Google-produkter spreder sig nu så hurtigt på folkeskolerne, at eksperter er begyndt at tale om en "googlificering". Og fra Datatilsynet lyder det, at tendensen går lige lovlig stærkt.

"Kommunerne kan bestemme, hvilke redskaber eleverne skal bruge. Men det kan de kun gøre inden for de grænser, som GDPR (EU's databeskyttelsesforordning, redaktionen) sætter. Og her begynder balladen", siger Allan Frank, it-sikkerhedsspecialist i Datatilsynet.

Mindst 560 danske skoler bruger i dag Googles digitale "værktøjskasse" G Suite for Education. Det viser en rundspørge af blandt andre Lucas Cone, der forsker i kommercielle interesser i uddannelsessystemet på Danmarks Institut for Pædagogik og Uddannelse (DPU).

Han antager, at størstedelen af de skoler, der bruger G Suite for Education, også bruger Googles små bærbare skolecomputere, de såkaldte Chromebooks, hvis programmer er apps, der ligger online i "skyen".

"Det er meget, meget store forandringer, der er sket utroligt hurtigt og uden politisk debat. Det er uvant i den danske folkeskole", siger Lucas Cone.

Udbredelsen hænger sammen med, at produkterne er gode og nemme at bruge. Og at de er billigere end konkurrenterne, siger Lucas Cone. Alligevel møder tendensen hård kritik fra flere kanter.

Datatilsynet: Klap lige hesten

Datatilsynet arbejder i skrivende stund på breve til samtlige danske kommuner og Kommunernes Landsforening (KL). Brevene udspringer af en række sager om Chromebooks. I den forbindelse får mere end 20 kommuner påtaler for GDPR-stridig brug af Chromebooks. Datatilsynet arbejder også på en vejledning om, hvordan skolerne bruger maskinerne på en lovlig måde.

1.500 Chromebooks på vej i Randers: Lærere bekymrede 

Et af problemerne er, at flere kommuner ikke har foretaget en såkaldt risikovurdering, forklarer Allan Frank. Det vil sige en vurdering af de risici, elevernes privatliv kan blive udsat for.

"Man er nødt til at gøre sig klart: Hvad er det for nogle risikoelementer, man kigger ind i, når eleverne bruger en Chromebook og G Suite for Education, som er hovedredskabet på en Chromebook?" forklarer Allan Frank.

Når en elev får en Chromebook, får eleven også en Google-konto. Computeren giver adgang til G Suite for Education og - medmindre det er deaktiveret - også til andre Google-produkter. For eksempel YouTube og Googles søgemaskine, hvor eleven som udgangspunkt er logget ind med sin konto.

Det kan skabe to problemer, forklarer Allan Frank. Dels kan private oplysninger "løbe løbsk".

Datatilsynet ønsker ikke at afsløre nogle af de sager, de har haft. Men flere medier, herunder folkeskolen.dk, har beskrevet, hvordan en far i Helsingør opdagede, at sønnens navn, skole og klassetrin pludselig optrådte i forbindelse med en kontroversiel kommentar på YouTube. En af drengens venner havde skrevet kommentaren. Drengen gik i 3. klasse.

Politiken Skoleliv har beskrevet lignende sager i Hvidovre, Holbæk, Skanderborg og Ishøj Kommune. Elever har med deres skolekonti fået adgang til for eksempel at uploade og kommentere på YouTube.

Datatilsynet bekymrer sig også for, om de data, der bliver indsamlet på Chromebooks, kan blive brugt til andet end undervisningsformål.

"Man må ikke komme ud i en situation, hvor børns oplysninger bliver udsat for opsamling og brugt til andre formål end det, der er nødvendigt for undervisning. Datatilsynet vil ikke have, at der flyder oplysninger ud af den her måde at gøre tingene på", forklarer Allan Frank.

"Hvis over halvdelen af Danmarks skolebørn har sådan en computer, kan man få et meget godt overblik over, hvilke hjemmesider en 12-årig browser på. Jeg kan godt forstå, at Google synes, det er interessant, for det er deres forretning. Men hvis det forekommer, er det svært at se, at der er hjemmel til det som en del af folkeskolens undervisningsforpligtelse", siger Allan Frank.

Google afviser dog kategorisk, at elevernes data bliver brugt til markedsføring.

Aarhus sætter chromebooks til lærere på pause 

Samme bekymring i Norge

I Norge er der også ballade om Google-produkter på skolerne.

Det norske datatilsyn gav i december påtaler til tre norske kommuner for GDPR-stridig brug af Chromebooks og G Suite for Education. Tilsynet skriver på sin hjemmeside, at "der blev afdækket betydelige mangler".

Kommunerne mangler et overblik over, hvilke data der bliver indsamlet, og hvad de bliver brugt til, skriver tilsynet. Tilsynet tager også fat i begrebet profilering. Det definerer tilsynet sådan her: "Analyse af personoplysninger for at afdække adfærd, præferencer, evner eller behov".

Tilsynet skriver, at eleverne kan blive profileret og få reklamer, når de browser på maskinerne. Og anbefaler, at kommunerne "ikke tager tjenester i brug, som indebærer profilering".

Google afviser mistanken. Techgiganten forklarer til fagbladet Folkeskolen, at målrettede annoncer ganske vist er en del af virksomhedens generelle forretningsmodel. Men at metoden ikke bruges i folkeskolen. Elevernes data bliver ikke brugt til "markedsføring, målretning af annoncer eller lignende", lyder det fra Google i en skriftlig kommentar.

