Kommunerne kan næppe selv løse Chromebook-udfordringen

Det vil sandsynligvis kræve, at Google indfører en ny teknisk løsning, hvis kommunerne brug af techgigantens produkter i folkeskolen skal leve op til GDPR, lyder det fra Datatilsynet.

Publiceret Senest opdateret

Når eleverne i den danske folkeskole bruger Google Workspace, bliver der indsamlet data, som Google bruger til at drifte og udvikle softwaren.

Data må gerne bruges til at forbedre tjenestens sikkerhed og pålidelighed. Men når den bruges til at vedligeholde og forbedre Googles produkter, er det ulovligt.

Sådan lyder det i den længe ventede afgørelse fra Datatilsynet i den såkaldte Chromebook-sag. Tilsynet giver 53 kommuner påbud om at bringe brugen af Google Workspace i deres folkeskoler inden for rammerne af loven.

Det skal ske inden 1. august, og allerede den 1. marts skal der foreligge en plan for, hvilke tiltag kommunerne har tænkt sig at lave. Der er bare ét problem. Kommunerne kan sandsynligvis ikke selv gøre noget ved problemerne.

I sin afgørelse oplister Datatilsynet tre forslag til, hvordan brugen af Googles produkter til skolebrug kan bringes inden for lovens rammer.

Enten skal kommunerne selv afstå fra at videregive elevernes personoplysninger til Google. 

”Det vil sandsynligvis kræve, at Google udvikler en teknisk mulighed for, at de pågældende datastrømme afskæres”, skriver tilsynet.

Ellers skal Google afstå at behandle de problematiske data. Og som en tredje mulighed nævnes, at Folketinget ændrer loven.

Dermed mener formanden for Danmarks It- og Medievejlederforening Hanne Voldborg Andersen ikke, kommunerne har mange muligheder for selv at gøre noget ved udfordringerne.

”Der skal nogle centrale aktører på banen, og det burde der have været for længst. KL er nødt til på vegne af de 53 kommuner at finde en løsning med Google. Og måske skal den endda op på ministerielt eller EU-niveau”, siger hun.

Fire et halvt år undervejs

Chromebook-sagen startede i Helsingør Kommune i august 2019. Jesper Graugaard opdagede, at hans søn havde en konto på Youtube i sit eget, fulde navn, uden forældrene havde givet tilladelse.

Den var oprettet automatisk, fordi den dengang otte-årige søn havde fået oprettet en Google-konto til skolebrug af Helsingør Kommune, der er Google-kommune og har indkøbt Chromebooks til eleverne.

Han meldte kommunen til Datatilsynet, og siden er sagen vokset til at omhandle 53 kommuner, som KL inden sommerferien indleverede et samlet materiale til tilsynet på vegne af.

Jesper Graugaard glæder sig over, at der nu – fire et halvt år efter sagen startede –  endelig ligger en afgørelse. Men også han hæfter sig med bekymring ved de tre løsningsforslag fra Datatilsynet.

”Det er ekstremt bekymrende, at de skriver, at Folketinget kan tilvejebringe et tilstrækkeligt klart retsgrundlag. Det er en åbning for, at man bare kan ændre loven og give kommunerne lov til at fortsætte som hidtil”, siger han.

Heller ikke Jesper Graugaard kan se, at de tre løsningsforslag efterlader kommunerne noget rum til selv at rette op på problemerne.

”Det er sødt af dig at ringe. Men lige nu er det vigtigste at få at vide, hvad de relevante ministre og KL tænker om det her. Ingen af dem har ville udtale sig om en verserende sag. Nu er den afgjort. Så kan de godt svare”, siger han.

Kommunerne må til forhandlingsbordet

It-sikkerhedsspecialist i Datatilsynet Allan Frank understreger, at de tre løsningsforslag ikke nødvendigvis er de eneste, der kan lade sig gøre.

”Hvis kommunerne kan komme på andre, lytter vi meget gerne til det. Kommunerne måtte slet ikke gå i gang med at behandle data, før der var den klarhed om konsekvenserne, som hele det lange undersøgelsesforløb har givet. Men nu sidder vi jo med det valgte værktøj. Så må kommunerne finde en måde at gøre det lovligt på”, siger han.

Allan Frank påpeger, at kommunerne må gå i dialog med enten Folketinget eller deres leverandør om, hvordan problemstillingerne kan løses. 

