Journalnummer: 2022-32-2939
Resume
Datatilsynet modtog i 1. halvår af 2022 en række henvendelser fra borgere, som var utilfredse med, at Rigspolitiet havde videregivet oplysninger om, at de havde modtaget en fartbøde til Aalborg Universitet til brug for forskningsprojektet Intervention Against Speed Offenders (EASE).
Forskningsprojektet EASE handler om at forebygge hastighedsovertrædelser i trafikken og skal vise, om bilister får færre fartbøder, hvis de efter at have fået en fartbøde gennemgår en onlinelæring om trafiksikkerhed. Projektet er et samarbejde mellem Aalborg Universitet, Danmarks Tekniske Universitet og Rigspolitiet og løber i perioden fra 1. november 2019 til 1. april 2024.
En af henvendelserne til Datatilsynet var fra en borger, der havde gjort indsigelse mod bødeforlægget og afventede domstolenes behandling af sagen.
Datatilsynet fandt – efter sagen var blevet behandlet i Datarådet – ikke grundlag for at tilsidesætte Rigspolitiets vurdering af, at Rigspolitiet kunne videregive oplysninger om bilisters overtrædelse af færdselsloven til Aalborg Universitet til brug for forskningsprojektet i medfør af databeskyttelseslovens § 10, stk. 1.
Bødesager under behandling måtte ikke videregives
Datatilsynet fandt imidlertid grundlag for at udtale alvorlig kritik af, at Rigspolitiets videregivelse ikke var sket i overensstemmelse med principperne om formålsbegrænsning og dataminimering, da Rigspolitiets videregivelse ikke var sket til et sagligt og relevant formål.
Datatilsynet lagde i den forbindelse vægt på, at det på tidspunktet for Rigspolitiets videregivelse fortsat må anses for at have haft formodningen imod sig, at den pågældende borger havde overtrådt færdselsloven, indtil sagen er blevet afgjort ved domstolene, og at forskningsprojektets målgruppe efter Datatilsynets opfattelse var personer, der har overtrådt færdselsloven.
Datatilsynet fandt endvidere grundlag for at meddele Rigspolitiet påbud om at ophøre med at videregive oplysninger til Aalborg Universitet om borgere, der har modtaget en fartbøde, hvor vedkommende har gjort indsigelse mod bødeforlægget, og sagen endnu ikke er afgjort ved domstolene.
Rigspolitiet har efterfølgende oplyst til Datatilsynet, at Rigspolitiet øjeblikkeligt agter at efterleve tilsynets påbud, og at der ikke videregivet yderligere oplysninger siden september 2022.
Derudover har Rigspolitiet anmodet Aalborg Universitet om at slette den pågældende borgers oplysninger, ligesom Rigspolitiet har fundet anledning til at undersøge om andre borgeres data er blevet videregivet til forskningsprojektet, hvor borgeren ikke er omfattet af rammen for projektet.
Afgørelse
Efter en gennemgang af sagen – og efter at sagen har været forelagt Datarådet – finder Datatilsynet, at der er grundlag for at udtale alvorlig kritik af, at Rigspolitiets videregivelse af personoplysninger ikke er sket i overensstemmelse med databeskyttelsesforordningens[1] artikel 5, stk. 1, litra b og c.
Derudover finder Datatilsynet, at der er grundlag for at meddele Rigspolitiet påbud om at ophøre med at videregive oplysninger til Aalborg Universitet om personer, der har modtaget et bødeforlæg for overtrædelse af færdselsloven, hvor vedkommende har gjort indsigelse mod bødeforelægget, og sagen endnu ikke er afgjort ved domstolene.
Påbuddet meddeles i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra d.
Datatilsynet skal anmode om en bekræftelse på, at Rigspolitiet agter at efterleve påbuddet senest onsdag den 22. marts 2023.
Ifølge databeskyttelseslovens § 41, stk. 2, nr. 5, straffes med bøde eller fængsel i op til 6 måneder den, der undlader at efterkomme et påbud meddelt af Datatilsynet i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra d.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
1. Sagsfremstilling
Det fremgår af sagen, at klager i september 2021 modtog et bødeforlæg fra politiet for at have overtrådt færdselsloven. Da klager var uenig i at have overtrådt den lokale fartbegrænsning, gjorde klager indsigelse mod bødeforlægget.
Rigspolitiet videregav i januar 2022 oplysninger om, at klager havde modtaget det omhandlede bødeforlæg til Aalborg Universitet. Aalborg Universitet henvendte sig efterfølgende til klager med en invitation til at deltage i forskningsprojektet Intervention Against Speed Offenders (EASE).
