Datatilsynet gav tirsdag et påbud til 53 kommuner, som i dag deler skoleelevers persondata med Google i strid med lovgivningen. KL, der har repræsenteret kommunerne, er ærgerlig over Datatilsynets afgørelse i sagen om folkeskolernes brug af Google Workspace, som følger med de Chromecast-computere, mange af landets skoleelever gør brug af.

”Vi havde virkelig håbet, at der nu kom en endelig afgørelse fra Datatilsynet. Så kommunerne, forældre og elever kunne føle sig trygge", siger kontorchef i KL Pia Færch.

"Ud fra den sparsomme dialog vi har haft med Datatilsynet, havde vi regnet med, at Datatilsynet ville være enige i vores fortolkning”, tilføjer hun.

Sammen med de 53 berørte kommuner havde KL arbejdet for at finde en vej, som "både tilgodeser elevernes sikkerhed og kommunernes ønske om at kunne bruge Googles værktøjer", oplyser KL.

Måneders venten

KL kritiserer Datatilsynet for lang sagsbehandlingstid. "Efter måneders venten og udskydelser gang på gang...", lyder det i pressemeddelelsen om forløbet, der er gået forud for Datatilsynets delvise afgørelse i sagen, som officielt begyndte i 2020, da Helsingør Kommune anmeldte et brud på persondatasikkerheden til Datatilsynet.

I afgørelsen bemærker tilsynet, at KL's indleverede materiale var "omfattende", og at "sagens omfang og kompleksitet" har ført til, at der blot kan træffes en delafgørelse.

Påbuddet betyder ikke, at kommunerne skal indstille brugen af Google Workspace, fastslår kontorchefen i KL, som i pressemeddelelsen understreger, at det er lykkedes kommunerne at rykke Google langt.

"Datatilsynet har gjort det klart, at kommunerne kan bruge Googles løsninger, mens der findes en endelig afklaring. KL genoptager nu forhandlingerne med Google og går i dialog med ministeriet om de tre veje, Datatilsynet har peget på, for at afklare, hvilke der er mulige og hensigtsmæssige", siger Pia Færch.

De tre muligheder, Datatilsynet stiller kommunerne over for, er:

• At kommunerne ikke længere videregiver personoplysninger til Google til disse formål. Det vil sandsynligvis kræve, at Google udvikler en teknisk mulighed for, at de pågældende datastrømme afskæres.
• At Google selv afstår fra at behandle oplysningerne til disse formål.
• At Folketinget tilvejebringer et tilstrækkeligt klart retsgrundlag for videregivelse til disse formål.

Problem med afledte formål

Datatilsynet anerkender, at kommunerne er nødt til at dele visse personoplysninger med Google - bl.a. behandling af personoplysninger med henblik på levering af tjenesterne, forbedring af sikkerheden og pålideligheden af tjenesterne, skriver tilsynet i afgørelsen. Der er dog en række afledte formål med skolernes data, som Datatilsynet fastslår, at der ikke findes hjemmel til at dele med Google.

Tilsynet "lægger særligt vægt på, at disse afledte formål ikke kun dækker udviklingen af de konkrete undervisnings- og læringsmidler, som kommunerne aftager, men også den generelle udvikling af Googles produkter, f.eks. Chrome OS og Chrome-browseren. Disse produkter leveres ikke udelukkende til kommunerne, men udbydes generelt på markedet, og videreudviklingen gavner dermed i bredeste forstand disse produkters og leverandørens markedsposition", skriver Datatilsynet i afgørelsen. Læs hele afgørelsen her.

Fakta: Begrundelsen for Datatilsynets påbud

"Det er Datatilsynets vurdering, at kommunerne ikke inden for rammerne af folkeskoleloven (...) kan behandle og videregive personoplysninger om skoleelever til Google som led i brugen af Google Chromebooks og Workspace for Education til brug for (i) vedligeholdelse og forbedring af Google Workspace for Education-tjenesten, Chrome OS samt Chrome-browseren, (ii) måling af ydeevnen af Chrome OS og Chrome-browseren samt (iii) udvikling af nye funktioner og tjenester i Chrome OS og Chrome-browseren (”de afledte formål”)"