Beslut Diarienr 1 (20)
2019-08-20 DI-2019-2221
Skellefteå kommun, Gymnasienämnden
Tillsyn enligt EU:s dataskyddsförordning
2016/679 – ansiktsigenkänning för
närvarokontroll av elever
Innehåll
Datainspektionens beslut………………………………………………………………….. 2
Redogörelse för tillsynsärendet…………………………………………………………. 2
Motivering av beslut………………………………………………………………………….. 4
Personuppgiftsansvaret………………………………………………………………… 4
Försöksprojekt………………………………………………………………………………. 4
Rättslig grund för behandlingen av personuppgifter (artikel 6)……. 4
Samtycke som rättslig grund……………………………………………………. 4
Behandlingen är nödvändig för att utföra en uppgift av allmänt
Intresse…………………………………………………………………………………….. 6
Känsliga personuppgifter (artikel 9)……………………………………………...7
Grundläggande principer för behandling av personuppgifter
(artikel 5)………………………………………………………………………………………..11
Konsekvensbedömning och förhandssamråd (artikel 35, 36)…………13
Tillstånd enligt kamerabevakningslagen………………………………………..15
Risk att bestämmelserna överträds vid planerad fortsatt
behandling…………………………………………………………………………………… 16
Val av ingripande……………………………………………………………………………….. 16
Sanktionsavgift……………………………………………………………………………… 17
Bestämmande av sanktionsbeloppets storlek…………………………....18
Varning…………………………………………………………………………………………..19
Hur man överklagar…………………………………………………………………….. 20
Postadress: Box 8114, 104 20 Stockholm E-post: [email protected]
Webbplats: www.datainspektionen.se Telefon: 08-657 61 00
Datainspektionen DI-2019-2221 2 (20)
Datainspektionens beslut
Datainspektionen konstaterar att gymnasienämnden i Skellefteå kommun
genom att använda ansiktsigenkänning via kamera för närvarokontroll av
elever har behandlat personuppgifter i strid med
- artikel 5 dataskyddsförordningen1 genom att behandla elevers
personuppgifter på ett för den personliga integriteten mer ingripande
sätt och omfattat fler personuppgifter än vad som är nödvändigt för
det angivna ändamålet (närvarokontroll),
- artikel 9 genom att ha behandlat känsliga personuppgifter
(biometriska uppgifter) utan att för behandlingen ha ett giltigt
undantag från förbudet att behandla känsliga personuppgifter och
- artiklarna 35 och 36 genom att inte ha uppfyllt kraven på en
konsekvensbedömning och inte ha kommit in med ett
förhandssamråd till Datainspektionen.
Datainspektionen beslutar med stöd av 6 kap. 2 § dataskyddslagen2 och
artiklarna 58.2 och 83 i dataskyddsförordningen att Gymnasienämnden i
Skellefteå kommun ska betala en administrativ sanktionsavgift på 200 000
kronor.
Datainspektionen konstaterar att Gymnasienämnden i Skellefteå kommun
sannolikt kommer att bryta mot artikel 5 och 9 vid en fortsatt användning av
ansiktsigenkänning för närvarokontroll.
Datainspektionen beslutar därför att ge Gymnasienämnden i Skellefteå
kommun en varning enligt artikel 58.2 a dataskyddsförordningen.
Redogörelse för tillsynsärendet
Datainspektionen har genom uppgifter i media uppmärksammats på att
Gymnasienämnden i Skellefteå kommun (nedan gymnasienämnden) i ett
försöksprojekt på Anderstorps gymnasium i Skellefteå har använt
1 EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING (EU) 2016/679 av den 27 april 2016
om skydd för fysiska personer med avseende på behandling av personuppgifter och om det
fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän
dataskyddsförordning).
2 Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning
Datainspektionen DI-2019-2221 3 (20)
ansiktsigenkänning för att registrera elevers närvaro i en klass under några
veckor.
Syftet med tillsynen har varit att granska om gymnasienämndens
behandlingar av personuppgifter genom ansiktsigenkänning för
närvarokontroll har varit i enlighet med dataskyddsreglerna.
Datainspektionen har granskat de personuppgiftsbehandlingar som
gymnasienämnden har genomfört i det aktuella projektet och även tagit
ställning till eventuella framtida behandlingar. Datainspektionen har inom
ramen för denna tillsyn inte gjort någon prövning avseende säkerheten eller
informationsplikten i samband med de aktuella behandlingarna.
Av granskningen har framkommit att gymnasienämnden under tre veckor har
behandlat personuppgifter genom ansiktsigenkänning för att kontrollera
närvaron av 22 gymnasieelever samt att gymnasienämnden överväger att
framöver behandla personuppgifter genom användning av ansiktsigenkänning
för närvarokontroll. Syftet har varit att på ett enklare och effektivare sätt
registrera närvaron på lektionerna i gymnasieskolan. Att registrera närvaro på
ett traditionellt sätt tar enligt gymnasienämnden 10 minuter per lektion och
genom att använda ansiktsigenkänningsteknik för närvarokontroll skulle det
enligt nämnden spara 17 280 timmar per år på den aktuella skolan.
Gymnasienämnden har uppgett att ansiktsigenkänningen har genomförts
genom att eleverna har filmats av en kamera när de gått in i ett klassrum.
