Почти 85 хил. евро е общият размер на санкциите
Исландският надзорен орган (Persónuvernd) е наложил глоби на столичната и още 5 общини в рамките на първото координирано правоприлагащо действие на Европейския комитет по защита на данните (ЕКЗД/EDPB) относно използването на облачни услуги от публичния сектор.
Persónuvernd решава да проучи използването на облачни услуги в началните училища като част от това координирано действие. Разследва се използването на Google Workspace for Education, образователната система на Google, в столицата и петте най-големи общини в Исландия, както и използването на Seesaw в община Kópavogur.
При проверката на използването на образователната система на Google в община Garðabær се оказва, че личните данни на учениците не се обработват само по указание на община Garðabær, но и за собствените цели на Google. Общината не успява да докаже как по-нататъшната обработка от Google е съвместима с целта, за която първоначално се събират лични данни на ученици, т.е., с цел осигуряване на образование в съответствие със образователния закон.
Според Persónuvernd община Garðabær е нарушила множество членове от GDPR с използването на образователната система на Google, т.е.:
- Неспазване и невъзможност да се докаже, че обработката се извършва в съответствие с регламента (чл. 5, чл. 24, пар. 1 и чл. 28 пар 1 на GDPR)
- Споразумението за обработка на данни не отговаря на минималните изисквания (чл. 28, пар. 3, буква а) на GDPR)
- Липса на гаранции, че данните не се обработват по начин, който е несъвместим с първоначалната цел (чл. 5, параграф 1, буква б) и чл. 6 пар.4 на GDPR)
- Неспазване на принципа за минимизирането на данните (член 5, параграф 1, буква в) и чл. 25 на GDPR)
- Неосигуряване на пропорционален период на съхранение (член 5, параграф 1, буква д) на GDPR)
- Оценката на въздействието върху защитата на данните не отговаря на минималните изисквания (член 35, параграф 7 от GDPR)
- Данни, прехвърлени в САЩ без подходящи предпазни мерки (чл. 44 и чл. 46 на GDPR)
Persónuvernd нарежда на община Garðabær да приведе операциите по обработка в образователната система на Google в съответствие с регламента. Освен това исландският надзорен орган наложи глоба на Garðabær в размер на 2 500 000 ISK. Глобата трябва да бъде платена на хазната в рамките на един месец от датата на решение, което е изпълнено.
При проверката на началното училище в град Kópavogur се установява и липса на определена, изрична и законна цел за всички операции по обработка (член 5, параграф 1, буква б) на GDPR).
На Kópavogsbær се налага административна глоба от 3 000 000 ISK.
На Reykjanesbær се налага административна глоба от 2 500 000 ISK.
С 2 500 000 ISK е глобена Reykjanesbær. Там в началните училища неуспешно е извършена и оценка на въздействието върху защитата на данните (чл. 35, параграф 1 и чл. 35 пар.11 на GDPR).
Административна глоба от 2 800 000 крони е наложена на град Hafnarfjörður за всички изброени до тук нарушения.
6 нарушения на GDPR са открити в град Reykjavík, където около 8 500 ученици в началното училище използваха системата на Google Student през учебната 2021-2022 г., а наложената глоба е 2 000 000 ISK.
Надзорният орган отбелязва риска личните данни да бъдат прехвърлени в Съединените щати и обработени там, без да са взети подходящи защитни мерки, след решение на Европейския съд от 16 юли 2020 г. по дело № C-311/18 (Schrems II), тъй като регулаторните агенции на САЩ по въпросното време са имали широки законови правомощия да използват лични данни, прехвърлени на САЩ, без да е необходимо да защитават поверителността на засегнатите лица.