Datatilsynet har truffet afgørelse i den såkaldte Chromebook-sag om 51 kommuners brug af Googles produkter til undervisning i folkeskolen. Datatilsynet udtaler alvorlig kritik og advarer kommunerne om deres opsætning af de pågældende programmer og om brugen af underdatabehandlere uden for EU.
Datatilsynet har blandt andet som opfølgning på en udtalelse fra Det Europæiske Databeskyttelsesråd (EDPB) fra oktober 2024 om den dataansvarliges forpligtelser ved brug af databehandlere – som et sidste led i tilsynet store sagskompleks om en række kommuners brug af Google Workspace for Education og Google Chrome Education til undervisningsformål i de danske folkeskoler – undersøgt kommunernes håndtering af det ansvar, der følger med brugen af Google som databehandler.
Den dataansvarliges ansvar ved brug af databehandlere og underdatabehandlere
EDPB’s udtalelse fra oktober 2024 omhandler blandt andet, i hvilket omfang den dataansvarlige skal kunne identificere sine databehandlere, og i hvilket omfang den dataansvarlige skal verificere og dokumentere, at eventuelle underdatabehandlere pålægges de samme databeskyttelsesforpligtelser som den primære databehandler.
Udtalelsen behandler også den dataansvarliges dokumentationsforpligtelse i situationer, hvor en databehandler inden for EU/EØS overfører personoplysninger til en (under)databehandler i et tredjeland – herunder efterfølgende videreoverførsler.
Fokus på brug af underdatabehandlere uden for EU
I sagen har Datatilsynet haft fokus på brugen af de underdatabehandlere uden for EU, som kommunernes databehandler, Google, anvender. Datatilsynet har i den forbindelse undersøgt kommunernes overvejelser og dokumentation for lovliggørelsen af den behandling af personoplysninger, der finder sted hos disse underdatabehandlere.
Hovedpunkter i Datatilsynets afgørelse
Datatilsynet har i afgørelsen lagt vægt på følgende hovedpointer:
- Datatilsynet udtaler alvorlig kritik af kommunernes behandling af personoplysninger ved brug af Googles produkter til undervisning i folkeskolen.
- Datatilsynet giver kommunerne en advarsel om, at det sandsynligvis vil være i strid med databeskyttelsesforordningen, hvis kommunerne ikke har konfigureret deres opsætning af de pågældende programmer i overensstemmelse med de forudsætningsmæssige og funktionelle krav, som KL har opstillet.
- Datatilsynet giver kommunerne en advarsel om, at det sandsynligvis vil være i strid med databeskyttelsesforordningen at antage en databehandler til behandlinger af personoplysninger, hvor der sker viderebehandling i et tredjeland, hvis der ikke kan sikres et beskyttelsesniveau, der i det væsentlige svarer til beskyttelsesniveauet i EU/EØS.
Krav til klare behandlingskonstruktioner og løbende lovliggørelse
Herudover fastslår Datatilsynet, at man som dataansvarlig ikke lovligt kan benytte produkter, der indeholder uklare behandlingskonstruktioner.
Datatilsynet indskærper samtidig, at den dataansvarlige skal have adgang til de nødvendige ressourcer til at sikre lovlig behandling af personoplysninger, herunder i situationer hvor et valgt produkt eller aftalegrundlaget for produktet ændrer sig.
Læs afgørelsen her
Vil du vide mere?
Læs tidligere afgørelser i Chromebook-sagen nedenfor:
September 2021
Juli 2022
August 2022
Januar 2024