Chromebookを使う自治体にGoogleへの不必要なデータ送信を止めるようデンマークデータ保護局が要求

安価に導入可能な教育用PCとしてChromebookが採用される事例が報告されていますが、使用時、Googleに対して一部のデータが送信されています。このことについて、デンマークのデータ保護局(DPA)がGoogleへのデータ送信をやめるか、データを送るだけの合理的な説明を行うよう自治体に求めたことがわかりました。

Datatilsynet giver påbud i Chromebook-sag
https://www.datatilsynet.dk/presse-og-nyheder/nyhedsarkiv/2024/jan/datatilsynet-giver-paabud-i-chromebook-sag

Denmark orders schools to stop sending student data to Google
https://www.bleepingcomputer.com/news/google/denmark-orders-schools-to-stop-sending-student-data-to-google/

Google’s use of student data could effectively ban Chromebooks from Denmark schools - The Verge
https://www.theverge.com/2024/2/7/24065332/denmark-google-student-data-collection-privacy

この問題は、保護活動家で、子どもが学校でChromebookを使っているというイェスパー・グラウゴー氏が2019年に提起したのがきっかけです。グラウゴー氏は最初に子どもたちがChromebookを持って帰ってきたとき、これでコーディングやテクノロジーの歴史や文化を学んでいくことになるのかと前向きに捉えていたのですが、実際には単にペンとノートの代わりでしかなかったとのこと。しかも、学校で使うにあたってYouTubeのプロフィールを設定することになり、子どもたちのフルネーム・年齢・学校名・在籍するクラスが取得されることになると知って、「これでは子どもを守れない」と声を上げたとのこと。

Jesper Graugaard's Fight Against Chromebooks in Danish Schools (1/2) | Welcome to The Privacy Dad's Blog!
https://theprivacydad.com/the-privacy-dad-interviews-jesper-graugaard/

グラウゴー氏がDPAに連絡を取り、どういった問題があるかを説明したところ、DPAは訴訟提起の仕方と、訴訟に必要な文書が何かを教えてくれたそうです。実際に、グラウゴー氏の働きにより、首都・コペンハーゲンの北にあるヘルシングエーアでは、学校でのChromebook使用が取りやめになっています。

しかし、引き続き53の自治体がChromebookを使用する状況が続いていました。

これに対してDPAは調査を実施。サービスの提供や、サービスのセキュリティと信頼性の向上、学生との通信が目的であれば、地方自治体には学生の情報を渡す権限がある一方、教育に関する「フォルケホイスコーレ法」において、Google ChromeやChrome OS、Google Workspaceの保守や機能改善、パフォーマンス測定の目的で情報を渡すことは明確には許可されていないと判断しました。

このため、「Googleへのデータ送信には法的根拠がない」として、DPAはChromebookを使用している自治体に対して対応策を求めています。具体的には、許可されていない目的でGoogleへ個人情報を送信しないことや、送信するのであれば規則に沿っていることを明確にすることが求められます。

なお、ニュースサイトのBleepingComputerは、Googleに対して収集したデータを処理しないように求めるのは難しいことから、自治体がDPAに求められた条件を満たすための現実的な解決法は、ChromebookやGoogle Workspaceの使用停止になるのではないかと指摘しています。