Googlecontract was juridische breinbreker

De Open Universiteit kreeg vorig jaar het aanbod om de Google Apps gratis te gebruiken. Een mooi aanbod, maar juridisch gezien waren er haken en ogen: Google's contracten gaan uit van Amerikaans recht, terwijl Nederlandse instellingen zich moeten houden aan Wet Bescherming Persoonsgegevens.

Een jaar geleden sloot de Open Universiteit Nederland (OU) een contract van vier jaar voor het gebruik van de Google Apps Suite. Kosten: nul euro. Volgens Ron Helwig, directeur van het ict-servicecentrum van de OU, was de financiële afweging van Google's aanbod dus heel eenvoudig. De juridische aspecten van de deal waren dat echter niet.

Helwig: "Google's aanbod was prijstechnisch an offer you cannot refuse: 30.000 gratis mailaccounts met adresnamen van de OU, elk met een opslagcapaciteit van 7 GB en het logo van de OU. De OU kreeg bovendien een eigen dashboard met de mogelijkheid alle applicaties van de Google Suite gebruiken."

Privacy van studenten

De juridische kant van de zaak was echter een echter breinbreker. "Google heeft niet zo'n goede naam in Europa, met name waar het het het scannen van de inhoud van berichten en de bewaartermijn van gegevens betreft. De mailadressen van onze studenten zijn opgebouwd uit hun voorletters en achternaam. Dat zijn persoonsgegevens volgens de Wet Bescherming Persoonsgegevens."

Dat Google een Amerikaans bedrijf is maakte de zaak daarnaast niet eenvoudiger. Hoofd Juridische ondersteuning van de OU, Jan Engels: "Google wil zijn contracten sluiten naar Amerikaans recht. Daarnaast staat de site van Google vol met allerlei verwijzingen naar contractvoorwaarden. Het is wel verstandig om die allemaal goed door te nemen. Dat kost veel tijd. Daarnaast speelde het probleem dat Google volledig naar Amerikaans recht redeneerde, terwijl we hier van doen hebben met Nederlands privacyrecht."

De OU besloot juridisch advies in te winnen bij een advocaat die gespecialiseerd was in internationaal contractenrecht en die op zijn beurt een Amerikaanse collega heeft gevraagd te adviseren bij de tot stand koming van dit contract. Daarnaast vroeg de OU informeel advies aan het College Bescherming Persoonsgegevens (CBP).

Ondubbelzinnige toestemming

Helwig: "Het CBP vertelde ons dat we in dit geval ‘ondubbelzinnige toestemming' nodig hebben van studenten voor het rechtmatig gebruik van hun voorletters en achternaam. We hebben dus al onze studenten een brief gestuurd met de vraag of we die mochten gebruiken voor de aanmaak van een Gmail-adres." Vier procent van de studenten gaf geen toestemming. Zij krijgen de OU-post nu op een privé-mailadres bezorgd.

Ook bedong de OU, met hulp van de ingehuurde advocaat, dat Google de bewaartermijn van persoonsgegevens (in dit geval voorletters en achternaam) bekortte. Daarnaast kwamen de twee partijen overeen dat er geen advertenties zouden worden geplaatst naast Gmail-berichten.

Vendor lock-in

Behalve naar de privacy-aspecten van het afsluiten van een contract met Google, heeft de OU ook vantevoren bekeken hoe groot het risico was op een vendor lock-in. Dat is volgens Helwig niet groot. "Google ondersteunt alle gangbare mailprotocollen zoals pop en imap. Als we naar een andere leverancier willen overstappen, kunnen we de mailboxen kopiëren en verplaatsen naar een andere provider."

Daarnaast is het aanbod van een aantal andere marktaanbiedeers onderzocht. "Ik heb een aantal andere marktpartijen benaderd met de vraag wat het zou kosten als we onze mailvoorziening aan hen zouden uitbesteden. Op jaarbasis ging het daarbij om bedragen tussen de 50.000 en 1,2 miljoen euro. Ook Office Live hebben we nog even overwogen, maar Microsofts aanbod vonden we minder aantrekkelijk. Ten eerste bestond Office Web Applications toen nog niet. Ten tweede was Microsofts langeretermijnstrategie met betrekking tot het aanbieden van Software as a Service ons onduidelijk: Microsoft aarzelde een jaar geleden nog heel erg tussen een SaaS- en een traditioneel licentiemodel."

Beschikbaarheid

Over de technische aspecten van de Gmail-implementatie is Helwig heel tevreden. "Voor het programmeren van interfaces biedt Google allerlei API's, goede technische documentatie en de mogelijkheid tot direct contact met techneuten." De OU bouwde onder andere een authenticatie-interface: "We wilden de authenticatie graag zelf afhandelen, zodat we de wachtwoorden van onze studenten, die ze ook gebruiken om in te loggen in onze elektronische leeromgeving, niet aan Google hoefden te verstrekken." Daarnaast is er een interface gebouwd van het studenteninformatiesysteem naar Google. Google-accounts worden daardoor automatisch aangemaakt en verwijderd als een student komt of gaat. Als een student een andere naam doorgeeft, omdat hij of zij bijvoorbeeld getrouwd of gescheiden is, wijzigt het mailadres.

Dat Gmail er "in de week van de carnaval" twee uur uit heeft gelegen was vervelend, was volgens Helwig geen heel groot probleem. "We hebben er weinig klachten over ontvangen. Dat komt waarschijnlijk ook omdat onze studenten niet dag en nacht achter de mail zitten, anders dan bij een reguliere universiteit. Bovendien: Tot driekwart jaar geleden hadden we niet eens een eigen mailvoorziening voor onze studenten. We verstuurden al onze officiële communicatie aan studenten nog via de post."