Bilder från kamerabevakningen har jämförts med på förhand registrerade
bilder av varje deltagande elevs ansikte. De uppgifter som har registrerats är
biometrisk data i form av ansiktsbilder samt för- och efternamn. Uppgifterna
har lagrats i en lokal dator utan internetuppkoppling som har förvarats i ett
låst skåp. Uttryckliga godkännanden har inhämtats från vårdnadshavare och
det har varit möjligt att avstå från registreringen av personuppgifter med
biometrisk data.
Tillsynsärendet inleddes med en tillsynsskrivelse den 19 februari 2019. Svar på
tillsynsskrivelsen kom in den 15 mars 2019, med komplettering av bilagor den
2 april 2019. Senare kompletteringar från gymnasienämnden kom in den 16
augusti och den 19 augusti 2019.
Datainspektionen DI-2019-2221 4 (20)
Motivering av beslut
Personuppgiftsansvaret
Gymnasienämnden har uppgett att nämnden är personuppgiftsansvarig för de
personuppgiftsbehandlingar som har skett inom ramen för projektet med
ansiktsigenkänning för närvarokontroll hos Anderstorps gymnasium i
Skellefteå kommun. Datainspektionen delar denna uppfattning.
Försöksprojekt
De aktuella personuppgiftsbehandlingarna har skett inom ramen för ett
försöksprojekt. Datainspektionen konstaterar att dataskyddsförordningen
inte innehåller några undantag för pilot- eller försöksverksamheter.
Förordningens krav behöver därför uppfyllas även för att genomföra sådana
typer av verksamheter.
Rättslig grund för behandlingen av personuppgifter (artikel 6)
I artikel 6 dataskyddsförordningen anges att en behandling endast är laglig
om ett av de angivna villkoren i artikeln är uppfyllt.
Samtycke som rättslig grund
Gymnasienämnden har i sitt yttrande som kom in till Datainspektionen den
15 mars 2019 bl. a. angett att samtycke har lämnats till behandlingen som har
skett inom ramen för närvarohanteringen.
I gymnasienämndens yttrande står bl. a. följande.
”D.v.s. elevernas vårdnadshavare får information om projektets syfte och
vilken personuppgiftsbehandling som kommer att ske och får ge sitt
uttryckliga och frivilliga godkännande för personuppgiftsbehandlingen.
Elever som inte vill delta behöver inte delta, närvarokontroll görs då
enligt tidigare rutiner. Elever får också information om att de när som
helst kan ta tillbaka sitt godkännande till personuppgiftsbehandlingen.
(s. 6).”
Av artikel 6.1 a dataskyddsförordningen framgår att en
personuppgiftsbehandling är laglig om den registrerade har lämnat sitt
samtycke till att dennes personuppgifter behandlas för ett eller flera specifika
ändamål.
Datainspektionen DI-2019-2221 5 (20)
Samtycke av den registrerade definieras i artikel 4.11 i dataskyddsförordningen
såsom varje slag av frivillig, specifik, informerad och otvetydig viljeyttring,
genom vilken den registrerade, antingen genom ett uttalande eller genom en
entydig bekräftande handling, godtar behandling av personuppgifter som rör
honom eller henne.
I skäl 43 till dataskyddsförordningen anges vidare följande.
”För att säkerställa att samtycket lämnas frivilligt bör det inte utgöra
giltig rättslig grund för behandling av personuppgifter i ett särskilt fall
där det råder betydande ojämlikhet mellan den registrerade och den
personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en
offentlig myndighet och det därför är osannolikt att samtycket har
lämnats frivilligt när det gäller alla förhållanden som denna särskilda
situation omfattar.”
Det innebär att bedömningen om ett samtycke har lämnats frivilligt inte bara
ska ske utifrån vilken valfrihet som råder, utan även vilket förhållande som
föreligger mellan den registrerade och den personuppgiftsansvarige.
Utrymmet för ett frivilligt samtycke inom det offentliga området är därför
begränsat. Inom skolområdet är det tydligt att eleven står i beroendeställning
till skolan vad gäller betyg, studiemedel, utbildning och därmed möjlighet till
framtida arbete eller fortsatta studier. Det är dessutom ofta frågan om barn.
Utbildningsdatautredningen gjorde bedömningen att det ändå är möjligt att
för viss personuppgiftsbehandling använda sig av samtycke även i
förhållandet mellan ett barns vårdnadshavare och en förskola samt en elevs
vårdnadshavare eller eleven själv beroende på ålder och en skola. Ett exempel
på när samtycke skulle kunna vara lämplig grund för
personuppgiftsbehandling är inför fotografering av eleverna i syfte att skapa
elektroniska skolkataloger eller fotografering för att dokumentera
verksamheten i förskola och skola, inte minst i syfte att kunna redogöra för
den för barnens vårdnadshavare. (SOU 2017:49 EU:s dataskyddsförordning
och utbildningsområdet s. 137)
Närvarokontrollen är ett offentligrättsligt reglerat åliggande för
skolverksamheten och redovisningen av närvaron är av betydande vikt för
Datainspektionen DI-2019-2221 6 (20)
eleven. Denna behandling är därför inte jämförbar med den
personuppgiftsbehandling som kan ske för att administrera skolfotografering.
Vid närvarokontroll är eleven i en sådan beroendeställning att det råder
betydande ojämlikhet. Datainspektionen bedömer därför att samtycke inte
kan utgöra en laglig grund för de personuppgiftsbehandlingar som denna
tillsyn omfattar.
Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse
Gymnasienämnden har även angett att den rättsliga grunden för de
personuppgiftsbehandlingar som har skett inom ramen för projektet med
ansiktsigenkänning är förvaltningslagens krav på en effektiv ärendehantering,
skollagens krav på åtgärder vid frånvaro samt skyldigheten för
gymnasieskolorna att rapportera ogiltig frånvaro till Centrala
studiemedelsnämnden (CSN).
Enligt artikel 6.1 e i dataskyddsförordningen är en behandling laglig om den är
nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den
personuppgiftsansvariges myndighetsutövning.
Av artikel 6.2 dataskyddsförordningen framgår bland annat att medlems-
staterna får behålla eller införa mer specifika bestämmelser för att anpassa
tillämpningen av bestämmelserna i dataskyddsförordningen för att efterleva
punkt e i samma artikel. Enligt artikel 6.3 ska uppgiften av allmänt intresse
enligt artikel 6.1 e vara fastställd i enlighet med unionsrätten eller nationell
rätt.
Enligt 15 kap. 16 § första stycket skollagen (2010:800) ska en elev i
gymnasieskolan delta i den verksamhet som anordnas för att ge den avsedda
utbildningen, om eleven inte har giltigt skäl att utebli.
Om en elev i gymnasieskolan utan giltigt skäl uteblir från den verksamhet
som anordnas för att ge den avsedda utbildningen, ska rektorn se till att
elevens vårdnadshavare samma dag informeras om att eleven har varit
frånvarande. Om det finns särskilda skäl behöver elevens vårdnadshavare inte
informeras samma dag (15 kap. 16 § andra stycket skollagen).
Den personuppgiftsbehandling som vanligen sker för att administrera elevers
närvaro i skolan bör anses vara nödvändig på grund av huvudmännens uppgift
enligt 15 kap. 16 § skollagen och utgör därmed en uppgift av allmänt intresse
Datainspektionen DI-2019-2221 7 (20)
enligt artikel 6.1 e i dataskyddsförordningen. I vissa delar kan det även
föreligga en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen.
Enligt förarbetena till dataskyddslagen (prop. 2017/18:105 Ny dataskyddslag s.
51) ökar emellertid kraven på den kompletterande nationella regleringen
avseende precision och förutsägbarhet när det är frågan om ett mer kännbart
intrång. Det konstateras även att om intrånget är betydande och innebär
övervakning eller kartläggning av den enskildes personliga förhållanden krävs
dessutom särskilt lagstöd enligt 2 kap. 6 och 20 §§ regeringsformen.
Datainspektionen kan konstatera att det finns en rättslig grund för att
administrera elevers närvaro i skolan, men att det saknas ett uttryckligt
lagstöd för att utföra uppgiften genom behandling av känsliga
personuppgifter eller på annat mer integritetskränkande sätt.
Känsliga personuppgifter (artikel 9)
Ansiktsigenkänningen som har skett i det aktuella fallet har inneburit att
närvarokontrollen har skett genom att biometriska personuppgifter om barn
har behandlats för att entydigt identifiera dessa.
Enligt artikel 9.1 i dataskyddsförordningen utgör en behandling av
biometriska personuppgifter för att entydigt identifiera en fysisk person en
behandling av särskilda kategorier av personuppgifter (så kallade känsliga
personuppgifter). Utgångspunkten är att det är förbjudet att behandla sådana
uppgifter. För att behandla känsliga personuppgifter krävs det att ett
undantag från förbudet enligt artikel 9.2 i dataskyddsförordningen är aktuellt.
Såsom ovan angivits har gymnasienämnden menat att samtycke från
vårdnadshavarna har getts in i samband med de aktuella behandlingar som
tillsynen avser.
Enligt artikel 9.2 a i dataskyddsförordningen kan behandling av känsliga
personuppgifter vara tillåten om den registrerade uttryckligen har lämnat sitt
samtycke till behandlingen av dessa personuppgifter för ett eller flera
specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella
rätt föreskriver att förbudet i punkt 1 inte kan upphävas av den registrerade.
Såsom tidigare har redovisats råder generellt ett betydande ojämlikt
förhållande mellan gymnasienämnden och eleverna och närvarokontroll är en
Datainspektionen DI-2019-2221 8 (20)
ensidig kontrollåtgärd där denna ojämlikhet råder. Samtycke kan därför inte,
såsom tidigare konstateras, anses lämnas frivilligt inom ramen för
skolverksamhet. Samtycke är därför inte möjligt att tillämpa som undantag
från förbudet att behandla känsliga personuppgifter i det aktuella fallet.
Gymnasienämnden åberopar även i sitt yttrande förvaltningslagens regler om
effektiv ärendehantering och skollagens regler om hantering av frånvaro.
Av artikel 9.2 g i dataskyddsförordningen följer att förbudet mot att behandla
känsliga personuppgifter inte gäller om behandlingen är nödvändig av hänsyn
till ett viktigt allmänt intresse, på grundval av unionsrätten eller
medlemsstaternas nationella rätt, vilken ska stå i proportion till det
eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till
dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för
att säkerställa den registrerades grundläggande rättigheter och intressen.
Nationella kompletterande bestämmelser gällande undantaget om viktigt
allmänt intresse har bl. a. införts i 3 kap. 3 § dataskyddslagen.3
Enligt 3 kap. 3 § första stycket 2 dataskyddslagen framgår att känsliga
personuppgifter får behandlas med stöd av artikel 9.2 g dataskydds-
förordningen om det är nödvändigt av hänsyn till ett viktigt allmänt intresse
och behandlingen är nödvändig för handläggningen av ett ärende.
