Journalnummer: 2007-213-0022

Ved brev af 31. august 2006 har A klaget til Datatilsynet over behandling af personoplysninger i forbindelse med tv-overvågning foretaget af B Bank.

Ved brev af 12. oktober 2006 fremkom B Bank med en udtalelse til sagen, som A herefter kommenterede ved brev af 7. november 2006. A skrev atter til B Bank ved brev af 14. december 2006. B Bank besvarede denne henvendelse ved brev af 27. december 2006. A fremsendte herefter korrespondancen til Datatilsynet ved brev af 3. januar 2007.

Det fremgår herefter af sagen, at der i maj 2006 blev vist billeder i tv fra et overvågningskamera af A i færd med at benytte et dankort i en hæveautomat. A blev efterlyst i tv, fordi A ifølge oplysningerne i udsendelsen benyttede et stjålent dankort.

A kontaktede herefter politiet, og det viste sig, at der ikke var samtidighed mellem det tidspunkt, der angav, hvornår det stjålne dankort blev benyttet i automaten, og det tidspunkt kameraets ur viste ved benyttelsen af det stjålne kort.

Det medførte efter det oplyste, at tidspunktet, der ifølge kameraets optagelse og tidsangivelse viste personen, der benyttede det stjålne kort, var rykket frem i forhold til hæveautomatens ur, og derfor viste kameraet på dette tidspunkt billeder af A, selv om A i virkeligheden havde benyttet automaten med sit eget kort umiddelbart før, det stjålne kort blev benyttet.

På baggrund af oplysninger fra PBS var det imidlertid muligt at konstatere, at A havde benyttet sit eget dankort i automaten og ikke det stjålne.

A har i sine henvendelser anført, at det findes det helt uansvarligt, at der tilsyneladende ikke er nogen kontrol med, om der er samtidighed mellem automatens og videokameraets tidsangivelse. Uanset om det måtte være PBS, der har ansvar for dankortautomatens tidsregistrering, mener A, at det i sidste ende er bankens ansvar at sikre, at videoovervågningskameraets tidsangivelse stemmer overens med dankortautomatens.

Banken har i sit brev af 12. oktober 2006 oplyst, at der foretages tv-overvågning med henblik på at forebygge overfald, røveri og misbrug samt, for – i tilfælde af overfald, røveri og misbrug – at kunne dokumentere det skete og hjælpe i politiets efterforskning af strafbare forhold. Videoovervågning af bankens hæveautomater blev påbegyndt i 2002.

Billederne opbevares i en måned, før de slettes. I de tilfælde hvor politiet har anmodet om udlevering af overvågningsbilleder vedrørende en specifik lokalitet og periode, vil de konkrete optagelser dog ikke blive slettet, før politiets anmodning er færdigbehandlet. Det samme er tilfældet, hvis banken konstaterer, at overvågningsbillederne dokumenterer et strafbart forhold begået mod banken.

B Bank har endvidere redegjort for de retningslinier som følges ved udlevering af overvågningsbilleder. Banken har i den forbindelse henvist til, at lov om finansiel virksomhed § 117 indeholder den fornødne hjemmel til videregivelse af overvågningsbilleder til politiet.

Det fremgår af B Banks udtalelse, at [ …udeladt…].

Det fremgår yderligere af B banks brev, at den fejlagtige udvælgelse af overvågningsbillederne skyldtes en forskel i den tid, der fremgår af journalstrimlen og den tid, der fremgår af overvågningsbillederne. Baggrunden for denne tidsforskel er, at videoovervågningssystemet styres af banken, mens det system som hæveautomaterne er tilsluttet, styres af firma C, hvorfor banken ikke på nuværende tidspunkt har adgang til at aflæse eller stille det ur, der er tilknyttet hæveautomaten.

B Bank har endvidere anført, at banken på baggrund af den konkrete sag, hvor politiet udvalgte overvågningsbilleder af en person, der ingen tilknytning havde til det misbrug politiet efterforskede, har ændret sin procedure for udlevering af overvågningsbilleder således, at politiet nu mindes om, at det kan være en forskel i den tid, der fremgår af den journalstrimmel de har fået fra PBS og den tid, der vises på overvågningsbillederne, ligesom politiet anmodes om ikke at videregive oplysningerne uden bankens vidende.

Herudover fremgår det af brevet, at banken er ved at undersøge de tekniske muligheder for at synkronisere urerne på de to systemer således, at lignende situationer kan undgås i fremtiden.

Banken har i øvrigt beklaget, at billederne fra overvågningskameraet er blevet offentliggjort i fjernsynet.

