Ákvörðun

um að fella úr gildi hluta ákvörðunar Persónuverndar frá 28. nóvember 2023 í máli nr. 2022020363 vegna úttektar á vinnslu persónuupplýsinga með notkun Reykjavíkurborgar á skýjalausn Google í grunnskólastarfi:

Málsmeðferð

1. Persónuvernd barst bréf embættis borgarlögmanns, f.h. Reykjavíkurborgar, dags. 1. júlí 2025, þar sem krafist var endurgreiðslu stjórnvaldssektar að fjárhæð 2.000.000 króna, sem lögð var á Reykjavíkurborg með ákvörðun stofnunarinnar 28. nóvember 2023 í máli nr. 2022020363 sem varðaði notkun sveitarfélagsins á skýjalausn Google Workspace for Education í grunnskólastarfi (Google nemendakerfið). Fór embætti borgarlögmanns fram á að umrætt mál yrði endurupptekið á grundvelli 2. tölul. 1. mgr. og 2. mgr. 24. gr. stjórnsýslulaga nr. 37/1993, eða ákvörðunin afturkölluð á grundvelli 1. og 2. tölul. 1. mgr. 25. gr. laganna.

2. Með ákvörðun, dags. 17. desember 2025, féllst Persónuvernd á endurupptökubeiðni Reykjavíkurborgar. Með sama bréfi var Reykjavíkurborg boðið að koma á framfæri sjónarmiðum sínum sem sveitarfélagið taldi hafa þýðingu fyrir úrlausn málsins endurupptekið. Sjónarmið sveitarfélagsins bárust með tölvupósti 16. janúar 2026.

Álitamál

3. Í fyrirliggjandi máli kemur til skoðunar hvort ákvörðun Persónuverndar frá 28. nóvember 2023 í máli nr. 2022020363 verði látin standa óhögguð, henni breytt eða felld úr gildi, í heild eða að hluta.

Atvik máls

Ákvörðun Persónuverndar frá 28. nóvember 2023 í máli nr. 2022020363

4. Ákvörðun Persónuverndar frá 28. nóvember 2023 í máli nr. 2022020363 varðar sem fyrr segir úttekt stofnunarinnar á notkun Reykjavíkurborgar á Google nemendakerfinu. Markmið úttektarinnar var að staðreyna hvort vinnsla persónuupplýsingar grunnskólanemenda í nemendakerfinu samrýmdist kröfum persónuverndarlöggjafarinnar.

5. Niðurstöður Persónuverndar eru teknar saman í kafla IV. 8. í ákvörðuninni. Þar segir:

6. Að virtum þeim sjónarmiðum sem stofnuninni er skylt að taka tillit til samkvæmt 47. gr. laga nr. 90/2018 og 2. og 3. mgr. 83. gr. reglugerðar (ESB) 2016/679, var lögð á 2.000.000 króna stjórnvaldssekt á Reykjavíkurborg vegna framangreindra brota.

7. Sjónarmið samkvæmt framangreindu ákvæði eru tekin saman í kafla V. 2. í ákvörðuninni, en eftirfarandi sjónarmið þóttu leiða til þess að stjórnvaldssekt yrði lögð á og höfðu áhrif til hækkunar hennar:

Dómur Hæstaréttar frá 9. desember 2024 í máli nr. 18/2024

8. Dómur Hæstaréttar frá 9. desember 2024 í máli nr. 18/2024 laut að gildi tveggja ákvarðana Persónuverndar varðandi vinnslu persónuupplýsinga af hálfu Reykjavíkurborgar í kennslulausn Seesaw, annars vegar ákvörðun frá 16. desember 2021 um lögmæti vinnslunnar og í kjölfar hennar ákvörðun frá 3. maí 2022 um álagningu stjórnvaldssektar.

9. Hæstiréttur komst meðal annars að þeirri niðurstöðu að tilteknir form- og efnisannmarkar hefðu verið á ákvörðun Persónuverndar frá 16. desember 2021. Umræddir annmarkar fólust m.a. í því að Reykjavíkurborg hefði ekki verið veittur formlegur andmælaréttur, með vísan til 13. gr. stjórnsýslulaga nr. 37/1993. Í því sambandi var litið til þess að samskipti Persónuverndar og Reykjavíkurborgar voru að meginstefnu til í formi beiðna um upplýsingar og svara við þeim, og þess að Reykjavíkurborg var ekki veitt færi á að tjá sig frekar um fyrirhugaða niðurstöðu Persónuverndar um flutning persónuupplýsinga til Bandaríkjanna og vinnslu þar. Þá taldi rétturinn að Reykjavíkurborg hefði notið heimildar til vinnslu almennra persónuupplýsinga í stafrænu kennslulausninni, sbr. 5. tölulið 9. gr. laga nr. 90/2018, og í því tilliti notið ákveðins svigrúms til að taka ákvarðanir um vinnsluna. Loks taldi Hæstiréttur að Persónuvernd hefði ekki lagt víðhlítandi grunn að efnislegri niðurstöðu sinni hvað varðar eðli þeirra persónuupplýsinga sem unnar voru í Seesaw kennslulausninni. Nánar tiltekið taldi rétturinn að Persónuvernd hefði ekki átt að leggja fyrirvaralaust til grundvallar að persónuupplýsingar, sem fólust í samskiptum nemenda og kennara og stöðuskýrslum, hefðu talist persónuupplýsingar um hrein einkamálefni nemendanna. Stofnunin hefði enn fremur ekki átt að veita áhættu á vinnslu viðkvæmra persónuupplýsinga, sem tilgreind var í mati á áhrifum á persónuvernd, þá efnislegu þýðingu sem henni var veitt, í ljósi atvika málsins.

