Datatilsynet afslutter sag om Rejsekort-appen

Journalnummer: 2024-431-0037.

Resumé 

Datatilsynet har undersøgt Rejsekort & Rejseplan A/S’ behandling af personoplysninger i Rejsekort-appen og har undervejs indhentet en række redegørelser fra virksomheden om appens indretning og funktion.

Sagen har været behandlet i Datarådet.

Dataminimering og databeskyttelse gennem design

Rejsekort-appen bruger GPS’en i brugerens telefon til at registrere, hvor brugeren befinder sig under rejsen. Oplysningerne bruges bl.a. til at kortlægge rejsen, beregne den korrekte pris og fordele billetindtægterne mellem de forskellige transportører.

Oplysningerne om, hvor en bestemt person befinder sig på et bestemt tidspunkt er personoplysninger i henhold til databeskyttelsesreglerne.

– Oplysninger om, hvor vi befinder os og bevæger os hen, kan fortælle meget om vores privatliv. Derfor er det vigtigt, at dataansvarlige, der indsamler lokationsdata om borgere eller kunder, har fokus på at begrænse indsamlingen til det, der er nødvendigt. Det var derfor, vi indledte en undersøgelse af Rejsekort-appen, siger Morten Gjermundbo, kontorchef i Datatilsynet.

Datatilsynet stillede indledningsvis en række forskellige spørgsmål vedrørende Rejsekort-appens behandling af disse personoplysninger. Undersøgelsen har siden koncentreret sig om to centrale spørgsmål:

• om indsamlingen af lokationsoplysninger lever op til princippet om dataminimering, og
• om appens indretning lever op til princippet om databeskyttelse gennem design.

Efter en samlet vurdering finder Datatilsynet nu, at der ikke er fuldt tilstrækkeligt grundlag for at udtale kritik af Rejsekort-appen i forhold til disse to forhold.

Datatilsynets afgørelse vedrører appens design og funktion i relation til principperne om dataminimering og databeskyttelse gennem design. Afgørelsen tager dermed ikke stilling til appens overholdelse af databeskyttelsesreglerne i øvrigt.

GPS-sporing efter rejsens afslutning

Når brugeren er checket ind i Rejsekort-appen, indsamler appen løbende oplysninger om brugerens lokation under rejsen. Men hvis brugeren ikke checker ud, når rejsen er slut, kan indsamlingen fortsætte, selv om brugeren har forladt den kollektive transport. I så fald vil der ske indsamling af personoplysninger uden tilknytning til den ydelse, som Rejsekort skal levere.

Denne indsamling af personoplysninger vil potentielt kunne omfatte følsomme oplysninger – hvis brugeren efter sin rejse for eksempel besøger en kirke, modtager sundhedsbehandling eller besøger sin fagforening.

En samlet afvejning

I den samlede vurdering har Datatilsynet lagt vægt på en række forhold, der taler henholdsvis for og imod, at Rejsekort-appen er i overensstemmelse med reglerne. Blandt andet har Datatilsynet lagt vægt på, at det ifølge Rejsekort kun er en lille andel af brugerne, der glemmer eller undlader at checke ud. Samtidig har Datatilsynet noteret sig, at Rejsekort er et landsdækkende system, som henvender sig til hele befolkningen.

Datatilsynet har endvidere lagt vægt på, at Rejsekort har iværksat en række tiltag for at begrænse risikoen for unødig indsamling af lokationsoplysninger. Rejsekort har f.eks. udarbejdet vejledningsmateriale om brugen af appen og indbygget en række hjælpefunktioner. Det gælder bl.a. advarsler om check ud, muligheden for at aktivere funktionen ”smart check ud” og et tvunget automatisk check ud af inaktive rejser én gang i døgnet.

Datatilsynet har dog også lagt vægt på, at flere af disse hjælpefunktioner kræver et aktivt tilvalg fra brugernes side. Endelig har det haft betydning, at brugerne er forpligtet til at checke ud, når rejsen er slut.

Efter en grundig, samlet afvejning af de argumenter, der taler for og imod, har Datatilsynet nu konkluderet, at der ikke er fuldt tilstrækkeligt grundlag for at udtale kritik af Rejsekort-appen.

Principielle spørgsmål blev drøftet på europæisk niveau

Sagen har rejst generelle spørgsmål om, hvordan reglerne om dataminimering og databeskyttelse gennem design skal fortolkes i forbindelse med en app-løsning, der fungerer som Rejsekort-appen. Da den tekniske løsning bag appen også anvendes til billetløsninger i andre europæiske lande, valgte Datatilsynet i juni 2025 at konsultere andre europæiske databeskyttelsesmyndigheder om de centrale juridiske spørgsmål.

Tilbagemeldingerne gav imidlertid ikke en sådan klarhed, at der kunne fastlægges en ensartet tilgang. Datatilsynet tog derfor skridt til at forelægge spørgsmålene for Det Europæiske Databeskyttelsesråd (EDPB) med henblik på en formel udtalelse. Spørgsmålene blev i april 2026 drøftet på arbejdsgruppeniveau under EDPB.

Efter drøftelser på europæisk niveau var der imidlertid ikke fuld opbakning til, at spørgsmålene var egnede til en udtalelse fra EDPB. Datatilsynet besluttede derfor – efter fornyede drøftelser i Datarådet – ikke at gå videre med anmodningen til EDPB og i stedet træffe afgørelse på det foreliggende grundlag.

Med afgørelsen afslutter Datatilsynet sin undersøgelse af Rejsekort-appen, og tilsynet foretager sig ikke yderligere i sagen.

Afgørelse 

1. Indledning og resultat

1.1. Indledende bemærkninger

Datatilsynet har nu færdigbehandlet sin undersøgelse af Rejsekort & Rejseplan A/S’ (herefter benævnt ”Rejsekort”) digitale rejsekort-løsning, ”Rejsekort-appen”.

Rejsekort-appen fungerer ved, at brugerne – i stedet for at have et fysisk rejsekort – download-er selskabets app på deres telefon. Ved hjælp af GPS-sporing af telefonen kan Rejsekort kortlægge start- og slutpunktet for hver enkelt rejse med offentlig transport og derved bl.a. fastslå den rette pris for rejsen. Appen erstatter det gamle plastik-rejsekort.

På Rejsekorts initiativ blev der – inden Rejsekort-appen blev udrullet til den brede befolkning – den 15. april 2024 afholdt et uformelt møde mellem Rejsekort og Datatilsynets sekretariat, hvor Datatilsynet som led i tilsynets almindelige vejledningsforpligtelse bl.a. pegede på nogle overordnede it-tekniske og databeskyttelsesretlige forhold, som Rejsekort kunne overveje, inden udrulningen af appen. 

Ved brev af 30. april 2024 til Rejsekort indledte Datatilsynet formelt sin undersøgelse i sagen. På baggrund af Rejsekorts svar bad Datatilsynet ved breve af 27. juni 2024, 6. februar og 28. april 2025 om redegørelser for yderligere forhold vedrørende Rejsekort-appen.

Den 27. maj 2025 blev der på Rejsekorts foranledning holdt endnu et møde om sagen.

I forbindelse med sin undersøgelse af sagen har Datatilsynet bedt Rejsekort om at redegøre for en række forskellige forhold, herunder bl.a. følgende emner:

• dataminimering
•  databeskyttelse gennem design
• hjemmel
• overvejelser om andre tekniske løsninger end indsamling af lokationsdata
• oplysningspligt
• pseudonymisering/anonymisering af indsamlede personoplysninger
• sletning/opbevaringsbegrænsning

Datatilsynets undersøgelse har koncentreret sig om spørgsmålet om dataminimering og databeskyttelse gennem design.

Ved brug af det gamle rejsekort (plastikkortet) skete det af og til, at brugere glemte at checke ud. Et centralt punkt i sagen har været den dataindsamling, som sker, hvis brugeren af Rejsekort-appen tilsvarende glemmer at checke ud og bevæger sig væk fra det kollektive transportsystem. Når rejsen er slut, har brugerens videre færden ikke betydning for den ydelse, som Rejsekort skal levere.

Datatilsynets undersøgelse har i det lys primært fokuseret på følgende to forhold:

1. Om indsamling af personoplysninger i form af brugernes GPS-lokation efter endt rejse er i strid med det databeskyttelsesretlige dataminimeringsprincip i databeskyttelsesforordningens artikel 5, stk. 1, litra c, og
2. om en app, som er designet/udviklet på den ovenfor nævnte måde, er i strid med princippet om databeskyttelse gennem design, jf. databeskyttelsesforordningens artikel 25.

