Brief regering : Stand van zaken DPIA Google Workspace for Education

32 761
Verwerking en bescherming persoonsgegevens

Nr. 52
BRIEF VAN DE MINISTERS VOOR PRIMAIR EN VOORTGEZET ONDERWIJS EN VAN ONDERWIJS, CULTUUR
EN WETENSCHAP

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 20 april 2023

Met deze brief informeren we uw Kamer over de uitkomsten van het verbeterplan en de
nieuwe afspraken die met Google gemaakt zijn, conform de toezegging om uw Kamer op
de hoogte te houden van de ontwikkelingen rondom het gebruik van producten van Google
in het onderwijs. Het gaat daarbij om Google Workspace for Education, het softwarepakket
van Google met onder andere e-mail, tekstverwerking en agenda, en om Chromebooks,
de hardware, met bijbehorend besturingssysteem ChromeOS en de Chrome-browser.

Stand van zaken Google Workspace for Education

Op 8 juli 2021 hebben onze voorgangers uw Kamer geïnformeerd over de overeenstemming
die bereikt is met Google over het wegnemen van de acht privacyrisico’s die geconstateerd
zijn in een Data Protection Impact Assessment (hierna: DPIA) op Google Workspace for
Education.1 Deze DPIA is uitgevoerd door de coöperaties SURF en SIVON namens het hele Nederlandse
onderwijs, in samenwerking met Strategisch Leveranciersmanagement Microsoft, Google
Cloud en Amazon Web Services (hierna: SLM), onderdeel van het Ministerie van Justitie
en Veiligheid. Google heeft een uitgebreide set contractuele, organisatorische en
technische maatregelen toegezegd in de vorm van een verbeterplan. De uitvoering van
dit verbeterplan kon vanaf 1 januari 2023 door SURF en SIVON worden gecontroleerd.

SURF en SIVON hebben na de controle van het verbeterplan door Privacy Company geconstateerd
dat de getroffen maatregelen voor een aanzienlijke voortgang hebben gezorgd in het
oplossen van de geconstateerde risico’s. Er is echter ook gebleken dat niet alle genomen
maatregelen het beoogde resultaat hebben opgeleverd en dat niet alle risico’s voldoende
zijn weggenomen.

De afgelopen weken hebben SURF en SIVON gesprekken gevoerd met Google over de aanvullende
maatregelen die nodig zijn. Google heeft daarbij volledig commitment getoond. Met
Google is op 17 maart jl. een plan overeengekomen om deze maatregelen alsnog door
te voeren. Hierbij is afgesproken dat voor 1 mei 2023 de eerste resultaten worden
opgeleverd en dat uiterlijk op 9 juni 2023 de afgesproken maatregelen volledig zijn
doorgevoerd. SURF en SIVON worden periodiek geïnformeerd over de (inhoudelijke) voortgang.

Na de doorvoering van de afgesproken maatregelen zullen deze nog door SURF en SIVON
worden gecontroleerd. Ook wordt er een Data Transfer Impact Assessment uitgevoerd
om de risico’s van internationale doorgifte van persoonsgegevens te beoordelen.

Door de gemaakte afspraken met Google concluderen SURF en SIVON dat het gebruik van
Google Workspace for Education binnen het onderwijs door hen niet hoeft te worden
ontraden.

Inrichten continu proces

Daarnaast hebben SURF en SIVON met Google afgesproken dat er ook na 9 juni 2023 een
continue proces is ingeregeld om te kunnen sturen op de blijvende AVG-compliance van
de producten van Google. Hierbij zal in een voortdurend gesprek met Google worden
bekeken hoe met nieuwe bevindingen die voortvloeien uit (product-/functionaliteits-)ontwikkelingen, audits en wetgeving moet worden omgegaan om gebruik binnen de kaders
van de AVG te kunnen blijven waarborgen. Zo gaan SURF en SIVON met Google in gesprek
over vijf nieuwe bevindingen die zijn gedaan.

Dit continue gesprek met leveranciers als Google is cruciaal voor het borgen van privacy
in het onderwijs. Een DPIA is niet een éénmalig traject maar een continu proces omdat
leveranciers nieuwe functionaliteiten blijven ontwikkelen en we dat moeten blijven
toetsen aan wet- en regelgeving. De Autoriteit Persoonsgegevens (AP) concludeerde
in januari 2023 dat veel andere landen kunnen leren van de aanpak die Nederland hanteert.2

Stand van zaken Chromebooks

De DPIA op Google Workspace for Education staat los van de DPIA op Chromebooks (ChromeOS
en Chrome browser). SURF en SIVON hebben in een apart traject afspraken gemaakt met
Google over een nieuwe versie van ChromeOS die rond augustus 2023 gereed moet zijn.
Dit is in de Kamerbrief van 14 juli 2022 ook aan uw Kamer gemeld.3

Brief van de Autoriteit Persoonsgegevens

Op 7 maart 2023 heeft de AP middels bijgevoegde brief aan ons nogmaals aandacht gevraagd
voor de borging van privacy bij producten van Google. In de brief vraagt de AP om
uiterlijk 15 mei 2023 te informeren zodat er duidelijkheid is over het gebruik van
producten van Google per schooljaar 2023/2024. Wij onderschrijven het belang om binnen
afzienbare termijn duidelijkheid te scheppen richting scholen over het gebruik van
Google-producten in het onderwijs. Naar aanleiding van de brief is er contact geweest
met de AP. Hierin is toegelicht dat de afspraken met Google betekenen dat er in juni
2023 duidelijkheid is over Workspace for Education en in augustus 2023 duidelijkheid
is over Chromebooks. De AP heeft hiervan kennisgenomen. Daarbij is desgevraagd ook
een toelichting gegeven op de consequenties van het moeten stoppen met het gebruik
van producten van Google.

We houden samen met SURF en SIVON de voortgang van de gesprekken nauwlettend in de
gaten en zullen uw Kamer in juni opnieuw informeren.

De Minister voor Primair en Voortgezet Onderwijs, A.D. Wiersma

De Minister van Onderwijs, Cultuur en Wetenschap,
R.H. Dijkgraaf