Finlandiya Veri Koruma Otoritesi ("DPA"), bir şehre (veri sorumlusuna), okullarda dijital öğrenme araçları kullanıldığında toplanan öğrencilere ait kişisel verilerin yalnızca veri sorumlusunun eğitim yükümlülüklerini yerine getirmek amacıyla işlenmesini sağlamasını emretmiştir.
Nisan 2018'de DPA, Espoo şehrinin (veri sorumlusu) öğrencilerin (ilgili kişiler) ebeveynlerinden onay almadan bir okulda Google'ın dijital öğrenme araçlarını kullandığını belirten bir şikayet almıştır. Veri sorumlusu; Google Classroom, Google Drive ve Google Docs dahil olmak üzere eğitim amaçlı bir dizi Google uygulaması kullandığını açıklamıştır. Veri sorumlusu işleme için hukuki dayanak olarak, Genel Veri Koruma Tüzüğü ("GDPR")'nün 6(1)(c) maddesine dayanmıştır. Veri sorumlusuna göre, bu hizmetlerin kullanımıyla bağlantılı olarak kişisel verilerin işlenmesi, Finlandiya Temel Eğitim Kanunu'nda ortaya konulan temel eğitim sağlama yükümlülüğüne uymak için gereklidir.
DPA, Aralık 2021'de 1509/452/18 sayılı davada bir karar yayımlamıştır. Bu karar, Yüksek İdare Mahkemesi'ne temyiz edilmiş ve mahkeme, Nisan 2025'teki KHO:2025:29 sayılı kararıyla davayı DPA'ya geri göndermiştir. Yüksek İdare Mahkemesi, DPA'nın GDPR'nin 6(1)(c) maddesinin işleme için hukuki bir dayanak olarak hiçbir şekilde uygulanamayacağı sonucuna varamayacağına hükmetmiştir. Mevcut yargılamada DPA, veri sorumlusunun Google'ın dijital öğrenme araçlarının kullanımına ilişkin kişisel verilerin işlenmesi için hukuki bir dayanak olarak yasal bir yükümlülüğe uyuma ne ölçüde dayanabileceğine karar vermiştir.
DPA, veri sorumlusuna, Google'ın dijital öğrenme araçlarının kullanımıyla bağlantılı olarak toplanan öğrencilerin kişisel verilerinin yalnızca veri sorumlusunun eğitim yükümlülüklerini yerine getirme amacıyla işlenmesini sağlamasını emretmiştir. İşleme, yalnızca bu koşullar altında GDPR'nin 6(1)(c) maddesine dayandırılabilecektir. DPA, veri sorumlusunun öğretime esas olan öğrenme araçlarının kullanımı için hukuki bir dayanak olarak GDPR'nin 6(1)(c) maddesine dayanabileceğine hükmetmiştir. Buna ek olarak, işlemenin yalnızca eğitim yükümlülüklerini yerine getirmek için gerçekleştirilmesi gerekmektedir. DPA, bu hukuki dayanağın; metin editörleri, takvimler, e-posta, sunum yazılımları ve konuya özgü eğitim için tasarlanmış programlar (dil veya matematik uygulamaları gibi) gibi öğretimin merkezinde yer alan araçların kullanımına uygulandığına dikkat çekmiştir.
Gereklilik şartını değerlendirirken DPA, dijital öğrenme araçlarının okul çağındaki çocukların kişisel verilerinin dış kurumlar tarafından ve bu kurumların yararına kapsamlı ve uzun vadeli toplanmasını ve diğer işleme faaliyetlerini mümkün kılabileceğini dikkate almıştır. Bu nedenle Otorite, veri sorumlusunun bu verileri diğer taraflara, verileri öğrenme araçlarını veya diğer hizmetleri geliştirmek gibi kendi amaçları doğrultusunda işlemelerine izin verecek şekilde ifşa edemeyeceğine veya bu verilere başka bir şekilde erişim hakkı veremeyeceğine hükmetmiştir.
İlgili habere buradan ulaşabilirsiniz.