Far klagede over, at hans otteårige søns navn og skole kunne ses på YouTube. Syddjurs melder hus forbi
Datatilsynet kritiserer 51 kommuner for manglende GDPR-overholdelse, herunder Syddjurs. Her beskytter man borgernes data, og deltager i tværkommunalt samarbejde om digitale løsninger, fortæller Chef for Børn og Læring.
Syddjurs Kommune var ikke involveret i den hændelse, som fik Datatilsynet til at kritisere 51 kommuners brug af Googles produkter i folkeskolen, herunder Syddjurs og andre østjyske kommuner som Aarhus, Randers, Silkeborg, Horsens og Favrskov.
Kritikken handler om manglende overholdelse af GDPR, især ved brug af underdatabehandlere uden for EU.
Far klagede i 2019
Datatilsynet blev opmærksom på sagen, da en far i 2019 klagede over, at hans otteårige søns navn og skole kunne ses på YouTube. Oplysningerne endte på YouTube, fordi en af sønnens venner havde lånt hans Chromebook og skrevet en besked på platformen.
Efterfølgende har Datatilsynet undersøgt kommunernes behandling af data i forbindelse med brug af Chromebooks og Google Workspace.
YouTube-konti fravalgt
Chef for Børn og Læring, Katrine Klixbüll, Syddjurs Kommune, understreger, at Syddjurs Kommune ikke har givet adgang til YouTube-konti for eleverne i folkeskolerne.
Det gør hun i et skriftligt svar på en række spørgsmål, som Din Avis har stillet.
Datatilsynet advarer kommunerne om, at deres opsætning af Google Workspace for Education og Google Chrome Education sandsynligvis er i strid med GDPR, hvis de ikke sikrer et beskyttelsesniveau, der svarer til EU-standarder. Kommunerne skal sørge for at dokumentere og sikre, at underleverandører af databehandling følger de samme regler for databeskyttelse som den hovedansvarlige databehandler.
Datatilsynet bemærker, at kommunerne ikke har angivet, hvordan de vil kontrollere, at kravene rent faktisk bliver overholdt af underleverandørerne. Derudover skal kommunerne sikre, at videreoverførsler til usikre tredjelande ikke undergraver beskyttelsesniveauet for personoplysninger.
Syddjurs Kommune har reageret hurtigt på kritikken og er i gang med at indføre procedurer for at rette op på de påpegede mangler.
Tværkommunalt samarbejde
Syddjurs Kommune har deltaget i et tværkommunalt samarbejde med KL for at sikre, at aftalerne med Google lever op til reglerne, fortæller Katrine Klixbüll.
Datatilsynet slår fast, at kommunernes databehandleraftale med Google lever op til reglerne.
Datatilsynet understreger samtidig, at kommunerne skal følge KL’s anbefalinger til opsætning og indstilling af Googles skoletjenester.
»Syddjurs Kommune følger KL’s anbefalinger og får en årlig gennemgang af ekstern konsulent, hvor det sikres, at opsætningen lever op til anbefalingerne,« forsikrer Katrine Klixbüll i sit svar.
Kommunerne skal dokumentere
Samtidig påpeger Datatilsynet, at kommunerne skal være særligt opmærksomme på underdatabehandlere.
Syddjurs Kommune er dataansvarlig, og Datatilsynet skriver, at kravene for Google bliver videreført i kontrakterne med de underleverandører, som Google vælger at gøre brug af.
Det betyder, at de krav, som kommunerne stiller til Google, bliver videreført til underleverandørerne.
Samtidig gør Datatilsynet opmærksom på, at kommunerne ikke har en kontrolforpligtelse, men alligevel skal sikre dokumentation for at kravene videreføres.
Den dataansvarlige skal være sikker på, at kravene er videreført til underleverandørerne, og dette skal kunne dokumenteres.
Beskytter borgernes data
Katrine Klixbüll understreger, at Syddjurs Kommune er her for borgerne, og det er kommunens ansvar at beskytte borgernes data.
Hun tilføjer, at forløbet har vist, at det er sårbart at være afhængig af en bestemt leverandør.
Syddjurs Kommune afsøger derfor andre muligheder og deltager i et tværkommunalt samarbejde i regi af den tværkommunale fri software-forening OS2 om udvikling af en fælles løsning kaldet OS2skole.
OS2 er en fællesoffentlig samarbejdsorganisation, der arbejder med udvikling af digitale løsninger til kommuner. Et af deres projekter er OS2skole, som skal hjælpe kommunerne med at håndtere og beskytte persondata i skolerne i overensstemmelse med GDPR.
Samlet set betyder Datatilsynets afgørelse, at Syddjurs Kommune fortsat kan anvende Chromebooks og Googles skoletjenester på folkeskolerne.
Med indførelse af GDPR i 2018 og med Datatilsynets løbende afgørelser, er det tydeligt, at digitale tjenester på skoleområdet skal igennem grundig screening, analyse og vurdering, inden de kan tages i brug.
Det er der i Syddjurs Kommune en god praksis for, ifølge Katrine Klixbüll.