Dinsdagochtend kwam het FD met de
melding dat toezichthouder AP het gebruik van Google Workspace afraadt. De bewoording in het gelekte onderzoek lijkt mild, maar de impact is groot. Daarnaast is er een opvallende parallel met de situatie rond Office 365 in Duitsland.
AP onderzoek
De AP schijnt op basis van onderzoek tot de conclusie te zijn gekomen dat Google Workspace en de AVG niet door een deur kunnen. Het online officepakket van de zoekmachine gigant roept te veel vragen op die onbeantwoord blijven. Dat is in het kort de reden van het waarschijnlijke advies te stoppen met het gebruik van Workspace. Het advies is bedoeld voor de ministeries van Justitie & Veiligheid en Onderwijs, Cultuur & Wetenschappen.
Doorgaan met Google Workspace is bewust AVG overtreden
De term die door de hele pers is overgenomen is “gemaand”. De AP vaardigt geen verbod uit, maar oefent zo wel de nodige druk uit op de opdrachtgevers voor de onderzoeken. Zij zullen de bestaande deals en lopende onderhandelingen met Google niet kunnen continueren. Doen ze dat wel dan is het onvermijdelijk dat AP (net als de pers!) moet constateren dat er sprake is van het bewust overtreden van de AVG. In dat geval is het onderzoek naar de misstanden eenvoudiger en de kans op een boete “uit de hogere regionen” zeer aannemelijk. Los daarvan is er nog de imagoschade en de kans dat derden actie ondernemen tegen de overtreders.
Juridisch gezien zijn er dus echt redenen voor J&V en OC&W om in actie te komen. De vraag is echter wat ze precies moeten en kunnen doen.
Office 365 in Duitsland
Om de voorgaande vraag te kunnen beantwoorden is het nodig naar Duitsland te kijken. Daar liet een van de regionale toezichthouders in de
zomer van 2019 weten dat het gebruik van Office 365 niet met de AVG verenigbaar was. Gebruikers (voorop onderwijsinstellingen) schortten daarop het aanschaffen van nieuwe licenties op. Andere gebruikers in de publiek en private sector kwamen ook in beweging. Microsoft zag de druk toenemen. Daarbij was voor iedereen duidelijk dat deze lokale Duitse beslissing gevolgd kon worden door de toezichthouders elders in het land. Het was ook slechts een kwestie van tijd of de EU lidstaten zouden volgen. De logica daarachter is dat de duidelijke schendingen van de AVG overal aanwezig waren, niet alleen in een stukje van Duitsland.
Microsoft heeft gekozen het aanbod te veranderen. Een van de meest opvallende punten daarbij is dat er voor gebruikers in Duitsland nu de optie is gebruik te maken van een “Duitse” Office 365 omgeving in Duitse datacenters waarvan de data Duitsland niet zal verlaten.
Wat gaat Google doen?
Google kan de kleine Nederlandse markt proberen te negeren. Dat gaat dan klanten kosten. Het aanbod ongewijzigd laten zal dan ook ongetwijfeld gaan leiden tot acties van toezichthouders elders in de EU. In het verlengde daarvan zullen Workspace gebruikers uit de private sector gaan bewegen. Als voor overheden geldt dat de AVG het probleem is, dan geldt dat immers ook voor de rest van de klanten. Die zullen dan met de eigen compliancy regels in de knel komen.
Daarom is het waarschijnlijk dat Google gaat bewegen en het aanbod zal aanpassen. Misschien kiest men dan, net als Microsoft, voor dedicated nationale Google clouds in de EU. Kijkend naar de bouwplannen van de zoekmachinegigant zou men daar al wel eens voor gekozen hebben. Die plannen gaan over nieuwbouw buiten Nederland. Om in Nederland gebruikers (en indirect de AP) te overtuigen dat Google Workspace AVG compliant kan zijn zal op basis van de twee bestaande datacenters moeten gebeuren.
Terzijde: de stap van het AP is in lijn met de recente analyse over de Europese cloudmarkt van KPMG
