32 034 Digitale leermiddelen

32 761 Verwerking en bescherming persoonsgegevens

Nr. 52 BRIEF VAN DE MINISTERS VOOR PRIMAIR EN VOORTGEZET ONDERWIJS EN VAN ONDERWIJS, CULTUUR EN WETENSCHAP

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 20 april 2023

Met deze brief informeren we uw Kamer over de uitkomsten van het verbeterplan en de nieuwe afspraken die met Google gemaakt zijn, conform de toezegging om uw Kamer op de hoogte te houden van de ontwikkelingen rondom het gebruik van producten van Google in het onderwijs. Het gaat daarbij om Google Workspace for Education, het softwarepakket van Google met onder andere e-mail, tekstverwerking en agenda, en om Chromebooks, de hardware, met bijbehorend besturingssysteem ChromeOS en de Chrome-browser.

Stand van zaken Google Workspace for Education

Op 8 juli 2021 hebben onze voorgangers uw Kamer geïnformeerd over de overeenstemming die bereikt is met Google over het wegnemen van de acht privacyrisico’s die geconstateerd zijn in een Data Protection Impact Assessment (hierna: DPIA) op Google Workspace for Education.1 Deze DPIA is uitgevoerd door de coöperaties SURF en SIVON namens het hele Nederlandse onderwijs, in samenwerking met Strategisch Leveranciersmanagement Microsoft, Google Cloud en Amazon Web Services (hierna: SLM), onderdeel van het Ministerie van Justitie en Veiligheid. Google heeft een uitgebreide set contractuele, organisatorische en technische maatregelen toegezegd in de vorm van een verbeterplan. De uitvoering van dit verbeterplan kon vanaf 1 januari 2023 door SURF en SIVON worden gecontroleerd.

SURF en SIVON hebben na de controle van het verbeterplan door Privacy Company geconstateerd dat de getroffen maatregelen voor een aanzienlijke voortgang hebben gezorgd in het oplossen van de geconstateerde risico’s. Er is echter ook gebleken dat niet alle genomen maatregelen het beoogde resultaat hebben opgeleverd en dat niet alle risico’s voldoende zijn weggenomen.

De afgelopen weken hebben SURF en SIVON gesprekken gevoerd met Google over de aanvullende maatregelen die nodig zijn. Google heeft daarbij volledig commitment getoond. Met Google is op 17 maart jl. een plan overeengekomen om deze maatregelen alsnog door te voeren. Hierbij is afgesproken dat voor 1 mei 2023 de eerste resultaten worden opgeleverd en dat uiterlijk op 9 juni 2023 de afgesproken maatregelen volledig zijn doorgevoerd. SURF en SIVON worden periodiek geïnformeerd over de (inhoudelijke) voortgang.

Na de doorvoering van de afgesproken maatregelen zullen deze nog door SURF en SIVON worden gecontroleerd. Ook wordt er een Data Transfer Impact Assessment uitgevoerd om de risico’s van internationale doorgifte van persoonsgegevens te beoordelen.

Door de gemaakte afspraken met Google concluderen SURF en SIVON dat het gebruik van Google Workspace for Education binnen het onderwijs door hen niet hoeft te worden ontraden.

Inrichten continu proces

Daarnaast hebben SURF en SIVON met Google afgesproken dat er ook na 9 juni 2023 een continue proces is ingeregeld om te kunnen sturen op de blijvende AVG-compliance van de producten van Google. Hierbij zal in een voortdurend gesprek met Google worden bekeken hoe met nieuwe bevindingen die voortvloeien uit (product-/functionaliteits-)ontwikkelingen, audits en wetgeving moet worden omgegaan om gebruik binnen de kaders van de AVG te kunnen blijven waarborgen. Zo gaan SURF en SIVON met Google in gesprek over vijf nieuwe bevindingen die zijn gedaan.

Dit continue gesprek met leveranciers als Google is cruciaal voor het borgen van privacy in het onderwijs. Een DPIA is niet een éénmalig traject maar een continu proces omdat leveranciers nieuwe functionaliteiten blijven ontwikkelen en we dat moeten blijven toetsen aan wet- en regelgeving. De Autoriteit Persoonsgegevens (AP) concludeerde in januari 2023 dat veel andere landen kunnen leren van de aanpak die Nederland hanteert.2

Stand van zaken Chromebooks

De DPIA op Google Workspace for Education staat los van de DPIA op Chromebooks (ChromeOS en Chrome browser). SURF en SIVON hebben in een apart traject afspraken gemaakt met Google over een nieuwe versie van ChromeOS die rond augustus 2023 gereed moet zijn. Dit is in de Kamerbrief van 14 juli 2022 ook aan uw Kamer gemeld.3

Brief van de Autoriteit Persoonsgegevens

Op 7 maart 2023 heeft de AP middels bijgevoegde brief aan ons nogmaals aandacht gevraagd voor de borging van privacy bij producten van Google. In de brief vraagt de AP om uiterlijk 15 mei 2023 te informeren zodat er duidelijkheid is over het gebruik van producten van Google per schooljaar 2023/2024. Wij onderschrijven het belang om binnen afzienbare termijn duidelijkheid te scheppen richting scholen over het gebruik van Google-producten in het onderwijs. Naar aanleiding van de brief is er contact geweest met de AP. Hierin is toegelicht dat de afspraken met Google betekenen dat er in juni 2023 duidelijkheid is over Workspace for Education en in augustus 2023 duidelijkheid is over Chromebooks. De AP heeft hiervan kennisgenomen. Daarbij is desgevraagd ook een toelichting gegeven op de consequenties van het moeten stoppen met het gebruik van producten van Google.

We houden samen met SURF en SIVON de voortgang van de gesprekken nauwlettend in de gaten en zullen uw Kamer in juni opnieuw informeren.

De Minister voor Primair en Voortgezet Onderwijs, A.D. Wiersma

De Minister van Onderwijs, Cultuur en Wetenschap, R.H. Dijkgraaf

Naar boven