10. Með hliðsjón af þeim annmörkum sem voru á ákvörðun Persónuverndar taldi rétturinn ekki efni til að gera Reykjavíkurborg sekt og var stofnuninni gert að endurgreiða þá stjórnvaldssekt sem stofnunin lagði á sveitarfélagið með ákvörðun sinni 3. maí 2022.

11. Þrátt fyrir umrædda annmarka taldi Hæstiréttur að ekki væru næg efni til að ógilda ákvörðun Persónuverndar í heild. Þannig var ákvörðun Persónuverndar um ýmis önnur brot Reykjavíkurborgar gegn persónuverndarlöggjöfinni ekki felld úr gildi.

Ákvörðun Persónuverndar um endurupptöku

12. Eins og fyrr greinir féllst Persónuvernd á endurupptökubeiðni Reykjavíkurborgar með ákvörðun, dags. 17. desember 2025. Við töku þeirrar ákvörðunar leit Persónuvernd einkum til þess að stofnunin lagði til grundvallar sambærileg sjónarmið við töku ákvörðunar um að leggja stjórnvaldssekt á Reykjavíkurborg í umræddu máli, og í því máli sem Hæstiréttur felldi að hluta úr gildi með dómi 9. desember 2024 í máli nr. 18/2024.

13. Nánar tiltekið leit Persónuvernd til eðlis þeirra persónuupplýsinga sem unnar voru í Google nemendakerfinu, sbr. kafla V.2. í ákvörðun stofnunarinnar í máli nr. 2022020363, sbr. efnisgrein 6.2. hér að framan. Lagði stofnunin til grundvallar að persónuupplýsingar, sem fólust í verkefnum nemenda, samskiptum nemenda og kennara og stöðuskýrslum, væru persónuupplýsingar um hrein einkamálefni nemendanna. Að auki leit stofnunin til áhættunnar á því að viðkvæmar persónuupplýsingar yrðu skráðar í kerfið, með hliðsjón af því að Reykjavíkurborg hefði tilgreint þá áhættu í mati á áhrifum á persónuvernd.

Sjónarmið Reykjavíkurborgar

14. Af hálfu Reykjavíkurborgar er því haldið fram að Persónuvernd hafi ekki lagt viðhlítandi grunn að efnislegri niðurstöðu í ákvörðun sinni í máli nr. 2022020363 að því er varðar eðli þeirra persónuupplýsinga nemenda sem unnar voru í Google nemendakerfinu. Við ákvörðun um að leggja stjórnvaldssekt á Reykjavíkurborg í tilvísuðu máli hafi Persónuvernd lagt til grundvallar að persónuupplýsingar um hrein einkamálefni nemenda væru unnar í nemendakerfinu og litið til áhættu á því að viðkvæmar persónuupplýsingar þeirra yrðu skráðar. Við meðferð málsins hafi Reykjavíkurborg komið á framfæri sjónarmiðum sínum hvað varðar eðli þeirra persónuupplýsinga sem unnar voru í nemendakerfinu, en Persónuvernd hafi hins vegar ekki tekið réttmætt tillit til þeirra. Þá hafi Reykjavíkurborg jafnframt komið sjónarmiðum sínum á framfæri í þeirri beiðni um endurupptöku málsins, sem hér er til umfjöllunar, svo og í fyrri endurupptökubeiðni frá 28. febrúar 2024 sem Persónuvernd synjaði en ekki þykir ástæða til að rekja nánar hér.

