Rijksoverheid neemt Google Workspace onder de loep

Cloudwise meldt dat de Nederlandse overheid een onderzoek heeft uitgevoerd op de Enterprise versie van Google G Suite (inmiddels: Google Workspace). Cloudwise is de leverancier voor veel scholen van Google Workspace for Education.

De Nederlandse overheid heeft een Data Protection Impact Assessment (DPIA) laten uitvoeren op de Enterprise versie van Google G Suite (inmiddels: Google Workspace). Ministers Van Engelshoven en Slob informeerden onlangs de Tweede Kamer over Data Protection Impact Assessments (DPIA’s) in het onderwijs. Met een DPIA worden privacyrisico's in beeld gebracht. De reden hiervoor is de overweging van de overheid om Google Workspace als dienst te gebruiken. Sjoera Nasm, Senior Privacy Adviseur bij Privacy Company meldt hierover in een blog en aan Dutch IT-channel: "Bij Privacy Company hebben we gelijktijdig twee DPIA's gedaan: 1 voor het Rijk, en 1 voor de RUG en HvA. De uitkomsten zijn hetzelfde voor de verschillende versies van de Google workspace suites."

Uit het onderzoek komen een aantal privacyrisico’s naar voren. Zo ziet Google zichzelf als de enige verwerkingsverantwoordelijke. Daarmee hebben zij de mogelijkheid om te bepalen met welk doel ze metadata willen verzamelen en mag zij de voorwaarden hiervan eenzijdig aanpassen. De Autoriteit Persoonsgegevens is inmiddels ingeschakeld voor advies over de risico’s bij het gebruik van Google Workspace for Education. Het kabinet heeft hierover contact met de Europese Commissie. Google krijgt nu de kans om te werken aan de privacyrisico’s en meer duidelijkheid te geven.

Google reactie

Google heeft gereageerd met een statement waarin ze opheldering geven over een aantal zaken. Ze laten weten geen klantdata uit Google Workspace for Education te gebruiken voor advertising en ook geen advertenties te tonen. Ook geven ze aan dat klanten in controle zijn over hun eigen data. Google verwerkt deze data alleen volgens de afspraken van de overeenkomst. Daarnaast verklaart Google zich in te zetten voor transparantie, het nakomen van de regelgeving zoals de GDPR en privacy.

Cloudwise volgt deze berichtgeving met een kritische blik en oefent druk uit op Google om met de risico’s aan de slag te gaan.

SLM Rijk blijft ook namens het Nederlandse onderwijs de gesprekken met Google voeren. Het doel is dat G Suite for Education veilig gebruikt kan worden zonder risico’s voor de privacy van leerlingen, studenten en docenten. Rijksambtenaren mogen voorlopig geen gebruik maken van Google Workspace.

Microsoft

In 2019 heeft SLM Rijk eerder een aantal DPIA’s uitgevoerd op producten van Microsoft die ook in het Nederlandse onderwijs gebruikt worden. Naar aanleiding daarvan zijn aanvullende afspraken met Microsoft gemaakt waarbij ook SURF namens het Nederlandse onderwijs betrokken was. Via SURF gelden de gemaakte afspraken ook voor Nederlandse onderwijsinstellingen die gebruik maken van Microsoft. De uiteindelijke conclusie van die DPIA's was dat voor het gebruik van Microsoft-producten geen hoge risico's overblijven, mits de gebruiker een aantal maatregelen neemt.

Google+Workspace+DPIA+for+Dutch+DPA+v18+Feb+2021.pdf