Krever endringer hos Google eller i loven: Mener barnas Chromebook-bruk på skolen er ulovlig

Danske barn satt uten PC ved skolestart i 2022, etter at det danske Datatilsynet la ned forbud mot behandling av personopplysninger ved hjelp av Google Chromebooks og Workspace for Education i Helsingør kommune.

Lange utredninger fulgte, og saken fikk stor oppmerksomhet i danske medier. Nå har det danske datatilsynet kommet med et endelig vedtak i saken.

− I saken om bruk av Google Workspace i barneskoler vurderer Datatilsynet at det ikke er hjemmel for overføring av personopplysninger til Google til alle de formål som det overføres til i dag, heter det i vedtaket.

Det norske Datatilsynet har fulgt saken med interesse, og sier til Digi at de nå vil bruke tid på å sette seg inn i avgjørelsen.

Mer enn halvparten av danske kommuner bruker Googles løsninger. Skolene har syv måneder på å innrette seg. Det er ikke nødvendigvis helt rett frem.

Krever endringer hos Google, eller lovendring

Kommunene har hjemmel til å dele opplysninger om elevene videre for å få levert tjenestene og forbedre sikkerheten til tjenestene. De har likevel ikke hjemmel til å utlevere opplysninger om elevene til Google for at selskapet skal kunne forbedre sine tjenester eller utvikle nye funksjoner og tjenester.

Å innrette seg etter denne presiseringen kan by på problemer.

− IT-tjenester fungerer ofte slik at overføring av personopplysninger er innebygget i produktet og at viderebruk av informasjonen er en forutsetning for å fullt utbytte av produktets funksjonalitet, sier Allan Frank, IT-sikkerhetsspesialist og jurist i det danske datatilsynet, ifølge en pressemelding.

Det er likevel ingen unnskyldning, mener han:

− Verken funksjonaliteten til løsningene, leverandørens markedsposisjon, den standardiserte strukturen eller at man ved bruk av et standardprodukt kan forsvare å ikke følge reglene som det er bestemt fra politisk hold at vi må ha i Europa.

Datatilsynets påbud om å innrette seg kan for eksempel skje gjennom at kommunene ikke lenger overfører persondata til de ulovlige formålene.

− Det vil sannsynligvis kreve at Google utvikler en teknisk mulighet for at de relevante datastrømmene skjermes, skriver datatilsynet.

Alternativet er enten at Google selv avstår fra å behandle persondata til gitte formål, eller at danske myndigheter endrer lovene slik at kommunene får hjemmel til å dele persondata med Google for forbedring av deres tjenester.

Så gjenstår det å se om det er Folketinget eller Google som må tilpasse seg.

Samme problemstilling i Norge

Også Norge har hatt en digital omveltning av grunnskoleundervisningen, skriver juridisk rådgiver i det norske Datatilsynet, Kristin Skolt, i en e-post til Digi.

− Vi erfarer også at stadig flere kommuner velger å ta i bruk Google sine skyløsninger i skolen. I den forbindelse, reiser det seg, naturlig nok, en rekke nye spørsmål angående ansvarsforhold og roller, lovligheten av tjenestene, informasjonssikkerhet og hvilket formål personopplysningene til elevene behandles for, sier Skolt.

Skolene må forholde seg til omfattende avtalevilkår, og det er ikke enkelt å stille krav til en kjempe som Google.

Skolt anbefaler at kommuner bruker Datatilsynets egne veileder for bruk av Google-tjenester til undervisning. Sammen med KS har også bergen kommune satt i gang et prosjekt om personvernkonsekvenser av Google produkter i skolen. Derfra kommer også nyttige verktøy, mener hun.