Behandlingsprotokoll og DPIA-underlag for Ordlyd

Protokoll etter personvernforordningen artikkel 30, og underlag for personvernkonsekvensvurdering etter artikkel 35 Versjon 1.0 · 6. september 2026 · Ansvarlig: Christoffer Corzani

Del 1 — Protokoll over behandlingsaktiviteter

Ordlyd opptrer i to roller, og protokollen dekker begge:

• Behandlingsansvarlig for dem som selv henter en gratis prøvelisens på lisens.ordlyd.no/registrer — der er det ingen skole eller kommune mellom oss og brukeren (artikkel 30 nr. 1).
• Databehandler for skoler, kommuner, fylkeskommuner og foreninger som deler ut lisenser til sine egne brukere (artikkel 30 nr. 2).

1.1 Behandlingsansvarlig: LEAD IT v/Ordlyd.no, org.nr. 997950941

Kontakt: post@ordlyd.no · Personvernkontakt: Christoffer Corzani (christoffer@corzani.no) Personvernombud: ikke utpekt — ikke pålagt etter artikkel 37

1.2 Behandlingsaktiviteter

A. Lisensadministrasjon (kjernen)

B. Installasjoner og fornying

C. Misbruksdeteksjon

D. Utsending av lisenskode ved selvregistrering

E. Revisjonsspor og innloggingsforsøk

F. Besøksstatistikk på nettstedet ordlyd.no

1.3 Behandlinger som IKKE finner sted

Dette er like viktig som listen over, fordi det er her de fleste antar noe annet:

• Ingen behandling av tekst brukeren leser eller skriver. Talesyntese, stavekontroll, ordforslag og ordbok kjører lokalt i nettleseren. Innholdet forlater aldri maskinen.
• Ingen profilering og ingen automatiserte avgjørelser med rettsvirkning.
• Ingen særlige kategorier etter artikkel 9. Vi registrerer ikke diagnose. At noen bruker Ordlyd kan antyde lese- og skrivevansker, og derfor er tjenesten innrettet slik at vi verken trenger eller mottar helseopplysninger.
• Ingen sporing på tvers av nettsteder, og ingen annonsenettverk.
• Ingen deling med tredjeparter ut over underdatabehandlerne i databehandleravtalen.

Del 2 — Vurdering av om DPIA kreves (artikkel 35)

2.1 Terskelvurdering

Artikkel 35 nr. 1 krever DPIA når behandlingen «sannsynligvis vil medføre en høy risiko for fysiske personers rettigheter og friheter». Vi har vurdert de ni kriteriene i EDPB-retningslinjene WP248 og Datatilsynets liste over behandlinger som alltid krever DPIA.

To kriterier slår ut — sårbare registrerte, og at tilhørighet til brukergruppen kan antyde noe sensitivt. To kriterier utløser normalt DPIA etter WP248.

2.2 Konklusjon

Vår vurdering: Behandlingen medfører ikke høy risiko, fordi de to kriteriene som slår ut, er dempet av dataminimeringen: vi behandler ingen helseopplysninger, ingen navn, ingen alder og ingen bruksdata, og identifikatorene er pseudonymiserte. Restrisikoen er lav. Vi har derfor ikke gjennomført en full DPIA som behandlingsansvarlig.

Men: Denne vurderingen er vår, for vår rolle. En kommune eller skoleeier som tar Ordlyd i bruk, gjør sin egen vurdering, og kan lande annerledes — særlig fordi de også behandler opplysninger vi aldri ser: hvem som får lisens, altså hvilke elever som har lese- og skrivevansker. Den listen er en helseopplysning etter artikkel 9, og den ligger hos skolen, ikke hos oss. Vi anbefaler at skoleeier gjennomfører DPIA for sin del av behandlingen, og bidrar med underlaget i del 3.

2.3 Når vurderingen tas opp igjen

• ved bred utrulling utover én fylkeskommune eller forening
• hvis vi noen gang begynner å behandle bruksdata, innhold eller navn
• hvis Feide- eller Entra-innlogging tas i bruk (da mottar vi flere opplysninger)
• ved endring i underdatabehandlere som flytter behandling ut av EØS
• minst hvert annet år uansett

Del 3 — Underlag til skoleeiers egen DPIA

Dette er svarene en kommune trenger for å fylle ut sin egen mal.

Hva leverandøren behandler: Se del 1. Kort: pseudonymisert e-post og lisenskode, installasjons-ID, og tellere for misbruksdeteksjon.

Hva leverandøren aldri ser: hvilke elever som har vansker (skolens egen liste), navn, alder, klasse, diagnose, hva eleven leser eller skriver, ordbokoppslag, nettleserhistorikk.

Hvor behandles det: EØS, uten unntak — også e-postutsending ved selvregistrering går nå gjennom en europeisk leverandør (LetterMint). Bruker skoleeier importliste i stedet for selvregistrering, sendes ingen e-post fra oss i det hele tatt.

Risiko for de registrerte, og tiltak:

Barn: Tjenesten er innrettet etter dataminimering nettopp fordi brukerne er barn. Skoleeier er ansvarlig for å informere elever og foresatte, og for grunnlaget for å dele adresser med oss.

Fail open er et bevisst valg: Vi har valgt at manglende kontakt med lisensserveren aldri stopper opplesingen. En elev som trenger opplesing for å lese en prøve, skal ikke miste hjelpemiddelet fordi et nettverk er nede. Det er en avveining mot streng tilgangskontroll, og vi mener hensynet til eleven veier tyngst.