Die schwedische Datainspektionen verhängte die erste DSGVO Strafe. Die Datenschutzbehörde stellte im Entscheid (DI-2019-2221 vom 20.08.2019) fest, dass die Oberschulbehörde in der Gemeinde Skellefteå durch die Verwendung von Gesichtserkennung mit Kameras zur Anwesenheitskontrolle von Schülern personenbezogene Daten ohne ausreichende Rechtsgrundlage verarbeitet hat, und gegen die DSGVO verstoßen hat
Eine höhere Schule in Skellefteå hat die Gesichtserkennung per Kamera verwendet, um die Anwesenheit der Schüler im Unterricht zu testen. Die Studie dauert drei Wochen und betraf 22 Studenten.
Die Datenschutzbehörde hat die Verarbeitung geprüft und festgestellt, dass die Schulbehörde in Skellefteå gegen die DSGVO verstoßen hat, und sensible Daten iSd Art 9 DSGVO verarbeitet hat.
Die Geldstrafe beträgt SEK 200.000, ds ca. EUR 16.500.
Für die Bemessung war ausschlaggebend, dass die Verarbeitung im Rahmen einer behördlichen Tätigkeit erfolgte, und es sich um einen befristeten Test handelte.
Behörden können in Schweden DSGVO-Geldstrafen in Höhe von maximal 10 Mio. SEK, ds ca. EUR 930.000 erhalten.
Die Aufsichtsbehörde ist der Ansicht, dass die Technologie zur Gesichtserkennung noch in den Kinderschuhen, aber die Entwicklung schnell voran schreitet. Die Behördenleiterin Lena Lindgren Scheling sieht daher ein großes Bedürfnis, Klarheit zu schaffen, was für alle Akteure gilt.
Biometrische Daten, die bei der Gesichtserkennung verwendet werden, sind personenbezogene Daten, die besonders schutzwürdig sind, da es sich um biometrische Daten handelt, die für die Erkennung von Personen verwendet werden, und für deren Verarbeitung ausdrückliche Ausnahmen (nach Art 9 Abs 2 DSGVO) erforderlich sind.
Die Schulbehörde hatte im Verfahren argumentiert, dass sie die Zustimmung der Schüler erhalten haben, die Gesichtserkennung für die Anwesenheitskontrolle zu verwenden.
Eine „freiwillige“ Einwilligung der Schüler gegenüber der Schulbehörde ist jedoch nach Ansicht der Aufsichtsbehörde (Ranja Bunni, eine Juristin der Datenschutzbehörde; sie hat an der Prüfung durch die Aufsichtsbehörde teilgenommen) nicht möglich, da die Schüler von der Schulbehörde abhängig sind.
In ihrer Entscheidung stellte die Aufsichtsbehörde fest, dass die Gesichtserkennung durch Kameraüberwachung der Schüler in ihrer täglichen Umgebung, einen Eingriff in die persönliche Integrität darstelle.
Die Kontrolle der Anwesenheit der Schüler ist auf eine andere Weise möglich, die als gelinderes Mittel eingesetzt werden kann, und die die Privatsphäre der Schüler weniger verletzt als die verwendete Gesichtserkennung.
21.08.2019, Autor:
Michael Schweiger
Kommentar schreiben