Ákvörðun

um afturköllun hluta ákvörðunar Persónuverndar frá 2. maí 2023 í máli nr. 2022020414 vegna úttektar á vinnslu persónuupplýsinga með notkun Seesaw kennslulausnar í grunnskólum Kópavogsbæjar.

Tildrög máls

Málsmeðferð og álitaefni

1. Með bréfi 18. desember 2024 tilkynnti Persónuvernd Kópavogsbæ um að stofnunin hefði ákveðið að endurupptaka hluta máls nr. 2022020414 er varðar vinnslu persónuupplýsinga með notkun Seesaw kennslulausnar í grunnskólum sveitarfélagsins sem ákvörðun stofnunarinnar frá 2. maí 2023 laut að.

2. Við ákvörðun um endurupptöku var litið til dóms Hæstaréttar frá 9. desember 2024 í máli nr. 18/2024, þar sem felldur var úr gildi hluti ákvörðunar Persónuverndar frá 16. desember 2021 um notkun Reykjavíkurborgar á sömu kennslulausn. Við töku ákvörðunar 2. maí 2023 leit Persónuvernd til þeirrar ákvörðunar sem Hæstiréttur ógilti að hluta. Að því virtu, og á grundvelli óskráðra reglna stjórnsýsluréttar um endurupptöku máls, ákvað Persónuvernd að hefja málsmeðferð í þeim tilgangi að kanna hvort ástæða væri til að afturkalla eða breyta tilvísaðri ákvörðun.

3. Með fyrrgreindu bréfi 18. desember 2024 var Kópavogsbæ tilkynnt um framangreint og veitt færi á að koma á framfæri sjónarmiðum sínum hvað varðar úrlausn málsins endurupptekið, með vísan til 13. gr. stjórnsýslulaga nr. 37/1993. Svör Kópavogsbæjar bárust Persónuvernd með tölvupósti 30. janúar 2025.

Ákvörðun Persónuverndar frá 2. maí 2023 í máli nr. 2022020414

4. Í ákvörðun Persónuverndar frá 2. maí 2023 komst stofnunin að þeirri niðurstöðu að vinnsla persónuupplýsinga grunnskólanemenda í kennslulausn Seesaw á vegum Kópavogsbæjar hefði ekki verið í samræmi við ákvæði persónuverndarlöggjafarinnar. Nánar tiltekið komst stofnunin að eftirfarandi niðurstöðu:

1) Vinnslusamningur Kópavogsbæjar við Seesaw samrýmdist ekki ákvæði a-liðar 3. mgr. 28. gr. reglugerðar (ESB) 2016/679, sbr. 3. mgr. 25. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, þar sem ekki þótti sýnt fram á að Seesaw ynni persónuupplýsingar einungis samkvæmt skjalfestum fyrirmælum Kópavogsbæjar.

2) Ekki lá fyrir samkomulag um sameiginlega ábyrgð varðandi vinnslu annálagagna og staðsetningargagna sem þóttu ekki óhjákvæmileg fyrir virkni kerfisins, sbr. 1. mgr. 26. gr. reglugerðarinnar, sbr. 23. gr. laganna. Þá voru umræddar vinnsluaðgerðir ekki taldar rúmast innan þeirra lögbundnu verkefna sem Kópavogsbæ eru falin með lögum nr. 91/2008 um grunnskóla. Þessi afmarkaða vinnsla var því ekki talin heimil á grundvelli á 5. tölul. 9. gr. laga nr. 90/2018 og e-liðar 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, sbr. 1. tölul. 1. mgr. 8. gr. laganna, sbr. a-lið 1. mgr. 5. gr. reglugerðarinnar.

3) Kópavogsbær uppfyllti ekki ábyrgðarskyldur sínar samkvæmt 1., 2., 3. og 5. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a-, b-, c- og e-liðum 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, sbr. 2. mgr. ákvæðanna, þ.e. þeim kröfum að persónuupplýsingar skuli unnar með sanngjörnum og gagnsæjum hætti, fengnar í skýrt tilgreindum og lögmætum tilgangi og ekki unnar frekar á þann hátt að ósamrýmanlegt sé þeim tilgangi, að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar og að ekki skuli vera unnt að bera kennsl á skráða einstaklinga lengur en þörf krefur miðað við tilgang vinnslunnar.

