Надзорният орган държи на оценка на въздействието на Google Workspace
Шведската агенция за защита на личните данни (IMY) наложи глоба от 300 000 шведски крони срещу образователния отдел на община Йостерсунд. Според IMY чиновниците не са изпълнили задължението си по чл. 35 от GDPR да извършат оценка на въздействието, преди услугата Google Workspace да започне да се използва в 24 училища в община Йостерсунд през есента на 2020 г.
Обработени са данни на 5945 деца, чиито лични данни са особено чувствителни, а и обработването е в контекст, в който децата, като ученици, са зависими от администратора на лични данни, пише в сайта на надзорния орган.
От есента на 2020 г. Google Workspace for Education се използва в 24 общински училища в Йостерсунд, наред с други неща, за да даде на учениците обратна връзка относно училищните задачи. В училищната платформа са обработени личните данни и на 1300 служители.
Преди такова обширно обработване на лични данни на деца в училищни дейности, лицето, отговорно за личните данни, трябва да извърши оценка на последствията, за да идентифицира рисковете и необходимостта от защитни мерки.
Google Workspace се използва за обучение и комуникация. Персоналът раздава планове и задачи на учениците, а на учениците се дава възможност да изпращат училищни задачи. По време на пандемията функцията Meet също се използва до известна степен, за да се даде възможност за дистанционно обучение.
Разследването на случая показва, че по-ранна версия на услугата, Google Apps for Education, е била използвана, но не и в собствен домейн.
Разследването също така показва, че през май 2020 г. община Йостерсунд е взела решение да мигрира новата версия на услугата, Google Workspace, към собствения си домейн и че услугата е стартирана в собствената ИТ среда на общината през юни 2020 г. През есента на 2020 г. съветът започна да използва услугата в 24 от училищата в общината. IMY оценява, че промените в използването на услугата, които общината реши през май 2020 г., са довели до нова обработка на лични данни.
В доклада на IMY се отбелязва и положителното развитие на ситуацията – подписана е споразумение с Google за разширен лиценз, което означава, че данните са криптирани и позволява на обучените системни администратори на общината да работят с настройките за сигурност, изисквани според завършения одит. Разработени са курсове за обучение, актуализирани са планове за управление на информацията, въведени са ограничения върху съхранението и обработката на информация и лични данни.