La autoridad de control de Dinamarca prohibe el uso de Google Workspace
Otra servicio de Google y otra vez Google, esta vez no han sido las cookies de Google Analytics sino el Workspace de Google de un ayuntamiento danés. El pasado 14 de julio la autoridad de control danesa imponía una prohibición de utilización del servicio de Google Workspace por vulnerar los artículos 5, apartado 2, artículo 5, apartado 1, letra a, artículo 24 cf. Artículo 28, apartado 1, artículo 35, apartado 1, y artículo 44 cf. Artículo 46, apartado 1.
Origen del caso:
En un caso relativo al uso de Google Workspace en el municipio de Elsinore, la Agencia Danesa de Protección de Datos expresa serias críticas y prohíbe las transferencias a terceros países y el uso de Google Workspace.
Hallazgos clave:
La Agencia Danesa de Protección de Datos tomó una decisión en septiembre de 2021 en la que se ordenó al Municipio de Elsinore que hiciera una evaluación de riesgos del procesamiento de datos personales por parte del municipio en la escuela primaria utilizando Google Chromebooks y Workspace.
Sobre la base de la documentación y la evaluación del riesgo para los interesados que ha preparado el Municipio de Elsinore, el DPA danés ha descubierto ahora que el procesamiento no cumple con los requisitos del RGPD en varios puntos.
«El Municipio ha hecho un gran y hábil trabajo para mapear cómo se utilizan los datos personales en la escuela primaria, pero también arroja algo de luz sobre los posibles problemas de protección de datos con las formas de resolver la tarea de las grandes empresas tecnológicas», dice el especialista en seguridad de TI y abogado de la DPA danesa, el Sr. Allan Frank.
El DPA danés considera que el municipio como controlador no ha evaluado algunos riesgos específicos en relación con la construcción del procesador de datos en cuanto a las actividades de procesamiento que el controlador puede realizar como autoridad pública. Además, el acuerdo de procesador de datos (DPA) establece que la información puede transferirse a terceros países en situaciones de soporte técnico sin el nivel requerido de seguridad y protección.
Decisión:
A la luz de la decisión de septiembre de 2021, el DPA danés ha tomado una nueva decisión. Contiene, entre otras cosas:
- Una suspensión del procesamiento de datos del municipio de Elsinore cuando la información se transfiere a terceros países sin el nivel de protección necesario.
- Una prohibición general del procesamiento de datos personales con Google Workspace hasta que se haya llevado a cabo la documentación adecuada y la evaluación de impacto y hasta que las operaciones de procesamiento se hayan alineado con el RGPD.
- Graves críticas al tratamiento de datos personales por parte del municipio.
La Agencia Danesa de Protección de Datos señala que muchas de las conclusiones específicas de esta decisión probablemente se aplicarán a otros municipios daneses que utilizan la misma construcción de procesador de datos en la que gira en torno a este caso en el municipio de Elsinore. El DPA danés espera que estos municipios tomen las medidas pertinentes basadas en esta decisión, a pesar de que la autoridad está finalizando actualmente una serie de casos relativos a otros municipios.
Fuente: El EDPB.
