Integritetsskyddsmyndigheten (IMY) utfärdade en sanktionsavgift mot barn- och utbildningsnämnden i Östersunds kommun för att de brustit i sin konsekvensbedömning vid införandet av Google Workspace. Systemet användes av flera kommunala skolor där tusentals elevers och anställdas personuppgifter behandlades. Syftet med användningen av systemet var bland annat att ge elever återkoppling på skoluppgifter.
IMY konstaterar att en konsekvensbedömning måste göras vid en sådan omfattande behandling av barns personuppgifter för att kunna identifiera risker och behov av skyddsåtgärder. Regionen använde sig tidigare av molntjänsten Google Apps for Education, som nu bytt namn till Google Workspace, där en riskanalys genomfördes. Kommunen fattade dock senare beslutet att migrera tjänsten till egen domän och startade tjänsten Google Workspace i kommunens egen IT-miljö. Under denna övergång genomfördes ingen ny konsekvensbedömning.
IMY menar att då tjänsten flyttats till egen domän skulle en ny konsekvensbedömning ha utförts på grund av dess omfattande behandling av barns personuppgifter. IMY konstaterar därmed att barn- och utbildningsnämnden i Östersunds kommun har brustit i sin skyldighet och utdömer en sanktionsavgift på 300 000 kronor för överträdelse av GDPR.
