Датският орган за защита на данните (Datatilsynet) издаде съдебно разпореждане относно данните на учениците, които се предават на Google чрез използването на Chromebook и услугите на Google Workspace в училищата в страната.

Въпросът е поставен на вниманието на агенцията преди около четири години от загрижения родител и активист Йеспер Граугаард, който протестира срещу начина, по който данните на учениците се изпращат на Google, без да се обмислят възможностите за злоупотреба или въздействието, което това може да има върху тези лица в бъдеще.

Сега агенцията е решила, че настоящите методи за предаване на лични данни на Google нямат правно основание за всички разкрити цели. Следователно 53 общини в Дания трябва да коригират своите практики за обработване на данни.

По-конкретно, на общините се нарежда да:

• да преустановят предаването на лични данни на Google за конкретни цели или да получат ясно правно основание за такова предаване,
• да анализират и документират как се обработват личните данни, преди да използват инструменти като Google Workspace, и
• да се уверят, че Google се въздържа от обработване на всички данни, които получава, за несъответстващи на изискванията цели.

Агенцията поясни, че допустимите употреби на данни на ученици включват предоставяне на образователните услуги, предлагани от Google Workspace, повишаване на сигурността и надеждността на тези услуги, улесняване на комуникацията и изпълнение на правни задължения.

Недопустимите случаи са цели, свързани с поддържането и подобряването на Google Workspace for Education, ChromeOS и браузъра Chrome, включително измерване на производителността или разработване на нови функции и услуги за тези платформи.

„Съвременните ИТ услуги често функционират по такъв начин, че предаването на лични данни е вградено в продукта, а използването на информацията често е предпоставка за получаване на пълната полза от функционалността на продуктите“, заяви специалистът по ИТ сигурност и право на агенцията Алън Франк.

„Това обаче не винаги се случва с достатъчно внимание към защитата на гражданите, чиято информация се използва.“

„Но нито функционалността на решенията, които искате да използвате, нито пазарната позиция на доставчика, нито стандартизираната структура, нито простото използване на стандартен продукт могат да оправдаят неспазването на правилата за защита на данните, които от политическа гледна точка е решено, че трябва да имаме в Европа.“

Решението на органа не се изразява пряко в забрана на Chromebook-ите, които се използват широко в датските училища, но налага значителни ограничения върху начина, по който личните данни могат да бъдат споделяни с Google.

Освен това, като се има предвид, че ограничаването на обработката на чувствителни данни от страна на Google ще бъде трудно, ако не и невъзможно, за общините да се гарантира, може да няма практически начин да се придържат към новите политики, без да блокират използването на Chromebook и/или Google Workspace.

Общините имат срок до 1 март 2024 г., за да заявят как точно възнамеряват да изпълнят заповедта на Datatilsynet, и до 1 август 2024 г., за да приведат изцяло практиките си за обработване на данни в съответствие с новите изисквания.

Въпреки че хората в Дания и други страни приветстваха съобщението на агенцията, мнозина отбелязаха неоправдано дългия период от време, който е бил необходим на органа, за да стигне до решение, а именно 4,5 години.

Освен това наблюдателите изтъкнаха, че лошите практики, посочени в доклада на агенцията, са продължили поне десетилетие и би трябвало да са основание за глоби или други корективни мерки за отговорните лица.