Nyhetsbrev om nasjonal DPIA for Google Workspace for Education

Anbefalingene i DPIAen (i alle fall noen av dem) 

Hei !

Vi har kommet langt med DPIAen for Google Workspace for Education og tiden er nå inne for å dele noen av konklusjonene og anbefalingene våre med deg. 

En av spørsmålene som vi vet at flere har vært nysgjerrige på, er om vi kommer til å si at det ikke er ok å bruke Google nå. Må du skru av alle Google-tjenestene dine? 

Det korte svaret er at nei, det må du ikke. Men kanskje noen av dem. 
Så la oss snakke om hvorfor! 

En liten heads up før vi starter: dette nyhetsbrevet blir litt "jussete". Vi kommer til å snakke om «behandlingsansvarlig», «formålet med behandlingen» og «behandlingsgrunnlag». Vi prøver å gjøre det enkelt, men hvis du ikke henger med, send oss en e-post ved å svare på dette nyhetsbrevet. 

Det er viktig for oss at vi klarer å forklare konklusjonene våre. Også de som er komplekse, og da trenger vi tilbakemelding fra deg på hva du synes er vanskelig. 

Og en siste ting før vi begynner: akkurat denne problemstillingen er VANSKELIG. Også for de av oss som er jurister. Så her er det ingen skam hvis du må gå noen ekstra runder for å forstå. Vit at vi i prosjektet har gått MANGE runder internt for i det hele tatt å forstå problemstillingen!

Du er skoleeier og behandlingsansvarlig – hva innebærer det? 
Når du er en skoleeier, er du behandlingsansvarlig for de personopplysningene om elever som behandles i digitale verktøy som Google Workspace for Education. 

Det spesielle med deg som skoleeier når du er behandlingsansvarlig er at du ikke kan bruke elevens personopplysninger til hva du vil, du er bundet av opplæringsloven. Opplæringsloven gir deg rammene for hva du skal bruke personopplysninger til. Dette kalles også formålet med behandlingen.

Dette betyr også at du ikke kan bruke en leverandør eller en databehandler som behandler elevers personopplysninger til andre formål enn de som fremgår av opplæringsloven.

Akkurat det siste var grunnen til at det danske Datatilsynet la ned forbud mot bruk av Google Workspace i de 53 kommunene som brukte denne løsningen: den danske opplæringsloven åpnet ikke for at danske skoleeiere kunne dele personopplysninger med Google som så behandlet dem til andre formål enn det som strengt fremgikk av opplæringsloven.   

Når du er behandlingsansvarlig, må du ha et behandlingsgrunnlag for alle behandlinger av personopplysninger som du gjør. 

Det å dele personopplysninger om elever med Google er noe du trenger et behandlingsgrunnlag for. I tillegg kan du ikke dele elevers personopplysninger med en annen behandlingsansvarlig som viderebehandler dem til andre formål enn de som står i opplæringsloven.   

Når er Google behandlingsansvarlig?
Google er stort selskap som tilbyr tjenester både til virksomheter og til forbrukere. For de tjenestene som tilbys oss på forbrukermarkedet, er Google behandlingsansvarlig. 

Men Google er også behandlingsansvarlig for en del av de tjenestene som de tilbyr skoleeiere. For Google Workspace for Education går skillet i all hovedsak mellom «kjernetjenestene» , dvs de tjenestene som er innenfor den grønne boksen på den ene siden og «tilleggstjenestene» og Chrome på den andre. 

Som det fremgår av figuren ovenfor er Google databehandler (ikke behandlingsansvarlig) for personopplysninger som behandles i kjernetjenestene, og behandlingsansvarlig for tilleggstjenestene.

For nettleseren Chrome og Chrome OS (operativsystemet på en Chromebook), er Google også i utgangspunktet behandlingsansvarlig. Men her kan du skru på «Data Processor Mode» og gjøre Google til databehandler. Vi kommer til det under anbefalingene!

Anbefaling og veien videre

Hva betyr dette? Jo, det betyr at vi vil ikke anbefale å bruke tilleggstjenestene i Google Workspace for Education. Vi har bare vurdert to, men de andre tilleggstjenestene er regulert på samme måte, det vil si at Google er behandlingsansvarlig for dem.

