52 kommuner har via KL meddelt, at de fra 1. august 2024 stopper videregivelse af personoplysninger til Googles egne formål. Datatilsynet noterer kontraktændringer, som sikrer, at behandling kun sker efter kommunernes instruks, og vurderer, at påbuddet om ulovlig videregivelse er efterlevet. Se Datatilsynets brev til KL. Der er dog fortsat behov for klarere kontraktbestemmelser og løbende overblik over behandlingsaktiviteter, jf. delafgørelsen fra januar 2024.
Tredjelandsoverførsler og tekniske tiltag
Kommunerne vil afstå fra tjenester, hvor personoplysninger behandles i tredjelande uden en essentielt ækvivalent beskyttelse. Datatilsynet ser positivt på dette udgangspunkt.
Tilsynet præciserer, at hver kommune aktivt skal fravælge og lukke sådanne funktioner, også når de indgår i leverandørens infrastrukturvedligeholdelse, da der her kan ske behandling på kommunernes vegne.
Underdatabehandlere og næste skridt
Datatilsynet har anmodet Det Europæiske Databeskyttelsesråd om en udtalelse om rækkevidden af den dataansvarliges dokumentationspligt for databehandleres brug af underdatabehandlere.
Når udtalelsen foreligger, vil tilsynet foretage en endelig vurdering af underdatabehandlerkæden ved kommunernes brug af Googles løsninger. Indtil da bør kommunerne sikre klare klausuler, dokumentere instruks og overførselsgrundlag samt verificere, at indstillinger reelt forhindrer uautoriseret behandling.
