Når eleverne i den danske folkeskole bruger Google
Workspace, bliver der indsamlet data, som Google bruger til at drifte og
udvikle softwaren.
Data må gerne bruges til at forbedre tjenestens sikkerhed
og pålidelighed. Men når den bruges til at vedligeholde og forbedre Googles
produkter, er det ulovligt.
Sådan lyder det i den længe ventede afgørelse fra
Datatilsynet i den såkaldte Chromebook-sag. Tilsynet giver 53 kommuner påbud om
at bringe brugen af Google Workspace i deres folkeskoler inden for rammerne af
loven.
Det skal ske inden 1. august, og allerede den 1. marts skal
der foreligge en plan for, hvilke tiltag kommunerne har tænkt sig at lave. Der
er bare ét problem. Kommunerne kan sandsynligvis ikke selv gøre noget ved
problemerne.
I sin afgørelse oplister Datatilsynet tre forslag til,
hvordan brugen af Googles produkter til skolebrug kan bringes inden for lovens
rammer.
Enten skal kommunerne selv afstå fra at videregive elevernes
personoplysninger til Google.
”Det vil sandsynligvis kræve, at Google udvikler
en teknisk mulighed for, at de pågældende datastrømme afskæres”, skriver
tilsynet.
Ellers skal Google afstå at behandle de problematiske data.
Og som en tredje mulighed nævnes, at Folketinget ændrer loven.
Dermed mener formanden for Danmarks It- og Medievejlederforening Hanne Voldborg Andersen ikke, kommunerne har mange muligheder for selv at gøre noget ved udfordringerne.
”Der
skal nogle centrale aktører på banen, og det burde der have været for længst. KL
er nødt til på vegne af de 53 kommuner at finde en løsning med Google. Og måske
skal den endda op på ministerielt eller EU-niveau”, siger hun.
Fire et halvt år undervejs
Chromebook-sagen startede i Helsingør Kommune i august 2019.
Jesper Graugaard opdagede, at hans søn havde en konto på Youtube i sit eget,
fulde navn, uden forældrene havde givet tilladelse.
Den var oprettet automatisk, fordi den dengang otte-årige søn
havde fået oprettet en Google-konto til skolebrug af Helsingør Kommune, der er
Google-kommune og har indkøbt Chromebooks til eleverne.
Han meldte kommunen til Datatilsynet, og siden er sagen
vokset til at omhandle 53 kommuner, som KL inden sommerferien indleverede et
samlet materiale til tilsynet på vegne af.
Jesper Graugaard glæder sig over, at der nu – fire et halvt
år efter sagen startede – endelig ligger en afgørelse. Men også han hæfter sig
med bekymring ved de tre løsningsforslag fra Datatilsynet.
”Det er ekstremt bekymrende, at de
skriver, at Folketinget kan tilvejebringe et tilstrækkeligt klart
retsgrundlag. Det er en åbning for, at man bare kan ændre loven og give
kommunerne lov til at fortsætte som hidtil”, siger han.
Heller ikke Jesper Graugaard kan se, at de tre
løsningsforslag efterlader kommunerne noget rum til selv at rette op på problemerne.
”Det er sødt af dig at ringe. Men lige
nu er det vigtigste at få at vide, hvad de relevante ministre og KL tænker om
det her. Ingen af dem har ville udtale sig om en verserende sag. Nu er den
afgjort. Så kan de godt svare”, siger han.
Kommunerne må til forhandlingsbordet
It-sikkerhedsspecialist i Datatilsynet Allan Frank
understreger, at de tre løsningsforslag ikke nødvendigvis er de eneste, der kan
lade sig gøre.
”Hvis kommunerne kan komme på andre, lytter vi meget gerne til det. Kommunerne måtte slet ikke gå i gang med at behandle data, før der var den klarhed om konsekvenserne, som hele det lange undersøgelsesforløb har givet. Men nu sidder vi jo med det valgte værktøj. Så må kommunerne finde en måde at gøre det lovligt på”, siger han.
Allan Frank påpeger, at kommunerne må gå i dialog med enten
Folketinget eller deres leverandør om, hvordan problemstillingerne kan løses.
”Som vi ser det, må lovgiverne enten tage stilling til, om
prisen for at have gode it-værktøjer i skolen er, at oplysninger bliver delt
med tredjepart. Ellers må man lukke ned for datastrømmen. Og endelig er en tredje mulighed, at Google kontraktuelt fraskriver sig at anvende data”, siger han.
