Målfrid

Personvern og etterleving

Vurdering av overføring til tredjeland (TIA)

Sist oppdatert

Opnar utskriftsdialogen. Vel «Lagre som PDF» som skrivar.

Dette dokumentet finst berre på bokmål. Alt rundt, som menyar og oversikter, er på nynorsk.

Versjon 1.1, 5. november 2026.

Vurderingen gjelder underdatabehandlerne i registeret som har tilknytning til land utenfor EØS, for eksempel gjennom et morselskap eller en underleverandør. Schoolhub AS (databehandler) har skrevet den som underlag. Kommunen er behandlingsansvarlig, har ansvaret for overføringen og godtar eller supplerer vurderingen (databehandleravtalen punkt 4.7).

0. Metode

Vi følger EDPB Recommendations 01/2020 om supplerende tiltak, i forkortet form:

  1. Kartlegg overføringen.
  2. Finn overføringsgrunnlaget.
  3. Vurder om retten i mottakerlandet i praksis svekker grunnlaget.
  4. Vurder tiltak.
  5. Konkluder og sett tidspunkt for ny vurdering.

Med standardvalgene skjer lagring og behandling i EØS. Spørsmålet er derfor om et selskap med tilknytning til et tredjeland kan bli pålagt å gi tilgang til data i EØS, enten som fjerntilgang eller som myndighetstilgang. Er slik tilgang mulig fra et tredjeland, regner vi det som overføring.

Aktuelle overføringsgrunnlag er adekvansvedtak (art. 45), blant annet EU-US Data Privacy Framework (DPF, Kommisjonens vedtak 10. juli 2023, som EØS-landene følger), og standard personvernbestemmelser (SCC, art. 46(2)(c)). Vi bruker ikke unntakene i art. 49.

DPF. EU-rettens Generelle domstol avviste 3. september 2025 søksmålet i sak T-553/23 (Latombe mot Kommisjonen), og vedtaket står. Saken kan bringes inn for EU-domstolen, og vi sjekker status ved hver gjennomgang. Vi bygger ikke på DPF alene: SCC er reserve, og tiltakene som beskytter innholdet gjelder uansett.

TIA 1: Hosting hos Scaleway (U1), ingen TIA nødvendig

PunktVurdering
MottakerScaleway SAS, et fransk selskap i Iliad-konsernet. Ikke amerikansk morselskap
LokasjonDrift i regionen Paris (fr-par, tre soner). Sikkerhetskopi og katastrofegjenoppretting i Amsterdam (nl-ams). E-post fra tjenesten sendes med Scaleway Transactional Email i Paris. Alt i EØS
OverføringsgrunnlagIkke relevant. Det skjer ingen overføring til tredjeland, og GDPR kapittel V gjelder ikke
OppfølgingI den årlige leverandørvurderingen går vi gjennom Scaleways underleverandører og supportmodell. Vi kontrollerer at ingen underleverandør, support- eller driftsfunksjon gir tilgang fra tredjeland, og at ingen amerikanske verktøy får tilgang til kundeinnhold
RestrisikoLav. Alt innhold er kryptert med en nøkkel som er egen for hver kommune, og kommunenes nøkler er pakket med en nøkkelkrypteringsnøkkel i Scaleways hemmelighetsforvaltning. Det gir et ekstra lag mot innsyn, men siden nøkkelkrypteringsnøkkelen forvaltes på Scaleways plattform, beskytter det lite mot leverandøren selv
KonklusjonHosting trenger ingen TIA. Viser det seg at en underleverandør har tilgang fra tredjeland, lager vi en egen TIA for den delen

Microsoft (TIA 2) er den eneste modellleverandøren med amerikansk morselskap, og den brukes bare når kommunen slår den på. GreenPT (TIA 3) og Mistral AI (TIA 6) er europeiske selskaper.

TIA 2: Microsoft Azure OpenAI, EU Data Zone (U3), og opplesing med Azure AI Speech (U3b)

