'Onderwijs hoeft niet direct met gebruik Google-diensten te stoppen'

De G Suite-producten voor het onderwijs en voor gebruik door rijksambtenaren liggen sinds gisteren onder vuur. Uit Data Protection Impact Assessments (DPIA's) die het kabinet liet uitvoeren blijkt dat de producten van Google privacyrisico's bevatten.

Voor de onderwijswereld zijn er vooral problemen met de omgang van metadata, stelt minister Ingrid van Engelshoven van Onderwijs. Google ziet zichzelf als de enige verwerkingsverantwoordelijke voor metadata, wat volgens de minister betekent dat zij mogen bepalen voor welk doel ze de metadata verzamelen en op welke manier ze dat doen. "Ook heeft Google in de privacy-overeenkomsten opgenomen dat zij de voorwaarden rondom metadata eenzijdig mag aanpassen, zonder de gebruiker om toestemming te vragen.”

Niet direct stoppen

Toch adviseren organisaties als SURF - de vereniging van Nederlandse onderwijs - en onderzoeksinstellingen - en SIVON - de coöperatie van schoolbesturen - het onderwijs om niet direct te stoppen met het gebruik van de diensten van Google. Dat heeft volgens een woordvoerder van SURF vooral te maken met het belang van de continuïteit van het onderwijs. "Onderwijsinstellingen die van plan zijn binnenkort over te stappen naar Google, adviseren we die stap nog niet te nemen, in afwachting van de uitkomst van de gesprekken tussen het onderwijs en Google", aldus de woordvoerder tegenover AG Connect. 

SIVON geeft op zijn website eenzelfde advies aan het onderwijs, en ook de sectororganisaties PO-Raad en VO-Raad raden aan niet direct met G Suite for Education te stoppen. "De situatie op dit moment betekent niet dat scholen en onderwijsinstellingen op stel en sprong moeten stoppen met het gebruik van Google G Suite, vooral als zij erop aangewezen zijn voor de continuïteit van het onderwijs", zegt een woordvoerder van de VO-Raad bijvoorbeeld tegenover AG Connect. 

De organisaties erkennen echter wel dat er problemen zijn. "Er zijn risico’s geconstateerd en die moeten worden weggenomen: wij vinden het onwenselijk dat in het onderwijs het eigenaarschap en de verantwoordelijkheid voor (meta)gegevens bij Google ligt. Hierdoor kunnen scholen geen of onvoldoende controle uitoefenen over wat er met deze gegevens gebeurt", aldus de woordvoerder van de VO-Raad. "We gaan ervan uit dat Google de benodigde aanpassingen doorvoert."

Advies Autoriteit Persoonsgegevens

G Suite for Education is niet het enige pakket aan Google-diensten dat privacyrisico's bevat. Het Rijk liet ook een DPIA doen voor G Suite for Enterprise, waarvan rijksambtenaren aanvankelijk gebruik zouden gaan maken. Minister Grapperhaus van Justitie en Veiligheid laat weten dat diverse onderdelen van deze dienst een hoog risico kennen, onder meer vanwege een gebrek aan doelbinding, een gebrek aan transparantie en een gebrek aan juiste grondslag voor gegevensverwerking. 

Zowel het kabinet als de onderwijsorganisaties hebben de Autoriteit Persoonsgegevens (AP) ingeschakeld. De onderwijsorganisaties hebben de toezichthouder om een advies gevraagd over de privacyrisico's bij het gebruik van G Suite for Education. Het kabinet heeft de AP ingeschakeld voor een raadpleging, als onderdeel van de procedure in het geval privacyrisico's niet worden opgelost na een DPIA. Ook is er contact gelegd met de Europese Commissie. 

Google zegt in een blogbericht dat de besprekingen met de Nederlandse regering worden voortgezet. "We hebben tijdens het DPIA-proces nauw samengewerkt met het Nederlandse Ministerie van Justitie en Veiligheid en we zien dit proces als kans om onze toewijding aan privacy en veiligheid aan de publieke sector te tonen. Als partner van organisaties in de publieke sector in heel Europa nemen wij bovengenoemde zaken uiterst serieus. We hebben al een aantal stappen ondernomen om tegemoet te komen aan de bezorgdheden die in de DPIA naar voren worden gebracht, en zetten de besprekingen met de Nederlandse regering voort."