Hva skal jeg gjøre?
Velg rett alternativ avhengig av hva slags tjeneste du har tatt i bruk, og hva du har brukt den til.
Jeg var ikke klar over at jeg hadde tatt i bruk denne tjenesten!
Det kan skje uten at man legger merke til det. Noen ganger opprettes koblingen når du tester en app eller klikker på «Logg inn med Microsoft» én gang.
Selv om dette ikke nødvendigvis var bevisst, kan tjenesten fortsatt ha fått tilgang til UiO-data. Derfor fjerner vi koblingen for å sikre dataene.
Mange brukere har i god tro logget inn i en tjeneste med sin UiO-konto i Microsoft 365, og gitt samtykke til tilgang til data fra UiO, uten å nødvendigvis være klar over omfanget.
Det varierer fra tjeneste til tjeneste hvor tydelig de har bedt om tillatelse til å koble til din UiO-konto i Microsoft 365, hvilke rettigheter og tilganger de faktisk får, og det kan derfor være uklart at man har gitt tilgang til UiO-data.
I mange tilfeller skjer dette ved at man logger inn med sin UiO-konto i Microsoft 365 for å teste noe, laste ned en tjeneste eller bruke en nettjeneste, og samtidig (ofte med ett klikk) gir tjenesten tilgang til data i Microsoft 365 – som brukerprofil, e-post, filer eller kontakter.
Mange av tjenestene kan være utdaterte og ikke lenger i aktiv bruk.
Det kan ha kommet forespørsel på e-post, det kan ha kommet i Teams, du kan ha valgt Microsoft 365 innlogging på en nettside eller annet. Det kan derfor ha skjedd at du har gitt tillatelse til å koble tjenesten til din UiO-konto i Microsoft 365, uten at du har vært klar over det.
Jeg kjenner ikke til tjenesten jeg har fått e-post om, og vet ikke hva det er. Hvorfor kan ikke UiO fortelle meg nøyaktig hvilken tjeneste dette gjelder?
Hvis du ikke kjenner igjen tjenesten kan du se om du finner den ved å logge på her: https://myapps.microsoft.com
Det er ikke alltid UiO kan se hvilken konkret app eller tjeneste som har tilgang – vi får bare opp tittelen på koblingen (appDisplayName).
Dette navnet kan være generisk eller lite beskrivende, og gir ikke alltid nok informasjon til å identifisere den eksakte tjenesten. Derfor kan vi ikke alltid si med sikkerhet hvilken tjeneste det er snakk om, og ber deg selv vurdere om du kjenner igjen navnet oppgitt i e-posten og om du faktisk bruker tjenesten.
Vil jeg miste tilgang til min UiO-konto eller Microsoft 365 på UiO?
Nei. Å fjerne tilgangen for en ekstern app eller tjeneste påvirker ikke UiO-kontoen din eller tilgangen til Microsoft 365. Du beholder din UiO-konto og du vil fortsatt ha tilgang til Microsoft 365 på UiO. Du beholder altså tilgangen til Microsoft 365-tjenester som Word, Excel, Powerpoint, Sharepoint, OneDrive, Teams osv.
Hvordan logger jeg meg inn i tjenesten for å administrere mine data, kontoen, eller innloggingsmetode?
Slik logger du inn i tjenesten for å administrere dine data og brukerkonto i tjenesten:
-
Åpne tjenesten
-
Dette kan være via en nettside, app på telefonen, et program på datamaskinen, eller lignende - avhengig av hvilken tjeneste det er snakk om.
-
Du kan prøve å logge inn via https://myapps.microsoft.com og starte tjenesten derfra for å være sikker på at du bruker riktig tjeneste og konto.
-
-
Velg “Logg inn med Microsoft”
-
Kan også hete “Sign in with Microsoft , "Continue with Microsoft", “Microsoft”, “Microsoft 365”, “Office 365” eller lignende.
-
Noen ganger ligger alternativet under “Flere innloggingsmetoder” eller “Enterprise login”.
-
Innloggingsløsningen kan for eksempel se slik ut, men det varierer fra tjeneste til tjeneste:
-
-
-
Bruk UiO-kontoen din
-
Skriv inn UiO-brukernavn (brukernavn@uio.no) og passord.
-
-
Finn og slett dataene dine
-
Se etter innstillinger, profil eller personvern-meny.