I förarbetena (prop. 2017/18:105 Ny dataskyddslag) anges bl. a. följande.
”Regeringens uppfattning är dock att ärendebegreppet i de allra flesta fall
är förhållandevis tydligt (se prop. 2016/17:180 s. 23–25 och s. 286).
Begreppet används som avgränsning för förvaltningslagens
tillämpningsområde och bör enligt regeringens mening användas även
3
Enskilda skolhuvudmäns behandling av känsliga personuppgifter har
reglerats i 26 a kap. 4 § skollagen (2010:800) som motsvarar 3 kap. 3 §
dataskyddslagen. Då denna tillsyn avser en kommunal skola och det saknas
sektorsspecifika bestämmelser avseende behandling av känsliga
personuppgifter i denna typ av skolverksamhet är 3 kap. 3 § datasyddslagen
tillämplig.
Datainspektionen DI-2019-2221 9 (20)
här. Bestämmelsen bör således vara tillämplig vid handläggningen av ett
ärende. (s. 87)”
Vidare framgår följande av förarbetena till förvaltningslagen
(prop. 2016/17:180 En modern och rättssäker förvaltning - ny förvaltningslag).
”Uttrycket handläggning innefattar alla åtgärder som en myndighet
vidtar från det att ett ärende inleds till dess att det avslutas. Uttrycket
ärende definieras inte i lagen. Kännetecknande för vad som utgör ett
ärende är dock att det regelmässigt avslutas genom ett uttalande från
myndighetens sida som är avsett att få faktiska verkningar för en
mottagare i det enskilda fallet. Ett ärende avslutas genom ett beslut av
något slag. Vid bedömningen av frågan om huruvida en myndighets
ställningstagande är att anse som ett beslut i denna mening är det
uttalandets syfte och innehåll som avgör uttalandets karaktär, inte dess
yttre form (s. 286).”
Datainspektionen konstaterar att den närvarokontroll som sker genom
ansiktsigenkänning inte utgör någon ärendehandläggning utan att det är fråga
om ett faktiskt handlande. Bestämmelsen i 3 kap. 3 § första stycket 2
dataskyddslagen är därför inte tillämplig på de personuppgiftsbehandlingar
som gymnasienämnden har utfört i samband med ansiktsigenkänning för
närvarokontroll av eleverna.
Av 3 kap. 3 § första stycket 1 dataskyddslagen framgår att känsliga
personuppgifter får behandlas av en myndighet om uppgifterna har lämnats
till myndigheten och behandlingen krävs enligt lag. Gällande denna
bestämmelse framgår bl. a. följande av förarbetena (prop.2017/18:105 Ny
dataskyddslag).
”Bestämmelsen klargör att det är tillåtet för myndigheter att utföra
sådan behandling av känsliga personuppgifter som krävs i
myndigheternas verksamhet som en direkt följd av framför allt
offentlighets- och sekretesslagens och förvaltningslagens bestämmelser
om hur allmänna handlingar ska hanteras, exempelvis genom krav på
diarieföring och skyldighet att ta emot e-post. Behandling av känsliga
Datainspektionen DI-2019-2221 1 0 (20)
personuppgifter med stöd av denna punkt får bara ske om uppgifterna
har lämnats till myndigheten. (s. 194)”
Datainspektionen konstaterar att 3 kap. 3 § första stycket 1 dataskyddslagen
inte är relevant för de aktuella behandlingarna av personuppgifter.
Enligt 3 kap. 3 § första stycket 3 dataskyddslagen får myndigheter även i annat
fall behandla känsliga personuppgifter om behandlingen är nödvändig med
hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i
den registrerades personliga integritet.
I förarbetena (prop. 2017/18:105 Ny dataskyddslag) anges bl. a. följande.
”Bestämmelsen är inte avsedd att tillämpas slentrianmässigt i den
löpande verksamheten. Det krävs att den personuppgiftsansvarige, i det
enskilda fallet, gör en bedömning av om behandlingen innebär ett
otillbörligt intrång i den registrerades personliga integritet. Om
behandlingen skulle innebära ett sådant intrång, får den inte ske enligt
denna bestämmelse. För att avgöra om intrånget är otillbörligt måste
myndigheten göra en proportionalitetsbedömning där behovet av att
utföra behandlingen viktas mot de registrerades intresse av att
behandlingen inte sker. Bedömningen av de registrerades intresse av att
behandlingen inte sker bör utgå från det intresse av integritetsskydd som
de registrerade typiskt sett har. Den personuppgiftsansvarige måste
således inte göra en bedömning i förhållande till varje berörd individ. Vid
bedömningen av intrånget i den enskildes personliga integritet ska vikt
läggas vid bl.a. uppgifternas känslighet, behandlingens karaktär, den
inställning de registrerade kan antas ha till behandlingen, den spridning
uppgifterna kan komma att få och risken för vidarebehandling för andra
ändamål än insamlingsändamålet. Detta innebär t.ex. att bestämmelsen
inte kan läggas till grund för att skapa integritetskänsliga
sammanställningar av känsliga personuppgifter. (s. 194)”.
Närvarohantering är en omfattande och central uppgift i skolväsendet och
sker slentrianmässigt i den löpnade verksamheten. Datainspektionen
bedömer därför att 3 kap. 3 § första stycket 3 dataskyddslagen inte kan
tillämpas på de personuppgiftsbehandlingar som sker för närvarohantering.
