- Kabinet waarschuwt voor privacyrisico’s Google Workspace
- Onderwijsorganisaties vragen Google om maatschappelijke verantwoordelijkheid te nemen
- Google wordt gegevensverwerker in plaats van gegevensverantwoordelijke
- Nieuwe versie ChromeOS en Chrome in augustus 2023 gereed
- Kabinet gaat fors investeren in informatiebeveiliging en privacy onderwijs
De aangepaste verse van ChromeOS en Chrome-webbrowser voor het onderwijs laten nog even op zich wachten. Google streeft ernaar om deze in augustus 2023 te lanceren. De nieuwe versie in lijn met de afspraken die in 2021 zijn gemaakt over Google Workspace.
Dat melden minister van Onderwijs, Cultuur en Wetenschap Robbert Dijkgraaf en minister voor Primair en Voortgezet Onderwijs Dennis Wiersma in een brief aan de Tweede Kamer.
Kabinet waarschuwt voor privacyrisico’s Google Workspace
Voor het begin van deze zaak moeten we terug naar juni 2020. Tweede Kamerleden Peter Kwint (SP) en Paul van Meenen (D66) dienden toen een motie in waarin ze het kabinet vroegen om een Data Protection Impact Assessment (DPIA) uit te voeren in de onderwijssector in ons land. In maart 2021 deelden toenmalig minister voor Onderwijs Ingrid van Engelshoven en minister van Basis- en Voortgezet Onderwijs Arie Slob de uitkomsten daarvan met de Tweede Kamer.
De bewindslieden zeiden toen dat er mogelijk privacyrisico’s kleven aan Google Workspace. Scholen zouden “te weinig of onvoldoende grip” hebben op de verwerking van metadata. Dat is informatie over hoe een gebruiker bepaalde programma’s gebruikt. Metadata vertellen onder meer wanneer een leerling inlogt, hoelang hij blijft ingelogd, op welk type apparaat hij werkt, met welke instellingen, welke programma’s hij gebruikt en welke zoekopdrachten hij uitvoert.
In een notendop zei Google dat het zichzelf als de enige verwerkingsverantwoordelijke beschouwde. In de privacyovereenkomst stond verder dat het technologiebedrijf op ieder moment eenzijdig de voorwaarden rondom metadata mocht aanpassen.
Onderwijsorganisaties vragen Google om maatschappelijke verantwoordelijkheid te nemen
De Autoriteit Persoonsgegevens concludeerde dat met dergelijke voorwaarden de verwerking van metadata en persoonlijke informatie van leerlingen niet rechtmatig konden plaatsvinden. Omdat er “fundamentele vragen” over privacybescherming en verwerking bestonden, adviseerde de toezichthouder om te stoppen met Google Workspace, totdat het aan de Algemene Verordening Gegevensbescherming (AVG) zou voldoen.
Onderwijsorganisaties als de PO-Raad, SIVON en SURF vonden het onmiddellijk stoppen met Google Workspace een te drastische stap. Wel deden ze een dringend beroep op de maatschappelijke verantwoordelijkheid van Google om de privacy van leerlingen en studenten te waarborgen. Zo niet, dan zou de onderwijssector in de nabije toekomst niet langer Google Workspace gebruiken.
Google wordt gegevensverwerker in plaats van gegevensverantwoordelijke
Google hoorde de klachten aan en beloofde tegemoet te komen aan de privacyzorgen van de onderwijswereld. De zoekmachinegigant sprak met Nederlandse onderwijsinstanties af dat het niet langer als gegevensverantwoordelijke zou optreden, maar de rol van gegevensverwerker op zich zou nemen.
Dat is een grote aanpassing, omdat hiermee paal en perk wordt gesteld in wat Google allemaal met de verzamelde metadata mag doen. Onder de oude voorwaarden gebruikte de zoekreus deze informatie voor commerciële doeleinden, waaronder het tonen van advertenties. Doordat Google voortaan optreedt als gegevensverwerker, mag het metadata enkel nog gebruiken om haar diensten te onderhouden, bedreigingen aan te pakken en updates te ontwikkelen.
Om aan deze afspraken te voldoen, zou Google een nieuwe versie van ChromeOS en webbrowser Chrome ontwikkelen.
Nieuwe versie ChromeOS en Chrome in augustus 2023 gereed
Wanneer deze privacyvriendelijke versie van ChromeOS en Chrome-webbrowser klaar zou zijn, was onbekend. Ministers Dijkgraaf en Wiersma hebben daar nu een antwoord op. In een brief aan de Tweede Kamer schrijven de bewindslieden dat Google toegezegd heeft dat de versies in augustus 2023 gereed zijn. “Die versie is dan in lijn met de afspraken die in 2021 met Google gemaakt zijn over Google Workspace”, zo beloven de ministers.
SIVON en SURF zijn met Google in gesprek over de uitwerking daarvan. Tegelijkertijd zijn de onderwijsorganisaties gesprekken gestart met andere leveranciers, voor het geval de nieuwe versie van ChromeOS en Chrome niet aan de verwachtingen voldoet.
Kabinet gaat fors investeren in informatiebeveiliging en privacy onderwijs
Minister Dijkgraaf en Wiersma gaan deze kabinetsperiode gebruiken om de informatiebeveiliging en privacy van onderwijsinstellingen aan te pakken. De onderwijssector heeft de afgelopen jaren maatregelen genomen om hun digitale weerbaarheid te vergroten. Maar de onderwijswereld is nog altijd vatbaar voor cyberaanvallen. “Vrijblijvendheid is geen optie als het gaat om digitale weerbaarheid en privacy”, aldus de ministers.
Het primair en voortgezet onderwijs krijgt er daarom structureel 6 miljoen euro bij. Dat geldt wordt onder meer gebruikt om een normenkader voor digitale veiligheid te formuleren en implementeren. De Inspectie van het Onderwijs krijgt een prominente rol om het bewustzijn over de gevaren van digitale dreigingen in de onderwijssector te vergroten.
Specialistische en juridische kennis over informatiebeveiliging en privacy wordt gecentraliseerd. Zo hoeft niet iedere schaal apart in deze expertise te investeren. Om meer aandacht te besteden aan deze thema’s, moeten schoolbesturen vanaf augustus 2023 hierover iets schrijven in hun jaarverslag. Tot slot komt er een Computer Emergency Response Team (CERT) voor het primair en voortgezet onderwijs dat als “digitale brandweer” gaat optreden.
Het voornemen van de onderwijsministers past in de ambitie van staatssecretaris van Digitalisering Alexandra van Huffelen om cybersecurity en privacy bij de formulering van nieuwe wetten topprioriteit te geven.
