Advies AP: Google Workspace in het onderwijs kent te veel risico’s

Onderwijsorganisaties doen een dringend beroep op de maatschappelijke verantwoordelijkheid van Google om de privacy van leerlingen en studenten goed te waarborgen en per direct in gang te zetten dat de risico’s worden weggenomen.  

Conclusies bevestigen resultaten DPIA

SURF en SIVON hebben begin maart 2021, mede namens PO/VO/MBO raad, Kennisnet, de VH en VSNU, aan de AP advies gevraagd over Google Workspace, nadat in de gesprekken die zij tot dat moment hadden gevoerd met Google de zorgen onvoldoende werden weggenomen. De conclusies van de AP bevestigt dat er op dit moment te veel privacyrisico’s kleven aan het gebruik van Google Workspace. Die risico’s kwamen aan het licht tijdens onderzoek in opdracht van de Rijksuniversiteit Groningen (RUG) en de Hogeschool van Amsterdam (HvA) en de DPIA van het Strategisch Leveranciersmanagement Rijksoverheid (SLM Rijk).

Risico’s bij gebruik Google Workspace

De risico’s zitten in het verzamelen van zogenoemde metadata door Google. Daarbij ziet Google zichzelf als verwerkingsverantwoordelijke in plaats van verwerker. Dit betekent dat Google vindt dat het mag bepalen voor welk doel het gegevens verzamelt en op welke manier dat gebeurt. Ook heeft Google in zijn privacyovereenkomsten opgenomen dat het de voorwaarden rondom metadata eenzijdig mag aanpassen, zonder de gebruiker opnieuw om toestemming te vragen. Volgens de AP moet altijd duidelijk zijn om welke gegevens het gaat. Zo niet, dan is dit in strijd met de AVG. Onder de huidige omstandigheden mogen onderwijsinstellingen met ingang van volgend schooljaar Google Workspace niet meer gebruiken, zo meldt de AP. 

In gesprek met Google 

Het ministerie van OCenW geeft in een brief aan de Kamer vandaag aan, ervan uit te gaan dat Google voor de start van het schooljaar 2021/2022 de geconstateerde issues heeft opgelost. SIVON en SURF spreken samen met SLM Rijk op dit moment met Google om snel duidelijk te krijgen hoe Google de benodigde aanpassingen zo snel mogelijk gaat doorvoeren.

Maatschappelijke verantwoordelijkheid Google

Wij doen een dringend beroep op de maatschappelijke verantwoordelijkheid van Google om de privacy van leerlingen en studenten goed te waarborgen en per ommegaande in gang te zetten dat de risico’s worden weggenomen. Zeker in het geval van (jonge) kinderen is deze verantwoordelijkheid extra groot, omdat kinderen op deze leeftijd nog onvoldoende bewust (kunnen) zijn van de privacyrisico’s.  

Gevolgen voor onderwijsinstellingen 

Google heeft in een reactie op het advies laten weten dat ze zich committeren aan de AVG en gezegd de tekortkomingen op te gaan lossen. Tot die tijd adviseren we onderwijsinstellingen  die overwegen te starten met Google Workspace om die plannen tot nader order te staken, en onderwijsinstellingen die een goed alternatief beschikbaar hebben, dit te gebruiken. Wilt u weten wat u zelf op korte termijn kunt doen om de veiligheid van het gebruik van Google Workspace te verbeteren? Lees dan dit artikel op kennisnet.nl.

Meer informatie

• Een volledig overzicht van de nieuwsberichten vind je op deze pagina. 
• DPIA on the use of Google G Suite (Enterprise) for Education (maart 2021, pdf)
• Advies Autoriteit Persoonsgevens (AP) aan SURF en SIVON inzake Google G Suite for Education (juni 2021)