-
Velg å slette kontoen eller fjerne lagrede data knyttet til UiO-kontoen.
-
Endre innloggingsmetode
-
Hva betyr det at jeg har gitt samtykker eller tillatelser til en tjeneste?
Ved innlogging har du som bruker gitt tjenesten samtykke eller tillatelse til å få visse rettigheter og tilganger til din UiO-konto i Microsoft 365. Hvilke rettigheter og tilganger hver enkelt tjeneste ber om varierer fra tjeneste til tjeneste.
Tjenester du har tatt i bruk kan ha fått tilgang til for eksempel din brukerprofil, e-post, filer eller kontakter. Ved at brukeren gir tillatelse får tjenesten rett til å lese, skrive, endre eller bruke disse dataene.
Slik kan det ha sett ut da du gav tjenesten tillatelse til å få visse rettigheter og tilganger til din UiO-konto i Microsoft 365:
Hva betyr det at jeg har «logget inn med min UiO-konto i Microsoft 365» i en tjeneste?
Det betyr at du har brukt din UiO-konto i Microsoft 365 til å gi en tjeneste tilgang til dine data, ofte via en standard pålogging (f.eks. «Logg inn med Microsoft» eller «Logg inn med skole- eller jobbkonto»).
Her er et eksempel på hvordan en slik pålogging kan se ut:
Hva gjør jeg hvis «Logg inn med Microsoft» ikke fungerer?
Hvis «Logg inn med Microsoft» (eller lignende) ikke fungerer, kan det bety at tilkoblingen mellom UiO-kontoen din og tjenesten allerede er fjernet.
- Først, prøv å logge inn via https://myapps.microsoft.com for å sjekke om tjenesten fortsatt er tilgjengelig der.
- Hvis du ikke kan få tilgang til den, må du kontakte tjenesteleverandøren direkte for å be om sletting av kontoen din og dataene.
Oppgi at du tidligere har brukt Microsoft-pålogging med UiO-kontoen din, og at denne tilgangen nå er fjernet.
Eksempel på formulering du kan bruke når du sender en forespørsel om sletting til tjenesteleverandøren:
«I request permanent deletion of my account and all data related to it.»
Jeg er student, gjelder dette meg?
Både ansatte og studenter har tatt i bruk tjenester via innlogging med sin UiO-konto i Microsoft 365. Studenter har sjeldent sensitive opplysninger lagret i Microsoft 365, og det er derfor sannsynligvis lav risiko forbundet med at du som student har tatt i bruk en uønsket innloggingsmetode og/eller ikke godkjent tjeneste.
Vi ber likevel om at du hjelper UiO med å rydde opp.
Hvorfor må jeg slette data i tjenester dersom tilgangen blir fjernet?
Fjerning av tilgangen stopper ny tilgang og hindrer deg fra å logge inn med UiO-konto i Microsoft 365, men eksisterende data kan fortsatt være lagret hos tredjepartsleverandøren. Du må derfor også slette data direkte i tjenesten for å sikre fullstendig sletting.
Hva betyr rettigheter og tilganger i denne sammenhengen?
Rettigheter og tilganger betyr i denne sammenheng hva en tjeneste får lov til å gjøre med dataene dine når du logger inn med UiO-kontoen din. Når du godkjenner en tjeneste, gir du den bestemte tillatelser (rettigheter) til å hente eller bruke informasjon knyttet til deg.
For eksempel kan det bety at tjenesten får tilgang til:
- å lese og sende e-post på dine vegne
- å se eller redigere filer du har lagret i OneDrive, SharePoint eller Teams
- å hente kalenderavtaler eller kontakter
- å bruke navnet ditt, e-postadressen din og andre profilopplysninger
Noen tjenester ber bare om tilgang til brukerprofil, mens andre tjenester ber om svært omfattende tilganger. Derfor er det viktig at UiO vurderer slike tjenester før de tas i bruk med jobb- eller studiekonto.
Jeg får ikke logget inn på tjenesten for å slette data. Hvorfor?
Mange av disse tjenestene er koblet til UiO-kontoen din via Microsoft 365s innloggingsløsning. Det betyr at du ikke har opprettet et eget brukernavn og passord hos tjenesten – i stedet logger du inn gjennom Microsoft med UiO-brukeren din.
