Gymnasienämnden i Skellefteå kommun har använt ansiktsigenkänning i ett pilotprojekt för att registrera elevers närvaro. Projektet omfattade 22 elever under tre veckor. Datainspektionen granskade agerandet och beslutade att tilldela kommunen en administrativ sanktionsavgift på 200 000 kronor och en varning. Nämnden överklagade beslutet till förvaltningsrätten.

– För att ha rätt att behandla känsliga personuppgifter krävs ett giltigt undantag från förbudet att behandla dessa. Nämnden har bland annat anfört samtycke från eleverna och deras vårdnadshavare som ett giltigt undantag. En central fråga har därför varit om det funnits ett giltigt samtycke. Förvaltningsrätten anser i likhet med Datainspektionen att det inte förelegat något giltigt samtycke på grund av den betydande ojämlikhet som råder mellan eleverna och nämnden. Något annat giltigt undantag har inte heller funnits, säger Håkan Åberg, chefsrådman till Dagens Juridik.

Personuppgiftsbehandlingen har dessutom varit för ingripande i den personliga integriteten i relation till ändamålet att genomföra närvarokontroll. Nämnden skulle även gjort en konsekvensbedömning och genomfört ett förhandssamråd med Datainspektionen.

Enligt förvaltningsrätten har nämnden behandlat personuppgifter i strid mot GDPR och ska därför betala en administrativ sanktionsavgift samt tilldelas en varning eftersom man uppgett att man avser att fortsätta med ansiktsigenkänning.