Udvalget for Digitalisering og It 2022-23 (2. samling)
DIU Alm.del Bilag 45
Offentligt
Til Udvalget for Digitalisering og It
Resume omhandlende klagesag, hor borger forsat skal finde GDPR fejl i en chromebooks
2023. Resume er klageforløb mellem kommune og borger og hele sagen er sendt til
Datatilsynet. Ikke som klagesag, men som dokumentation på, at kommunerne stadig, efter
4 år, endnu ikke har styr på chromebooks og GDPR.
Resume er uden tillægsbilag, der mange af dem indeholde personfølsomme data. Såfremt
bilag ønskes kan disse eftersendes)
Hermed fremsender jeg dokumentation på klagehåndtering mellem Helsingør kommune
og undertegnende Jesper Graugaard fra perioden 06 Januar 2023 til 20 februar 2023.
Jeg sender dokumentationen fordi jeg synes det viser, at selvom Chromebooksagen har
kørt siden 2019, så skal jeg stadig selv finde fejl i systemet i januar 2023. Sammen med
klagehåndteringen fra kommunens side mener jeg det dokumenterer, at kommunen ikke
udviser ordentlighed i deres arbejde med at efterleve GDPR reglerne og de
problemstillinger, som Chromebooksagen ellers belyser, og som burde have medført en
fuld gennemgang af Chromebook, software samt diverse interne Google apps og eksterne
apps. For det er ikke holdbart, at jeg skal agere som DPO for kommunen mere end 3 år
efter, at jeg har anlagt sag om GDPR brud. Kommunen burde have gennemgået samtlige
indstillinger, undersøgt bedre, hvordan Chromebook opsætningen er.
Overordnet omhandler klagen følgende aspekter (Se Bilag ”Fuld korrespondance):
(Klagepunkter)
“
1. I de små klasser er login & password stadig klistret på Chromebooken, så får en
fremmed fat i den er der adgang til samtlige børn og lærere på alle skoler i kommunen, og
man kan få deres fulde navne og email adresser og sende dem hvad som helst.
2. Man kan udføre mobning via Chromebooken og dele uhensigtmæssige billeder til alle
børn. Ja, det minder på den måde lidt om en "Snap Chat" funktion.
 DIU, Alm.del - 2022-23 (2. samling) - Bilag 45: Henvendelse af 15/3-23 fra Jesper Graugaard vedr. anmodning om foretræde
3. Alle kan spamme
Listen kan naturligvis laves længere, men det ser jeg pt. ingen grund til. Det undre mig
dog, at man siden 2019 ikke har undersøgt Chromebooken til bunds.
Det bør ikke være muligt for et barn, at kunne få tilgang til navne og emails på samtlige
elever og lærere i Helsingør kommunens folkeskole og kunne dele filer med alle.
Det er min klare opfattelse at det strider imod GDPR og derfor bør dette forhold
undersøges og stoppes. Det bør vel ikke være muligt, at alle elever og lærere uden
begrænsninger kan dele indhold med hinanden på tværs af alle klasser og skoler i
kommunen. “
Bilag til klagepunkter:
Bilag 1: Bilag 1 _Chromebook 3 klasse Google apps kontakt hele skolen.