Hvis du prøver å logge inn direkte på tjenesten med en “lokal” konto, vil det ofte ikke fungere. Du må i stedet:
- Velge “Logg inn med Microsoft”, “Sign in with Microsoft”, "Continue with Microsoft" eller lignende
- Bruke UiO-brukernavn og passord
- Eventuelt gå via https://myapps.microsoft.com og starte tjenesten derfra
Når du er logget inn via SSO, får du tilgang til den samme kontoen som har dataene, og kan slette dem.
Innloggingsløsningene kan for eksempel se slik ut:
Her er et til eksempel:
Hva gjør jeg hvis “Logg inn med Microsoft” (eller lignende) ikke fungerer?
Hvis "Logg inn med Microsoft" (eller lignende) ikke fungerer kan det det bety at tilkoblingen mellom UiO-kontoen og tjenesten allerede er fjernet.
Prøv først å logge inn via https://myapps.microsoft.com for å se om tjenesten fortsatt er tilgjengelig der.
Hvis du ikke får tilgang, kan det hende at du må kontakte leverandøren av tjenesten direkte for å be om sletting av kontoen og dataene.
Oppgi at du tidligere brukte Microsoft-innlogging med UiO-kontoen, og at denne tilgangen nå er fjernet.
Eksempel på formulering som kan benyttes ved sletteforespørsel til tjenesteleverandør: “I request permanent deletion of my account and all data related to it.”
Jeg har bare brukt UiO-kontoen min til å logge meg inn i en tjeneste jeg bruker privat, hvorfor er det et problem?
Det er forståelig, og mange har gjort det samme uten å være klar over hva det innebærer. Men selv om tjenesten brukes til private formål, kan det utgjøre en risiko når UiO-kontoen din i Microsoft 365 brukes til innlogging fordi:
- Du gir tjenesten tilgang til din UiO-konto i Microsoft 365 og potensielt til data som e-post, kalender, kontakter eller filer, selv om du ikke aktivt bruker tjenesten.
- UiO har ansvar for sikkerheten og personvernet knyttet til kontoen – også i slike tilfeller.
Det er derfor ikke tillatt å bruke UiO-konto i Microsoft 365 til å opprette privat brukerkonto hos tjenester.
Det er også uheldig å bruke UiO-kontoen til private formål, fordi du mister tilgangen til kontoen dersom tilknytningen din til UiO opphører.
Hvis du ønsker å fortsette å bruke tjenesten til private formål, kan du heller opprette en brukerkonto med en privat e-postadresse.
Kan jeg få hjelp til å hente ut data fra tjenesten?
Nei, IT-avdelingen kan dessverre ikke hjelpe med å hente ut data fra tjenester du har tatt i bruk. Dette skyldes at UiO ikke har en databehandleravtale med tjenesteleverandøren, og har verken tilgang til eller myndighet til å hente ut data.
Vi ber derfor om at du selv rydder opp og tar kontakt med tjenesteleverandør for de spesifikke tjenestene oppgitt i epost for spørsmål i forbindelse med uthenting av data.
Hvorfor er det dumt å logge inn med UiO-konto i Microsoft 365?
Det er ikke nødvendigvis dumt å bruke UiO konto i Microsoft 365 som autentiseringsløsning ved innlogging i tjenester. Bruk av Microsoft 365 som autentiseringsløsning forutsetter imidlertid kontroll med hvilke tilganger som gis, og at det gjøres nødvendige vurderinger av tjenesten som skal tas i bruk. Hvilke tjenester som skal benyttes på UiO med Microsoft 365 som innloggings-/autentiseringsløsning skal derfor styres sentralt av IT-avdelingen, ikke av hver enkelt bruker.
Hvordan vet UiO at jeg bruker denne tjenesten?
IT-avdelingen på UiO har oversikt over hvilke tjenester som er koblet til brukernes UiO-kontoer i Microsoft 365, for å forvalte Microsoft 365 på UiO. Dette er en del av den tekniske sikkerhetsinfrastrukturen i Microsoft 365, og gir UiO informasjon om hvilke tjenester som har fått tilgang til data gjennom brukersamtykke.
Tilgangen til denne informasjonen er begrenset til utvalgte personer i UiOs IT-avdeling med ansvar for sikkerhet og drift av Microsoft 365-plattformen.
