Bag kulissen i Chromebook-kampen: Datatilsynet ser på sagen »med ekstrem alvor«

17. august kl. 21:4522
Kronborg i Helsingør
Illustration: Helsingør Kommune.
Bølgerne gik højt mellem Helsingør Kommune, KL og Datatilsynet, da tilsynet afviste at udskyde fristen for Chromebook-forbuddet, fordi der er tale om en ekstremt alvorlig sag.
Artiklen er ældre end 30 dage

»Det er sort det her. Har lige skændtes med Allan.«

Sådan skriver Lars Rich, it-ansvarlig i Helsingør Kommune i en mail til flere kollegaer og medarbejdere i Kommunernes Landsforening (KL) onsdag den 20. juli.

Torsdagen forinden har Datatilsynet offentliggjort en afgørelse, der suspenderer Chromebook-computere i kommunens folkeskoler, og sagsbehandleren bag hedder Allan Frank, jurist og it-specialist i tilsynsmyndigheden.

Få fuld adgang til EduTech

EduTech skriver til professionelle, der arbejder med digitale- og teknologiske uddannelsesløsninger.

Få 3 uger gratis prøve abonnement til EduTech. Betalingskort er ikke påkrævet, og du vil ikke blive flyttet til et betalt abonnement efterfølgende.

Du kan også få tilsendt et tilbud til dig.

Abonnementsfordele
vpn_key
Fuld adgang til EduTech
Alt indhold på EduTech er åbent for dig, så du kan nyde det fra din computer, tablet eller mobil.
drafts
Kuraterede nyhedsbreve
Nyheder, interviews, tendenshistorier og meget mere, leveret til din indbakke.
Adgang til andre medier
Hver måned får du 6 klip, som kan bruges til permanent at låse op for indhold på vores andre medier.
thumb_up
Adgang til debatten
Deltag i debatten med andre professionelle.
22 kommentarer.  Hop til debatten
Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
22
18. august kl. 15:27

Hvorfor hører man ikke noget om de øvrige +40 kommuner, som overholder loven? De kommuners skoler må - ifølge Helsingørs og KL's argumentation - producere ekstremt dumme børn, netop fordi disse elever er gået glip af Google. Jeg mener, "honningkrukken" Version 2's dækning er vigtig: Hvis man ikke kan lave god systemarkitektur uden at stjæle data fra børn, bør man holde sig væk fra branchen. Men måske er Chromebook-sagen kimen til en kulturkamp i V2 og ING.

19
18. august kl. 12:09

Ubegribeligt som V2 er honningkrukke for privacy aktivister, som foretrækker et DK tilbage til skifertavler.

21
18. august kl. 13:38

Ubegribeligt som V2 er honningkrukke for privacy aktivister, som foretrækker et DK tilbage til skifertavler.

Siden hvornår er IT der ikke er i en amerikansk cloud eller hvor data på anden måde er udenfor slutbruger/organisationen som brugeren tilhører's kontrol = skifertavler?

20
18. august kl. 12:13

Dejlig saglig kommentar ;-)

Jeg går ud fra, at du så ikke går ind for privacy?

12
17. august kl. 12:02

Det er for let, bare at skyde på at der mangler kompetencer. Der mangler kompetencer alle steder, og de fleste i job, er også i en læringsproces.

Særligt jurister og sagsbehandlere, har en forpligtelse til at vejlede borgerne, så de ikke mister rettigheder mm. pga. fodfejl. Det burde også gælde mellem myndigheder.

Google leverer nok det bedste produkt, for få penge. Skolerne, Kommunerne og IT afdelingen har fokus på deres spids-kompetencer, i dette tilfælde omkring læring. Så det er det de skal være gode til, inden for de overordnede rammer, som bestem ikke er tydelige. Det sagt går jeg helt ind for beskyttelse af borgerrettigheder, også selvom det er bøvlet, og at tidligere og nuværende politikere, har travlt med at sælge ud, af borrettighedsværdierne.

Så vidt jeg kan se, handler alle parter, ud fra gode motiver og mangler:

  • Lars Rich burde have søgt og fået juridisk bistand i kommunen - hvis den da haves.
  • Datatilsynet burde have et langt større budget.
  • Cristina Gulisano burde optræde som en slags leder, og sikre hjælp til Allan Frank med at kommunikerer, så ikke jurister forstår meningen, rammerne og prioriteterne.
14
17. august kl. 15:20

Lars Rich burde have søgt og fået juridisk bistand i kommunen - hvis den da haves.

