Målfrid

Personvern og etterlevelse

Mal: personvernerklæring for ansatte som bruker Målfrid

Sist oppdatert

Åpner utskriftsdialogen. Velg «Lagre som PDF» som skriver.

Versjon 1.1, 5. november 2026.

Kommunen er behandlingsansvarlig. Den tilpasser malen og publiserer den på intranettet eller kommunens nettsted. Ansatte og tillitsvalgte skal ha erklæringen før Målfrid tas i bruk (GDPR art. 13 og 14, og KI-forordningen art. 26(7)). Schoolhub AS er databehandler. Schoolhub kan gi opplysninger om tjenesten, men kan ikke avgjøre kommunens rettslige grunnlag.

Slik bruker dere malen: fyll ut feltene i hakeparentes, for eksempel [Kommunens navn]. Velg riktig rettslig grunnlag i kapittel 3 sammen med personvernombudet, og slett det som ikke gjelder dere. Kommunens jurist og personvernombud bør gå gjennom kapittel 3 og kapittel 6. Teksten er skrevet slik at ansatte kan lese den.

1. Hvem er ansvarlig

[Navn på kommune eller fylkeskommune], org.nr. [organisasjonsnummer], er behandlingsansvarlig for personopplysningene som behandles når du bruker Målfrid. Kontakt: [e-post eller telefon]. Personvernombud: [navn og e-post].

Leverandør og databehandler er Schoolhub AS (org.nr. 932739798, Bryggerikaien 24, 4014 Stavanger). Schoolhub driver Målfrid for kommunen og behandler opplysningene bare etter kommunens instruks, slik databehandleravtalen sier. Schoolhub bruker underleverandører (kapittel 5).

2. Hva Målfrid er

Målfrid er en KI-assistent for ansatte. Du kan søke i og oppsummere kommunens dokumenter, skrive tekster, få hjelp med klarspråk og målform (bokmål eller nynorsk) og lage referat fra møter. Ansatte kan også bygge egne assistenter, flyter, visninger og verktøy. Svarene er forslag laget av en språkmodell. Du er ansvarlig for innholdet du bruker, og Målfrid fatter ikke vedtak. Du ser hvilken modell, leverandør og region som er brukt, og alt som er laget av KI, er merket.

3. Hvilke opplysninger vi behandler, hvorfor og på hvilket grunnlag

OpplysningerFormålRettslig grunnlag
Identitet og tilgang: navn, e-post, bruker-ID fra Entra ID eller Feide, gruppe- og rollemedlemskap, valgt målform og enheten du jobber forGi deg tilgang, styre rettigheter og sørge for at bare riktige personer ser riktig innholdArt. 6(1)(e) (oppgave i allmennhetens interesse eller utøvelse av offentlig myndighet), jf. personopplysningsloven § 8 og kommuneloven. Art. 6(1)(c) for plikten til sikkerhet (art. 32). [Kommunen bekrefter]
Innhold du skriver eller laster opp (spørsmål, dokumenter, lyd, utkast) og svar fra KIUtføre arbeidsoppgaver i kommunen. Innholdet kan inneholde personopplysninger om innbyggere og kollegerArt. 6(1)(e) med grunnlag i fagloven oppgaven hører under. For særlige kategorier: art. 9(2)(g), (h) eller (b) med nasjonal hjemmel. [Kommunen presiserer per fagområde]
Bruks- og revisjonsdata: tidspunkt, handling, hvilken samtale eller hvilket dokument, dataklasse, modell og leverandør, mengde bruk, IP-adresse (lagres bare som kontrollsum) og avviste forsøkSikkerhet, sporbarhet, innsyn og arkiv, kostnadsstyring og kravene til logging i KI-forordningen (art. 12 og 26)Art. 6(1)(c) og (e): kravene til dokumentasjon i offentleglova, arkivlova og forvaltningsloven, og kommunens plikt til å sikre systemene
Lyd og transkripsjon fra møter og dikteringLage referat og skrive notater med stemmen. Lyd fra levende referat og diktering lagres ikke. I levende referat lagres bare teksten, og ved diktering lagres heller ikke tekstenArt. 6(1)(e). Deltakerne skal få beskjed før opptak. Samtykke er normalt ikke et egnet grunnlag i et arbeidsforhold (art. 7(4), fortale 43)
Henvendelser om innsyn (offentleglova)Behandle innsynskravArt. 6(1)(c): rettslig plikt etter offentleglova

Veiledning til kommunen: hovedregelen for kommunens oppgaver er art. 6(1)(e) med nasjonal hjemmel (art. 6(3), personopplysningsloven § 8). Art. 6(1)(c) brukes der en lovbestemt plikt gjør behandlingen nødvendig, for eksempel arkivlova, offentleglova og art. 32. For behandling i arbeidsforhold gjelder arbeidsmiljøloven kapittel 9 og personopplysningsloven (art. 88). Samtykke (art. 6(1)(a)) bør ikke være hovedgrunnlaget for ansatte.

