Ekspert kalder afgørelse i Chromebook-sagen "voksenskældud"

Efter godt 6 år nåede den såkaldte Chromebook-sag i denne uge sin foreløbige afslutning med en afgørelse fra Datatilsynet.

I den får 51 kommuner alvorlig kritik og en advarsel om, at de skal få styr på deres underdatabehandlere i lande uden for EU.

Og det er en større opgave, vurderer lektor i databeskyttelsesret og menneskerettigheder ved Syddansk Universitet Ayo Næsborg-Andersen.

”Afgørelsen betyder, at man lovligt kan fortsætte med at bruge Googles produkter i skolen, hvis man overholder visse betingelser,” siger hun og tilføjer:

”Det handler ikke mindst om at få styr på, hvem Google bruger til at behandle elevernes data.”

Det tog lang tid for tilsynet at få KL og kommunerne til at forstå, at der forestod et stort stykke arbejde – og at det var dem, der skulle gøre det
Ayo Næsborg-Andersen Lektor i databeskyttelsesret, Syddansk Universitet

En større operation

Det er kommunerne, der som dataansvarlige skal sikre, at deres databehandler – i dette tilfælde Google – kun bruger underdatabehandlere fra EU eller såkaldt sikre tredjelande.

”Det er en større operation, hvis man ikke bruger sikre tredjelande, fordi det kræver, man vurderer det enkelte lands lovgivning. Og det skal man gøre hver gang, hvis ens databehandler ofte skifter underdatabehandlere, som tilfældet er med Google,” forklarer Ayo Næsborg-Andersen og tilføjer:

”Det skinner igennem i afgørelsen, at man gerne fra tilsynets side så, at kommunerne laver en kontrakt med Google, hvor de forpligter sig til ikke at bruge underdatabehandlere fra usikre tredjelande.”

Det gør spørgsmålet endnu mere presserende, at Google sender alle data til USA, hvis nuværende status som sikkert tredjeland er usikker, påpeger lektoren.

Næste gang vanker der bøder

De 51 kommuner får i afgørelsen alvorlig kritik for de GDPR-overtrædelser, der gjorde sig gældende på tidspunktet for klagen til Datatilsynet i 2019.

”Det er skridtet lige før bøder. Når tilsynet skriver, at det vil ’tillægges vægt ved sanktionsvalget', hvis ikke afgørelsen følges, betyder det, at der vanker bøder, næste gang de træder over stregen. For nu kan de ikke længere sige, de ikke vidste bedre,” siger Ayo Næsborg-Andersen.

Tilsynet skriver i sin afgørelse, at kommunerne skal være sikre på, at produkter er lovlige, inden de tager dem i brug. Og påpeger, at det gælder ”uanset den forretningsmæssige indikation”.

”Direkte oversat betyder det, at det ikke er et gyldigt argument at sige, at man ikke kan drive en moderne folkeskole uden techgiganternes produkter,” siger Ayo Næsborg-Andersen.

Kommunerne får "voksenskældud"

Som hun læser afgørelsen, er det en løftet pegefinger til kommunerne om, at de i alt for lang tid ikke tog problematikken alvorligt.

”Der står grundlæggende, at hele det langstrakte forløb kunne og burde være undgået ved, at kommunerne havde gjort deres arbejde fra starten. De får lidt voksenskældud,” siger Ayo Næsborg-Andersen og tilføjer:

”Det tog lang tid for tilsynet at få KL og kommunerne til at forstå, at der forestod et stort stykke arbejde – og at det var dem, der skulle gøre det. At man ikke bare kunne henvise til, at man ikke kunne drive en folkeskole uden. Det gik de første tre år med.”

Den udlægning kan kontorchef i KL Pia Færch ikke genkende.

”Kommunerne har taget produkterne i brug, inden GDPR-reglerne blev indført. Så det er rigtig nok, at man skal sikre, at produkterne er lovlige, inden man tager dem i brug, som Datatilsynet jo også pointerer. Men det har ikke været muligt her – i hvert fald ikke for alle kommunerne,” siger hun.

KL: Vi reagerede så hurtigt, vi kunne

Pia Færch mener, at kommunerne og KL reagerede så hurtigt, det kunne lade sig gøre.

"Vi har helt fra start haft dialog og forhandlinger med Google om at bringe de ting i orden, som Datatilsynet har peget på. Vi har lagt os i selen hver gang for at belyse det, Datatilsynet gerne ville have belyst”, siger hun og tilføjer:

"Det er korrekt, at sagen har taget meget lang tid. Men det er også en svær, kompleks og principiel sag. Den første af sin art i Danmark, og så vidt jeg er orienteret blandt de første i Europa. Alle har haft en læringskurve, hvad angår GDPR og databehandling. Både kommunerne, staten, Datatilsynet og for så vidt også private virksomheder.”

Det er korrekt, at KL undervejs i sagen har henvist til, at det er svært at drive en moderne folkeskole uden it-produkter, siger Pia Færch:

”Men vi har ikke på noget tidspunkt ment, at det skulle være på bekostning af datasikkerheden. Vi har sagt, man skulle finde en vej til at kunne bruge it i folkeskolen, fordi alternativet til at finde en vej, ikke fungerer”.

Gør man det op, er det ikke på KL's bord, sagen har ligget længst, pointerer Pia Færch.

"Nogle gange er der gået langt tid, fra vi har indsendt materiale, til vi har hørt fra Datatilsynet. Blandt andet fordi de har skulle søge rådgivning hos EU’s databeskyttelsesråd. Og det er helt forståeligt. Det er en principiel sag, så det har været nyt for alle at navigere i,” siger hun.

Kommunerne skal samarbejde om risikovurderinger

I afgørelsen opfordrer Datatilsynet til, at kommuner med ”samme behandlingsscenarie” går sammen.

”Det vil sige, at hvis man bruger de samme produkter til de samme formål, så er der måske ikke nogen grund til, at man sidder hver især og laver risikovurderinger og så videre,” siger Ayo Næsborg-Andersen og tilføjer:

”Der siges indirekte, at KL godt kunne være gået ind i sagen tidligere. Og måske endda udarbejdet retningslinjer, kommunerne kunne følge i stedet for, at de selv hver især skulle opfinde dem".

I afgørelsen advarer Datatilsynet kommunerne om, at det sandsynligvis er i strid med GDPR, hvis ikke de har konfigureret deres Google-produkter "i overensstemmelse med de forudsætningsmæssige og funktionelle krav, som KL har opstillet".

Netop de krav, påpeger Pia Færch, er resultatet af, hvad hun mener er et målrettet arbejde fra KL med at lave anbefalinger til kommunerne.

"Om vi kunne have lavet dem tidligere? Vi er nok tilbage til, at sagen opstod meget kort tid efter, at GDPR blev indført," siger hun og tilføjer:

"Og vi er helt enige i, at det er en god ide at gå sammen om at lave risikovurderinger. Derfor har vi også etableret samarbejde mellem kommunerne og Kombit (Kommunernes It-fællesskab, red.), blandt andet med henblik på at få kigget på underdatabehandlingerne, som Datatilsynet efterlyser".