Essai de reconnaissance faciale pour le contrôle des présences au lycée de Skellefteå — la première amende RGPD de la Suède pour surveillance biométrique d'élèves

À l'automne 2018, le conseil scolaire du lycée de la municipalité de Skellefteå, dans le nord de la Suède, a mené un pilote de trois semaines utilisant des caméras de reconnaissance faciale pour enregistrer automatiquement la présence de 22 élèves dans une classe, dans le but de réduire la charge administrative des appels manuels.

L'autorité suédoise de protection des données, Integritetsskyddsmyndigheten (IMY, anciennement Datainspektionen), a enquêté sur cet essai.

Le 20 août 2019, l'IMY a infligé au conseil scolaire une amende de 200 000 SEK (environ 20 000 €) — la première sanction émise en Suède depuis l'entrée en vigueur du RGPD en 2018 — constatant trois violations distinctes : traitement de données personnelles de manière plus invasive que nécessaire au regard de la finalité déclarée (article 5), traitement de données biométriques sensibles sans base légale valide (article 9), et absence d'analyse d'impact relative à la protection des données ou de consultation préalable de l'IMY (articles 35-36). L'IMY a également rejeté le consentement comme base légale, les élèves étant dans une position de dépendance envers l'école.

Le conseil scolaire a fait appel, mais la Cour administrative d'appel de Stockholm a confirmé intégralement la décision de l'IMY. L'affaire reste la référence suédoise en matière de surveillance biométrique des mineurs, ayant été republiée par le Comité européen de la protection des données et analysée par des organismes tels que l'IAPP. L'essai lui-même a été abandonné ; aucun système comparable de reconnaissance faciale pour la présence n'a depuis été déployé dans les écoles suédoises.