Disse to centrale og generelle juridiske spørgsmål har Datatilsynet haft forelagt for de andre europæiske tilsynsmyndigheder, ligesom tilsynet senest har taget skridt til at forelægge spørgsmålene for Det Europæiske Databeskyttelsesråd (herefter benævnt ”EDPB”, som er en forkortelse for rådets engelske navn, European Data Protection Board) med henblik på at få en formel udtalelse fra rådet om, hvordan disse forordningsbestemmelser nærmere skal fortolkes i relation til en app, der fungerer på samme måde som ”Rejsekort-appen”. 

På baggrund af de tilbagemeldinger, som Datatilsynet i den forbindelse har fået, har tilsynet besluttet ikke at anmode EDPB om en udtalelse, og Datatilsynet har nu i stedet selv truffet afgørelse i sagen.

Sagen har undervejs været behandlet i Datarådet, som på en række møder løbende har truffet beslutning om sagens behandling og – nu – sagens afgørelse. 

1.2. Datatilsynets konklusion

På baggrund af en samlet vurdering af de foreliggende oplysninger er det Datatilsynets konklusion, at der ikke er fuldt tilstrækkeligt grundlag for at udtale kritik af Rejsekort & Rejseplan A/S i forbindelse med selskabets lancering af Rejsekort-appen. 

Nedenfor følger en nærmere gennemgang af sagen. Under pkt. 5 findes begrundelsen for Datatilsynets afgørelse.

2. Retsgrundlaget

2.1. Trafikselskabsloven m.v.

Det fremgår af lov om trafikselskaber, at aktieselskabet Rejsekort & Rejseplan A/S skal tilbyde et elektronisk rejseplansystem og et elektronisk rejsekortsystem for billettering og betaling m.v., og at selskabet endvidere skal samle det elektroniske rejseplan- og rejsekortsystem i én mobilitetstjeneste. Loven er senest bekendtgjort som lovbekendtgørelse nr. 1041 af 17. september 2024.

De relevante bestemmelser (som blev indsat ved lov nr. 206 af 5. marts 2019) har følgende ordlyd:

”§ 27. Trafikselskaberne, Bornholms Regionskommune, Metroselskabet I/S og DSB skal i et aktieselskab benævnt Rejsekort & Rejseplan A/S drive og udvikle et elektronisk rejseplansystem for oplysning om rejsetider, rejseplanlægning og priser m.v. og et elektronisk rejsekortsystem for billettering og betaling m.v.

    Stk. 2. (…)

    Stk. 3. (…)

    Stk. 4. (…)

    Stk. 5. (…)

    Stk. 6. (…)

    Stk. 7. (…)

    Stk. 8. (…)

    Stk. 9. Rejsekort & Rejseplan A/S skal udarbejde en forretningsplan, som skal indeholde en strategi for

1) at samle det elektroniske rejseplan- og rejsekortsystem i én mobilitetstjeneste,

2) at skabe de bedst mulige rammer for tredjeparts adgang til selskabets tjenester, og

3) at skabe bedst mulig adgang for tredjeparts videresalg af billetter.

    Stk. 10. Rejsekort & Rejseplan A/S skal en gang årligt indsende en redegørelse til transportministeren, hvor selskabet redegør for implementeringen af de obligatoriske punkter i selskabets forretningsplan, jf. stk. 9, nr. 1-3.

    Stk. 11. Transportministeren kan fastsætte nærmere regler om Rejsekort & Rejseplan A/S’ drift og udvikling af rejseplan- og rejsekortsystemet, herunder om finansieringen af driften og udviklingen, prioriteringen af udviklingsindsatserne og objektive betingelser for tilslutning til rejseplan- og rejsekortsystemet.”

Bemyndigelsen i lovens § 27, stk. 11, ses ikke at være udnyttet.

Af lovforslagets almindelige bemærkninger (lovforslag nr. L129 af 19. december 2018, side 4) fremgår bl.a. følgende:

”1. Indledning

 

(…)

Ved at gøre brug af digitaliseringens muligheder bliver det nemmere at være passager i den kollektive trafik, f.eks. vil rejsen kunne planlægges, bookes og betales i én app. På den måde kan passagernes valgmuligheder øges og koblingen af de forskellige transporttilbud bidrage til et mere sammenhængende transportsystem samt en øget og mere effektiv mobilitet i samfundet.

 

(…)

 

Hvad enten man som rejsende foretrækker den hurtigste, den mest komfortable eller den billigste rejse, så kan digitale mobilitetstjenester gøre det nemmere at finde, planlægge og betale rejsen. Mobilitetstjenester forbedrer de rejsendes vilkår og øger passagerernes mobilitetsmuligheder og valgfrihed.

 

(…)

 

De offentlige trafikvirksomheder bevæger sig allerede i den rigtige retning, og trafikvirksomhederne har med den hidtidige udvikling og drift af rejseplanen og rejsekort formået at skabe en styrkeposition for den kollektive trafik i Danmark og et solidt digitalt udgangspunkt for den videre udvikling til gavn for forbrugerne. Den digitale udvikling har dog muliggjort, at der er mere at hente på dette område for både den enkelte rejsende og mobiliteten i samfundet. Hensigten med lovforslaget er derfor at understøtte de gode takter, der allerede er påbegyndt i sektoren, ved at fremme en videreudvikling af tjenesternes funktioner, så de på sigt kan fungere som én fælles tjeneste.

 

(…) Formålet hermed er at sikre en målrettet og fælles strategi for en samlet digital tjeneste og en samlet prioritering af udviklingstiltag for begge produkter. Ved at samle opgaverne er det målet, at viden, kompetencer og ledelsesmæssig kapacitet kan anvendes bedre, og at der samtidig sikres en højere grad af synergi og sammenhæng i de vedtagne beslutninger. (…) Tillige foreslås, at de offentlige trafikvirksomheder vederlagsfrit skal stille udvalgte statiske og dynamiske transportdata til rådighed for tredjepart. Med transportdata menes hovedsageligt oplysninger, der relaterer sig til de pågældende transportmidler, herunder blandt andet i forhold til kapacitet og lokalisering af transportmidler, som gør det muligt at udvikle digitale mobilitetstjenester, hvor brugeren kan fremsøge, planlægge, booke og betale for den samlede rejse.

 

Dermed lægges der med lovforslaget ikke op til, at personrelaterede oplysninger skal deles, herunder følsomme personoplysninger, rejsemønstre eller lokalisering af den rejsendes position m.v. Såvel den offentligt funderede mobilitetstjeneste som eventuelle nye, privat initierede mobilitetstjenester vil desuden – som øvrige foretagender – være underlagt reglerne fastsat i databeskyttelsesforordningen og databeskyttelsesloven.

 

(…)

 

2. Lovforslagets hovedpunkter

(…)

 

2.4. Et fælles selskab for rejseplan- og rejsekortsystemet

(…)

 

2.4.2. Transport-, Bygnings- og Boligministeriets overvejelser og den foreslåede ordning

(…)

 

Det er ministeriets opfattelse, at der ligger et stort potentiale i at sammenkæde den videre udvikling af rejseplanen og rejsekortet for på sigt at fremme initiativer, hvor rejseplanlægning, booking, betaling og billettering af forskellige former for transportydelser integreres i én digital mobilitetsservice, som kan tilgås på tværs af landet, når som helst behovet måtte opstå.

 

Et centralt mål er således på sigt at etablere en tjeneste, der så vidt muligt fusionerer summen af rejsekortets og rejseplanens nuværende produkter og tjenester samt de kommende produkter og tjenester, der udvikles.

 

(…)

 

Det er imidlertid af afgørende betydning for brugernes tilfredshed med rejseplan- og rejsekortsystemet, at det løbende overvejes, om og hvordan systemerne kan udvikles i både form og indhold, herunder hvordan rejsekortet – på linje med resten af samfundet – skal gå mod øget digitalisering.

 

(…)

 

Desuden indføres en pligt for Rejsekort & Rejseplan A/S til at udarbejde en forretningsplan, som selskabet en gang om året skal indsende til transport-, bygnings- og boligministeren.

