Google ontwikkelt een andere versie van haar besturingssysteem voor Chromebooks. Deze variant komt tegemoet aan de privacyzorgen van de onderwijswereld. Voortaan mag Google de data die het via ChromeOS verzamelt alleen nog gebruiken om haar diensten te onderhouden, bedreigingen aan te pakken en updates te ontwikkelen. Privacy Company heeft de details van de afspraken in een weblog uiteengezet.
De discussie over mogelijke privacyschendingen door Google Workspace lopen al enige tijd. In maart schreven demissionair minister van Onderwijs, Cultuur en Wetenschap Ingrid van Engelshoven en minister van Basis- en Voortgezet Onderwijs en Media Arie Slob schreven in een brief aan de Tweede Kamer dat er privacyrisico’s kleven aan Google Workspace. Scholen hadden ‘geen of onvoldoende grip’ op de verwerking van metadata, zo bleek uit een Data Protection Impact Assessment (DPIA).
Het kabinet besloot om de Autoriteit Persoonsgegevens te vragen hoe Google Workspace zonder privacyrisico’s voor leerlingen, studenten en docenten gebruikt kon worden. De toezichthouder publiceerde in juni met twee kritische rapporten die antwoord gaven op deze prangende vraag. Ze maakte zich zorgen over de e-mail en clouddiensten van Google. Onderwijsinstellingen weten niet hoe en waar persoonlijke gegevens over leerlingen worden verwerkt, voor welk doel dit gebeurt en op welke grondslag deze verwerking plaatsvindt.
De Autoriteit Persoonsgegevens adviseerde onderwijsinstellingen om voorlopig te stoppen met Google Workspace. De toezichthouder concludeerde dat er ‘fundamentele vragen’ zijn over privacybescherming en verwerking van persoonsgegevens waar eerst een antwoord op geformuleerd moet worden. Pas daarna kan ze een uitspraak doen over Google voldoet aan de Algemene Verordening Gegevensbescherming (AVG).
Diverse instanties in de onderwijswereld gaven aan dat ze Google Workspace voorlopig niet aan de kant zouden schuiven. Ze overwogen echter wel om niet langer gebruik te maken van Googles diensten als de zoekmachinegigant de zorgen over privacyrisico’s niet op korte termijn zou wegnemen.
Na weken van intensief discussiëren maakten de onderwijskoepels SURF en SIVON bekend dat er afspraken waren gemaakt met Google die ‘in voldoende mate invulling geven aan de bescherming van persoonsgegevens conform de AVG’. Naar eigen zeggen was er overeenstemming bereikt over ‘een uitgebreide set contractuele, organisatorische en technische maatregelen’. Daarmee werden alle hoge privacyrisico’s aangepakt.
Details over de afspraken tussen de onderwijsinstanties en Google waren nog niet kenbaar gemaakt. Privacy Company deed dat dinsdag in een uitgebreide weblog. De belangrijkste wijziging is dat Google niet langer als gegevensverantwoordelijke optreedt, maar fungeert als gegevensverwerker.
Dat is een grote aanpassing, omdat hiermee paal en perk wordt gesteld in wat Google allemaal met de verzamelde metadata mag doen. Onder de oude voorwaarden gebruikte de zoekreus deze informatie voor commerciële doeleinden, waaronder het tonen van advertenties. Doordat Google voortaan optreedt als gegevensverwerker, mag het metadata enkel nog gebruiken om haar diensten te onderhouden, bedreigingen aan te pakken en updates te ontwikkelen.
Om aan deze afspraken tegemoet te komen, ontwikkelt Google momenteel een zogenaamde verwerkers-versie van haar besturingssysteem ChromeOS en webbrowser Chrome. Privacy Company stelt dat dit ‘een belangrijke toezegging’ is, omdat veel (basis)scholen in Nederland gebruikmaken van Chromebooks. Wanneer deze alternatieve versie klaar is, is onbekend. Tot die tijd zullen onderwijsinstellingen zelf maatregelen moeten treffen om Chrome op een veilige en verantwoorde manier te gebruiken.
Wat voorlopig niet verandert is dat Google gegevensverantwoordelijke blijft voor diensten die zij ‘Additional Services’ noemt. Dan moet je denken aan zaken als YouTube, Search, Foto’s en Maps. Kinderen die de zoekfunctie van Google gebruiken, worden automatisch uitgelogd van hun Google Workspace for Education account. Zo kunnen zoekopdrachten niet aan hen gekoppeld worden. Google kan deze gegevens dan niet gebruiken voor gepersonaliseerde advertenties, zo stelt Privacy Company.
Tot slot heeft Google toegezegd transparanter te zullen worden. Het internetbedrijf gaat ‘aanzienlijk meer’ documentatie publiceren over de soorten persoonsgegevens die het verzamelt over het individuele gebruik van zijn diensten. Verder komt er een gegevensinspectietool voor systeembeheerders. Daarmee zien ze in een oogopslag welke data Google verzamelt.
