Personvernnemndas avgjørelse av 8.3.2011 (Olav Torvund, Arve Føyen, Tom Bolstad, Leikny Øgrim, Gisle Hannemyr, Jostein Halgunset, Ørnulf Rasmussen)
Leder i Personvernnemnda Eva I. E. Jarbekk valgte å fratre behandlingen av saken fordi hun i sitt virke som advokat har klienter som kan medføre at hun kommer i interessekonflikt i denne saken. I hennes sted trådte personlig vararepresentant for leder, Olav Torvund, inn.
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tilsynets vedtak vedrørende strekningsvis automatisk trafikkontroll (SATK).
2 Saksgang
Datatilsynet gjennomførte et stedlig tilsyn hos Statens vegvesen Vegdirektoratet (”Statens vegvesen”) den 15. oktober 2009. Temaet for kontrollen var behandlingen av personopplysninger i forbindelse med gjennomføring av strekningsvis automatisk trafikkontroll (SATK). Det ble fattet vedtak i saken den 15. januar 2010. Statens vegvesen klaget på Datatilsynets vedtak i brev av 1. februar 2010.
Datatilsynet har gitt klagen oppsettende virkning, jf forvaltningsloven § 42.
Datatilsynet oversendte saken til Personvernnemnda 27.5.2010, som mottok saken 31.5.2010. Klager ble orientert om dette i brev fra nemnda datert 2.6.2010, med frist til uttalelse innen 22.6.2010. Det er ikke innkommet brev fra klager.
3 Faktum
Saken dreier seg om såkalt SATK eller streknings-ATK. SATK skiller seg fra tradisjonell punktvis ATK ved at hastigheten måles over en lengre strekning. Formålet er å kontrollere gjennomsnittshastigheten til alle passerende biler. For å gjøre dette er man avhengige av å fotografere samtlige kjøretøy. Dette i motsetning til punktvis ATK, hvor det kun tas bilde av de kjøretøy som passerer i for høy hastighet. Alle bilister, uansett hastighet, blir fotografert i passeringspunktene A og B for den målte strekning.
Bildene viser bilen forfra og bilskilt, sjåføren og eventuelle passasjerer som sitter i forsetet. Etter passering av punkt B foretas en utregning av bilens gjennomsnittshastighet mellom punkt A og B. Dersom hastigheten er lavere enn fartsgrensen, slettes bildene. Bilder og underlagsdata om de som overstiger lovlig hastighet blir lagret og sendt til et sentralt system for videre behandling. Det gis et varsellys ved et senere punkt C, som er ca 30 meter etter punkt B, dersom gjennomsnittshastigheten har vært over tillatt grense.
Ingen bilder blir sendt fra registreringssystemet, A og B, med mindre et kjøretøy er gjenkjent og dette har kjørt over fartsgrensen. I punkt B lagres ingen bilder på disk med mindre kjøretøyet er gjenkjent og dette har kjørt over fartsgrensen. I punkt A mellomlagres bilder inntil det er fastslått om bilen har kjørt for fort. Når et bilde lagres i A, genereres det en tilfeldig krypteringsnøkkel som brukes for kryptering av bildet. Denne nøkkelen sendes til punkt B. Krypteringsnøkkelen skrives aldri til disk, men holdes i RAM i punkt B inntil bilen er gjenkjent, eller saken er gått ut på tid. Dette sikrer at ingen kan lese bildene som er mellomlagret. Bildet slettes alltid, med mindre det gis en melding fra punkt B om at bildet skal lagres.
4 Klagers anførsler
Klager anfører at behandlingsgrunnlag for behandlingen av personopplysninger i forbindelse med SATK er hjemmel i lov, vegtrafikkloven § 10. Bestemmelsen hjemler forskjellige typer trafikkontroll og bruk av ulike typer utstyr i forbindelse med slik kontroll, herunder ATK.
Det må tas bilde av bil med fører i både punkt A og B (passeringspunkt start og slutt for den målte strekning) fordi det kan hevdes at førere har byttet plass underveis. Det opplyses at Politidirektoratet gjennomfører en konsekvensanalyse av dette.
5 Datatilsynets vurdering
Klagen knytter seg til vedtakets pålegg nr. 2 som lyder som følger:
”Virksomheten må dokumentere det rettslige grunnlaget for behandlingen, jf. personopplysningslovens § 11, samt §§ 8 og 9. Virksomheten må også dokumentere at det faktisk er nødvendig og relevant for formålet med behandlingen at det blir tatt bilder av alle som passerer og ikke kun de som kjører for fort. Det vises til kontrollrapportens 5.1.2.”
