Ríkið þarf að endur­greiða borginni milljónir

Þetta var niðurstaða Hæstaréttar, sem kvað upp dóm sinn þess efnis síðdegis. Héraðsdómur Reykjavíkur hafði áður fellt ákvarðanir Persónuverndar úr gildi í heild. Persónuvernd óskaði eftir því að málið færi beint fyrir Hæstarétt í stað þess að koma við í Landsrétti. Hæstiréttur féllst á þá beiðni.

Milljónasekt Kópavogs einnig undir

Aðdragandi málsins var sá að Reykjavíkurborg ákvað að nota svokallað Seesaw-kerfi fyrir hluta nemenda í sex grunnskólum borgarinnar árið 2021. Um er að ræða stafræna kennslulausn, forrit sem kennarar og nemendur geta notað, einkum í fjarnámi. Með forritinu geta nemendur meðal annars sent kennurum sínum teikningar, ljósmyndir og myndbönd.

Í janúar 2021 voru verkefni í fyrsta sinn lögð fyrir nemendur þar sem notast var við kerfið. Persónuvernd barst ábending frá foreldri nemanda um að óskað hefði verið eftir samþykki foreldris fyrir notkun kerfisins. Að lokinni rannsókn komst Persónuvernd að þeirri niðurstöðu í desember það ár að notkun kerfisins hefði brotið í bága við lög um persónuvernd og vinnslu persónuupplýsinga.

Í maí 2022 sektaði Persónuvernd Reykjavíkurborg um fimm milljónir í formi stjórnvaldssektar. Brotið hefði varðað persónuupplýsingar barna sem njóti sérstakrar verndar samkvæmt persónuverndarlöggjöfinni. Líkur hafi þótt á að viðkvæmar persónuupplýsingar bara væru skráðar í kerfið. Persónuvernd lagði einnig fjögurra milljóna króna sekt á Kópavog vegna notkunar sama kerfis.

Ekki tilefni til að fella ákvörðunina úr gildi í heild

Héraðsdómur fann töluverða efnisannmarka á því hvernig Persónuvernd stóð að málum við ákvarðanir sínar. Meðal annars hvernig Persónunefnd skilgreindi viðkvæmar upplýsingar, tók tillit til svara borgarinnar og hvernig brot væri flokkað alvarlegt eða umfangsmikið. Þá hefði Persónuvernd ekki lagt fram haldbær rök fyrir aðfinnslum sínum í upphaflegu ákvörðuninni í desember 2021.

Féllst héraðdsómur á aðalkröfu borgarinnar um að ógilda ákvarðanirnar. Var ríkinu gert að endurgreiða Reykjavíkurborg milljónirnar fimm auk vaxta.

Í dómi Hæstaréttar segir að ekki væri tilefni til að ógilda ákvörðunina í heild þrátt fyrir að Reykjavíkurborg hefði ekki verið veittur formlegur andmælaréttur, sem hefði þó talist til vandaðra stjórnsýsluhátta. 

Hæstiréttur hafi komist að þeirri niðurstöðu að Persónuvernd hefði ekki lagt viðhlítandi grunn að efnislegri niðurstöðu sinni hvað varðaði tegund persónuupplýsinga auk þess sem efnislegir annmarkar hafi verið á mati Persónuverndar á heimild Reykjavíkurborgar til vinnslu persónuupplýsinga. 

Að virtum þeim atvikum sem lágu fyrir og stöðu málsins við ákvörðunina 16. desember 2021 hafi það verið mat réttarins að sá þáttur hennar sem laut að lokun reikninga skólabarna og eyðingu persónuupplýsinga hefði verið úr hófi og ákvörðunin 16. desember 2021 væri því felld úr gildi að hluta. 

Hæstiréttur hafi enn fremur talið að ekki hefði verið efni til að gera Reykjavíkurborg sekt með ákvörðuninni 3. maí 2022 vegna efnislegra annmarka og ágalla á stjórnsýslulegri meðferð hennar og íslenska ríkinu hafi því verið gert að endurgreiða Reykjavíkurborg stjórnvaldssektina.