Bestämmelsen kan således inte tillämpas på de personuppgiftsbehandlingar
Datainspektionen DI-2019-2221 1 1 (20)
som gymnasienämnden har utfört. Dessutom anser Datainspektionen att de
aktuella personuppgiftsbehandlingarna har inneburit ett otillbörligt intrång i
de registrerades integritet då gymnasienämnden genom kameraövervakning i
elevernas vardagliga miljö har behandlat känsliga personuppgifter rörande
barn som befinner sig i beroendeställning i förhållande till
gymnasienämnden för ändamålet närvarohantering.
Mot denna bakgrund finner Datainspektionen att de nationella
kompletterande bestämmelserna gällande undantaget i 9.2 g i
dataskyddsförordningen om viktigt allmänt intresse som har införts i 3 kap. 3
§ första stycket dataskyddslagen inte är tillämpliga på de
personuppgiftsbehandlingar som omfattas av denna tillsyn.
Därutöver framgår det av 3 kap. 3 § andra stycket dataskyddslagen att det är
förbjudet att utföra sökningar som sker med stöd av 3 kap. 3 § första stycket i
syfte att få fram ett urval av personer grundat på känsliga personuppgifter.
Eftersom syftet med ansiktsigenkänningen är att identifiera elever, kan
Datainspektionen konstatera att närvarokontrollen förutsätter sökningar
baserade på känsliga personuppgifter. Det sistnämnda innebär att de aktuella
behandlingarna som denna tillsyn omfattar dessutom har varit i strid med 3
kap. 3 § andra stycket dataskyddslagen.
Datainspektionen bedömer sammanfattningsvis att undantaget i 9.2 g i
dataskyddsförordningen inte är tillämpligt på de aktuella behandlingarna av
personuppgifter. Eftersom det som har framkommit i ärendet inte heller
innebär att något annat av de övriga undantagen i artikel 9.2 i
dataskyddsförordningen kan bli aktuellt, anser Datainspektionen att
gymnasienämnden har saknat förutsättningar för att behandla biometriska
personuppgifter för att entydigt identifiera elever för närvarohantering såsom
har skett. Dessa personuppgiftsbehandlingar har därmed skett i strid med
artikel 9 i dataskyddsförordningen.
Grundläggande principer för behandling av personuppgifter (artikel 5)
Det kan konstateras att den personuppgiftsansvarige enligt artikel 5.2
dataskyddsförordningen har ansvar för efterlevnaden av förordningen och ska
kunna visa att de grundläggande principerna följs.
Av artikel 5 i dataskyddsförordningen framgår bl. a. att personuppgifterna ska
samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte
Datainspektionen DI-2019-2221 1 2 (20)
senare behandlas på ett sätt som är oförenligt med dessa ändamål
(ändamålsbegränsning). Dessutom ska personuppgifter som behandlas vara
adekvata, relevanta och inte för omfattande i förhållande till de ändamål för
vilka de behandlas (uppgiftsminimering). Av skäl 39 följer att personuppgifter
får behandlas bara om syftet med behandlingen inte kan uppnås på ett
tillfredsställande sätt med andra metoder.
På frågan hur gymnasienämnden har gjort proportionalitetsbedömningen
gällande de aktuella personuppgiftsbehandlingarna har nämnden lämnat
följande svar i sitt yttrande som kom in den 15 mars 2019.
”Det är viktigt med en säker identifiering för att veta vilka elever som är
närvarande och uppfylla kraven som finns i skollagen för att åtgärder då
elever har hög frånvaro. Metoden för ansiktsigenkänning bedöms
behövas för att säkert veta att närvaron registreras korrekt.
Ansiktsigenkänningen är också en tydlig kvalitetshöjning jämfört med
den tidigare manuella hanteringen som vid kontroll visat sig ha brister
på så sätt att den inte alltid är korrekt. Av de olika alternativa metoder
som testades bedömdes ansiktsigenkänning vara den metod som bäst
motsvarar kraven både från lagstiftningen och från projektets syfte.”
Datainspektionen har tidigare konstaterat att de personuppgiftsbehandlingar
som denna tillsyn omfattar har inneburit behandling av känsliga
personuppgifter rörande barn som befinner sig i beroendeställning i
förhållande till gymnasienämnden samt att dessa behandlingar har skett
genom kamerabevakning i elevernas vardagliga miljö. Datainspektionen
bedömer att dessa behandlingar – även om det är frågan om förhållandevis få
elever och en förhållandevis begränsad tidsperiod – har inneburit ett stort
intrång i elevernas integritet.
Gymnasienämnden har uppgett att syftet med dessa behandlingar har varit
närvarokontroll. Närvarokontroll kan ske på andra sätt som är mindre
integritetskränkande för eleverna. Datainspektionen anser därför att
metoden, att använda ansiktsigenkänning via kamera för närvarokontroll, har
varit för omfattande och genomförts för ett för den personliga integriteten för
ingripande sätt och därigenom varit oproportionerlig i förhållande till
ändamålet. Gymnasienämndens behandlingar har således genomförts i strid
med artikel 5 i dataskyddsförordningen.
