EUPC-pilot — personvern

Utkast · ikke juridisk rådgivning · gjennomgås av personvernombud/jurist

# Personvernvurdering — EUPC-pilot (Mentimeter + Tally)

| | |
|---|---|
| **Versjon** | 1.0 (utkast) |
| **Dato** | 2026-08-11 |
| **Status** | Til gjennomgang av personvernombud/jurist |
| **Behandlingsansvarlig** | `[Organisasjon — f.eks. Climbr AS / Barnevakten / Samskaperne]` |
| **Kontakt** | `[navn, e-post]` |
| **Gjelder** | Innsamling og analyse av strukturerte spørreundersøkelsessvar i EUPC-pilot |

> **Ansvarsfraskrivelse:** Dette dokumentet er en faglig personvernvurdering ment som
> beslutnings- og arbeidsgrunnlag. Det er **ikke juridisk rådgivning**. Fordi målgruppen
> omfatter **mindreårige i grunnskolen**, skal vurderingen gjennomgås og godkjennes av
> personvernombud og/eller jurist før piloten settes i drift.

---

## 1. Formål og bakgrunn

Piloten gjennomfører temakvelder/økter etter EUPC-metodikken (European Prevention
Curriculum) med tre faser — **forkant → live → etterkant**. For å måle **utvikling på
nøkkelspørsmål over tid** samles det inn **strukturerte svar** (skala- og valgspørsmål):

- **live** via Mentimeter (storskjerm i salen),
- **forkant/etterkant** via Tally-skjema.

Formålet med databehandlingen er **å produsere anonym, aggregert statistikk** per
kommune/kohort/fase innenfor EUPC-rammeverket. Formålet er **ikke** å følge enkeltpersoner.

## 2. Målgruppe

- **Foreldre/foresatte** (voksne), og
- **barn og unge i grunnskolen** (ca. 6–16 år) — **mindreårige**, en sårbar gruppe som
  krever særlig vern (fortalepunkt 38 i personvernforordningen).

Fordi mindreårige inngår, legges et **føre-var-prinsipp** til grunn i hele designet.

## 3. Hva som samles inn — og hva som IKKE samles inn

**Samles inn:**
- Svar på **skala- og valgspørsmål** (f.eks. «På en skala 1–5 …», «Velg ett alternativ …»).
- **Kontekst per økt (ikke per person):** kommune, målgruppe, fase (forkant/live/etterkant),
  dato. Dette er metadata om *økten*, ikke om deltakeren.

**Samles bevisst IKKE inn:**
- **Ingen fritekst.** (Fritekst er der mindreårige utilsiktet kan avsløre identifiserende
  eller sensitive opplysninger. Piloten stiller ingen åpne spørsmål.)
- **Ingen direkte identifikatorer:** navn, e-post, telefon, fødselsdato, klasse/skole-ID,
  elev-ID e.l.
- **Ingen indirekte koblingsnøkler** på tvers av økter (se punkt 6 om aggregert nivå).

## 4. Sentral vurdering: anonyme opplysninger vs. personopplysninger

Skillet er avgjørende for hvor mye personvernforordningen kommer til anvendelse:

- **Analysedatasettet** (det som lagres i vår `eupc_*`-database og analyseres) er utformet
  for å være **anonymt** i forordningens forstand: det inneholder kun strukturerte svar og
  metadata om økten, uten identifikatorer, og uten at en enkeltperson med rimelige midler
  kan gjenidentifiseres. **Anonyme opplysninger faller utenfor personvernforordningen**
  (fortalepunkt 26). Analysen i seg selv utløser derfor i utgangspunktet ikke behandlingsgrunnlag,
  registrertes rettigheter mv.
- **Innsamlingsfasen** (mens svarene finnes i Mentimeter/Tally) kan likevel innebære
  **midlertidig behandling av personopplysninger** — typisk IP-adresse på nettverksnivå og
  Tallys automatiske **Respondent-ID** (se punkt 7). Her *kan* forordningen komme til
  anvendelse, og databehandlerne (Menti/Tally) behandler dette under egne vilkår og vår
  databehandleravtale.

**Konklusjon:** Designet flytter databehandlingen mot **anonymitet så tidlig som mulig**, slik
at personopplysninger i praksis kun eksisterer forbigående hos databehandlerne, aldri i vårt
analysedatasett. Den reelle personvernrisikoen ligger dermed i innsamlingsfasen, og håndteres
med tiltakene i punkt 7–9.