”Men al dem stund, at det er kommunerne, der har kontrakten
og forhandlingsretten med Google, så er der flere af forslagene, der giver
kommunerne mulighed for selv at agere. De må tage en dialog med deres
leverandør”.
Så når kommunerne den 1. marts skal tilkendegive, hvordan
de vil efterleve påbuddet, så kan svaret lyde, at man har tænkt
sig at forhandle med Google?
”Ja. Alt efter hvilke af de tre scenarier man vælger, kan vi
jo også yde en bedre rådgivning om, hvad der mangler i forhold til det arbejde,
de allerede har lavet”.
Ikke kun et Google-problem
Hanne Voldborg Andersen mener dog ikke, det er en god
løsning, at hver kommune selv skal forhandle med leverandøren.
”Man er som jeg ser det nødt til at finde en national
løsning, i stedet for at 98 kæmper med opgaven hver for sig med forskellige
kompetencer”, siger hun.
Som hun læser afgørelsen, er der nemlig en stor
sandsynlighed for, at det ikke kun er Google-kommunerne, der skal i gang med at
de forhandlinger.
”Jeg kan godt undre mig over radiotavsheden fra de andre
kommuner. For de ting, der beskrives som problematiske ved Googles anvendelse
af data til forbedring og udvikling af produkter, er standard i de fleste større
it-systemer”, siger hun.
Allan Frank bekræfter, at der er tale om et generelt
problem.
”Vi har sendt afgørelsen til både retsudvalget og til udvalget
for digitalisering og it. Alle, der bruger it-services i dag, videregiver –
naturligvis alt efter produkt og kontrakt – oplysninger til en eller anden
tredjepart”, siger han.
”Hele sagen har vist, at før man har en fuldstændig
beskrivelse af, hvad der foregår inde i det produkt, man har valgt at købe, har
man ikke en jordisk chance for at vide, om man overholder GDPR. Hele forløbet
har affødt, at kommunerne har måttet lave betragtelige ændringer i deres brug af
it-produkter og deres kontrakter”.
”Afgørelsen siger, at man bør undersøge, om man har nogle af
de samme problemstillinger, også hvis man bruger andre produkter end Googles.
Det burde man faktisk have gjort, inden man tog produkterne i brug. Og det er
et generelt problem, at det er der ikke ret mange, der har”.
KL: Afgørelsen giver fortsat uvished
I KL vækker dagens afgørelse ærgrelse. Den efterlader nemlig
stadig kommunerne i uvished, skriver KL i en pressemeddelelse.
”Vi havde virkelig håbet, at der nu kom en endelig afgørelse
fra Datatilsynet. Så kommunerne, forældre og elever kunne føle sig trygge. Det
er desværre ikke lykkedes. Det er vi rigtig ærgerlige over. Ud fra den
sparsomme dialog vi har haft med Datatilsynet, havde vi regnet med, at
Datatilsynet ville være enige i vores fortolkning", siger kontorchef i KL Pia
Færch.
KL vil nu gå i forhandling med Google endnu engang samt med staten om, hvad der kan lade sig gøre, oplyses det i pressemeddelelsen. Påbuddet
betyder ikke, at kommunerne skal stoppe med brugen af Google Workspace, lyder
det fra KL's kontorchef:
”Datatilsynet har gjort det klart, at kommunerne kan bruge
Googles løsninger, mens der findes en endelig afklaring. KL genoptager nu
forhandlingerne med Google og går i dialog med ministeriet om de tre veje,
Datatilsynet har peget på, for at afklare, hvilke der er mulige og
hensigtsmæssige. Det er KL og kommunernes ønske, at der skal være tryghed om
børnenes anvendelse af digitale løsninger, og vi ser frem til at få dette på
plads.”
I en skriftlig kommentar til folkeskolen.dk/it understreger
Google Danmark, at man siden sommeren 2022 har arbejdet tæt sammen med
kommunerne for at løse tekniske og kontraktmæssige spørgsmål:
”Det er positivt, at Datatilsynet anerkender de tiltag, der
er taget - og også peger på en vej fremad. Vi vil nu nærstudere afgørelsen
grundigt og naturligvis fortsætte samarbejdet med kommunerne, KL og Kombit om
at løse de resterende udfordringer, sådan at lærere og elever kan fortsætte med
at bruge de digitale værktøjer, som er vigtige for undervisningen”.