Forskningsprojektet handler om at forebygge hastighedsovertrædelser i trafikken og skal vise, om bilister får færre fartbøder, hvis de efter at have fået en fartbøde gennemgår en onlinelæring om trafiksikkerhed. Målet er at klarlægge, om et sådant forløb kan give større forståelse for hastighedens betydning for trafiksikkerheden og større respekt for hastighedsgrænserne. Der er tale om et frivilligt forsøg, som kræver tilmelding, men de oplysninger som Aalborg Universitet har modtaget fra Rigspolitiet vil også blive brugt i statistiske undersøgelser.
Projektet, der er et samarbejde mellem Aalborg Universitet, Danmarks Tekniske Universitet og Rigspolitiet, løber i perioden fra 1. november 2019 til 1. april 2024.
1.1. Klagers bemærkninger
Klager har overordnet anført, at Rigspolitiet har videregivet oplysninger om, at klager har modtaget et bødeforlæg for overtrædelse af færdselsloven, inden retten har haft anledning til at tage stilling til skyldsspørgsmålet. At oplysningen er videregivet til forskningsformål berettiger efter klagers opfattelse ikke, at oplysningen kan videregives, før validiteten af lovovertrædelsen er konfirmeret.
Klager har endvidere anført, at Rigspolitiet har mulighed for at skelne mellem bilister, som har vedtaget bøden og bilister, som har klaget over bøden. Det er derfor klagers opfattelse, at det ikke var nødvendigt at videregive oplysninger om klager til Aalborg Universitet. Klager henviser i sine bemærkninger til en intern korrespondance i Rigspolitiet, som klager har fået aktindsigt i. Det fremgår heraf, at der videregives oplysninger om bilister, der har modtaget en bødeforlæg med afgørelsestype 21 i Politiets Sagsstyringssystem (POLSAS). Afgørelsestype 21 anvendes, når der udsendes bødeforlæg. Afgørelsestypen ændres imidlertid i POLSAS, når borgeren vedtager bøden, eller når borgeren ikke vedtager bøden, og retten træffer afgørelse.
1.2. Rigspolitiets bemærkninger
Rigspolitiet har overordnet anført, at Rigspolitiet i medfør af databeskyttelseslovens § 10, stk. 1, har videregivet – og fortsat videregiver – oplysninger om personer, der er sigtet i en automatik trafikkontrol (ATK) til Aalborg Universitet, idet oplysningerne er nødvendige af hensyn til videnskabelige undersøgelser af væsentlig samfundsmæssig betydning. Oplysningerne videregives i månedlige lister i projektets driftsperiode.
Rigspolitiet har endvidere oplyst, at det er nødvendigt at videregive oplysninger om disse personer til Aalborg Universitet med henblik på, at universitetet kan identificere og invitere de relevante personer til at deltage i projektet.
Idet klager på tidspunktet for dataudtrækket i januar 2022 var registreret som sigtet for overtrædelse af færdselsloven i POLSAS, indgik oplysninger om klager i dataudtrækket med registreringer, hvor gerningstidspunktet var i september 2021.
Rigspolitiet har endvidere om nødvendigheden af videregivelsen oplyst, at Aalborg Universitet over for Rigspolitiet har erklæret, at oplysningerne er nødvendige for at kunne invitere bilister, der har fået en fartbøde, til at deltage i projektet. Derudover har Aalborg Universitet erklæret, at der ikke behandles flere oplysninger, end hvad der er nødvendigt af hensyn til udførelsen af den konkrete forskning, og at eventuelle oplysninger, der ikke er nødvendige, hurtigst muligt bliver slettet eller tilbageleveres.
Om rigtigheden af oplysningerne har Rigspolitiet oplyst, at det er Rigspolitiets vurdering, at oplysningerne er korrekte i forhold til de formål, hvortil de er videregivet.
Rigspolitiet fremsender dataudtrækkene fra POLSAS til Aalborg Universitet med oplysninger om personer, der står sigtet i ATK-sager, og som er registreret med en bestemt afgørelsestype. Den pågældende afgørelsestype anvendes, når der udsendes bødeforelæg.
Sager med bødeforlæg afgøres først ved borgerens vedtagelse af bøden, eller når retten træffer afgørelse i sagen, i de tilfælde hvor borgeren ikke vedtager bøden.
Det er imidlertid uden betydning for Rigspolitiets videregivelse af personoplysninger, at klager ikke har vedtaget bøden, og at forholdet skal afgøres i retten, idet der videregives oplysninger om alle personer, der er sigtet i en ATK, og som har modtaget et bødeforlæg. Videregivelsen er således ikke begrænset til oplysninger om personer, der har vedtaget en bøde, eller hvor retten har truffet afgørelse.
