Efter GDPR-boten: "Trodde vi skulle få en klapp på axeln"

Datainspektionen konstaterade nyligen böter i det första fallet inom GDRP, till den kommunala gymnasieskolan Anderstorpsgymnasiet i Skellefteå, något som Kamera Bild rapporterade om förra veckan. Skolan testade sig av att använda ansiktsigenkänning kombinerat med taggar och appar för att registrera 22 elevers närvaro i skolan som behövs bland annat som underlag för berättigande till studiebidrag, under totalt tre veckor.

Men i en intervju på sajten Voister.se berättarTommy Lindmark, IT-strateg på gymnasiekontoret i Skellefteå kommun och tidigare rektor på Anderstorpsgymnasiet, att han är förvånad över besutet om att utfärda böter.

– I ärlighetens namn trodde jag att vi skulle få en klapp på axeln för vårt arbete, eftersom vi har varit så noggranna med att hålla den biometriska informationen om eleverna bakom lås och bom, samt raderat all information vi samlat in, säger han i Voisters intervju.

Frivilligt att delta i testet

Datainspektionen menar även att närvarokontroll kan göras på andra sätt som är mindre integritetskränkande än just ansiktsigenkänning och menar att Gymnasienämnden i Skellefteå har överträtt flera av de bestämmelser som finns i dataskyddsförordningen.

– Gymnasienämnden kan inte använda samtycke i det här fallet eftersom eleverna befinner sig i beroendeställning till nämnden, förklarar Ranja Bunni som är jurist på Datainspektionen som deltagit i granskningen av ärendet.

Men Tommy Lindmark håller inte med om slutsatsen som Datainspektionen nämnt kring elevernas beroendeställning mot skolan. Han menar att det var frivilligt att delta i testet och att tjänstemän som kom och berättade om testet för eleverna just för att minimera risken för att eleverna skulle känna sig pressade att delta. Totalt deltog 22 elever av 29 tillfrågade, som fick sina föräldrars underskrift eftersom de var under 18 år.

Sanktionsavgiften är 200 000 kronor, och storleken påverkas av att det är frågan om en myndighet samt att det handlar om ett försök under en begränsad tidsperiod. Myndigheter kan maximalt få tio miljoner kronor i sanktionsavgift.

Gymnasienämnden i Skellefteå har inte tagit ställning om beslutet ska överklagas.

Kameror i skolor allt vanligare

I en enkät som SVT gjort med 168 kommuner svarar var femte kommun att de kameraövervakar sina elever. Även om de inte använder sig av ansiktsigenkänning i dessa fall så ser Datainspektionen detta som något problematiskt. För att sätta upp kameror för övervakning inne i skolan krävs inga tillstånd, utan skolan själv ansvarar för att reglerna för övervakningen efterföljs.

– Det oroar oss en del. För att sätta upp kameror krävs ganska omfattande skäl, och jag tror inte alla kommuner har koll på dem, säger Moa Nordqvist, jurist på Datainspektionen till SVT Nyheter.

Moa Nordqvist säger även att Datainspektionen gjort en inspektion av kameraövervakningen på skolor för några år sedan, och då funnit stora brister. 2017 var det år då flest kameror installerats hittills på skolor.

Fotoförbud, GDPR upphovsrätt

GDPR i korthet

Enligt den nya integritetslagen GDPR har du som privatperson möjlighet att ta del av vilka personuppgifter ett företag eller en organisation har om dig.

Lagen styr sedan över själva behandlingen av uppgifterna, vilket omfattar alla åtgärder som vidtas med personuppgiften, från registrering – i fotografens fall när man trycker på knappen – fram till det att uppgifterna tas bort, som när bilder raderas från ett minneskort eller en hårddisk. Hela den hanteringen kräver tillstånd, det är utgångspunkten i GDPR, men är undantaget privatpersoner samt fotografering i konstnärligt eller journalistiskt syfte.