Chromebook-sagen: Kommunerne efterlever Datatilsynets seneste påbud

Dato: 10-07-2024

Datatilsynet har vurderet, at kommunerne nu opfylder det påbud, som tilsynet meddelte dem i januar 2024, eftersom de ikke længere videregiver personoplysninger til formål, der ikke er hjemmel til.

KL har i sagen om brug af Google Workspace i skolerne på vegne af 52 kommuner oplyst, at kommunerne fra 1. august 2024 ikke længere vil videregive personoplysninger til de af Googles egne formål, som Datatilsynet i sin delafgørelse fra januar 2024 fandt uhjemlede. Datatilsynet har i dag skrevet til KL, at tilsynet har noteret sig dette.

Datatilsynet har yderligere noteret sig, at der er sket tilpasninger af kontrakten, der sikrer, at personoplysninger udelukkende vil blive behandlet efter den dataansvarlige kommunes instruks, bortset fra tilfælde, hvor det måtte være krævet af gældende ret i henhold til EU-regler eller en EU-medlemsstats ret.

"Den problemstilling, der gik på, at nogle af børnenes oplysninger er blevet videregivet uden et lovligt grundlag, er nu løst, og dermed er det vores vurdering, at kommunerne opfylder påbuddet. Når det er sagt, er der dog stadig nogle udeståender i sagen," forklarer Allan Frank, it-sikkerhedsspecialist og jurist i Datatilsynet.

I Datatilsynets afgørelse fra januar i år skrev Datatilsynet således også, at der bør arbejdes med at skabe klarere kontraktsbestemmelser, og at det er væsentligt, at man også ved løbende ændringer i kontrakten fortsat har overblik over behandlingsaktiviteterne.

Kommunerne har i deres seneste brev til Datatilsynet oplyst, at de konkret vil afstå fra at benytte services, hvor behandling af personoplysninger sker i tredjelande, hvor der ikke er en essentielt ækvivalent beskyttelse af de registreredes rettigheder. Datatilsynet finder dette positivt og skal så i øvrigt i den henseende bemærke, at de enkelte kommuner for at kunne benytte de valgte produkter og ydelser skal have frasagt sig og lukket for disse tjenester. Dette gælder også for vedligeholdelsen af infrastruktur fra leverandørens side, hvor der kan ske en behandling af de personoplysninger, der behandles for de dataansvarlige kommuner.

Afslutningsvist kan Datatilsynet oplyse, at tilsynet har anmodet Det Europæiske Databeskyttelsesråd om en udtalelse om bl.a. rækkevidden af den dataansvarliges dokumentationsforpligtelse for databehandlerens brug af underdatabehandlere. Når denne udtalelse foreligger, forventer Datatilsynet at foretage en endelig vurdering af underdatabehandlerkæden ved kommunernes brug af Googles produkter.

Vil du vide mere?

Læs Datatilsynets brev til KL juli 2024.

Læs Datatilsynets delafgørelse inkl. påbud fra januar 2024.

Læs om mulighederne for, at tilsynsmyndigheder kan anmode EDPB om udtalelser om fortolkning af databeskyttelsesreglerne.

Pressehenvendelser kan rettes til kommunikationskonsulent Anders Due på tlf. 29 49 32 83 eller ad@datatilsynet.dk.