Kara z RODO dla szkoły w Szwecji

Szwecki organ nadzorczy nałożył pierwszą karę za nieprzestrzeganie przepisów RODO.  Trafiła ona do liceum Anderstorp w miejscowości Skellefteå. Rada szkoły przeprowadziła okresowy, trwający 3 tygodnie test, polegający na monitorowaniu obecności wyselekcjonowanych uczniów za pomocą technologii rozpoznawania twarzy. 

Każdy z 22 uczniów biorących udział w badaniu filmowany był kamerą po wejściu do klasy a obraz porównywany był z wcześniej zarejestrowanym wizerunkiem każdego uczestnika badania. Szkoła odebrała zgody od opiekunów uczniów na przeprowadzenie badania dając jednocześnie możliwość niewyrażenia zgody na rejestrację wizerunku. Dane biometryczne trafiały na wyselekcjonowany komputer lokalny przechowywany w zamkniętym pomieszczeniu, który nie był podłączony do Internetu. Celem wdrożenia nowej technologii było usprawnienie i uproszczenie ustalania frekwencji na lekcjach. Dotychczasowe, klasyczne sprawdzanie obecności trwało ok 10 minut i wdrażając nową technologię szacowano oszczędność czasu na poziomie 17280 godzin rocznie.

Mimo tego, że przetwarzanie danych w celu sprawdzania obecności jest możliwe, to rozpoznawanie twarzy jest nieproporcjonalne w stosunku do tego celu. Organ nadzorczy uznał, że przetwarzano dane biometryczne uczniów, dlatego zastosowanie powinien mieć art. 9 RODO. Ponadto władze argumentowały, że zgody nie można zastosować, ponieważ studenci i ich opiekunowie nie mogą swobodnie decydować, czy ich dzieci będą monitorowane pod kątem obecności. W trakcie kontroli organ nadzorczy uznał, że w tym konkretnym przypadku szkoła nie może powoływać się na którekolwiek z wyjątków wymienionych w art. 9 ust. 2 RODO. Organ nadzorczy stwierdził również, że miał miejsce przypadek przetwarzania o wysokim ryzyku, ponieważ zastosowano nową technologię do przetwarzania wrażliwych danych osobowych dotyczących dzieci, które znajdują się w pozycji zależnej od rady szkoły i. W opinii organu zarząd szkoły nie był w stanie wykazać zgodności z art. 35 RODO (nie przeprowadził oceny skutków dla ochrony danych – DPIA) oraz że nie skonsultował swojego zamiaru z organem nadzorczym zgodnie z art. 36 (1) RODO.