Aan de Voorzitter van de Tweede Kamer der Staten-Generaal
Den Haag, 8 juli 2021
In onze brief1 van 8 juni jl. informeerden we uw Kamer over het advies van de Autoriteit Persoonsgegevens
(AP) aan SURF en SIVON betreffende Google G Suite for Education (thans: Google Workspace
for Education) en de brieven van de AP aan ons. In onze brief gaven we ook aan dat
Google in een verklaring heeft aangegeven zich te committeren aan de vereisten van
de Algemene Verordening Gegevensbescherming (AVG) en dat Google het vertrouwen heeft
om tijdig de hoge risico’s te mitigeren.
SURF, SIVON (namens de sectorraden) en het Strategisch Leveranciersmanagement Rijk
(SLM Rijk) hebben meerdere gesprekken met Google gevoerd. Deze gesprekken hebben geresulteerd
in een overeenkomst met een uitgebreide set contractuele, organisatorische en technische
maatregelen. De maatregelen richten zich op de acht geconstateerde dataprotectierisico’s
bij Workspace for Education. De partijen hebben ook afgesproken dat op 21 juli duidelijkheid
komt over hoe de afspraken met Google verwerkt worden in bestaande en nieuwe contracten.
Daarnaast heeft Google zich verplicht de gesprekken met SURF en SIVON voort te zetten
over andere Google-diensten die veelvuldig in het onderwijs gebruikt worden zoals
het Google Cloud Platform en ChromeOS (het besturingssysteem voor Chromebooks).
Google heeft concrete toezeggingen gedaan om alle tekortkomingen weg te nemen. Er
is een tijdspad afgesproken waarin duidelijk is aangegeven wanneer Google op een duurzame
manier invulling geeft aan de AVG-vereisten in de Google-diensten.
SURF en SIVON herijken de bestaande data protection impact assessment (DPIA) op Workspace
for Education naar aanleiding van de toezeggingen van Google. SURF en SIVON stellen
vast dat de door Google toegezegde maatregelen voldoende zijn om de geconstateerde
dataprotectierisico’s bij Workspace for Education te mitigeren. Op het gebruik van
Chromebooks wordt momenteel een DPIA uitgevoerd en de uitkomst daarvan wordt met Google
besproken zoals ook gedaan is met de DPIA op Workspace for Education.
Afgelopen weken is er door de verschillende partijen, maar in het bijzonder door SURF
en SIVON, een majeure klus geklaard. De intensieve gespreksrondes met alle partijen
waren constructief en voor de behaalde uitkomsten is veel waardering. Deze ontwikkeling
laat zien hoe belangrijk lidmaatschap van schoolbesturen in deze coöperaties is voor
veilig gebruik van digitale leermiddelen in het onderwijs.
Vanuit SURF, SIVON (op verzoek van de sectorraden) worden de onderwijsinstellingen
die gebruik maken van Google voorzien van de benodigde informatie. Ook nu er overeenstemming
is met Google over het mitigeren van de hoge risico’s heeft dit gevolgen voor onderwijsinstellingen.
Onderwijsinstellingen zullen onder andere nieuwe contracten moeten afsluiten en bepaalde
technische instellingen moeten doorvoeren om veilig gebruik te kunnen maken van Google-diensten.
De onderwijsinstellingen kunnen hierbij worden ondersteund door hun ICT-leveranciers. Op deze manier wordt de impact voor het onderwijs beperkt gehouden en kunnen
onderwijsinstellingen aan het begin van het komende schooljaar door gaan met het gebruik
maken van Google-diensten.
We zullen uw Kamer hier na de zomer nader over informeren.
De Minister van Onderwijs, Cultuur en Wetenschap,
I.K. van Engelshoven
De Minister voor Basis- en Voortgezet Onderwijs en Media,
A. Slob