DPIA Google Workspace

Google biedt een breed pakket aan diensten aan. Het DPIA-onderzoek van SIVON richt zich op Google Workspace for Education.  

Workspace for Education

In 2021 bleek uit een DPIA onderzoek in opdracht van de Rijksuniversiteit Groningen (RUG) en de Hogeschool van Amsterdam (HvA) bleek dat er privacyrisico’s kleven aan het gebruik van Google G Suite (nu Workspace). In juli 2021 hebben SIVON en SURF een akkoord bereikt met Google. Daarmee zijn de hoge privacyrisico’s van Google Workspace for Education weggenomen.  Lees de laatste update (mei 2022) over Workspace for Education.

Risico’s

Hieronder volgt een overzicht van de belangrijkste risico’s. Een volledige beschrijving van de risico’s vindt u in het DPIA-rapport.

De scope van de nieuwe Google overeenkomst beperkt zich tot de core Workspace diensten. Diensten zoals YouTube, maps, search en marketplace vallen hier niet onder. Voor deze diensten is Google nog steeds data controller en hebben scholen geen invloed op purpose limitation. 

  • mogelijke data “spil” tussen verschillende Google accounts; 
  • mogelijke data spil naar diensten waarvoor Google data controller is (onder andere enhanced spell checker); 
  • aanwezigheid gevoelige data in support tickets; 
  • persoonsgegevens in meta data (file names/folder names)  

Maatregelen

Om Workspace for Education te blijven gebruiken, moet u zelf een aantal mitigerende maatregelen nemen: 

  1. de juiste (technische) instellingen invoeren;  
  2. de nieuwe Google voorwaarden accepteren; 
  3. eigen specifieke restrisico’s in kaart brengen met een schoolspecifieke DPIA. 

Bekijk de handleiding waarin staat hoe u deze maatregelen kunt doorvoeren.

Remediation

Om aan alle gestelde voorwaarden te voldoen gaat Google ook veranderingen aanbrengen in de dienst. Dit is de zogenaamde remediation-lijst “de nog te nemen maatregelen” na augustus 2021. De volledige Google mitigation list staat in het DPIA rapport.  

Toezegging Status 
Advertenties staan standaard uit Completed 
YouTube embedded player voldoet aan de nieuwe education voorwaarden Completed 
Purpose limitation diagnostic data Completed 
Onderbouwing door Google waarom bepaalde data ingeleverd kunnen worden bij inzage verzoeken Deze informatie staat bij Data Access Request Form (url EN en NL), 

Kijk hier voor veelgestelde vragen over het gebruik van Google Workspace en de DPIA Google.

Artikelen over DPIA Google op sivon.nl