 

Forretningsplanen skal indeholde en strategi- og tidsplan for implementeringen af selskabets opgaver, og planen skal forholde sig til de initiativer, der fremgår af transport-, bygnings- og boligministerens udspil fra september 2018 om nemmere kollektiv trafik, herunder hvordan selskabets funktioner mest hensigtsmæssigt samles i én mobilitetstjeneste, hvor der både kan foretages en søgning på en relevant rejse ift. kundens ønsker, foretages en bestilling af rejsen og endelig en betaling af rejsen. (…)

 

2.5. Rejseplan- og rejsekortsystemets funktioner og anvendelse

(…)

 

2.5.2. Transport-, Bygnings- og Boligministeriets overvejelser og den foreslåede ordning

(…)

 

Der lægges derfor med forslaget op til at understøtte en videreudvikling af rejseplansystemets funktioner med henblik på i forening med rejsekortsystemets funktioner at kunne yde en fælles digital mobilitetstjeneste, hvor rejseplanlægning, booking, billettering og betaling kan tilgås via én samlende tjeneste på tværs af offentlige og private transportformer og -udbydere. (…)

 

2.8. Databeskyttelse af personoplysninger

(…)

 

Uagtet dette vil det kommende selskab Rejsekort & Rejseplan A/S i vidt omfang behandle personoplysninger i forbindelse med deres administration af blandt andet rejsekortet, således som det allerede i dag er tilfældet for de to nuværende selskaber. F.eks. behandler Rejsekort A/S allerede i dag personoplysninger i forbindelse med bestilling og brug af rejsekort, blandt andet cpr-numre i forbindelse med bestilling og administration af personlige rejsekort.

 

(…)”

 

I lovforslagets specielle bemærkninger (s. 19) er anført bl.a. følgende: 

”Til § 1

(…)

 

Til nr. 6

(…)

 

Med den foreslåede bestemmelse lovfæstes det, at parterne skal samarbejde om at drive og udvikle et fælles rejseplan- og rejsekortsystem i ét selskab. Rejseplanen og rejsekortet har vundet bredt indpas hos passagerne i den offentlige servicetrafik på tværs af landet, og det er forventningen, at man ved at samle aktiviteterne i ét fælles selskab bedre kan fastholde og udvikle systemerne i takt med den teknologiske udvikling.

 

Med betegnelsen ”rejseplansystem” menes, at de offentlige trafikvirksomheder skal tilbyde et rejseplanlægningssystem, der som minimum er tilsvarende det elektroniske rejseplansystem, som Rejseplan A/S i dag driver på vegne af de offentlige trafikvirksomheder i Danmark.

 

Med betegnelsen ”rejsekortsystem” menes, at de offentlige trafikvirksomheder skal tilbyde et billetteringssystem, der som minimum er tilsvarende det elektroniske rejsekortsystem, som Rejsekort A/S i dag driver på vegne af de offentlige trafikvirksomheder i Danmark.

 

(…)”

Som det fremgår af pkt. 2.4.2 i de almindelige lovbemærkninger, skal Rejsekort udarbejde en forretningsplan, som bl.a. skal forholde sig til de initiativer, der fremgår af transport-, bygnings- og boligministerens udspil fra september 2018 om nemmere kollektiv trafik[1]. 

Under overskriften ”Nemmere kollektiv trafik” indeholder Rejsekorts udspil til forretningsplan følgende initiativer:

”Initiativer til fremme af digitale mobilitetstjenester

·         Der skal arbejdes henimod, at Rejseplanens og Rejsekortets funktioner samles i én digital mobilitetstjeneste under ét selskab med én fælles bestyrelse.

·         Private og deleøkonomiske transporttilbud skal have adgang til den fælles digitale mobilitetstjeneste.

·         De offentlige kollektive transporttilbud skal pålægges at dele transportdata og at acceptere videresalg af billetter, så det bliver muligt for private transportaktører at etablere flere digitale mobilitetstjenester.”

Under overskriften ”Videreudvikling af eksisterende digitale mobilitetstjenester” indeholder udspillet følgende initiativer:

”Initiativer

·         Der skal arbejdes henimod, at Rejseplanens og Rejsekortets funktioner samles i én digital mobilitetstjeneste.

·         Samarbejdet om driften af Rejseplanen og Rejsekortet og udviklingen af den digitale mobilitetstjeneste samles i ét selskab med én fælles bestyrelse.

·         Staten tager del i ansvaret ved at indgå i den fælles bestyrelse.”

Under overskriften ”Flere nye digitale mobilitetstjenester” indeholder udspillet følgende initiativer:

”Initiativer

·         Private og deleøkonomiske transporttilbud skal have adgang til Rejseplanens og Rejsekortets fælles digitale mobilitetstjeneste, så passagerne får flere valgmuligheder.

·         De offentlige kollektive trafiktilbud skal pålægges at dele transportdata og at acceptere videresalg af billetter, så det bliver muligt at etablere flere private digitale mobilitetstjenester.

·         Der skal etableres standardiserede billetteringsformater, som skal muliggøre validering af nye billettyper, som bygger på den offentlige sektors standarder.”

2.2. Databeskyttelsesforordningens artikel 5

Databeskyttelsesforordningens artikel 5, stk. 1, fastsætter en række almindelige principper for behandling af personoplysninger. Bestemmelsen har følgende ordlyd:

”Personoplysninger skal:

a) behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede (»lovlighed, rimelighed og gennemsigtighed«)

b) indsamles til udtrykkeligt angivne og legitime formål og må ikke viderebehandles på en måde, der er uforenelig med disse formål; (…) (»formålsbegrænsning«)

c) være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (»dataminimering«)

d) være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt for at sikre, at personoplysninger, der er urigtige i forhold til de formål, hvortil de behandles, straks slettes eller berigtiges (»rigtighed«)

e) opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles; personoplysninger kan opbevares i længere tidsrum, hvis personoplysningerne alene behandles til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, under forudsætning af, at der implementeres passende tekniske og organisatoriske foranstaltninger, som denne forordning kræver for at sikre den registreredes rettigheder og frihedsrettigheder (»opbevaringsbegrænsning«)

f) behandles på en måde, der sikrer tilstrækkelig sikkerhed for de pågældende personoplysninger, herunder beskyttelse mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse, under anvendelse af passende tekniske eller organisatoriske foranstaltninger (»integritet og fortrolighed«).”

Af databeskyttelsesforordningens præambelbetragtning nr. 39 fremgår følgende om princippet om dataminimering:

”(39) […] Personoplysninger bør være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til formålene med deres behandling. Dette kræver navnlig, at det sikres, at perioden for opbevaring ikke er længere end strengt nødvendigt. Personoplysninger bør kun behandles, hvis formålet med behandlingen ikke med rimelighed kan opfyldes på anden måde. […]”

I Justitsministeriets betænkning nr. 1565/2017 om databeskyttelsesforordningen – og de retlige rammer for dansk lovgivning, side 87-88, angives følgende om den tidligere gældende og næsten tilsvarende bestemmelse i persondatalovens § 5, stk. 3, som gennemførte det tidligere databeskyttelsesdirektivs (direktiv 95/46/EF) artikel 6, stk. 1, litra c:

”Det fremgår af persondatalovens § 5, stk. 3, at oplysninger, som behandles, skal være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles.

 

Det fremgår af bemærkninger til persondataloven, at der med udtrykkene relevante og tilstrækkelige oplysninger sigtes til, at oplysningernes art skal svare til det formål, der tilsigtes med behandlingen. Bestemmelsen fastsætter endvidere, at den dataansvarliges behandling af oplysninger er undergivet et proportionalitetsprincip.”

Det fremgår endvidere af betænkningens side 97, at der ud fra en ordlydsfortolkning af persondatalovens § 5, stk. 3, og databeskyttelsesforordningens artikel 5, stk. 1, litra c, ikke ses at være tiltænkt en anden indholdsmæssig betydning af artikel 5, stk. 1, litra c, end hvad der gjaldt efter persondataloven.

Af Databeskyttelsesforordningen og databeskyttelsesloven med kommentarer[2] side 340, fremgår følgende om databeskyttelsesforordningens artikel 5, stk. 1, litra c:

”Behandling af oplysninger må ikke gå videre, end hvad der kræves til opfyldelse af de formål, som den dataansvarlige er berettiget til at forfølge, dvs. at den dataansvarliges behandling af personoplysninger er undergivet et proportionalitetsprincip.”

2.3. Databeskyttelsesforordningens artikel 25

Databeskyttelsesforordningens artikel 25 fastsætter regler om ”databeskyttelse gennem design og databeskyttelse gennem standardindstillinger”. Bestemmelsens stk. 1 og 2 har følgende ordlyd:

”1. Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, som behandlingen indebærer, gennemfører den dataansvarlige både på tidspunktet for fastlæggelse af midlerne til behandling og på tidspunktet for selve behandlingen passende tekniske og organisatoriske foranstaltninger, såsom pseudonymisering, som er designet med henblik på effektiv implementering af databeskyttelsesprincipper, såsom dataminimering, og med henblik på integrering af de fornødne garantier i behandlingen for at opfylde kravene i denne forordning og beskytte de registreredes rettigheder.