Pålegget innebærer at Statens vegvesen må kunne dokumentere at innhentingen av personopplysninger i forbindelse med strekningsvis ATK har et gyldig behandlingsgrunnlag, jf. personopplysningsloven § 11 første ledd bokstav a, jf. §§ 8 og 9. Pålegget innebærer også at Statens vegvesen må dokumentere at det er nødvendig å ta bilde av alle bilene som passerer strekningen, ikke bare de som har passert i for høy hastighet. Det vises i den sammenheng til lovens § 11 bokstav d som oppstiller et forbud mot å behandle personopplysninger som ikke er relevante for formålet med behandlingen. Formålet med behandlingen av personopplysninger er å identifisere fartssyndere.
Fra virksomhetens side er det anført at tiltaket har hjemmel i lov. Det er anført at vegtrafikkloven §§ 5 tredje ledd og 10 gir hjemmel til å behandle personopplysninger i forbindelse med SATK. Det er fra virksomhetens side vist til at både Justisdepartementet og Samferdselsdepartementet har konkludert med at punktvis automatisk trafikkontroll (ATK) og SATK har et hjemmelgrunnlag etter disse bestemmelsene.
Vegtrafikkloven § 5 tredje ledd gir Statens vegvesen hjemmel til å sette opp utstyr for kontroll av trafikk på privat og offentlig eiendom. Videre slås det fast at eiere av privat eiendom har krav på erstatning, fastsatt ved skjønn, dersom slikt utstyr settes opp på deres eiendom. Lovens § 10 pålegger førere av kjøretøy en plikt til straks å stanse for kontroll, samt straks etterkomme påbud gitt med hjemmel i denne lov.
Datatilsynet er av den klare oppfatning at disse bestemmelsene ikke kan tjene som behandlingsgrunnlag for å behandle sensitive personopplysninger. Ordlyden omhandler ikke et tiltak som innebærer automatisk registrering av personopplysninger, men gir som påpekt veimyndighetene hjemmel til å sette opp veikantutstyr og trafikantene en plikt til å stoppe ved manuelle kontroller. Fra Statens vegvesens side er det presisert at tredje ledd i § 5 ble tilføyd nettopp for at utplassering av det nødvendige utstyret for å gjennomføre ATK skulle være rettslig forankret, og at bestemmelsen således vil kunne hjemle innhentingen og den videre behandling av personopplysninger. Til det vil Datatilsynet bemerke at kravet om lovgrunnlag innebærer at hjemmelsbestemmelsenes ordlyd eksplisitt, eller forutsetningsvis konkret omhandler behandlingen av personopplysninger. Videre bemerkes det at det fremgår av forarbeidene til personopplysningsloven at kravene som stilles til hvor konkret et lovgrunnlag må være er relativt, i den forstand at kravene til konkretisering skjerpes jo mer personverninngripende behandlingen er, jf. Ot.prp. nr. 92 (1998-99). I denne sammenheng behandles det sensitive personopplysninger som kan gi grunnlag for straffeforfølgning. En bestemmelse som gir den behandlingsansvarlige virksomheten adgang til montere opp utstyr i veikanten, bør da ikke kunne tjene som et rettslig grunnlag.
Tilsynet har sett hen til de vurderinger som er gjort av henholdsvis Justisdepartementet og Samferdselsdepartementet ved vurderingen av hjemmelsspørsmålet i forbindelse med ATK og SATK. Justisdepartementet bemerker i et brev til Samferdselsdepartementet, datert 17. juni 2008 at ingen av de øvrige kontrollmetodene som benyttes i trafikken er hjemlet i egne hjemmelsbestemmelser. Tilsynet kan ikke se at dette momentet kan tilsi at det kan gjøres unntak fra kravet om et behandlingsgrunnlag etter personopplysningsloven.
Når det gjelder Datatilsynets krav om at det må dokumenteres at det er nødvendig å fotografere alle førerne, ikke bare de som har passert strekningen i for høy hastighet, har Statens vegvesen anført at det er nødvendig å ta bilder av kjøretøyet og sjåføren ved begge registreringspunktene for å kunne dokumentere at det var samme person som var sjåfør under hele strekningen. Datatilsynet kan ikke se at det er en særlig praktisk problemstilling. Det vurderes som lite sannsynlig at Statens vegvesen vil bli møtt med påstander om at det ble foretatt et bytte av sjåfør mellom de to kontrollpunktene når det er målt en gjennomsnittshastighet over fartsgrensen.
