Versjon 1.2, 21. oktober 2026. Gjelder underdatabehandlere i registeret med tilknytning til land utenfor EØS, for eksempel gjennom morselskap eller underleverandør. Dokumentet er et underlag fra Schoolhub AS (databehandler). Behandlingsansvarlig (kommunen) er ansvarlig for overføringen og må godta eller supplere vurderingen (databehandleravtalen punkt 4.7).
0. Metode
Vi følger EDPB Recommendations 01/2020 (supplerende tiltak) i forkortet form: (1) kartlegg overføringen, (2) finn overføringsgrunnlaget, (3) vurder om mottakerlandets rett i praksis svekker grunnlaget, (4) vurder tiltak, (5) beslutning og revurdering.
Viktig skille: lagring og prosessering skjer i EØS. Spørsmålet er om et selskap med tilknytning til et tredjeland kan bli pålagt å gi tilgang til data i EØS (fjerntilgang eller myndighetstilgang). Dette regnes som overføring dersom tilgang er mulig fra tredjeland.
Overføringsgrunnlag som kan være aktuelle: adekvansvedtak (art. 45), herunder EU-US Data Privacy Framework (DPF, Kommisjonens vedtak 10. juli 2023, som EØS-landene følger), og standard personvernbestemmelser (SCC, art. 46(2)(c)). Unntakene i art. 49 brukes ikke.
DPF-status: EU-rettens Generelle domstol avviste 3. september 2025 søksmålet i sak T-553/23 (Latombe mot Kommisjonen) og lot vedtaket stå. Saken kan bringes videre for EU-domstolen, og vi følger status ved hver revisjon. Vi bygger derfor ikke på DPF alene: SCC er reserve, og tiltak som reduserer risikoen for innholdet gjelder uansett.
TIA 1: Hosting hos Scaleway (U1), ingen TIA nødvendig
| Punkt | Vurdering |
|---|---|
| Mottaker | Scaleway SAS, fransk selskap i Iliad-konsernet. Ingen amerikansk morselskap |
| Lokasjon | Primær region Paris (flere soner), sikkerhetskopi og katastrofegjenoppretting i Amsterdam. Alt i EØS |
| Overføringsgrunnlag | Ikke relevant: ingen overføring til tredjeland (GDPR kapittel V utløses ikke) |
| Oppfølging | Scaleways underleverandørliste og supportmodell vurderes i den årlige leverandørvurderingen, med blant annet kontroll av at ingen underleverandør, support- eller driftsfunksjon gir tilgang fra tredjeland, og at ingen amerikanske verktøy får tilgang til kundeinnhold |
| Restrisiko | Lav. Kryptering på felt-nivå av Konfidensiell og Personopplysninger, med nøkler i Scaleways nøkkelforvaltning, gir et ekstra lag mot innsyn. Nøkkelen forvaltes på Scaleways plattform, så beskyttelsen mot leverandøren selv er begrenset |
| Konklusjon | Ingen TIA for hosting. Hvis det avdekkes at en underleverandør har tilgang fra tredjeland, åpnes en ny TIA for den delen |
Microsoft Azure OpenAI (TIA 2) er den eneste modellleverandøren med amerikansk morselskap, og bare hvis kommunen aktivt velger det for Konfidensiell og Personopplysninger. Nexos.ai har en amerikansk underleverandør, og Mistral AI er et fransk selskap (TIA 6); se TIA 3.
TIA 2: Azure OpenAI, EU Data Zone (U4)
| Punkt | Vurdering |
|---|---|
| Hva overføres | Spørsmål, kontekst (inkludert utdrag fra kunnskapsbaser) og svar for Åpen og Intern. Konfidensiell og Personopplysninger hvis kommunen har valgt det for Azure og ingen overordnet enhet har låst valget |
| Lokasjon | Ressurs i Sweden Central, distribusjon Data Zone EU: Microsoft behandler forespørsler i EU-land og lagrer data i hvile i valgt geografi |
| Rettslig risiko | Microsoft Corp. er underlagt amerikansk lovgivning (CLOUD Act, FISA 702) og kan i teorien pålegges å utlevere data selskapet kontrollerer, også data lagret i EU. I tillegg kan Microsoft ha misbruksovervåking som lagrer spørsmål og svar i en periode, og menneskelig gjennomgang kan forekomme med mindre unntak er innvilget |
| Tiltak | Lagring og prosessering i EØS (EU Data Zone). DPF og SCC som reserve. Microsoft Azure OpenAI er avslått for Personopplysninger som standard, og for Konfidensiell krever det at enheten aktivt slår det på. Innholdet kontrolleres for personopplysninger før modellvalg. Ingen trening (avtalekrav). Før aktivering søkes det om unntak fra misbruksovervåking der Microsoft tilbyr det |
| Restrisiko | Lav for Åpen og Intern. Middels til høy for Konfidensiell og Personopplysninger |
| Konklusjon | Akseptabelt for Åpen og Intern med kommunens aksept. For Konfidensiell og Personopplysninger anbefaler vi GreenPT (U2). Kommunen avgjør, og valget er logget |
TIA 3: GreenPT (U2) og nexos.ai (U3)
| Leverandør | Vurdering |
|---|---|
| GreenPT BV (U2), Nederland | Nederlandsk selskap. På EU-endepunktet behandles forespørsler av Scaleway SAS (Paris) og av Inceptron, Tensorix og Melious (Finland), ifølge GreenPTs side om databehandlere (hentet 21. oktober 2026). API-innhold lagres ikke varig ifølge GreenPT. USA-endepunktet (Neuralwatt Inc.) brukes ikke. Ingen overføring til tredjeland er forutsatt. |
| nexos.ai (U3) | Gateway foran modeller fra flere utviklere. Hver modell oppgir selv region (EU, USA eller annet), og det finnes ingen innstilling som tvinger ruting til EU. Underleverandørlisten oppgir Fireworks AI, Inc. (USA) for språkmodelltjenester. Forvalget for nexos.ai-modellene er Åpen og Intern. Kommunen kan velge flere dataklasser, og valget logges |
Konklusjon: for GreenPT er ingen overføring til tredjeland forutsatt. For nexos.ai regner vi med at overføring til tredjeland kan skje, og forvalget er derfor Åpen og Intern.
