Personvernkonsekvensvurdering (DPIA)

Versjon 1.3 · Sist oppdatert: 7. juli 2026 · Neste gjennomgang: mai 2027 · Pre-prod / testfase ut 2026

Denne vurderingen er gjort iht. GDPR art. 35 og Datatilsynets veileder. DPIA-en revurderes minst årlig, og ved vesentlige endringer i behandlingen.

1. Beskrivelse av behandlingen

1.1 Behandlingsansvarlig og databehandler

• Tjenesteleverandør (databehandler): Delta Matte AS, org.nr. 937 595 492
  • Postadresse: Hegermannsgt. 12a, 0478 Oslo
  • Kontakt: Erik Lyngner, erik@deltamatte.no
  • Bakgrunn: Tidligere pedagoger fra Kikora med lang erfaring fra digitale matematikk-læremidler i norsk skole.
• Behandlingsansvarlig: Skoleeier (kommune, fylkeskommune eller privat skoleeier) som tar tjenesten i bruk for sine elever og lærere.
• Forholdet reguleres av databehandleravtale (DPA) per skoleeier.
• Driftsfase: Pre-prod / testfase ut 2026.

1.2 Formål med behandlingen

Tjenestens formål er å tilby digitale matteoppgaver og figurverktøy for elever, samt verktøy for lærere til å følge opp egne klasser. Konkrete behandlingsformål:

1. Autentisering av elever og lærere via Feide
2. Lagring av læringsprogresjon slik at eleven kan fortsette der hen slapp
3. Lærer-oppfølging: lærer i samme klasse kan se egne elevers framgang
4. Manuell gruppe-redigering: hovedlærer kan supplere eller korrigere sin Feide-gruppe når Feide-lista er ufullstendig eller feil — invitere en elev eller co-lærer via delingslenke, skjule (reversibelt) en deltaker som ikke skal ha tilgang, eller tilbakestille gruppa til ren Feide. Håndhevet innenfor samme skole (samme behandlingsansvarlig): en person kan bare bli med i en gruppe ved sin egen skole (skole-org.nr. sammenlignes; mangler det på én side, avvises innmeldingen)
5. Forfatter-verktøy: utvikling av faginnhold (oppgaver, klasser, oppgavesamlinger)
6. Sikkerhet og misbruksforebygging: rate-limiting, audit-trail
7. Lovpålagte forpliktelser: regnskap, sikkerhetshendelsesrapportering

Tjenesten brukes ikke til:

• Trening av AI-modeller på elev-data
• Normering eller standardisert testing
• Reklame eller markedsføring
• Salg eller utlevering av data til tredjeparter for kommersielle formål

1.3 Datatyper

Vi behandler ikke: telefonnummer, postadresse, fødselsdato, helseopplysninger, betalingsinformasjon, biometriske data, posisjonsdata.

1.4 Kategorier av registrerte

Behandlingen omfatter to ulike forhold:

1. På vegne av skoleeier (omfattet av databehandleravtalen):

• Elever — i 2026 typisk 16–19 år (videregående skole)
• Lærere — fast ansatte og vikarer ved skoleeiers skoler

2. På Delta Matte AS' eget ansvar (egen behandlingsansvarlig):

• Forfattere — Delta Mattes egne medarbeidere som lager faginnhold; har tilgang til Gemini-forslag for alt-tekst og oppgaveutkast
• Drifts-administratorer — Delta Matte AS' egne ansatte/innleide med tilgang til drift og support

1.5 Mottakere og dataflyt

Personopplysninger lagres hos følgende databehandlere (full liste på underleverandører):

Dataflyt:

1.6 Lagringstid

2. Rettsgrunnlag

Behandling av personopplysninger om elever og lærere:

• GDPR art. 6 nr. 1 bokstav b: avtale med skoleeier (databehandleravtale jf. art. 28)
• GDPR art. 6 nr. 1 bokstav c: rettslig forpliktelse (opplæringsloven, personvernforordningen)
• GDPR art. 6 nr. 1 bokstav f: berettiget interesse for sikkerhetstiltak (audit-trail, rate-limiting, misbruksforebygging)

Skoleeier som behandlingsansvarlig har ansvar for nødvendige samtykker og informasjon til elever i tråd med gjeldende personvernregelverk.

