I augusti 2019 blev IMY, tidigare Datainspektionen, klar med en granskning av en skola i Skellefteå som på prov använt ansiktsigenkänning via kamera för att registrera elevers närvaro. IMY konstaterade att gymnasienämnden i Skellefteå hade överträtt flera av bestämmelserna i dataskyddsförordningen och utfärdade en sanktionsavgift på 200 000 kronor. Det var den första sanktionsavgift som myndigheten utfärdade sedan dataskyddsförordningen började tillämpas den 25 maj 2018. 

Gymnasienämnden har överklagat IMY:s beslut. Beslutet stod sig i förvaltningsrätten. Kammarrätten i Stockholm meddelar att den avslår överklagandet, vilket innebär att den går på IMY:s linje. I sin dom konstaterar kammarrätten bland annat att det råder en tydlig ojämlikhet mellan elever och den personuppgiftsansvarige, vilket innebär att ett samtycke inte kan anses frivilligt lämnat. Gymnasienämnden kan därför inte använda samtycke som rättslig grund för användningen av ansiktsigenkänning.

Rätten konstaterade även att gymnasienämnden har rätt att kontrollera elevernas närvaro, men inte med användning av biometriska uppgifter vilket anses som känsliga personuppgifter. I domen framgår vidare att det inte finns stöd i dataskyddsförordningen för någon annan bedömning än att elever under 18 år är att betrakta som barn. Gymnasienämnden borde även ha förhandssamrått med IMY innan nämnden påbörjade sitt försök med ansiktsigenkänning. 

Tiden för överklagande till Högsta förvaltningsdomstolen har ännu inte löpt ut.