De e-mail en clouddiensten van Google voldoen volgens de Autoriteit Persoonsgegevens (AP) niet aan de Europese privacywetgeving AVG. Universiteiten, waaronder de RUG, zouden de diensten van Google volgens de AP daarom in de ban moeten doen.
Dit schrijft Het Financieele Dagblad (FD), dat inzage heeft gekregen in twee vertrouwelijke adviezen van de Nederlandse gegevensbeschermingsautoriteit. Volgens het FD haalt de AP ‘ongemeen hard uit naar de Amerikaanse softwareleverancier.’
Privacy in gedrang
‘Een belangrijk probleem is volgens de AP dat onderwijsinstellingen niet weten hoe en waar persoonlijke gegevens over hun leerlingen en studenten verwerkt worden, voor welk doel, en met welke grondslag’, schrijft het FD. Daarom kan volgens de toezichthouder deze verwerking niet rechtmatig plaatsvinden, schrijft de krant.
De RUG is een van de universiteiten die de mail- en clouddiensten van Google zoals Gmail, Meet, Docs en Classroom gebruikt. ‘Het probleem is dat onze e-mails, gedeelde documenten en kalenderafspraken nu allemaal ergens bij Google verdwijnen zonder dat we weten wat er precies mee gebeurt’, zegt Jaap-Henk Hoepman, universitair hoofddocent IT-recht.
Regie terugnemen
Die scepsis rondom Google wordt al langer breed gedragen, zegt Hoepman. Nu dat is bevestigd door de AP, zou de universiteit daar een boodschap aan moeten nemen. ‘Je moet van Google af, dat is duidelijk. En dit is een mooie aanleiding om het nu goed te doen. Om te staan voor de publieke zaak en niet opnieuw voor een Google-achtige oplossing te kiezen.’
Daarmee bedoelt Hoepman dat de universiteit de regie over de primaire processen, zoals e-mail en het delen van documenten, niet opnieuw bij een groot techbedrijf in Amerika zou moeten beleggen, maar bij zichzelf moet houden. ‘Gebruik je eigen software en je eigen servers, zodat je weet waar de informatie staat en wat ermee gebeurt.’
Volgens Hoepman beschikt de universiteit al over de nodige middelen om eigen servers voor e-mail en het delen van bestanden via lokale schijven simpel en snel mogelijk te maken. Maar, zegt hij ook, goed schaalbare alternatieven voor diensten zoals Docs en Sheets zijn er nog niet. ‘Je kunt overstappen op Microsoft. Die heeft de privacy wel iets beter geregeld, maar dan ben je nog steeds afhankelijk. Dat zou ik niet aanraden.’
Eigen oplossingen ontwikkelen
Het beste alternatief is volgens hem de samenwerking aangaan met andere publieke instellingen via een netwerk als Public Spaces. ‘Daar zit bijvoorbeeld ook de publieke omroep in’, zegt hij. En ook SURF, de coöperatieve vereniging van Nederlandse onderwijsinstellingen waar de RUG ook deel van uitmaakt, ontwikkelt digitale diensten.
‘Je zou nu binnen die verenigingen om tafel moeten gaan en de kans grijpen om gezamenlijk een goed alternatief te ontwikkelen. Laat zien dat je als publieke instellingen ook staat voor publieke zaak.’
Verantwoordelijkheid van Google
Toch lijkt het erop dat de universiteit de verantwoordelijkheid voor de gegevens niet snel in eigen beheer zal nemen, maar juist bij Google wil laten.
‘In principe wordt dit nu opgepakt vanuit de Vereniging van Universiteiten (VSNU) samen met andere overkoepelende onderwijsorganisaties’, zegt RUG-woordvoerder Anja Hulshof. ‘Samen willen ze een beroep doen op de maatschappelijke verantwoordelijkheid van Google om de problemen op te lossen, zodat onze medewerkers en studenten de producten veilig kunnen gebruiken.’
Google Cloud laat in een reactie weten dat de Autoriteit Persoonsgegevens nog geen conclusie heeft getrokken over de naleving van de AVG. De AP wees ‘op enkele vragen die Google en het Nederlandse ministerie van Justitie samen verder moeten oplossen’, aldus Google Cloud. ‘Zij vroegen de partijen om hun rollen en verantwoordelijkheid op het gebied van gegevensbescherming nader toe te lichten, maar stelden geen issues omtrent de naleving vast.’