## 5. Behandlingsgrunnlag

- **For analysedatasettet:** anonyme data → utenfor forordningen → **eget behandlingsgrunnlag
  er ikke nødvendig**.
- **For forbigående behandling i innsamlingen** (i den grad IP/Respondent-ID regnes som
  personopplysning hos databehandler): grunnlaget er **berettiget interesse**
  (art. 6(1)(f)) i å gjennomføre anonym forebyggingsforskning, **eller samtykke**
  (art. 6(1)(a)) der det innhentes. Dataminimeringen (punkt 7) gjør at den forbigående
  behandlingen er svært begrenset.
- **Mindreårige:** der samtykke brukes som grunnlag for en informasjonssamfunnstjeneste, er
  aldersgrensen i Norge **13 år** (personopplysningsloven § 5); for yngre kreves samtykke fra
  foresatte. I skolekontekst bør **informasjon til foresatte** og eventuelt skolen foreligge
  uansett grunnlag. Fordi datasettet er anonymt, er samtykke ikke det bærende grunnlaget for
  analysen, men **informasjon/transparens overfor foresatte anbefales sterkt**.

> **Anbefaling:** Innhent ikke samtykke for et *anonymt* datasett (det kan feilaktig signalisere
> at data er personidentifiserbare). Gi i stedet **tydelig informasjon** til foresatte/skole om
> at det samles inn anonyme, aggregerte svar, hva formålet er, og at ingen enkeltperson spores.

## 6. Aggregert nivå — bevisst valg

«Utvikling over tid» måles **på aggregert nivå** (kommune/kohort/fase), ikke per person. Det
finnes **ingen pseudonym koblingsnøkkel** som følger en deltaker mellom forkant, live og
etterkant, eller mellom økter. Dette er et bevisst valg som:

- fjerner muligheten for å bygge en (selv pseudonym) profil av et barn,
- reduserer gjenidentifiseringsrisiko til et minimum,
- er tilstrekkelig for formålet (måle gruppens bevegelse, ikke individets).

## 7. Anonymiseringsstrategi — «så nær klienten som mulig»

Tiltakene rangeres fra nærmest deltakeren (sterkest) til svakest:

1. **Ved kilden (skjemadesign) — sterkest:**
   - Skjemaene stiller **kun skala/valg**, **ingen fritekst**, **ingen identifiserende felt**.
   - **Ingen skjulte felt (hidden fields)** som fører elev-/klasse-ID inn via URL.
   - **Ingen e-postinnsamling / e-postverifisering** i Tally.
   - *Blir det aldri spurt om, blir det aldri samlet inn.*
2. **Databehandlerinnstillinger:**
   - **Tally:** signer databehandleravtale (DPA); EU-hosting (Google Cloud, Belgia);
     slå på **automatisk sletting av innsendinger** etter kort periode (Tally Business);
     bekreft skriftlig med Tally hvordan **IP-adresse** håndteres/lagres.
   - **Mentimeter:** avstemning uten innlogging (anonymt som standard); signer DPA;
     kontroller at eksport ikke inneholder identifikatorer.
3. **Ved import (vår side):**
   - Hent/les **kun svarverdiene**. **Forkast** Tallys `Respondent ID` og `Submission ID`,
     tidsstempler og all metadata **før** noe skrives til vår database.
   - Tildel en **egen tilfeldig token per svar** (ikke avledet av noen Menti/Tally-ID), kun
     for radintegritet innen én økt — ikke en koblingsnøkkel på tvers.
4. **Lagringsbegrensning:**
   - Slett svarene hos Menti/Tally etter import (eller kort auto-sletting).
   - Vår database lagrer kun anonyme, aggregeringsklare rader.

⚠️ **Særskilt om Tally Respondent-ID:** Tally genererer automatisk en Respondent-ID som er
**persistent på tvers av alle skjemaer i samme arbeidsområde** og **ikke kan slås av**. Denne
**skal aldri importeres eller lagres** hos oss, da den ellers ville utgjøre en koblingsnøkkel på
tvers av økter — i strid med det aggregerte designet.

## 8. Databehandlere og overføring

| Databehandler | Rolle | Lokasjon | Tiltak |
|---|---|---|---|
| Mentimeter | Live-avstemning | EØS/`[bekreft]` | DPA signeres; anonym avstemning; eksportkontroll |
| Tally | Forkant/etterkant-skjema | EU (Google Cloud, Belgia) | DPA signeres; auto-sletting; IP-håndtering bekreftes |

- Ingen overføring til tredjeland er planlagt. `[Bekreft Mentimeters datalokasjon og eventuelle
  underdatabehandlere.]`
- Tallys underdatabehandlere inkluderer bl.a. Google Cloud og Cloudflare (edge/filopplasting).