Du skal ikke skrive inn eller laste opp opplysninger i en høyere dataklasse enn kommunen har tillatt. Du velger dataklasse før første melding, med mindre kommunen bare har én klasse. Kommunen bestemmer hvilke klasser som finnes og hva de krever. [Kommunen oppgir klassene sine og hvilke som er tillatt for din enhet.] Finner Målfrid for eksempel et fødselsnummer eller helseord, avviser den meldingen, gir en advarsel eller flytter samtalen til en strengere klasse, etter hva kommunen har satt for klassen. Innholdet sendes bare til leverandører kommunen har tillatt for den klassen. Alt du skriver eller laster opp, lagres kryptert. For klasser kommunen har gjort søkbare, lagres det i tillegg kontrollsummer av ordene, slik at du kan søke i dine egne samtaler. [Kommunen beskriver kravene til innlogging (tofaktor, sikkerhetsnøkkel, ny innlogging) slik de er satt hos dere.]

4. Hvem får se hva, og hva loggen brukes til

  • Samtalene dine er private. Kolleger ser dem ikke i Målfrid med mindre du deler dem, og verken kolleger eller ledere kan søke i dem.
  • Revisjonsloggen (hvem gjorde hva, og når) kan bare leses av revisor og administrator for enheten. Alle oppslag i loggen blir også logget.
  • Arkivadministratorer kan bruke innsynsmodulen til å finne samtaler som omfattes av et innsynskrav etter offentleglova. Søket gjøres for å behandle innsynskravet og brukes ikke til å kontrollere deg. Se kapittel 7.
  • Statistikk for ledere vises samlet per enhet (antall meldinger og kostnad), ikke per ansatt.
  • Schoolhub har ikke tilgang til innhold i det daglige. Tilgang for drift krever tjenstlig behov og blir logget.
  • Andre kommuner kan ikke lese noe av innholdet ditt. Er kommunen med i et IKT-samarbeid, kan samarbeidets administratorer få rollen arkivadministrator eller revisor i kommunen, for eksempel for å gi brukerstøtte. Det blir logget i kommunens revisjonslogg.

5. Hvem behandler opplysningene for kommunen, og hvor

Databehandler er Schoolhub AS. Underleverandørene står i registeret over underdatabehandlere:

  • Scaleway SAS leverer hosting i Frankrike (Paris), med sikkerhetskopi i Amsterdam. Begge ligger i EØS.
  • GreenPT (Nederland) leverer språkmodeller med behandling i Frankrike og Finland, og nettsøk hvis kommunen har slått det på.
  • Mistral AI (Frankrike) leverer språkmodeller og gjør tale om til tekst for referat og diktering. Kommunen bestemmer hvilke dataklasser det gjelder. Lyd fra levende referat og diktering lagres ikke i Målfrid.
  • Microsoft (Azure OpenAI i EU Data Zone, og Azure AI Speech for opplesing) brukes hvis kommunen har valgt det.
  • Nettsøk brukes bare i dataklasser der kommunen har tillatt det.

[Kommunen velger hvilke modellleverandører som er slått på, og hvilke dataklasser hver av dem brukes til.] Microsoft har amerikansk morselskap, og kommunen har vurdert dette: [henvisning til kommunens DPIA og vurdering av overføring til tredjeland]. Opplysningene brukes ikke til å trene modeller.

6. Overvåking av ansatte og kontrolltiltak (arbeidsmiljøloven kapittel 9)

Kommunen bruker ikke loggene i Målfrid til å følge med på arbeidet, innsatsen eller bruken til enkeltansatte.

  • Revisjonsloggen finnes for å dokumentere saksbehandling (arkivlova og forvaltningsloven), håndtere innsynskrav (offentleglova), sikre systemet og avdekke sikkerhetshendelser, og oppfylle kravene til logging i KI-forordningen.
  • Å bruke loggen eller innholdet i samtaler til å undersøke en enkeltansatts opptreden, for eksempel i en personalsak, er et kontrolltiltak etter arbeidsmiljøloven kapittel 9. Det kan bare gjøres når tiltaket har saklig grunn i virksomhetens forhold og ikke er en uforholdsmessig belastning for den ansatte (§ 9-1). Det forutsetter drøfting med tillitsvalgte og informasjon til de ansatte på forhånd (§ 9-2). Innsyn i et konkret tilfelle krever i tillegg en egen vurdering og en beslutning fra ledelsen. [Kommunen beskriver hvem som kan beslutte, og at beslutningen dokumenteres.]
  • Innsyn i en ansatts e-postkasse og andre elektroniske områder følger forskrift om arbeidsgivers innsyn i e-postkasse. Målfrid er ikke en e-postkasse, men prinsippene (varsel, medvirkning, minst mulig inngrep) legges til grunn. [Kommunen bekrefter]
  • Tilgangen til loggen er teknisk begrenset til revisor og administrator for enheten, og alle oppslag blir logget. [Kommunen oppgir hvem som har disse rollene.]
  • Drøfting med tillitsvalgte og verneombud om innføringen er gjennomført [dato].

