Først skulle afgørelsen falde inden sommerferien, så blev det udskudt til oktober, og da den frist heller ikke kunne overholdes, udskød Datatilsynet afgørelsen i den såkaldte Helsingør-sag på ubestemt tid.

Tirsdag formiddag er der endelig faldet afgørelse. Tilsynet giver 53 kommuner påbud om at gøre brugen af Google Workspace i deres folkeskoler lovlig.

På baggrund af det omfattende materiale, som KL på vegne af de 53 berørte kommuner har indleveret til tilsynet, konkluderes det, at der sker en videregivelse af personoplysninger, som Google bruger til egne formål.

Det er tilladt at videregive elevoplysninger, der bruges til "levering af tjenesterne, forbedring af sikkerheden og pålideligheden af tjenesterne, kommunikation med bl.a. kommunerne og overholdelse af retlige forpligtelser", skriver tilsynet i en pressemeddelelse.

Men Datatilsynet vurderer, at folkeskoleloven ikke giver hjemmel til "vedligeholdelse og forbedring af Google Workspace for Education-tjenesten, ChromeOS og Chrome-browseren, eller til måling af ydeevnen og udvikling af nye funktioner og tjenester i ChromeOS og Chrome-browseren".

"It-services fungerer i dag ofte på den måde, at videregivelse af personoplysninger er indbygget i produktet, og at anvendelsen af oplysningerne ofte er en forudsætning for, at man kan få det fulde udbytte i produkternes funktionalitet. Det sker dog ikke altid med tilstrækkeligt fokus på beskyttelsen af de borgere, hvis oplysninger bliver brugt", siger it-sikkerhedsspecialist i Datatilsynet Allan Frank og fortsætter:

"Men hverken funktionaliteten af de løsninger, man gerne vil bruge, leverandørens markedsposition, den standardiserede opbygning eller den blotte anvendelse af et standardprodukt kan begrunde, at man ikke lever op til de regler om databeskyttelse, som man fra politisk hold har besluttet, at vi skal have i Europa."

Kommunerne har derfor fået påbud om senest den 1. august 2024 at leve op til lovgivningen, men allerede den 1. marts skal de fremlægge en plan for, hvordan de vil sikre det.

Afgørelsen indeholder tre konkrete forslag til, hvordan databehandlingen kan ske i henhold til reglerne. De lyder:

(1) At kommunerne ikke længere videregiver personoplysninger til Google til disse formål. Det vil sandsynligvis kræve, at Google udvikler en teknisk mulighed for, at de pågældende datastrømme afskæres.

(2) At Google selv afstår fra at behandle oplysningerne til disse formål.

(3) At Folketinget tilvejebringer et tilstrækkeligt klart retsgrundlag for videregivelse til disse formål.