 

2. Den dataansvarlige gennemfører passende tekniske og organisatoriske foranstaltninger med henblik på gennem standardindstillinger at sikre, at kun personoplysninger, der er nødvendige til hvert specifikt formål med behandlingen, behandles. Denne forpligtelse gælder den mængde personoplysninger, der indsamles, og omfanget af deres behandling samt deres opbevaringsperiode og tilgængelighed. Sådanne foranstaltninger skal navnlig gennem standardindstillinger sikre, at personoplysninger ikke uden den pågældende fysiske persons indgriben stilles til rådighed for et ubegrænset antal fysiske personer.”

Præambelbetragtning nr. 78 i databeskyttelsesforordningen har endvidere følgende ordlyd:

”Beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger kræver, at der træffes passende tekniske og organisatoriske foranstaltninger for at sikre, at denne forordnings krav opfyldes. For at kunne påvise overholdelse af denne forordning bør den dataansvarlige vedtage interne politikker og gennemføre foranstaltninger, som især lever op til principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger. Sådanne foranstaltninger kan bl.a. bestå i minimering af behandlingen af personoplysninger, pseudonymisering af personoplysninger så hurtigt som muligt og gennemsigtighed for så vidt angår personoplysningers funktion og behandling, således at den registrerede kan overvåge databehandlingen, og den dataansvarlige kan tilvejebringe og forbedre sikkerhedselementer. Når producenter af produkter, tjenester og applikationer udvikler, designer, udvælger og bruger applikationer, tjenester og produkter, der er baseret på behandling af personoplysninger eller behandler personoplysninger, for at udføre deres opgaver, bør de tilskyndes til at tage højde for retten til databeskyttelse i forbindelse med udvikling og design af sådanne produkter, tjenester og applikationer og til under behørig hensyntagen til det aktuelle tekniske niveau at sørge for, at de dataansvarlige og databehandlerne er i stand til at opfylde deres databeskyttelsesforpligtelser. Der bør også tages hensyn til principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger i forbindelse med offentlige udbud.” 

Betænkning nr. 1565/2017 om databeskyttelsesforordningen – og de retlige rammer for dansk lovgivning, side 417, angiver følgende om forordningens artikel 25, stk. 1:

”Forordningens artikel 25, stk. 1, må antages at indebære en overvejelsesforpligtelse og en håndteringsforpligtelse for den dataansvarlige til allerede i forberedelsesfasen at indtænke de relevante foranstaltninger til sikring af overholdelse af databeskyttelsesforordningen. […]

 

Det skal hertil bemærkes, at forordningens artikel 25, stk. 1, er udtryk for en risikobaseret tilgang til databeskyttelse, og bestemmelsen angiver kun ganske overordnede retningslinjer for, hvilke typer af tiltag bestemmelsen sigter mod. Dette indebærer, at den dataansvarlige overlades et ganske væsentligt råderum, inden for hvilket denne har adgang til at vurdere og fastlægge, hvilke foranstaltninger der konkret bør implementeres for at efterleve bestemmelsen.

 

Artikel 25, stk. 1, må antages at indebære en pligt for den dataansvarlige til at inddrage tiltag, der konkret fremmer en effektiv implementering af forordningens databeskyttelsesprincipper i artikel 5 og dens øvrige regler.

 

Dermed skal den dataansvarlige overveje og håndtere, hvordan databeskyttelse generelt, dvs. alle forordningens bestemmelser, kan efterleves med konkrete foranstaltninger i design af IT-systemer, såsom deres tekniske indretning og brugergrænseflade, samt ved indretningen af den dataansvarliges organisation.”

Om forordningens artikel 25, stk. 2, fremgår følgende af betænkningens side 420 f.:

”Til forskel fra bestemmelsen i artikel 25, stk. 1, der vedrører selve designfasen, ses artikel 25, stk. 2, at udtrykke en pligt for den dataansvarlige til at sikre, at når f.eks. et softwareprogram, en online tjeneste, et IT-system eller lignende anvendes til at behandle personoplysninger, skal de indstillingsmuligheder, som systemet mv. indeholder, som standard indstilles på en måde, der understøtter bestemmelsens krav om bl.a. formålsspecifik behandling af personoplysninger.

 

Dette krav må eksempelvis indebære, at første gang en tjeneste, f.eks. en online tjeneste, en app eller et stykke software, stilles til rådighed for en given bruger eller medarbejder, skal de relevante indstillinger, der vedrører behandlingen af personoplysninger i forbindelse med brugen af tjenesten, i overensstemmelse med dataminimeringsprincippet i artikel 5, stk. 1, litra c, som standard indebære den mindst mulige deling af personoplysninger.

 

Kravet i artikel 25, stk. 2, kan således ses som en ”tilføjelse” til kravet om databeskyttelse gennem design i artikel 25, stk. 1, idet stk. 1 konkret kan indebære, at et system designes med særlige databeskyttelsesfremmende indstillinger indbygget, og bestemmelsen i artikel 25, stk. 2, pålægger således den dataansvarlige f.eks. at gøre den mest formålsbegrænsende indstilling af systemet til standardindstillingen. […]”

EDPB’s retningslinjer om databeskyttelse gennem design og standardindstillinger[3] angiver bl.a. følgende om databeskyttelse gennem design og standardindstillinger:

”(19) I forbindelse med artikel 25 forpligter omtalen af »det aktuelle tekniske niveau« dataansvarlige til at tage hensyn til eksisterende teknologiske fremskridt, der er på markedet, når de fastlægger passende tekniske og organisatoriske foranstaltninger. Dataansvarlige skal have viden om og være ajour med teknologiske fremskridt, hvordan teknologi kan frembyde databeskyttelsesrisici og nye muligheder for behandlingsaktiviteten, og hvordan man gennemfører de foranstaltninger og garantier, som sikrer effektiv implementering af principperne og registreredes rettigheder på baggrund af ændringerne i det teknologiske landskab.

 

(…)

 

(49) Dataansvarlige bør både tage hensyn til mængden af personoplysninger samt de typer af, kategorier af og detaljeringsgrader for personoplysninger, der kræves til behandlingsformål. Deres designvalg bør tage hensyn til de øgede risici for principperne integritet, fortrolighed, dataminimering og opbevaringsbegrænsning ved indsamling af store mængder detaljerede personoplysninger og sammenligne dem med den risikoreduktion, der opnås ved at indsamle færre eller mindre detaljerede oplysninger om registrerede. Under alle omstændigheder må standardindstillingen ikke omfatte indsamling af personoplysninger, som ikke er nødvendige til det konkrete behandlingsformål. Med andre ord må der ikke indsamles overskydende personoplysninger, hvis visse kategorier af personoplysninger er unødvendige, eller hvis der ikke behøves detaljerede oplysninger, fordi det er tilstrækkeligt med mindre granulære data.

 

(…)

 

(74) Dataansvarlige bør som det første vurdere, om de overhovedet har brug for at behandle personoplysninger til deres relevante formål. Den dataansvarlige bør efterprøve, om de relevante formål kan opfyldes ved at behandle færre personoplysninger eller have mindre detaljerede eller aggregerede personoplysninger, eller helt uden at behandle personoplysninger. En sådan efterprøvning bør finde sted inden behandlingen, men kan også finde sted på ethvert tidspunkt under behandlingen. Dette er også i overensstemmelse med artikel 11.

 

(…)

 

(76) Hovedelementerne for minimering i design- og standardindstillinger kan omfatte:

(…)

·         Begrænsning – Begrænsning af mængden af indsamlede personoplysninger til, hvad der er nødvendigt til formålet.

(…)”

3. Sagsfremstilling

3.1. Grundlæggende om Rejsekort-appens virkemåde

Rejsekort-appen har flere forskellige funktioner, som bl.a. kan tilbyde rejseplanlægning, billetbestilling og -køb, ligesom man kan bruge appen som dokumentation for gyldig rejsehjemmel ved kontrol. 

I forbindelse med en rejse med brug af appen spores den rejsendes fysiske lokation via telefonens GPS. Formålet med sporingen er bl.a., at der kan udstedes en korrekt og gyldig billet, at beregne den korrekte pris, og at sikre korrekt fordeling af billetindtægterne til de forskellige transportører, hvis transportmidler måtte have været anvendt under rejsen. 

Brugeren bestemmer start- og sluttidspunktet for GPS-sporingen ved at ”swipe” på sin telefon og dermed checke ind og ud i appen, hvorved sporingen tilsvarende begynder og slutter.

