Direkte til sidens indhold

Eksperter undrer sig over Helsingør i Chromebook-sag: De har misforstået konsekvensanalyse

Helsingørs konsekvensanalyse skulle være løsningen på problemerne med Google Chromebooks, men eksperter vurderer, at den ikke bliver accepteret af Datatilsynet. 

Wikimedia commons / The Pancake of Heaven!

Det giver panderynker, når en række eksperter inden for databeskyttelse ser Helsingør Kommunes svar på problemerne med Googles Chromebooks. For kommunens løsning er langt fra nok til at få computerne tilbage på skolerne, når Datatilsynet forventes at komme med deres afgørelse torsdag.

Sådan lyder vurderingen fra en række eksperter, som Radar har talt med.

For kommunens konsekvensanalyse, som er blevet afleveret til Datatilsynet 1. august, er på ingen måder fyldestgørende nok, når det kommer til at kortlægge og nedbringe risikoen ved fortsat at bruge Chromebooks.

– Jeg er sikker på, at den ikke bliver godtaget af Datatilsynet, siger Pia Tesdorf, der er databeskyttelsesrådgiver og foredragsholder.

Radar har forelagt den 35 siders lange konsekvensanalyse, som vi har fået aktindsigt i, til en række eksperter og databeskyttelsesrådgivere. Flere af dem har udtalt sig til baggrund, da de i kraft af deres arbejde ikke ønsker at blive hvirvlet ind i den konflikt, der udspiller sig mellem Helsingør og Datatilsynet.

Ingen af de eksperter, der har set konsekvensanalysen, forventer, at den vil give grønt lys fra Datatilsynet. Ayo Næsborg-Andersen, der er jurist og forsker i persondataret ved Syddansk Universtet, undrer sig over, at kommunen ikke forholder sig til overførsler til tredjelande.

– De har været ude og hente dokumentation på, at det Google siger er rigtigt, og at vi må stole på det. Men det er meget fascinerende, at de samtidig siger, at de ikke kan gøre noget ved overførsler til tredjelande. Det skulle være underligt, hvis de kan komme uden om det, siger Ayo Næsborg Andersen.

Nederst kan du hente eller læse hele konsekvensanalysen👇

Skrevet som et svar

Noget af det første, rent formalistiske, der springer i øjnene, er, at konsekvensanalysen er skrevet som et svar til Datatilsynet. Men det er en mærkelig tilgang ifølge en databeskyttelsesrådgiver, der ønsker at være anonym.

– Det er som om, at Helsingør har misforstået, hvad en konsekvensanalyse er, fortæller han.

En konsekvensanalyse er et obligatorisk dokument, der skal kunne stå alene, når en risikoanalyse har vist, at der er høj risiko.

Efter at have læst konsekvensanalysen kan Pia Tesdorf ikke se, at kommunen har analyseret eller begrænset de risici, der er beskrevet før og efter 2021.

– De problemer gælder stadig, siger Pia Tesdorf.

De høje risici relaterer sig ifølge eksperterne til manglende formålsbegrænsning, manglende gennemsigtighed, manglende muligheder for privatlivsvenlige indstillinger, manglende kontrol over underdatabehandlere og manglende adgangsret for registrerede i forbindelse med de påtænkte behandlingsoperationer, når de bruger de Google-tjenester, der undersøges.

Kommunens konsekvensanalyse er på 35 sider, men reelt er det kun knap 25 sider med tekst. Til sammenligning har Smittestop-appen en konsekvensanalyse på 100 sider. I Holland har regeringen forbudt brugen af Googles systemer i offentlige myndigheder, efter et eksternt privacy-firma havde gennemgået Googles Workspace og skrevet 170 tætskrevne sider om det. Derfor undrer det eksperterne, at Helsingør slet ikke har skelet til den hollandske rapport.

– Det virker mærkeligt opsætningsmæssigt, at det er skrevet som et vredt svar til Datatilsynet. Det virker meget tyndt, og det bliver ikke rigtigt en konsekvensanalyse, fortæller en databeskyttelsesrådgiver.