Modeller av kinesisk opphav (GreenPT og nexos.ai): vektene er laget av kinesiske selskaper, men modellene kjøres av GreenPT (Frankrike og Finland) eller nexos.ai sine vertsleverandører, ikke i Kina. Det er ingen overføring til Kina så lenge ingen forespørsel går til kinesisk drevne tjenester (DeepSeek, Moonshot, Alibaba Cloud, Zhipu, MiniMax, Xiaomi). Slike tjenester er koblet ut ved utforming, og modeller der nexos.ai oppgir en kinesisk drevet vert er ikke koblet til. Skriftlig bekreftelse fra GreenPT og nexos.ai om dette er ikke mottatt ennå.
TIA 4: Nettsøk
| Punkt | Vurdering |
|---|---|
| Hva overføres | Bare søkespørringen (laget av modellen, aldri hele samtalen) og språk. Spørringen avvises hvis kontrollen finner fødselsnummer, D-nummer, helseopplysninger, adresse, telefonnummer eller kontonummer. Bare Åpen og Intern. Konfidensiell og Personopplysninger er alltid utelukket |
| Leverandør | Staan (U5) er eneste leverandør. Staan oppgir EU-datasentre, EU-jurisdiksjon og ruting bare i EU «available» (staan.ai, 21. oktober 2026). |
| Tiltak | Av som standard. Kommunen slår det på og kan snevre det inn til Åpen. Hver søkespørring logges med leverandør, antall treff, dataklasse, kontrollsum og lengde. Full spørring logges bare for Åpen |
| Restrisiko | Lav for Åpen. Lav til middels for Intern, fordi spørringen kan avsløre hva kommunen jobber med |
| Konklusjon | Kan slås på for Åpen når vilkårene over er oppfylt |
TIA 5: Identitet og kommunens egne tjenester
Microsoft Entra ID, Microsoft Graph (gruppesynkronisering, SharePoint, Teams) og Feide er kommunens egne leverandører. Overføringsvurdering for dem er kommunens ansvar. Målfrid leser bare det kommunen autoriserer i Graph-appen.
TIA 6: Mistral AI (U6)
| Leverandør | Vurdering |
|---|---|
| Mistral AI SAS (U6), Paris, Frankrike | Fransk selskap. Databehandlertillegget på legal.mistral.ai oppgir ingen behandlingssteder: overføring til land med tilstrekkelig vern, ellers standardavtalen (SCC), og underdatabehandlere står på trust.mistral.ai/subprocessors. |
Konklusjon: vi forutsetter ingen overføring til tredjeland. Forvalget er Åpen og Intern for Mistral (chat, tale til tekst og tekstgjenkjenning). Kommunen avgjør og kan velge flere dataklasser per leverandør og modell, og valget logges.
Revurdering
Vurderingen revurderes ved endring i DPF-status, ny leverandør, ny underdatabehandler hos eksisterende leverandør, endret avtale, hendelse, og minst årlig.
Versjon 1.2, 21. oktober 2026.
Kilder
- EDPB, Recommendations 01/2020 on supplementary measures: https://www.edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_en
- EU-US Data Privacy Framework, Kommisjonens vedtak: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en
- Datatilsynet, overføring av personopplysninger til utlandet: https://www.datatilsynet.no
- Generelle domstol, sak T-553/23 Latombe mot Kommisjonen (3.9.2025): https://curia.europa.eu
- GDPR kapittel V: https://eur-lex.europa.eu/eli/reg/2016/679/oj