3.2. Datatilsynets spørgsmål til Rejsekort & Rejseplan A/S

Datatilsynet anmodede den 30. april 2024 Rejsekort om at oplyse, hvilke personoplysninger som behandles i Rejsekort-appen, og at redegøre for de overvejelser, som selskabet havde gjort sig i relation til princippet om dataminimering og design af appen.

Datatilsynet anmodede den 27. juni 2024 Rejsekort om en supplerende udtalelse om, i hvilket omfang indsamlingen af lokationsoplysninger er nødvendig for at opnå formålet med behandlingen, samt i hvilket omfang den bagvedliggende aftale om fordeling af billetindtægter til de forskellige udbydere af kollektive transport sammenholdt med et ønske om at tilbyde en god brugeroplevelse, samlet kan anses for saglige argumenter for indretningen af den tekniske løsning, herunder med indsamling af lokationsoplysninger. 

I samme forbindelse bad Datatilsynet også Rejsekort om at forholde sig til, om indsamlingen af personoplysninger i Rejsekort-appen fører til en for intensiv databehandling, som ikke er i overensstemmelse med bl.a. princippet om dataminimering i databeskyttelsesforordningens artikel 5, stk. 1, litra c, og forpligtelsen til at sikre databeskyttelse gennem design og standardindstillinger efter artikel 25.

Datatilsynet anmodede den 6. februar 2025 Rejsekort om en yderligere supplerende udtalelse om mulighederne for at gøre en række check ud-løsninger i Rejsekort-appen obligatoriske for brugerne, og om hvilke eventuelle konsekvenser ændringerne måtte have for Rejsekort, henholdsvis brugerne. 

Datatilsynet bad i samme forbindelse Rejsekort om en status vedrørende det forventede anonyme alternativ til Rejsekort-appen, som selskabet i en tidligere udtalelse havde orienteret Datatilsynet om, var under udarbejdelse.

Endelig anmodede Datatilsynet den 28. april 2025 Rejsekort om at forholde sig til, om Rejsekort-appen kunne have været designet anderledes ud fra en række skitserede grundprincipper, således at appen stadig imødekom de definerede tekniske krav og ønsker til brugervenlighed mv., men hvor der sker en mindre intensiv indsamling af brugeroplysninger, herunder lokationsoplysninger.

3.3. Rejsekort & Rejseplan A/S’ oplysninger til Datatilsynet

Rejsekort har oplyst, at Rejsekort-appen leveres af den schweiziske virksomhed FAIRTIQ, som en ”Software as a Service”, der hostes i en cloudløsning hos Amazon Web Services. Rejsekort har om valget af løsningen oplyst, at det var afgørende for selskabet at finde et velafprøvet standardsystem, således at der kun i et begrænset omfang var behov for specialtilpasning af løsningen.

For at benytte Rejsekort-appen skal man oprette en profil og i den forbindelse afgive en række oplysninger, herunder oplysninger om:

• for- og efternavn,
• e-mailadresse,
• telefonnummer,
• fødselsdato samt
• betalingsoplysninger. 

Der indsamles derefter oplysninger om:

• brugerens kundenummer,
• brugerens billet-indstillinger (herunder kundetype og eventuelt rabattrin)
• brugerens IP-adresse og
• den mobile enheds ID-nummer, som profilen er blevet oprettet på.

Ved selve brugen af Rejsekort-appen indsamles der oplysninger om:

• brugerens lokationsoplysninger (GPS-koordinater med tidsstempel fra brugerens telefon),
• aktivitetsoplysninger (motions- og fitnessdata fra brugeren telefon) samt
• beacon-oplysninger (bluetooth-signaler fra brugerens telefon, der indsamles bl.a. på stationer med dårlig internetdækning, f.eks. under jorden ved rejser med metroen).

Endvidere har Rejsekort oplyst, at der alene behandles almindelige oplysninger om de registrerede i Rejsekort-appen.

Det er oplyst, at der i Rejsekort-appen behandles personoplysninger til følgende formål:

1. Levering af Rejsekort som app (overordnet formål), herunder

a) PAYG (Pay As You Go – erhvervelse af gyldig rejsehjemmel)

b) Kundecenterbehandling

c) Økonomiopgørelse mellem trafikselskaberne

2. Fraud detection

3. Bug fixing

4. Visning af billet til kontrollør

Rejsekort har endvidere oplyst, at det er en forudsætning for, at Rejsekort-appen kan fungere, at der bl.a. sker en indsamling af lokationsoplysninger for at kortlægge brugerens rejser. Disse oplysninger registreres i personhenførbar form, da den enkelte bruger af appen betaler for de rejser, som brugeren rent faktisk foretager. Indsamlingen af lokationsoplysninger har således primært til formål at kunne give brugeren gyldig rejsehjemmel, opkræve korrekt betaling og korrekt fordeling af billetindtægter til udbyderne.

I modsætning til det fysiske rejsekort, hvor der kun ”punktvis” indsamles oplysninger om, hvor der checkes ind og ud, indsamles der med Rejsekort-appen løbende oplysninger om brugerens placering under hele rejsen, og i visse tilfælde også før rejsen er begyndt, og efter at rejsen er afsluttet.

Herudover har Rejsekort oplyst, at hvis ikke den enkelte rejse registreres, vil det ikke være muligt at se, hvilke transportmidler der er anvendt af kunden, hvornår det er sket, hvilken pris kunden har betalt, og hvordan den skal fordeles. Det vil i så fald ikke være muligt at foretage en intern fordeling af indtægter fra kunder i overensstemmelse med de indbyrdes aftaler mellem trafikselskaberne herom. Indførelsen af Rejsekort-appen indebærer, at der for ca. halvdelen af rejserne foreligger detaljerede data for den enkelte rejse, som gør det muligt at gå over til kildefordeling i indtægtsdelingen mellem trafikselskaberne. Kildefordeling indebærer, at billetindtægten fra den enkelte rejse fordeles ud fra den pågældende rejses egne data.

Rejsekort har endvidere oplyst, at selskabet løbende har gennemført kundeundersøgelser med henblik på at sikre kundetilfredsheden, herunder for at få et indblik i, hvilke ønsker kunderne havde i forhold til at få ændret ved det fysiske rejsekort. Der blev i den forbindelse bl.a. identificeret ønsker om, at rejsekortet blev digitalt på telefonen i stedet for det fysiske rejsekort, at check ind og ud kunne ske på telefonen fremfor ved en fysisk kortlæser, og at undgå check ind igen ved skift af transportmiddel på samme rejse. Ved udviklingen af Rejsekort-appen har Rejsekort lagt vægt på, at appen skulle være brugervenlig og i størst muligt omfang imødekomme de ønsker, som løbende blev identificeret i brugerundersøgelser.

Rejsekort har generelt oplyst, at selskabet i medfør af § 27 i lov om trafikselskaber er forpligtet til at tilbyde et samlet, digitalt rejseplansystem og rejsekortsystem for billettering, betaling m.v. Rejsekort har henvist til, at lanceringen af Rejsekort-appen således er fastlagt i trafikselskabsloven, og at appen drives inden for rammerne af loven.

Rejsekort har endvidere oplyst, at der ved vedtagelsen af lov om trafikselskaber og de særlige bestemmelser om én samlet mobilitetsløsning er tilsigtet en løsning, der gør det nemt og tilgængeligt for kunderne at anvende kollektiv transport. Indsamling af lokationsoplysninger gør det nemt for kunderne, da det betyder, at kunderne ikke selv aktivt behøver at registrere denne information.

Det er i den forbindelse anført, at det er Rejsekorts opfattelse, at det både er forudsat i lov om trafikselskaber og sagligt, at Rejsekort-appen er udviklet med henblik på at sikre, at brugerne ikke manuelt skal vælge afgangs- og ankomststed fra f.eks. en liste eller søgning, og at brugerne ikke skal checke ind og ud undervejs ved kombinerede transportmidler, og det samtidig på en måde, som ikke åbner for et uacceptabelt niveau af misbrug uden mulighed for passende kontrol. Det er Rejsekorts vurdering, at den valgte løsning, hvor der beregnes rute og transportform ved hjælp af lokationsoplysninger, lever op hertil. 

Dette skal ifølge Rejsekort også ses i sammenhæng med, at selskabet har udarbejdet en anden løsning, hvor kunderne kan rejse anonymt som et alternativ til Rejsekort-appen. Rejsekorts udvikling af apps suppleret med den alternative løsning (til dem der ikke kan eller vil bruge en app) sikrer en bred og stærk tilgængelighed for alle kunder. Dette understøtter, at der samlet set er tale om en afbalanceret løsning, hvor kunderne gives et valg og selv har kontrol, herunder i forhold til deling af deres lokationsoplysninger.