Lars Rich og Helsingør burde i det hele taget have søgt mere uafhængig juridisk bistand. Bech-Bruun har også Microsoft og Samsung som kunder, hvilket nok kan give visse interessekonflikter ift. at rådgive imod tech-giganters interesser. Og i følge artikel i Radarmedia.dk har de vist ikke ydet Helsingør god rådgivning. Hvorfor mon ikke? Interessekonflikter?

Og en aktindsigt fortæller, at Google - også Google Europa, så sagen giver genlyd - flere gange har tilbudt Helsingør møder, og at bidrage med advokat og rådgivning. Og der har været udveksling af svar og materialer fra Google under NDA. Hvorfor det? Betyder det, at heller ikke Datatilsynet kan se disse svar?

Det fremgår ikke, hvad Helsingør har svaret til Googles tilbud, men jeg håber ved Gud, at de har sagt nej tak til advokatbistand fra Google - helt nej tak! - for det ville jeg anse som en form for korruption!

I mine øjne har Helsingør i den grad dummet sig, og nu sidder de i saksen. Jeg kan godt få ondt af de ansvarlige, for de kæmper nok - i overført betydning - for deres liv. Men det ændrer ikke ved, at de i den grad har dummet sig, og nu er ansvarlige.

15
17. august kl. 19:39

@Anne-Marie Krogsbøll.. Har du denne akt indsigt og kan dokumentere, at google har tilbudt kommunen advokat bistand og rådgivning i sagen ? Lyder interessant.

16
17. august kl. 19:49

Hej Jesper.

Ja, jeg har en aktliste, hvoraf det fremgår, at Google har henvendt sig med det tilbud - det er en advokat Plesner, som i et eller andet omfang er/har været inde over, i hvert fald på Googles side - jeg ved ikke, hvad hans rolle er ift. Helsingør. Jeg har ikke fået søgt om aktindsigt i selve henvendelsen endnu. Jeg kan se, at Helsingør har svaret, men ikke hvad de har svaret. Google har svaret flere gange med noget NGA-belagt - og nogle forklaringer om, hvad det så dækker.

Jeg går ikke ud fra, at man kan lægge filer ind her, men hvis du lægger en mailadresse, kan jeg sende aktlisten til dig. Der er mange andre potentielt spændende ting på, men det er svært at se kun ud fra overskrifterne.

17
18. august kl. 10:38

Det er Michael Hopp, som Google tilbyder hjælp fra. Uden tvivl en kapacitet på persondata-området, men om ham kan man bl.a. læse:

"På markedsføringsområdet har Michael omfattende viden om datadrevet markedsføring og særligt de kommercielle gevinster ved brugen af datadrevet markedsføring. Michael er en værdiskabende rådgiver særligt i forhold til den dynamiske fortolkning af lovgivningen relateret til udbredelsen af nye teknologier."

"Den dynamiske fortolkning af lovgivningen".... Er det bare mig, der synes, at det, set i sammenhæng med den øvrige beskrivelse at værdiskabende speciale på markedsføringsområdet, kunne lyde lidt af "smuthuller og fiflerier" - Googles speciale?

13
17. august kl. 14:11

Der mangler ikke reelle kompetencer i denne sag! Der mangler ledelse i form af at Lars Rich, som direktør og ansvarlig for området i Helsingør Kommune, tager ansvar for det job han er sat til at varetage.

Det er ikke Datatilsynets opgave at være babysitter for dem som de kontrollerer, især ikke andre offentlige myndigheder, som ved og bør som minimum vide hvad lovgivning og juridiske afgørelser betyder.

Allan Frank har gjort sit arbejde helt korrekt. Det har Lars Rich ikke!

Skylden ligger alene et sted: Hos Lars Rich. Du kan ikke være ansvarlig leder på det niveau og ikke være fuldt vidende om hvad og hvordan du skal reagere når Datatilsynet sender en afgørelse eller anmoder om oplysninger.

Alle kommuner har jurister ansat og der er også ansat en Data Protection Officer (DPO) i Helsingør Kommune, som reelt burde kunne svare på alle juridiske spørgsmål, som Lars Rich har været i tvivl om ift. Datatilsynets anmodninger og afgørelser.