"Der er ingen annoncer i G Suite for Education. Og for elever i grundskoler og ungdomsuddannelser bruger Google ikke personlige oplysninger - eller nogen andre informationer tilknyttet kontoen - til at målrette annoncer. Dette gælder både i kernetjenesterne og i supplerende ­Google-tjenester", skriver Google.

Supplerende tjenester er apps, der ikke er en del af G Suite for Education.

"De supplerende tjenester såsom YouTube og Maps kan også bruges med G Suite for Education-konti, men kun hvis skolens administrator udtrykkeligt giver adgang til uddannelsesmæssige formål. Disse tjenester kan i visse tilfælde vise annoncer, men igen: ikke målrettede annoncer baseret på oplysninger om eleverne", tilføjer Google.

Kommune: Office 365 og Aula er høj-risiko 

Svært at få et overblik

Kritikerne mener, det er svært at få et overblik over, hvilke data der bliver indsamlet i Googles systemer. Og hvordan de bliver brugt.

"Det er vanskeligt at få et fuldt overblik over alle de elementer, som aftalen med Google omfatter. De henviser til andre hjemmesider inde i aftalen, som igen henviser til andre hjemmesider", skriver det norske datatilsyn på sin hjemmeside.

Herhjemme ryster en ekspert i it-sikkerhed på hovedet. Pernille Tranberg er medstifter af datatænketanken DataEthics.eu og underviser blandt andet lærere i dataetik.

"Når det norske datatilsyn ikke engang har overblik over, hvilke data Google indsamler, så kan man ikke forvente, at børn har det", siger hun.

En af de kommuner, der får kritik af det norske tilsyn, er Bergen Kommune. Tilsynet hæfter sig ved, at eleverne - over for kommunen - skal sige ja til en række svært forståelige vilkår, når de tager Chromebooks i brug. Blandt andet det her:

"Jeg er bekendt med, at al aktivitet i skolens datanetværk bliver logført, og at data kan blive sporet tilbage til den enkelte, som har produceret dataene".

Folkeskolen har fremlagt kritikken om manglende overblik for Google, men Google er ikke vendt tilbage med et svar.

Er det overhovedet lovligt?

Et andet spørgsmål er, om det overhovedet er lovligt at placere persondata hos amerikanske it-firmaer, forklarer Allan Frank fra Datatilsynet.

Aktuelt kører en tilspidset debat i EU affødt af den omdiskuterede Schrems 2-dom, der faldt ved EU-domstolen i sommer. Dramaet handler om, at de amerikanske efterretningstjenester kan tvinge sig adgang til data, og det strider mod GDPR. Worst case-scenariet er et EU-forbud eller begrænsninger.

Den problemstilling vedrører dog ikke kun Google, men amerikanske it-firmaer i almindelighed.

Hos Pernille Tranberg fra DataEthics.eu starter kritikken et andet sted. Hun kritiserer især, at kommunerne er med til at styrke Googles monopollignende position.

"Google gør det så billigt som muligt ude i skolerne, for så får de eleverne som kunder bagefter. Vi er i gang med at skabe en hel masse små Google-soldater", mener hun.

Lucas Cone advarer også mod en "monopollignende tendens".

Alternativet kalder minister i samråd om elevdatalæk fra chromebooks 

"Jeg synes, det største problem er den markedsføring, der finder sted, når man begrænser en række af skolens funktioner til et enkelt brand. Det strider meget imod den kritiske ambition, der er for den danske skole", siger han.

Hvad skal lærere gøre?

Fra Datatilsynet lyder det, at kommunerne kan konfigurere sig ud af de værste problemer. Løsningen er teknisk, men det handler kort sagt om at begrænse, hvad eleverne kan bruge deres konti til. Det skal ske ved at ændre i de bagvedliggende systemer og ikke blot køre med den standardindstilling, som produkterne kommer med.

Pernille Tranberg går skridtet videre. Hun mener, at Undervisningsministeriet og KL skal udtænke nye løsninger, hvor børnene ikke bliver en del af det, hun kalder "overvågningsindustrien".

Men hvad skal man gøre som lærer, hvis man er skeptisk? Fra Lucas Cone lyder det:

"For det første skal man hive fat i sin skoleleder. Og så skal man spørge, hvorvidt skolen og kommunen rent faktisk har styr på, hvornår og hvordan elevernes data bliver indsamlet og brugt. På mange skoler vil svaret nok være et nej".

"For det andet skal man bruge udviklingen som en pædagogisk invitation til at udforske emnet og aktivt gå ind i kampen om det digitale liv: Hvad er Googles forretningsmodel? Hvad går det ud på? Hvad vil det sige at bruge big data?" siger han.

I Danmarks Lærerforening mener Regitze Flannov, formand for undervisningsudvalget, at det er godt, at kommunerne udleverer "de nødvendige undervisningsmaterialer" til børnene. Men: "Når man køber it til sine skoler, tror jeg, man nogle steder glemmer at gøre forarbejdet grundigt", siger hun.

"Man skal være opmærksom på, at man ikke pludselig får indkøbt noget, som lærerne ikke rigtig har været med til at vurdere. Jeg tror, det er rigtig vigtigt, at man sørger for, at de, der skal bruge det i dagligdagen, er med inde over og stiller de kritiske spørgsmål", siger Regitze Flannov.

KL ønsker ikke at kommentere, før de har modtaget brevet fra Datatilsynet. Brevene var ikke sendt inden Folkeskolens deadline.