4) Mat Kópavogsbæjar á áhrifum á persónuvernd stóðst ekki lágmarkskröfur 35. gr. reglugerðar (ESB) 2016/679, sbr. 1. mgr. 29. gr. laga nr. 90/2018.

5) Kópavogsbær tryggði ekki öruggan flutning persónuupplýsinga til Bandaríkjanna, sbr. 46. gr. reglugerðar (ESB) 2016/679, og braut því gegn ákvæði 44. gr. reglugerðarinnar.

5. Með hliðsjón af eðli og umfangi brota Kópavogsbæjar, sem og að teknu tilliti til þess að hinir skráðu voru börn, eðlis þeirra upplýsinga sem unnar voru og umfangs vinnslunnar, og með vísan til 6. og 7. tölul. 42. gr. laga nr. 90/2018, lagði Persónuvernd fyrir Kópavogsbæ að loka reikningum nemenda í Seesaw og sjá til þess að öllum persónuupplýsingum þeirra yrði eytt úr kerfinu. Kópavogsbæ var leiðbeint um að taka afrit af upplýsingunum til að afhenda nemendum eða, eftir atvikum, til varðveislu í skólunum. Þá var jafnframt lögð 4.000.000 kr. stjórnvaldssekt á Kópavogsbæ.

Dómur Hæstaréttar frá 9. desember 2024 í máli nr. 18/2024

6. Dómur Hæstaréttar frá 9. desember 2024 í máli nr. 18/2024 laut að gildi tveggja ákvarðana Persónuverndar varðandi vinnslu persónuupplýsinga af hálfu Reykjavíkurborgar í kennslulausn Seesaw, annars vegar ákvörðun frá 16. desember 2021 um lögmæti vinnslunnar og í kjölfar hennar ákvörðun frá 3. maí 2022 um álagningu stjórnvaldssektar.

7. Hæstiréttur komst meðal annars að þeirri niðurstöðu að tilteknir form- og efnisannmarkar hefðu verið á ákvörðun Persónuverndar frá 16. desember 2021. Umræddir annmarkar fólust m.a. í því að Reykjavíkurborg hefði ekki verið veittur formlegur andmælaréttur, með vísan til 13. gr. stjórnsýslulaga nr. 37/1993. Í því sambandi var litið til þess að samskipti Persónuverndar og Reykjavíkurborgar voru að meginstefnu til í formi beiðna um upplýsingar og svara við þeim, og þess að Reykjavíkurborg var ekki veitt færi á að tjá sig frekar um fyrirhugaða niðurstöðu Persónuverndar hvað varðar flutning persónuupplýsinga til Bandaríkjanna og vinnslu þar. Að auki taldi Hæstiréttur að Persónuvernd hefði ekki lagt víðhlítandi grunn að efnislegri niðurstöðu sinni hvað varðar eðli þeirra persónuupplýsinga sem unnar voru í Seesaw kennslulausninni. Þá taldi rétturinn jafnframt að Reykjavíkurborg hefði notið heimildar til vinnslu almennra persónuupplýsinga í stafrænu kennslulausninni, sbr. 5. tölulið 9. gr. laga nr. 90/2018, og í því tilliti notið ákveðins svigrúms til að taka ákvarðanir um vinnsluna.

8. Jafnframt felldi Hæstiréttur úr gildi þann hluta ákvörðunar Persónuverndar frá 16. desember 2021 sem laut að lokun reikninga nemenda í kennslulausninni og eyðingu persónuupplýsinga þeirra. Þótti umræddur hluti ákvörðunarinnar vera úr hófi. Að auki leit Hæstiréttur til ríkra skyldna um leiðbeiningu og ráðgjöf sem hvíla á Persónuvernd samkvæmt lögum nr. 90/2018 og reglum stjórnsýsluréttar svo og ítrekaðra óska Reykjavíkurborgar þar að lútandi undir meðferð málsins. Með hliðsjón af þeim annmörkum sem voru á ákvörðun Persónuverndar taldi rétturinn ekki efni til að gera Reykjavíkurborg sekt og var stofnuninni gert að endurgreiða þá stjórnvaldssekt sem lögð var á sveitarfélagið með ákvörðun 3. maí 2022.