Datatilsynet og Allan Frank gør som de gør fordi det er sådan offentlig administration skal være og fordi Datatilsynet er omfattet af regler, som de overholder. Så ja, Datatilsynet kan godt bruge flere ressourcer, men Allan Frank gør helt korrekt det han skal gøre: Lave afgørelser som baserer sig på den lovgivning, som han og Datatilsynet er sat til at administrere og det medfører juridiske afgørelser, som Helsingør Kommune må fortolke og reagere på.

11
15. august kl. 18:01

Jeg syntes egentlig at de byrådspolitikkere der sidder og træffer afgørelsen om at stoppe for brugen af google produkter midlertidigt gør det ganske godt og stiller nogle gode spørgsmål. Især taget i betragtning af den meget ensidede udlægning de får. For hold da kaje de har sovet i timen... Tjek evt lige dette punkt under redegørelsen hvor de totalt udviser mangel på viden omkring FISA og schrems IIhttps://youtu.be/yozx0mIUNyw?t=5660

10
15. august kl. 14:51

Den her sætning giver mig myrekryb: »Man kan vel næsten sige, at eleverne bliver gidsler i en bureaukratisk diskussion mellem to offentlige myndigheder – hvilket jeg syntes er rigtig ærgerligt og i ingens interesse.«

Manden nægter jo at tage et ansvar, men så skal jeg nok hjælpe ham med at fixe det for ham: Man kan nærmest sige, at eleverne bliver gidsler af en situation, hvor vi som kommune ikke har gjort vores job godt nok, og sikret at alle data blev behandlet efter loven.

Manden er sikkert et godt menneske, men lige her udviser han seriøs mangel på overblik over hvem der egentligt har ansvaret her. Totalt ansvarssvigt!

8
15. august kl. 12:31

Jeg synes alle bør se det byrådsmøde fra d. 07 aug. hvor sagen håndteres. Særligt ca. d 1 time, hvor embedsmanden fremlægger sagen for byrådet, så de har et "grundlag" for at tage beslutningen. Beslutningen om at stoppe brugen af Chromebooks tages jv. min mening, ikke hensyn til data og børns beskyttelse. Og der fejler byrådet stort. Se selv og vurdér/ kommentér:https://youtu.be/yozx0mIUNyw

9
15. august kl. 13:26

Meget relevant spørgsmål fra SF: Hvorfor er Datatilsynet ikke inviteret (med til byrådsmødet)? Lars Rich svar: Tjaa, det har jeg ikke sådan lige svar på. Det havde jeg ikke lige tænkt over. Jeg tror ikke de havde takket jeg til at deltage... Jeg synes det ville have været meget relevant at have datatilsynet med, så sagen også kunne blive belyst af dem og ikke kun forvaltningen.

7
15. august kl. 11:47

Bekymret? Nej, det er for lidt!Jeg mener bare, at med de problemer, der bliver ud af at droppe Chromebooks (eller computere) til undervisning, så rejser det spørgsmål hos mig: Hvor bevidst håndterer skolerne den computer-hjulpne undervisning? Er computeren blevet en spilstyrer frem for et redskab i undervisningen? Sætter skolerne nogen grænser for, hvad computeren kan anvendes til i undervisningen, og er undervisningen tilrettelagt så den computer-understøttede del faktisk udnytter at der er it-teknologi involveret? Og hvornår kommer der lige så konkrete vurderinger af de øvrige spillere på markedet?

5
15. august kl. 11:28

Wow ... det udstiller jo virkeligt, at Lars Rich ikke har læst Datatilsynets vejledninger - eller har hørt om Schrems II. Han har i hvert fald slet ikke fattet det fundamentale problem. En IT-ansvarlig med så lidt føling med tendenser og nyheder på sit ansvarsområde er chokerende.

Man sætter vel heller ikke en landkrabbe uden relevant erfaring til at være kaptajn på krydstogtskib?

4
15. august kl. 11:24

»Hold da op hvor er jeg ærgerlig over at vi har skrevet denne linje…. …..«

Oversat til dansk for ærlige borgere: "Næste gang undlader vi at oplyse om de risici, vi finder i vore risikovurderinger"

3
15. august kl. 11:16

»Med al respekt – denne sag har sat store dele af kommunedanmark i bevægelse, og det få uger før skolestart. ...«

Det var da også på høje tid at komme i gang, lovgivningen har været gældende i flere år.

