Ansiktsigenkänning och dataskydd
Ansiktsigenkänningsteknik är en digital teknik för att automatiskt identifiera eller verifiera en viss person utifrån en digital bild. Detta görs vanligen genom att utvalda ansiktsdrag från en bild jämförs med bilder på ansikten som samlats i en databas. I dataskyddsförordningen finns det särskilda bestämmelserna om biometrisk data som man måste ta hänsyn till när man använder ansiktsigenkänningsteknik.
Biometriska uppgifter är särskilt skyddsvärda
När man använder teknik för ansiktsigenkänning, som möjliggör eller bekräftar identifieringen av en viss person på bild eller film, är de uppgifter som behandlas vid identifieringen så kallad biometrisk data. Biometrisk data tillhör en kategori av personuppgifter som anses vara särskilt skyddsvärda. Behandling av sådana känsliga personuppgifter är som utgångspunkt förbjuden. Precis som vid all personuppgiftsbehandling måste du som använder biometrisk data för att entydigt identifiera en fysisk person ha en rättslig grund för personuppgiftsbehandlingen. Eftersom det rör sig om särskilt skyddsvärda uppgifter måste du som är personuppgiftsansvarig samtidigt uppfylla ett av undantagen mot förbudet att behandla känsliga personuppgifter. Kom också ihåg att du inte får använda dig av den rättsliga grunden intresseavvägning för att behandla känsliga personuppgifter.
Undantagen mot förbudet att behandla känsliga personuppgifter
Ansiktsigenkänning i brottsförebyggande syfte
Behandling av känsliga personuppgifter är som framgår ovan som utgångspunkt förbjudet. Att exempelvis inneha ett digitalt dokument över personer som inte är önskvärda på grund av tidigare brottslig aktivitet skulle anses vara en behandling av uppgifter om lagöverträdelser.
För andra än myndigheter som vill behandla personuppgifter om lagöverträdelser krävs något av följande:
- stöd i lag
- stöd i IMY:s föreskrift:
Behandling av personuppgifter som rör lagöverträdelser, DIFS 2018:2 (pdf 78 kB) - tillstånd från IMY.
Konsekvensbedömning och förhandssamråd kan krävas
Om en behandling av personuppgifter sannolikt leder till hög risk för de registrerades fri- och rättigheter måste ni alltid göra en konsekvensbedömning. Kamerabevakning av allmän plats i stor omfattning kräver alltid att en konsekvensbedömning upprättas. Om ni efter konsekvensbedömningen anser att det inte går att begränsa riskerna måste ni inleda förhandssamråd med IMY för att avgöra om behandlingen är tillåten eller inte. Den som bryter mot skyldigheten att göra en konsekvensbedömning eller hålla förhandssamråd med IMY riskerar att drabbas av sanktionsavgifter.