PunktVurdering
Hva overføresAzure OpenAI: spørsmål, kontekst (også utdrag fra kunnskapsbaser) og svar i de dataklassene kommunen har slått på for leverandøren. Opplesing: teksten som skal leses opp
LokasjonRessurs i Sweden Central med distribusjon i Data Zone EU. Microsoft behandler forespørsler i EU-land og lagrer data i hvile i valgt geografi
Rettslig risikoMicrosoft Corp. er underlagt amerikansk lov (CLOUD Act, FISA 702) og kan i prinsippet bli pålagt å utlevere data selskapet kontrollerer, også data lagret i EU. Microsoft kan dessuten lagre spørsmål og svar en periode for misbruksovervåking, og menneskelig gjennomgang kan skje hvis det ikke er gitt unntak
TiltakLagring og behandling i EØS (EU Data Zone). DPF, med SCC som reserve. Azure OpenAI er av i startmalen til kommunen slår leverandøren på, og kommunen velger dataklassene selv. En overordnet enhet kan låse valget. Hver endring logges. Ingen trening på data (avtalekrav). Før leverandøren slås på, søker vi om unntak fra misbruksovervåking der Microsoft tilbyr det. Opplesing følger de samme reglene: av i startmalen til kommunen slår den på og velger klassene. Om opplest lyd kan mellomlagres, er en egenskap ved klassen
RestrisikoLav for klasser uten taushetsbelagt innhold og personopplysninger. Middels til høy for klasser med slikt innhold
KonklusjonAkseptabelt for klasser uten taushetsbelagt innhold og personopplysninger når kommunen har godtatt vurderingen. For klasser med taushetsbelagt innhold eller personopplysninger anbefaler vi GreenPT (U2) eller Mistral AI (U4). Kommunen avgjør, og valget logges

TIA 3: GreenPT (U2)

LeverandørVurdering
GreenPT BV (U2), NederlandNederlandsk selskap. På EU-endepunktet behandles forespørsler av Scaleway SAS (Paris) og av Inceptron, Tensorix og Melious (Finland), ifølge GreenPTs side om databehandlere (hentet 4. november 2026). GreenPT oppgir at API-innhold ikke lagres varig. GreenPTs endepunkt i USA brukes ikke. Det er ikke forutsatt noen overføring til tredjeland

Konklusjon: for GreenPT er det ikke forutsatt noen overføring til tredjeland.

Modeller av kinesisk opphav (GreenPT og Mistral AI). Vektene er laget av kinesiske selskaper, men modellene kjøres av GreenPT (Frankrike og Finland) og Mistral AI (EU), ikke i Kina. Det skjer ingen overføring til Kina så lenge ingen forespørsel går til tjenester drevet fra Kina (DeepSeek, Moonshot, Alibaba Cloud, Zhipu, MiniMax, Xiaomi). Målfrid er ikke koblet til slike tjenester.

TIA 4: Nettsøk

PunktVurdering
Hva overføresBare søkespørringen (laget av modellen, aldri hele samtalen) og språket. Spørringen stoppes hvis kontrollen finner fødselsnummer, D-nummer, helseopplysninger, adresse, telefonnummer eller kontonummer. Bare i dataklasser der kommunen har tillatt nettsøk (i startmalen klassene uten taushetsbelagt innhold og personopplysninger)
LeverandørGreenPT (U2), med behandling i EU (se TIA 3 og registeret)
TiltakAv som standard. Kommunen slår det på og velger klassene. Hver søkespørring logges med leverandør, antall treff, dataklasse, kontrollsum og lengde. Selve spørringen logges ikke
RestrisikoLav for klasser med offentlig innhold. Lav til middels for klasser med internt innhold, fordi spørringen kan vise hva kommunen arbeider med. Høyere for klasser med taushetsbelagt innhold eller personopplysninger, selv med kontrollen av spørringen
KonklusjonKan slås på for klasser uten taushetsbelagt innhold og personopplysninger når vilkårene over er oppfylt. Vi anbefaler ikke nettsøk i klasser med taushetsbelagt innhold eller personopplysninger

TIA 5: Identitet og kommunens egne tjenester

Microsoft Entra ID, Microsoft Graph (gruppesynkronisering, SharePoint, Teams) og Feide er kommunens egne leverandører, og kommunen har ansvaret for overføringsvurderingen for dem. Målfrid leser bare det kommunen gir tilgang til i Graph-appen.

TIA 6: Mistral AI (U4)

LeverandørVurdering
Mistral AI SAS (U4), Paris, FrankrikeFransk selskap. Databehandlertillegget på legal.mistral.ai oppgir ingen behandlingssteder. Det viser til overføring til land med tilstrekkelig vern, ellers SCC, og underdatabehandlerne står på trust.mistral.ai/subprocessors. Mistral oppgir at API-et til Voxtral 3 driftes i EU som standard (mistral.ai/news/voxtral-3, hentet 4. november 2026).

Konklusjon: vi forutsetter ingen overføring til tredjeland. I startmalen er Mistral tillatt for alle fire dataklasser: språkmodeller, tale til tekst og tekstgjenkjenning. Kommunen avgjør og kan velge færre dataklasser per leverandør og modell, og valget logges. Kommunen bør vurdere overføringen i sin DPIA før tale brukes for klasser med taushetsbelagt innhold eller personopplysninger. Levende referat og diktering lagrer ikke lyd hos oss.

Ny vurdering

Vi vurderer på nytt ved endring i DPF-status, ny leverandør, ny underdatabehandler hos en eksisterende leverandør, endret avtale eller en hendelse, og minst én gang i året.

Versjon 1.1, 5. november 2026.

Kilder