9. Þrátt fyrir umrædda annmarka á ákvörðun Persónuverndar taldi Hæstiréttur að ekki væru næg efni til að ógilda ákvörðun Persónuverndar í heild. Þannig var ákvörðun Persónuverndar um ýmis önnur brot Reykjavíkurborgar gegn persónuverndarlöggjöfinni ekki felld úr gildi. Lutu þau m.a. að því að Reykjavíkurborg hefði ekki uppfyllt tilteknar meginreglur persónuverndarlöggjafarinnar eða ákvæði laganna um innbyggða og sjálfgefna persónuvernd, ekki sýnt fram á fullnægjandi heimild fyrir vinnslu svonefndra annálagagna í þágu markaðssetningar og ekki veitt fullnægjandi fræðsla í tengslum við vinnsluna. Til viðbótar hefði vinnslusamningur Reykjavíkurborgar og Seesaw ekki verið fullnægjandi, mat Reykjavíkurborgar á áhrifum á persónuvernd ekki staðist lágmarkskröfur og ekki verið fullnægt ábyrgðarskyldum um að tryggja öryggi við vinnslu persónuupplýsinga og öruggan flutning persónuupplýsinga til Bandaríkjanna.

Sjónarmið Kópavogsbæjar

10. Kópavogsbær byggir á því að form- og efnisannmarkar á ákvörðun Persónuverndar frá 2. maí 2023, í máli nr. 2022020414, séu mun alvarlegri en annmarkar á ákvörðun stofnunarinnar frá 16. desember 2021, sem Hæstiréttur felldi að hluta úr gildi með dómi 9. desember 2024 í máli nr. 18/2024. Því séu efni til að ógilda umrædda ákvörðun Persónuverndar gagnvart Kópavogsbæ í heild. Að auki gerir Kópavogsbær kröfu um að ákvörðuð sekt verði endurgreidd með vöxtum samkvæmt 8. gr. laga um vexti og verðtryggingu nr. 38/2001 frá greiðsludegi.

11. Í athugasemdum Kópavogsbæjar er vísað til þess að formannmarkar á málsmeðferð og ákvörðun Persónuverndar hafi falist í takmörkun á andmælarétti og skort á rannsókn af hálfu stofnunarinnar. Nánar tiltekið hefði Persónuvernd tekið ákvörðun um niðurstöðu, þ.e. brot og sekt, á grundvelli niðurstöðu stofnunarinnar í fyrrgreindu máli gagnvart Reykjavíkurborg, þar sem um sama upplýsingatæknikerfi hafi verið að ræða. Raunveruleg rannsókn hefði ekki farið fram á aðgerðum og meintum brotum Kópavogsbæjar og réttur til andmæla eingöngu verið veittur til að uppfylla formkröfur. Kópavogsbær hefði verið gert að afsanna líkindi í aðgerðum sveitarfélagsins og Reykjavíkurborgar. Er nefnt í því sambandi að Persónuvernd hefði dregið ályktun um að vinnslusamningur hefði ekki verið undirritaður, líkt og í tilviki Reykjavíkurborgar, þrátt fyrir að slíkur samningur hefði legið fyrir og verið undirritaður af hálfu Kópavogsbæjar.

12. Kópavogsbær heldur því enn fremur fram að þau brot sem talin eru óumdeild í tilviki Reykjavíkurborgar, og staðfest voru með dómi Hæstaréttar, séu ekki öll óumdeild í tilviki sveitarfélagsins. Er nefnt í því sambandi að annálagögn hefðu ekki verið unnin í markaðstilgangi. Hvorki sveitarfélagið né Seesaw hefðu haft heimild til vinnslu persónuupplýsinga í markaðsskyni og ítrekað hefði komið fram að hvorugur aðila nýtti persónuupplýsingar í þeim tilgangi. Seesaw reki upplýsingatæknikerfi og geti samkvæmt því þurft að nýta annálagögn í því skyni að fræða um notkun kerfisins. Þá segir að Kópavogsbær muni ekki fullyrða að önnur brot hafi óumdeilt átt við um notkun sveitarfélagsins á Seesaw kennslulausninni.

