VOORBEELDBRIEF Scholen en Schoolbesturen
Geachte directeur / Geacht schoolbestuur
Via dit bericht willen we u op de hoogte brengen over nieuwe ontwikkelingen rondom het gebruik van Google Workspace for Education en welke acties de school en het schoolbestuur moet nemen om de privacyrisico's te beperken. In mei 2023 bracht de Vlaamse Toezichtcommissie een advies uit rond het gebruik van Google Workspace for Education. In dit advies werd gesteld dat Google voldoende garanties moest geven om in Vlaanderen minstens dezelfde voorwaarden te bekomen die in Nederland gelden rond het gebruik van Google Workspace for Education. Zoniet zijn scholen verplicht om te stoppen met Google Workspace for Education in september 2024.
Even terugblikken
In 2020 heeft men in Nederland een gegevensbeschermingseffectbeoordeling (GEB) uitgevoerd op Google Workspace for Education. Uit deze GEB bleek dat er toch een aantal hoge rest-risico's aanwezig waren bij het gebruik van Google Workspace for Education. In 2021 heeft men in Nederland afspraken met Google gemaakt om deze geconstateerde privacyrisico’s te verminderen. Google heeft op basis van deze afspraken wijzigingen doorgevoerd en maatregelen genomen. In juni 2023, na oplevering van alle wijzigingen door Google, zijn de genomen maatregelen ook door externe privacyexperts in Nederland gecontroleerd. Na grondig onderzoek is gebleken dat scholen in Nederland Google Workspace voorlopig kunnen blijven gebruiken
Afspraken met Google
De afspraken die in Nederland zijn gemaakt met Google, zullen door Google ook doorgevoerd worden in Vlaanderen. Dit is zo bevestigd door Google aan de Expertenwerkgroep gegevensbescherming in onderwijs. Zo ook kan het Vlaams onderwijs van deze gewijzigde voorwaarden gebruikmaken. Dat betekent onder andere dat de standaard voorwaarden van Google niet van toepassing zijn, maar dat aanvullende voorwaarden gelden.
Op basis van de afspraken met Google, krijgen gebruikers volledig inzicht in de persoonsgegevens die Google verzamelt. Het gaat niet alleen om de bestanden die zelf worden gemaakt (bijvoorbeeld documenten, presentaties, rekenbladen) maar ook om informatie die Google verzamelt (de zogenaamde diagnostische gegevens) bij het gebruik van Google Workspace for Education. Leerlingen, hun ouders en medewerkers van de school kunnen nu een verzoek indienen bij de school om inzage te krijgen in die informatie of kunnen deze gegevens opvragen. Daarnaast zal Google maar in een beperkt aantal gevallen als verwerkingsverantwoordelijke optreden.
Uit te voeren stappen voor scholen
Om Google Workspace for Education verder te kunnen blijven gebruiken moet de school/schoolbestuur zeker volgende acties ondernemen:
Vervolgstappen
Informatiebeveiliging en privacy zijn een continu proces. Dit betekent dat je als eindverantwoordelijk schoolbestuur op de hoogte moet zijn van de laatste stand van zaken.
Omdat de GEB in Nederland uitgevoerd is, gaat deze niet volledig in op het gebruik van Workspace for Education in het Vlaams onderwijs. Daarom zal het Expertennetwerk in de toekomst een generieke GEB voor het Vlaams onderwijs opstellen die geldig is voor een groot aantal standaard verwerkingen. Scholen en schoolbesturen moeten dan via een zogenaamde ‘lokale GEB’ vaststellen of hun verwerkingen stroken met de generieke GEB. Een sjabloon voor deze lokale GEB zal later door het expertennetwerk op de website beschikking worden gesteld.
Meer informatie
De Expertenwerkgroep gegevensbescherming in het onderwijs blijft in gesprek met grote ict-leveranciers zoals Google en Microsoft en ze voeren privacytoetsen (GEB's) uit bij Vlaamse leveranciers. Daarmee zorgen zij, samen met de schoolbesturen, dat in Vlaanderen veilig en verantwoord wordt omgegaan met de privacy en persoonsgegevens van leerlingen, hun ouders en alle medewerkers van de school. We volgen die ontwikkelingen.
Meer informatie over de DPIA op Google Workspace for Education vindt u op de website van de expertenwerkgroep.
Indien je informatie wilt over het gebruik van Google Workspace binnen jouw scholen, dan kan je uiteraard een nadere toelichting vragen aan de data protection officer van het schoolbestuur.