Ensayo de reconocimiento facial para el control de asistencia en un instituto de Skellefteå — la primera multa del RGPD en Suecia por vigilancia biométrica de estudiantes

En otoño de 2018, el consejo de educación secundaria del municipio de Skellefteå, en el norte de Suecia, llevó a cabo un ensayo de tres semanas con cámaras de reconocimiento facial para registrar automáticamente la asistencia de 22 alumnos de una clase, con el objetivo de reducir la carga administrativa del pase de lista manual.

La autoridad sueca de protección de datos, la Integritetsskyddsmyndigheten (IMY, antes Datainspektionen), investigó el caso y, el 20 de agosto de 2019, multó a la dirección escolar con 200 000 SEK (unos 20 000 €) — la primera sanción impuesta en Suecia desde la entrada en vigor del RGPD en 2018. La IMY constató tres infracciones distintas: tratamiento de datos personales de forma más invasiva de lo necesario en relación con la finalidad declarada (artículo 5), tratamiento de datos biométricos sensibles sin base jurídica válida (artículo 9), y ausencia de una evaluación de impacto relativa a la protección de datos y de consulta previa a la IMY antes del ensayo (artículos 35-36). La autoridad también rechazó el consentimiento como base jurídica, ya que los alumnos se encontraban en una relación de dependencia respecto al centro.

La dirección escolar recurrió, pero el Tribunal Administrativo de Apelación de Estocolmo confirmó íntegramente la decisión de la IMY, validando tanto el razonamiento jurídico como la multa. El caso sigue siendo la referencia sueca en materia de vigilancia biométrica de menores y ha sido republicado por el Comité Europeo de Protección de Datos y analizado por organismos internacionales como IAPP como modelo para evaluar la proporcionalidad y el consentimiento en el despliegue de sistemas biométricos de IA en centros escolares. El ensayo se interrumpió y desde entonces no se ha implantado ningún sistema comparable de reconocimiento facial en escuelas suecas.