Systematisk monitorering av ansatte står på Datatilsynets liste over behandlinger som krever vurdering av personvernkonsekvenser. Målfrid er ikke laget for slik monitorering, og kommunens DPIA beskriver hvordan det forhindres.

7. Offentleglova, arkivlova og lagring

  • Samtaler og utkast i Målfrid kan være dokumenter etter offentleglova og arkivlova (lov om dokumentasjon og arkiv, i kraft 1. januar 2026). Kommunen avgjør etter sin arkivplan om en samtale er et saksdokument eller et organinternt dokument (offentleglova § 4 og § 14), og om den skal journalføres. [Kommunen skriver inn regelen, for eksempel at utkast som ikke er sendt ut, er organinterne, og at resultat som inngår i saken, journalføres.]
  • Du kan eksportere samtaler og utkast (som PDF, Word eller Noark 5-pakke) og journalføre dem etter kommunens rutine: [lenke til kommunens rutine].
  • Kommunen kan få innsynskrav som omfatter innhold i Målfrid. Arkivadministratorer kan da søke i samtaler, vurdere unntak og lage en utleveringspakke. Det er mennesker som vurderer taushetsplikt og skjerming.
  • Offentleglova og arkivlova går foran slettereglene. En samtale som er journalført, slettes ikke i Målfrid før arkivet har bekreftet mottak.

8. Hvor lenge opplysningene lagres

HvaLagres
Samtaler i dataklassen Åpen (startmalen)730 dager etter at samtalen ble opprettet
Intern (startmalen)365 dager
Konfidensiell (startmalen)90 dager
Personopplysninger (startmalen)30 dager
Modellens arbeidsnotater og resultater fra verktøy i en samtale30 dager, eller kortere hvis samtalen slettes før
Journalførte samtalerTil arkivet har bekreftet mottak
Lyd (opplastede opptak)Følger dataklassen til transkripsjonen. Levende referat og diktering lagrer ikke lyd
Revisjonslogg5 år. Avviste forsøk: 365 dager
SikkerhetskopierAlle sikkerhetskopier slettes etter 30 dager. Slettet innhold er derfor borte fra alle kopier senest 30 dager etter sletting

[Fristene over er startmalens. Kommunen setter fristene for sine egne klasser. Oppdater tabellen med kommunens klasser og verdier.] Når du sletter en samtale i Målfrid, forsvinner den straks fra visningen din. Den fjernes fysisk av den daglige oppryddingen, eller raskere hvis kommunen ber om det (kontakt personvernombudet eller [funksjon]). Se sletting og lagringstid.

9. Rettighetene dine

Du har rett til innsyn i opplysningene kommunen har om deg (art. 15), retting (art. 16), sletting (art. 17), begrensning (art. 18), dataportabilitet der det gjelder (art. 20) og til å protestere (art. 21). Grunnlaget for behandlingen (offentlig oppgave, rettslig plikt) kan begrense noen av rettighetene, og kommunen forklarer det i svaret. Du har rettigheter både som ansatt og som person som er omtalt i andres samtaler.

  • Du kan se dine egne samtaler og eksportere dem i Målfrid.
  • Du kan be om innsyn i det loggen har om deg: kontakt [funksjon eller personvernombud]. Kommunen svarer innen en måned (art. 12(3)).
  • Du kan henvende deg til personvernombudet: [kontaktopplysninger].
  • Du kan klage til Datatilsynet: https://www.datatilsynet.no.

Målfrid brukes ikke til automatiserte avgjørelser om deg (art. 22).

10. KI-forordningen og opplæring

Målfrid er et KI-system med begrenset risiko (åpenhetskravene i art. 50). Kommunen sørger for KI-opplæring (art. 4), menneskelig kontroll og informasjon om bruken (art. 26). [Lenke til opplæring.] Målfrid gjenkjenner ikke følelser og vurderer eller rangerer ikke ansatte eller søkere.

11. Oppdatering av erklæringen

Kommunen oppdaterer erklæringen når behandlingen endres. Versjon og dato: [kommunens versjon og dato].

Kilder