Onder de Algemene verordening gegevensbescherming (AVG) kunnen organisaties, en dus ook scholen, verplicht zijn een Gegevensbeschermingseffectbeoordeling (GEB) of data protection impact assessment (DPIA) uit te voeren. Zo breng je vooraf de privacyrisico’s van de verwerking van bepaalde gegevens in kaart.
Naar aanleiding van de gedetecteerde privacyrisico’s in het Nederlandse onderwijs bij het gebruik van Google Workspace, stelde de Vlaamse Toezichtcommissie (VTC) dat structureel gebruik van Google in het Vlaamse onderwijs alleen nog mogelijk is als er voldoende beschermende maatregelen worden genomen.