Kort om Chromebooksagen

hovedpunkterne i sagen

Datatilsynet lægger som det første til grund, at behandlingen af personoplysninger i Google Workspace indebærer en høj risiko for eleverne. Dette er Helsingør Kommune som udgangspunkt enige i.

Helsingør Kommune har fastholdt, at alle relevante risici er identificeret og håndteret. Dette er Datatilsynet uenig i. Tilsynet mener, at der hverken er taget stilling til alle de risici, der er identificeret i selve kontrakten eller de offentligt kendte problemstillinger, der findes i den valgte teknologi. Dertil mener Datatilsynet ikke, at de identificerede risici er nedbragt tilstrækkeligt.

Helsingør Kommune har lagt til grund, at Google alene optræder som databehandler, men dette strider imod Datatilsynets opfattelse. Google optræder på flere områder som selvstændig dataansvarlig og behandler personoplysninger til egne formål. Datatilsynet bygger bl.a. denne opfattelse på, at Google – i kommunens materiale – selv opfatter sig som dataansvarlig.

Datatilsynet mener heller ikke, at Helsingør Kommune lever op til indholdskravene til en konsekvensanalyse, idet de ikke har vurderet de relevante risici og kun delvist har beskrevet de nødvendige sikkerhedsforanstaltninger. Derudover har Datatilsynet ikke kunnet konstatere, at Helsingør Kommunes databeskyttelsesrådgiver har angivet at have bemærkninger til konsekvensanalysen.

Ud fra disse betragtninger er det Datatilsynets vurdering, at Helsingør Kommune ikke er i stand til at nedbringe risikoen ved den pågældende behandling af personoplysninger til et acceptabelt niveau uden, at der skal ske ændringer i kontraktgrundlaget samt den teknologi, som kommunen har besluttet at benytte.

hvad så nu?

Datatilsynet har meldt ud, at der holdes konstruktive møder med både Helsingør Kommune og Kommunernes Landsforening (KL). Dog er det allerede nu klart, at det vil være nødvendigt for Helsingør Kommune at samarbejde med sine leverandører om at håndtere de relevante risici for elevernes personoplysninger, hvis de fortsat ønsker at benytte sig af Google Workspace.

I tilfælde af at kommunen erkender, at det ikke er fuldt ud muligt at nedbringe enhver høj risiko, er der i GDPR en mulighed for, at der i samarbejde med Datatilsynet lægges en plan for lovliggørelse af behandlingen.