Datainspektionen DI-2019-2221 1 3 (20)
Konsekvensbedömning och förhandssamråd (artikel 35, 36)
Enligt artikel 35 ska en personuppgiftsansvarig göra en bedömning av en
planerad behandlings konsekvenser för skyddet av personuppgifter, särskilt
om en behandling ska ske med ny teknik och med beaktande av dess art,
omfattning, sammanhang och ändamål sannolikt leder till en hög risk för
fysiska personers rättigheter och friheter.
På frågan om gymnasienämnden har gjort en konsekvensbedömning enligt
artikel 35 inför starten av det aktuella projektet har gymnasienämnden i sitt
svar som kom in den 15 mars 2019 hänvisat till en utförd riskbedömning.
Följande framgår av den gjorda bedömningen.
”Ansiktsigenkänning är visserligen biometriska uppgifter och enligt
dataskyddsförordningen känsliga personuppgifter vilket kräver särskilda
beslut för att få hanteras. Uppgifterna är dock inte sekretessbelagda även
om de är känsliga. Elevernas målsmän lämnar också sitt medgivande för
behandlingen av personuppgifterna och det finns lagligt stöd för
behandlingen både i förvaltningslagen och i skollagen. Den hantering
som beskrivs av leverantören för hantering av de känsliga uppgifterna
som t ex att det inte finns nätanslutning av utrustningen som hanterar
informationen, att bara behörig personal har tillgång till
personuppgifterna att enbart målgruppen hanteras, att de som
registreras ger sitt medgivande och att datat kommer att tas bort efter
testperioden gör att hanteringen bedöms ligga inom ramen för
dataskyddsförordningen. Sammantaget krävs ingen särskild
riskbedömning för att hantera känsliga personuppgifter utan det som
behövs är att gymnasienämnden i sin registerförteckning godkänner
hanteringen av biometriska uppgifter och även att det läggs in en
anledning till att använda uppgifterna. Förvaltningschef för
gymnasiekontoret har delegation på att fatta beslut om godkännande av
hantering av personuppgifter och även känsliga personuppgifter. (s. 4)”.
Nämnden har i sitt svar även hänvisat till bilagan ”Skellefteå kommun –
Framtidens klassrum”. I bilagan (s. 5) uppges att en fördel med
ansiktsigenkänning är att det enkelt går att massregistrera en stor grupp
såsom en klass. Till nackdelarna uppges höra att det är en teknisk avancerad
lösning som kräver relativt många bilder av varje individ samt att kameran
Datainspektionen DI-2019-2221 1 4 (20)
måste ha fri sikt till alla närvarande elever och att eventuell huvudbonad/sjal
kan göra att identifieringen misslyckas.
Av artikel 35.7 i dataskyddsförordningen framgår att åtminstone följande ska
tas upp i en konsekvensbedömning. En systematisk beskrivning av den
planerade behandlingen och behandlingens syften, en bedömning av behovet
av och proportionaliteten hos behandlingen i förhållande till syftena, en
bedömning av de risker för de registrerades rättigheter och friheter som avses i
punkt 1, och de åtgärder som planeras för att hantera riskerna, inbegripet
skyddsåtgärder, säkerhetsåtgärder och rutiner för att säkerställa skyddet av
personuppgifterna och för att visa att denna förordning efterlevs, med hänsyn
till de registrerades och andra berörda personers rättigheter och berättigade
intressen.
Datainspektionen konstaterar att gymnasienämnden har gjort en
riskbedömning. I riskbedömningen har slutsatsen dragits att det rättsliga stöd
man hänvisar till och den säkerhet behandlingen omfattas av gör att ingen
särskild riskbedömning behöver göras avseende de känsliga
personuppgifterna.
Enligt Datainspektionens bedömning har de aktuella behandlingarna
innefattat ett antal faktorer som talar för att en konsekvensbedömning enligt
artikel 35 skulle ha gjorts innan behandlingarna inleddes. Behandlingarna har
skett med kamerabevakning som är en systematisk övervakning och de har
omfattat känsliga personuppgifter om barn i en miljö där de befinner sig i
beroendeställning. Ansiktsigenkänning är också en ny teknik. Krav på en
konsekvensbedömning enligt artikel 35 kan därför ställas på de bedömningar
som föregick den aktuella användningen.
Datainspektionen bedömer att den riskbedömning gymnasienämnden har
redogjort för saknar en bedömning av de risker som föreligger för de
registrerades rättigheter och friheter liksom en redogörelse för
proportionaliteten av behandlingen i förhållande till dess syften varför kraven
i artikel 35 inte kan anses vara uppfyllda.
Enligt artikel 36 dataskyddsförordningen ska en personuppgiftsansvarig
samråda med tillsynsmyndigheten om en konsekvensbedömning avseende
dataskydd enligt artikel 35 visar att behandlingen skulle leda till en hög risk
om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken.
Datainspektionen DI-2019-2221 1 5 (20)
Utifrån vad som har framkommit i ärendet har gymnasienämnden inte
inkommit med ett förhandssamråd till Datainspektionen. Inspektionen
bedömer att det har förelegat ett flertal faktorer som gör att det föreligger hög
risk för enskildas rättigheter och friheter med behandlingarna. Till exempel
omfattar dessa behandlingar ny teknik som avser känsliga personuppgifter
rörande barn som befinner sig i beroendeställning till gymnasienämnden
samt att dessa behandlingar har skett genom kamerabevakning i elevernas
vardagliga miljö. Eftersom den riskbedömning gymnasienämnden har lämnat
in saknar en bedömning av aktuella risker för de registrerades rättigheter och
friheter med behandlingarna, har gymnasienämnden inte heller kunnat visa
att den höga risken enligt artikel 36 har sänkts. Datainspektionen konstaterar
därför att de nu aktuella behandlingarna borde ha föranlett ett
förhandssamråd med Datainspektionen enligt artikel 36 innan behandlingen
inleddes. Behandlingarna har därmed även skett i strid med artikel 36.
