Journalnummer: 2023-41-0013.
Resumé
Datatilsynet førte i 2023 tilsyn med parkeringsselskabers brug af tv-overvågning (kamerateknologi) i forbindelse med udstedelse af parkeringsafgifter. Baggrunden for dette fokusområde var, at flere borgere havde klaget til tilsynet over forskellige parkeringsselskabers behandling af deres personoplysninger.
Datatilsynet udvalgte tre større parkeringsselskaber og undersøgte hovedsagelig spørgsmålet om selskabernes overholdelse af oplysningspligten, når der udstedes en parkeringsafgift ved brug af kamerateknologi.
Kritik af to parkeringsselskaber
Datatilsynet udtalte kritik af to selskaber, da selskaberne ikke oplyste de registrerede (parkanterne) om behandlingen af deres personoplysninger ved opkrævningen af parkeringsafgifter.
Datatilsynet lagde vægt på, at selskaberne ikke oplyste parkanterne om behandlingen af deres personoplysninger, og fastslog, at denne information skulle gives senest ved udstedelsen af parkeringsafgiften.
Det er Datatilsynet opfattelse, at den dataansvarlige skal tage aktive skridt for at opfylde oplysningspligten. Det er dermed ikke nok at have oplysningerne liggende på en hjemmeside.
Proceduren hos ét selskab levede op til reglerne
Datatilsynet konkluderede, at et selskab opfyldte sin oplysningspligt ved at linke til selskabets persondatapolitik i deres betalingspåkrav. Derved var den registrerede (parkanten), rettidigt, informeret om behandlingen af dennes personoplysninger.
Tilsyn med Oparko ApS
Datatilsynet førte i 2023 tilsyn med en række parkeringsselskabers brug af tv-overvågning i forbindelse med udstedelse af parkeringsafgifter.
Baggrunden for udvælgelsen af dette fokusområde i 2023 var, at flere borgere havde klaget til Datatilsynet over forskellige parkeringsselskabers behandling af deres personoplysninger.
Datatilsynet har overordnet forstået klagerne således, at de pågældende forud for modtagelse af en parkeringsafgift ikke var bekendt med, at parkeringsområdet var tv-overvåget, eller var af den opfattelse, at tv-overvågningen var opsat til brug for kriminalitetsbekæmpelse. Derudover fremgik det af klagerne, at de registrerede ikke havde fået tilstrækkelige oplysninger om behandlingen af deres personoplysninger ved modtagelse af en parkeringsafgift.
Datatilsynet besluttede på den baggrund at indlede et generelt tilsyn overfor en række parkeringsselskaber med etablering i Danmark med det overordnede formål at undersøge dels, om parkeringsselskaber eventuelt anvender tv-overvågning opsat i kriminalitetsforebyggende øjemed til udstedelse af parkeringsafgifter, og dels om selskaberne iagttager oplysningspligten efter databeskyttelsesforordningens[1] artikel 14 i forbindelse med udstedelse af parkeringsafgifter ved brug af tv-overvågning (kamerateknologi).
Blandt de udvalgte selskaber var Oparko ApS (tidligere Parkeringskompagniet ApS).
1. Afgørelse
Efter en gennemgang af sagens materiale, finder Datatilsynet, at Oparko ApS ikke iagttager oplysningspligten efter databeskyttelsesforordningens artikel 14 i forbindelse med udstedelse af parkeringsafgifter, hvilket giver Datatilsynet grundlag for at udtale kritik.
2. Sagsfremstilling
Ved brev af 9. juni 2023 oplyste Datatilsynet over for Oparko ApS (herefter Oparko), at selskabet var udvalgt til tilsyn, og anmodede samtidig Oparko om at besvare en række spørgsmål.
Oparko er fremkommet med udtalelser til sagen den 26. juni, 22. september og 1. november 2023. Oparko har derudover sendt et billede af et skilt opsat på et parkeringsanlæg samt et eksempel på et betalingspåkrav.
