Bild: Unsplash, tagen i Atlanta, Georgia

Skellefteå kommun har höga ambitioner inom digitalisering med ledstjärnan “om vi skall kunna utvecklas som kommun och region måste vi tillvarata hela bygdens förutsättningar när det gäller att leva, bo och verka”. Kommunen har uppskattat att lärare i kommunens skolor lägger cirka 16 000 timmar per år på närvaroregistrering, och har identifierat det som ett utmärkt område för effektivisering med digitala medel.

Pilottest slutade i sanktionsavgift

Under 2019 inledde därför Skellefteå kommun pilottester med effektivare sätt att registera närvaro på en av sina gymnasieskolor - det mest framgångsrika använde ansiktsigenkänning. Man genomförde innan start ett omfattande utredningsarbete kring hur GDPR skulle påverka projektet och vilka åtgärder som måste vidtas som konsekvens. Bland annat var deltagande i pilottesterna helt valfritt, man hämtade in samtycke från både elever och deras målsmän och man isolerade den tekniska utrustningen både fysiskt och elektroniskt från omvärlden. Trots detta ledde en tillsyn från Datainspektionen till en sanktionsavgift mot kommunen. Eftersom Skellefteå kommun tror på digitalisering som en positiv kraft har kommunen har överklagat Datainspektionens beslut till Kammarrätten.

Kan man lösa problemet med Egendata?

Parallellt med den juridiska processen kontaktade Skellefteå kommun Iteam för hjälp med att se om en annan teknisk lösning skulle kunna lösa utmaningen att använda ansiktsigenkänning i skolmiljö utan att bryta mot Datainspektionens hårda GDPR-tolkning. Lösningen blev en helt ny hantering av känsliga personuppgifter som inte bygger på medgivande till att kommunen lagrar personuppgifter - den bygger istället på att kommunen inte alls lagrar några personuppgifter. Konceptet heter Egendata och bygger på att varje elev lagrar personuppgifterna på en plats som de själva kontrollerar. Elevens ansiktsmodell lagras med en stark kryptering och eleven kan därefter dela ut en nyckel till kommunen som då kan läsa in modellen när den behövs för närvarokontrollen. Informationen finns bara i minnet på systemet som genomför ansiktsigenkänningen, och eleven kan via en mobilapp när som helst återkalla nyckeln man delat till kommunen och därmed stoppa tillgången till personuppgifterna. Hela projektet har präglats av sin explorativa natur och har inneburit ett mycket nära samarbete mellan Iteam och kunden, med en spännande mix av teknisk, juridisk och verksamhetsnära kompetens.

Nytt lösningsförslag inskickat till myndigheten

Den nya arkitekturen för lagring av personuppgifter hos personuppgiftslämnaren själv möjliggör att användningen av personuppgifterna ses som ett avtal istället för ett medgivande. Det stora fokuset på kryptering, transparens och direktkontroll hos användaren som är kännetecknande för Egendata talar för ett nytt och positivt besked från Datainspektionen. En ansökan om förhandssamråd kring den nya lösningen är nu inskickad och väntar på svar från myndigheten.