Efter GDPR: Norske bilisters færden bliver lagret i fem år

Lovgivningen volder det norske datatilsyn hovedbrud.

Når en bilist med en Autopass-chip passerer et betalingsanlæg i Norge, lagrer selskaberne bag betalingsanlæggene og Vegvesenet tid og sted for passagen i fem år.

De bilister, der måtte ønske det, har på grund af en aftale med Datatilsynet på enkel vis – ved at krydse af i et felt for ‘sporingsfri aftale’ i Autopass-aftalen – kunnet vælge, at oplysninger om passage kun gemmes i 72 timer.

Den 15. august i år blev aftalen dog afviklet, og bilister med sporingsfri aftale fik et brev med posten om, at deres data nu ville blive gemt i fem år – og at det gjaldt for alle uden undtagelse (se faktaboks). Også selv om regningen betales med det samme, og transaktionen gennemføres som normalt.

Den eneste måde, bilister kan undgå at blive sporet af Vegvesenet og betalingsanlægselskaberne på, bliver fremover at opsige hele Autopass-aftalen.

Det har ført til en del hovedbrud for Datatilsynet og bilisterne.

»Det bekymrer os, at man ikke kan bevæge sig på vejene uden at blive registreret, og det bliver bare værre og værre, for der kommer stadigt flere af denne type betalingsanlæg. Vi kan se, at løsningen – sådan som den er blevet udfærdiget nu – indebærer, at man registrerer rigtig mange personoplysninger, og det er ikke godt,« siger Atle Årnes, fagdirektør for teknologi i Datatilsynet (i Norge, red.).

Både Statens Vegvesen og Datatilsynet siger, at de har modtaget henvendelser fra brugere, der ønsker at komme ud af denne slags aftaler.

Bilist: »Skaber unødig frygt og mistænkeliggørelse«

En af dem, der modtog brevet, var Geir Robert Pedersen. Han er bilist på Vestlandet og har tidligere haft afkrydset feltet ‘sporingsfri Autopass’ i aftalen med betalingsanlægselskabet.

Han mener, at tvungen lagring af tid og sted for bompassager i fem år virker som unødigt lang tid, og at det bidrager til at skabe en unødvendig frygt og mistænkeliggørelse.

»En af grundene til, at Norge er et rigt land, er, at vi har haft en høj grad af tillid til hinanden. Hvis man har så lidt tillid til sine medborgere, at al kørsel skal lagres i fem år, så er det stærkt betænkeligt,« skriver han til digi.no i en e-mail.

Han tilføjer, at det er vigtigt at have systemer, som forhindrer masseindsamling af data om individer, med tanke på hvad disse kan bruges til i fremtiden, og sætter spørgsmålstegn ved, om ikke lagringen er i strid med GDPR.

GDPR skulle erstatte ordning, som alligevel blev videreført

Grunden til, at koncessionen med Datatilsynet forsvandt i forbindelse med indførelsen af GDPR i sommeren 2018, er, at koncessions- og meddelelsespligten dengang blev afskaffet.

Det betød, at de allerfleste af Datatilsynets særaftaler, ofte privacytiltag, blev afviklet.

Tanken bag systemet med særaftaler var, at de skulle varetage områder, hvor den gældende lovgivning ikke slog til.

Automatiske betalingsanlæg blev anset for at være sådan et område, og den norske pendant til Datatilsynet, Personvernnemnda, indførte en koncession med sporingsfri Autopass-aftaler i forbindelse med, at de automatiske betalingsanlæg blev udbredt.

»Det, at det ikke længere ville være muligt at benytte store dele af vejnettet uden at blive overvåget af Statens Vegvesen og de involverede betalingsanlæg, var et så stort indgreb i privacy-sammenhæng, at man ønskede at indføre en særaftale,« siger Atle Årnes i Datatilsynet.

Da GDPR trådte i kraft, blev Datatilsynets tidligere særaftale ikke forlænget, men Vegdirektoratet og det norske transportministerium vurderede, at ordningen med sporingsfri aftaler alligevel kunne videreføres. Efter en ny vurdering er de altså nu kommet frem til en anden konklusion.

Begrundelsen er, at de mener, at revisionsloven kræver lagring af alle betalinsanlægspassager i fem år, samt forhindrer videreførelse af ordningen med sporingsfritagelse.

»Dette hænger sammen med, at reel sporingsfrihed kræver, at alle data om passage skal slettes, inklusive de oplysninger, som skal opbevares i henhold til revisionsloven. (...) det er derfor revisionsloven, og manglende undtagelser fra denne, som fører til, at sporingsfri aftaler ikke kan tilbydes,« skriver Statens Vegvesen i en udtalelse.

Denne konklusion er Datatilsynet imidlertid uenig i.

Hvad sker der med dataene?

Oplysninger om passage skal ikke udleveres til andre end brugerne selv, undtagen hvis der er hjemmel til dette, skriver Beate Viktoria Ørbeck fra transportafdelingen i Statens Vegvesen i en e-mail.

For eksempel har politiet og skattemyndighederne begge tilladelse til at indhente eller få indblik i de oplysninger, som er lagret efter revisionsloven.