Af Rejsekorts første version af konsekvensanalyse over Rejsekort-appen fremgår det følgende af analysens sammenfatning:

”En af de væsentligste risici på tværs af alle behandlingsaktiviteter i Rejsekort som app er risikoen for manglende dataminimering, herunder navnlig risikoen for, at der indsamles flere lokationsoplysninger end nødvendigt, eller at lokationsoplysninger opbevares længere tid end nødvendigt. Dette følger naturligt af det faktum, at der er tale om en teknisk løsning, som baserer sig på registreringen og behandlingen af kundernes bevægelsesmønstre, når appen benyttes. Før mitigerende foranstaltninger vurderes risikoen at være medium.”

Rejsekort har om sine overvejelser om dataminimeringsprincippet bl.a. oplyst, at selskabet er bevidst om, at manglende dataminimering udgør den måske største databeskyttelsesretlige risiko ved løsninger af denne type, som baserer sig på registrering af brugernes lokationsoplysninger. Dette gælder særligt, da indsamlingen af lokationsoplysninger ultimativt kontrolleres af kunden. Uanset at der således er indført tekniske foranstaltning til sikring af dataminimering, er det i sidste ende kundens forhold, som risikerer at medføre en mere omfattende dataindsamling end nødvendigt.

Rejsekort har endvidere oplyst, at selskabet fra starten af udviklingsprojektet har været opmærksom på, at indsamlingen af lokationsoplysninger skal minimeres til det nødvendige til formålet. Af den grund er der i appen indført en række funktioner, som er indbygget i appens løsningsdesign med henblik på at minimere indsamlingen af lokationsoplysninger.

Dette omfatter bl.a., at det i appen er gjort tydeligt over for brugerne, hvornår indsamlingen af lokationsoplysninger foregår, samt at brugerne af appen modtager såkaldte ”check out warnings”, når løsningen vurderer, at brugerne ikke længere befinder sig i offentlig transport. Brugerne har desuden mulighed for at tilvælge funktionen ”smart check ud”, som er en funktion i appen, hvor brugeren kan tilvælge at modtage en push-notifikation med en nedtællingsfunktion, når appen vurderer, at brugeren ikke længere rejser med kollektiv transport. ”Smart check ud”-funktionen giver således en besked om, at brugeren checkes ud, medmindre brugeren afbryder nedtællingen. Derudover er der i appen en funktion, som har til hensigt at sikre, at der én gang i døgnet gennemføres et tvunget check ud af alle inaktive rejser, hvor brugeren fortsat er checket ind i løsningen.

Rejsekort har forholdt sig til, om det er muligt at gøre push-notifikationer indeholdende de såkaldte check out-warnings obligatorisk for alle brugere af appen, f.eks. således at appen alene fungerer, hvis brugeren tillader push-notifikationer. Herom er oplyst, at det efter Rejsekorts opfattelse ikke vil være den rette balance at pålægge samtlige brugere at skulle acceptere push-notifikationer som middel for at sikre dataminimering ved glemt check ud. En sådan foranstaltning vil ramme alle brugere, men vil alene være målrettet en meget begrænset gruppe, som glemmer at checke ud til trods for, at det i henhold til vilkårene er den enkelte brugers ansvar. Der vil endvidere være en overvejende risiko for, at Rejsekort-appen vil blive fjernet fra steder, hvorfra appen kan downloades, hvis push-notifikationer blev gjort obligatoriske i appen, idet det efter Rejsekorts opfattelse vil være i strid med de krav, som stilles til en udbyders anvendelse af push-notifikationer.

Rejsekort har om overvejelserne bag at gøre ”smart check ud”-funktionen til et tilvalg i appen bl.a. oplyst, at eventuelle bekymringer fra brugeren om, hvorvidt de fortsat har gyldig rejsehjemmel under hele deres rejse, er indgået i overvejelsen om at fastholde check ind og check ud som standardindstillingen i Rejsekort-appen. Den valgte opsætning sikrer, at brugeroplevelsen i henholdsvis appen og det fysiske kort er ensartet, og brugeren nemt forstår, hvad forventningen til den rejsende er. Endvidere er smart check ud-funktionen udviklet og afprøvet af systemleverandøren i mere end to år som en del af de brugervendte løsninger i Schweiz, Tyskland og Østrig. Baseret på disse erfaringer og efter grundige overvejelser mellem Rejsekort og leverandøren er funktionen indstillet forholdsvis konservativt i forhold til, hvornår brugere checkes automatisk ud for at undgå, at brugere utilsigtet mister deres gyldige rejsehjemmel undervejs på deres rejse.

Rejsekort har i samme forbindelse oplyst, at det er selskabets erfaring, at brugerne er gode til at checke ud, når deres rejse er slut, og at der i gennemsnit sker brugerinitierede check ud cirka 22 minutter hurtigere end for rejser, der afsluttes via smart check ud-funktionen.

Det tvungne check ud gennemføres automatisk én gang i døgnet – kl. 04:00 – af alle brugere, som er checket ind i Rejsekort-appen, men hvor brugeren ikke længere anvender kollektiv transport. Rejsekort har oplyst, at denne tvungne, automatiske check ud er en standard-funktion i leverandørens løsning, og at der er tale om en backup-funktion, som har til hensigt at samle de situationer op, hvor brugere har glemt at checke ud ”på trods af de øvrige dataminimerende tiltag”, som er indarbejdet i appen, herunder check out-warnings og smart check ud-funktionen. 

Rejsekort har endvidere oplyst, at de indledende erfaringer med appen viser, at cirka 0,1-0,3 procent af rejserne lukkes gennem det tvungne automatiske check ud kl. 04:00.

Rejsekort har oplyst, at fastsættelsen af tidspunktet til kl. 04:00 er baseret på leverandørens erfaringer fra andre europæiske lande og svarer til Rejsekorts erfaringer fra Danmark, herunder mangeårige erfaringer fra løsningen med det fysiske rejsekort som rejsekort-løsning, som viser, at der kl. 04.00 er forholdsvis få rejsende i kollektiv transport. Hensigten med fastsættelsen af tidspunktet er, at Rejsekort vil reducere omfanget af brugere der påvirkes, mens de er i gang med at rejse. Det vil blive oplevet som en stor gene fra brugernes side, hvis deres gyldige rejsehjemmel lukkes automatisk af systemet, imens de fortsat er i gang med at rejse, eftersom det kan lede til kontrolafgifter og generel mistillid fra brugerne til Rejsekort-appens troværdighed.

Rejsekort har uddybende oplyst, at det ikke systemmæssigt vil være muligt at fastsætte det tvungne, automatiske check ud helt individuelt, f.eks. ud fra den enkelte brugers typiske rejsemønster eller individuelle ønske. Selskabet har dog oplyst, at det vil være muligt at gøre tidsrummet kortere, hvis tidspunktet fastsættes for den enkelte rejse, hvilket vil kræve, at takstfællesskaberne beslutter et ensartet tidspunkt for, hvor lang tid en rejse må vare på tværs af alle rejser i Danmark. I dag varierer maksimumtiden relativt meget mellem takstområderne.

Rejsekort har overordnet oplyst, at Rejsekort-appen ikke kunne være designet på en anden måde.

4. Sagens EU-retlige aspekter

Rejsekort-appen er baseret på teknologi fra den schweiziske leverandør, FAIRTIQ AG (herefter “FAIRTIQ”). Det skyldes, at Rejsekort i 2023 gennemførte et udbud om Rejsekort-appen, som blev vundet af dette selskab.

Rejsekort har oplyst, at FAIRTIQs løsning anvendes til billetløsninger i Schweiz, Østrig, Tyskland og Frankrig.

Efter Datatilsynets oplysninger ses ingen af de pågældende landes tilsynsmyndigheder at have tage stilling til, om appen – eller app-løsninger, der er designet på tilsvarende måde – overholder databeskyttelsesreglerne.

Under hensyntagen til databeskyttelsesforordningens regler om samarbejde mellem tilsynsmyndigheder om en ensartet fortolkning af reglerne, og fordi en afgørelse af de to centrale og generelle juridiske spørgsmål om dataminimering og om databeskyttelse gennem design vil kunne få betydning for lignende sager i andre EU-lande, besluttede Datatilsynet, at det var mest hensigtsmæssigt at konsultere de andre europæiske tilsynsmyndigheder om disse juridiske spørgsmål.