Det er videre opplyst at Statens vegvesen har bedt Politidirektoratet om å vurdere konsekvensene av en løsning som innebærer at det først tas et bilde etter at strekningen er passert og det er konstatert at et kjøretøy har holdt for høy hastighet. Datatilsynet har ikke fått opplysninger om hvorvidt dette arbeidet er avsluttet eller når resultatet av direktoratets vurderinger kan ventes å foreligge.
Å fotografere sjåfører som har overholdt fartsgrensene innebærer etter tilsynets vurdering at det behandles overskuddsinformasjon som ikke er relevant for å oppnå det angitte formålet. Dette er i strid med grunnkravet i personopplysningslovens § 11 bokstav d, og prinsippet om at den behandlingsansvarlige bør velge personvernfremmende løsninger der dette vil være mulig uten at den ønskede effekten av et tiltak forringes. Sett fra et personvernperspektiv er det er nettopp det forhold at det behandles personopplysninger om alle som passerer kontrollstrekningen, også de sjåfører som overholder fartsgrensene, som skiller SATK fra tradisjonell ATK, der kun fartsovertrederne registreres. Datatilsynet har fått opplyst fra Statens vegvesen at en slik løsning som tilsynet har skissert, fotografering av lovovertrederne og bare disse, er valgt i et annet europeisk land. Det legges derfor til grunn at en slik løsning lar seg gjennomføre teknisk uten at det går utover kvaliteten til opplysningene som innhentes eller at deres verdi som bevis forspilles.
Datatilsynet kan ikke se at det fremkommer opplysninger eller rettslige holdepunkter i klagen som gir grunnlag for å omgjøre vedtaket.
6 Personvernnemndas merknader
I denne saken må Personvernnemnda vurdere behandlingsgrunnlag for SATK. Elektronisk behandling av personopplysninger er kun tillatt dersom den behandlingsansvarlige har et behandlingsgrunnlag. Det følger av personopplysningsloven § 11, første ledd bokstav a, jf §§ 8 og 9. Deler av opplysningene som behandles i forbindelse med SATK faller inn under definisjonen av sensitive personopplysninger, jf § 2, første ledd nr 8 bokstav b. For de deler av behandlingen som ikke gjelder sensitive opplysninger, må vilkårene i § 8 være oppfylt. Behandling av sensitive personopplysninger krever at vilkårene i både § 8 og § 9 er oppfylt.
Behandlingsgrunnlag i denne saken anføres å være lov. Vegdirektoratet hevder at det har lovhjemmel for å sette opp slikt utstyr og foreta kontroll, jf vegtrafikkloven § 5, tredje ledd, jf § 10, hvor det fremgår at ”vedkommende myndighet har rett til å sette opp utstyr for kontroll av trafikk”. Bakgrunnen for bestemmelsen i § 5, tredje ledd var innføring av ATK (fotobokser langs veien).
Personvernnemnda er enig i at vegtrafikkloven § 5, tredje ledd må anses for å gi hjemmel for registreringen. Selv om selve registreringen ikke er eksplisitt nevnt i lovbestemmelsen, må det etter nemndas mening tolkes inn under passusen ”for kontroll av trafikk”. Dette følger også av formålet med og intensjon bak lovbestemmelsen, samt praktiseringen av denne for ATK. Klager har således lovhjemmel som behandlingsgrunnlag.