2.1.
Oparko har oplyst, at selskabet på sine største parkeringsområder benytter ANPR-kamerateknologi til at scanne bilers ind- og udkørsler, men at der ikke lagres optagelser af området. Når den anvendte software genkender en bil, gemmes et billede, som sendes til Oparkos server. Selskabet gemmer kun øjebliksbilleder, når der registreres en nummerplade. Der benyttes afskærmning på kameraerne for at undgå at optage offentlige vejområder.
Oparko har yderligere oplyst, at der i forbindelse med, at en bil kører ind og ud af parkeringsområdet, behandles oplysninger om bilens nummerplade, tidspunktet for ind- og udkørsel, samt et billede af bilen. Såfremt der ikke sker korrekt betaling, indhenter Oparko oplysninger fra DMR, herunder navn og adresse på bilens bruger.
Formålet med behandlingen af de omhandlede oplysninger er at administrere parkering og afgifter, sikre korrekt betaling og beskytte selskabets ejendom og kunder mod uretmæssig parkering samt opretholde sikkerhed.
Oparko har anført, at oplysningspligten efterleves ved, at bilisterne tydeligt bliver informeret om brugen af kamerateknologi ved hjælp af skiltning på stedet. Dette gøres både ved indkørslen og på parkeringsområdet. Endvidere har Oparko anført, at de registrerede kan finde oplysninger om Oparkos databehandling på Oparkos hjemmeside.
På skiltene fremgår linket til Oparkos hjemmeside (www.parkeringskompagniet.dk), hvor privatlivspolitikken (”datapolitik”) findes. For så vidt angår Oparkos betalingspåkrav oplyses bilisterne om, at Oparko har indhentet deres oplysninger fra Motorregistret.
Efter Oparkos opfattelse er selskabets skiltning og kontrolafgifter i overensstemmelse med branchestandarden.
2.2.
Datatilsynet har konstateret, at der af den af Oparkos fremsendte kopi af skiltningen og af det fremsendte eksempel på et betalingspåkrav hverken fremgår et direkte link eller henvisning til Oparko ApS’ privatlivspolitik.
Af den fremsendte kopi af et skilt fra et parkeringsområde fremgår det heller ikke, at der foretages automatisk aflæsning af bilens nummerplade (registreringsnummer) ved brug af kamera.
Endvidere har Datatilsynet konstateret, at det heller ikke fremgår af afsnittet om indsamling af personoplysninger i Oparkos privatlivspolitik, der er tilgængelig på Oparkos hjemmeside, at der indsamles personoplysninger fra et billede af køretøjet.
3. Begrundelse for Datatilsynets afgørelse
3.1.
På baggrund af det af Oparko oplyste lægger Datatilsynet til grund, at Oparko alene anvender ANPR-kamerateknologi til drift af de pågældende parkeringsområder, og at der således ikke er opsat tv-overvågning i kriminalitetsforebyggende øjemed, som Oparko er dataansvarlig for.
3.2.
Det følger af databeskyttelsesforordningens artikel 14, at hvis personoplysninger ikke er indsamlet hos den registrerede, giver den dataansvarlige den registrerede en række oplysninger, som fremgår af bestemmelsens stk. 1, litra a-f, og de oplysninger i henhold til bestemmelsens stk. 2, litra a-g, der er nødvendige for at sikre en rimelig og gennemsigtig behandling.
Den dataansvarlige skal inden for en rimelig frist efter indsamlingen af personoplysningerne give den registrerede de pågældende oplysninger, men senest inden for en måned under hensyn til de specifikke forhold, som personoplysningerne er behandlet under, jf. artikel 14, stk. 3, litra a.
Hvis personoplysningerne skal bruges til at kommunikere med den registrerede, skal den dataansvarlige give oplysningerne senest på tidspunktet for den første kommunikation med den registrerede, jf. artikel 14, stk. 3, litra b.