Hvorfor? Jo, som nevnt over deler du elevers personopplysninger med Google som behandlingsansvarlig, og det betyr at Google kan bruke dem til det de vil. Det er rett og slett det som ligger i det å være behandlingsansvarlig. Og akkurat dette er problematisk når du er en norsk skoleeier som ikke kan behandle personopplysninger til andre formål enn de som fremgår av opplæringsloven.  

Når det kommer til Chrome nettleser og Chrome OS, kommer vi til å anbefale at du skrur på det som heter «Data Processor Mode». Hvis du skrur dette på, vil Google bli databehandler.

Du kan bare bruke «Data Processor Mode» på en administrert Chromebook. Det betyr at hvis du ikke har det, anbefaler vi ikke å bruke Chrome nettleser fordi Google er behandlingsansvarlig for tjenesten.

Vi i det nasjonale DPIA-prosjektet er klar over at dette ikke er de konklusjonene mange av dere hadde ønsket dere. Vi vet at disse konklusjonene på langt nær løser alle utfordringer du som skoleeier har. Særlig vet vi at mange av dere bruker YouTube og Google search and assist, og at skolehverdagen blir vanskeligere uten dem.

Vi synes det er viktig at vi starter med å anerkjenne det. Dette er virkelig ikke lett for deg som skoleeier!

Så hvordan løser vi dette?

Sannheten er at dette ikke er noen rask løsning. Men vi ønsker å gå i dialog med Google for å forklare behovet skolen har for en versjon av YouTube og Search and assist der Google bare er databehandler.

Arbeidet vårt har nemlig vist oss at for YouTube, har Google gjort flere personvernendringer allerede. Helt konkret samler Google inn forholdsvis få personopplysninger om brukere under 18 år når de bruker YouTube som en tilleggstjeneste i Google Workspace for Education.

Dette betyr at det kanskje bare er det aller siste som gjenstår, nemlig at Google setter på trykk at de bare er databehandler. Men nå spekulerer vi!

Når vi har inngått i den dialogen, vil vi ha mer informasjon om vi ønsker å gå hardt ut med at vi mener alle bør skru av YouTube med en eneste gang.

Jammen, jammen! Hva med metadata?

Det er nyanser i det vi har skrevet i dette nyhetsbrevet som vi ikke har fått med. Det gjelder den ganske komplekse problemstillingen rundt metadata.

For selv om utgangspunktet er at Google bare er databehandler for personopplysninger som behandles i kjernetjenestene, er de likevel behandlingsansvarlig for metadata.

Hvordan har vi løst det?

Jo, det skal vi dykke dypere ned i, i neste nyhetsbrev. Det blir nok et ganske nørdete nyhetsbrev, så gled deg!

Eller ikke! We cannot tell you what to do 😊

Jeg ønsker deg en riktig god, personvernvennlig helg!

Vennlig hilsen 

Ida Thorsrud

prosjektleder nasjonal DPIA

Ps. Den observante leser vil se at jeg systematisk sier «elevers personopplysninger», men det samme gjelder også læreres og andre ansattes personopplysninger når de bruker løsninger som Google Workspace for Education i jobben sin. Men jeg fokuserer mest på elever her siden de er barn og derfor en «særlig og sårbar gruppe» registrerte etter GDPR. 

KS er kommunesektorens organisasjon og representerer alle
norske kommuner og fylkeskommuner.

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!

Newsletter: Progress on the National DPIA for Google Workspace for Education

Recommendations from the DPIA (at least some of them) 

Hi !

We have made significant progress with the DPIA for Google Workspace for Education and now it’s time to share some of our conclusions and recommendations with you.

One of the questions we know many have been curious about is whether we will say that using Google is not okay. Do you need to turn off all your Google services?

The short answer is no, you don't have to. But perhaps some of them.

So let's talk about why!

A heads up before we start: this newsletter will be a bit "legalistic". We will discuss terms like "data controller", "purpose of the processing", and "legal basis". We’ll try to keep it simple, but if you're lost, send us an email by replying to this newsletter.

It's important for us that we manage to explain our conclusions, even the complex ones, and for this, we need your feedback on what you find difficult.

And one last thing before we begin: this issue is HARD. Even for those of us who are lawyers.

So there's no shame in taking extra time to understand. Know that we in the project have spent MANY rounds internally just to grasp the issue!

