Journalnummer: 2023-41-0014.
Resumé
Datatilsynet førte i 2023 tilsyn med parkeringsselskabers brug af tv-overvågning (kamerateknologi) i forbindelse med udstedelse af parkeringsafgifter. Baggrunden for dette fokusområde var, at flere borgere havde klaget til tilsynet over forskellige parkeringsselskabers behandling af deres personoplysninger.
Datatilsynet udvalgte tre større parkeringsselskaber og undersøgte hovedsagelig spørgsmålet om selskabernes overholdelse af oplysningspligten, når der udstedes en parkeringsafgift ved brug af kamerateknologi.
Kritik af to parkeringsselskaber
Datatilsynet udtalte kritik af to selskaber, da selskaberne ikke oplyste de registrerede (parkanterne) om behandlingen af deres personoplysninger ved opkrævningen af parkeringsafgifter.
Datatilsynet lagde vægt på, at selskaberne ikke oplyste parkanterne om behandlingen af deres personoplysninger, og fastslog, at denne information skulle gives senest ved udstedelsen af parkeringsafgiften.
Det er Datatilsynet opfattelse, at den dataansvarlige skal tage aktive skridt for at opfylde oplysningspligten. Det er dermed ikke nok at have oplysningerne liggende på en hjemmeside.
Proceduren hos ét selskab levede op til reglerne
Datatilsynet konkluderede, at et selskab opfyldte sin oplysningspligt ved at linke til selskabets persondatapolitik i deres betalingspåkrav. Derved var den registrerede (parkanten), rettidigt, informeret om behandlingen af dennes personoplysninger.
Tilsyn med Avantpark – Parking Solutions Danmark ApS
Datatilsynet førte i 2023 tilsyn med en række parkeringsselskabers brug af tv-overvågning i forbindelse med udstedelse af parkeringsafgifter.
Baggrunden for udvælgelsen af dette fokusområde i 2023 var, at flere borgere havde klaget til Datatilsynet over forskellige parkeringsselskabers behandling af deres personoplysninger.
Datatilsynet har overordnet forstået klagerne således, at de pågældende forud for modtagelse af en parkeringsafgift ikke var bekendt med, at parkeringsområdet var tv-overvåget, eller var af den opfattelse, at tv-overvågningen var opsat til brug for kriminalitetsbekæmpelse. Derudover fremgik det af klagerne, at de registrerede ikke havde fået tilstrækkelige oplysninger om behandlingen af deres personoplysninger ved modtagelse af en parkeringsafgift.
Datatilsynet besluttede på den baggrund at indlede et generelt tilsyn overfor en række parkeringsselskaber med etablering i Danmark med det overordnede formål at undersøge dels, om parkeringsselskaber eventuelt anvender tv-overvågning opsat i kriminalitetsforebyggende øjemed til udstedelse af parkeringsafgifter, og dels om selskaberne iagttager oplysningspligten efter databeskyttelsesforordningens[1] artikel 14 i forbindelse med udstedelse af parkeringsafgifter ved brug af tv-overvågning (kamerateknologi).
Blandt de udvalgte selskaber var Avantpark - Parking Solutions Danmark ApS (herefter “Avantpark”).
1. Afgørelse
Efter en gennemgang af sagens materiale, finder Datatilsynet, at Avantpark - Parking Solutions Danmark ApS ikke iagttager oplysningspligten efter databeskyttelsesforordningens artikel 14 i forbindelse med udstedelse af parkeringsafgifter, hvilket givet Datatilsynet grundlag for at udtale kritik.
2. Sagsfremstilling
Ved brev af 9. juni 2023 oplyste Datatilsynet over for Avantpark, at selskabet var udvalgt til tilsyn, og anmodede samtidig Avantpark om at besvare en række spørgsmål.
Avantpark er fremkommet med udtalelser til sagen den 23. juni, 26. juli, 20. september og 9. november 2023. Avantpark har derudover sendt eksempler på de skilte, der er placeret på parkeringsanlæggene, samt et betalingspåkrav og rykkerskrivelser foruden den tekst, som bilisterne kan se ved brug af en QR-kode.
