Google niet veilig genoeg voor in de klas, vinden ministers voor onderwijs

Google-software voor onderwijs brengt te veel privacyrisico's met zich mee. Onderwijsinstellingen hebben 'onvoldoende grip' op wat er met gegevens van leerlingen gebeurt, vinden onderwijsministers Ingrid van Engelshoven en Arie Slob.

De ministers schrijven dat in een Kamerbrief. Het gaat om G Suite for Education, de onderwijsvariant van Google-diensten als Google Docs en Gmail, met aanvullingen zoals Google Classroom. Inmiddels zijn die diensten omgedoopt tot Google Workspace.

Struikelblok is metadata: informatie over welke programma's en diensten leerlingen wanneer gebruiken op wat voor soort apparaten. Inhoud zoals persoonsgegevens of onderwijsresultaten valt niet onder metadata.

'Onvoldoende grip'

Toch is uit metadata veel af te leiden. Google is zelf als enige verwerkingsverantwoordelijke voor de metadata van zijn diensten. "Dit betekent dat zij mag bepalen voor welk doel zij metadata verzamelen en op welke manier dat gebeurt", schrijven de ministers.

Bovendien mag Google volgens zijn privacyovereenkomsten zelf eenzijdig bepalen om de omgang van metadata aan te passen. "Dat betekent dat onderwijsinstellingen die Google G Suite for Education gebruiken, geen of onvoldoende grip houden op wat er met deze gegevens gebeurt", aldus de onderwijsministers.

'Onwenselijk'

Het is "onwenselijk dat het eigenaarschap en de verantwoordelijkheid voor die gegevens bij Google ligt", vindt de PO-raad, de koepelorganisatie voor basisscholen. Het gebruik van educatieve software zoals die van Google is door de corona-pandemie sterk toegenomen, mede om thuisonderwijs mogelijk te maken.

De samenwerkingsverbanden SURF en SIVON, die gaan over de ict-producten op scholen, zijn met Google in gesprek over verbeterpunten. Ook dienen zijn een adviesaanvraag over de privacyrisico’s in bij de Autoriteit Persoonsgegevens. "Wij gaan ervan uit dat Google aanpassingen doorvoert zodat de geconstateerde risico’s worden weggenomen en G Suite for Education veilig gebruikt kan worden", aldus de instanties.

Het kabinet heeft daarnaast contact gelegd met de Europese Commissie over de kwestie. Tot er meer duidelijk is, kan niet zomaar worden gestopt met het gebruik van de Google-diensten. Het onderwijs wordt op de hoogte gehouden van vervolgstappen.

'Ongevallen op de loer'

De conclusies van de onderwijsministers komen voort uit het proces Data Protection Impact Assessment (DPIA). Via een DPIA kunnen techaanbieders bij aanbestedingen worden doorgelicht. De DPIA naar Google werd vorig jaar aangevraagd door Kamerleden Peter Kwint (SP) en Paul van Meenen (D66).

Volgens Kwint liggen ongevallen op de loer. "Precies waarom ik aan de bel getrokken heb bij het kabinet. Als je Google vrij baan geeft in het onderwijs laat je een speler binnen wiens verdienmodel de persoonlijke data van anderen zijn", schrijft het Kamerlid op Twitter.

Google: 'kans om toewijding te tonen'

Google zegt in een reactie het DPIA-proces te zien als "kans om onze toewijding aan privacy en veiligheid aan de publieke sector te tonen". Het bedrijf zegt al een aantal stappen te hebben ondernomen om tegemoet te komen aan de zorgen die in het onderzoek naar voren kwamen. Google blijft in overleg met de Nederlandse overheid.

Het bedrijf onderstreept ook een aantal punten. Zo stelt Google dat het nooit klantgegevens of servicegegevens zoals gebruikersactiviteit gebruikt voor advertentie-targeting. Premium-versies van Google-diensten zoals de Workspace for Education, zijn advertentievrij.

Ook hebben klanten volgens Google controle over hun gegevens. "Wij verwerken gegevens van Cloud-klanten alleen volgens de instructies die in de overeenkomsten met onze klanten zijn opgenomen", aldus het bedrijf. Google is daarnaast "toegewijd aan transparantie" en "in naleving van regelgeving zoals de GDPR (AVG)".

Microsoft wel op orde

In de Kamerbrief stellen de ministers dat een soortgelijk DPIA-proces ook is gedaan naar de educatieve diensten van Microsoft. Ook daar werden bezwaren gevonden, maar die zijn in overleg met de ministers inmiddels door Microsoft verbeterd. Nu kleven aan het gebruik van Microsoft-diensten in het onderwijs "geen hoge risico's meer, mits de gebruiker een aantal maatregelen neemt", aldus de ministers.