Tietosuojavaltuutetun toimisto (Dataombudsmannens byrå) förelägger en kommun att begränsa behandlingen av elevers personuppgifter vid användning av Googles lärverktyg i enlighet med dataskyddsförordningen (GDPR).
Bakgrund
I april 2018 tog Dataombudsmannens byrå emot ett klagomål om att kommunen använde Googles digitala lärverktyg i en skola utan att inhämta samtycke från elevernas vårdnadshavare.
Kommunen uppgav att den använde flera Google-applikationer i utbildningssyfte, däribland Google Classroom, Google Drive och Google Docs. Som rättslig grund för behandlingen åberopade kommunen artikel 6.1 (c) GDPR. Enligt kommunen var behandlingen av personuppgifter i samband med användningen av tjänsterna nödvändig för att fullgöra skyldigheten att tillhandahålla grundläggande utbildning enligt den finska lagen om grundläggande utbildning.
Dataombudsmannens byrå fattade ett beslut i ärendet i december 2021. Beslutet överklagades till Högsta förvaltningsdomstolen, som i april 2025 återförvisade ärendet till myndigheten. Högsta förvaltningsdomstolen konstaterade att myndigheten inte kunde dra slutsatsen att artikel 6.1 (c) GDPR helt saknade tillämplighet som rättslig grund för behandlingen.
I det förnyade förfarandet skulle Dataombudsmannens byrå pröva i vilken utsträckning kommunen kunde stödja behandlingen av personuppgifter i samband med användningen av Googles digitala lärverktyg på att fullgöra en rättslig förpliktelse.
Myndighetens bedömning
Dataombudsmannens byrå bedömde att kommunen kan stödja behandlingen på artikel 6.1 (c) GDPR när det gäller lärverktyg som är nödvändiga för undervisningen. Behandlingen måste samtidigt vara begränsad till vad som krävs för att fullgöra kommunens utbildningsrelaterade skyldigheter. Som exempel på verktyg som kan omfattas nämnde myndigheten textredigeringsprogram, kalendrar, e-post, presentationsprogram och ämnesspecifika undervisningsprogram, exempelvis för språk eller matematik.
Vid bedömningen av nödvändighetskravet beaktade myndigheten att digitala lärverktyg kan möjliggöra omfattande och långvarig insamling och annan behandling av skolbarns personuppgifter av externa aktörer och till förmån för dessa. Kommunen får därför inte lämna ut uppgifterna eller på annat sätt ge externa aktörer tillgång till dem på ett sätt som möjliggör behandling för aktörernas egna ändamål, exempelvis för att utveckla lärverktygen eller andra tjänster.
Dataombudsmannens byrå förelade kommunen att säkerställa att personuppgifter om elever som samlas in i samband med användningen av Googles digitala lärverktyg endast behandlas för att fullgöra kommunens utbildningsrelaterade skyldigheter.
Praktiska konsekvenser
Beslutet tydliggör att utbildningsanordnare behöver bedöma vilka behandlingar av personuppgifter som är nödvändiga för undervisningen och hålla dessa åtskilda från behandling för leverantörers egna ändamål. Att ett digitalt verktyg används i undervisningen innebär inte i sig att all personuppgiftsbehandling som verktyget medför kan stödjas på artikel 6.1 (c) GDPR. Utbildningsanordnaren behöver därför beakta vilka uppgifter som behandlas, för vilka ändamål och om leverantören får tillgång till uppgifterna för att utveckla sina egna produkter eller tjänster.
TechLaw följer utvecklingen och publicerar löpande inlägg om tillsynsärenden, rättsutveckling och andra aktuella frågor på dataskyddsområdet. Läs mer om hur vi bistår våra klienter inom dataskydd och integritet.
Källa: Dataombudsmannens byrå.
