Aðdragandi málsins var sá að Reykjavíkurborg ákvað að notast við svokallað Seesaw-kerfi fyrir hluta nemenda í sex grunnskólum borgarinnar árið 2021. Um er að ræða stafræna kennslulausn, forrit sem kennarar og nemendur geta notað, einkum í fjarnámi. Með forritinu geta nemendur meðal annars sent kennurum sínum teikningar, ljósmyndir og myndbönd.
Í janúar 2021 voru verkefni í fyrsta sinn lögð fyrir nemendur þar sem notast var við kerfið. Persónuvernd barst ábending frá foreldri nemanda um að óskað hefði verið eftir samþykki foreldris fyrir notkun kerfisins. Að lokinni rannsókn komst Persónuvernd að þeirri niðurstöðu í desember það ár að notkun kerfisins hefði brotið í bága við lög um persónuvernd og vinnslu persónuupplýsinga.
Í maí 2022 sektaði Persónuvernd Reykjavíkurborg um fimm milljónir í formi stjórnvaldssektar. Brotið hefði varðað persónuupplýsingar barna sem njóti sérstakrar verndar samkvæmt persónuverndarlöggjöfinni. Líkur hafi þótt á að viðkvæmar persónuupplýsingar bara væru skráðar í kerfið.
Tilgangur vinnslunnar hafi ekki verið nægilega skýrt afmarkaður auk þess sem mikil áhætta hafi fylgt því að persónuupplýsingar væru fluttar til Bandaríkjanna og unnar þar. Á hinn bóginn hefði ekki neitt komið fram um tjón vegna brotanna og borgin hefði brugðist vel við erindum Persónuverndar.
„Þessi ákvörðun hefur áhrif á alla grunnskóla sem og sveitarfélög landsins. Það er mikilvægt að standa vörð um upplýsingaöryggi nemenda en kröfur Persónuverndar til starfsfólks grunnskólanna verða að vera raunhæfar og í samræmi við persónuverndarreglugerðina og útgefnar leiðbeiningar stofnunarinnar,“ sagði Helgi Grímsson sviðsstjóri skóla- og frístundasviðs borgarinnar. Reykjavíkurborg legði mat á réttarstöðu sína.
Svo fór að borgin höfðaði mál, krafðist þess að ákvarðanir Persónuverndar yrðu felldar úr gildi og stjórnvaldssektin endurgreidd.
Fjölmargir annmarkar á vinnubrögðum Persónuverndar
Héraðsdómur fann töluverða efnisannmarka á því hvernig Persónuvernd stóð að málum við ákvarðanir sínar. Meðal annars hvernig Persónunefnd skilgreindi viðkvæmar upplýsingar, tók tillit til svara borgarinnar og hvernig brot væri flokkað alvarlegt eða umfangsmikið. Þá hefði Persónuvernd ekki lagt fram haldbær rök fyrir aðfinnslum sínum í upphaflegu ákvörðuninni í desember 2021.
Féllst héraðdsómur á aðalkröfu borgarinnar um að ógilda ákvarðanirnar. Var ríkinu gert að endurgreiða Reykjavíkurborg milljónirnar fimm auk vaxta.
Persónuvernd sektaði einnig Kópavogsbæ um fjórar milljónir vegna notkunar á Seeshaw. Telja má líklegt að Kópavogsbær leiti réttar síns í ljósi nýfallins dóms. Því gæti svo farið að ríkið þurfi að greiða fleiri milljónir vegna málsins.
