Chromebook-sag

Datatilsynet har truffet afgørelse i den såkaldte Chromebook-sag om 51 kommuners brug af Googles produkter til undervisning i folkeskolen. Datatilsynet har blandt andet som opfølgning på en udtalelse fra Det Europæiske Databeskyttelsesråd (EDPB) fra oktober 2024 om den dataansvarliges forpligtelser ved brug af databehandlere – som et sidste led i tilsynet store sagskompleks om en række kommuners brug af Google Workspace for Education og Google Chrome Education til undervisningsformål i de danske folkeskoler – undersøgt kommunernes håndtering af det ansvar, der følger med brugen af Google som databehandler. Den dataansvarliges ansvar ved brug af databehandlere og underdatabehandlere EDPB’s udtalelse fra oktober 2024 omhandler blandt andet, i hvilket omfang den dataansvarlige skal kunne identificere sine databehandlere, og i hvilket omfang den dataansvarlige skal verificere og dokumentere, at eventuelle underdatabehandlere pålægges de samme databeskyttelsesforpligtelser som den primære databehandler. Udtalelsen behandler også den dataansvarliges dokumentationsforpligtelse i situationer, hvor en databehandler inden for EU/EØS overfører personoplysninger til en (under)databehandler i et tredjeland – herunder efterfølgende videreoverførsler. I sagen har Datatilsynet haft fokus på brugen af de underdatabehandlere uden for EU, som kommunernes databehandler, Google, anvender. Datatilsynet har i den forbindelse undersøgt kommunernes overvejelser og dokumentation for lovliggørelsen af den behandling af personoplysninger, der finder sted hos disse underdatabehandlere.

I sagen om brug af Google Workspace i folkeskolerne vurderer Datatilsynet, at der ikke er hjemmel til videregivelse af personoplysninger til Google til alle de formål, der videregives til i dag. Derfor giver Datatilsynet nu et påbud til kommunerne om at bringe behandlingen i overensstemmelse med reglerne og anviser forskellige måder, det kan gøres på. Datatilsynet har siden sommeren gennemgået det omfattende materiale, som KL på vegne af 53 kommuner har sendt i sagen om brugen af Google Workspace i skolerne, og har på den baggrund truffet en afgørelse, som offentliggøres i dag. Materialet har nu givet en uddybende beskrivelse af de centrale forhold i skolernes brug af tjenesten og leverandørens anvendelse af data. Dette var en oprindelig forudsætning for, at kommunerne kunne begynde at behandle oplysningerne i Google Workspace, og de pågældende analyser skulle derfor have været på plads, inden værktøjerne blev taget i brug. Denne manglende afklaring og de ufuldstændige analyser er bedømt og sanktioneret i Datatilsynets tidligere afgørelser mod de 53 kommuner. Kommunerne konstaterer i det nu indleverede materiale, at der sker en videregivelse af personoplysninger, som Google bruger til egne formål. Datatilsynet har derfor vurderet lovligheden af disse videregivelser og truffet afgørelse i denne del af sagen, da afklaringen af dette er en forudsætning for at kunne behandle oplysningerne i det hele taget. Samtidig sætter denne afklaring rammerne for en løsning, hvor der fremover vil kunne behandles personoplysninger om skolebørnene.

I en meget omtalt sag om brug af Google Workspace i Helsingør Kommune har Datatilsynet nu forholdt sig til det materiale, kommunen senest har leveret. På den baggrund fastholder Datatilsynet det forbud, der blev nedlagt i juli. Datatilsynet fastholder i en ny afgørelse det behandlingsforbud mod Helsingør Kommunes brug af Google Workspace, som Det sker på baggrund af en nøje gennemgang af det omfattende materiale, Helsingør Kommune 1. august har sendt til tilsynet. Efter Datatilsynets vurdering har kommunen fortsat ikke dokumentereret, at den har nedbragt de høje risici, der er for børnene i kommunens skoler. "Lærere og elever står lige nu i en svær situation, hvor de ikke kan benytte de redskaber, de plejer. Vores afgørelse forbyder på ingen måde brug af it i skolerne - men den konkrete brug af nogle bestemte redskaber i kommunen er ikke forsvarlig over for børnenes oplysninger. Børn har ifølge GDPR krav på en særlig beskyttelse. Vi kan hver især som voksne mennesker frit vælge, hvilke digitale tjenester vi har lyst til at bruge, men børn skal nu engang benytte de redskaber, som folkeskolerne stiller til rådighed for dem. Og derfor er det vigtigt, at kommunerne sikrer sig, at børnenes oplysninger ikke bliver brugt til andre formål end dem, folkeskoleloven giver mulighed for - eksempelvis markedsføring, profilering eller produktudvikling.

Datatilsynet har gennem længere tid haft fokus på brugen af Chromebooks og Google Workspace (tidligere G Suite for Education) i kommunerne. Brugen er udbredt på landsplan, men konkret har Datatilsynet haft en verserende sag i Helsingør Kommune. , hvor Helsingør Kommune bl.a. fik et påbud om at foretage en risikovurdering af kommunens behandlinger af personoplysninger i folkeskolen ved brug af Chromebooks og Workspace. Datatilsynet har nu på baggrund af den dokumentation og vurdering af risikoen for de registrerede, som Helsingør Kommune har udarbejdet, konstateret, at behandlingen ikke lever op til kravene i GDPR på flere punkter. Datatilsynet finder, at kommunen ikke har vurderet nogle helt konkrete risici i forhold til databehandlerkonstruktionen. Herudover fremgår det af databehandleraftalen, at der kan overføres oplysninger til tredjelande i supportsituationer uden det fornødne sikkerhedsniveau. Set i lyset af afgørelsen fra september 2021 har Datatilsynet nu truffet en afgørelse.