Google Workspace for Education har sedan hösten 2020 använts i 24 kommunala skolor i Östersund, bland annat för att ge elever återkoppling på skoluppgifter. Närmare 6 000 elevers och 1 300 anställdas personuppgifter har behandlats i skolplattformen. 

IMY framhåller att behandlingen utförs i skolverksamhet och rör ett stort antal registrerade som i huvudsak är barn. Barnen befinner sig i egenskap av elever i en utsatt position i förhållande till den personuppgiftsansvarige. Vidare har behandlingen avsett anställda som befinner sig i ett beroendeförhållande gentemot nämnden. Behandlingen har dessutom till viss del innefattat återkoppling på skoluppgifter vilket får anses utgöra en utvärdering av de registrerades prestationer.

IMY bedömer att den aktuella behandlingen, med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt har inneburit en hög risk för de registrerades frioch rättigheter. Nämnden hade således en skyldighet att genomföra en konsekvensbedömning innan behandlingen inleddes hösten 2020. 

Inför en sådan omfattande behandling av barns personuppgifter i skolverksamhet ska den som är personuppgiftsansvarig, i det här fallet barn- och utbildningsnämnden, göra en konsekvensbedömning för att identifiera risker och behov av skyddsåtgärder. IMY konstaterar i sitt beslut att kommunen infört skolplattformen utan att ha genomfört en konsekvensbedömning.

Att barn- och utbildningsnämnden inte utfört en konsekvensbedömning innan skolplattformen infördes gör att IMY utfärdar en administrativ sanktionsavgift på 300 000 kronor mot nämnden för överträdelse av dataskyddsförordningen, GDPR.