Reykjavík heeft van de IJslandse privacytoezichthouder een privacyboete van omgerekend 36.000 euro gekregen wegens een basisschool in de IJslandse hoofdstad die een Amerikaanse clouddienst gebruikte om persoonlijke data van leerlingen te verwerken. De school maakte gebruik van online onderwijsplatform Seesaw, een Amerikaanse clouddienst.

Daarmee is de Europese privacywetgeving op allerlei vlakken overtreden, aldus de toezichthouder. Zo schoot de verwerkersovereenkomst tussen Seesaw en Reykjavík tekort en kon de hoofdstad geen specifiek, expliciet en legitiem doel aangeven voor de gegevensverwerking in kwestie. Dat was volgens de toezichthouder dan ook onrechtmatig. De dataverwerking was niet transparant, principes van dataminimalisatie en opslagbeperkingen waren niet geïmplementeerd en databescherming by design en by default werd niet toegepast.

Gegeven de hoeveelheid verzamelde data, de omvang van de verwerking, de periode dat gegevens werden opgeslagen en de toegankelijkheid daarvan, laat volgens de toezichthouder zien dat het privacyonderzoek niet aan de minimale vereisten voldeed, de hoofdstad geen voldoende bescherming van de persoonlijke data in kwestie heeft gegarandeerd en de data zonder waarborgen met de Verenigde Staten werd uitgewisseld.

Aangezien de overtredingen niet voor schade lijken te hebben gezorgd en de stad meewerkte met het onderzoek besloot de toezichthouder uiteindelijk een boete van vijf miljoen kronen op te leggen, wat omgerekend 36.000 euro is.