Office 365 eller Google Apps?

- en nuanceret uddybelse af skolens valg

Af Jens Ole Henriksen, direktør IT-Center Fyn 

IT-Center Fyns nyhedsbrev fra juni indeholdte en artikel om datasikkerhed, hvor Google og Microsofts løsninger blev sammenlignet. Artiklen indikerede, at det er mere usikkert at anvende Google end Microsoft i opbevaringen og arbejdet med personhenførbare data. Efterfølgende har jeg fået henvendelse fra nogle af skolerne, som påpeger, at dette ikke er hele sandheden. Jeg vil derfor gerne benytte lejligheden til at tydeliggøre, hvad der er op og ned i spørgsmålet om datasikkerhed ved anvendelse af Microsoft og Google.

Datatilsynets godkendelse af Office 365

Udgangspunktet for artiklen var at Datatilsynet i juni 2012 har udtalt, at behandling af personoplysninger i Office 365 lever op til persondatalovens krav. Ifølge Datatilsynet tilbyder Office 365 kunden et sikkerhedsniveau, som overholder den danske persondatalovs almindelige krav om datasikkerhed. Kort fortalt fordi Microsoft er Safe Harbor-certificeret i USA og fordi Microsoft har implementeret EU-Kommissionens Standardkontrakt for overførsel af personoplysninger.

Datatilsynet understreger imidlertid, at en forudsætning for at anvende Office 365 til personoplysninger er, at skolen løbende forholder sig til, hvilke typer af personoplysninger, der lægges ind i Office 365.

Datatilsynet uddyber yderligere, at skolen skal undgå at registrere fortrolige og følsomme personoplysninger i Office 365-løsningen, da dette ifølge dansk lovgivning kræver systemlogning, hvilket Office 365 ikke kan klare. Det er derfor vigtigt, at skolen kontinuerligt sikrer sig, at medarbejderne ikke registrerer fortrolige og følsomme personoplysninger i Office 365. Dette kan gøres ved at udarbejde personaleinstrukser eller lignende. 

Disse personoplysninger kan du registrere i Office 365

• Almindelige stamoplysninger: navn, adresse, telefonnummer, fødselsdato (dog ikke CPR-nummer) og nærmeste familie
• Oplysninger om uddannelse, udtalelser, kursusbeviser, tidligere beskæftigelse, nuværende stilling, karakterer 
• ”Almindelige” elevklager
• Oplysninger om løn, skat, pensionsforhold, kildeskatteoplysninger, lønkontonummer
• Sygefravær, sygdomsperioder, fraværsstatistik, lægeerklæringer og varighedserklæringer, der ikke indeholder oplysninger om sygdommens art dvs. diagnose
• Oplysninger om andet fravær fra arbejdet
• Pas, kørekort (forstået som selve oplysningen om, at personen er indehaver af fx kørekort. Men ikke kopi af kørekortet, da der herpå er foto og cpr.)
• Karakterer

Disse personoplysninger skal du undlade at registrere i Office 365

Fortrolige oplysninger:

• Straffeattest
• Væsentlige sociale problemer
• Forhold der er rent private: interne familieforhold, adoption, ulykkestilfælde, økonomiske forhold, boligforhold, arbejds- og ansættelsesmæssige forhold
• Ansættelsesforhold
• Portrætfotos
• CPR-nummer

Følsomme oplysninger:

• Oplysninger om racemæssig eller etnisk herkomst
• Politiske, religiøse eller filosofiske forhold
• Fagforeningsmæssige tilhørsforhold
• Helbredsmæssige forhold såsom diagnoser
• Seksuelle forhold

Datatilsynet har endnu ikke godkendt Googles databehandling

I kølvandet på juni-nyhedsbrevet har vi modtaget henvendelser, der har gjort os opmærksomme på, at Google nu tilbyder et kontraktgrundlag for Google Apps (herunder en databehandleraftale og et sikkerhedsniveau), der umiddelbart ligner dét i Office 365. Kontraktgrundlaget indikerer altså, at Google Apps kan anvendes til de samme formål som Office 365.

Der er dog fortsat den væsentlige forskel på Office 365 og Google Apps, at Datatilsynet endnu ikke har udtalt sig om, hvorvidt Googles kontraktgrundlag lever op til den danske persondatalov om beskyttelse af personoplysninger. Det er her værd at bemærke, at Datatilsynet i februar 2011 udtalte, at fortrolige og følsomme personoplysninger ikke bør behandles i Google Apps, dvs. samme restriktion som ved Office 365.