Spørsmålet er så hvorvidt hjemmelen (behandlingsgrunnlaget) omfatter bildetaking av alle biler (inkludert fører og eventuelle passasjerer i forsetet) i både punkt A og B, eller om det må tolkes inn begrensninger i lovhjemmelen. Etter nemndas mening må det være opp til den behandlingsansvarlige som har hjemmelen å tolke og gjennomføre den slik at man får gjort den kontrollen som man har hjemmel til å gjennomføre. Klager har skissert at det skal settes opp to fotobokser, én i punkt A og én i punkt B. Det tas bilde av alle biler (med fører og eventuelle passasjerer i forsetet) i begge punkt. Bildene av de kjøretøy som ikke har passert i for høy hastighet slettes imidlertid umiddelbart etter passering av punkt B (eller etter et satt tidspunkt dersom bilen ikke passerer punkt B), uten at noen ser igjennom bildene manuelt. Slik nemnda har oppfattet faktum er dette en fullstendig automatisert prosess. Bildene av fører og forsetepassasjer i kjøretøy som passerer i lovlig hastighet, blir således aldri lagret og følgelig er de heller ikke personopplysninger. Nemnda viser til sak PVN-2005-12 hvor nemnda la til grunn at det er først hvis opptaket avspilles at man – typisk ved gjenkjenning – kan identifisere passasjerer og slik knytte opplysningene til enkeltpersoner:
Ved overvåkingen lagres bilder av passasjerene. Et fotografi av en person vil nødvendigvis gi opplysninger om denne personen. Disse opplysningene vil også kunne omfatte opplysninger som etter personopplysningsloven § 2 nr 8 litra a er kategorisert som ”sensitive” – typisk ”rasemessig eller etnisk bakgrunn” eller ”religiøs oppfatning” – implisert av utseende, klesdrakt eller lignende. Fotografiet kan også gi opplysninger om en persons ”helseforhold”, jfr personopplysningsloven § 2 nr 8 litra c, f eks ved bandasjer, synlige sår mv.
For at opplysningene skal være personopplysninger etter personopplysningsloven § 2 nr 1, må opplysningene kunne knyttes til enkeltpersoner. For fotografi eller billedopptak er det, slik Personvernnemnda ser det, generelt sett fire måter dette kan skje på:
- Den enkleste måten er at fotografiet av personen gjenkjennes, dvs at en person betrakter bildet og gjenkjenner personen basert på egne minner eller et fotografi mv som brukes til sammenligning.
- Det kan også være at fotografiet i tillegg til person også avbilder et identifiserende element, f eks ved at vedkommende bærer eller sitter på en plass markert med navneskilt.
- Samtidig med opptaket kan det registreres identifiserende elementer ved et annet delsystem. Dette skjer f eks i en minibank der opptaket skjer samtidig med at kunden foretar en transaksjon hvor kunden identifiserer seg. Ved sammenligning av klokkeslett for opptak og transaksjon, kan dermed bildet knyttes til en enkeltperson.
- Endelig kan man tenke seg bruk av metoder for identifikasjon ved hjelp av datamaskinbaserte metoder for gjenkjenning av ansiktsgeometri eller lignende. Personvernnemnda er ikke kjent med at slike metoder brukes her i landet.
Dette betyr at det automatiske opptaket som lagres på den låste magnetplatestasjonen i bussen, isolert sett ikke inneholder personopplysninger i personopplysningslovens forstand. Det finnes opplysninger om personer på opptaket, men disse er (ennå) ikke knyttet til identifiserbare enkeltpersoner. Det er først hvis opptaket avspilles at man – typisk ved gjenkjenning – kan identifisere passasjerer og slik knytte opplysningene til enkeltpersoner.
Når det gjelder avbildingen av forsetepassasjer i kjøretøy som passerer i for høy hastighet, legger nemnda til grunn at det i samband med innføring av ATK ble uttalt at:
”Komiteen finner at personvernhensynet vil bli ivaretatt med faste regler for svartsladding av kjøretøyets passasjerside”, jf. Innst S nr 97 (1986-87), side 14.
Registreringen som foretas i den løsningen som er valgt synes således saklig begrunnet og formålstjenlig. Det ligger innenfor handlingsrommet å velge en løsning som fremstår som saklig begrunnet, forholdsmessig og formålstjenlig. Nemnda legger også vekt på at registreringen som foretas i punkt A ikke er registrering av sensitive opplysninger og det foreligger følgelig ikke samme krav til behandlingsgrunnlag eller til å påvise et behov for fotografering av fører og forsetepassasjer på dette punkt. Det er først i pkt B det registreres sensitive opplysninger – det vil si at man er mistenkt for å ha kjørt for fort, noe som er en trafikkforseelse og derved en straffbar handling, jf personopplysningsloven § 2 nr 8 bokstav b.
Nemnda er kommet til at klager har rettslig grunnlag for fotografering av biler som passerer punkt A og B, men at lagring og videre behandling av data kun skjer for kjøretøy som kjører for fort.
7 Vedtak
Klagen tas til følge.
Oslo, 8. mars 2011
Olav Torvund
Vararepresentant for leder