Gymnasienämnden i Skellefteå kommun (nämnden) har i ett pilotprojekt använt ansiktsigenkänning för att registrera elevers närvaro. Projektet omfattade 22 elever under tre veckor. Datainspektionen, som granskat agerandet och utövar tillsyn över GDPR, beslutade att tilldela kommunen en administrativ sanktionsavgift på 200 000 kronor och en varning. Nämnden överklagade beslutet till förvaltningsrätten.
– För att ha rätt att behandla känsliga personuppgifter krävs ett giltigt undantag från förbudet att behandla dessa. Nämnden har bl.a. anfört samtycke från eleverna och deras vårdnadshavare som ett giltigt undantag. En central fråga har därför varit om det funnits ett giltigt samtycke. Förvaltningsrätten anser i likhet med Datainspektionen att det inte förelegat något giltigt samtycke på grund av den betydande ojämlikhet som råder mellan eleverna och nämnden. Något annat giltigt undantag har inte heller funnits, säger Håkan Åberg, chefsrådman.
Personuppgiftsbehandlingen har dessutom varit för ingripande i den personliga integriteten i relation till ändamålet att genomföra närvarokontroll. Nämnden skulle även gjort en konsekvensbedömning och genomfört ett förhandssamråd med Datainspektionen.
Nämnden har enligt förvaltningsrätten behandlat personuppgifter i strid mot GDPR och ska därför betala en administrativ sanktionsavgift samt tilldelas en varning eftersom man uppgett att man avser att fortsätta med ansiktsigenkänning.
Skrivet av: Förvaltningsrätten i Stockholm
