Annons

Skola fick böter för ansiktsigenkänning – juridisk nöt

Datainspektionen har utfärdat sin första sanktion (200 000 kronor) efter att EU-fördraget GDPR infördes.
Datainspektionen har utfärdat sin första sanktion (200 000 kronor) efter att EU-fördraget GDPR infördes. Foto: Magnus Hjalmarson Neideman

Vad krävs för att en skolelev ska anses ha samtyckt till filmad ansiktsigenkänning? Det ser ut att bli knäckfrågan i det första GDPR-fallet där en aktör har straffats. ”Lutar åt att vi kommer överklaga”, säger it-strategen Tommy Lindmark i Skellefteå.

Under strecket
Uppdaterad
Publicerad

Dataskyddsförordningen GDPR (General Data Protection Regulation) infördes i maj 2018. Förordningen gäller i hela EU. Efter 15 månader med den nya lagen utfärdade Datainspektionen nu i veckan för första gången en så kallad sanktionsavgift på 200 000 kronor.

En gymnasieskola i Skellefteå använde ansiktsigenkänning via kamera i syfte att registrera elevers närvaro i klassrummet. Försöket pågick under tre veckor.

29 elever tillfrågades. 22 sade ja och hade vårdnadshavares godkännande. Resten registrerades som vanligt manuellt av lärare. De uppgifter som registrerades är biometrisk data i form av ansiktsbilder samt för- och efternamn. Uppgifterna har lagrats i en lokal dator utan internetuppkoppling – i ett låst skåp.

– Vi var angelägna om att smalna av försöket och hålla det på en låg nivå. Det är klart man blir förvånad, säger Tommy Lindmark, it-strateg i Skellefteå kommun och tidigare rektor i 15 år på Anderstorps gymnasium där försöket ägde rum.

Lindmark tog i april i år emot pris av branschföreningen itSMF Sverige som ger ut priset till bästa It Service Management-projekt.

Annons
Annons

Skollagen ställer upp krav på registrering av elevers närvaro. Många lärare vittnar om tidsödande arbete. Anderstorpsgymnasiet i Skellefteå hävdar att man varje år lägger 17 280 timmar, motsvarande tio heltidstjänster, på att registrera elever inför lektionerna.

– Vi ville finna ett sätt att höja kvaliteten. Med automatisk registrering behöver inte eleverna oroa sig för att läraren tar fel på person eller glömmer bort att ge dem närvaro. Läraren kan komma igång med sina lektioner direkt, utan att bli störd av sen ankomst, säger Tommy Lindmark.

Han vänder sig mot Datainspektionens beslut som grundar sig på att frivilligt samtycke och elevers beroendeställning till skolan inte utgör rättslig grund för att tillåta registrering med ansiktsigenkänning.

”Vid närvarokontrollen är eleven i en sådan beroendeställning att det råder betydande ojämlikhet”, skriver Datainspektionen. Man bedömer att behandlingen, trots att det rör sig om förhållandevis få elever i en begränsad tidsperiod, har inneburit ett stort intrång i integriteten.

– Det här är en större fråga än Skellefteå kommun. Andra skolor i Sverige har hört av sig. Även SKL (Sveriges kommuner och landsting). Även om vi har tre veckor på oss lutar det åt att vi kommer att överklaga till förvaltningsrätten, säger Tommy Lindmark och tillägger att man nu tagit en paus med ansiktsigenkänningen.

Även Jenny Bård, jurist på Datainspektionen, ser fram mot en rättslig process:

– Det skulle inte förvåna mig om det här går ända upp i Högsta förvaltningsdomstolen, säger hon.

Hon motiverar beslutet att straffa skolan med en sanktionsavgift.

Annons
Annons

Jämfört med till exempel ett skolfoto har det en större och mer långtgående inverkan

– Även om samtycket undertecknats av vårdnadshavare finns det en beroendeställning till skolan. Det är som med arbetsgivare/tagare och myndighet/medborgare, säger Jenny Bård.

Biometrisk ansiktsigenkänning har stor betydelse:

– Jämfört med till exempel ett skolfoto har det en större och mer långtgående inverkan, säger Jenny Bård.

Hon bekräftar att andra aktörer har visat intresse:

– SD har lokalt motionerat om ett förslag om att testa ett liknande system med ansiktsigenkänning i skolmiljö, berättar Jenny Bård.

Daniel Westman, jurist vid Stockholm universitet, specialiserad på it-rätt, är inte överraskad av över Datainspektionens sanktionsbeslut.

– Det finns missförstånd gällande dataskyddsförordningen. Som att det räcker med frivilligt samtycke i lägen när det finns en beroendeställning. Det är samma sak på en arbetsplats, säger han.

Juristen nämner att effektivitetsvinster kan påverka bedömningen.

Vilka andra metoder skulle man kunna använda?

– Jag skulle kunna tänka mig ett system där eleven blippar sig in i klassrummet med ett kort, säger Daniel Westman.

Annons
Annons
Annons
Annons
Annons