Dansk datatilsyn sier skolenes Google-avtale er ulovlig

Både norske og danske barneskoler og ungdomsskoler bruker dataløsninger fra enten Apple, Microsoft eller Google. I den digitale skoleløsningen fra Google benyttes en samling apper som kalles Google Workspace. I tillegg bruker man datamaskiner som kalles Chromebook, og i disse maskinene ligger en nettleser fra Google.

Google samler inn data fra både maskinen, nettleseren og løsningen. Her deler danske kommuner en del personopplysninger som dagens lovverk ikke  gir hjemmel for.

Det danske datatilsynet ga derfor 30. januar 2024 et pålegg til 53 kommuner om å rydde opp. Saken har pågått siden 2022.

Kommunene sjekket ikke godt nok

Kommunene har ikke analysert Google Workspace godt nok før løsningen ble tatt i bruk, mener det danske datatilsynet.

En del av personopplysningene som skolene videresender, blir av Google brukt  til egne formål.

For å bruke Googles skoleløsning, må elevene bruke datamaskiner som kalles Chromebooks. Google samler inn opplysninger fra disse datamaskinene og fra Googles Workspace for Education for å vedlikeholde og utvikle programvaren i maskinene og dataløsningen samt nettleseren.

Allan Frank, som er  jurist i det danske Datatilsynet, sier på tilsynets nettsider:

– Innen man tar et verktøy i bruk, skal man som dataansvarlig få oversikt over hvordan personopplysninger behandles, og man skal kunne dokumentere det. Dette kravet gjelder alle organisasjoner. Når det gjelder offentlige myndigheter, hvor vi som borgere ikke kan si nei takk til at våre opplysninger blir behandlet, har Datatilsynet en særlig forventning om at de nødvendige analyser blir både gjennomført og dokumentert.

Han forklarer videre at de fleste avtaler som gjelder standardprodukter innen dataløsninger er veldig kompliserte. Ikke bare det, men avtalene endres også ofte. Dette gjør det vanskelig å leve opp til kravene i GDPR.

Avtalene bør gjøres mer gjennomsiktige om behandlingsstrukturen og konsekvensene når det skjer endringer i dem, mener det danske datatilsynet.

Ble pålagt å dokumentere

Etter krav fra det danske datatilsynet måtte mange kommuner sende inn analyser av dere digitale skoleløsninger som elevene benytter.

Det danske datatilsynet skriver at kommunene nå har gitt gode beskrivelser av hvilke data som blir behandlet, og av hvem og i hvilken rolle. Men dette skulle altså ha blitt gjort før kommunene tok i bruk Google Chromebooks og Workspace for Education.

Hvordan løse problemet?

Det danske Datatilsynet peker på eksempelvis tre mulige løsninger:

a) Kommunene må slutte å sende elevenes personopplysninger til Google når det gjelder de formålene som det danske datatilsynet peker på. Det betyr at Google må utvikle løsninger der kommunene/skolene kan stenge bestemte datastrømmer.

b) Eller så må Google selv avstå fra å hente inn personopplysninger som det ikke er hjemmel for i den danske folkeskoleloven.

c) Eller så må det danske Folketinget endre lovene og gi kommunene anledning til å dele mer av elevenes personopplysninger med Google.

De 53 kommunene må svare det danske datatilsynet innen 1. mars med en plan for hvordan de skal rydde opp. Og innen 1. august 2024 må kommunene ha ryddet opp.

Les mer på nettsidene til det danske datatilsynet.

Har kommunene for dårlig datakompetanse?

Man kan spørre seg hvordan det er mulig at så mange som 53 danske kommuner får pålegg om å rydde opp. Norske kommuner har ikke kompetanse til å vurdere Googles skoleløsning, uttalte Anja Salzmann i Barnevaktens spalter i 2020. Hun var en av flere foreldre som klaget til Datatilsynet om datasystemet G-suite.

Flere norske kommuner fikk irettesettelse av det norske datatilsynet i 2020 i forbindelse med Googles skoleløsning.

Oppdatering 16. februar: Det norske Datatilsynet skriver i nyhetsbrev 16. februar: «Vi har fulgt arbeidet til det danske datatilsynet tett, og mener at flere av vurderingene har overføringsverdi til Norge.»

(Hovedbilde øverst: Foto: Shutterstock / CC Photo Labs.)

Les også

• Dansk forbud mot Google
• Oppretterholder dansk forbud mot Google skoleløsning
• Dansk kommune med forbud mot Googles skoleløsning
• Datatilsynets veileder til Googles skoleløsning
• Personvernet i skoleapper må løses med selvrapportering
• Hva er forskjellen på dataansvarlig og databehandler?
• Dansk kommune kvittet seg med Googles skoleløsning
• Staten New Mexico i USA mente i 2020 at Google ulovlig tapper personopplysninger via skoleløsningen G-suite.