Slås om lagringstiden

»Vores vurdering er, at det at registrere privatpersoners passager gennem betalingsanlæggene med baggrund i revisionsloven er helt unødvendigt,« siger Atle Årnes.

Han fortæller, at Datatilsynet i en årrække har presset på for, at passager i betalingsanlæggene ikke skulle registreres på grund af revisionsloven.

»Betalingsanlægsselskaberne og Vegvesenet lagrer for at leve op til revisionsloven. Men vi har hele tiden ment, at registrering af privatpersoners betalingsanlægspassager til andet end fakturering er unødvendig. I det øjeblik, en privatperson har betalt, er det ikke længere nødvendigt at lagre oplysningerne,« siger han.

Så hvorfor har Datatilsynet ikke haft indflydelse på afgørelsen?

Ud over at det skulle være et opdateret og dækkende regelsæt, lægger GDPR også mere af ansvaret over på den behandlingsansvarlige. Dette skulle også gøre det unødvendigt med sådanne særaftaler.

»GDPR kræver, at den behandlingsansvarlige (i dette tilfælde Vegvesenet/betalingsanlægsselskaberne) kontrollerer, at behandlingen af personoplysninger sker i overensstemmelse med lovgivningen. Datatilsynet kan som tilsynsmyndighed senere underkende vurderingen ved at foretage tilsyn, men foreløbig har vi ikke taget stilling til, om vi skal det,« siger Atle Årnes.

Kan ende med, at GDPR underkendes

Datatilsynet har foreløbig ikke taget stilling til, om den nu påtvungne sporing er i strid med GDPR eller ikke. Men Atle Årnes understreger, at princippet om dataminimering, altså at man ikke skal lagre mere, end man må, står stærkt i GDPR.

»Det er absolut et relevant spørgsmål, om lagringen kan være i strid med GDPR, og det er naturligt, at folk reagerer. Dette er noget, vi nu har spurgt Finansministeriet om. Vi har også haft runder med flere ministerier og skattemyndigheden og lavet et stort arbejde sammen med Vegvesenet for at få klarhed om denne lovgivning.«

Revisionsloven er at regne som speciallovgivning, som eventuelt ville blive sat højere end persondataloven/GDPR. Hvis det bliver fastslået, at revisionsloven faktisk gælder i denne sammenhæng, som Datatilsynet er uenig i, vil den dermed kunne overtrumfe GDPR i en retslig proces.

Der skal sædvanligvis tilsyn og klagebehandling til for at afklare, om persondataloven kommer foran revisionsloven. Hvis ikke dette giver et svar, vil det ifølge Atle Årnes være muligt at køre en retslig proces. Dette er der foreløbig ingen, der har gjort.

Forslag om tank op-kort

For nogle år siden førte Datatilsynet tilsyn med betalingsanlægsselskaberne og konkluderede, at oplysningerne skulle slettes, efter at passagen var betalt. Men Datatilsynet fik at vide, at speciallovgivningen, i dette tilfælde revisionsloven, krævede yderligere lagring af data om passage, fortæller Atle Årnes.

»Det er muligt, at der skal en retsafgørelse til for at afklare dette. For eksempel har EU-Domstolen udtalt sig om, hvordan persondataloven stiller sig i forholdet til andre love på EU-niveau,« siger fagdirektøren.

»I rigtig mange år har vi kæmpet meget med revisionsloven. Hvis den ikke havde været der, havde det været enkelt,« siger Atle Årnes og tilføjer, at Datatilsynet derfor har prøvet at finde måder at omgå denne lovgivning på.

»Vi har haft mange diskussioner med Vegdirektoratet om, at man også kunne have haft en løsning med at tanke et kort op med en vis sum og trække betalingen fra med det samme ved hver passage. Det er restancebetalingerne, som gør, at revisionsloven kommer ind i billedet,« siger fagdirektøren.

Anonymiserende tiltag

Vegdirektoratet har nu sendt en rapport til Transportministeriet om muligheden for anonyme løsninger i Autopass.

Rapporten kan ifølge seniorrådgiver Merete Kjærnli fra Vegvesenet blive et grundlag for ministeriets videre arbejde med at ændre kravene til lagringstid for passagens tid og sted, og andre tiltag som øger privacy-graden i Autopass.

Trafikministeriet har ikke svaret på digi.no’s henvendelser om at kommentere sagen.

Datatilsynet sendte et brev til Finansministeriet, som har ansvar for revisionsloven, den 26. juni. Der bad de om en redegørelse for, om lagringen kan være i strid med GDPR, og om revisionsloven skal gælde som blandt andre Vegdirektoratet har tolket det.

Finansministeriet har endnu ikke svaret på forespørgslen.

Artiklen er fra digi.no.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (2)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
 
#2 Anne-Marie Krogsbøll

..at også i Norge er den bagvedliggende kerneopgave for den slags store systemer overvågning af befolkningen.

Det norske Datatilsyn er så bare knap så lamme som det danske - de tager kampen op, og forsøger at løse deres kerneopgave, som vel er at beskytte borgernes ret til privatliv?​

  • 5
  • 0
Log ind eller Opret konto for at kommentere