TER ONDERTEKENING

Primair Onderwijs

Aan: MOCW

Van

Persoonsgegeven
Datum
27 juni 2023
Referentie
38964300
Bijlagen

Informeren Tweede Kamer over resultaten DPIA Google
Workspace for Education en Google Chromebooks

Intern OCW afgestemd
HOenS, IB, KENNIS, MBO, PO,
VO

Aanleiding
Met bijgevoegde brief informeert u de Tweede Kamer over de voortgang en
uitkomsten van de Data Protection Impact Assessments (DPIA’s) die zijn
uitgevoerd op Google Workspace for Education (software) en Google
Chromebooks (hardware). Tevens informeert u de Tweede Kamer over wat dit
voor scholen en instellingen betekent.

Geadviseerd besluit
·

Ondertekenen van bijgevoegde brief en akkoord gaan met verzenden naar
de Tweede Kamer.

Kernpunten
·

Op 9 juni 2023 heeft Google voor Workspace for Education maatregelen
opgeleverd om de eerder geconstateerde acht hoge risico’s uit de
oorspronkelijke DPIA weg te nemen.
o

Na de beoordeling van deze maatregelen door SURF en SIVON is
geconstateerd dat de inspanningen die Google heeft geleverd en
nog gaat leveren voldoende zijn om niet langer te hoeven spreken
van hoge risico’s.

o

Met Google zijn afspraken gemaakt over de uitvoering van een
Data Transfer Impact Assessment (DTIA). De resultaten hiervan
zullen naar verwachting dit najaar opgeleverd worden.

o

Met Google zijn afspraken gemaakt over het voeren van het
continue gesprek om eventuele nieuwe bevindingen te
adresseren.

·

Op basis van de door Google getroffen maatregelen en de gemaakte
afspraken over de DTIA en de nieuwe bevindingen concluderen SURF en
SIVON dat het gebruik van Google Workspace kan worden voortgezet.

·

OCW heeft de landsadvocaat gevraagd naar deze conclusie te kijken. Op
basis van het positieve (schriftelijke) advies van de landsadvocaat kan
OCW de conclusie onderschrijven.

·

Voor de Chromebooks van Google is een aparte DPIA uitgevoerd op het
besturingssysteem ChromeOS en de Chrome browser. De bevindingen die
uit dat onderzoek zijn voortgekomen, zijn opgelost. Halverwege augustus
komt de nieuwe versie van de browser beschikbaar waarin de oplossingen
zijn doorgevoerd.

Pagina 1 van 4

·

Dit betekent dat scholen gebruik kunnen blijven maken van de Googleproducten in het nieuwe schooljaar.

·

Op dinsdag 27 juni jl. is de Autoriteit Persoonsgegevens (AP)
geïnformeerd over deze uitkomsten. In het gesprek heeft de AP het
belang benadrukt dat de nieuwe bevindingen en de DTIA voortvarend
worden opgepakt en opgelost.

·

Onderwijsinstellingen worden over de verdere voortgang en
ontwikkelingen rondom de Google-producten op de hoogte gehouden door
SURF en SIVON, die namens hen de gesprekken en onderhandelingen met
leveranciers als Google voeren. Het ministerie van OCW heeft hier geen
formele rol in. Er wordt daarom ook geen nieuwe vervolgbrief
aangekondigd.

·

Internationaal is en wordt contact gelegd met andere EU-landen waar
gebruik wordt gemaakt van de Google-producten in het onderwijs om hen
te informeren over de in Nederland bereikte resultaten en wordt gekeken
naar de mogelijkheden voor internationale samenwerking op dit gebied.

Toelichting
·

Google Workspace for Education wordt binnen het onderwijs door 3000
scholen in het po, 500 scholen in het vo en één hoger onderwijsinstelling
(Rijksuniversiteit Groningen) gebruikt.

·

Voor Google Workspace for Education is op 17 maart jl. door SURF en
SIVON met Google een plan overeengekomen met maatregelen die nodig
zijn om de eerder geconstateerde acht hoge risico’s uit de oorspronkelijke
DPIA weg te nemen. Hierbij is afgesproken dat voor 1 mei 2023 de eerste
resultaten zouden worden opgeleverd en dat uiterlijk op 9 juni 2023 de
afgesproken maatregelen volledig moesten zijn doorgevoerd. Hier is de
1

Kamer op 20 april jl. ook over geïnformeerd.
·

SURF en SIVON hebben geconstateerd dat de inspanningen die Google al
heeft geleverd en die Google naar verwachting nog zal leveren voldoende
zijn om niet langer te hoeven spreken van hoge risico’s.

·

OCW heeft advies ingewonnen bij de landsadvocaat over deze analyse en
constatering. De landsadvocaat onderschrijft de conclusie van SURF en
SIVON en zijn advies heeft nog geleid tot een aantal aanscherpingen in de
wijze waarop de risico’s worden gemitigeerd.