13. Þá er í athugasemdum Kópavogsbæjar vísað til þess að Persónuvernd hefði ekki tekið nægilegt tillit til aðstæðna sem raktar voru í svörum sveitarfélagsins. Í fyrrgreindum dómi Hæstaréttar sé mælt fyrir um svigrúm sem Persónuvernd hefði átt að veita kennslufræðingum að því er varðar ákvörðun um með hvaða hætti kennslu yrði best sinnt og í hvaða tilgangi. Ákvörðun Persónuverndar um lokun reikninga nemenda í Seesaw hafi einkum haft áhrif á nemendur með þroskahömlur og einhverfu. Að mati sveitarfélagsins henti Seesaw lausnin enn best af öllum þeim lausnum sem hafa verið skoðaðar. Kennslufræðingar sveitarfélagsins hafi ítrekað óskað eftir aðstoð og leiðbeiningum lögfræðideildar við að gera börnum kleift að hefja aftur notkun kennslulausnarinnar í einhverju umfangi og formi.

14. Loks er tekið fram að Seesaw hafi gert endurbætur á stefnu sinni, skilmálum og samningum og notist nú við gagnaver í Evrópu til þess að þjónusta viðskiptavinum þar. Kópavogsbær mælist til þess að horfið verði frá því að rýna úrelta skilmála, samninga og aðgerðir sveitarfélagsins og Seesaw, sem stöðvaðar voru með ákvörðun Persónuverndar. Þess í stað er óskað að Persónuvernd haldi áfram rýni á Seesaw með því að leiðbeina Kópavogsbæ með ábendingum, fyrirmælum og eftir atvikum skilyrðum, þannig að notkun á kennslulausninni geti samrýmst persónuverndarlöggjöfinni.

Forsendur og niðurstaða

Lagaumhverfi

15. Á grundvelli óskráðra reglna stjórnsýsluréttar kann stjórnvald að endurupptaka mál sem það hefur áður haft til meðferðar í þeim tilgangi að kanna hvort ástæða sé til að afturkalla eða breyta ákvörðun í viðkomandi máli. Reynir einkum á skyldu stjórnvalds til endurupptöku máls á ólögfestum grundvelli þegar verulegir efnisannmarkar eru á ákvörðun stjórnvalds eða veruleg mistök hafa orðið við meðferð þess máls. Við þær aðstæður getur stjórnvald ýmist tekið upp mál að eigin frumkvæði eða í framhaldi af erindi aðila máls. Vísast í þessu sambandi til álits umboðsmanns Alþingis í máli nr. 10093/2019.

16. Um afturköllun stjórnvaldsákvörðunar er fjallað í 25. gr. stjórnsýslulaga nr. 37/1993. Samkvæmt 1. tölul. ákvæðisins getur stjórnvald afturkallað ákvörðun sína ef það er ekki til tjóns fyrir neinn af aðilum máls. Í frumvarpi laganna segir enn fremur að komi í ljós að ekki hafi verið nægjanlega ríkar ástæður til þess að taka ákvörðun sem íþyngir aðila eða aðstæður hafa breyst frá því að ákvörðun var tekin er stjórnvaldi veitt heimild með ákvæðinu í 1. tölul. til þess að afturkalla slíka ákvörðun að eigin frumkvæði. Þá er stjórnvaldi veitt heimild til að taka aftur ákvörðun sína að eigin frumkvæði í þeim tilvikum þar sem ákvörðun verður að teljast ógildanleg, sbr. 2. tölul. ákvæðisins. Líkt og vikið er að í frumvarpinu, ber að leysa úr því hvort ákvörðun sé haldin ógildingarannmarka eftir sömu sjónarmiðum og dómstólar gera.

