Datainspektionen utfärdar sin första sanktionsavgift

Datainspektionen har utfärdat en administrativ sanktionsavgift på 200 000 kr mot gymnasienämnden i Skellefteå kommun (”gymnasienämnden”) för att ha använt ansiktsigenkänning vid registrering av elevers närvaro.

Datainspektionen inledde ett tillsynsärende efter att de genom uppgifter i media uppmärksammat att gymnasienämnden använt ansiktsigenkänning i ett försöksprojekt vid ett gymnasium. Ansiktsigenkänningen pågick under några veckor och utfördes via en kamera som filmade en klass med elever när de gick in i klassrummet. Syftet med ansiktsigenkänningen var för gymnasienämnden att bespara lärare tid genom att minska antalet närvarokontroller. De uppgifter som registrerades var ansiktsbilder (biometriska uppgifter) samt för- och efternamn. Inför utförandet av försöksprojektet inhämtades samtycken från elevernas vårdnadshavare, vilket det även var möjligt att avstå från.

Enligt dataskyddsförordningen är ansiktsbilder (biometriska uppgifter) en känslig personuppgift som endast får behandlas om exempelvis samtycke har inhämtats eller om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse som rättslig grund. Datainspektionen bedömde att trots att samtycken har inhämtats att samtyckesgrunden inte kan användas i detta fall då elever vid en närvarokontroll är i en sådan beroendeställning gentemot gymnasienämnden att det råder betydande ojämlikheter. Vidare så konstaterades att den rättsliga grunden allmänt intresse inte heller kan tillämpas på de aktuella behandlingarna av personuppgifter. Datainspektionen bedömde därmed att kameraövervakningen varit ett intrång i elevernas integritet och att närvarokontroller kan utföras på ett annat sätt som är mindre integritetskränkande.

Med beaktande av omständigheterna ansågs ärendet inte utgöra en mindre överträdelse varför gymnasienämnden påfördes en administrativ sanktionsavgift istället för en reprimand. Gymnasienämnden tilldelades även en varning då de angivit att de avser att fortsätta med ansiktsigenkänning.

Läs Datainspektionens beslut här.