Google voert ingrijpende privacyverbeteringen door voor onderwijs in Nederland

Het onderwijs in Nederland mag gebruik blijven maken van Google diensten. Dat is de uitkomst van een intensief onderhandelingstraject met Google. De Autoriteit Persoonsgegevens had de scholen en universiteiten gewaarschuwd om vóór het begin van het nieuwe schooljaar te stoppen met het gebruik van Google Workspace for Education, een pakket online diensten dat vergelijkbaar is met Microsoft Office. Meer dan de helft van de Nederlandse lagere scholen, 1/3e van de scholen voor voortgezet onderwijs en een aantal faculteiten van de hogescholen en universiteiten maakt gebruik van Workspace for Education. Maar dat ging wel ten koste van de privacy van leerlingen, studenten en onderwijzers.

Na intensieve onderhandelingen met SURF en SIVON, twee onderwijscoöperaties die de inkoop van ICT begeleiden, heeft Google een waslijst aan maatregelen toegezegd om de 8 hoge AVG privacyrisico’s te verlagen. Google wordt, net als Microsoft, verwerker voor de Diagnostische Gegevens. Dat wil zeggen dat Google deze gegevens over in het individuele gebruik van de diensten alleen nog maar voor de doelen mag verwerken die door de scholen zijn goedgekeurd. Dat zijn er drie, namelijk het leveren, beveiligen en up to date houden van de diensten. Google mag de gegevens van de scholieren en studenten dus niet verwerken voor reclame, marketing, profiling of big data analyses. Google gaat voor zakelijke en educatieve klanten ook een verwerkersversie ontwikkelen van de Chromebooks en de Chrome browser.

Alle maatregelen zijn beschreven in het (Engelstalige) Update DPIA rapport, geschreven door Privacy Company. Privacy Company heeft ook een blog gepubliceerd (in het Engels en in het Nederlands) met een samenvatting van de onderhandelingsresultaten, en een handige checklist met maatregelen voor systeembeheerders.

Achtergrond: DPIA in 2020

Privacy Company heeft in juni 2020 een DPIA opgeleverd (Data Protection Impact Assessment, Gegevensbeschermingseffectbeoordeling) op Google Workspace for Education op verzoek van twee universiteiten. Deze DPIA is bijgewerkt in maart 2021 na een eerste onderhandelingsronde met Google. Deze onderhandelingen leidden slechts tot het mitigeren van 2 van de 10 geïdentificeerde hoge risico’s. Vanwege de resterende hoge risico’s hebben SURF en SIVON advies gevraagd aan de AP. Privacy Company heeft een blogpost geschreven over dit onderwerp: Onderzoek Google Workspace (G Suite) Enterprise: Rijk vraagt advies Autoriteit Persoonsgegevens over hoge privacyrisico’s.

De AP adviseerde de scholen en de twee ministers van Onderwijs om een aantal maatregelen te nemen, waaronder een beoordeling van de specifieke risico’s voor kinderen. Deze groep betrokkenen maakte geen deel uit van de oorspronkelijke DPIA (voor de twee universiteiten). Het Update DPIA rapport bevat een aparte analyse van de risico’s voor drie leeftijdsgroepen van kinderen (leeftijd 6-9, 9-12 en 13-16), en beschrijft hoe scholen en universiteiten de resterende risico’s kunnen mitigeren.

SURF en SIVON hebben handleidingen en vragen en antwoorden gepubliceerd voor de scholen en universiteiten. Zie:

https://www.surf.nl/nieuws/ondersteuningspakket-google-workspace-for-education

https://www.sivon.nl/actueel/veelgestelde-vragen-dpia-google-en-het-ap-advies-over-google-workspace/