Elevers personuppgifter hade behandlats på ett för den personliga integriteten mer ingripande sätt och som omfattat fler personuppgifter än vad som varit nödvändigt för det angivna ändamålet .