Persónuvernd óskar eftir leyfi til að áfrýja beint til Hæstaréttar dómi Héraðsdóms Reykjavíkur frá 5. febrúar 2024 í máli nr. E-4081/2023, Reykjavíkurborg gegn Persónuvernd og íslenska ríkinu
Persónuvernd hefur áfrýjað til Landsréttar dómi Héraðsdóms Reykjavíkur frá 5. febrúar 2024 í máli nr. E-4081/2023, Reykjavíkurborg gegn Persónuvernd og íslenska ríkinu, sem lýtur að tveimur ákvörðunum stofnunarinnar um vinnslu persónuupplýsinga á ábyrgð sveitarfélagsins í Seesaw-nemendakerfinu. Persónuvernd óskaði jafnframt eftir leyfi til að áfrýja málinu beint til Hæstaréttar.
Að áliti Persónuverndar fer niðurstaða héraðsdóms í bága við gildandi rétt og alþjóðlegar skuldbindingar samkvæmt persónuverndarlöggjöfinni og samningnum um Evrópska efnahagssvæðið. Telur stofnunin af þeim sökum ótækt að una niðurstöðunni.
Persónuvernd er lögum samkvæmt skylt að gæta að samræmdri beitingu evrópsku persónuverndarreglugerðarinnar innan Evrópska efnahagssvæðisins. Er það álit stofnunarinnar að dómur héraðsdóms gangi í berhögg við túlkun og beitingu reglugerðarinnar af hálfu annarra persónuverndarstofnana sem og af hálfu Evrópska persónuverndarráðsins, sem hefur það meginhlutverk að tryggja samræmi í beitingu reglugerðarinnar og sinnir því hlutverki m.a. með útgáfu leiðbeininga, tilmæla og viðmiðanareglna af ýmsum toga. Telur Persónuvernd að niðurstaða héraðsdóms grafi, að þessu leyti, undan samræmdri beitingu reglugerðarinnar en jafnframt undan lögbundnum ábyrgðarskyldum ábyrgðaraðila, hlutverki persónuverndarfulltrúa, eftirlitsheimildum Persónuverndar og þeirri sérstöku vernd sem persónuupplýsingum barna er veitt samkvæmt persónuverndarlöggjöfinni.
Um einstakar niðurstöður héraðsdóms er að nefna, sem dæmi, að Persónuvernd telur umfjöllun í héraðsdómi um flutning persónuupplýsinga til óöruggs þriðja lands, í þessu tilviki Bandaríkjanna, fara í bága við dóm Evrópudómstólsins frá 16. júlí 2020 í máli nr. C-311/18 (Schrems II) auk þess sem ekki er tekið tillit til ábyrgðarskyldunnar í því sambandi. Einnig telur Persónuvernd ályktanir héraðsdóms sem lúta að tilgreiningu tilgangs og mati á nauðsyn ekki vera í samræmi við leiðbeiningar Evrópska persónuverndarráðsins nr. 2/2019 (efnisgreinar 11, 16, 18 og 29), leiðbeiningar ráðsins nr. 4/2019 (efnisgreinar 51, 72 og 76), leiðbeiningar norsku persónuverndarstofnunarinnar (Datatilsynet) um notkun Google-kennslulausna í grunnskólastarfi, og áður álit 29. gr. vinnuhópsins nr. 3/2013 (bls. 15-19). Þá er að nefna umfjöllun héraðsdóms um eðli þeirra upplýsinga sem var unnið með í Seesaw-nemendakerfinu. Í þeirri umfjöllun er ekki tekið tillit til þess að um ræðir persónuupplýsingar barna auk þess sem ályktanir héraðsdóms eru að mati Persónuverndar ekki í samræmi við þau fjölmörgu ákvæði löggjafarinnar sem lúta að ábyrgðarskyldum ábyrgðaraðila með hliðsjón af eðli þeirra upplýsinga sem unnið er með, sbr. m.a. fyrrgreindar leiðbeiningar nr. 4/2019 (efnisgreinar 26-30, 35 og 49) og leiðbeiningar Evrópsku persónuverndarstofnunarinnar frá 11. apríl 2017 um mat á nauðsyn (bls. 17-18).
Vonast Persónuvernd til þess að þeirri réttaróvissu, sem nú hefur skapast, verði eytt eins fljótt og unnt er.