2.1.
Avantpark har oplyst, at selskabet gør brug af ANPR-kamerateknologi (nummerpladescanner teknologi) i forbindelse med udstedelse af parkeringsafgifter. Der anvendes ikke tv-overvågning.
Avantpark har yderligere oplyst, at selskabet i forbindelse med, at en bil kører ind og ud af parkeringspladsen, behandler oplysninger i form af bl.a. et billede af køretøjet og dets nummerplade, samt dato og klokkeslæt for ind- og udkørsel. Hvis der ikke sker korrekt betaling, behandles oplysninger indhentet fra Motorstyrelsen, herunder navn og adresse på den registrerede ejer og den primære bruger af køretøjet, samt en række oplysninger om køretøjet.
Formålet med behandlingen er bl.a. at kunne håndhæve eventuelle overtrædelser af parkeringsvilkårene og at kunne levere en effektiv kunde- og parkantservice.
Avantpark har anført, at oplysningspligten efterleves ved, at bilisterne ved meget synlige skilte ved indgangen til alle parkeringspladser kan få adgang til Avantparks fulde privatlivspolitik ved at scanne en QR-kode, der vises på skiltene. Alternativt kan privatlivspolitikken tilgås direkte på Avantparks hjemmeside.
Avantpark har anført, at selskabet i betalingspåkravene gør klart opmærksom på, at reglerne og betingelserne tydeligt er skiltet på parkeringspladsen samt ved alle indkørsler til parkeringsområdet, og at parkanterne ved at benytte parkeringsområdet har accepteret de opslåede parkeringsbetingelser.
2.2.
Avantpark har vedlagt et eksempel på et skilt, hvoraf det fremgår, at der foretages automatisk nummerpladescanning på området. På skiltet henvises der endvidere til selskabets privatlivspolitik, som også er tilgængelig via en QR-kode, med følgende tekst:
”Se øvrige ”Vilkår og betingelser for parkering” og hvorledes persondatabehandling udføres jf. EU-forordning nr. 2016/679 af 27. april 2016 på www.avantpark.dk/vob1”.
Følgende tekst fremgår af det vedlagte eksempel på et betalingspåkrav:
”Bemærk venligst, at reglerne og betingelserne er tydeligt skiltet på parkeringspladsen samt ved alle indkørsler til det pågældende område. Ved at køre ind på det private parkeringsområde har du således accepteret de regler og betingelser, der gælder for området”.
Derudover fremgår det af betalingspåkravet, at Avantpark via selskabets elektroniske nummerpladescannere har konstateret, at parkanten har overtrådt parkeringsregler i det private parkeringsområde.
Af Avantparks privatlivspolitik, der er tilgængelig på selskabets hjemmeside, findes nærmere oplysninger om selskabets behandling af personoplysninger, herunder oplysninger om at billeder af køretøjer og nummerplader optages via nummerpladescannere og/eller personale på stedet.
3. Begrundelse for Datatilsynets afgørelse
3.1.
På baggrund af det af Avantpark oplyste lægger Datatilsynet til grund, at Avantpark alene anvender ANPR-kamerateknologi til drift af de pågældende parkeringsområder, og at der således ikke på områderne er opsat tv-overvågning i kriminalitetsforebyggende øjemed, som Avantpark er dataansvarlig for.
3.2.
Det følger af databeskyttelsesforordningens artikel 14, at hvis personoplysninger ikke er indsamlet hos den registrerede, giver den dataansvarlige den registrerede en række oplysninger, som fremgår af bestemmelsens stk. 1, litra a-f, og de oplysninger i henhold til bestemmelsens stk. 2, litra a-g, der er nødvendige for at sikre en rimelig og gennemsigtig behandling.
Den dataansvarlige skal inden for en rimelig frist efter indsamlingen af personoplysningerne give den registrerede de pågældende oplysninger, men senest inden for en måned under hensyn til de specifikke forhold, som personoplysningerne er behandlet under, jf. artikel 14, stk. 3, litra a.