Ifølge Datatilsynets Vejledning om de registreredes rettigheder skal den dataansvarlige tage aktive skridt til at give den registrerede de pågældende oplysninger for at iagttage sin oplysningspligt. Det er Datatilsynets opfattelse, at det ikke vil være tilstrækkeligt at have oplysningerne liggende på en hjemmeside eller lignende, som den registrerede selv skal finde[2].
Hvis og i det omfang det viser sig umulig eller vil kræve en uforholdsmæssigt stor indsats at give den registrerede oplysningerne, følger det imidlertid af databeskyttelsesforordningens artikel 14, stk. 5, litra b, at ovenstående bestemmelser ikke finder anvendelse. I sådanne tilfælde træffer den dataansvarlige passende foranstaltninger for at beskytte den registreredes rettigheder samt legitime interesser, herunder ved at gøre oplysningerne offentligt tilgængelige.
3.3.
Da der ved parkering på et parkeringsområde ikke vil være en dialog mellem den registrerede og Oparko som dataansvarlig, vil det efter Datatilsynets opfattelse generelt kræve en uforholdsmæssigt stor indsats at give oplysningerne efter databeskyttelsesforordningens artikel 14 til alle parkanter. I sådanne tilfælde skal dataansvarlige imidlertid træffe passende foranstaltninger for at beskytte den registreredes rettigheder samt legitime interesser, herunder ved at gøre oplysningerne offentligt tilgængelige.
Datatilsynet lægger i den forbindelse til grund, at Oparko på skiltning på parkeringsområdet henviser til virksomhedens hjemmeside, hvor parkanten har mulighed for at tilgå Oparkos privatlivspolitik. Det fremgår imidlertid ikke at denne, at der indsamles personoplysninger gennem aflæsning af nummerpladen (registreringsnummer) ved kamera.
Ved udstedelse af en parkeringsafgift, som forudsætter en dialog med parkanten, gør ovenstående ressourcemæssige hensyn sig imidlertid ikke gældende.
Datatilsynet finder på den baggrund, at Oparko senest i forbindelse med udstedelse af en parkeringsafgift skal iagttage oplysningspligten efter databeskyttelsesforordningens artikel 14 overfor den registrerede.
Datatilsynet kan imidlertid på baggrund af sagens oplysninger konstatere, at Oparko ikke underretter de registrerede (parkanterne) om behandlingen af deres personoplysninger i forbindelse med udstedelse af en parkeringsafgift.
For så vidt angår den måde, som underretningen af de registrerede ved udstedelse af en parkeringsafgift skal ske på, finder Datatilsynet, at en løsning, hvor informationerne (privatlivspolitikken) alene er tilgængelig på Oparkos hjemmeside, ikke lever op til kravet om, at den dataansvarlige aktivt giver informationerne til den registrerede, jf. databeskyttelsesforordningens artikel 14.
Datatilsynet bemærker i den forbindelse, at oplysningen om, at der er indhentet oplysninger fra Motorregistret ikke kan betragtes som en underretning efter databeskyttelsesforordningens artikel 14.
På den baggrund finder Datatilsynet, at Oparko ikke iagttager oplysningspligten efter databeskyttelsesforordningens artikel 14 overfor de registrerede i forbindelse med udstedelse af parkeringsafgifter, hvilket giver tilsynet anledning til at udtale kritik.
Datatilsynet bemærker, at tilsynet ikke har taget stilling til, om Oparkos privatlivspolitik i øvrigt indeholder de oplysninger, som fremgår af databeskyttelsesforordningens artikel 14.
Datatilsynet forudsætter, at Oparko indretter sig efter ovenstående, herunder også for så vidt angår indholdet af Oparkos privatlivspolitik.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)
[2] Datatilsynets Vejledning om de registreredes rettigheder, juli 2018, afsnit 3.2, s. 14.