noen antagelser om hvor mange og hvilke kategorier/typer av personopplysninger som blir behandlet i de ulike tjenestene. For jo flere og mer sensitive personopplysninger, desto mer vil det kunne påvirke resultatene i denne DPIAen.

  1. Mulighet for å legge inn personopplysninger

Her gjorde vi også noen kvalifiserte antagelser om hvor mange personopplysninger som vil kunne legges inn av brukere eller skoleeier, og dermed behandles i tjenesten. For dette vil også åpenbart kunne påvirke skoleeiers etterlevelse av personvern, og være relevant for denne DPIAen.

Hvilke tjenester skal vi vurdere i den nasjonale DPIAen for M365?

I Microsoft for Education er de forskjellige tjenestene som er tilgjengelig fordelt innenfor de forskjellige kategoriene: applikasjoner, sikkerhet, ledelse og administrasjon, læringssimulatorer og tilgjengelighet[1].

I kategoriene applikasjoner, sikkerhet, ledelse og administrasjon, kjenner vi igjen flere tjenester som brukes på tvers av sektorer, ikke bare i skolesektoren. Mens tjenestene i kategorien læringssimulator er tjenester som nesten utelukkende brukes i skolen.

I kategorien tilgjengelighet finner vi tjenester som skal gjøre det enklere for brukere – uansett funksjonsevne – å bruke tjenestene i M365.

Last ned presentasjon med oversikt scope og vurderingene våre (pdf)

Hva med Copilot?

Dette er et spørsmål vi får hele tiden, for folk ønsker seg virkelig en egen vurdering av Copilot. Noe som er veldig forståelig. Copilot har blitt mer og mer integrert i M365, og det er deler av Copilot som du som skoleeier automatisk «får med på kjøpet» når du bruker M365.

Utgangspunktet vårt var at vi ikke ønsket at denne DPIAen skulle bli en DPIA av Copilot. Undersøkelsen vi har vist til tidligere i denne artikkelen viste oss at relativt få skoleeiere har gjort en DPIA av M365. Dette forteller oss at det er et behov for en DPIA av M365.

Videre er det tydelig fra det arbeidet NTNU gjorde i sine vurderinger av Copilot og Datatilsynets etterfølgende rapport, at det er en forutsetning å ha kontroll på og ha gjort nødvendige vurderinger av M365, før du som behandlingsansvarlig i det hele tatt kan vurdere å skru på Copilot. Vi ønsker at denne DPIAen skal være en del av det forarbeidet behandlingsansvarlige uansett må gjøre.

Men hva med de delene av Copilot du som behandlingsansvarlig ikke kan skru av? De delene som er integrert i M365? Jo, vi ser at vi på en eller annen måte må adressere det i denne DPIAen.

Her har vi ikke svaret på hvordan vi skal adressere dette. Vi vet bare at vi må inkludere de delene av Copilot som er helintegrert i M365 på en eller annen måte.

For de andre delene av Copilot, viser vi til det arbeidet som NTNU og Datatilsynet allerede har gjort på Copilot. Disse vurderingene bør gi en god pekepinn på om organisasjonen din er moden nok til å ta i bruk Copilot eller ikke.

Nederlandske myndigheter har også gjort en DPIA av Copilot som det kan være lurt å ta en titt på. Vi vil anta at mange av de risikoene som Nederland har identifisert, også gjør seg gjeldende for norsk forvaltning.   

[1] https://cdn-dynmedia-1.microsoft.com/is/content/microsoftcorp/microsoft/final/en-us/microsoft-product-and-services/microsoft-education/downloadables/EDU-Microsoft-365-Plan-Comparison-Table.pdf