Sist oppdatert: 5. september 2026 · Versjon 1.2
Et strukturert utgangspunkt for virksomhetens vurdering av to typiske bruksområder: infoskjerm i skole og oppvekst, og infoskjerm i helse- og omsorgsbygg.
Les dette først
Dette dokumentet er et utgangspunkt, ikke en ferdig vurdering for din virksomhet. Det er kunden som er behandlingsansvarlig for innholdet på skjermene, og kunden må gjøre sin egen vurdering, tilpasse teksten til egne rom, rutiner og personkategorier, og selv avgjøre om en DPIA er påkrevd etter GDPR art. 35. Vevet er databehandler og bistår etter art. 28 nr. 3 bokstav f.
Vi har ikke vurdert din virksomhet, og vi har ikke fått denne malen godkjent av Datatilsynet eller av et personvernombud utenfor Vevet.
Skjermer i fellesarealer, ganger, kantine, personalrom og resepsjon i barnehage, skole eller oppvekstsenter. Typisk innhold: timeplaner og vaktlister, beskjeder til elever og foresatte, bursdager, bilder fra aktiviteter, meny, kalender og nyheter.
Registrerte: barn og elever, foresatte, ansatte og besøkende. Kategorier: navn, bilde, klasse eller avdeling, fødselsdato ved bursdagsvisning, og fritekst som ansatte skriver.
Skjermer i vestibyle, venterom, avdelingskorridor, pårørenderom og personalrom i sykehjem, omsorgsbolig, helsehus eller legesenter. Tillatt innhold er begrenset til generell drifts- og besøksinformasjon: åpningstider, veivisning, dagsplan og aktiviteter uten deltakerliste, generell måltidsmeny, praktiske beskjeder, kalender og nyheter.
Å vise navn, bilde eller romnummer på beboere og pasienter er ikke en akseptabel normalsituasjon i Vevet, og beskrives ikke som det her. At en navngitt person er beboer eller pasient på en helseinstitusjon, er i seg selv en helseopplysning etter GDPR art. 9. Tjenesten skal som standard ikke brukes til helseopplysninger, diagnoser, pasient- eller beboeridentifikasjon, biometriske data eller fødselsnummer, og hostingleverandørens standardvilkår åpner heller ikke for slike opplysninger uten uttrykkelig avtale.
Skal dette noen gang åpnes, kreves uttrykkelig kontraktsgrunnlag hos alle relevante leverandører, ny risikovurdering og DPIA, og skriftlig godkjenning før bruk. Vaktlister for ansatte og lignende personalinformasjon hører hjemme på skjermer i rom uten publikumstilgang.
Registrerte: ansatte, besøkende og pårørende. Kategorier: navn på ansatte i driftsinformasjon, og fritekst som ansatte skriver.
Behandlingens art: publisering av innhold på fysiske skjermer, med tidsstyring, tilgang per avdeling og en aktivitetslogg. Behandlingen innebærer ikke profilering, ikke automatiserte avgjørelser, ikke ansiktsgjenkjenning og ingen sammenstilling på tvers av kunder.
Formålet er å gi elever, beboere, pårørende, ansatte og besøkende praktisk informasjon på stedet. Behandlingen er egnet: en skjerm i fellesarealet når frem til dem som faktisk er der. Virksomheten bør sammenligne skjermvisning med aktuelle alternativer, som papir, e-post og SMS, og dokumentere hvorfor skjerm er nødvendig og forholdsmessig.
Dataminimering: behandlingen skal begrenses til det som må vises. Fornavn i stedet for fullt navn, ingen fødselsår, ikke diagnose eller andre helseopplysninger, ikke romnummer sammen med navn, og bilder bare der det er innhentet grunnlag.
Behandlingsgrunnlag settes av behandlingsansvarlig. Typisk art. 6 nr. 1 bokstav e (offentlig myndighet) for driftsinformasjon, og samtykke etter bokstav a for bilder og bursdager. Der grunnlaget er samtykke, må det være reelt frivillig og enkelt å trekke tilbake, og innholdet må fjernes fra skjermen når det trekkes.
Sannsynlighet og konsekvens er satt ut fra et typisk oppsett. Kunden må justere dem etter egne rom og egen praksis.
