Datatilsynet har over for en kommune i en ny afgørelse udtalt, at databeskyttelsesreglerne ikke var overholdt.
Konkret havde kommunen udleveret Google Chromebooks til kommunens skoleelever til brug for undervisning i kommunens folkeskoler samt oprettet adgang til Google G-suite for education, hvortil der skal anvendes en Google konto, og hvor elevernes fulde navn blev anvendt.
Elevens oplysninger blev i øvrigt automatisk videregivet til andre Google platforme (fx YouTube) – en videregivelse og behandling af data, som kommunen ikke havde forholdt sig til. Ligesom kommunen ikke havde overvejet at anvende anonymiserede brugernavne samt sikre elevernes loginoplysninger tilstrækkeligt.
Kommunen fik derfor alvorlig kritik for at have sat elevernes rettigheder på spil, fx at elevernes personoplysninger kunne blive anvendt til markedsføring eller profilering af ydelser, der ikke er i henhold til skoleformål.
Datatilsynet gav kommunen påbud om at sikre sig at behandling af personoplysninger skete i henhold til persondatareglerne, og det kunne kommunen blandt andet gøre ved at vurdere samt skriftlig dokumentere, at de havde overvejet de forskellige risici. Ligesom kommunen som omtalt kunne have anvendt anonymiserede brugernavne ved oprettelse af konti.
Det er vores vurdering, at afgørelsen ikke i sig selv fortæller, at Datatilsynet nedlægger forbud mod at anvende Google Chromebook eller G-suite, men at skolerne skal forholde sig til, hvad deres formål er med at anvende dem, hvordan de beskytter elevernes rettigheder samt skriftlig dokumentere overvejelserne.
Det er også vigtigt at skolen overvejer anonymiserede konti og på alle måder sikrer at så få persondata som muligt udleveres til de pågældende platforme. Såfremt skolen ønsker at anvende udstyret og systemerne uanset, at elevernes persondata bliver videredelt til Googles platforme, så kan dette ikke umiddelbart ske uden forældrenes viden og samtykke.
Sidst er det også vigtigt at huske, at når der er tale om en databehandler (Google) skal der også foreligge en databehandleraftale mellem behandleren og skolen, når skolen vælger at videregive sin data om eleverne til den pågældende databehandler.
Datatilsynets nyhed samt afgørelse kan læses i sin fulde længde HER.
