Per­sónu­vernd fær á baukinn og stefnir í milljóna endur­greiðslu

Aðdragandi málsins var sá að Reykjavíkurborg ákvað að notast við svokallað Seesaw-kerfi fyrir hluta nemenda í sex grunnskólum borgarinnar árið 2021. Um er að ræða stafræna kennslulausn, forrit sem kennarar og nemendur geta notað, einkum í fjarnámi. Með forritinu geta nemendur meðal annars sent kennurum sínum teikningar, ljósmyndir og myndbönd.

Í janúar 2021 voru verkefni í fyrsta sinn lögð fyrir nemendur þar sem notast var við kerfið. Persónuvernd barst ábending frá foreldri nemanda um að óskað hefði verið eftir samþykki foreldris fyrir notkun kerfisins. Að lokinni rannsókn komst Persónuvernd að þeirri niðurstöðu í desember það ár að notkun kerfisins hefði brotið í bága við lög um persónuvernd og vinnslu persónuupplýsinga.

Í maí 2022 sektaði Persónuvernd Reykjavíkurborg um fimm milljónir í formi stjórnvaldssektar. Brotið hefði varðað persónuupplýsingar barna sem njóti sérstakrar verndar samkvæmt persónuverndarlöggjöfinni. Líkur hafi þótt á að viðkvæmar persónuupplýsingar bara væru skráðar í kerfið.

Tilgangur vinnslunnar hafi ekki verið nægilega skýrt afmarkaður auk þess sem mikil áhætta hafi fylgt því að persónuupplýsingar væru fluttar til Bandaríkjanna og unnar þar. Á hinn bóginn hefði ekki neitt komið fram um tjón vegna brotanna og borgin hefði brugðist vel við erindum Persónuverndar.

„Þessi á­kvörðun hefur á­hrif á alla grunn­skóla sem og sveitar­fé­lög landsins. Það er mikil­vægt að standa vörð um upp­lýsinga­öryggi nem­enda en kröfur Per­sónu­verndar til starfs­fólks grunn­skólanna verða að vera raun­hæfar og í sam­ræmi við per­sónu­verndar­reglu­gerðina og út­gefnar leið­beiningar stofnunarinnar,“ sagði Helgi Grímsson sviðsstjóri skóla- og frístundasviðs borgarinnar. Reykjavíkurborg legði mat á réttarstöðu sína.

Svo fór að borgin höfðaði mál, krafðist þess að ákvarðanir Persónuverndar yrðu felldar úr gildi og stjórnvaldssektin endurgreidd.

Fjölmargir annmarkar á vinnubrögðum Persónuverndar

Héraðsdómur fann töluverða efnisannmarka á því hvernig Persónuvernd stóð að málum við ákvarðanir sínar. Meðal annars hvernig Persónunefnd skilgreindi viðkvæmar upplýsingar, tók tillit til svara borgarinnar og hvernig brot væri flokkað alvarlegt eða umfangsmikið. Þá hefði Persónuvernd ekki lagt fram haldbær rök fyrir aðfinnslum sínum í upphaflegu ákvörðuninni í desember 2021.

Féllst héraðdsómur á aðalkröfu borgarinnar um að ógilda ákvarðanirnar. Var ríkinu gert að endurgreiða Reykjavíkurborg milljónirnar fimm auk vaxta.

Persónuvernd sektaði einnig Kópavogsbæ um fjórar milljónir vegna notkunar á Seeshaw. Telja má líklegt að Kópavogsbær leiti réttar síns í ljósi nýfallins dóms. Því gæti svo farið að ríkið þurfi að greiða fleiri milljónir vegna málsins.

Nýfallinn dóm má lesa hér.