Behandling av personopplysninger i Microsoft 365 Copilot
Norges domstoler bruker KI-verktøyet Microsoft 365 Copilot (Copilot). Copilot er et generativt KI-verktøy fra Microsoft som er tilgjengelig i Microsoft 365.
Hvorfor behandler vi personopplysninger?
Vi behandler personopplysninger i Copilot for å støtte medarbeiderne i utførelsen av arbeidsoppgavene deres og gjøre arbeidsprosessene mer effektive.
Hvilket rettslig grunnlag har vi for behandlingen?
Det rettslige grunnlaget for behandlingen av personopplysninger i Copilot er personvernforordningen (GDPR) artikkel 6 nr. 1 bokstav f. Behandlingen er nødvendig for å ivareta vår berettigede interesse. Når vi behandler særlige kategorier av personopplysninger i Copilot, er behandlingsgrunnlaget GDPR artikkel 9 nr. 2 bokstav g. Behandlingen er nødvendig av hensyn til viktige allmenne interesser.
Hvem behandler vi personopplysninger om?
Når medarbeidere bruker Copilot, kan verktøyet behandle personopplysninger om:
- medarbeidere i Norges domstoler
- parter i saker, for eksempel saksøkere, saksøkte, tiltalte, fornærmede, etterlatte og siktede
- andre aktører i retten, for eksempel dommere, forsvarere, advokater og sakkyndige
- meddommere, vitner og tolker
- leverandører.
Hvilke personopplysninger behandler vi?
Hvilke personopplysninger som behandles i Copilot, avhenger av hvordan medarbeideren bruker verktøyet og hvilke opplysninger som inngår i arbeidsoppgaven. Copilot kan derfor behandle ulike typer personopplysninger.
Copilot skal ikke brukes til å behandle opplysninger fra:
- interne personalsaker
- varslingssaker etter arbeidsmiljøloven
- saker om kommunikasjonskontroll (KK-saker)
- saker som omfattes av sikkerhetsloven eller beskyttelsesinstruksen.
Hvor får vi personopplysningene fra?
Personopplysningene som behandles i Copilot, kan komme fra ulike kilder, avhengig av hvordan verktøyet brukes. Opplysningene kan blant annet komme fra:
- personen opplysningene gjelder
- Lovisa, domstolenes saksbehandlingssystem
- SAP, lønns- og regnskapssystemet i Norges domstoler
- Jobbnorge
- arbeidstakerorganisasjoner
- meddommerutvalg og kommuner
- Advokatregisteret.
Listen er ikke uttømmende. Copilot har ikke direkte integrasjon med disse systemene.
Hvem deler vi personopplysningene med?
Microsoft behandler personopplysninger når vi bruker Copilot. Personopplysninger overføres til et av Microsofts nærmeste tilgjengelige datasentre.
Bruken av Copilot kan innebære at personopplysninger overføres til USA. Overføringen skjer i samsvar med GDPR artikkel 45 og EU-kommisjonens beslutning om tilstrekkelig beskyttelsesnivå for virksomheter som er sertifisert under EU-U.S. Data Privacy Framework. Microsoft er sertifisert under denne ordningen.
Hvor lenge lagrer vi personopplysningene?
Personopplysninger i Copilots chattelogger lagres i Exchange Online til brukeren sletter dem. Våre interne retningslinjer krever at medarbeidere har rutiner for sletting, slik at personopplysninger ikke lagres lenger enn nødvendig.
Vi bruker også verktøy for å følge med på bruken av Copilot og avdekke feil bruk. Logger fra denne kontrollen overføres til driftsleverandøren Advania og lagres i 365 dager. Hos Microsoft lagres loggene i 30 dager.