Ni skoler i Skottland drev ulovlig digital ansiktsgjenkjenning av elevene

Over 2500 elever ble i en kommune i Skottland tatt bilde av hver gang de skulle hente lunsj i skolekantinen. I det de passerte matdisken, ble det brukt kameraeer som gjenkjente hvem de var, systemet trakk deretter penger fra den enkeltes konto.

Systemet var satt opp slik at en skoleansatt tok et stillbilde av den enkelte elev når de kom til kassa. Hvis systemet klarte å kjenne igjen eleven, ble kontoen til eleven tilgjengelig for den ansatte som da bestemte om det skulle trekkes penger fra kontoen.

Hvis systemet viste frem flere elever på skjermen samtidig, for eksempel ved tvillinger som lignet veldig på hverandre, måtte den ansatte med sitt eget skjønn velge hvilke konto som pengene skulle trekkes fra.

Ifølge dataavtalen kunne systemet også brukes til å betale for turer, aktiviteter og skoleuniformer.

(Illustrasjonsfoto: Shutterstock / Halfpoint.)

Det britiske datatilsynet vedtok at ansiktsgjenkjenningen var ulovlig

Mange land i Europa, deriblant Storbritannia, har vedtatt personvernregler som forkortes til GDPR. Det britiske datatilsynet mener at det kanskje er mulig å benytte digital ansiktsgjenkjenning på skoler uten å bryte GDPR. Men uansett var innføringen av slikt system i den aktuelle kommunen et brudd på reglene.

Kommunen maktet ikke å vise til en lovlig grunn for innføre ansiktsgjenkjenning. Datatilsynet skriver i sin rapport at kommunen endret begrunnelse etter hvert som tilsynet stilte kritiske spørsmål.

“Take care to get it right first time – you should not swap to a different lawful basis at a later date without good reason. In particular, you cannot usually swap from consent to a different basis.”

Tilsynet skriver at samtykkereglene ble brutt. Informasjonen som ble gitt til foreldre og barn, var mangelfull.

Persondata skal kun lagres så lenge man har bruk for dataene etter hensikten. Det var uklart hvor lenge ansiktsbildene ble lagret og elevene fikk ikke informasjon om dette.

Ved innføring av ny teknologi er man også pliktig til å rådføre seg med en personvernekspert.

ICO skriver også at barn har et spesielt vern. Kommunen brøt reglene som sier at datainnsamling må forklares på et språk som barn forstår og at man også må opplyse om risikoen.

Kommunen delte sine forsøk på lovlig samtykke i to grupper, den ene gjaldt elever i alderen 11 til 14 år, der ble foreldrene spurt. Ved elever i alderen 14 til 18 år, ble elevene spurt. Man fulgte klassene, derfor var det noe overlapp i alder.

Samtykke må i tilfelle gis fritt, spesielt, informert og uten tolkningsrom. Dette ble ikke oppfylt. I sin informasjon til foreldrene skrev skolene at ansiktsgjenkjenning ville bli brukt på samtlige elever. Da er det ikke mulig å gi et frivillig samtykke etterpå. Man forklarte heller ikke om de elevene eller foreldrene som eventuelt ikke ga samtykke, ville bli behandlet på en annen måte enn de som ga samtykke.

Man informerte heller ikke om hvem som til slutt satt på dataene, i dette tilfelle var det kommunen og ikke den enkelte skole.

Informasjonen var også for vanskelig, man brukte uttrykk som «kryptering», «AES 256» og «konverterer fysiske karaktertrekk om til en unik digital signatur» (oversatt av Barnevakten her).

Det britiske datatilsynet (ICO) stilte også spørsmål om hvorfor kommunen ville sitte på dataene i fem år etter at eleven hadde sluttet, og kanskje helt frem til eleven ble 23 år.

ICO viser til mer i sitt vedtak. For eksempel at kommunen skulle ha sjekket risikoen for identitetstyveri, skadelig ryktespredning, økonomisk tap, nedsatt selvfølelse, diskriminering, utestengelse fra tjenester og muligheter, og mye annet.

ICO har en oversikt over GDPR-reglene her, hvis du ønsker å se detaljene.

Det britiske datatilsynet presiserer også at biometriske data er noe som ikke endrer seg. Annen persondata, slik som hjemmeadresse, kan endres. Biometriske data kan også brukes til å gjenkjenne kjønn, alder, etnisitet og så videre. Derfor må man være særlig forsiktig ved innsamling av biometriske data.

Kan ansiktsgjenkjenning komme til norske skoler?

Det norske Datatilsynet skriver på sine sider at biometri neppe kan brukes i skolene. Ordet «neppe» indikerer at det kanskje kan innføres. Det norske datatilsynet har dermed samme konklusjon som det britiske datatilsynet: Døren er ikke helt lukket for ansiktsgjenkjenning i skolene.

Her er noen eksempler på hvordan ansiktsgjenkjenning teoretisk sett kan benyttes:

• Læreren slipper å ta navneopprop fordi skolen har et kamera over hver klasseromsdør. Kameraet er koblet til et dataprogram som er utstyrt med ansiktsgjenkjenning. Slik sparer læreren tid, og skulk kan registreres av systemet og foreldrene kan få automatisk beskjed om det.
• Kun ansikter fra elever og lærere kan åpne inngangsdørene til skolen. Dermed er skolen tryggere mot uvedkommende.
• Egenlæringen kan bli bedre når skolemaskinene er utstyrt med ansiktsgjenkjenning og kan registere hvor lenge hver elev jobber med matematikkoppgaver. Kanskje kan ansiktsgjenkjenningen bli kombinert med ansiktstolkning der maskinen samler inn humøret til eleven. Ser eleven trøtt ut, serveres enklere oppgaver. Ser eleven lei seg ut, sendes det beskjed til læreren.
• Og alle data kan samles opp til profiler av elevene, slik tilbys elevene tilpasset undervisning gjennom skolemaskinene uten at læreren blir koblet inn. Og foreldrene kan få kakediagrammer og statistikk over sitt barns utvikling på skolen, dag for dag.
• Kunstig intelligens kan tolke alle data og gi automatisk beskjed til Barnevernet ved utsatte elevprofiler, bare sånn for sikkerhets skyld, slik at man kan gjette hvilke hjem som bør få hjelp.

De fleste vil antagelig grøsse av en slik utvikling. Men det er samtidig lett å argumentere positivt for å redusere personvernet til elevene, det finnes alltids noen fordeler. Man kan for eksempel spare penger. Når barna vet at de overvåkes med ansiktsgjenkjenning i hvert grupperom og hver krok på skolen, vil nok hyppigheten av hærverk gå ned.

Noen av eksemplene over ganske sikkert forbudt i de lovene vi allerede har, men det virker som at det er rom for tolkning av reglene. Barnevakten har i innspillsmøte med regjeringen bedt om at det utformes overordnede regler for skolene om hva som er tillatt digitalt.

Les også:

• Hva foreldre bør vite om skoleløsninger
• Barnevaktens innspill til digtale rettigheter for barn
• Barns digitale rettigheter
• Hva kan foreldre bestemme i den digtale skolen?
• Sporing og barns privatliv
• Barn og personvern
• 9 av 10 apper overvåket skolebarna
• Er det greit at skolen bruker kamera i undervisningen?