Dansk datatilsyn opprettholder forbud mot Googles skoleløsning

I Danmark, som i Norge, er det kommunene som har ansvaret for de digitale skoleløsningene som elevene benytter for å gjøre oppgaver, chatte og søke på nettet. I Norge tilpasser vi lovverket til EUs personvernregler, derfor er det neppe stor forskjell på norske og danske skoler når det gjelder kravene til personvern.

Vi skrev i juli 2022 at det danske datatilsynet har nedlagt forbud mot Googles skoleløsning i Helsingør kommune. Tilsynet opplyste at kommunen hadde inngått en Google-avtale som sier at kundedata kan behandles i mange land, for eksempel Bulgaria, Argentina, India Mexico, Japan, USA og Malaysia.

Det danske datatilsynet presiserer at deres forbud gjelder kun i denne kommunen. Datatilsynet har jo ikke kapasitet til å sjekke samtlige kommuner og hvilke avtaler hver enkelt har gjort med Google, Apple eller Microsoft.

Her hjemme i Norge sjekket det norske datatilsynet i 2020 tre kommuner som hadde innført Googles skoleløsning og fant sviktende personvern i alle tre.

Det er ingen statlig godkjenningsordning for skoleløsninger, hverken i Norge eller i Danmark. Men hvis en mamma eller pappa skriver til Datatilsynet og klager på personvernet ved sin skole, kan det ende med en eller annen reaksjon fra Datatilsynet. Og det var det som skjedde i Danmark og som resulterte i et foreløpig forbud.

Dette er en sak som har gått over flere år. Etter at forbudet kom, leverte Helsingør kommune en rapport på 1700 sider, men den var ikke nok til å endre beslutningen fra det danske datatilsynet. 19. august 2022 ble forbudet opprettholdt etter at tilsynets jurist Allan Frank må ha brukt en del sommeruker på å tråle seg gjennom den lange rapporten fra kommunen.

Her er noen av punktene til det danske datatilsynet forkortet og omskrevet av Barnevakten:

• Flere av behandlingene innebærer høy risiko for de som bruker Google Workspace.
• Det er ikke tilfelle at kommunen har identifisert og behandlet alle risikofaktorer. Kommunen har ikke vurdert de relevante risikofaktorene som går frem av avtalen med Google.
• Kommunen hevder Google kun opptrer som databehandler, men etter datatilsynets oppfattelse er Google i flere tilfeller dataansvarlig som behandler personoplysninger til egne formål. Dette bygger blant annet på at Google ifølge kommunens materiale selv oppfatter seg som dataansvarlig på en rekke områder.
• Materialet fra kommunen lever ikke opp til kravene til en konsekvensanalyse.

_
– Lærere og elever står akkurat nå i en vanskelig situasjon hvor de ikke kan benytte de verktøy de vanligvis bruker. Vår avgjørelse forbyr på ingen måte bruk av IT i skolene – men den konkrete bruken  av noen bestemte verktøy i kommunen er forsvarlig overfor barnas opplysninger. Litt firkantet sagt er det en konsekvens av kommunens valg og fravalg gjennom flere år, sier Allan Frank, som er it-sikkerhetsspesialist og jurist i det danske datatilsynet. (Foto: Datatilsynet i Danmark.)

Kan det samme skje i Norge?

Vi spurte det norske datatilsynet om det samme kan skje i Norge, altså at alle skolene i en hel kommune plutselig kan stå uten digital skoleløsning på grunn av et forbud.

_
– Vi har fulgt saken i Danmark med stor interesse. Det er vanskelig å si noe om det samme kan skje i Norge. Denne saken er en enkeltklage hvor det danske tilsynet har gått igjennom dokumentasjonen og sett at vurderingene som har blitt gjort ikke har vært gode nok. Tilsynets konklusjon var at kommunenes risikovurdering av bruken av skytjenestene ikke lever opp til kravene i GDPR (personvernreglene), og at avtalen de har med Google gir rom for at danske personopplysninger overføres til USA, forklarer Janne Stang Dahl som er kommunikasjonsdirektør i Datatilsynet.

– Er forbud et av verktøyene dere bruker, eller velger dere heller bøter eller andre reaksjoner og lar den enkelte kommune fortsette til problemene er ryddet av veien?

– Forbud, midlertid stopp eller full stopp er sanksjoner vi kan bruke. Vi gjorde for eksempel dette med den første versjonen av appen Smittestopp som kom samme vår som pandemien brøt ut. Vi kan også gi påpekninger eller såkalte irettesettelser, der vi sier at det for eksempel må gjøres grundigere vurderinger eller gis bedre informasjon. I lignende saker som vi har hatt tidligere,  ble det avdekket betydelige mangler i tre kommuner, og de fikk varsel om irettesettelse. De som tar i bruk Google eller andre tjenester må vite hva dette innebærer for elevenes personvern.

– Har dere noen nye initiativer på gang når det gjelder skoleløsninger? Dere har tidligere for eksempel laget en veileder.

– Vi ser at veilederen brukes mye, og vi oppdaterer stadig på våre nettsider når det kommer nye retningslinjer eller regelverk å forholde seg til. Overføring av personopplysninger til tredjeland er et område mange er opptatt av og som stadig er i bevegelse i EU. Her har vi også en veileder. Det er viktig at kommunene har god oversikt over alle personopplysninger de samler inn om elevene, og hva disse opplysningene brukes til. Mange er blitt flinkere til å gjøre vurderinger, men det er komplisert og et stort arbeid for hver enkelt kommune, særlig de mindre. I dag er det hver enkelt kommune og skoles ansvar å gjennomføre risikovurderinger. Det krever mye ressursbruk. Vi har derfor tatt til orde for at mye av forarbeidet bør kunne gjøres samlet, og så kan kommunene selv kvalitetssikre og gjøre vurderinger basert på deres situasjon.

Flere etterspør nasjonale retningslinjer og hjelp

«Kommunene har ikke kompetanse til å vurdere Googles skoleløsning.» Dette sa Anja Salzmann til Barnevakten tidlig i mars 2020, da hadde hun i lengre tid sendt mange henvendelser til Datatilsynet og prøvd å peke på faren med å slippe Google inn i norske skoler.

Barnevakten etterlyste nasjonale retningslinjer for skoleløsningene i starten av mars 2020. Senere samme år uttrykte det norske datatilsynet noe av det samme. Dette ble gjentatt av Datatilsynet sommeren 2022 hvor Tilsynet også skrev: «Personvern bør komme sterkt inn i bildet i regjeringens videre arbeid med digitale løsninger i skolen.»

Kommunernes Landsforening i Danmark ber nå regjeringen komme på banen. – Vi synes ikke det er riktig at det er den enkelte kommune som må slåss med techgigantene, skrev Pia Færch, kontorsjef for Digitalisering og Teknologi, til Version2.

Det danske datatilsynet oppfordrer kommunene å gå sammen om å løse problemene, gjerne i samarbeid med noen ministre, skriver Version2.

Les også

• Barnevaktens startside om skoleløsninger
• Googles skoleløsning forbudt i dansk kommune
• Hva kan foreldre bestemme i den digitale skolen?
• Googles skoleløsning – dette bør foreldre vite
• Kommunene henger etter med personvern
• Svikt i personvernet i norske skoler
• Jeg har ingenting å skjule