beslut - Datainspektionen

ger i nu aktuella ärende, det var till exempel fråga om behandling av partiella
fingeravtryck i en central databas. Regeringsrätten, som ansåg att den aktuella
behandlingen endast var tillåten under förutsättning att samtycke inhämtas,
uttalade bland annat följande:
Behandling av biometriska uppgifter i identifieringssyfte kan av många uppfat-
tas som känslig. Det nu aktuella systemet bygger på att uppgifterna finns i da-
tabaser som är tillgängliga för kommunen och att uppgifterna lagras under en
förhållandevis lång tid. Den tekniska utformningen av systemet är alltså sådan
att behandlingen får anses påkalla att särskilda integritetshänsyn tas. Mot den
bakgrunden och då kommunens intresse av att identifiera eleverna torde kunna
tillgodoses även med andra metoder finner Regeringsrätten att behandlingen
kan vara tillåten endast under förutsättning att samtycke inhämtats.
När det gäller den behandling av personuppgifter som aktualiseras i detta
ärende gör Datainspektionen följande bedömning:
Användningen av system för biometrisk verifiering inger betänkligheter ur
integritetshänseende. Biometriska uppgifter är unika för varje individ och är i
många fall dessutom permanenta, vilket möjliggör en livslång
identifiering av en person. Användningen av biometriska uppgifter ger även
upphov till integritetsrisker som kan vara svåra att överblicka i dagsläget. Sy-
nen på användningen av system som bygger på biometri bör därför vara re-
striktiv. Även om det i det aktuella fallet inte är fråga om att registrera full-
ständiga fingeravtryck kan registreringen uppfattas som ett intrång i den per-
sonliga integriteten. Med hänsyn till 29-gruppens uttalande och regeringsrät-
tens avgörande ovan, anser vi att den aktuella behandlingen av biometriska
uppgifter innebär ett integritetsintrång som inte står i rimlig proportion till
ändamålen med behandlingen. Behandlingen är därför otillåten med stöd av
en intresseavvägning enligt 10 § punkten f) personuppgiftslagen och får en-
dast utföras med stöd av samtycken från de registrerade.
För att ett samtycke skall vara giltigt enligt personuppgiftslagen krävs att det
utgör en frivillig, särskild och otvetydig viljeyttring. De registrerade ska vidare
ha fått tillräcklig information om behandlingen för att kunna ta ställning till
eventuella samtycken. Behandling av biometriska uppgifter i arbetslivet med
stöd av samtycke begränsas till sådana situationer där de anställda har ett
verkligt fritt val och senare kan ta tillbaka sitt samtycke utan att det medför
några nackdelar för honom eller henne. Det innebär bland annat att de an-
ställda måste erbjudas en alternativ metod till den biometriska behandlingen
– exempelvis möjlighet att logga in genom användarnamn och lösenord istäl-
let – samt att han eller hon inte utsätts för någon direkt eller indirekt påtryck-
ning att välja det alternativ som innebär behandling av biometriska uppgifter.
Sida 5 av 7