Bij het gebruik van Google G Suite en G Suite for Education zijn er privacyrisico's waardoor organisaties die de software gebruiken geen of onvoldoende grip houden op wat er met de gegevens van gebruikers gebeurt, zo melden minister Grapperhaus van Justitie en Veiligheid, minister van Engelshoven van Onderwijs en minister Slob voor Basis- en Voortgezet Onderwijs en Media.

Strategisch Leveranciersmanagement (SLM) Rijk heeft vorig jaar de Haagse Privacy Company een Data Protection Impact Assessment (DPIA) laten uitvoeren naar het voorgenomen gebruik van G Suite Enterprise van Google. Met een DPIA worden vooraf de privacyrisico's die bij het verwerken van gegevens komen kijken in kaart gebracht. Vervolgens kunnen er maatregelen worden getroffen om de risico's te verkleinen.

Parallel aan de DPIA op Google G Suite Enterprise door SLM Rijk hebben de Hogeschool van Amsterdam en de Rijksuniversiteit Groningen een DPIA laten uitvoeren op G Suite for Education, de onderwijsvariant van G Suite. Uit het onderzoek naar Google G Suite zijn tien hoge risico's met betrekking tot de databescherming gevonden. Naar aanleiding van deze uitkomsten hebben SLM Rijk en Google overleg gevoerd om de hoge risico’s te verhelpen.

Deze gesprekken hebben geleid tot een aantal juridische en technische toezeggingen aan de kant van Google en een aantal mogelijke organisatorische maatregelen aan de kant van de Rijksorganisaties. Op basis van deze uitkomsten is er op 12 februari jongstleden een herbeoordeling van de hoge risico’s afgerond. De uitkomst hiervan is dat er acht hoge risico’s resteren", schrijft minister Grapperhaus in een brief aan de Tweede Kamer.

De hoge risico’s betreffen een gebrek aan doelbinding, een gebrek aan transparantie, gebrek aan juiste grondslag, ontbrekende mogelijkheden voor privacyvriendelijke instellingen, gebrek aan controle over sub-verwerkers en gebrek aan het recht op inzage voor betrokkenen in het kader van de voorgenomen verwerkingen bij het gebruik van de onderzochte Google-diensten.

Ook de omgang met metadata wordt als risico genoemd. "Google heeft als standpunt dat zij zichzelf als enige verwerkingsverantwoordelijke ziet voor metadata. Dit betekent dat zij mag bepalen voor welk doel zij metadata verzamelen en op welke manier dat gebeurt", aldus de ministers. Daarnaast staan in de privacyovereenkomsten dat Google de voorwaarden rondom metadata eenzijdig mag aanpassen, zonder de gebruiker om toestemming te vragen.

"Dat betekent dat onderwijsinstellingen die Google G Suite for Education gebruiken, geen of onvoldoende grip houden op wat er met deze gegevens gebeurt", stellen Slob en Van Engelshoven. De gevonden privacyrisico's zijn nog altijd aanwezig. Daarom heeft SLM Rijk de Autoriteit Persoonsgegevens om advies gevraagd. Ook voor onderwijsinstellingen is een dergelijk advies aangevraagd.

Het kabinet is inmiddels in overleg met de Europese Commissie. Verder blijft SLM Rijk namens het Nederlandse onderwijs de gesprekken met Google voeren. "Het doel is dat G Suite for Education veilig gebruikt kan worden zonder risico’s voor de privacy van leerlingen, studenten en docenten", schrijven de ministers.

Update

In een eerste versie van dit artikel werd abusievelijk gesproken over Strategisch Leveranciersmanagement Microsoft Rijk dat moest Strategisch Leveranciersmanagement Rijk zijn. Dit is aangepast.