Na enkele weken van intensieven gesprekken tussen SURF en SIVON enerzijds en Google anderzijds, hebben de partijen afspraken gemaakt over het verminderen van privacyrisico’s van Google Workspace. Organisatorische en technische maatregelen zijn in een contract vastgelegd. De komende twee weken gaan de onderwijsinstanties de details nader uitwerken. Belangrijkste is dat de samenwerking met Google blijft. Dat schrijven SURF en SIVON in een gezamenlijke persverklaring.
Voor het begin van deze kwestie moeten we terug naar afgelopen maart. Demissionair minister van Onderwijs, Cultuur en Wetenschap Ingrid van Engelshoven en minister van Basis- en Voortgezet Onderwijs en Media Arie Slob schreven in een brief aan de Tweede Kamer dat er privacyrisico’s kleven aan Google Workspace (dat destijds nog Google G Suit for Education heette).
Uit een Data Protection Impact Assessment (DPIA) bleek dat onderwijsinstellingen ‘geen of onvoldoende grip’ hebben op de verwerking van metadata. Metadata is informatie over hoe een gebruiker een programma gebruikt. Het zegt iets over wanneer iemand inlogt, hoelang iemand blijft ingelogd, op welk type apparaat, met welke instellingen, welke programma’s hij gebruikt, welke zoekopdrachten hij uitvoert, en ga zo maar door.
Het kabinet besloot om de Autoriteit Persoonsgegevens om advies te vragen. De toezichthouder moest antwoord geven op de vraag hoe Google Workspace veilig en verantwoord gebruikt kan worden, zonder privacyrisico’s voor leerlingen, studenten en docenten. De privacywaakhond kwam in juni met twee kritische rapporten. Ze maakte zich zorgen over de e-mail en clouddiensten van Google. Onderwijsinstellingen weten niet hoe en waar persoonlijke gegevens over leerlingen worden verwerkt, voor welk doel dit gebeurt en op welke grondslag deze verwerking plaatsvindt.
De Autoriteit Persoonsgegevens adviseerde onderwijsinstellingen om voorlopig te stoppen met Google Workspace. De toezichthouder concludeerde dat er ‘fundamentele vragen’ zijn over privacybescherming en verwerking van persoonsgegevens waar eerst een antwoord op geformuleerd moet worden. Pas daarna kan ze een uitspraak doen over Google voldoet aan de Algemene Verordening Gegevensbescherming (AVG).
Diverse organisaties in de onderwijswereld zeiden dat ze voorlopig gebruik blijven maken van Google Workspace. Als Google echter de zorgen omtrent privacyrisico’s niet wegneemt, dan trekt de onderwijssector mogelijk per 1 augustus de stekker uit de diensten van het Amerikaanse technologiebedrijf. De PO-Raad deed een dringend beroep op de ‘maatschappelijke verantwoordelijkheid van Google om de privacy van leerlingen en studenten goed te waarborgen’. Het kabinet gaat er vooralsnog van uit dat er voor het begin van het nieuwe schooljaar een oplossing is die meer duidelijkheid schept over de verwerking van persoonsgegevens van leerlingen en leraren.
Na enkele weken koortsachtig overleg zijn er afspraken gemaakt tussen SURF en SIVON aan de ene kant, en Google aan de andere kant. In een gezamenlijk persbericht schrijven de onderwijskoepel voor het primair en voortgezet onderwijs en de ICT-dienstverlener voor het onderwijs dat ze afspraken hebben gemaakt met Google die ‘in voldoende mate invulling geven aan de bescherming van persoonsgegevens conform de AVG’.
SURF en SIVON hebben naar eigen zeggen overeenstemming bereikt over ‘een uitgebreide set contractuele, organisatorische en technische maatregelen’. Daarmee worden alle hoge privacyrisico’s aangepakt. Details over de afspraken geven de instanties niet, maar ze beloven dat Google maatregelen heeft geïmplementeerd die de grootste privacyzorgen wegnemen. Om die reden blijven SURF en SIVON samenwerken met Google.
Daarmee is de kous nog niet af. SURF, SIVON en Google houden de dialoog gaande om te spreken over privacykwesties. De komende twee weken gaan de partijen verder met elkaar in gesprek om ‘de onderhandelingsresultaten te verfijnen en overeenstemming te bereiken over de manier waarop bestaande contracten worden aangepast of gemigreerd naar de nieuwe afspraken’. Het streven is om deze gesprekken uiterlijk woensdag 21 juli af te ronden. SURF en SIVON hebben dan nog voldoende tijd om onderwijsinstellingen voor het begin van het nieuwe schooljaar in te lichten over hoe ze ervoor kunnen zorgen dat deze wijzigingen op hun contracten van toepassing zijn.
Tot slot melden SURF en SIVON dat er momenteel gegevensbeschermingseffectbeoordelingen worden uitgevoerd op Googles webbrowser Chrome en het besturingssysteem Chrome OS. De uitkomsten van deze onderzoeken worden op dezelfde manier besproken met Google als bij Google Workspace.
