El caso Chromebook en Dinamarca (2021-2026): de la prohibición de Google Workspace en Helsingør a la reprimenda nacional a 51 municipios

En septiembre de 2021, la autoridad de protección de datos de Dinamarca, Datatilsynet, criticó por primera vez al municipio de Helsingør tras una brecha de seguridad de datos vinculada al uso de Chromebooks de Google y Google Workspace for Education en escuelas primarias.

El 14 de julio de 2022, Datatilsynet impuso una prohibición total de tratamiento de datos a Helsingør (ratificada posteriormente el 18 de agosto de 2022), ordenando al municipio dejar de usar los servicios y eliminar los datos ya transferidos antes del 3 de agosto de 2022. La autoridad determinó que Helsingør no había documentado ni evaluado el riesgo de que los datos personales de los alumnos pudieran transferirse a subencargados de Google fuera del EEE/UE con fines de soporte, y no había probado adecuadamente el hardware y el software antes de la implementación. Datatilsynet advirtió explícitamente que sus conclusiones probablemente se aplicarían a otros municipios daneses que usaran los mismos productos de Google.

Para 2024, la investigación pasó a cubrir a unos 53 municipios, y el 29 de enero de 2026 Datatilsynet cerró la investigación emitiendo una crítica grave ('alvorlig kritik') a 51 municipios — incluidos Copenhague y Aarhus — por no haber documentado una base legal para el tratamiento de datos, por no haber verificado si los subencargados de Google fuera del EEE/UE ofrecían una protección de datos esencialmente equivalente a los estándares europeos, y por depender de configuraciones técnicas y contractuales fijadas unilateralmente por el proveedor.

Se trata de un caso de gobernanza cautelar: muestra que, incluso cinco años después de la primera constatación, la mayoría de los municipios daneses todavía no habían llevado sus contratos de EdTech en la nube a un cumplimiento documentado del RGPD, ilustrando lo difícil que resulta para escuelas y municipios individuales ejercer una supervisión real sobre las cadenas globales de subcontratación de servicios en la nube. Comentarios jurídicos independientes (SSRN, European Data Protection Law Review) y la prensa internacional (TechCrunch, CyberNews) han utilizado este caso como ejemplo de referencia del riesgo de transferencias a terceros países en la contratación pública de EdTech.