O Caso Chromebook na Dinamarca (2021-2026): da Proibição do Google Workspace em Helsingør à Reprimenda Nacional a 51 Municípios

Em setembro de 2021, a autoridade dinamarquesa de proteção de dados, a Datatilsynet, criticou pela primeira vez o Município de Helsingør na sequência de uma violação de segurança de dados relacionada com o uso de Chromebooks Google e do Google Workspace for Education no ensino primário. A 14 de julho de 2022, a Datatilsynet foi mais longe e impôs uma proibição total de tratamento, ratificada a 18 de agosto de 2022, ordenando ao município que cessasse a utilização dos serviços e eliminasse os dados já transferidos até 3 de agosto de 2022. A autoridade concluiu que Helsingør não tinha documentado nem avaliado o risco de os dados pessoais dos alunos poderem ser transferidos para subcontratantes da Google fora do EEE para efeitos de suporte técnico, nem tinha testado adequadamente o hardware e o software antes da implementação.

A Datatilsynet avisou explicitamente que as suas conclusões se aplicariam provavelmente a outros municípios dinamarqueses que utilizassem os mesmos produtos Google, e o caso cresceu em conformidade: em 2024 abrangia cerca de 53 municípios, e a 29 de janeiro de 2026 a Datatilsynet encerrou a investigação emitindo uma crítica severa ("alvorlig kritik") a 51 municípios - incluindo Copenhaga e Aarhus - por não documentarem uma base jurídica lícita para o tratamento, não verificarem se os subcontratantes da Google fora da UE/EEE ofereciam um nível de proteção essencialmente equivalente aos padrões europeus, e por dependerem de configurações técnicas e contratuais definidas unilateralmente pelo fornecedor e não pelo município.

Este é um caso de governação de caráter cautelar: mostra que, mesmo cinco anos após a primeira constatação, a maioria dos municípios dinamarqueses ainda não tinha tornado os seus contratos de EdTech em nuvem conformes e documentados com o RGPD, ilustrando a dificuldade de escolas e municípios individuais exercerem um controlo real sobre as cadeias globais de subcontratação de serviços na nuvem. Comentário jurídico independente (SSRN, European Data Protection Law Review) e imprensa internacional (TechCrunch, CyberNews) têm usado o caso como exemplo de referência para o risco de transferências para países terceiros em contratos públicos de EdTech.