Een veelgehoord misverstand rondom de AVG is dat er “niets” meer is toegestaan. Overal zou toestemming voor nodig zijn. Ook over aanbieders van clouddiensten kunnen twijfels bestaan, zoals Google en G Suite for Education. Kunnen we dat als onderwijsaanbieder nog gebruiken? En in hoeverre is (ouderlijke) toestemming nodig?
Hoewel de Amerikaanse en Europese privacywetgeving op verschillende gebieden met elkaar conflicteren, is het gebruik van Google diensten vooralsnog niet verboden. Wel bestaan er vragen over de privacybescherming van gebruikers, nu de bevoegdheden van de Amerikaanse overheid zeer ver gaan. Voor het gebruik van G Suite for Education zijn deze bevoegdheden voorlopig nog geen obstakel.
G Suite for Education biedt mogelijkheden tot communicatie, leermogelijkheden, administratieve taken en documentverwerking. De lage kosten van het pakket, de integratie met Chromebooks en de toegankelijke cloudomgeving van het pakket zorgen ervoor dat veel scholen gebruik maken van G Suite for Education. Het pakket biedt twee diensten (services), dit onderscheid is belangrijk in het kader van de AVG en de daarbij horende toestemmingsvraag.
Kernservices
De eerste categorie zijn de zogenaamde Kernservices. Deze diensten zijn het standaard- en basisniveau van het pakket. Het gaat dan om diensten als Gmail, Documenten, Agenda en Classroom. Deze services worden zo ingeregeld en gekoppeld aan het domein van de onderwijsinstelling dat dit account in principe alleen voor onderwijsdoeleinden kan worden gebruikt. Het gebruik van de Kernservices is dan ook niet anders dan een Magisteraccount of een Basispoortinlog: het gaat hier om het uitvoeren en het geven van onderwijs, in combinatie met een gerechtvaardigd belang. Voor deze diensten is het vragen van toestemming aan de ouders, of de leerling zelf, geen vereiste. Ook Google stelt omtrent de Kernservices geen verdere verplichtingen.
Aanvullende services
Naast de basis, de Kernservices, kan G Suite for Education uitgebreid worden met aanvullende services. Leerlingen en docenten kunnen dan (de door de beheerder van de omgeving geselecteerde) extra diensten gebruiken. Bij de aanvullende services gaat het om diensten als YouTube, een uitgebreide versie van Maps, Earth, en Blogger. Deze diensten zijn door Google ontworpen voor consumentgebruikers, maar door middel van G Suite aan een schoolaccount toe te voegen. Het is belangrijk om te beseffen dat deze aanvullende services breder kunnen worden gebruikt dan onderwijsdoeleinden. Zo kan YouTube breder worden gebruikt dan het uploaden van een filmpje voor het vak CKV. Dan komt al snel de grondslag toestemming in het vizier. Google stelt het vragen van toestemming door de school overigens ook verplicht als het gaat om de aanvullende services!
Let op: Google hanteert de grens van 18 jaar, dat is twee jaar bovenop de AVG-grens. Omdat de school een contract met Google heeft voor het gebruik van G Suite for Education, dient de school zich ook aan de aanvullende (contracts)eisen van Google te houden. Maak je gebruik van aanvullende services en heb je daardoor toestemming nodig van ouders bij leerlingen tot en met 18 jaar? Het verdient dan aanbeveling om na te gaan of je een aanvullende service écht nodig hebt of dat er alternatieven bestaan.
Informatieplicht
Maakt de school gebruik van G Suite for Education, ongeacht of je nu gebruik maakt van kern- of aanvullende services? Vergeet de informatie met betrekking tot G Suite for Education dan niet op te nemen in je privacyverklaring, met daarbij een verwijzing naar de privacyverklaring van G Suite for Education (de Kernservice) en eventueel verwijzingen naar privacyverklaringen van de verdere aanvullende services van Google. Vergeet ook niet om een verwerkersovereenkomst met Google af te sluiten!
Hulp nodig?
Hulp nodig bij het regelen van je privacyverklaring en het gebruik van G Suite for Education? Vragen over privacy en informatiebeveiliging of juridisch advies nodig? Of zoekt u een ervaren partner met inhoudelijke kennis van het onderwijs? Onze experts staan u graag te woord.
Juriaan van de Wege
Privacyjurist / Functionaris Gegevensbescherming