Integritetsskyddsmyndigheten (IMY) har utfärdat en sanktionsavgift på 300 000 kronor mot barn- och utbildningsnämnden i Östersunds kommun för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att 24 kommunala skolor i Östersund sedan hösten 2020 använt Google Workspace for Education, bland annat för att ge elever återkoppling på skoluppgifter. Närmare 6 000 elevers och 1 300 anställdas personuppgifter har behandlats i skolplattformen.
Inför en sådan omfattande behandling av barns personuppgifter i skolverksamhet ska den som är personuppgiftsansvarig, i det här fallet barn- och utbildningsnämnden, göra en konsekvensbedömning för att identifiera risker och behov av skyddsåtgärder. IMY konstaterar i sitt beslut att kommunen infört skolplattformen utan att ha genomfört en konsekvensbedömning.
Att barn- och utbildningsnämnden har inte utfört en konsekvensbedömning innan skolplattformen infördes gör att IMY utfärdar en sanktionsavgift på 300 000 kronor mot nämnden för överträdelse av artikel 35 GDPR.