·

Naast de acht hoge risico’s uit de oorspronkelijke DPIA zijn bij de
verificatie van het eerder doorgevoerde verbeterplan van Google in
december 2022 vijf nieuwe bevindingen gedaan die nader onderzocht
moeten worden. Dit laat zien dat een DPIA niet een éénmalig traject is,
maar een continue proces. Door (product-/functionaliteits)ontwikkelingen,
audits en wetgeving kunnen zich ook in de toekomst nieuwe
aandachtspunten en zelfs (hoge) risico’s voordoen bij het gebruik van de
producten. Er is daarom met Google afgesproken om een continue proces
in te richten om te kunnen sturen op de blijvende AVG-compliance van
Google Workspace for Education. In dit continue proces worden nieuwe
bevindingen geadresseerd, evenals de hieronder genoemde DTIA.

1

Zie Kamerbrief over stand van zaken verbeterplan Google Workspace for Education | Kamerstuk |

Rijksoverheid.nl

Pagina 2 van 4

·

Met Google is afgesproken om op Workspace for Education nog een Data
Transfer Impact Assessment (DTIA) uit te voeren. De resultaten hiervan
moeten dit najaar opgeleverd worden. In een DTIA wordt gekeken naar de
internationale doorgifte van persoonsgegevens en wordt onderzocht of, en
zo ja welke, gegevens bewaard worden in het buitenland. De DTIA vormt
een relatief nieuw instrument om dit inzichtelijk te maken en eventuele
(hoge) risico’s hieromtrent te kunnen beoordelen.

·

Gelijktijdig is een DPIA uitgevoerd op de Chrome browser en ChromeOS
(het besturingssysteem van de Chromebooks). Alle bevindingen zijn daar
opgelost. Halverwege augustus komt de nieuwe versie van de browser
beschikbaar waarin de oplossingen zijn doorgevoerd. SIVON en SURF
zullen de onderwijsinstellingen informeren over hoe zij gebruik kunnen
maken van deze verwerkersversie van Chrome/ChromeOS. Dit betekent
dat Google Chromebooks in lijn met de AVG gebruikt kunnen worden in
het Nederlandse onderwijs.

·

Op basis van de door Google getroffen maatregelen en de gemaakte
afspraken over de DTIA en de nieuwe bevindingen is door SURF en SIVON
geconcludeerd dat het gebruik van Google Workspace kan worden
voortgezet. OCW heeft bij de landsadvocaat advies ingewonnen over deze
conclusie. Op basis van dit positieve advies kan OCW de conclusie van
SURF en SIVON onderschrijven.

·

De Autoriteit Persoonsgegevens (AP) heeft op 7 maart jl. aandacht
gevraagd voor de borging van privacy bij producten van Google en heeft
ons verzocht om voor de start van het komend schooljaar (2023/2024)
aan scholen duidelijkheid te bieden over de inzetbaarheid van
Googleproducten. Naar aanleiding van deze brief is er destijds contact
geweest met de AP, waarbij de tijdslijnen en de afspraken met Google,
zoals eveneens uiteengezet in de Kamerbrief van 20 april jl., zijn
toegelicht. Afgelopen dinsdag (27 juni) is de AP geïnformeerd over de
conclusie van SURF en SIVON dat op basis van de door Google getroffen
maatregelen en de gemaakte afspraken over de DTIA en de nieuwe
bevindingen het gebruik van Google Workspace kan worden voortgezet.
Ook is de AP op de hoogte gebracht van de uitkomsten van het DPIAtraject rond de Chrome-browser en ChromeOS. In het gesprek heeft de
AP het belang benadrukt dat de nieuwe bevindingen en de DTIA
voortvarend worden opgepakt en opgelost. Vanuit OCW-zijde hebben wij
dit belang onderschreven.

·

Het dossier heeft internationale aspecten, en de ontwikkelingen in
Nederland worden dan ook met belangstelling in andere landen gevolgd.
Zo is er contact geweest tussen MPVO en de Vlaams minister van
Onderwijs, Dierenwelzijn en Sport over het gebruik van Google-producten
in het onderwijs. Vlaanderen is zeer geïnteresseerd in de Nederlandse
uitkomsten. Ook wordt in Denemarken met Google-producten gewerkt en
is daar contact mee gelegd. De in Nederland bereikte resultaten rondom
de Google-producten worden gedeeld met andere landen. Ook worden de
mogelijkheden onderzocht om de internationale samenwerking te
intensiveren.

·

Voor de DPIA op Google Workspace for Education hebben SURF en SIVON
samengewerkt met het ministerie van J&V (onderdeel Strategisch
Leveranciersmanagement Rijk). De vorige keren heeft het ministerie van

Pagina 3 van 4

JenV eveneens parallel een brief gestuurd naar de Tweede Kamer. Om
praktische redenen wordt dat nu niet gedaan. De gebruikers worden wel
geïnformeerd over de positieve uitkomsten van de DPIA.

Pagina 4 van 4