Googles nye kontraktgrundlag er særdeles omfattende og kræver en nærmere analyse, før vi kan fastslå, om Google Apps (eller dele heraf) kan håndterer de personoplysninger, som ifølge Datatilsynet har været umulig indtil nu.

Hvis I på skolerne gerne vil have Datatilsynets udtalelse om Google Apps, er det muligt at foretage en anmeldelse til Datatilsynet, hvorefter de vurderer, om de vil gå ind i sagen og komme med en udtalelse.

Opmærksomhedspunkter ved samarbejde med Wizkids

Når I som partnerskole indgår et samarbejde omkring indførelse af Google Apps for Education hos Wizkids, har de tidligere præsenteret et kontraktgrundlag, som IT-Center Fyn ikke har fundet tilstrækkeligt. Det fremgår blandt andet ikke, hvordan brugervalidering og integration mellem UNI*C og Google foregår. Derfor har vi holdt et afklarende møde med WizKids.

Wizkids forklarer, at de validerer brugere fra Google via deres EDULIFE synkroniserings-server, der er placeret fysisk i WizKids datacenter i Taastrup. Brugervalideringen sker gennem UNI*C's sikre webservices, som skolerne ved kontraktindgåelsen giver WizKids lov til at anvende. Det vil sige, at passwords ikke er placeret på Googles servere. Som konsekvens har IT-Center Fyn bedt Wizkids om at udarbejde en Databehandleraftale, som vi vurderer lever op til dansk lovgivning. Indgår jeres skole samarbejde med Wizkids, er det altså vigtigt, at I beder om at få aftalen med som en del af kontraktgrundlaget.

Skoler der ønsker at anvende Google/Wizkids skal være opmærksom på en udfordring omkring e-mails. Som det er nu, er det ikke muligt at få IT-Center Fyns Outlook/Exchange e-mail system til at kommunikere med G-mail, som er Googles e-mail system. De to systemer skal derfor have hvert deres domænenavn, fx peter@xskole.dk og peter@adm.xskole.dk, som nogle af IT-Center Fyns skoler allerede anvender. Skolen skal derfor i forbindelse med indførelse af Google afklare, hvordan G-mail og Exchange skal anvendes sammen. Udfordringen er størst på skoler, hvor alle medarbejdere i forvejen har en Outlook/Exchange konto og i stedet ønsker at anvende Google.

Microsoft Office 365 kommunikerer direkte med IT-Center Fyns brugerdatabase i en sikret forbindelse. Det betyder, at en bruger der vil logge på i skyen bliver valideret direkte i IT-Center Fyns brugerdatabase. Passwords er således ikke placeret i skolens Office 365 version, men sikret hos os. 

Dokumenthåndteringssystemer giver sikkerhed

Uanset hvilken løsning skolen vælger, vil vi til hver en tid anbefale, at skolen anvender et dokumenthåndteringssystem, når personfølsomme og -fortrolige oplysninger om elever, lærere, pårørende og medarbejdere skal håndteres og opbevares.

For at være i tråd med de danske lovkrav skal det system, I vælger leve op til følgende:

• Det skal hostes og supporteres i et data-/servicecenter med fysisk adresse inden for EU.
• Der skal være mulighed for bruger- og rollestyring, systemet skal kunne registrere (logge), hvem der ser hvilke data, og systemet skal beskytte imod, at data uforvarende kan blive forvansket eller slettet.
• Systemet skal endvidere understøtte en exit, hvor kunden kan tager sine oplysninger med ud af systemet igen, hvorefter IT-leverandøren effektivt sletter kundens oplysninger i sine systemer.
• Systemet skal også kunne foretage løbende sletning af registrerede oplysninger, der viser sig forældede eller urigtige.

IT-Center Fyn tilbyder IMS Arkiv eller DocuNote dokumenthåndterings-systemer til dette brug. Andre personhenførbare data vil skolen derudover selvfølgelig have i det elevadministrative system.

Hvis du vil vide mere, er du velkommen til at kontakte IT-Center Fyn og orientere dig her: 

Datatilsynets seneste afgørelse vedrørende `behandling af følsomme personoplysninger i online kontorpakker´

Datatilsynets seneste afgørelse vedrørende `behandling af følsomme personoplysninger i cloud løsningen Office 365´

Whitepaper: Google for work security and compliance. How Google protects your data