Hvis personoplysningerne skal bruges til at kommunikere med den registrerede, skal den dataansvarlige give oplysningerne senest på tidspunktet for den første kommunikation med den registrerede, jf. artikel 14, stk. 3, litra b.
Ifølge Datatilsynets Vejledning om de registreredes rettigheder skal den dataansvarlige tage aktive skridt til at give den registrerede de pågældende oplysninger. Det er Datatilsynets opfattelse, at det, derfor ikke vil være tilstrækkeligt at have oplysningerne liggende på en hjemmeside eller lignende, som den registrerede selv skal finde[2].
Hvis og i det omfang det viser sig umulig eller vil kræve en uforholdsmæssigt stor indsats at give den registrerede oplysningerne, følger det imidlertid af databeskyttelsesforordningens artikel 14, stk. 5, litra b, at ovenstående bestemmelser ikke finder anvendelse. I sådanne tilfælde træffer den dataansvarlige passende foranstaltninger for at beskytte den registreredes rettigheder samt legitime interesser, herunder ved at gøre oplysningerne offentligt tilgængelige.
3.3.
Da der ved parkering på et parkeringsområde ikke vil være en dialog mellem den registrerede og Avantpark som dataansvarlig, vil det efter Datatilsynets opfattelse generelt kræve en uforholdsmæssigt stor indsats at give oplysningerne efter databeskyttelsesforordningens artikel 14 til alle parkanter. I sådanne tilfælde skal dataansvarlige imidlertid træffe passende foranstaltninger for at beskytte den registreredes rettigheder samt legitime interesser, herunder ved at gøre oplysningerne offentligt tilgængelige.
Datatilsynet lægger i den forbindelse til grund, at Avantpark informerer om sin behandling af personoplysninger via skilte på parkeringsområdet, hvor bilisterne kan få adgang til Avantparks privatlivspolitik ved at scanne en QR-kode eller ved selv at tilgå denne på selskabets hjemmeside. Endvidere lægges det til grund, at det fremgår af skiltningen, at der sker automatisk nummerpladescanning.
Ved udstedelse af en parkeringsafgift, som forudsætter en dialog med parkanten, gør ovenstående ressourcemæssige hensyn sig imidlertid ikke gældende.
Datatilsynet finder på den baggrund, at Avantpark senest i forbindelse med udstedelse af en parkeringsafgift skal iagttage oplysningspligten efter databeskyttelsesforordningens artikel 14 overfor den registrerede (parkanten).
Datatilsynet kan imidlertid på baggrund af det fremsendte eksempel på et betalingspåkrav konstatere, at det ikke er tilfældet. Datatilsynet har herved lagt vægt på, at det alene fremgår af brevet til parkanten, at de relevante regler og betingelser fremgår af skiltning, og at disse er accepteret ved brug af området, ligesom det alene fremgår, at Avantpark via selskabets elektroniske nummerpladescannere har konstateret, at parkanten har overtrådt parkeringsregler i det private parkeringsområde.
For så vidt angår den måde, som underretningen af de registrerede ved udstedelse af en parkeringsafgift skal ske på, finder Datatilsynet, at en løsning, hvor informationerne (privatlivspolitikken) alene er tilgængelig på Avantparks hjemmeside eller via en QR-kode på skilte på parkeringsområderne, ikke lever op til kravet om, at den dataansvarlige aktivt giver informationerne til den registrerede, jf. databeskyttelsesforordningens artikel 14.
På den baggrund finder Datatilsynet, at Avantpark ikke iagttager oplysningspligten efter databeskyttelsesforordningens artikel 14 overfor de registrerede i forbindelse med udstedelse af parkeringsafgifter, hvilket giver tilsynet anledning til at udtale kritik.
Datatilsynet bemærker, at tilsynet ikke har taget stilling til, om Avantparks privatlivspolitik i øvrigt indeholder de oplysninger, som fremgår af databeskyttelsesforordningens artikel 14.
Datatilsynet forudsætter, at Avantpark indretter sig efter ovenstående.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)
[2] Datatilsynets Vejledning om de registreredes rettigheder, juli 2018, afsnit 3.2, s. 14.