You are the school owner and data controller – what does that entail?

As a school owner, you are the data controller for the personal data about students that are processed in digital tools like Google Workspace for Education.

Being a data controller means you can't use the students' personal data however you want; you are bound by the education law, which outlines the purposes for which you can use personal data. This is also called the purpose of the processing.

This also means that you can't use a provider or data processor that processes students' personal data for purposes other than those stipulated by the education law.

This was precisely why the Danish Data Protection Agency imposed a ban on the use of Google Workspace in the 53 municipalities that used this solution: the Danish education law did not allow Danish school owners to share personal data with Google, who then processed them for other purposes than those strictly provided by the education law.

When you are the data controller, you need a legal basis for all processing of personal data that you perform.

Sharing personal data about students with Google is something you need a legal basis for. Additionally, you cannot share students' personal data with another data controller who processes them for purposes other than those specified in the education law.

When is Google the data controller?

Google is a large company that offers services to both businesses and consumers. For the services offered to us in the consumer market, Google is the data controller.

However, Google is also the data controller for some of the services they offer to school owners. For Google Workspace for Education, the distinction is mainly between the "core services", i.e., the services within the green box on one side and the "additional services" and Chrome on the other.

As shown in the figure above, Google is the data processor (not the data controller) for personal data processed in the core services, and the data controller for the additional services.

For the Chrome browser and Chrome OS (the operating system on a Chromebook), Google is also initially the data controller. But here you can turn on "Data Processor Mode" and make Google the data processor. We will get to that under recommendations!

Recommendation and the way forward

What does this mean? Well, it means that we will not recommend using the additional services in Google Workspace for Education. We have only assessed two, but the other additional services are regulated in the same way, meaning that Google is the data controller for them.

Why? As mentioned above, sharing students' personal data with Google as the data controller means that Google can use them for whatever they want. That's simply what being a data controller entails. And this is problematic when you are a Norwegian school owner who cannot process personal data for purposes other than those specified in the education law.

When it comes to the Chrome browser and Chrome OS, we will recommend that you turn on "Data Processor Mode". If you activate this, Google will become the data processor.

You can only use "Data Processor Mode" on a managed Chromebook. This means that if you don't have it, we recommend not using the Chrome browser because Google is the data controller for the service.

We in the national DPIA project are aware that these conclusions are not what many of you had hoped for. We know that these conclusions by no means solve all the challenges you as a school owner face. We are particularly aware that many of you use YouTube and Google Search and Assist, and that school life becomes more difficult without them.

It's important that we start by acknowledging that. This really isn't easy for you as a school owner!

So how do we solve this?

The truth is, this is not a quick fix. But we wish to engage in dialogue with Google to explain the school's need for a version of YouTube and Search and Assist where Google is just the data processor.

Our work has indeed shown us that for YouTube, Google has already made several privacy changes. Specifically, Google collects relatively few personal data about users under 18 when they use YouTube as an additional service in Google Workspace for Education.

This means that maybe it's just the final step that remains, namely for Google to state explicitly that they are only the data processor. But now we're speculating!

When we have entered into that dialogue, we will have more information on whether we want to strongly suggest that everyone should turn off YouTube immediately.

But, but! What about metadata?

There are nuances in what we have written in this newsletter that we haven't included. This concerns the quite complex issue around metadata.

For although the starting point is that Google is only the data processor for personal data processed in the core services, they are still the data controller for metadata.

How have we solved this?

Well, we will dive deeper into that in the next newsletter. It's going to be quite a nerdy newsletter, so look forward to it!

Or not! We cannot tell you what to do 😊

I wish you a wonderful, privacy-friendly week-end!

Best regards,

Ida Thorsrud

Project manager national DPIA

This newsletter was translated from Norwegian to English with assistance from ChatGPT by OpenAI. While it guided our translation, we made independent editorial choices. Any discrepancies result from this combined approach.

Ps. The observant reader will notice that I systematically say "students' personal data", but the same also applies to teachers' and other employees' personal data when they use solutions like Google Workspace for Education in their jobs. But I focus mostly on students here since they are children and therefore a "special and vulnerable group" registered under GDPR.

KS is The Norwegian Assosiation of Local and Regional Authorities

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!