Google moet in het komende schooljaar een andere versie van ChromeOS gaan leveren aan Nederlandse scholen die op Chromebooks werken. Dat komt omdat het bedrijf dan gegevensverwerker wordt en geen gegevensverantwoordelijke, een belangrijk verschil onder de AVG.
Google gaat acht maatregelen doorvoeren waarmee de apparatuur en software geschikt zijn voor het onderwijs. Die maatregelen worden uiteengezet door Privacy Company, dat met onderwijskoepels SURF en Sivon heeft onderhandeld met Google over het gebruik van Workspace for Education. Eerder werd al bekend dat de onderwijsorganisaties een akkoord hadden bereikt met Google, maar de details daarover waren nog niet bekend.
Een van de belangrijkste wijzigingen is dat Google zijn status verandert van gegevensverantwoordelijke naar gegevensverwerker. Onder de privacywet AVG zijn dat begrippen die behandelen welke data een bedrijf mag verzamelen en waarom. Google zag zichzelf altijd als gegevensverantwoordelijke. Daarmee zou het bedrijf zichzelf rechten toe-eigenen om gegevens van gebruikers te verzamelen. Onder de oude voorwaarden verzamelde Google metadata uit Chrome en ChromeOS voor 33 commerciële doelen, waaronder voor het tonen van advertenties.
Nu SURF en Sivon een akkoord hebben gesloten is Google alleen nog maar gegevensverwerker. Dat betekent dat de gegevens alleen verwerkt mogen worden onder de voorwaarden die uit dat akkoord komen. Google mag daarom nog maar voor drie doeleinden gegevens verzamelen: voor het leveren van diensten, om veiligheidsredenen, en om updates te versturen. Daar wordt in de toekomst op toegezien via een audit.
Google blijft wel gegevensverantwoordelijk voor diensten die het 'additioneel' noemt. Dat zijn YouTube, Scholar, Foto's en Maps. Ook de zoekfunctie valt daaronder. Als kinderen op een Chromebook de zoekmachine gebruiken, worden ze uitgelogd uit hun Workspace for Education-account zodat gegevens niet aan hen kunnen worden gekoppeld. "Hierdoor kan Google de gegevens niet gebruiken voor gepersonaliseerde advertenties", schrijft de Privacy Company.
Andere toezeggingen die Google heeft gedaan is dat het bedrijf transparanter wordt over de verzameling van gegevens. Het bedrijf moet 'aanzienlijk meer documentatie publiceren'. Ook gaat Google een tool ontwikkelen waarmee systeembeheerders kunnen zien welke gegevens Google verzamelt. Gegevens worden bovendien korter bewaard.
Het akkoord komt na een lange onderhandeling tussen de overheid en Google. Die begon al maanden geleden, toen bleek dat Google-producten bij zowel de Rijksoverheid als in het onderwijs veel privacyrisico's met zich meebrachten. De overheid wil overstappen naar Google-software zoals Google Workspace, maar volgens een data protection impact assessment uitgevoerd door de Privacy Company, verzamelt Google daarmee te veel informatie en voldoet de software dus niet aan de AVG.
De dpia werd tegelijkertijd uitgevoerd voor het onderwijs, waar Workspace for Education veel wordt gebruikt. Ook die software bleek niet aan de eisen te voldoen. Daardoor dreigde de Autoriteit Persoonsgegevens scholen te verbieden om die software te gebruiken. Om te voorkomen dat het onderwijs daarvoor voor aanvang van het nieuwe schooljaar in de problemen kwam, is het akkoord nu al gesloten en zijn de besluiten openbaar gemaakt. Later dit jaar volgen de aanbevelingen van een akkoord over het gebruik van Google Workspace Enterprise bij de rest van de Rijksoverheid.