Eksperter: Kommuners nye argumenter i Chromebook-sag er på kant med Folkeskoleloven

52 danske kommuner lever i uvished. Datatilsynet skal afgøre om deres brug af Google Workspace for Education og techselskabets Chromebooks i skolerne er i overensstemmelse med dansk forvaltningslov og persondataforordningen GPDR.

Radar har fået aktindsigt i det notat, som Kommunernes Landsforening (KL) har indsendt 23. januar 2023 på vegne af berørte kommuner, efter at fristen til at forsyne Datatilsynet med tilstrækkelige argumenter flere gange var blevet forlænget. Og notatet overbeviser ikke flere eksperter, som Radar har vist aktindsigten.

Ayo Næsborg-Andersen, lektor med speciale i persondata og forvaltningsret ved Syddansk Universitet, peger på, at der mangler hjemmel i Folkeskoleloven til at benytte danske elevers persondata til at udvikle Googles produkter, som det fremgår af dokumentationen fra KL.

– Man skal ikke produktudvikle på børns persondata. Der hvor man tvinger børn ind i et it-system gennem det offentlige, der har myndighederne en særlig forpligtelse til at beskytte børnenes data, siger hun.

KL: Google har brug for data

I papirerne til Datatilsynet skriver KL og kommunerne, at Google har oplyst, at persondata i Google Workspace, ChromeOS og Chrome Browser bruges til ‘vedligeholde, forbedre og udvikle’ primært de enkelte Google-produkter, hvor dataen er indsamlet. Og dette sker overvejende i enten pseudonymiseret eller aggregeret tilstand – hvilket vil sige varierende niveauer af sløring og anonymisering.

Kommunerne argumenterer, at persondataen er nødvendig for at få Googles produkter, og derfor må man acceptere, at børnenes oplysninger benyttes i et vist omfang. Men den køber Ayo Næsborg-Andersen ikke.

– Der, hvor kæden hopper af, er i forhold til videreudvikling. Google bruger danske skoleelevers data til at udvikle produkter til hele verden. Det er på ingen måde meningen med Folkeskoleloven og det er der ikke hjemmel til. Jeg mener ikke, at KL kan argumentere med, at markedet er sådan, at brugerne ofte betaler med deres data for at fået et produkt, siger Ayo Næsborg og tilføjer:

– Så skal Folkeskoleloven laves om. Det kræver en politisk blåstempling fra Folketinget. Det er ikke embedsmænds opgave at sige, at Folkeskoleloven har hjemmel til den her konstruktion. Og den politiske blåstempling er nødt til at komme efter en behørig debat om vægtningen af beskyttelsen af børnenes data.

GDPR-problemer

I dokumenterne til Datatilsynet opdeler KL ansvaret som dataansvarlig mellem kommunerne og Google. Det er en bevægelse i forhold til tidligere dokumentation, som der er sendt til datamyndigheden.

Såfremt at Datatilsynet lader sig overbevise om, at modellen med Google Workspace og Chromebooks er i overensstemmelse med Folkeskoleloven, så løber kommunerne stadig ind i store problemer med GDPR, vurderer Mette Nikander, som har arbejdet med cybersikkerhed i over 30 år og er senior it-sikkerhedsrådgiver hos Nixu a/s.

– Jeg er ikke jurist, men uanset om KL og Google argumenterer med, at indsamlingen af denne personlige data hænger uløseligt sammen med produktet, så bør det her principielt ikke kunne tillades jævnfør de afgørelser, som er kommet efter Schrems II, siger hun og tilføjer:

– Hvis Google ser sig selv som dataansvarlig, fordi de i nogen grad skal bruge borgernes personlige data, så skal de jo i princippet have borgerens samtykke, som også skal kunne trækkes tilbage m.v. Uanset hvad, så vil amerikansk lov altid overrule de garantier, som Google og KL kommer med. Garantier der egentlig kun rangerer som hensigtserklæringer. De amerikanske efterretningstjenester vil kunne kræve adgang og ret til indsigt.

Dele af aktindsigten, som Radar har fået, er streget over blandt andet af konkurrencehensyn efter Googles ønske, og der er desuden udeladt en række bilag.

Er data afgørende for at bruge produktet?

Juraprofessor Jan Trzaskowski fra Copenhagen Busines School hæfter sig ved, at der i kommunernes notat om Googles tjenester henvises til brede formål som at “vedligeholde og forbedre services” samt, at tjenester skal “fungere optimalt”, give en “god oplevelse” og give “yderligere værdi”.

– Man må naturligvis være nysgerrig på, hvorvidt tjenesterne reelt kan bruges uden denne behandling af personoplysninger. KL har vurderet, at videregivelsen er en nødvendig og integreret del – som Google selv formulerer det. Der lægges vægt på, at det er sædvanlig branchepraksis, hvilket givetvis er retvisende, men ikke i sig selv et argument for, at behandlingen af personoplysninger er lovlig, siger han og tilføjer:

– Som KL nævner, er retspraksis ikke klar på området, og det er i sidste ende domstolene, der er den dømmende magt. Det er dog lidt pudsigt, at der skrives, at overdragelse af personoplysninger til Googles egne formål kan være nødvendigt for at kunne sikre undervisning i folkeskolen.

KL: Køber forventer det

I den data som kommunerne ved brugen af Googles produkter videregiver til Google er blandt andet elevernes navn, adresse, email-adresser, ip-adresser, lokationsdata, kodeord, device-id, gemt brugerdata og metadata, bogmærker, filer skabt af brugeren, sendte beskeder mm.

“Google oplyser, at for at gøre det muligt for Google at levere yderligere værdi til deres kunder og brugere samt opfylde de forpligtelser, som Google har som dataansvarlig behandler Google nedenstående (…) kategorier af personoplysninger ved kommunernes brug af Google Workspace. Behandlingerne til downstream purposes (andre formål, red.) sker med respekt for — og dermed inden for rammerne af — kundernes og brugernes anvendelse af de relevante tjenester“, skriver KL blandt andet i forhold til brugen af Googles læringsplatform.

Det gennemgående argument for Googles brug af elevernes data er, at efter KL’s  vurdering er, der tale om “behandlinger, man som køber af tjenesten forventer sker som en integreret del af leveringen af tjenesten”.

Radar har rettet henvendelse til Google for at få et svar på kritikken fra juridiske eksperter, men selskabet har ikke haft mulighed for at svare inden deadline. Radar har også kontaktet Datatilsynet for en kommentar. Her lyder meldingen, at man ikke kommenterer på verserende sager.

– Vi tager dialogen med dataansvarlige og forventer at være færdige med behandlingen i løbet af foråret. Men det kan godt være, at de bliver nødt til at indsende yderligere dokumentation, siger Allan Frank, it-sikkerhedsspecialist i Datatilsynet.

Radar forsøger at indhente yderligere kommentar fra KL.