”Som vi ser det, må lovgiverne enten tage stilling til, om prisen for at have gode it-værktøjer i skolen er, at oplysninger bliver delt med tredjepart. Ellers må man lukke ned for datastrømmen. Og endelig er en tredje mulighed, at Google kontraktuelt fraskriver sig at anvende data”, siger han.

”Men al dem stund, at det er kommunerne, der har kontrakten og forhandlingsretten med Google, så er der flere af forslagene, der giver kommunerne mulighed for selv at agere. De må tage en dialog med deres leverandør”.

Så når kommunerne den 1. marts skal tilkendegive, hvordan de vil efterleve påbuddet, så kan svaret lyde, at man har tænkt sig at forhandle med Google?

”Ja. Alt efter hvilke af de tre scenarier man vælger, kan vi jo også yde en bedre rådgivning om, hvad der mangler i forhold til det arbejde, de allerede har lavet”.

Ikke kun et Google-problem

Hanne Voldborg Andersen mener dog ikke, det er en god løsning, at hver kommune selv skal forhandle med leverandøren.

”Man er som jeg ser det nødt til at finde en national løsning, i stedet for at 98 kæmper med opgaven hver for sig med forskellige kompetencer”, siger hun.

Som hun læser afgørelsen, er der nemlig en stor sandsynlighed for, at det ikke kun er Google-kommunerne, der skal i gang med at de forhandlinger.

”Jeg kan godt undre mig over radiotavsheden fra de andre kommuner. For de ting, der beskrives som problematiske ved Googles anvendelse af data til forbedring og udvikling af produkter, er standard i de fleste større it-systemer”, siger hun.

Allan Frank bekræfter, at der er tale om et generelt problem.

”Vi har sendt afgørelsen til både retsudvalget og til udvalget for digitalisering og it. Alle, der bruger it-services i dag, videregiver – naturligvis alt efter produkt og kontrakt – oplysninger til en eller anden tredjepart”, siger han.

”Hele sagen har vist, at før man har en fuldstændig beskrivelse af, hvad der foregår inde i det produkt, man har valgt at købe, har man ikke en jordisk chance for at vide, om man overholder GDPR. Hele forløbet har affødt, at kommunerne har måttet lave betragtelige ændringer i deres brug af it-produkter og deres kontrakter”.

”Afgørelsen siger, at man bør undersøge, om man har nogle af de samme problemstillinger, også hvis man bruger andre produkter end Googles. Det burde man faktisk have gjort, inden man tog produkterne i brug. Og det er et generelt problem, at det er der ikke ret mange, der har”.

KL: Afgørelsen giver fortsat uvished

I KL vækker dagens afgørelse ærgrelse. Den efterlader nemlig stadig kommunerne i uvished, skriver KL i en pressemeddelelse.

”Vi havde virkelig håbet, at der nu kom en endelig afgørelse fra Datatilsynet. Så kommunerne, forældre og elever kunne føle sig trygge. Det er desværre ikke lykkedes. Det er vi rigtig ærgerlige over. Ud fra den sparsomme dialog vi har haft med Datatilsynet, havde vi regnet med, at Datatilsynet ville være enige i vores fortolkning", siger kontorchef i KL Pia Færch.

KL vil nu gå i forhandling med Google endnu engang samt med staten om, hvad der kan lade sig gøre, oplyses det i pressemeddelelsen. Påbuddet betyder ikke, at kommunerne skal stoppe med brugen af Google Workspace, lyder det fra KL's kontorchef:

”Datatilsynet har gjort det klart, at kommunerne kan bruge Googles løsninger, mens der findes en endelig afklaring. KL genoptager nu forhandlingerne med Google og går i dialog med ministeriet om de tre veje, Datatilsynet har peget på, for at afklare, hvilke der er mulige og hensigtsmæssige. Det er KL og kommunernes ønske, at der skal være tryghed om børnenes anvendelse af digitale løsninger, og vi ser frem til at få dette på plads.”

I en skriftlig kommentar til folkeskolen.dk/it understreger Google Danmark, at man siden sommeren 2022 har arbejdet tæt sammen med kommunerne for at løse tekniske og kontraktmæssige spørgsmål:

”Det er positivt, at Datatilsynet anerkender de tiltag, der er taget - og også peger på en vej fremad. Vi vil nu nærstudere afgørelsen grundigt og naturligvis fortsætte samarbejdet med kommunerne, KL og Kombit om at løse de resterende udfordringer, sådan at lærere og elever kan fortsætte med at bruge de digitale værktøjer, som er vigtige for undervisningen”.

Powered by Labrador CMS