Bristerna är så pass allvarliga att Datainspektionen nu utfärdar en sanktionsavgift på fyra miljoner kronor mot utbildningsnämnden i regionen, enligt ett pressmeddelande.
Bristerna ska, enligt Datainspektionen, bland annat röra sig om att annat personer kunnat se andras betyg och utvecklingssamtal och även kunnat få ut information om lärare med skyddad identitet.
Maxbeloppet för sanktionsavgifter är 10 miljoner kronor.
"I ett it-system som detta hanteras stora mängder personuppgifter. Då är det oerhört viktigt att den personuppgiftsansvariga har vidtagit tillräckliga säkerhetsåtgärder för att skydda uppgifterna och löpande säkerställer skyddet", säger Ranja Bunni, jurist på Datainspektionen som deltagit i granskningen, i pressmeddelandet.