Datatilsynet sendte derfor i juni 2025 en forespørgsel i henhold til databeskyttelsesforordningens artikel 61, stk. 1, om gensidig bistand vedrørende disse spørgsmål. Det følger af denne bestemmelse bl.a., at tilsynsmyndighederne udveksler relevante oplysninger og yder hinanden gensidig bistand med henblik på at gennemføre og anvende databeskyttelsesforordningen på en ensartet måde og træffer foranstaltninger med henblik på et effektivt samarbejde med hinanden.

Svarene skabte imidlertid ikke en sådan klarhed, at der kunne fastlægges en ensartet tilgang i forhold til de to nævnte spørgsmål. Derfor besluttede Datatilsynet, at det var nødvendigt at orientere EDPB om, at tilsynet under henvisning til databeskyttelsesforordningens artikel 64, stk. 2, agtede at anmode EDPB om en formel udtalelse om de to centrale juridiske spørgsmål.

Det følger således bl.a. af databeskyttelsesforordningens artikel 64, stk. 2, at en tilsynsmyndighed ”kan kræve, at ethvert almengyldigt spørgsmål eller ethvert spørgsmål, der har virkninger i mere end én medlemsstat, drøftes af Databeskyttelsesrådet med henblik på en udtalelse (…)”. 

Inden der formelt sendes en anmodning om en artikel 64, stk. 2-udtalelse fra EDPB, skal formuleringen af det eller de spørgsmål, tilsynsmyndigheden ønsker en udtalelse om, drøftes i en ekspertarbejdsgruppe under EDPB for at sikre, at spørgsmålene er af så generel karakter, at EDPB kan afgive en udtalelse om dem. 

På den baggrund blev følgende spørgsmål drøftet på arbejdsgruppeniveau under EDPB i april 2026:

·         “In light of the fact that passivity/failure to manually check out can lead to intrusive GPS-tracking of data subjects outside public transport, and simultaneously bearing in mind that users have a contractual obligation to check out and have the possibility of activating various assisting features, should then the principle of data minimization in Article 5(1)(e) GDPR be interpreted in such a way that it constitutes a violation of this principle if a mobile phone app – designed to collect information on the users’ locations via GPS tracking – is relying on the users to manually deactivate the tracking?

 

·         Should it be considered compatible with the obligation of “data protection by design” to distribute an off the shelve-mobile phone app as mentioned?” 

Der var på arbejdsgruppeniveau imidlertid ikke fuld opbakning til, at de ovenfor nævnte juridiske spørgsmål var egnede til, at EDPB kunne afgive en artikel 64, stk. 2-udtalelse om dem. En række tilsynsmyndigheder var således af den opfattelse, at Datatilsynets spørgsmål ikke var af tilstrækkelig principiel karakter, men for specifikt angik en konkret sag.

Selv om Datatilsynet ikke er enig i disse betragtninger, blev det efter fornyede drøftelser i Datarådet besluttet, at Datatilsynet ikke skulle sende en anmodning til EDPB om en artikel 64, stk. 2-udtalelse, og at Datatilsynet i stedet skulle træffe afgørelse i sagen på det foreliggende grundlag.

5. Begrundelse for Datatilsynets afgørelse

5.1. Samlet vurdering

Datatilsynet har i forbindelse med sin undersøgelse af Rejsekort-appen indledningsvis stillet en række forskellige spørgsmål. I forbindelse med de svar, som Datatilsynet har fået fra Rejsekort, har tilsynet primært fokuseret på den indsamling af personoplysninger i form af brugernes lokationsdata, som sker, efter at en rejse er afsluttet, men hvor brugeren ikke har checket ud. Datatilsynets fokus har været på, om Rejsekort-appens design er i overensstemmelse med princippet om dataminimering og ”databeskyttelse gennem design” i henholdsvis artikel 5, stk. 1, litra c, og artikel 25.

Med denne afgørelse træffer Datatilsynet en samlet afgørelse om disse to spørgsmål.

5.2. Datatilsynets tidligere praksis

Datatilsynet har truffet en lang række afgørelser om dataminimeringsprincippet. 

I sagen 2014-632-0081 (Region Hovedstaden og brug af fingeraftryk ved bloddonation) fandt Datatilsynet, at en løsning, som Blodbanken på Rigshospitalet havde valgt til identifikation af bloddonere, ikke levede op til dataminimeringsprincippet. Det valgte system anvendte fingeraftryksidentifikation til at sikre, at en given bloddonor var den, som systemet og blodbankspersonalet forventede. Region Hovedstaden registrerede billeder af donorernes fingeraftryk og ikke kun matematiske værdier udregnet på baggrund heraf. 

Datatilsynet konkluderede – efter forelæggelse af sagen for Datarådet – bl.a., at den valgte løsning ikke levede op til de dagældende dataminimeringsregler i persondatalovens § 5, stk. 3, idet den valgte løsning var betydeligt mere indgribende over for de registrerede, end hvad der krævedes til opfyldelse af formålet.

I sagen 2018-31-0070 (TDC og trafik- og lokaliseringsdata) havde TDC over en periode på 10 måneder foretaget 11.366 logninger af lokaliseringsdata ved mobildatatrafik og registreret 185 såkaldte MMS CDR-oplysninger om en borger. Overordnet anførte TDC, at det var nødvendigt at registrere lokaliseringsdata for al mobil-datatrafik med henblik på at overholde logningsbekendtgørelsens krav om registrering af lokaliseringsdata for MMS-kommunikation, idet den tekniske opbygning af TDC’s mobilnet ikke gav mulighed for alene at registrere lokaliseringsdata for MMS-kommunikation uden samtidig at registrere lokaliseringsdata for al mobildatatrafik. 

Datatilsynet fandt – efter at sagen havde været forelagt Datarådet – at opbygningen af TDC’s IT-system ikke kunne begrunde manglende overholdelse af databeskyttelsesreglerne, og at TDC’s behandling af personoplysninger, som selskabet ikke havde været forpligtet til at registrere efter logningsbekendtgørelsen, var i strid med databeskyttelsesforordningens artikel 5, stk. 1, litra c, om dataminimering. Datatilsynet henviste til, at langt størstedelen af de oplysninger, som TDC havde registreret om borgeren, ikke var nødvendige for at overholde TDC’s forpligtelser efter logningsbekendtgørelsen.

I sagen 2022-432-0099 (Digitaliseringsstyrelsen og kørekort-app) fandt Datatilsynet – også efter forelæggelse for Datarådet – at Digitaliseringsstyrelsens behandling af personoplysninger i forbindelse med administrationen og driften af kørekort-appen var i strid med databeskyttelsesforordningens artikel 5, stk. 1, litra c, om dataminimering. Digitaliseringsstyrelsens kørekort-app, som var et frivilligt supplement til det fysiske kørekort, var opbygget sådan, at Digitaliseringsstyrelsen opbevarede en kopi af alle gyldige danske kørekort igennem et udtræk fra kørekortregistret (3,96 mio. borgere). Digitaliseringsstyrelsen behandlede dermed personoplysninger om en meget stor del af den danske befolkning, som ikke havde tilmeldt sig det digitale kørekort (2,26 mio. borgere). Datatilsynet lagde bl.a. vægt på, at opbygningen af appen, herunder at et udtræk af oplysninger om alle indehavere af et gyldigt dansk kørekort i kørekortregistret, ikke var nødvendigt for at drive appen, og at den valgte løsning derfor ikke levede op til grundlæggende principper. Endvidere lagde Datatilsynet særligt vægt på, at ventetid eller forsinkelse ved oprettelse af et digitalt kørekort ikke i sig selv kan anses for at være en så betydelig negativ konsekvens for borgerne, at det kunne begrunde den meget omfattende behandling af personoplysninger, som der var tale om.

I sagen 2023-431-0013 (Dansk Retursystem og pant-app) havde Dansk Retursystem udviklet en pant-app, som kunne udbetale pant-beløbet via direkte pengeoverførsel til brugerens konti. I den forbindelse indhentedes der dog ikke kun brugernes kontooplysninger, men også oplysninger om bl.a. brugernes konti, saldi, lån, identitetsoplysninger samt transaktionshistorik. Datatilsynet fandt, at denne behandling af personoplysninger bl.a. var i strid med databeskyttelsesforordningens artikel 5, stk. 1, litra c, og artikel 25, stk. 1, idet der blev indhentet flere oplysninger om brugerne, end hvad der var nødvendigt.

