Sænska persónuverndarstofnunin (IMY) hefur sektað barna- og fræðsluráð sveitarfélagsins Östersund um 300.000 SEK (um 4.000.000 íslenskra króna) fyrir að hafa ekki framkvæmt fullnægjandi mat á áhrifum á persónuvernd áður en Google-nemendakerfið var tekið til notkunar í skólum sveitarfélagsins.

Frá haustinu 2020 hefur Google Workspace for Education verið notað í 24 skólum í Östersund, meðal annars til að gefa nemendum endurgjöf um skólaverkefni. Persónuupplýsingar tæplega 6.000 nemenda og 1.300 starfsmanna hafa verið unnar í kerfinu.

Þegar nemendakerfið var tekið til notkunar var stuðst við eldra mat á áhrifum á persónuvernd frá árinu 2014, sem önnur stofnun í sveitarfélaginu (The regional Council of Jämtland County) hafði framkvæmt um notkun Google-lausna við menntun, og talið að það væri fullnægjandi.

Við ákvörðunina leit sænska persónuverndarstofnunin til þess að þar sem um væri að ræða umfangsmikla vinnslu persónuupplýsinga barna hefði ábyrgðaraðila mátt vera ljóst að vinnslan væri áhættusöm og krefðist mats á áhrifum á persónuvernd. Að mati stofnunarinnar hefði ábyrgðaraðili átt að gera viðunandi ráðstafanir áður en notkun hófst en ekki eftir á. Því gætu aðgerðir ábyrgðaraðilans eftir 2020 ekki talist sem mildandi þáttur þegar litið var til atriða sem höfðu áhrif á ákvörðun um upphæð sektar. Var það enn fremur talið sýna fram á mikið viðvarandi gáleysi að á þeim þremur árum sem rannsókn stóð yfir hefði vinnu við mat á áhrifum á persónuvernd enn ekki verið lokið. Að lokum taldi stofnunin miklar líkur á því að vinnsla persónuupplýsinga í bandarísku skýjafyrirtæki myndi leiða til flutnings persónuupplýsinga til þriðju landa.

Nánar má lesa um ákvörðunina hér og á vefsíðu sænsku persónuverndarstofnunarinnar.