Tillstånd enligt kamerabevakningslagen
I kamerabevakningslagen finns nationella bestämmelser gällande kamera-
bevakning som enligt 1 § kompletterar dataskyddsförordningen. Av 2 §
kamerabevakningslagen framgår att syftet med lagen är att tillgodose behovet
av kamerabevakning för berättigade ändamål och att skydda fysiska personer
mot otillbörligt intrång i den personliga integriteten vid sådan bevakning.
Definitionen av kamerabevakning i 3 § kamerabevakningslagen innebär
bland annat att det ska vara fråga om en utrustning som används på ett sådant
sätt som innebär varaktig eller regelbundet upprepad personbevakning.
Enligt 7 § kamerabevakningslagen krävs tillstånd till kamerabevakning av en
plats dit allmänheten har tillträde, om bevakningen ska bedrivas av en
myndighet.
Datainspektionen konstaterar att det varit fråga om varaktig och regelbundet
upprepad personbevakning när gymnasienämnden använt sig av
kamerabevakning med teknik för ansiktsigenkänning i samband med sitt
projekt för närvarokontroll under en treveckorsperiod.
Gymnasienämnden är en myndighet och måste därför som utgångpunkt ha
tillstånd för att kamerabevaka en plats dit allmänheten har tillträde. Frågan är
då om allmänheten anses ha tillträde till den plats som gymnasienämnden
Datainspektionen DI-2019-2221 1 6 (20)
kamerabevakat genom användning av teknik för ansiktsigenkänning i
samband med närvaroregistrering av elever. Av praxis framgår att begreppet
”plats dit allmänheten har tillträde” ska tolkas vitt (se Högsta
förvaltningsrättens avgörande RÅ 2000 ref. 52).
Generellt anses en skola vara en plats dit allmänheten inte har tillträde,
dock finns det vissa områden på en skola där man anser att allmänheten har
tillträde. Exempel på sådana områden är huvudentréer och korridorer som
leder fram till rektorsexpeditionen. Av utredningen framgår att eleverna
registrerades med hjälp av ansiktsigenkänning varje gång de gick in i ett
klassrum. Ett klassrum är inte att anse som en plats dit allmänheten har
tillträde.
Mot bakgrund av vad som framkommit om platsen för bevakningen bedömer
Datainspektionen att det inte är fråga om en plats dit allmänheten har
tillträde. Något krav på att söka tillstånd finns därmed inte. Att
kamerabevakningen är tillståndsfri behöver dock inte innebära att det är en
tillåten bevakning. Om kamerabevakning innefattar
personuppgiftsbehandling ska dataskyddsreglerna följas bl.a. skyldigheten att
tydligt informera om kamerabevakningen.
Risk att bestämmelserna överträds vid planerad fortsatt behandling
Utifrån vad som har framkommit i ärendet har gymnasienämnden övervägt
att i framtiden på nytt behandla personuppgifter genom ansiktsigenkänning
för närvarokontroll av elever. Datainspektionen har ovan funnit att
gymnasienämndens behandlingar har varit i strid med artiklarna 5 och 9
dataskyddsförordningen. Datainspektionen konstaterar därför att
gymnasienämnden riskerar att bryta mot nämnda bestämmelser även vid
planerade behandlingar.
Val av ingripande
I artikel 58 i dataskyddsförordningen anges samtliga befogenheter som
Datainspektionen har. Enligt artikel 58.2 har Datainspektionen ett antal
korrigerande befogenheter, bl. a. varningar, reprimander eller begränsningar
av behandling.
Datainspektionen DI-2019-2221 1 7 (20)
Enligt artikel 58.2 (i) i dataskyddsförordningen framgår att
tillsynsmyndigheten ska påföra administrativa sanktionsavgifter i enlighet
med artikel 83. Enligt artikel 83.2 ska administrativa sanktionsavgifter,
beroende på omständigheterna i det enskilda fallet, påföras utöver eller i
stället för de åtgärder som avses i artikel 58.2 a–h och j. Vidare framgår av
artikel 83.2 n vilka faktorer som ska beaktas vid beslut om administrativa
sanktionsavgifter överhuvudtaget ska påföras och vid bestämmande av
avgiftens storlek.
Istället för sanktionsavgifter får i vissa fall enligt skäl 148 till
dataskyddsförordningen en reprimand utfärdas istället för sanktionsavgifter
om det är frågan om en mindre överträdelse. Hänsyn ska dock tas till
omständigheter såsom överträdelsens karaktär, svårighetsgrad och
varaktighet.
För myndigheter får enligt artikel 83.7 nationella kompletterande
bestämmelser införas gällande administrativa sanktionsavgifter. Av 6 kap. 2 §
dataskyddslagen framgår att tillsynsmyndigheten får ta ut en sanktionsavgift
av en myndighet vid överträdelser som avses i artikel 83.4, 83.5 och 83.6 i
dataskyddsförordningen. Då ska artikel 83.1, 83.2 och 83.3 i förordningen
tillämpas.
