Gezichtsherkenning levert Zweedse school privacyboete op
Het gebruik van gezichtsherkenning heeft een Zweedse school een boete opgeleverd van € 19.000. De Zweedse privacy autoriteit acht dit strijdig met de Europese privacywetgeving (GDPR)
De Zweedse Autoriteit Persoonsgegevens (AP) heeft een school voor secundair onderwijs een boete opgelegd van SEK 200.000 (€ 19.000) wegens privacyschending. De school voerde in de herfst van 2018 een experiment uit waarbij de aanwezigheidsregistratie via gezichtsherkenning werd gedaan.
Strenge eisen GDPR aan gezichtsherkenning
Het gebruik van gezichtsherkenning vereist het verwerken van biometrische data van studenten, iets waarvoor strenge regels gelden (GDPR). De school had echter geen overleg gepleegd met de AP en voorafgaand aan het experiment geen impact analyse uitgevoerd. Onder de privacywetgeving is dit een zwaar vergrijp, waarvoor een maximale boete van € 1 miljoen opgelegd kan worden.
Hoewel de school aanvoerde dat studenten hadden ingestemd met het experiment met gezichtsherkenning was de AP van mening dat er geen juridische grondslag bestond voor het vastleggen van de gegevens. Volgens de AP is sprake van een ‘duidelijke ongelijkwaardigheid tussen de persoon wiens data is vastgelegd en de beheerder’.
Grote impact
De opgelegde boete is een schijntje in vergelijking met de maximale boete die opgelegd had kunnen worden. Bovendien zijn er op grond van de GDPR al veel hogere boetes uitgedeeld, zoals de boete van ruim 204,6 miljoen voor British Airways, de € 50 miljoen die Google heeft opgelegd gekregen, of de € 406.000 die het Nederlandse Haga Ziekenhuis moet betalen voor het inzien van de patiëntgegevens van een beroemdheid.
De boete laat echter zien dat de privacy autoriteiten in Europa steeds effectiever worden in het opsporen en beboeten van privacy-overtredingen. Bovendien overweegt de EU strengere regelgeving op het gebied van biometrische databescherming. Voor scholen is de boete dan ook een duidelijke waarschuwing om voorzichtig te zijn met het gebruik van biometrische gegevens.