Datatilsynet har godkendt en aftale, som Kommunernes Landsforening har indgået med Google, om, at kommunerne fra 1. august ikke længere videregiver personoplysninger, som der ikke er hjemmel til i dansk lovgivning, til Google.

Det har Datatilsynet oplyst i en pressemeddelelse tidligere på måneden.

I januar 2024 gav Datatilsynet 53 kommuner påbud mod at anvende Googles Chromebooks og skoleværktøjer, da computerens behandling af data ikke var i overensstemmelse med dansk lovgivning. Den indgåede aftale betyder, at elever i folkeskolen efter sommerferien fortsat kan bruge Chromebooks i undervisningen. 

"Den problemstilling, der gik på, at nogle af børnenes oplysninger er blevet videregivet uden et lovligt grundlag, er nu løst, og dermed er det vores vurdering, at kommunerne opfylder påbuddet. Når det er sagt, er der dog stadig nogle udeståender i sagen," fastslår Allan Frank, der er it-sikkerhedsspecialist og jurist i Datatilsynet, i en pressemeddelelse.

Google og KL har efter et forhandlingsforløb lavet tilpasninger af kontrakten, fremgår det af et brev fra Datatilsynet til KL. Ændringerne sikrer, at personoplysninger udelukkende vil blive behandlet efter den dataansvarlige kommunes instruks, bortset fra tilfælde, hvor det måtte være krævet af gældende ret i henhold til EU-regler eller en EU-medlemsstats ret.

I brevet til KL indskærper Allan Frank, at hver enkelt kommune som dataansvarlig står foran en krævende opgave. Kommunerne, der bruger Googles værktøjer på skolerne, skal agere i overensstemmelse med de forudsætninger og anbefalinger, KL har anført, understreges det.

"Dette betyder, at de berørte kommuner skal afstå fra at benytte og lukke ned for de tjenester og dele af tjenester, hvor personoplysninger behandles i tredjelande, hvor der ikke kan sikres en beskyttelse af de registreredes rettigheder og frihedsrettigheder, der er essentiel ækvivalent med den beskyttelse, der er inden for EU," skriver Datatilsynet i brevet, som er indsat herunder.

At opfylde alle krav og bevare overblikket over det samlede kompleks af kontrakter vil kræve "en betydelig indsats for kommunerne," pointerer Datatilsynet.

"Datatilsynet skal indskærpe, at de berørte kommuner – som dataansvarlige – til enhver tid forventes at have både overblik og viden om behandlingsaktiviteterne og vilkårene for disse," skriver Allan Frank.

For at påvise, at reglerne bliver overholdt, skal kommunerne kunne suspendere eller stoppe en behandling af personoplysningerne, hvis leverancen af data eller vilkårene ændres til en tilstand, hvor forordningen enten ikke overholdes eller kan påvises overholdt.

Europæisk udestående

Datatilsynet skriver i pressemeddelelsen, at tilsynet har anmodet Det Europæiske Databeskyttelsesråd om en udtalelse, der blandt andet skal klarlægge den dataansvarliges dokumentationsforpligtelse for databehandlerens brug af underdatabehandlere. Ifølge Datatilsynet vil man foretage en endelig vurdering af underdatabehandlerkæden ved kommunernes brug af Googles produkter.

Det betyder, at Datatilsynet først kan foretage en endelig vurdering af kommunernes brug af Googles produkter, når der er svar fra Det Europæiske Databeskyttelsesråd.

En Chromebook er en bærbar computer, der kører på styresystemet ChromeOS, som er udviklet af Google. Man kan ikke installere almindelige programmer på en Chromebook. I stedet kan man hente apps og bruge internettet. Det gør kravene til hukommelse og lagerplads mindre, og derfor er Chromebooks typisk billigere end almindelige computere.

Datatilsynet blev opmærksom på sagen i 2019, da en far klagede over, at man kunne se hans otteårige søns navn og skole på platformen YouTube.

Selv om den konkrete sag nu er løst, er der fortsat brug for tiltag, der skaber rammer om det offentliges brug af digitale redskaber, lød det fra KL i en pressemeddelelse i juni. Digitaliserings- og Ligestillingsministeriet oplyste i juni, at det har igangsat et arbejde med at finde løsninger på den bredere problemstilling. Tidshorisonten for denne vurdering oplyses ikke.

jn/ritzau/