UiO ser ikke innholdet ditt i tjenesten eller hva du har gjort i tjenesten, men vi kan se hvilke apper som har fått tilgang til kontoen din, hvilke tillatelser de har fått (for eksempel lesing av e-post, kontakter eller filer), og når samtykket ble gitt.
Jeg lurer på når og i hvilken situasjon jeg har benyttet UiO-kontoen min til innlogging i tjenesten. Kan dere hjelpe meg med det?
UiO har dessverre ikke detaljert oversikt over tidspunkt eller situasjon når tjenesten ble brukt. Det vi vet er at du har logget inn i tjenesten med din UiO-konto i Microsoft 365. Vi ser kun at tjenesten har fått tilgang til kontoen din via Microsoft 365, ikke hvordan eller hvorfor du logget inn.
Hvilke konsekvenser har dette for meg?
For de fleste vil dette ikke ha noen umiddelbare konsekvenser i hverdagen. Men hvis en tjeneste har fått tilgang til din UiO-konto i Microsoft 365 uten at den er vurdert og godkjent, vil tilgangen sperres.
UiO ber deg derfor om å slette UiO-data fra tjenesten, før tilgangen sperres.
Mange brukere har logget inn i tjenester på denne måten i god tro.
Tilgangen vil sperres siden det ikke er tillatt etter UiOs rutiner å ta i bruk ikke-godkjente tjenester for behandling av personopplysninger på UiO. UiO er behandlingsansvarlig for personopplysningene, og dermed ansvarlig for at opplysningene behandles i henhold til personvernregelverket.
Kan jeg få utsatt frist til å hente ut data og slette kontoen?
Nei, det kan dessverre ikke gis utvidet frist for å hente ut og slette eventuelle UiO-data fra tjenesten.
Fristen er satt etter en avveining av flere hensyn. Tjenesten kan utgjøre en sikkerhets- og personvernrisiko så lenge den er koblet til din UiO-konto i Microsoft 365. Flere av tjenestene har vide tilganger inn i UiOs data, og det er derfor nødvendig med en kort frist for å ivareta personopplysningssikkerheten og etterleve regelverket.
Rekker du ikke hente ut data og slette kontoen innen fristen, må sletting av konto og innhold gjøres ved å sende en skriftlig henvendelse til kontaktpunkt for personvern hos tjenesteleverandør.
Se her for hva du kan skrive i henvendelsen til kontaktpunkt for personvern hos tjenesteleverandør:
“I request permanent deletion of my account and all data related to it.”
Jeg har mistet tilgang til kontoen, betyr det at den er slettet?
Nei, sannsynligvis ikke. At du har mistet tilgang betyr vanligvis at tilkoblingen til UiO-kontoen er fjernet eller deaktivert, men det betyr ikke automatisk at kontoen eller dataene i tjenesten er slettet.
Dersom du forsøker å logge inn på kontoen etter datoen angitt i e-posten at UiO vil skru av muligheten for å logge inn via din UiO-konto i Microsoft 365, så betyr ikke dette at selve kontoen er slettet. Sletting må gjøres ved å sende en skriftlig henvendelse til tjenesteleverandør.
Se her for hva du kan skrive i henvendelsen til kontaktpunkt for personvern hos tjenesteleverandør:
“I request permanent deletion of my account and all data related to it.”
Kan UiO bestemme hvilke tjenester jeg kan bruke?
I privat sammenheng styrer ikke UiO hvilke tjenester du tar i bruk.
Imidlertid er UiO behandlingsansvarlig for data som behandles i tilknytning til arbeid og studier ved universitetet – inkludert personopplysninger, forskningsdata, e-post og dokumenter. Det betyr at UiO kan og må legge føringer for hvilke tjenester som kan tas i bruk i UiOs virksomhet og kan brukes med UiO-kontoen, for å blant annet sikre:
- at personvern og informasjonssikkerhet ivaretas
- at data lagres og behandles i tråd med lovverket (som personvernforordningen/GDPR, taushetsplikt, og lovkrav til informasjonssikkerhet) og avtalemessige forpliktelse
- at det finnes nødvendige avtaler med tjenesteleverandørene
Hva gjør UiO for å unngå at dette skjer igjen?
UiO har endret innstillingene i Microsoft 365, slik at brukere ikke lenger kan gi tillatelse til at tjenester får tilgang til UiO-konto i Microsoft 365 og tilhørende data, uten at koblingen til tjenesten er godkjent av UiO.
