Sanktionsavgiften mot en gymnasienämnd för en skola som använt ansiktsigenkänning för närvarokontroll står fast.
Det beslutar kammarrätten efter att gymnasienämnden överklagat förvaltningsrättens beslut dit.
Det var i slutet av sommaren 2019 som IMY slog fast att gymnasienämnden i Skellefteå skulle betala en sanktionsavgift på 200 000 kronor för att ha brutit mot ett antal bestämmelser i dataskyddsförordningen.
Bakgrunden var att en skola i kommunen, på prov, använt ansiktsigenkänning i syfte att kontrollera elevernas närvaro.
Beslutet kom dock att överklagas till förvaltningsrätten, som avslog överklagandet och ansåg att IMY haft fog för sitt beslut att påföra nämnden en sanktionsavgift.
Nämnden kom dock att överklaga även denna dom, till kammarrätten, som även den går på IMY:s linje.
Slår fast underinstansens dom
Enligt kammarrätten har skolans behandling av personuppgifter ”omfattat biometriska uppgifter för att entydigt identifiera fysiska personer”, det vill säga känsliga personuppgifter som är särskild skyddsvärda.
Sådana uppgifter är dock förbjudna att behandla och inget av undantagen i dataskyddsförordningen är, enligt kammarrätten, ”tillämpligt på de aktuella behandlingarna av personuppgifter”. Gymnasienämnden har därför saknat förutsättningar för att behandla biometriska personuppgifter för närvarokontroll på det sätt det skett.
Dessutom, konstaterar kammarrätten, är eleverna under 18 år att betrakta som barn och personuppgiftsbehandlingarna har därför också inneburit ”behandling av känsliga personuppgifter rörande barn som befinner sig i beroendeställning i förhållande till gymnasienämnden”. Något som inneburit ”ett stort intrång
i elevernas integritet”.
Sammantaget instämmer kammarrätten därför i IMY:s bedömning och konstaterar att beslutet om sanktionsavgiften på 200 000 kronor ska stå fast.