## 9. Lagring og sletting (retention)

| Data | Hvor | Oppbevaring | Sletting |
|---|---|---|---|
| Rå innsendinger | Menti/Tally | Kortest mulig | Auto-sletting + manuell sletting etter import |
| Anonymt analysedatasett | Vår `eupc_*`-DB | For pilotens/forskningens varighet | Ingen personopplysninger → ingen slettekrav, men ryddes ved prosjektslutt |
| Backup (Tally) | Tally | ≤ 90 dager etter sletting | Tallys rutine |

## 10. Risikoer og tiltak (oppsummert)

| Risiko | Sannsynlighet | Konsekvens | Tiltak |
|---|---|---|---|
| Fritekst avslører identitet | — | Høy | **Eliminert**: ingen fritekstspørsmål |
| Direkte identifikator i skjema | Lav | Høy | Skjemadesign uten identifiserende felt; kontroll før publisering |
| Tally Respondent-ID importeres | Lav | Middels | Adapter forkaster ID-er før lagring; kodegjennomgang |
| Skjult felt (URL) fører inn ID | Lav | Middels | Forbud mot hidden fields med identifikatorer |
| IP-adresse lagres hos databehandler | Middels | Lav | DPA; kort retention; skriftlig bekreftelse fra Tally |
| Gjenidentifisering via små grupper | Lav–middels | Middels | Ikke publiser tall for svært små grupper (se punkt 11) |

## 11. Restrisiko — små grupper

Selv anonyme, aggregerte data kan i teorien gjenidentifisere når en gruppe er svært liten
(f.eks. «3 elever i kommune X, fase Y»). **Tiltak:** sett en **minste gruppeterskel** (anbefalt
**n ≥ 5**) for publisering/visning av nedbrutte tall; under terskelen vises kun samlet nivå
eller undertrykkes.

## 12. Behov for DPIA

Fordi behandlingen omfatter **mindreårige (sårbar gruppe)**, er en **ny dataflyt** og gjelder
**systematisk innsamling i skolesammenheng**, anbefales det å gjennomføre en
**personvernkonsekvensvurdering (DPIA)** selv om designet tar sikte på anonymitet. DPIA-en
dokumenterer at restrisikoen er lav og at tiltakene er tilstrekkelige. Ferdig utfylt forslag
finnes i `docs/gdpr/dpia-eupc-pilot.md`.

## 13. Åpne punkter (må avklares før drift)

- [ ] Bekreft **behandlingsansvarlig** (juridisk enhet) og oppgi personvernombud/kontakt.
- [ ] Signer **DPA** med Mentimeter og Tally.
- [ ] Skriftlig bekreftelse fra **Tally** om IP-håndtering og lagring.
- [ ] Bekreft **Mentimeters datalokasjon** og underdatabehandlere.
- [ ] Fastsett **auto-sletting**-periode i Tally.
- [ ] Utform **informasjonsskriv til foresatte/skole**.
- [ ] Fastsett **minste gruppeterskel** (anbefalt n ≥ 5).
- [ ] Personvernombud/jurist godkjenner denne vurderingen og DPIA-en.

# Personvernkonsekvensvurdering (DPIA) — EUPC-pilot

*Forslag, ferdig utfylt. Utformet etter Datatilsynets mal for personvernkonsekvensvurdering
(artikkel 35 i personvernforordningen).*

| | |
|---|---|
| **Versjon** | 1.0 (utkast til godkjenning) |
| **Dato** | 2026-08-11 |
| **Behandlingsansvarlig** | `[Organisasjon]` |
| **Ansvarlig for DPIA** | `[navn/rolle]` |
| **Personvernombud** | `[navn — eller «ikke oppnevnt»]` |
| **Relatert dokument** | `docs/gdpr/personvernvurdering-eupc-pilot.md` |

> **Ikke juridisk rådgivning.** Skal gjennomgås og godkjennes av personvernombud/jurist.

---

## Del 0 — Er DPIA påkrevd?

DPIA er påkrevd når en behandling «sannsynligvis vil medføre høy risiko» (art. 35(1)).
Relevante utløsere her:

- ☑ Behandling av opplysninger om **sårbare registrerte** (barn/mindreårige).
- ☑ **Ny teknologi / ny dataflyt** (kombinasjon av eksterne verktøy + eget analysedatasett).
- ☐ Storskala særlige kategorier (art. 9) — *ikke aktuelt; se Del 2.*
- ☐ Systematisk profilering med rettsvirkning — *ikke aktuelt; ingen profilering.*

**Vurdering:** Selv om designet tar sikte på **anonyme** analysedata (og anonyme data faller
utenfor forordningen, fortalepunkt 26), gjennomføres DPIA **føre-var** fordi mindreårige inngår
og dataflyten er ny. DPIA-en dokumenterer at restrisikoen er lav.