Sanktionsavgift
Datainspektionen har ovan bedömt att gymnasienämnden i de aktuella
behandlingarna av personuppgifter har överträtt artikel 5, artikel 9, artikel 35
och artikel 36 i dataskyddsförordningen. Dessa artiklar omfattas av artikel
83.4 och 83.5 och vid en överträdelse av dessa ska tillsynsmyndigheten
överväga att påföra administrativ sanktionsavgift utöver, eller i stället för,
andra korrigerande åtgärder.
Mot bakgrund av att de personuppgiftsbehandlingar som denna tillsyn
omfattar har inneburit behandling av känsliga personuppgifter rörande barn
som befinner sig i ett beroendeförhållande till gymnasienämnden samt att
dessa behandlingar har skett genom kamerabevakning i elevernas vardagliga
miljö, är det inte frågan om en mindre överträdelse. Det finns således inte skäl
att ersätta sanktionsavgiften med en reprimand.
Datainspektionen DI-2019-2221 1 8 (20)
Någon annan korrigerande åtgärd är inte heller aktuell för den behandling
som skett. Gymnasienämnden ska således påföras administrativa
sanktionsavgifter.
Bestämmande av sanktionsbeloppets storlek
Enligt artikel 83.1 i dataskyddsförordningen ska varje tillsynsmyndighet
säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt
fall är effektivt, proportionellt och avskräckande.
Den administrativa sanktionsavgiften får enligt artikel 83.3 inte överstiga
beloppet för den grövsta överträdelsen om det är frågan om en eller samma
uppgiftsbehandlingar eller sammankopplade uppgiftsbehandlingar.
För myndigheter gäller enligt 6 kap. 2 § andra stycket dataskyddslagen att
sanktionsavgifterna ska bestämmas till högst 5 000 000 kronor vid
överträdelser som avses i artikel 83.4 i dataskyddsförordning och till högst
10 000 000 kronor vid överträdelser som avses i artikel 83.5 och 83.6.
Överträdelser av artikel 5 och 9 omfattas av den högre sanktionsavgiften
enligt artikel 83.5, medan överträdelser av artikel 35 och 36 omfattas av det
lägre maxbeloppet enligt artikel 83.4. I detta fall är det frågan om samma
uppgiftsbehandlingar varför beloppet inte får överstiga 10 miljoner kronor.
I artikel 83. 2 i dataskyddsförordningen anges samtliga faktorer som ska
beaktas vid bestämmande av sanktionsavgiftens storlek. Vid bedömningen av
storleken på sanktionsavgift ska bl. a. hänsyn tas till artikel 83.2 a
(överträdelsens karaktär, svårighetsgrad och varaktighet), b (uppsåt eller
oaktsamhet), g (kategorier av personuppgifter), h (hur överträdelsen kom till
Datainspektionens kännedom) och k (annan försvårande eller förmildrande
faktor till exempel direkt eller indirekt ekonomisk vinst)
dataskyddsförordningen.
Vid Datainspektionens bedömning av sanktionsavgift har hänsyn tagits till att
det har varit överträdelser rörande flera artiklar i dataskyddsförordningen,
varvid överträdelse av artikel 5 och 9 är att bedöma som allvarligare och
omfattas av den högre sanktionsavgiften. Vidare har hänsyn tagits till att
överträdelsen har avsett känsliga personuppgifter, rörande barn som har varit
i beroendeställning i förhållande till gymnasienämnden. Behandlingarna har
skett för att effektivisera verksamheten, behandlingen har således skett
uppsåtligen. Dessa omständigheter är försvårande.
Datainspektionen DI-2019-2221 1 9 (20)
Hänsyn har också tagits till att behandlingen har kommit till
Datainspektionens kännedom via uppgifter i media.
Som förmildrande omständigheter beaktas att behandlingen har pågått under
en begränsad period av tre veckor och endast har omfattat 22 elever.
Datainspektionen bestämmer utifrån en samlad bedömning att
gymnasienämnden i Skellefteå kommun ska betala en administrativ
sanktionsavgift på 200 000 kronor.
Varning
Enligt artikel 58.2 a har Datainspektionen befogenhet att utfärda varningar till
en personuppgiftsansvarig eller personuppgiftsbiträde om att planerade
behandlingar sannolikt kommer att bryta mot bestämmelserna i denna
förordning.
Gymnasienämnden i Skellefteå kommun har angett att de avser att fortsätta
använda ansiktsigenkänning för närvarokontroll av elever. Dessa
behandlingar kommer på motsvarande sätt att bryta mot bestämmelserna i
dataskyddsförordningen. På grund av risken för framtida överträdelser i
samband med de planerade behandlingarna ges nu en varning i enlighet med
artikel 58.2 a dataskyddsförordningen.
Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter
föredragning av juristerna Ranja Bunni och Jenny Bård. Vid den slutliga
handläggningen har chefsjuristen Hans-Olof Lindblom och enhetscheferna
Katarina Tullstedt och Charlotte Waller Dahlberg samt juristen Jeanette Bladh
Gustafson medverkat.
Lena Lindgren Schelin, 2019-08-20 (Det här är en elektronisk signatur)
Bilagor
Bilaga 1 – Hur man betalar sanktionsavgift
Kopia för kännedom till:
Dataskyddsombud för gymnasienämnden i Skellefteå Kommun
Datainspektionen DI-2019-2221 2 0 (20)
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i
skrivelsen vilket beslut ni överklagar och den ändring som ni begär.
Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från
den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid
sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för
prövning.
Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller
några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av
sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.