Datatilsynet har afsluttet den årelange Chromebook-sag med en endelig dom: 51 danske kommuner – heriblandt Glostrup – får alvorlig kritik for deres brug af Googles undervisningsværktøjer i folkeskolen. Afgørelsen, der blev truffet den 2. februar 2026, markerer afslutningen på et omfattende tilsynskompleks, der siden 2022 har rejst spørgsmål om, hvorvidt amerikanske cloud-tjenester kan bruges lovligt i danske skoler under GDPR.
Kritikken rammer bredt
Datatilsynets kritik retter sig mod kommunernes brug af Google Workspace for Education og Google Chrome Education. Tilsynet fastslår, at det "sandsynligvis vil være i strid med databeskyttelsesforordningen at antage en databehandler til behandlinger af personoplysninger, hvor der sker viderebehandling i et tredjeland, hvis der ikke kan sikres et beskyttelsesniveau, der i det væsentlige svarer til beskyttelsesniveauet i EU/EØS".
Samtidig advarer Datatilsynet kommunerne om, at deres opsætning af Google-produkterne skal være konfigureret i overensstemmelse med de krav, som Kommunernes Landsforening (KL) har opstillet. Ellers risikerer kommunerne at overtræde lovgivningen.
Tre centrale krav til kommunerne
Datatilsynets afgørelse stiller kommunerne over for en række konkrete krav, der skal sikre lovlig databehandling fremadrettet.
For det første må kommunerne ikke benytte digitale undervisningsprodukter, "der indeholder uklare behandlingskonstruktioner". Det betyder, at kommunerne skal kunne redegøre klart for, hvordan data behandles, hvem der har adgang til dem, og om behandlingen foregår i overensstemmelse med EU's krav.
For det andet skal kommunerne løbende sikre sig adgang til de nødvendige ressourcer og kompetencer, så de kan føre kontrol med, om brugen af digitale værktøjer også fremadretigt er lovlig. Dette gælder særligt, hvis leverandørens produkter eller vilkår ændres.
For det tredje rammer kritikken særligt kommunernes brug af Googles underdatabehandlere uden for EU. Dette har været et centralt punkt i sagen, da Google behandler børnenes data på amerikansk jord, hvilket rejser spørgsmål om overholdelse af europæiske databeskyttelsesregler.
En langtrukken sag med stor rækkevidde
Chromebook-sagen tog sin begyndelse i 2022, da Datatilsynet første gang rejste kritik af brugen af amerikanske cloud-tjenester i danske skoler. I tidligere afgørelser har tilsynet kritiseret kommunerne for ikke at have foretaget tilstrækkelige risikoanalyser, inden værktøjerne blev taget i brug.
I 2024 gav Datatilsynet kommunerne et påbud om at ændre deres brug af Google Workspace, fordi Google anvendte børnenes data til egne formål, hvilket ifølge tilsynet var ulovligt, da kommunerne ikke havde lovhjemmel til at videregive oplysningerne. KL har siden arbejdet på at tilpasse kontrakten med Google, så personoplysninger udelukkende behandles efter kommunernes instruktioner.
Konsekvenser for dagligdagen i skolerne
De 51 kommuner, der nu får alvorlig kritik, omfatter både større byer som Aarhus, Odense og Aalborg samt mindre kommuner som Glostrup, Fanø og Læsø. Danske skoler er i høj grad afhængige af cloud-tjenester fra amerikanske tech-giganter som Google og Microsoft til undervisning og administration.
Hvad betyder afgørelsen for fremtiden?
- Kan kommunerne reelt opfylde kravene om fuld kontrol med databehandling, når de bruger eksterne amerikanske leverandører?
- Hvilke ressourcer og kompetencer skal kommunerne investere i for løbende at kunne føre tilsyn med deres it-systemer?
- Er det på lang sigt holdbart for danske skoler at være afhængige af amerikanske tech-giganter, når databeskyttelseskravene strammes?
- Vil afgørelsen føre til, at flere kommuner søger europæiske alternativer til Google og Microsoft?
Selvom afgørelsen indeholder alvorlig kritik, slår Datatilsynet samtidig fast, at kommunernes databehandleraftale med Google lever op til reglerne. Det betyder, at kommunerne kan fortsætte med at bruge Google-produkterne, mens de sikrer, at deres opsætning er i overensstemmelse med KL's krav.
