Het is onduidelijk of persoonsgegevens in Google Workspace voldoende beschermd zijn, zegt de Autoriteit Persoonsgegevens (AP). Onderwijsorganisaties doen een dringend beroep op Google om de privacy van leerlingen en studenten goed te waarborgen en de risico’s weg te nemen. De AP vindt dat scholen onder de huidige omstandigheden met ingang van volgend schooljaar Google Workspace niet meer mogen gebruiken.
Google Workspace wordt veel gebruikt op scholen. Hieronder vallen onder andere Classroom, Meet, Gmail, Calendar, Drive, Docs, Sheets en Slides.
SURF en SIVON vroegen namens het onderwijsveld de AP in maart om advies over Google Workspace, nadat Google hun zorgen onvoldoende had weggenomen. De privacyrisico’s van Google Workspace kwamen aan het licht tijdens onderzoek in opdracht van de Rijksuniversiteit Groningen en de Hogeschool van Amsterdam en de DPIA (veiligheidscheck) van het Strategisch Leveranciersmanagement Rijksoverheid.
Bij het verzamelen van zogenoemde metadata door Google ziet Google zichzelf als verwerkingsverantwoordelijke, in plaats van verwerker. Dit betekent dat Google vindt dat zij mag bepalen voor welk doel zij gegevens verzamelt en hoe dat gebeurt. Ook heeft Google in haar privacyovereenkomsten opgenomen dat zij de voorwaarden rondom metadata eenzijdig mag aanpassen, zonder de gebruiker opnieuw om toestemming te vragen. Volgens de AP moet altijd duidelijk zijn om welke gegevens het gaat. Zo niet, dan is dit in strijd met de AVG.
Het ministerie van OCW schrijft in een brief aan de Kamer, ervan uit te gaan dat Google voor de start van het schooljaar 2021/22 de geconstateerde problemen heeft opgelost. SIVON en SURF spreken, mede op verzoek van de sectorraden, samen met het Strategisch Leveranciersmanagement voor de Rijksoverheid met Google om duidelijk te krijgen hoe Google de benodigde aanpassingen zo snel mogelijk gaat doorvoeren.
Google laat weten zich te committeren aan de AVG en zegt dat zij de problemen gaat oplossen.
Autoriteit Persoonsgegevens: Google Workspace te risicovol