Mangler teknisk indsigt

Der er i alt afleveret 1700 sider til Datatilsynet, men det kan ifølge flere eksperter være en måde at vinde tid på. For kommunen har hovedsageligt afleveret en masse screendumps med gennemgang af opsætningen. Ifølge Pia Tesdorf forholder kommunen sig slet ikke til kerneproblemet.

– De har ikke forholdt sig til, hvordan Googles platform fungerer? De forsøger at lægge ansvaret over på regeringen og problemet med tredjelandes overførsler. I første omgang handler det om, at Google får adgang til vores børns data, siger hun.

Ifølge Pia Tesdorf læner kommunen sig op af Googles forklaring om, at de kun har de bedste intentioner. Men problemet er ifølge hende, at det er kommunen, som dataansvarlig, der skal kunne dokumentere, hvilke data Google kan tilgå.

– Det er en arrogant tilgang bare at sige, at vi har sikret os godt. Har de sat VPN foran alle brugere eller målt den reelle datatrafik, og hvor den går hen? Nej, og så kan de ikke vide, om børnenes privatliv bliver overvåget, siger Pia Tesdorf.

Ayo Næsborg-Andersen mener rent juridisk, at konsekvensanalysen giver et indtryk af, at kommunen forsøger at sætte et restriktivt system op, men hun savner også en mere teknisk gennemgang.

– Det er nemt at være skeptisk over for Google, men jeg ville gerne have nogle teknikere til at sætte overvågning på computeren og se, hvad der sker, når børnene bruger computeren. Før vi har en uvildig part til at kigge på det, er det svært at vurdere, siger hun.

Bech-Bruuns fravær

Konsekvensanalysen, som altså ifølge eksperterne er “spinkel”, “mangelfuld” og “misforstået”, er blevet forelagt kommunens databeskyttelsesrådgiver, Bech-Bruun, som ikke har nogen bemærkninger til den.

Det undrer flere eksperter, som Radar har talt med. For selvom det ikke er Bech-Bruun der skal godkende den, kan de stadig komme med deres kommentarer.

– Det undrer mig meget, at der ikke står et komma om, hvad Bech-Bruun mener om det her arbejde. Hvis ikke Bech-Bruun har sagt, at det ikke er godt nok, er det ikke særlig god rådgivning, siger en databeskyttelsesrådgiver, der ikke ønsker at stå frem med navn.

Pia Tesdorf undrer sig også over det faktum, at sammenfatningen slet ikke svarer på de spørgsmål, som fremgår af skabelonen til en konsekvensanalyse, som Kammeradvokaten Poul Schmidt har udarbejdet til Kommunernes Landsforening.

– Normalt skal vi kunne læse, hvad databeskyttelsesrådgiverens synspunkter er. Synes Bech-Bruun virkelig, at den her konsekvensanalyse er et fyldestgørende svar på Datatilsynets ret konkrete kritik?, spørger Pia Tesdorf.

Radar har bedt Bech Bruuns kommunikationsansvarlige om en kommentar til kritikken samt spurgt til om advokathuset har haft nogle bemærkninger til konsekvensanalysen, men det har ikke været muligt at få en kommentar.

Helsingør Kommunes presserådgiver oplyser, at kommunen ingen kommentarer har til konsekvensanalysen før Datatilsynets afgørelse.

Kom til debat med faderen, der startede Chromebook-sagen
Digitalisering

Kom til debat med faderen, der startede Chromebook-sagen

Jesper Graugaard startede hele Chromebook-sagen, der tog Helsingør Kommune på sengen tæt på skolestart. Her fortæller han om sin aktivisme, og vi tager den større debat om cloud-løsninger, privacy-problemer og tredjelandsoverførsler.

AFLYTTET #1: Pegasus og den forcromede bog
Ind i algoritmen

AFLYTTET #1: Pegasus og den forcromede bog

Her er den første udgave af det nye Aflyttet, som Radar og Anders Kjærulff har genstartet med den garvede techkritiker og journalist bag mikrofonen. Denne gang tester vi aktivisters telefoner for Pegasus og dykker ned i Chromebook-sagen og mere.