Ansiktsigenkänning från ett svenskt dataskyddsperspektiv

Ansiktsigenkänning möjliggör för automatisk identifiering och/eller verifiering av en per-son utifrån en digital bild eller videokälla, tekniken utvecklas snabbt och har en fortsatt tillväxt på marknaden. Tekniken för ansiktsigenkänning är normalt baserad på identifie-ring av vissa specifika ansiktsdrag från en bild, som sedan jämförs med ansiktsbilder spa-rade i en databas. Den tekniska åtkomsten för ansiktsigenkänning är stor och använd-ningsområdet för tekniken är oändlig.
Vid behandling av digitala bilder eller videos där en fysisk person framgår, kan behand-lingen omfatta biometrisk data vilket som huvudregel är förbjudet enligt dataskyddsför-ordningen.  De särskilda bestämmelserna och undantagen gällande behandling av biomet-risk data i dataskyddsförordningen samt nationell lagstiftning måste således beaktas vid användandet av teknik som innefattar ansiktsigenkänning.
Integritetsskyddsmyndigheten har tagit en aktiv roll gällande regleringen av ansiktsi-genkänning. Integritetsskyddsmyndigheten första sanktion under dataskyddsförordning-en var i augusti 2019 och handlade om användningen av en ansiktsigenkänningsteknik som brutit mot dataskyddsförordningen. Integritetsskyddsmyndigheten utfärdade en sankt-ionsavgift på 200 000 kronor till en kommun för att ha använt ansiktsigenkänning via kamera för att registrera elevers närvaro. Integritetsskyddsmyndigheten anförde att an-vändandet av ansiktsigenkänning via kamera medförde behandling av personuppgifter som var av mer påträngande art avseende personlig integritet samtidigt som det fanns andra sätt att registrera närvaro som är mindre integritetskränkande än just ansiktsi-genkänning. Integritetsskyddsmyndigheten bedömde också att det inte fanns något till-lämpligt undantag gällande förbudet om behandling av känsliga personuppgifter.
I ett förhandssamråd som ägde rum under oktober 2019 yttrade Integritetsskyddsmyn-digheten att de tillåter den svenska Polismyndigheten visst användande av ansiktsi-genkänning för syftet att utreda och lagföra brott. Integritetsskyddsmyndigheten motive-rade sitt beslut mot bakgrund av att ansiktsigenkänning är ett effektivt verktyg för att identifiera kriminella jämfört med en manuell analys.
I juni 2020 godkände Integritetsskyddsmyndigheten, också i ett förhandssamråd, använ-dandet av ansiktsigenkänning i affärer för analys av besökarnas rörelsemönster. Enligt företaget anonymiserades bilddatan från övervakningskameran och skickades sedan till en molntjänst för analys. Integritetsskyddsmyndigheten har klargjort att de inte yttrar sig om huruvida den beskrivna tekniken uppnådde en faktisk anonymisering av data men ansåg, vid en samlad bedömning av samtliga integritetshöjande åtgärder som vidtogs i det speci-fika fallet, inkluderande att träffsäkerheten att hitta en återkommande kund var så låg som 50 procent, att ett undantag från artikel 9 i dataskyddsförordningen inte vara nöd-vändigt.  Istället ansågs den rättsliga grund som anges i artikel 6.1 i dataskyddsförordning-en vara tillräcklig för behandlingen av personuppgifterna.  För att kunna använda denna rättsliga grund för behandling av personuppgift så är det av vikt att den biometriska data i fråga är fullständigt anonymiserad och att den kvarstående data inte kan användas för att identifiera eller autentisera en fysisk person.

Den svenska regeringen antog den 1 december 2020, en lag om ändring i utlänningsdatala-gen som gör det möjligt för Migrationsverket, Polismyndigheten och utlandsmyndigheter-na att behandla känsliga personuppgifter (även genom biometrisk data och ansiktsi-genkänningsteknik) inom ramen för utlännings- och medborgarskapsområdet när det gäl-ler testverksamhet som är absolut nödvändig och i enlighet med utlänningsdatalagen.  
Tekniken gällande ansiktsigenkänning fortsätter att växa fram på marknaden. Integritets-skyddsmyndigheten och motsvarande tillsynsmyndigheter i andra jurisdiktioner, såväl som regeringar runt om i Europa kommer sannolikt att intensifiera sina reglerande insat-ser. För mer information om den svenska positionen, eller för utvärdering av planerad användande av ansiktsigenkänning, vänligen kontakta Setterwalls team inom IT-rätt och dataskydd, som är rankat som Tier 1 i Sverige i den första upplagan av Legal500’s separata ranking.

^1. Artikel 9(1) GDPR (Förordning (EU) 2016/679).
^2. Vänligen observera att det finns fler direktiv, yttranden och särskilda föreskrifter rörande behandling av biometriska uppgifter som inte kommer presenteras häri.
^3. Se beslutet av Integritetsskyddsmyndigheten i sin helhet: https://www.imy.se/globalassets/dokument/beslut/beslut-ansiktsigenkannin…
^4. Se förhandssamrådet i sin helhet https://www.imy.se/globalassets/dokument/ovrigt/2019-10-23-polisen-forha….
^5. Behandling av bilder bör inte per automatik anses utgöra behandling av känslig personuppgift, utan det är först när behandlingen, med ett specifikt tekniskt hjälpmedel, möjliggör en unik identifikation eller autentisering av en fysisk person, enligt skäl 51 dataskyddsförordningen.
Behandling av bilder bör inte per automatik anses utgöra behandling av känslig personuppgift, utan det är först när behandlingen, med ett specifikt tekniskt hjälpmedel, möjliggör en unik identifikation eller autentisering av en fysisk person, enligt skäl 51 dataskyddsförordningen.
^6. Referensnummer DI-2020-3670.
^7. Se utlänningsdatalagen i sin helhet https://www.riksdagen.se/sv/dokument-lagar/dokument/svensk-forfattningss…
^8. Se hela den svenska regeringspropositionen https://www.regeringen.se/4a66ed/contentassets/9bff0ac16e0149688a8031010….