I sagen 2024-432-0041 (DR’s obligatoriske login på DRTV) havde DR indført et krav om login for at se streamingindhold på DRTV. Datatilsynet undersøgte derfor, om DR’s behandling af personoplysninger i den forbindelse var i overensstemmelse med databeskyttelsesreglerne, herunder hjemmelskravet og dataminimeringsprincippet. DR pegede i den forbindelse på sin forpligtelse til at levere moderne public service til den danske befolkning, herunder levere netbaseret public service, og at DR’s streamingindhold skulle kunne levere en sammenhængende og individuel brugeroplevelse, som matchede brugernes forventninger. DR anførte bl.a. også, at en streamingtjeneste uden login og uden de funktioner, som man kan gøre brug af ved at logge ind, ikke udgjorde et tidssvarende tilbud og derved ikke ville leve op til de forpligtelser, som DR havde som public service-virksomhed. 

Efter at sagen havde været behandlet i Datarådet, fandt Datatilsynet ikke fuldt tilstrækkeligt grundlag for at konstatere, at DR’s behandling af personoplysninger i forbindelse med login-kravet var i strid med hjemmelskravet. Datatilsynet henviste til, at DR i medfør af databeskyttelsesforordningen artikel 6, stk. 1, litra e, jf. public service-forpligtelsen, som den kom til udtryk i radio- og fjernsynsvirksomhedsloven og i public service-kontrakten, indsamlede visse oplysninger i forbindelse med brugen af DRTV. Datatilsynet lagde i den forbindelse bl.a. vægt på, at rækkevidden af DR’s public service-forpligtelse ikke entydigt sås at kunne fastlægges, og at en sådan nærmere fastlæggelse beroede på medieretlige vurderinger, som ikke lå inden for kerneområdet af Datatilsynets kompetence. 

Datatilsynet fandt dog, at det forhold, at DR havde tilrettelagt login-processen på en sådan måde, at brugerne i lang tid blev bedt om at oplyse deres navn – i stedet for et evt. fiktivt profilnavn – ikke overholdt princippet om dataminimering, jf. databeskyttelsesforordningens artikel 5, stk. 1, litra c. DR havde i den forbindelse selv erkendt, at det ikke var nødvendigt at kende brugernes navne.

5.3. Datatilsynets vurdering

Det følger af trafikselskabsloven, at Rejsekort & Rejseplan A/S skal udvikle et elektronisk rejseplansystem for oplysning om rejsetider, rejseplanlægning og priser m.v. og et elektronisk rejsekortsystem for billettering og betaling m.v. Af bemærkningerne til det fremsatte lovforslag fremgår det bl.a., at det ”ved at gøre brug af digitaliseringens muligheder” bliver nemmere at være passager i den kollektive trafik, f.eks. fordi rejser vil kunne ”planlægges, bookes og betales i én app.” Det fremgår også af lovbemærkningerne, at systemet skal overholde databeskyttelsesreglerne.

Som Rejsekort har oplyst til Datatilsynet, noterede Rejsekort sig i sin oprindelige konsekvensanalyse bl.a. følgende: 

”(…) En af de væsentligste risici på tværs af alle behandlingsaktiviteter i Rejsekort som app er risikoen for manglende dataminimering, herunder navnlig risikoen for, at der indsamles flere lokationsoplysninger end nødvendigt, eller at lokationsoplysninger opbevares længere tid end nødvendigt. Dette følger naturligt af det faktum, at der er tale om en teknisk løsning, som baserer sig på registreringen og behandlingen af kundernes bevægelsesmønstre når appen benyttes. (…)”

Denne risiko for indsamling af meroplysninger gennem Rejsekort-appen rejser efter Datatilsynets opfattelse spørgsmål om, hvorvidt appen lever op til kravene i artikel 5, stk. 1, litra c, og artikel 25.    

På den ene side kan der peges på, at indsamlingen af personoplysninger i form af lokationsoplysninger om brugerne uden for den kollektive transport – og dermed sporing af brugernes rent private færden – sker ”automatisk”, hvis blot brugeren glemmer at checke ud af Rejsekort-appen. Hvis brugeren ikke har aktiveret de tilbudte hjælpefunktioner i appen, vil indsamlingen således ske ved brugernes blotte passivitet. Der vil potentielt kunne være tale om følsomme oplysninger, f.eks. hvis brugeren efter sin rejse med kollektiv transport opsøger en kirke, modtager sundhedsbehandling, besøger sin fagforening m.v. 

På baggrund af det, som Rejsekort har oplyst, jf. afsnit 3.3, må det lægges til grund, at kun en lille andel af brugerne glemmer eller undlader at checke ud. Da rejsekortsystemet imidlertid er et landsdækkende system, som er tilgængelig for hele den danske befolkning, må det også kunne lægges til grund, at der vil kunne være en ikke minimal del af brugerne, som over tid vil risikere at få sporet deres private færden uden for kollektiv trafik. Sporingen vil, så længe brugeren ikke checker ud, kunne fortsætte i adskillige timer. 

Der kan endvidere peges på, at GPS-sporing af brugerne uden for den kollektive trafik isoleret set ikke er nødvendig for, at Rejsekort kan tilbyde den rejseplans- og billetteringsløsning, som selskabet er pålagt. Indsamling af oplysninger om brugerens videre færden, efter at rejsen er afsluttet, har således ikke betydning for den ydelse, som Rejsekort skal levere. 

Endelig kan der peges på, at Rejsekort-appens hjælpefunktioner ikke er – og formentlig ikke kan være – obligatoriske for brugerne at tilvælge. Det kræver efter det for Datatilsynet oplyste således et aktivt, manuelt tilvalg fra brugernes side at aktivere de pågældende hjælpefunktioner i appen.

På den anden side kan der peges på, at indsamlingen af lokationsoplysninger uden for den kollektive transport kun sker, når brugeren ikke opfylder sin kontraktlige forpligtelse til at checke ud ved endt rejse. Det er således alene, når brugeren anvender appen uden for dens tiltænkte anvendelsesområde, at der vil kunne ske indsamling af meroplysninger om brugerens lokation. Rejsekort har udarbejdet omfattende vejledningsmateriale, som er tilgængeligt for brugerne i flere forskellige formater. Brugerne kan således ikke være uvidende om, hvordan appen skal betjenes, herunder at brugerne er forpligtet til at checke ud ved rejsens afslutning.

Der kan også peges på, at Rejsekort har indbygget en række hjælpefunktioner, herunder en mulighed for automatisk check-ud, for at forhindre, at der sker indsamling af lokationsoplysninger efter endt rejse. Hvis brugerne aktiverer disse funktioner i appen, vil risikoen for indsamling af uvedkommende lokationsoplysninger blive væsentligt nedbragt eller elimineret.

Rejsekort har desuden lanceret andre billetløsninger i sammenhæng med Rejsekort-appen, herunder en billetløsning, der ligner det hidtidige plastisk rejsekort, benævnt Basiskort.

Endelig kan der peges på, at Rejsekort fra begyndelsen har været opmærksom på risikoen for indsamling af brugernes lokationsoplysninger uden for offentlig transport, og at selskabet har iværksat en række tiltag for at minimere risikoen herfor. Det gælder bl.a. de omtalte hjælpefunktioner, men også det forhold, at appen er designet således, at det på telefonens skærm er tydeligt for brugeren, at Rejsekort-appen (og dermed GPS-sporingen) er aktiveret.

Efter en samlet afvejning af de ovennævnte forhold, som taler henholdsvis imod og for Rejsekort-appens lovmedholdelighed, finder Datatilsynet, at der ikke er fuldt tilstrækkeligt grundlag for at udtale kritik af Rejsekorts lancering af Rejsekort-appen.

Datatilsynet har – som nævnt ovenfor – med denne afgørelse alene forholdt sig til Rejsekort-appens design og funktion i relation til databeskyttelsesforordningens artikel 5, stk. 1, litra c, og artikel 25. Datatilsynet har således ikke med denne afgørelse forholdt sig til appens overholdelse af andre (databeskyttelsesretlige) regler.

Datatilsynet har med denne afgørelse heller ikke taget stilling til Rejsekorts kommunikation, markedsføring eller øvrige implementering af appen. Datatilsynet har dog noteret sig, at Forbrugerombudsmanden, som håndhæver bl.a. markedsføringsloven, har forholdt sig til Rejsekorts markedsføring af Rejsekort-appen, og at Forbrugerombudsmanden i den forbindelse har anmeldt selskabet til politiet.

Datatilsynets undersøgelse af Rejsekort er hermed afsluttet, og tilsynet foretager sig ikke yderligere i sagen.