15. Í fyrsta lagi telur Reykjavíkurborg að mat Persónuverndar, á upplýsingum um hrein einkamálefni nemenda og áhættu af því að viðkvæmar persónuupplýsingar yrðu skráðar í nemendakerfið, hafi verið rangt, eða í öllu falli strangt í ljósi fyrrgreinds dóms Hæstaréttar í máli nr. 18/2024. Vísar Reykjavíkurborg í því sambandi einnig til þeirra sjónarmiða Persónuverndar, sem rakin eru í ákvörðun um að fallast á endurupptökubeiðni sveitarfélagsins, sbr. efnisgrein 13 hér að framan. Reykjavíkurborg telur að Persónuvernd beri að taka réttmætt tillit til framangreinds dómafordæmis Hæstaréttar við úrlausn hins endurupptekna máls. Ekki verði annað ráðið en að mat og rökstuðningur Persónuverndar, í hinu endurupptekna máli, hafi verið með sama hætti og í máli nr. 2021040879 sem var ógilt að þessu leyti með dómi Hæstaréttar. Að því virtu telji Reykjavíkurborg yfirgnæfandi líkur á því að ákvörðun Persónuverndar í máli nr. 2022020363 um álagningu stjórnvaldssektar sé ógildanleg.

16. Í öðru lagi vísar Reykjavíkurborg til þess að Persónuvernd beri að gæta samræmis í sektarákvörðunum, m.a. í ljósi jafnræðisreglu stjórnsýsluréttar. Í sektarhluta ákvörðunar nr. 2022020363 komi fram að sektarfjárhæðin hafi verið ákveðin að teknu tilliti til fyrri niðurstaðna Persónuverndar í málum sem lúta að notkun upplýsingatæknikerfa í starfi grunnskóla. Sú tilvísun verði ekki skilin á annan veg en sem skírskotun til máls nr. 2021040879 um notkun Reykjavíkurborgar á nemendakerfi Seesaw, sem Hæstiréttur felldi að hluta að úr gildi, og sambærilegra mála, m.a. máls nr. 2022020414 er varðaði notkun Kópavogsbæjar á sömu kennslulausn. Í kjölfar títtnefnds dóms Hæstaréttar í máli nr. 18/2024 hafi Persónuvernd að eigin frumkvæði talið rétt að afturkalla ákvörðun í umræddu máli að hluta og endurgreiða Kópavogsbæ þá sekt sem lögð var á sveitarfélagið í málinu. Að mati Reykjavíkurborgar beri Persónuvernd að taka réttmætt tillit til þessara niðurstaðna, hvað varðar töku nýrrar ákvörðunar um álagningu sektar. Það hljóti, að mati Reykjavíkurborgar, að leiða til þeirrar niðurstöðu að ekki séu lagalegar forsendur til þess að gera Reykjavíkurborg að greiða stjórnvaldssekt í hinu endurupptekna máli sem hér er til skoðunar.

Forsendur og niðurstaða

Lagaumhverfi

17. Um endurupptöku mála er fjallað í 24. gr. stjórnsýslulaga nr. 37/1993. Samkvæmt 1. mgr. ákvæðisins má, að beiðni málsaðila, endurupptaka mál ef ákvörðun hefur byggst á ófullnægjandi eða röngum upplýsingum um málsatvik, sbr. 1. tölul., eða íþyngjandi ákvörðun um boð eða bann hefur byggst á atvikum sem breyst hafa verulega frá því að ákvörðun var tekin, sbr. 2. tölul. Aðili máls kann enn fremur að eiga rétt á því að mál sé tekið upp að nýju á grundvelli ólögfestra reglna stjórnsýsluréttarins, t.a.m. ef verulegur annmarki eða mistök hafa orðið við ákvörðun stjórnvalds, þegar lagalegar forsendur ákvörðunar hafa breyst verulega frá því ákvörðun var tekin eða verulegt misræmi er á milli úrlausna stjórnvalds í sambærilegum málum þannig að brotið sé gegn jafnræðisreglu stjórnsýsluréttar.

18. Þegar mál er endurupptekið samkvæmt framansögðu, er það tekið til efnislegrar meðferðar á ný hjá viðkomandi stjórnvaldi. Kemur þá til skoðunar að ljúka málinu með því að láta fyrri ákvörðun standa óhaggaða, breyta þeirri ákvörðun eða fella hana úr gildi.

Niðurstaða

19. Persónuvernd telur ekkert fram komið í fyrirliggjandi máli sem haggar niðurstöðu stofnunarinnar í máli nr. 2022020363 um brot Reykjavíkurborgar á persónuverndarlöggjöfinni. Við ákvörðun um þau brot, sem rakin eru í efnisgrein 5 hér að framan, var ekki litið sérstaklega til eðlis þeirra persónuupplýsinga sem unnar voru í Google nemendakerfinu. Er í því sambandi jafnframt litið til dóms Hæstaréttar frá 9. desember 2024 í máli nr. 18/2024, þar sem rétturinn staðfesti túlkun stofnunarinnar um ýmis ákvæði persónuverndarlöggjafarinnar.