Behandlingen omfatter ikke:

• Særlige kategorier av personopplysninger (GDPR art. 9) — helse, religion, mv.
• Automatiserte avgjørelser med rettsvirkning (GDPR art. 22). KI brukes kun til forfatter-støtte (foreslå oppgavetekster, generere alt-tekst); ingen vurdering eller skåring av elever skjer automatisk.

3. Vurdering av nødvendighet og proporsjonalitet

3.1 Er behandlingen nødvendig for formålet?

3.2 Dataminimering

Vi henter kun nødvendige attributter fra Feide: name, eduPersonAffiliation, schacHomeOrganization. email mottas fra Feide men lagres kun for admin-brukere (dataminimering). Andre Feide-attributter (telefonnummer, ID-nummer, fødselsdato) er ikke etterspurt.

3.3 Formålsbegrensning

Personopplysninger brukes kun til formålene listet i § 1.2. Eksplisitt utelukket:

• AI-trening på elev-data
• Markedsføring
• Salg/overføring til tredjeparter
• Profilering for adaptiv læring (vi har ingen adaptiv algoritme)

3.4 Konsekvensvurdering for de registrerte

4. Risikovurdering

4.1 Identifiserte risikoer

4.2 Særskilte hensyn til barn

Barn er en sårbar gruppe iht. GDPR fortale 38. Særlige risikofaktorer:

• Lavere forståelse av personvern → vanskeligere å gi informert samtykke (mitigert: skoleeier er behandlingsansvarlig)
• Læringsdata kan over tid avsløre kognitive mønstre — krever sterk formålsbegrensning
• "Public-by-default"-tilstand kan oppstå hvis lærer-oversikt utvides → krever bevisst design

5. Tiltak for å håndtere risiko

5.1 Tekniske tiltak

5.2 Organisatoriske tiltak

5.3 Restrisiko

Etter tiltakene over vurderes restrisikoen som lav til moderat:

• R1 (uautorisert tilgang): lav. Feide-MFA + audit-trail gjør at brudd raskt oppdages.
• R2 (underleverandør-lekkasje): lav. Vi velger SOC 2-sertifiserte leverandører i EU.
• R3 (lærer-misbruk): lav. Tilgang er begrenset til egne klasser og alle aksesser logges.
• R4 (KI-data utenfor EU): lav. Kun forfatter-data sendes til Gemini.
• R5 (function creep): lav. Formålsbegrensning er kodifisert i DPA.
• R6 (rettigheter): veldig lav. Selvbetjent fra /profil.
• R7 (lang lagring): lav. Audit-log auto-slettes; profil-data sletter selvbetjent.
• R8 (identifiserbar audit-trail): veldig lav. Sletting trigger anonymisering.

6. Samråd og forhåndsdrøfting

6.1 Samråd med personvernombud

Delta Matte AS er for liten til å være pålagt å ha et personvernombud (GDPR art. 37). Skolene som bruker tjenesten har egne personvernombud, og disse vil få tilgang til denne DPIA-en ved forespørsel.

6.2 Samråd med brukere/foresatte

Skoleeier som behandlingsansvarlig er ansvarlig for å informere elever og eventuelt foresatte ved bruk. DeltaMatte tilbyr personvernerklæring og DPIA som vedlegg til skoleeiers kommunikasjon.

6.3 Behov for forhåndsdrøfting med Datatilsynet (GDPR art. 36)

Konklusjon: Ikke nødvendig. Restrisikoen er vurdert som lav til moderat etter tiltak. Behandlingen innebærer ikke:

• Storskala behandling av særlige kategorier (art. 9)
• Systematisk overvåking av offentlig tilgjengelig område
• Automatiserte avgjørelser med rettsvirkning

7. Konklusjon

Behandlingen kan gjennomføres med tiltakene beskrevet over. Restrisikoen er lav til moderat og innenfor det som er rimelig for en utdannings-tjeneste rettet mot skoler.

7.1 Oppfølging

• DPIA revurderes årlig (neste gjennomgang: mai 2027)
• Ny vurdering må gjennomføres ved:
  • Innføring av nye datatyper (eks. helsedata, biometri, posisjon)
  • Innføring av automatiserte avgjørelser om elever (eks. adaptiv læring)
  • Endring av rettsgrunnlag
  • Nye underleverandører utenfor EU/EØS
  • Sikkerhetshendelse som påvirker risikobildet

7.2 Endringshistorikk

Vedlegg

• Personvernerklæring
• Underleverandører
• Tilgjengelighetserklæring
• Databehandleravtale (DPA) — kan tilsendes ved henvendelse