Niðurstaða

17. Í máli þessu er til úrlausnar hvort ákvörðun Persónuverndar frá 2. maí 2023 í máli nr. 2022020414 skuli afturkölluð vegna ætlaðra annmarka.

18. Hvað varðar meinta formannmarka á ákvörðuninni, sbr. umfjöllun í efnisgrein 11, bendir Persónuvernd á að Kópavogsbæ var send skýrsla um rannsókn úttektarinnar 5. júlí 2022. Skýrslan innihélt niðurstöður rannsóknar stofnunarinnar og var Kópavogsbæ veitt færi á að koma á framfæri athugasemdum við efni hennar með vísan til 13. gr. stjórnsýslulaga nr. 37/1993. Kópavogsbæ var jafnframt veitt færi á að koma á framfæri athugasemdum í aðdraganda töku ákvörðunar um varanlega stöðvun vinnslu og álagningu stjórnvaldssektar, í ljósi úttektarskýrslunnar. Með bréfi Persónuverndar 17. janúar 2023 var enn fremur áréttað að litið yrði til sjónarmiða og gagna sem Kópavogsbær lagði fram við meðferð málsins sem aðgreindu notkun sveitarfélagsins á Seesaw frá notkun Reykjavíkurborgar á sömu kennslulausn. Í því bréfi var auk þess áréttað að ákvörðun Persónuverndar yrði byggð á gögnum sem Kópavogsbær lagði fram í málinu og voru þau tilgreind þar. Að þessu virtu fellst Persónuvernd ekki á sjónarmið Kópavogsbæjar um að þeir annmarkar, sem sveitarfélagið hefur haldið fram, þ.e. að andmælaréttur hafi verið takmarkaður og skort hafi á rannsókn málsins, hafi verið fyrir hendi.

19. Í athugasemdum Kópavogsbæjar er að auki vísað til þess að lagt hafi verið á sveitarfélagið að afsanna líkindi í aðgerðum þess og Reykjavíkurborgar, sbr. umfjöllun í efnisgrein 11. Persónuvernd fellst ekki á umrædd sjónarmið enda byggði ákvörðun stofnunarinnar gagnvart Kópavogsbæ á þeim sjónarmiðum og gögnum sem sveitarfélagið lagði fram, líkt og þegar hefur verið vikið að. Persónuvernd leit hins vegar til fyrrgreindrar ákvörðunar stofnunarinnar gangvart Reykjavíkurborg varðandi túlkun á persónuverndarlöggjöfinni, enda ber stofnuninni að gæta samræmis og jafnræðis í lagalegu tilliti við úrlausn mála, sbr. 11. gr. laga nr. 37/1993.

20. Hvað vinnslusamning Kópavogsbæjar og Seesaw varðar, sbr. umfjöllun í efnisgrein 11, taldi stofnunin sýnt fram á að vinnslusamningur hefði verið undirritaður sem skuldbatt Seesaw gagnvart sveitarfélaginu, sbr. 3. mgr. 25. gr. laga nr. 90/2018 og 3. mgr. 28. gr. reglugerðar (ESB) 2016/679, sbr. efnisgrein 3 á bls. 19 í ákvörðun stofnunarinnar. Hins vegar þótti ekki sýnt fram á að Seesaw ynni eingöngu persónuupplýsingar nemenda samkvæmt fyrirmælum Kópavogsbæjar.

