Tietosuojavaltuutetun toimisto (Dataombudsmannens byrå) ger en kommunal utbildningsinstitution en reprimand för att ha brutit mot principerna om laglighet och ändamålsbegränsning i dataskyddsförordningen (GDPR).
Av beslutet framgår att Dataombudsmannens byrå underrättats om att en kommunal utbildningsinstitution behandlade sina elevers personuppgifter för marknadsföring av kurser som erbjuds av en tredje part utan elevernas samtycke. Dataombudsmannens byrå bad utbildningsinstitutionen att förklara syftet med behandlingen av personuppgifter.
Som svar på begäran klargjorde utbildningsinstitutionen att en lärare skickat ett e-postmeddelande till studenterna där läraren gjort reklam för sin egen kurs i en annan organisation. Utbildningsinstitutionen betonade att utskicket av e-postmeddelandet i fråga inte var relaterat till utbildningsinstitutionen verksamhet, och att e-postmeddelandet i fråga skickats i strid med utbildningsinstitutionens instruktioner. Enligt utbildningsinstitutionens integritetsmeddelande lämnades personuppgifter inte ut till tredje part för direktmarknadsföring.
Dataombudsmannens byrå ansåg att det e-postmeddelande som skickats från utbildningsinstitutionens informationssystem marknadsförde tjänster som erbjuds av en annan organisation och att sådan användning av personuppgifterna var jämförbar med utlämnande. Enligt Dataombudsmannens byrå måste utbildningsinstitutionen i enlighet med artikel 32.4 GDPR se till att dess anställda har tillräcklig förståelse och kompetens när det gäller behandling av personuppgifter och dataskydd.
Vidare ansåg Dataombudsmannens byrå att utbildningsinstitutionen brutit mot artikel 5.1 (a) GDPR, eftersom behandlingen av personuppgifter inte var relaterad till utbildningsinstitutionens verksamhet och det inte fanns någon rättslig grund för behandlingen. Utbildningsinstitutionens syfte med att samla in personuppgifterna var för behandling i samband med högskolans verksamhet. Eftersom annonsen för en annan organisation inte var relaterad till högskolans verksamhet, ansåg Dataombudsmannens byrå också en överträdelse av principen om ändamålsbegränsning enligt artikel 5.1 (b) GDPR.
Som ett resultat utfärdade Dataombudsmannens byrå en reprimand till utbildningsinstitutionen i enlighet med artikel 58.2 (b) GDPR.