---

## Del 1 — Systematisk beskrivelse av behandlingen

**1.1 Formål.** Måle utvikling på EUPC-nøkkelspørsmål over tid, på **aggregert nivå**
(kommune/kohort/fase), for å vurdere effekt av forebyggende temakvelder. Ikke å følge
enkeltpersoner.

**1.2 Art (hva slags behandling).** Innsamling av **strukturerte svar** (skala/valg) via
Mentimeter (live) og Tally (forkant/etterkant), etterfulgt av **anonymisering ved import** til
et internt analysedatasett (`eupc_*`), og aggregert statistisk analyse.

**1.3 Omfang.**
- Datatyper: skala-/valgsvar; kontekstmetadata per *økt* (kommune, målgruppe, fase, dato).
- **Ingen** fritekst, navn, e-post, telefon, fødselsdato, elev-/klasse-ID.
- Volum: `[antall økter/kommuner/deltakere i piloten]`.
- Varighet: pilotperioden `[fra–til]`.

**1.4 Registrerte.** Foreldre/foresatte (voksne) og **barn og unge i grunnskolen** (ca. 6–16 år).

**1.5 Sammenheng.** Forebyggingsprogram i skole-/foreldrekontekst (EUPC-metodikk). Mindreårige
er en sårbar gruppe med krav om særlig vern.

**1.6 Dataflyt (kort).**
```
Deltaker → Mentimeter (live, anonym)            ┐
Deltaker → Tally-skjema (forkant/etterkant)     ┘→ eksport/API
   → import-adapter: forkaster ALLE identifikatorer/metadata (IP, Respondent-ID, tidsstempel)
   → anonymt analysedatasett (eupc_session / eupc_question / eupc_response)
   → aggregert analyse + AI-narrativ (utkast) på anonyme tall
```

**1.7 Databehandlere.** Mentimeter og Tally (DPA signeres; EU-hosting; se personvernvurderingen
punkt 8). Ingen planlagt tredjelandsoverføring.

---

## Del 2 — Nødvendighet og forholdsmessighet

- **Nødvendighet:** Å måle utvikling på nøkkelspørsmål krever svardata. Behovet dekkes fullt ut
  av **anonyme, aggregerte** svar; ingen identifikatorer er nødvendige for formålet.
- **Dataminimering (art. 5(1)(c)):** Kun det som trengs samles inn; fritekst og identifikatorer
  er bevisst utelatt. Innebygd og standardinnstilt personvern (art. 25) er ivaretatt ved
  skjemadesign og import-adapter.
- **Formålsbegrensning:** Data brukes kun til aggregert EUPC-analyse.
- **Lagringsbegrensning:** Kort oppbevaring hos databehandler; anonymt datasett hos oss.
- **Særlige kategorier (art. 9):** Spørsmålene skal **utformes slik at de ikke avdekker** helse,
  religion, seksuell orientering e.l. `[Kontroller det konkrete spørsmålssettet mot dette.]`
- **Forholdsmessighet:** Inngrepet i personvernet er minimalt (i praksis ingen personopplysninger
  i sluttdatasettet), veid mot en legitim samfunnsnytte (forebygging blant barn og unge).

**Vurdering:** Behandlingen er nødvendig og forholdsmessig; mindre inngripende alternativ finnes
ikke uten å miste formålet.

---

## Del 3 — Behandlingsgrunnlag

- **Analysedatasettet:** anonyme opplysninger → utenfor forordningen → grunnlag ikke påkrevd.
- **Forbigående behandling i innsamling** (IP/Respondent-ID hos databehandler): berettiget
  interesse (art. 6(1)(f)) eller samtykke (art. 6(1)(a)), med sterk dataminimering.
- **Mindreårige:** aldersgrense 13 år for samtykke til informasjonssamfunnstjeneste
  (personopplysningsloven § 5); **informasjon til foresatte/skole** foreligger uansett grunnlag.
- **Anbefaling:** ikke innhent samtykke for anonymt datasett; prioriter **transparens/informasjon**.

---

## Del 4 — Involvering og rådføring

- ☑ Personvernombud rådført: `[dato / «n/a»]`.
- ☑ Databehandlere: DPA innhentes fra Menti og Tally.
- ☐ Rådføring med registrerte/foresatte: `[planlagt via informasjonsskriv]`.
- ☐ Forhåndsdrøfting med Datatilsynet: **ikke nødvendig** dersom restrisiko er lav (se Del 7).

