Kammarrätten fastställer IMY:s beslut mot Stockholms stad

Kammarrätten i Stockholm har meddelat dom i fråga om sanktionsavgiftsstorlek i ett fall gällande flertalet överträdelser av dataskyddsförordningen avseende Stockholms stads användning av Skolplattformen, ett IT-system för elevadministration. IMY hade överklagat förvaltningsrättens beslut om sanktionsavgiftens storlek (3 miljoner kr), och yrkade i första hand att IMY:s tidigare beslut om en sanktionsavgift om 4 miljoner kr skulle fastställas.

Överträdelserna utgjordes bland annat av bristande behörighetsstyrning vilket innebar att lärare och föräldrar kunde ta del av information utan att de hade behov av informationen. Uppgifterna inkluderade känsliga personuppgifter och andra särskilt skyddsvärda uppgifter, såsom skyddade personuppgifter och elevomdömen. Överträdelserna bedömdes vara av hög svårighetsgrad och hade vidare varit relativt långvariga.

Kammarrätten prövade förekomsten av förmildrande och försvårande omständigheter och fann, i likhet med IMY, att avsaknaden av tidigare överträdelser inte anses vara en förmildrande omständighet som ska påverka storleken av sanktionsavgiften i detta fall. Inte heller nämndens samarbete med IMY ansågs vara en förmildrande omständighet i detta fall, med anledning av att samarbetet inte inneburit en minskning av den uppkomna skadan. Vidare fann kammarrätten att behandlingens karaktär och uppgifternas skyddsvärde innebär höga krav på systemets säkerhet. Att det krävdes tekniskt kunnande för att utnyttja bristerna i systemet bedömdes därför inte påverka graden av ansvar som nämnden hade i egenskap av personuppgiftsansvarig. Mot denna bakgrund beslutade kammarrätten att de aktuella överträdelserna motiverade en sanktionsavgift om i vart fall 4 miljoner kr, varför IMY:s beslut fastställdes.

Källor: Kammarrätten i Stockholms dom den 2022-09-16 i mål nr 7837-21