Toezichthouder vindt gebruik Google in strijd met privacywetgeving

20 juni 2023 - David Van Waeyenberghe

De Vlaamse toezichtcommissie voor de verwerking van persoonsgegevens (VTC) is bezorgd over het gebruik van Google for Education in het basis- en secundair onderwijs. De toezichthouder heeft dat standpunt overgemaakt aan Vlaams minister van Onderwijs Ben Weyts. De VTC verwacht actie van de minister en vraagt ook inspanningen van de scholen.

Nadat eerder de Nederlandse overheid de privacyregels van Google-diensten in vraag stelde, heeft ook de Vlaamse Toezichtcommissie vragen gesteld aan de techgigant. De reden hiervoor is heel simpel, veel Vlaamse scholen werken dagelijks met programma’s van Google for Education. In een standpunt aan minister Weyts verklaart de toezichtcommissie haar bezorgdheid. Volgens de commissie is er geen garantie voor privacy-veiligheid en zijn er al klachten van ouders.

advies

Eerder al publiceerde de Vlaamse toezichtcommissie richtlijnen waarin het onderwijsinstellingen adviseert bij de aankoop van educatieve software en diensten. Daarbij vragen ze met aandrang om rekening te houden met gegevensbescherming. De VTC raadde het gebruik van Google-diensten volgens de nota destijds af. Volgens de commissie krijgen andere leveranciers in de onderwijssector strengere privacyvoorwaarden opgelegd dan Google.

Het Vlaams departement Onderwijs en vorming en de verschillende onderwijskoepels zijn in gesprek met Google om gelijke voorwaarden af te dwingen zoals in Nederland. Voor de VTC zijn die voorwaarden essentieel om nog verder gebruik te kunnen maken van de diensten. Om die garanties te krijgen, heeft VTC een reeks (schriftelijke) vragen verstuurd naar Google. Die waren onder andere bedoeld als bijkomende informatie rond de Nederlandse voorwaarden.

Weinig transparantie

Volgens de commissie is er nog altijd een gebrek aan transparantie vanuit Google. De antwoorden van de techreus op de vragen gaven weinig inzicht in de toegevingen die het in Nederland heeft gedaan. Zo stelt Googlev dat het de klantgegevens niet gebruikt voor advertentiedoeleinden en dat het geen gegevens koppelt tussen Google Workspace-accounts en persoonlijke accounts. Google legt tegelijk de verantwoordelijkheid bij de scholen om maatregelen te nemen voor gegevensbescherming, al vindt de VTC dit antwoord onduidelijk en onpraktisch.

De commissie is bezorgd dat sommige scholen niet over de juiste kennis en middelen beschikken om zelf adequate gegevensbescherming te waarborgen. Er zijn geen garanties dat de oplossingen in Nederland voldoende zijn en er zijn geen vergelijkbare toezeggingen bekend voor het Vlaamse onderwijs. Het probleem van gegevensoverdracht naar de cloud (buiten de EU) is ook nog niet opgelost.

Eindstation 2024?

In het advies aan de minister formuleert voorzitter Hans Graux enkele aanbevelingen. Zo moeten scholen die Google slechts in enkele toepassingen gebruiken er zo snel mogelijk mee ophouden tenzij er voldoende veiligheidsmaatregelen zijn genomen. Scholen die Google structureel hebben ingebed in hun ICT-verhaal, moeten het gebruik ervan stoppen tegen 1 september 2024. Opnieuw tenzij er voldoende beschermingsmaatregelen zijn genomen.

De VTC stelt dat in tussentijd alle scholen die gebruik maken van Google moeten worden begeleid om tot een minimale impact te komen op gegevensbescherming. Daarvoor verwijst de VTC naar de technische handleiding van het Kenniscentrum Digisprong. Zolang er geen sluitende garanties zijn over databescherming conform de AVG vindt de commissie het overschakelen of nieuwe installaties niet toelaatbaar. Alternatieven kunnen worden aangereikt door de onderwijskoepels, met steun van het ministerie.