I en meget omtalt sag fra Helsingør Kommune fastholder Datatilsynet i dag sit forbud mod brugen af Google Workspace i kommunens skoler.

Tilsynet nedlagde såkaldt behandlingsforbud i starten midten af juli, og på baggrund af en gennemgang af yderligere materiale, kommunen sendte til Datatilsynet 1. august, bliver det forbud altså nu opretholdt.

Efter tilsynets vurdering har kommunen fortsat ikke dokumenteret, at den har nedbragt de høje risici, der er for elevernes datasikkerhed ved brugen af Googles produkter til skolebrug.

"Lærere og elever står lige nu i en svær situation, hvor de ikke kan benytte de redskaber, de plejer. Vores afgørelse forbyder på ingen måde brug af it i skolerne - men den konkrete brug af nogle bestemte redskaber i kommunen er ikke forsvarlig over for børnenes oplysninger. Og lidt firkantet sagt er det en konsekvens af kommunens valg og fravalg gennem flere år," siger it-sikkerhedsspecialist og jurist i Datatilsynet Allan Frank i en pressemeddelelse.

Datatilsynet understreger, at afgørelsen alene gælder Helsingør Kommune og altså ikke i første omgang har konsekvens for de godt 40 andre kommuner, der bruger Chromebooks og Google Workspace i deres skoler. Tilsynet opfordrer dog til, at andre kommuner med tilsvarende forhold ser på de samme områder som i denne sag.

"Målet her er ikke at leve op til noget uigennemskueligt bureaukrati, men at passe på elevernes oplysninger. Børn har ifølge GDPR krav på en særlig beskyttelse. Vi kan hver især som voksne mennesker frit vælge, hvilke digitale tjenester vi har lyst til at bruge, men børn skal nu engang benytte de redskaber, som folkeskolerne stiller til rådighed for dem”, siger Allan Frank og tilføjer:

”Og derfor er det vigtigt, at kommunerne sikrer sig, at børnenes oplysninger ikke bliver brugt til andre formål end dem, folkeskoleloven giver mulighed for - eksempelvis markedsføring, profilering eller produktudvikling."

Hvad Helsingør Kommune angår pointerer tilsynet, at hvis en fortsat brug af Google Workspace ønskes, ”bør kommunen i samarbejde med sine leverandører håndtere de relevante risici for børnenes personoplysninger - herunder dem, som Datatilsynet har påpeget i de tre afgørelser - og udarbejde en konsekvensanalyse”.

Hvis det fører til en erkendelse af, at det ikke e muligt fuldt ud at nedbringe enhver høj risiko, giver GDPR-lovgivningen mulighed for, at kommunen sammen med Datatilsynet kan lægge en plan for lovliggørelse.

”Allerede nu lægger Datatilsynet op til, at kommunen og tilsynet mødes snarest for at drøfte de næste skridt nærmere, så elever og lærere hurtigst muligt kan vende tilbage til en normal hverdag på en forsvarlig måde”, skriver Datatilsynet.