Правительство Андалусии передает Google данные 738 502 несовершеннолетних учащихся

За последние пять лет правительство Андалусии (PP) нарушило право на защиту данных 738 502 несовершеннолетних учащихся, 43 202 учителей и 2676 школ в результате соглашения, подписанного с технологическим гигантом Google о предоставлении его виртуальной образовательной платформы Workplace for Education в обмен на передачу данных, согласно Совету по прозрачности и защите данных этого сообщества. Огромная утечка личных данных, допущенная автономным правительством и продолжающаяся по сей день, нарушила несколько статей Общего регламента по защите данных (RGPD). По этой причине Совет наложил на него шесть санкций: две очень серьезные, три серьезные и одну легкую, но без денежного штрафа. Этот случай всплыл в разгар дебатов о запрете социальных сетей для детей младше 16 лет и в условиях конфликта правительства с некоторыми крупными технологическими компаниями. Санкция в отношении Андалусии, крупнейшего образовательного сообщества страны, имеет особое значение, поскольку была нарушена конфиденциальность и право на частную жизнь тысяч учащихся — почти половины из 1,7 миллиона учащихся начальной и средней школы. Кроме того, Google поддерживает бесплатные соглашения для своей образовательной платформы с автономными сообществами Мадрида, Каталонии, Страны Басков, Наварры, Эстремадуры, Мурсии, Балеарских и Канарских островов, как подтверждает транснациональная компания. То есть около четырех миллионов студентов невузовских учебных заведений, половина от общего числа в Испании, пользуются этой услугой, осужденной экспертами. Дождь идет по мокрой дороге, потому что в 2024 году Агентство по защите данных выпустило жесткий отчет для Министерства образования, в котором пояснялось, что платформа Google нарушает европейские правила, и следующим летом правительство поделилось этим отчетом с автономными регионами, многие из которых остались глухи к этому, а другие полагаются на то, что их контракты обязывают компанию соблюдать закон. «Нет сомнений в том, что мы имеем дело с инвазивным сбором личной информации для того, чтобы просто получить часть образования в цифровой среде и приобрести цифровые навыки», — заключался официальный отчет. Параллельно с этим Агентство наказало такие сообщества, как Канарские острова, за нарушение защиты данных 170 000 учащихся в 900 учебных заведениях. После нескольких жалоб, поданных гражданами Андалусии в Совет, тот вынес свое решение год назад, хотя оно стало известно только сейчас. Институт категоричен в своем решении о том, что правительство Андалусии позволило Google обрабатывать данные по своему усмотрению, как коммерческой компании, и что эти данные оказались в странах за пределами Европейского Союза. Учреждение предоставляет список из 18 стран, в которых нет гарантий, аналогичных европейскому законодательству, с центрами обработки данных компании, такими как Сингапур, Сальвадор или Филиппины, но не знает, где могут оказаться данные андалузских учащихся из-за отсутствия точной информации. В то же время организация критикует то, что не были минимизированы риски, связанные с размещением учащимися в системе «неуместных изображений и материалов». То есть, должны существовать четкие барьеры, чтобы несовершеннолетние не могли загружать интимные или насильственные фотографии или видео, которые в конечном итоге попадают на серверы за рубежом. «Мы не можем контролировать фотографии, которые ученики загружают в свое личное пространство в Google Drive», — подтверждает Хоакин Дельхом, координатор по цифровой трансформации образования в институте Jacarandá в Бренесе (Севилья), одном из 2676 андалузских центров, которые используют платформу для сдачи и проверки заданий, редактирования текстов и презентаций, а также хранения фотографий и видео. Наконец, Совет критикует исполнительную власть за то, что она не провела оценку воздействия в отношении обработки данных, о чем также не было сообщено детям, подросткам и учителям, учитывая высокий риск для их прав и свобод, как это предусмотрено европейским регламентом, который неоднократно нарушался. «Было доказано, что министерство не приняло надлежащих технических и организационных мер для ограничения высокого риска, который может представлять собой ввод пользователями системы в платформу Google Workspace for Education специальных категорий данных», — говорится в решении. И далее: «Организация не проинформировала должным образом учащихся, членов их семей и преподавателей об обработке их персональных данных . Доказано, что осуществляется международная передача данных в третьи страны». Пункт 10 соглашения Андалусии с Google о передаче данных поясняет: «Google может хранить и обрабатывать данные в любом месте, где Google или его субподрядчики имеют свои объекты». Массовая утечка данных продолжается, потому что на данный момент Министерство образования и профессионального обучения Андалусии сохраняет соглашение, подписанное с Google Ireland Limited, и не отказывается от него. Он ограничился отправкой исправлений — оценки воздействия — в Совет, поскольку считает, что это решает возникшие проблемы безопасности. В настоящее время региональный орган по защите данных анализирует, исправляют ли эти меры многочисленные недостатки, обнаруженные в соглашении 2020 года и последующем дополнении, подписанном в 2024 году между правительством и Google, которое продлило его до конца этого года. Данное дополнение было подписано 19 ноября 2024 года, за день до предложения о резолюции Совета