| Risiko | Sannsynlighet | Konsekvens | Tiltak | Restrisiko |
|---|---|---|---|---|
| Bilde av en elev eller pasient vises for uvedkommende, fordi skjermen står i et rom med publikum. | Middels | Høy | Kanaler som viser bilder av personer legges bare på skjermer i interne rom. Avdelingstilgang styrer hvem som kan publisere til hvilke skjermer. Samtykke eller annet grunnlag innhentes av behandlingsansvarlig før bilder publiseres. | Lav — forutsatt at rutinen for rombruk følges. |
| Navn og fødselsdato i bursdagslister vises offentlig. | Høy | Middels | Bursdagsinnhold kan vise bare fornavn, og kan begrenses til interne skjermer. Behandlingsansvarlig avgjør om bursdager i det hele tatt skal vises, og henter samtykke der det kreves. Året vises ikke. | Lav |
| Sensitiv informasjon skrives inn i en fritekst, for eksempel helseopplysninger om en navngitt person. | Middels | Høy | Skriftlig regel om hva som aldri skal publiseres (se del 5), godkjenning av innhold før publisering, og aktivitetslogg som viser hvem som publiserte hva og når. | Middels — dette er en menneskelig feil som teknikken ikke kan hindre helt. Rutine og opplæring er hovedtiltaket. |
| Skjermen står på etter arbeidstid og viser internt innhold for forbipasserende utenfor vinduet. | Høy | Middels | Innhold tidsstyres med start, slutt, ukedager og klokkeslett, slik at internt innhold ikke vises utenfor åpningstid. Skjermer i vindusflate bør bruke en egen kanal med bare offentlig innhold. | Lav |
| Skjerm-token kommer på avveie og misbrukes til å hente ned innholdet i en kanal. | Lav | Middels | Skjermen kobles til med en kort, tidsbegrenset paringskode. Tokenet lagres i en httpOnly-cookie og ligger ikke i adressefeltet etter paring. En skjerm kan kobles fra i administrasjonen, og tokenet slutter da å virke. Visningssiden er ikke indeksert. | Lav — men et token gir lesetilgang til kanalen så lenge det er gyldig, derfor er frakobling av mistet utstyr et must. |
| KI-hjelpen gjengir personopplysninger som ligger i et utkast, for eksempel når en tekst skal forkortes. | Middels | Middels | KI-hjelpen kalles bare fra vår server, mot Mistral sitt EU-endepunkt. Bare teksten brukeren selv sender, går med. Innholdet brukes ikke til modelltrening. Behandlingsansvarlig instruerer brukerne om ikke å lime personopplysninger inn i KI-hjelpen. | Middels — teksten brukeren selv sender inn, kan inneholde personopplysninger. Dette må dekkes av rutine. |
| Feil avdeling ser eller publiserer innhold som ikke gjelder dem. | Lav | Middels | Tilgang styres per avdeling og kanal, og tenant-skillet håndheves med Row-Level Security i databasen, ikke bare i grensesnittet. Aktivitetsloggen kan ikke endres av vanlige brukere. | Lav |
| Bilde lastet ned fra bildebiblioteket brukes utenfor lisensen, eller viser gjenkjennbare personer uten grunnlag. | Middels | Lav til middels | Bilder fra bildesøket hentes fra Pixabay, lagres hos oss med kilde og lisens registrert, og lisensteksten vises i Mine filer. Behandlingsansvarlig vurderer selv bruk av bilder med gjenkjennbare personer. | Lav |
| En forbipasserende fotograferer skjermen og deler bildet videre, for eksempel i sosiale medier. | Høy | Varierer med innholdet | Dette kan ikke hindres teknisk. Eneste virkemiddel er innholdsstyring: personopplysninger vises bare når det er nødvendig, og bare på skjermer i rom der det er forsvarlig. | Middels — dette er den iboende risikoen ved en skjerm i et fysisk rom, og må aksepteres eller styres bort med innholdsvalg. |
[Fylles ut av behandlingsansvarlig] Anbefalt: avdelingen har en navngitt ansvarlig som godkjenner innhold som inneholder navn eller bilder av personer. Øvrig innhold kan publiseres direkte av redaktørene. Eksterne bidragsytere gis rollen som bare kan legge inn innhold, ikke administrere skjermer.
Anbefalt: alt innhold med personopplysninger får en sluttdato ved publisering, normalt maks 30 dager. Innhold uten sluttdato gjennomgås kvartalsvis.
Krav om sletting eller retting rettes til behandlingsansvarlig, som fjerner innholdet fra kanalen. Innholdet fjernes når skjermen henter neste oppdaterte innholdspakke. Filen slettes fra Mine filer dersom den ikke brukes andre steder. Behandlingsansvarlig bør notere hvem som ba om sletting og når. Trenger man bistand fra Vevet, gjelder databehandleravtalen punkt 9.
I eksempelsituasjonen kan tiltakene redusere risikoen. Behandlingsansvarlig må vurdere og dokumentere restrisikoen for egne lokaler, innholdstyper og registrerte. To forhold har fortsatt middels restrisiko og kan ikke løses teknisk av Vevet: feilpublisering av sensitiv fritekst, og at skjermen kan fotograferes. Begge må håndteres med rutine, opplæring og bevisst plassering av skjermene.
Gjenstående tiltak hos behandlingsansvarlig [Fylles ut av behandlingsansvarlig]: utpeke godkjenner per avdeling, vedta listen over hva som aldri publiseres, gjennomgå skjermplassering mot publikumsområder, avklare grunnlag for bilder og bursdager, og sette dato for neste gjennomgang av denne vurderingen.
Behandlingsansvarlig må vurdere behovet for forhåndsdrøfting etter art. 36. Dersom høy restrisiko består etter tiltak, skal Datatilsynet kontaktes før behandlingen starter. Vurderingen bør gjentas ved vesentlige endringer, for eksempel dersom skjermer med personopplysninger flyttes til publikumsarealer.
Se også