För första gången har Datainspektionen utfört en sanktionsavgift mot en aktör som har brutit mot reglerna i dataskyddsförordningen, GDPR.
Beslutet berör en gymnasieskola i Skellefteå som på prov använt ansiktsigenkänning via kamera för att registrera elevers närvaro på lektionerna. Syftet var att på ett enklare och effektivare sätt registrera närvaron på lektionerna i gymnasieskolan.
Att registrera närvaro på ett traditionellt sätt tar enligt gymnasienämnden 10 minuter per lektion och genom att använda ansiktsigenkänningsteknik för närvarokontroll skulle det enligt nämnden spara 17 280 timmar per år på den aktuella skolan.
Försöket pågick under tre veckor och berörde 22 elever.
– Gymnasienämnden i Skellefteå har överträtt flera av bestämmelserna i dataskyddsförordningen på ett sätt som gör att vi nu utfärdar en sanktionsavgift, säger Lena Lindgren Schelin, generaldirektör för Datainspektionen i ett pressmeddelande.
Sanktionsavgiften på 200 000 kronor baseras bland annat på att det handlar om en myndighet och att försöket var under en begränsad period. Myndigheter kan som max få tio miljoner kronor i sanktionsavgift.
Ansiktsigenkänningen har genomförts genom att eleverna har filmats av en kamera när de gått in i sitt klassrum. Bilder från kamerabevakningen har jämförts med på förhand registrerade bilder av varje elevs ansikte.
De uppgifter som har registrerats är biometrisk data i form av ansiktsbilder samt för- och efternamn. Uppgifterna har lagrats i en lokal dator utan internetuppkoppling som har förvarats i ett låst skåp. Gymnasienämnden uppger att man har fått elevernas samtycke till att använda ansiktsigenkänning för närvarokontroll.
– Gymnasienämnden kan inte använda samtycke i det här fallet eftersom eleverna befinner sig i beroendeställning till nämnden, förklarar Ranja Bunni som är jurist på Datainspektionen och som deltagit i granskningen.
I sitt beslut konstaterar Datainspektionen att ansiktsigenkänningen inneburit kamerabevakning av eleverna i deras vardagliga miljö, varit ett intrång i deras integritet och att närvarokontroll kan göras på andra sätt som är mindre integritetskränkande än ansiktsigenkänning.
– Teknik för ansiktsigenkänning är i sin linda men utvecklingen går snabbt. Vi ser därför ett stort behov av att skapa tydlighet kring vad som gäller för alla aktörer, säger Lena Lindgren Schelin.