Bilag 2: Bilag 2_3 klasse Chromebook docs_ del med andre
Bilag 3: Bilag 3_ 3 klasse Chromebook docs _ del med andre
Bilag 4: Bilag 4 _6 klasse google apps kontakt csv fil eksport
Bilag 5: Bilag 5_6 klasse google docs del med andre
Bilag 6: Bilag 6_6 klasse google docs del med andre
Bilag 7: Bilag 7_0 klasse elev email sendt fra chromebook.pdf
(Klagepunkter slut)
I dokumentet “Samlet korrespondance” vil det fremgår at man forsøger at forklare, hvorfor
forholdene er som de er, og ikke finder grund til at ændre på forholdene. Alligevel vælger
man, uden at orientere mig, at rette ind på mine kritikpunkter. Dette gøres løbende. I
forbindelse med den igangværende dialog, påpeger jeg ligeledes følgende punkter:
1. Der er stadig problemer med barns fulde navne, da barnets navn fremgår både I
 DIU, Alm.del - 2022-23 (2. samling) - Bilag 45: Henvendelse af 15/3-23 fra Jesper Graugaard vedr. anmodning om foretræde
indeks lister, som profilnavn på maskinen og i email teksten, når barnet sender en
email fra sin Chromebook (Bilag 8_Fuldtnavn anvendt i email)
2. Det vil være hensigtmæssigt om kommunen, på baggrund af Chromebooksagens
omfang, fik udviklet bedre information omkring Chromebooks til forældrene, som
lever op til de risiko + konsekvensanalyser kommunen har foretaget. Det for at
sikre, at forældrene bliver bedre til at sikre korrekt brug af Chromebooks. Jeg finder
det problematisk, at jeg ikke kan finde nogen Chromebook information via Helsingør
Borgerservice hjemmeside (Bilag 9: Søgning på chromebook via Borgerservice)
samt at det dokument man får udleveret I 0 klasse kun handler om “korrekt login”
(Bilag 10 _Sådan logger du på CB)
Dertil svarer kommunen at:
1. Alias kan ikke laves, fordi systemerne ikke kan fungere uden navn.
2. Kommunen mener, at der er tilstrækkelig information at hente I vedhæftede
dokumenter:
•
•
•
Bilag 11_ FAQ - ang. Chromebooks og Google Workspace for Education Standard
Bilag 12_information til forældre om - Chromebooks og Google Education.pdf
Samt via dette Google link:
https://sites.google.com/g.helsingor.dk/skole-it/forsiden?pli=1
Bilag 12 er til orientering at finde via Aula's “Fællesdokumenter”, imens Bilag 11 er uvist,
hvor findes. Link til Google site har jeg aldrig fået før. Dette link fører direkte til et
selvstændigt Google site, der er hostet hos Google. Siden ligner til forveksling “Borger
Service” ( Bilag 13_Google workspace link info). Udover at det ligner “Borger Service”, er
det Google hostet, så er det fyldt med Google trackere ( Se Bilag 13+ 14), og sender
derfor forældrene direkte i armene på Google. Jeg pointerer efterfølgende, at jeg mener
det er et problem.
Bilag 11 er ganske interessant, for her fremgår det at Alias kan laves, hvis følgende
omstændighed er til stede:
 DIU, Alm.del - 2022-23 (2. samling) - Bilag 45: Henvendelse af 15/3-23 fra Jesper Graugaard vedr. anmodning om foretræde
“
Hvis en elev har skærpede rettigheder i form af navne og adressebeskyttelse, er eleven så også beskyttet
tilsvarende i Google?
Svar: Ja, i disse tilfælde sikrer vores system, at eleven oprettes med et alias. Elever
med navne og adressebeskyttelse vil derfor ikke kunne identificeres med fulde navn uden aftale derom med
hjemmet.
Adresser overføres desuden slet ikke til Google Workspace for Education Standard.
Har en elev uden navne og adressebeskyttelse også et alias?
Svar: Nej, elever uden navne og adressebeskyttelse fremgar i det lukkede Google Workspace for Education
Standard med fulde navn, da det muliggør samarbejdet med klassekammerater og lærer. Dette er højt
prioriteret i forhold til vores undervisningsopgave, og der er hjemmel til det i folkeskoleloven.
Hvordan oprettes et alias i det administrative system?
Svar: -Forældrene kontaktes og alias aftales”
Det gør at jeg efterfølgende anmoder og navne & adressebeskyttelse af mine børn. I løbet
af ca. 7 dage foretages der navneændringer på diverse læringsplatforme, apps og
chromebooks, således at mine børn nu har følgende navne: Alias fornavn – Alias
efternavn”. (se bilag 15 + 16 + 17). Men jf. Kommunens egne procedurer, hvor de burde
have kontaktet forældre og aftale alias navn til børnene, er dette ikke sket endnu dd.
Derudover virker navnebeskyttelsen ikke helt. Ser man på platformen Skoletube ( bilag
16), så er barnets navn på selve platformen et alias, men ikke nødvendigvis de apps, som
barnet har fået lov at bruge. Skoletube logges ind via Uni-login, derefter logger man ind på
de individuelle apps med password og login. Således har Bookie app (Bilag 18) stadig
barnets fulde navn. En anden app, Book Creator (Bilag 19) er barnets navn delvis ændret.
