Persónuvernd hefur afturkallað hluta ákvörðunar stofnunarinnar frá 2023 sem beindist að Kópavogsbæ. Komst stofnunin þá að þeirri niðurstöðu að notkun bæjarins á svokallaðri Seesaw-kennslulausn í grunnskólum bæjarins samræmdist ekki lögum um persónuvernd og lagði stjórnvaldssekt á bæinn. Stofnunin ákvað hins vegar að taka málið upp að nýju í kjölfar dóms Hæstaréttar en hluti af afturkölluninni er endurgreiðsla á sektinni en niðurstaðan um brot bæjarins á persónuverndarlögunum stendur óhögguð.
Persónuvernd ákvað að taka málið upp aftur í kjölfar dóms Hæstaréttar í desember 2024. Samkvæmt þeim dómi var felldur úr gildi hluti ákvörðunar Persónuverndar frá 2021 um notkun Reykjavíkurborgar á Seesaw en í ákvörðuninni sem sneri að Kópavogsbæ hafði Persónuvernd horft til málsins er varðaði Reykjavíkurborg.
Með ákvörðuninni 2023 hafði Persónuvernd meðal annars komist að þeirri niðurstöðu að samningur bæjarins við Seesaw hefði ekki samræmst lögum um persónuvernd þar sem ekki hefði verið sýnt fram á að fyrirtækið, sem er bandarískt, hefði unnið persónuupplýsingar samkvæmt skjalfestum fyrirmælum Kópavogsbæjar. Persónuvernd gerði síðan ýmsar athugasemdir við þá vinnslu persónuupplýsinga nemenda í grunnskólum Kópavogs sem fram fór með notkun Seesaw. Við hæfi þótti að leggja stjórnvaldssekt á bæinn á grundvelli þess að brot bæjarins hafi verið umfangsmikil, um hafi verið að ræða persónuupplýsingar barna og eðli þeirra upplýsinga hafi verið slíkt að það réttlætti sekt. Nam sektin fjórum milljónum króna.
Persónuvernd lagði einnig fyrir Kópavogsbæ að loka öllum reikningum nemenda í Seesaw og eyða öllum persónuupplýsingum þeirra úr kerfinu en taka afrit.
Í dómi Hæstaréttar um Seesaw-mál Reykjavíkurborgar kom meðal annars fram að Persónuvernd hefði ekki gætt að andmælarétti borgarinnar í málinu. Sömuleiðis vildi rétturinn meina að Persónuvernd hefði ekki lagt nægilegan grunn að efnislegri niðurstöðu sinni hvað varðar eðli þeirra persónuupplýsinga sem unnar voru í Seesaw-kennslulausninni. Vildi rétturinn sömuleiðis meina að heimilt hafi verið fyrir borgina samkvæmt lögum um persónuvernd að vinna almennar persónuupplýsingar í Seesaw.
Hæstiréttur felldi einnig úr gildi þann hluta ákvörðunarinnar um að Reykjavíkurborg bæri að loka reikningum nemenda í Seesaw og eyða persónuupplýsingum úr kerfinu, á þeim grundvelli að þessi krafa væri úr hófi. Vildi rétturinn sömuleiðis meina að Persónuvernd hefði ekki sinnt leiðbeiningarskyldu sinni gagnvart borginni með fullnægjandi hætti.
Í ljósi annmarkanna á málinu taldi Hæstiréttur ekki tilefni til að sekta borgina eins og gert hafði verið og gerði Persónuvernd að endurgreiða sektina.
Ýmis atriði ákvörðunarinnar stóðu hins vegar óhögguð og voru ekki felld úr gildi. Því stóð eftir að borgin hafði gerst brotlegt við lög um persónuvernd.
Kópavogsbær vildi hins vegar meina að annmarkarnir á ákvörðun Persónuverndar er sneri að bænum væru mun alvarlegri en í máli Reykjavíkurborgar og því ætti að ógilda hana í heild sinni. Skort hafi á að andmælaréttar bæjarins hafi verið gætt og að málið hefði verið rannsakað nægilega vel. Hefði stofnunin nánast alfarið horft til máls Reykjavíkurborgar þegar kom að máli bæjarins þótt að málin væru ekki að öllu leyti lík. Vildi bærinn meina að hann væri ekki sekur um sömu brot og Hæstiréttur staðfesti að Reykjavíkurborg hefði framið.
Sagði bærinn einnig að Persónuvernd hefði ekki tekið nægjanlegt tillit til aðstæðna hjá sveitarfélaginu. Ákvörðun Persónuverndar um lokun reikninga nemenda í Seesaw hafi einkum haft áhrif á nemendur með þroskahömlun og einhverfu. Seesaw henti enn best af öllum þeim kennslulausnum sem hafi verið skoðaðar. Kennslufræðingar sveitarfélagsins hafi ítrekað óskað eftir aðstoð og leiðbeiningum lögfræðideildar við að gera börnum kleift að hefja aftur notkun kennslulausnarinnar í einhverju umfangi og formi.
Hvatti bærinn Persónuvernd til að heimila aftur notkun á Seesaw og leiðbeina bænum um rétta notkun svo gætt væri að lögum um persónuvernd.
Persónuvernd tekur ekki undir að í aðdraganda ákvörðun hennar í máli Kópavogsbæjar frá 2023 hafi ekki verið gætt að andmælarétti bæjarins. Stofnunin vísar því sömuleiðis á bug að hún hafi ekki sinnt rannsóknarskyldu sinni í málinu þvert á móti hafi verið kallað eftir gögnum frá bænum. Persónuvernd tekur heldur ekki undir það að hún hafi um of horft til máls Reykjavíkurborgar við vinnslu málsins er sneri að Kópavogsbæ.
Persónuvernd segir að ekkert hafi komið fram sem haggi þeirri niðurstöðu að bærinn hefði ekki sýnt fram á að tilteknar aðgerðir í Seesaw væru nauðsynlegar til að hægt væri að sinna kennslu. Því standi sú niðurstaða óhögguð að bærinn hafi brotið lög um persónuvernd.
Með hliðsjón af dómi Hæstaréttar í máli Reykjavíkurborgar afturkallar Persónuvernd þann hluta ákvörðunarinnar sem snýr að ályktun um að bærinn ynni með viðkvæmar persónuupplýsingar eða hrein einkamálefni hinna skráðu í Seesaw þar sem rannsókn hefði ekki leitt þetta ótvírætt í ljós. Persónuvernd fellst einnig á að það hefði betur samrýmst meðalhófsreglu og leiðbeiningarskyldu stofnunarinnar að veita Kópavogsbæ tækifæri til þess að færa vinnsluna til samræmis við persónuverndarlöggjöfina, í stað þess að krefjast lokun reikninga nemenda í Seesaw og eyðingu persónuupplýsinga þeirra úr kerfinu.
Í ljósi þessara annmarka þótti ekki tilefni til að leggja fjögurra milljóna króna stjórnvaldssektina á Kópavogsbæ og verður hún því endugreidd, með vöxtum.
