Ensayo de reconocimiento facial para el control de asistencia en un instituto de Skellefteå — la primera multa del RGPD en Suecia por vigilancia biométrica de estudiantes

En el otoño de 2018, la Junta Escolar de Educación Secundaria Superior del municipio de Skellefteå, en el norte de Suecia, realizó un piloto de tres semanas utilizando cámaras de reconocimiento facial para registrar automáticamente la asistencia de 22 estudiantes en una clase, con el objetivo de reducir la carga administrativa de las listas manuales.

La autoridad sueca de protección de datos, Integritetsskyddsmyndigheten (IMY, anteriormente Datainspektionen), investigó el ensayo.

El 20 de agosto de 2019, la IMY multó a la junta escolar con 200.000 SEK (unos 20.000 €) — la primera sanción emitida en Suecia desde la entrada en vigor del RGPD en 2018 — constatando tres infracciones distintas: procesamiento de datos personales de forma más invasiva de lo necesario para la finalidad declarada (Artículo 5), procesamiento de datos biométricos sensibles sin base jurídica válida (Artículo 9), y no haber realizado una evaluación de impacto relativa a la protección de datos ni una consulta previa a la IMY (Artículos 35-36). La IMY también rechazó el consentimiento como base jurídica, ya que los estudiantes se encontraban en una posición de dependencia respecto a la escuela.

La junta escolar apeló, pero el Tribunal Administrativo de Apelación de Estocolmo confirmó íntegramente la decisión de la IMY. El caso sigue siendo la referencia sueca en materia de vigilancia biométrica de menores, habiendo sido republicado por el Comité Europeo de Protección de Datos y analizado por organismos como la IAPP. El propio ensayo fue descontinuado; desde entonces no se ha implementado ningún sistema comparable de reconocimiento facial para el registro de asistencia en escuelas suecas.