Der står barnets fulde navn, dog med SDF foran efternavnet.
Yderligere skal det noteres, at det ikke er alle apps og platforme, som kræver uni-login for
at tilgåes . Der har barnet logget ind med sit fulde navn (ex. Alinea bilag 17). Her er navnet
nu ændret til alias, men før var det fuldt navn. Kommunen har anvendt barnets fulde navn
på alle de apps og platforme kommunen har ansvar for og som barnet skal bruge i
undervisningen. Dermed er barnets navn eksponeret unødvendigt, og kunne være
undgået, hvis et alias var anvendt som default. Dermed har man ikke kun brudt GDPR ved
brug af Chromebooks, men ved samtlige apps, der anvendes i skoleregi.
Det skal her understreges, at jeg slet ikke er gået i gang med at diskutere hele apps
problematikken med kommunen. Jeg inkluderer det dog her for at påvise, at barnets
 DIU, Alm.del - 2022-23 (2. samling) - Bilag 45: Henvendelse af 15/3-23 fra Jesper Graugaard vedr. anmodning om foretræde
navn ikke kun anvendes/har været anvendt i Google universet, men i nærmest alle
digitale redskaber, som barnet anvender i skoleregi.
Jeg afslutter dialogen med følgende:
“Jeg er positivt forundret over, at kommunen har rettet følgende:
1. Barnet kan ikke sende en email via Google Doc mere.
2.
At det ikke længere er muligt at se hele "organisationen Helsingør folkeskole" og dermed
se samtlige elever + ansattes navne og email adresser.
3. Det er forstået, at email adresserne ikke som sådan fungerer længere.
Endeligt tænker jeg det bekymrende, at man sender forældre direkte ind i et Google univers med
dette link
https://sites.google.com/g.helsingor.dk/skole-it/forsiden?pli=1
Laver man tracking og data flow analyse af denne URL lander man direkte i USA på en Google
server. Der er derfor tale om et dataflow udenfor EU. Jeg er bekymret for, om det er et rimeligt
vilkår at stille borgeren i. Hvorfor ikke bare sikre, at al info er i kommuneregi og ikke hos
udenlandske IT leverandører. Se vedhæftede dokumentation.”
(Dialog afsluttet, fordi jeg ikke høre yderligere fra kommunen, se dokumentet ”Hele
korrespondancen)
Nu stopper det for mig. Jeg er ikke DPO, jeg skal ikke føre kommunen igennem deres arbejde.
Jeg håber det vil få Datatilsynet til at vurdere den måde, hvorved Helsingør kommune arbejder
med skolebørns persondata og IT læringsredskaber på. Særligt set i lyset af, at hele
problematikken og sagen nu har kørt i snart 4 år.
De ovenstående problemstillinger er ikke unikke for Helsingør kommune. Jeg ved at samme fejl vil
være at finde i andre kommuner, som anvender chromebooks. Men så længe der ikke sidder en
forældre, og gøre den enkelte kommune opmærksom på de problemstillinger, så “opdages” de
ikke.
Jeg har talt med flere lærere på min skole, som kan bekræfte, at det har været almen viden, at de
punkter jeg har klaget over, har været tilgængelige funktioner i lang tid. Og at man ikke har haft
viden om, at det skulle være et problem, at børn kunne dele filer til hele “organisationen Helsingør
folkeskole”. Det bekræfter mig i, at lærestaben ikke er undervist eller oplært i risici, der er forbundet
 DIU, Alm.del - 2022-23 (2. samling) - Bilag 45: Henvendelse af 15/3-23 fra Jesper Graugaard vedr. anmodning om foretræde
med brugen af IT læringsredskaber og apps i folkeskolen og hvad de skal være opmærksomme
på. Det er ellers det, so kommunen siger i deres informationsmateriale (Bilag 11):
Er skolens ansatte undervist i korrekt brug af Google Workspace for Education?
Svar: Ja. Ved udlevering af Chromebooks pa de enkelte skoler, blev medarbejderne undervist i
brug af Google Workspace for Education. Nye medarbejdere modtager undervisning fra
udpegede kolleger som sidemandsoplæring.