UiO arbeider med systematisk gjennomgang og opprydding av eksisterende tilkoblinger, styrket kontroll og rutiner for vurdering av nye tjenester, og bedre informasjon og veiledning til brukere om sikker bruk av IT-tjenester.
Brukerne kan bare bruke eksterne IT-tjenester som er godkjent av UiO for behandling av personopplysninger. Tjenester som ikke er godkjent for bruk ved UiO, skal ikke brukes i arbeids- og studiesammenheng for behandling av UiO-data – verken ved å logge inn med UiO-konto i Microsoft 365 eller ved å registrere seg hos tjenesteleverandører med UiO-e-postadressen.
Vi oppfordrer alle UiO-brukere til å ta UiOs grunnkurs i personvern og IT-sikkerhet.
Kan jeg be om godkjenning av en tjeneste jeg ønsker å bruke i arbeidet?
UiO ønsker å ha en omfattende tjenestekatalog som dekker brukernes behov, samtidig må man sørge for at personvern-, informasjonssikkerhet og andre hensyn ivaretas, . I tillleg kan være unødvendig med flere tjenester som dekker samme behov. Tjenester må vurderes før de tas i bruk, samt forvaltes og administreres mens de er i bruk. Dette er ressurskrevende.
IT-avdelingen tar derfor imot søknader om å ta i bruk nye tjenester, dersom behovet ikke allerede er dekket opp av det eksisterende tjenestetilbudet. Slike søknader krever forankring hos en leder ved UiO.
Hvilken informasjon kan tjenesten ha fått tilgang til?
Det varierer fra tjeneste til tjeneste. Når du logger inn med Microsoft 365, må du godkjenne hvilke deler av kontoen din tjenesten får tilgang til. Dette kan være:
- Navn og e-postadresse (brukerprofil)
- Kalender
- E-post og kontakter
- Filer i OneDrive eller SharePoint
Noen ganger er tilgangen begrenset, andre ganger svært omfattende. UiO kan ikke alltid se nøyaktig hvilke data som er hentet ut eller brukt, derfor ber deg derfor å slette UiO-data fra tjenesten.
Kan jeg få en oversikt over all informasjon som en tjeneste har samlet inn fra min bruker?
Du må kontakte tjenesteleverandøren direkte for å be om innsyn i og sletting av dine data i tjenesten.
Se her for hva du kan skrive i henvendelsen til kontaktpunkt for personvern hos tjenesteleverandør:
“I request access to all collected data and permanent deletion of my account and all data related to it.”
Hva gjør jeg hvis jeg tror jeg har gitt tilgang til en ondsinnet tjeneste?
Kontakt UiO-CERT umiddelbart for hjelp dersom du tror du har gitt en ondsinnet tjeneste tilgang. Med “ondsinnet” mener vi tjenester som det er grunn til å tro at vil misbruke data den har fått tilgang til. Eksempler kan være:
- Bruk av data til å trene kunstig intelligens
- Bruk av data til å sende målrettet phishing til UiOs brukerdatabase
- Offentliggjøring eller videre spredning av data
Kan jeg bruke tjenester som er godkjent av andre universiteter eller organisasjoner?
Nei, UiO er selvstendig ansvarlig for hvilke tjenester vi tar i bruk, og gjør egne vurderinger basert på våre sikkerhets- og personvernkrav. Bare tjenester godkjent av UiO kan brukes på UiO, og med din UiO-konto i Microsoft 365.
Hvordan kan jeg vite om jeg er berørt og hvilke tjenester jeg har tatt i bruk?
UiO sender e-post direkte til brukere som har tatt i bruk tjenester med sin UiO-konto i Microsoft 365. I e-posten vil det fremgå hvilke tjenester du har gitt tilgang til med din UiO-konto, og hva du eventuelt må gjøre videre.
Tjenesten jeg har tatt i bruk er godkjent av UiO. Hvorfor får jeg da mail?
Har du fått e-post med beskjed om å slette kontoen din i en tjeneste som er godkjent til bruk på UiO? Dette kan skyldes flere ting.
Det kan hende du valgte feil innloggingsmetode da du logget inn i tjenesten første gang.
Det kan ha skjedd en feil på IT-avdelingens side, slik at koblingen til Microsoft 365 ikke skal slettes. I så fall må du si fra så fort som mulig.