Advies AP: Google Workspace op scholen kent teveel risico’s

SURF en SIVON hebben begin maart 2021, mede namens PO-, VO- en MBO-raad, Kennisnet, de VH en VSNU, aan de AP advies gevraagd over Google Workspace, nadat in de gesprekken die zij tot dat moment hadden gevoerd met Google de zorgen onvoldoende werden weggenomen. De conclusies van de AP bevestigen dat er op dit moment teveel privacyrisico’s kleven aan het gebruik van Google Workspace. Die risico’s kwamen aan het licht tijdens onderzoek in opdracht van de Rijksuniversiteit Groningen (RUG) en de Hogeschool van Amsterdam (HvA) en de DPIA van het Strategisch Leveranciersmanagement Rijksoverheid (SLM Rijk). 

De risico’s zitten in het verzamelen van zogenoemde metadata door Google. Daarbij ziet Google zichzelf als verwerkingsverantwoordelijke in plaats van verwerker. Dit betekent dat Google vindt dat zij mag bepalen voor welk doel zij gegevens verzamelt en op welke manier dat gebeurt. Ook heeft Google in zijn privacyovereenkomsten opgenomen dat hij de voorwaarden rondom metadata eenzijdig mag aanpassen, zonder de gebruiker opnieuw om toestemming te vragen. Volgens de AP moet altijd duidelijk zijn om welke gegevens het gaat. Zo niet, dan is dit in strijd met de AVG. Onder de huidige omstandigheden mogen scholen met ingang van volgend schooljaar Google Workspace niet meer gebruiken, zo meldt de AP. 

Het ministerie van OCW geeft in een brief aan de Kamer vandaag aan, ervan uit te gaan dat Google voor de start van het schooljaar 2021/2022 de geconstateerde issues heeft opgelost. SIVON en SURF spreken, mede op verzoek van de sectorraden, samen met het Strategisch Leveranciersmanagement voor de Rijksoverheid (SLM Rijk) op dit moment met Google om snel duidelijk te krijgen hoe Google de benodigde aanpassingen zo snel mogelijk gaat doorvoeren. De VO-raad is er blij mee dat SIVON op deze manier de belangen van de sectoren kan behartigen. 

De VO-raad doet een dringend beroep op de maatschappelijke verantwoordelijkheid van Google om de privacy van leerlingen en studenten goed te waarborgen en per ommegaande in gang te zetten dat de risico’s worden weggenomen. Zeker in het geval van (jonge) kinderen is deze verantwoordelijkheid extra groot, omdat kinderen op deze leeftijd nog onvoldoende bewust (kunnen) zijn van de privacyrisico’s.  

Gevolgen voor scholen 

Google heeft in een reactie op het advies laten weten dat ze zich committeren aan de AVG en gezegd de tekortkomingen op te gaan lossen. Tot die tijd adviseren we scholen die overwegen te starten met Google Workspace, die plannen tot nader order te staken, en scholen die een goed alternatief beschikbaar hebben, dit te gebruiken. De veelgestelde vragen en antwoorden op de website van SIVON bieden meer informatie voor scholen en worden geactualiseerd. Ook gaat SIVON voorbeeldbrieven ter beschikking stellen die kunnen worden gebruikt om ouders te informeren. Scholen die willen weten wat ze zelf op korte termijn kunnen doen om de veiligheid te verbeteren, verwijzen we daarnaast naar het artikel uit maart jl. op de website van Kennisnet. 

Webinar 11 juni  

Op vrijdag 11 juni organiseert SIVON een webinar naar aanleiding van het advies van de AP over het gebruik van Google Workspace in het onderwijs. In dit webinar wordt u geïnformeerd over het advies van AP, hoort u meer over de vervolgstappen en wat de mogelijke gevolgen zijn voor uw onderwijs. U kunt zich voor dit webinar inschrijven via deze link.