Em julho de 2022, a Agência de Proteção de Dados da Dinamarca (Datatilsynet) efetivamente proibiu os produtos Google de processar dados pessoais nas escolas, com potenciais penalidades criminais para violações.

O caso originou-se em 2019, quando um pai no Município de Helsingor registrou uma reclamação após seu filho inadvertidamente criar uma conta no YouTube por meio de um Chromebook fornecido pela escola, resultando na publicação pública do nome da criança no YouTube.

Um Resultado Previsível

A decisão da autoridade baseou-se em várias constatações-chave:

Os municípios são responsáveis por garantir que o processamento de dados pessoais atenda aos padrões de legalidade, equidade e transparência. O histórico do Google em processamento transparente de dados tem sido, no mínimo, questionável.
Os Chromebooks servem como portas de entrada para o ecossistema mais amplo do Google, que coleta informações para fins de marketing direcionado. O Google permanece, em sua essência, uma empresa de publicidade.
A autoridade classificou o Google como controlador de dados, significando que não há mecanismo legal válido para os municípios transferirem dados pessoais ao Google para processamento.
O Google pode estar violando seus próprios compromissos contratuais ao usar dados pessoais para marketing ou outros fins não autorizados, e nenhum acordo de processamento de dados adequado foi estabelecido com o município. Numerosos processos judiciais relacionados ao rastreamento de dados de crianças pelo Google corroboram essa preocupação.
O município pode inadvertidamente processar dados de categoria especial por meio das plataformas do Google.
As transferências de dados para os Estados Unidos permanecem problemáticas após a decisão Schrems II, que invalidou o Escudo de Privacidade UE-EUA. Atualmente não existe mecanismo legal adequado para transferir dados pessoais da UE para servidores nos EUA sem medidas suplementares, conforme delineado nas recomendações do EDPB.

O Que Acontece Agora?

A autoridade dinamarquesa determinou que os serviços do Google não satisfazem os requisitos do GDPR. Como resultado, o Município de Helsingor deve cessar imediatamente todas as transferências de dados pessoais para os Estados Unidos. O Google Workspace foi banido completamente. Esta decisão se estende além de um único município -- a autoridade espera que todos os municípios dinamarqueses cumpram essas determinações.

Qualquer transferência em andamento de dados pessoais para servidores baseados nos EUA foi suspensa até que a conformidade total com o Capítulo V do GDPR possa ser demonstrada. Dado o cenário legal atual, alcançar tal conformidade por meio dos serviços do Google parece altamente impraticável.

Penalidades por Descumprimento

Sob a Lei Dinamarquesa de Proteção de Dados, Seção 41, subseção 2, n.o 4, violar uma proibição emitida pela autoridade acarreta penalidades de multas ou prisão por até 6 meses.

Por Que as Escolas Precisam Se Afastar do Google

Muitas alternativas de código aberto existem para tecnologia educacional. Plataformas como o Moodle oferecem soluções viáveis de e-learning que podem ser hospedadas dentro da UE. A questão permanece: por que escolas e governos continuam gravitando em direção a serviços administrados por empresas de publicidade?

Independentemente de sua posição sobre o GDPR e as regulamentações da UE, responsabilizar as escolas pelas ferramentas às quais expõem as crianças é essencial. Uma empresa de publicidade com histórico documentado de violações de privacidade não deveria ter acesso às atividades online das crianças.

A privacidade digital não pode permanecer um recurso "bom de ter". Deve ser tratada como um direito fundamental, particularmente para crianças que não têm voz sobre quais ferramentas suas escolas exigem que usem.