21. Í athugasemdum Kópavogsbæjar er að auki vísað til þess svigrúms sem Persónuvernd hefði átt að veita kennslufræðingum sveitarfélagsins til mats á því með hvaða hætti kennslu yrði best sinnt og í hvaða tilgangi, sbr. umfjöllun í efnisgrein 13. Persónuvernd áréttar að stofnunin taldi Kópavogsbæ hafa sýnt fram á að meirihluti vinnsluaðgerða í Seesaw gæti talist nauðsynlegur til að sveitarfélagið gæti sinnt lögboðnu hlutverki sínu, að veita nemendum kennslu í samræmi við ákvæði laga nr. 91/2008 um grunnskóla, sbr. 5. tölul. 9. gr. laga nr. 90/2018, sbr. e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Hins vegar taldi stofnunin ekki sýnt fram á að tilteknar vinnsluaðgerðir annálagagna og staðsetningargagna, sem fóru fram í þágu Seesaw, væru nauðsynlegar í þágu þess að sveitarfélagið gæti framfylgt hlutverki sínu samkvæmt grunnskólalögum, að teknu tilliti til þess í hvaða tilgangi umræddar upplýsingar voru notaðar af hálfu Seesaw samkvæmt skilmálum fyrirtækisins. Umræddar vinnsluaðgerðir voru því ekki taldar rúmast innan framangreindar heimildar 5. tölul. 9. gr. laganna og e-liðar 1. mgr. 6. gr. reglugerðarinnar. Persónuvernd bendir jafnframt á að stofnunin veitti Kópavogsbæ rýmra svigrúm til mats á nauðsyn vinnslunnar í kennslufræðilegum tilgangi, samanborið við fyrri ákvörðun stofnunarinnar frá 16. desember 2021 í máli Reykjavíkurborgar. Í því máli var ekki talið sýnt fram á nauðsyn neinna vinnsluaðgerða í kennslufræðilegum tilgangi.

22. Að mati Persónuverndar hefur ekkert fram komið sem haggar niðurstöðu stofnunarinnar um brot Kópavogsbæjar, sbr. efnisgrein 4. Er í því sambandi jafnframt litið til dóms Hæstaréttar frá 9. desember 2024 í máli nr. 18/2024, þar sem rétturinn staðfesti túlkun stofnunarinnar um ýmis ákvæði persónuverndarlöggjafarinnar, sbr. efnisgrein 9, meðal annars varðandi vinnslu annálagagna.

23. Með hliðsjón af dómi Hæstaréttar í fyrrgreindu máli fellst Persónuvernd hins vegar á að í þeirri ályktun stofnunarinnar, að Kópavogsbær ynni í einhverjum tilvikum með viðkvæmar persónuupplýsingar eða hrein einkamálefni hinna skráðu í Seesaw, sbr. efnisgrein 2 á síðu 16 í ákvörðun þeirri sem hér er til umfjöllunar, hafi falist efnisannmarki, meðal annars í ljósi þess að rannsókn Persónuverndar leiddi ekki ótvírætt í ljós að slíkar upplýsingar hefðu verið unnar. Jafnframt fellst Persónuvernd á að betur hefði samrýmst meðalhólfsreglu og leiðbeiningarskyldu stofnunarinnar að veita Kópavogsbæ tækifæri til þess að færa vinnsluna til samræmis við persónuverndarlöggjöfina, sbr. 4. tölul. 42. gr. laga nr. 90/2018, sbr. d-lið 2. mgr. 58. gr. reglugerðar (ESB) 2016/679, í stað þess að veita sveitarfélaginu fyrirmæli um lokun reikninga nemenda í Seesaw og eyðingu persónuupplýsinga þeirra úr kerfinu. Að öllu þessu virtu og með vísan til jafnræðisreglu stjórnsýslulaga, sbr. 11. gr. laga nr. 37/1993, telur Persónuvernd jafnframt mega líta svo á að ekki hafi verið næg efni til að leggja stjórnvaldssekt á Kópavogsbæ þrátt fyrir þau brot sveitarfélagsins gegn persónuverndarlöggjöfinni sem standa óhögguð eftir ákvörðun þessa.