20. Hins vegar liggur fyrir að Persónuvernd leit til eðlis þeirra persónuupplýsinga, sem unnar voru eða kynnu að rata í Google nemendakerfið, við töku ákvörðunar um að leggja stjórnvaldssekt á Reykjavíkurborg í hinu endurupptekna máli sem hér er til umfjöllunar. Með hliðsjón af brotum sveitarfélagsins, og að teknu tilliti til þeirra sjónarmiða sem stofnuninni er skylt að horfa til samkvæmt 47. gr. laga nr. 90/2018 og 2. og 3. mgr. 83. gr. reglugerðar (ESB) 2016/679, var lögð á 2.000.000 króna stjórnvaldssekt, sbr. nánari umfjöllun í efnisgrein 7.

21. Ákvæði 47. gr. laganna og 2. mgr. 83. gr. reglugerðarinnar fela í sér matskenndar reglur. Persónuvernd er skylt að framkvæma lögbundið mat við beitingu þeirra sjónarmiða sem þar eru tilgreind. Matið er þó ekki með öllu frjálst enda er Persónuvernd bundin af almennum meginreglum stjórnsýsluréttarins, svo sem rannsóknarreglu, meðalhófsreglu og jafnræðisreglu.

22. Með hliðsjón af dómi Hæstaréttar í máli nr. 18/2024 fellst Persónuvernd á að í þeirri ályktun stofnunarinnar, að Reykjavíkurborg ynni með persónuupplýsingar um hrein einkamálefni hinna skráðu í Google nemendakerfinu og að hætta væri á vinnslu viðkvæmra persónuupplýsinga, hafi falist efnisannmarki. Skoðast það í ljósi þess að rannsókn Persónuverndar leiddi ekki ótvírætt í ljós að slíkar upplýsingar hefðu í reynd verið unnar, hvað sem leið óumdeildri hættu á slíkri vinnslu.

23. Að öllu þessu virtu og með vísan til jafnræðisreglu stjórnsýslulaga, sbr. 11. gr. laga nr. 37/1993, telur Persónuvernd mega líta svo á að ekki hafi verið næg efni til að leggja stjórnvaldssekt á Reykjavíkurborg þrátt fyrir þau brot sveitarfélagsins gegn persónuverndarlöggjöfinni sem standa óhögguð eftir ákvörðun þessa. Að þessu gættu, og með vísan til þess sem rakið er í efnisgreinum 16 og 17 hér að framan, er V. 2. kafli ákvörðunarinnar um stjórnvaldssekt felldur úr gildi. Jafnframt eru felld úr gildi svohljóðandi ákvörðunarorð: „Lögð er 2.000.000 króna stjórnvaldssekt á Reykjavíkurborg. Sektina skal greiða í ríkissjóð innan mánaðar frá dagsetningu ákvörðunar þessarar, sbr. 6. mgr. 46. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.“

24. Ber í samræmi við þessa niðurstöðu að endurgreiða þá stjórnvaldssekt er lögð var á Reykjavíkurborg með fyrrgreindri ákvörðun Persónuverndar í máli nr. 2022020363, með vöxtum samkvæmt 1. mgr. 8. gr. laga nr. 38/2001 um vexti og verðtryggingu frá þeim tíma sem sektargreiðslan átti sér stað og þar til endurgreiðsla fer fram, sbr. 1. mgr. 8. gr. laga nr. 150/2019 um innheimtu opinberra skatta og gjalda.

Á k v ö r ð u n a r o r ð:

Felldur er úr gildi kafli V. 2. í ákvörðun Persónuverndar frá 28. nóvember 2023 í máli nr. 2022020363
Felld eru úr gildi svohljóðandi ákvörðunarorð í ákvörðun Persónuverndar frá 28. nóvember 2023 í máli nr. 2022020363: „Lögð er 2.000.000 króna stjórnvaldssekt á Reykjavíkurborg. Sektina skal greiða í ríkissjóð innan mánaðar frá dagsetningu ákvörðunar þessarar, sbr. 6. mgr. 46. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.“

Skal stjórnvaldssekt sem lögð var á Reykjavíkurborg með ákvörðun Persónuverndar frá 28. nóvember 2023 í máli nr. 2022020363 endurgreidd með vöxtum í samræmi við 1. mgr. 8. gr. laga nr. 38/2001 um vexti og verðtryggingu frá þeim tíma sem sektargreiðslan átti sér stað og þar til endurgreiðslan fer fram, sbr. 1. mgr. 8. gr. laga nr. 150/2019 um innheimtu opinberra skatta og gjalda.

Persónuvernd, 19. mars 2026

Dóra Sif Tynes
formaður

Árnína Steinunn Kristjánsdóttir Gunnar Ingi Ágústsson

Jónas Sturla Sverrisson Thor Aspelund