Afslutningsvis har Rigspolitiet oplyst, at Rigspolitiet og Aalborg Universitet har modtaget flere henvendelser fra borgere, som har modtaget en invitation til deltagelse i forskningsprojektet. Borgerne har oplyst, at de finder projektets titel ”EASE Intervention mod fartsyndere” stødende og/eller grænseoverskridende, f.eks. fordi der har været tale om en mindre hastighedsovertrædelse, eller fordi de ikke ønsker at vedtage bøden. Rigspolitiet har taget disse henvendelser til efterretning og vil fremadrettet være mere opmærksom på titler på forskningsprojekter, og hvordan borgere kan opleve at modtage sådanne invitationer til deltage i forskningsprojekter.
2. Begrundelse for Datatilsynets afgørelse
Det følger af databeskyttelseslovens § 10, at oplysninger om strafbare forhold må behandles, hvis dette alene sker med henblik på at udføre statistiske eller videnskabelige undersøgelser af væsentlig samfundsmæssig betydning, og hvis behandlingen er nødvendig af hensyn til udførelsen af undersøgelserne.
Behandlingen forudsætter endvidere at databeskyttelsesreglerne i øvrigt overholdes, herunder at de grundlæggende principper i databeskyttelsesforordningens artikel 5 overholdes.
Af databeskyttelsesforordningens artikel 5, stk. 1, litra b, fremgår, at personoplysninger skal indsamles til udtrykkeligt angivne og legitime formål og må ikke viderebehandles på en måde, der er uforenelige med disse formål; viderebehandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, skal ikke anses for at være uforenelige med de oprindelige formål.
Af databeskyttelsesforordningens artikel 5, stk. 1, litra c, fremgår, at personoplysninger skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles.
Datatilsynet finder, at der ikke er grundlag for at tilsidesætte Rigspolitiets vurdering af, at Rigspolitiet i medfør af databeskyttelseslovens § 10, stk. 1 kan videregive oplysninger til Aalborg Universitet til brug for forskningsprojektet EASE.
Datatilsynet har herved navnlig lagt vægt på, at oplysningerne om bilisters overtrædelse af færdselslovens hastighedsbestemmelser er nødvendige for, at Aalborg Universitet kan invitere relevante personer til at deltage i forskningsprojektet, som har til formål at forebygge hastighedsovertrædelser i trafikken og vise, om personerne får færre fartbøder, hvis de efter at have fået en fartbøde gennemgår en onlinelæring om trafiksikkerhed.
Datatilsynet finder imidlertid, at Rigspolitiets videregivelse af klagers personoplysninger ikke er sket i overensstemmelse med databeskyttelsesforordningens artikel 5, stk. 1, litra b og c.
Datatilsynet har navnlig lagt vægt på, at klager på tidspunktet for Rigspolitiets videregivelse af oplysningerne havde gjort indsigelse mod bødeforlægget og afventede domstolenes behandling af sagen, og at formålet med Aalborg Universitets behandling af personoplysninger var og er at kunne invitere bilister til at deltage i et forskningsprojekt, som har til formål at forebygge hastighedsovertrædelser i trafikken ved at undersøge om bilister får færre fartbøder, hvis de efter at have fået en fartbøde gennemgår en onlinelæring om trafiksikkerhed.
Det er herefter Datatilsynets vurdering, at Rigspolitiets videregivelse af oplysninger om klager til Aalborg Universitet ikke er sket til et sagligt og relevant formål, idet det på tidspunktet for Rigspolitiets videregivelse af klagers personoplysninger fortsat må anses for at have haft formodningen imod sig, at klager har overtrådt færdselsloven, indtil sagen er blevet afgjort ved domstolene, og at forskningsprojektets målgruppe – efter Datatilsynets opfattelse – er personer, der har overtrådt færdselsloven.
Datatilsynet finder på den baggrund, at der er grundlag for at udtale alvorlig kritik af, at Rigspolitiets videregivelse af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 5, stk. 1, litra b og c.
Datatilsynet finder endvidere grundlag for at påbyde Rigspolitiet at ophøre med at videregive oplysninger til Aalborg Universitet om personer, der har modtaget et bødeforlæg for overtrædelse af færdselsloven, såfremt disse personer har gjort indsigelse mod bødeforelægget, og sagen endnu ikke er afgjort ved domstolene.
Påbuddet meddeles i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra d.
Datatilsynet skal anmode om en bekræftelse på, at Rigspolitiet agter at efterleve påbuddet senest den onsdag den 22. marts 2023.
Ifølge databeskyttelseslovens § 41, stk. 2, nr. 5, straffes med bøde eller fængsel i op til 6 måneder den, der undlader at efterkomme et påbud meddelt af Datatilsynet i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra d.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).