по прозрачности. Совет отрицает, что информация была передана за пределы страны в корыстных целях: «Совет гарантирует, что не было нарушений в области защиты данных членов образовательного сообщества Андалусии. Все учетные записи создаются с использованием анонимных данных, и Google никогда не имел доступа к паролям и не мог использовать данные в коммерческих целях. Учетные записи контролируются с помощью консоли в министерстве, что гарантирует их управление и использование исключительно в образовательных целях», — заявляет в письменном виде представитель министерства. Технологическая компания, которая не была наказана андалузским советом, согласна с позицией регионального правительства и подчеркивает, что не обрабатывает данные и не показывает рекламу учащимся: «Продукты Google Workspace for Education соответствуют самым строгим образовательным стандартам в области конфиденциальности и безопасности, включая европейские правила. Google не является владельцем данных учащихся; полный контроль над ними имеют образовательные организации . Конфиденциальность учащихся имеет основополагающее значение для наших услуг». В своем решении Совет Андалусии поясняет, что он не налагает финансовые санкции, а лишь предупреждает правительство, поскольку его цель — защитить право несовершеннолетних на образование и «свести к минимуму возможные нарушения» в системе образования. Конечно, это налагает на него серьезные обязанности: «Технические и организационные меры, например, меры явно визуального и интуитивного характера, чтобы было абсолютно ясно для пользователей, несовершеннолетних, когда они покидают сферу ответственности Министерства . и вступают в сферу ответственности Google Ireland Limited с целями, свойственными для этой компании». Ответственной за соглашение с технологическим гигантом в Андалусии является Кармен Кастильо, нынешний министр образования, а в 2020 году — заместитель министра и подписавшая соглашение. На национальном уровне, после нескольких отрицательных решений по жалобам частных лиц и отклонения Агентством по защите данных в 2024 году, Google направила центральному правительству новое соглашение, чтобы получить доступ к Сеуте и Мелилье, образование в которых зависит от министерства. Исполнительная власть сейчас ожидает оценки Агентства по защите данных в отношении внесенных изменений, чтобы принять решение о заключении нового соглашения с компанией после отказа два года назад. Между тем такие страны, как Франция и Дания, запретили использование образовательного технологического решения, предлагаемого Google. ЕС наложил на компанию три штрафа на общую сумму 8,257 млрд евро за злоупотребление доминирующим положением. Что касается возможности игнорирования американским обществом подписанных договоров и европейских законов, Рафаэль Родригес, профессор философии права Университета Пабло де Олавиде в Севилье, в интересной статье, опубликованной в 2023 году, критиковал: «Обвинения в злоупотреблении доминирующим положением, выдвинутые в последние годы, должны вызывать беспокойство в отношении соблюдения действующего законодательства». Эксперт подверг сомнению то, что автономные регионы предоставляют своим школам и институтам эти платформы бесплатно в обмен на данные своих студентов: «Небезосновательно задаться вопросом, почему коммерческие организации, действующие из-за рубежа, с инфраструктурой, распределенной по всему миру, не подпадают под более строгие гарантии или им продается, пусть даже в качестве меры предосторожности, доступ к этим данным. Как и в случае с социальными сетями и несовершеннолетними, компании ставят бизнес выше любых других приоритетов, что, с другой стороны, логично для коммерческих компаний, которые подотчетны своим акционерам». Мария Альколеа, генеральный директор Профессиональной ассоциации по вопросам конфиденциальности и искусственного интеллекта (Apep), отмечает отсутствие прецедентов утечек, затрагивающих столь большое количество детей: «Число несовершеннолетних, которые могли бы быть затронуты в данном случае, является значительным, особенно если учесть, что это затронуло бы большое количество несовершеннолетних в Андалусии. Нет информации о предыдущих случаях, которые затронули бы аналогичное количество несовершеннолетних в нашей стране». Самуэль Парра, адвокат, специализирующийся на защите данных, критикует: «Google хочет привлечь пользователей, чтобы максимизировать прибыль, и обращается к органам власти с тысячами и тысячами потенциальных клиентов. Он подписывает бесплатные соглашения, пока не начинает взимать плату. Парадокс заключается в том, что Андалузский совет наказывает жертву, но Google будет коммерциализировать эти данные из-за некомпетентности или невежества андалузских властей». В заключение Родригес призывает задуматься «о том, какой Интернет мы хотим и какова роль свободного программного обеспечения», и категорически отвергает возможность того, что автономные регионы будут продолжать подписывать соглашения с американской компанией: «Сообщества действуют наивно, а образование — это очень серьезное дело, отношения между учителем и учеником, в которые не должен вмешиваться посторонний третий. Проще говоря, на основании принципа предосторожности не следует подписывать никаких новых соглашений с Google. Логично было бы собрать администрации и обсудить этот вопрос; необходимо провести коллективное обсуждение, чтобы решить проблему структурным, а не частичным образом». Если у вас есть дополнительная информация, вы можете написать по адресу jmartina@elpais.es.