---

## Del 5 — Risikovurdering

Skala: Sannsynlighet (S) og Konsekvens (K) = Lav / Middels / Høy. Risikonivå = S × K.

| # | Risiko for den registrerte | S | K | Risiko | 
|---|---|---|---|---|
| R1 | Mindreårig avslører identifiserende/sensitiv info i **fritekst** | Lav* | Høy | Lav |
| R2 | **Direkte identifikator** havner i skjema (navn/e-post/elev-ID) | Lav | Høy | Middels |
| R3 | **Tally Respondent-ID** importeres → kobling på tvers av økter | Lav | Middels | Lav |
| R4 | **Skjult felt (URL)** fører elev-/klasse-ID inn i svaret | Lav | Middels | Lav |
| R5 | **IP-adresse** lagres/eksponeres hos databehandler | Middels | Lav | Lav |
| R6 | **Gjenidentifisering via svært små grupper** i aggregerte tall | Middels | Middels | Middels |
| R7 | Data brukt til **annet formål** enn aggregert analyse | Lav | Middels | Lav |
| R8 | Uautorisert tilgang til analysedatasettet | Lav | Lav | Lav |

\* R1 er i praksis **eliminert** i design (ingen fritekstspørsmål), men listet for sporbarhet.

---

## Del 6 — Tiltak for å redusere risiko

| # | Tiltak | Reduserer |
|---|---|---|
| T1 | **Ingen fritekstspørsmål** i noe skjema | R1 |
| T2 | Skjemadesign uten identifiserende felt; **kontrollsjekk før publisering** | R2 |
| T3 | Import-adapter **forkaster** Respondent-ID, Submission-ID, tidsstempel og metadata før lagring; dekkes av **kodegjennomgang + test** | R3 |
| T4 | **Forbud mot hidden fields** med identifikatorer; dokumentert i skjemarutine | R4 |
| T5 | **DPA** med Menti/Tally; **kort auto-sletting** i Tally; skriftlig bekreftelse på IP-håndtering; EU-hosting | R5 |
| T6 | **Minste gruppeterskel n ≥ 5** for nedbrutte tall; ellers undertrykk/aggreger opp | R6 |
| T7 | **Formålsbegrensning** dokumentert; ingen sekundærbruk uten ny vurdering | R7 |
| T8 | Tilgangsstyring til analysedatasettet; kun anonyme data lagres | R8 |
| T9 | **Informasjonsskriv** til foresatte/skole (transparens) | R1, R2, R6 |

**Restrisiko etter tiltak:** alle poster vurdert til **Lav**.

---

## Del 7 — Konklusjon

- Behandlingen er **nødvendig og forholdsmessig**, og designet gir i praksis et **anonymt**
  analysedatasett.
- Etter tiltak (Del 6) er **restrisikoen lav** for alle identifiserte risikoer.
- **Forhåndsdrøfting med Datatilsynet (art. 36) er ikke nødvendig**, forutsatt at tiltakene
  implementeres og de åpne punktene i personvernvurderingen punkt 13 lukkes.
- DPIA-en **revideres** ved endringer (nye spørsmålstyper, fritekst, kobling på tvers, nye
  databehandlere eller tredjelandsoverføring).

---

## Del 8 — Godkjenning

| Rolle | Navn | Dato | Signatur |
|---|---|---|---|
| Behandlingsansvarlig | `[ ]` | | |
| Personvernombud | `[ ]` | | |
| Prosjektansvarlig | `[ ]` | | |

---

## Vedlegg A — Sjekkliste før drift

- [ ] Spørsmålssett gjennomgått: kun skala/valg, ingen fritekst, ingen art. 9-avdekking.
- [ ] Tally-skjema: ingen identifiserende felt, ingen hidden fields, e-postinnsamling av.
- [ ] Tally: auto-sletting satt; DPA signert; IP-håndtering bekreftet skriftlig.
- [ ] Mentimeter: anonym avstemning; DPA signert; eksport verifisert uten identifikatorer.
- [ ] Import-adapter: forkaster alle identifikatorer/metadata (dekket av test).
- [ ] Gruppeterskel n ≥ 5 implementert i rapportering.
- [ ] Informasjonsskriv til foresatte/skole klart.
- [ ] Personvernombud/jurist har godkjent personvernvurdering + DPIA.

Tips: bruk nettleserens «Skriv ut → Lagre som PDF» for en delbar PDF. Begge dokumentene skrives ut.