2
15. august kl. 07:54

»Hold da op hvor er jeg ærgerlig over at vi har skrevet denne linje…..det går mere og mere op for mig, at det er den AF (Allan Frank, red.) hænger hele sin argumentation på…..« skriver han i en mail til kollegaer i Helsingør og KL og henviser til denne sætning fra risikovurderingen:

»Det ikke fuldstændigt kan udelukkes, at Google bryder de kontraktuelle forpligtelser og alligevel anvender personoplysninger til markedsføring eller andre utilsigtede formål, som Helsingør Kommune ikke har givet instruks til jf. databehandleraftalen.«

Havde man fulgt med i afgørelser i andre EU lande kunne man tydeligt se at 'det ikke kan udelukkes' ikke er godt nok for GDPR. Der er et krav om datasikkerhed som it-ansvarlig og dette krav indebærer at man MEGET nøje ved hvad der sker med dataene. Det er VIRKELIG inkompetent at forkaste sit ansvar ved blot at sige "vi går ud fra at Google er søde og flinke, for det har de jo altid været! Men nej, vi har overhovedet ikke noget overblik over hvad der sker med vores data når det rammer skyen, vi håber bare på det bedste."

Jeg har ledt i alle kroge og jeg har simpelthen ikke kunne finde noget medlidenhed for Lars Rich og co. for den position de har placeret sig selv i. De har haft flere år til at se at det er GDPR-stridigt hvad de har gang i. Det mindste de kan gøre nu er at makke ret og erkende nederlag så vi ikke spilder flere skattekroner på at køre en proxy-krig med Google's jurister om retten til vores data.

1
15. august kl. 07:53

Hmmmm....

Hvor har Version2 sine oplysninger fra? Aktindsigt? Whistleblower? Snak med de involverede?

Gad vide, om der findes referater fra de møder? Har Datatilsynet virkeligt givet udtryk for det, som hævdes - f. eks. at 3. lands-overførsler ikke er et problem (i så fald er det meget skuffende)? Eller er Helsingør og KL bare ude af stand til at forstå, hvad Datatilsynet siger? Det er jo lidt påstand mod påstand lige nu.

"Han henviser til, at kommunen allerede sidste år fik besked på at lave den dokumentation, som skal vise, at Helsingør-børnene bruger programmet lovligt, og som man stadig ikke har sendt til Datatilsynet."

Gælder det stadig? I givet fald: Hvorfor?

Og det fremgår jo tydeligt, at KL's og Helsingørs tilgang er bare at sløjfe den famøse - men sandfærdige - sætning om, at man ikke kan garantere for, hvad Google gør. Det viser i mine øjne, at man stadig simpelthen ikke har fattet GDPR - eller ikke regner GDPR for noget. Man regner det for jurist-spilfægteri og magtkamp - ikke menneskerettigheder.

"»Problemstillingen omkring 3. landsoverførsler ikke har indflydelse på forbuddet, som kommunen har fået. Der er derfor ikke behov for at finde en løsning herpå på den korte bane.«"

Her siges det jo direkte: Helsingør og KL handler ikke, før de får forbud og påbud! Og det er måske det, Datatilsynet efterhånden har opdaget, og taget konsekvensen af.

"»Man kan vel næsten sige, at eleverne bliver gidsler i en bureaukratisk diskussion mellem to offentlige myndigheder – hvilket jeg syntes er rigtig ærgerligt og i ingens interesse.«"

Og det er Helsingør og KL, der tager børnene som gidsler. De kan bare rette ind, og ikke opfatte sagen som et emne til forhandling og forhaling, sådan som de tydeligvis har gjort i årevis.

Men ja - hvis påstandene om Datatilsynets udtalelser undervejs står til troende (jeg tvivler), så er det ikke så heldigt. Det ændrer bare ikke på kravene i GDPR, og børnenes ret til privatliv - de skal overholdes, uanset om Helsingør og KL i perioder lykkes med at gøre Allan Frank snotforvirret, så han ikke ved, hvad han siger. Og jeg mistænker, at det har været en helt bevidst strategi - Google-style.

Stakkels Allan Frank - jeg begynder at få ondt af ham, selv om jeg tit har været utilfreds med hans i mine øjne ofte lidt for udglattende udtalelser.