24. Að öllu framangreindu virtu þykir ljóst að hluti þeirra annmarka er voru á ákvörðun Persónuverndar frá 16. desember 2021 í máli Reykjavíkurborgar, voru einnig á ákvörðun stofnunarinnar frá 2. maí 2023 í máli Kópavogsbæjar. Er jafnframt til þess að líta að Hæstiréttur komst að þeirri niðurstöðu í fyrrgreindum dómi að ekki væru efni til að ógilda ákvörðun stofnunarinnar frá 16. desember 2021 í heild. Að þessu gættu telur Persónuvernd ekki efni til að afturkalla í heild ákvörðun stofnunarinnar frá 2. maí 2023 í máli Kópavogsbæjar. Hins vegar er fallist á að hluti ákvörðunarinnar, er lýtur að fyrirmælum til Kópavogsbæjar um lokun reikninga nemenda í Seesaw, eyðingu persónuupplýsinga þeirra í kerfinu og álagningu stjórnvaldssektar sé ógildanlegur. Er sá hluti ákvörðunarinnar því afturkallaður. Ber samkvæmt því að endurgreiða Kópavogsbæ þá stjórnvaldssekt er lögð var á sveitarfélagið með vöxtum samkvæmt 1. mgr. 8. gr. laga nr. 38/2001 um vexti og verðtryggingu frá þeim tíma sem sektargreiðslan átti sér stað og þar til endurgreiðsla fer fram, sbr. 1. mgr. 8. gr. laga nr. 150/2019 um innheimtu opinberra skatta og gjalda.

Innleiðing Seesaw á grundvelli breyttra skilmála

25. Kópavogsbær óskar þess að Persónuvernd leiðbeini sveitarfélaginu um innleiðingu Seesaw kennslulausnar á grundvelli núgildandi skilmála, í stað þess að rýna úrelta skilmála, samninga og aðgerðir sem stöðvaðar voru með ákvörðun stofnunarinnar 2. maí 2023, sbr. umfjöllun í efnisgrein 14. Persónuvernd áréttar að ákvörðun stofnunarinnar vegna úttektar á kennslulausn Seesaw byggir á þeim skilmálum fyrirtækisins sem voru í gildi á þeim tíma er úttektin var boðuð. Hvað varðar innleiðingu á kennslulausninni til framtíðar, á grundvelli breyttra skilmála fyrirtækisins, leiðbeinir Persónuvernd Kópavogsbæ um að huga sérstaklega að þeim atriðum er fundið var að í ákvörðun stofnunarinnar, sbr. umfjöllun í efnisgrein 4. Þá bendir Persónuvernd jafnframt á leiðbeiningar stofnunarinnar um innleiðingu upplýsingatæknikerfa til að vinna með persónuupplýsingar barna, sem aðgengilegar eru á vefsíðu stofnunarinnar. Auk þess bendir Persónuvernd á fyrirmæli stofnunarinnar í ákvörðun frá 6. desember 2023 varðandi notkun Kópavogsbæjar á kennslulausn Google. Umrædd fyrirmæli, og leiðbeiningar sem veittar voru í kjölfar ákvörðunarinnar, geta komið að gagni við innleiðingu á öðrum upplýsingatæknikerfum í skólastarfi, þ.m.t. kennslulausnar Seesaw. Þá er Kópavogsbæ velkomið að beina fyrirspurnum til Persónuverndar um einstök atriði varðandi innleiðinguna og mun stofnunin leitast eftir að leiðbeina sveitarfélaginu eftir því sem kostur er, sbr. 1. tölul. 5. mgr. 39. gr. laga nr. 90/2018.

Á k v ö r ð u n a r o r ð:

26. Ákvörðun Persónuverndar frá 2. maí 2023 í máli nr. 2022020414 er afturkölluð að hluta. Sá hluti ákvörðunarinnar er lýtur að lokun reikninga nemenda í kennslulausn Seesaw, eyðingu persónuupplýsingum þeirra og álagningu stjórnvaldssektar er felldur úr gildi. Skal stjórnvaldssekt er lögð var á Kópavogsbæ í umræddu máli endurgreidd með vöxtum samkvæmt 1. mgr. 8. gr. laga nr. 38/2001 um vexti og verðtryggingu frá þeim tíma sem sektargreiðslan átti sér stað og þar til endurgreiðsla fer fram, sbr. 1. mgr. 8. gr. laga nr. 150/2019 um innheimtu opinberra skatta og gjalda.

Persónuvernd, 27. maí 2025

Ólafur Garðarsson

formaður

Árnína Steinunn Kristjánsdóttir Björn Geirsson

Vilhelmína Haraldsdóttir Þorvarður Kári Ólafsson