På den baggrund skal Datatilsynet udtale følgende:

Persondatalovens anvendelsesområde

Persondataloven gælder ifølge lovens § 1, stk. 1, for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling, og for ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.

Det er oplyst til sagen, at B Bank i den pågældende pengeautomat anvendte et digitalt kamera.

Persondataloven omfatter således den behandling af personoplysninger, som foregik i forbindelse med tv-overvågningen.

Lov om tv-overvågning

Det fremgår af tv-overvågningslovens § 2, nr. 2, at det generelle forbud mod privates tv-overvågning blandt andet ikke gælder tv-overvågning af pengeautomater, såfremt overvågningen foretages af den, der har rådighed over automaten, og overvågningen er indrettet således, at den alene er rettet mod personer, som befinder sig i umiddelbar nærhed af automaten.

B Bank har til sagen oplyst, at banken er ejer af den hæveautomat, der blev benyttet.

Det er Datatilsynets vurdering, at den overvågning af hæveautomaten, som er foretaget ligger inden for rammerne af tv-overvågningsloven.

Den behandling af personoplysninger, som sker ved tv-overvågningen, skal endvidere være i overensstemmelse med persondatalovens grundlæggende principper og behandlingsregler.

Persondatalovens regler

Det er oplyst af B Bank, at formålet med tv-overvågningen er at forebygge overfald, røveri og misbrug samt at kunne dokumentere det skete og herefter bistå politiets efterforskning af strafbare forhold.

Under henvisning hertil og idet overvågningen som nævnt må antages at være i overensstemmelse tv-overvågningsloven, er det Datatilsynets opfattelse, at bankens tv-overvågning forfølger er sagligt formål og er berettiget efter persondatalovens § 5, stk. 2 og stk. 3.

Den behandling af personoplysninger, som sker, når der optages billeder af kunder, der på normal vis foretager hævning ved pengeautomaten, er endvidere berettiget efter persondatalovens § 6, stk. 1, nr. 7.

I de tilfælde, hvor der optages billeder, der viser strafbare handlinger, må behandlingen endvidere anses for berettiget, jf. § 8, stk. 4.

Datatilsynet er endvidere enig i, at videregivelse af sådanne billeder til politiet, må anses for berettiget efter persondataloven og lov om finansiel virksomhed.

Bankens forpligtelse til at sikre datakvaliteten

Af persondatalovens § 5, stk. 4, følger, at behandling af personoplysninger skal tilrettelægges således, at der foretages fornøden ajourføring af oplysningerne. Der skal endvidere foretages den fornødne kontrol for at sikre, at der ikke behandles urigtige eller vildledende oplysninger. Oplysninger, der viser sig urigtige eller vildledende, skal snarest muligt slettes eller berigtiges. Bestemmelsen har således til formål at sikre datakvaliteten i forbindelse med behandling af oplysninger.

Det fremgår af bestemmelsens forarbejder, at omfanget af den kontrol, som det efter bestemmelsen påhviler den dataansvarlige at foretage, vil afhænge af oplysningernes karakter, deres anvendelse, indsamlingens pålidelighed og af, om oplysningerne er af betydning for en eller flere myndigheder m.v.

I persondatalovens § 3, nr. 4, defineres "den dataansvarlige" som den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af oplysninger.

B Bank har anført, at tidsforskellen skyldes, at uret i hæveautomaten og uret i overvågningskameraet styres af to forskellige systemer. Uret i overvågningskameraet styres af banken selv, mens uret i hæveautomaten er tilsluttet et system, der styres af firma C.

Det er Datatilsynets opfattelse, at B Bank må anses som dataansvarlig efter persondatalovens regler i forhold til den behandling af personoplysninger, som foregår både ved overvågningen af hæveautomaten og registreringen af hævningen i automaten.

Datatilsynet lægger herved blandt andet vægt på, at det ifølge det oplyste er banken, der forestår videregivelse af optagelser og registreringer til politiet og foretager de nødvendige vurderinger af materialet i den forbindelse. Firma C’s varetagelse af drift og vedligehold af hæveautomaten må anses for at ske på vegne af og efter aftale med banken. I forhold til persondataloven må firma C således anses som databehandler, jf. persondatalovens § 3, nr. 5.

Datatilsynet finder derfor, at banken som dataansvarlig burde have sikret sig, at uret i overvågningskameraet gik synkront med uret i hæveautomaten således, at banken ikke behandlede og videregav urigtige og vildledende oplysninger til politiet.

Ved ikke at sikre sig den fornødne datakvalitet i den omhandlede situation har B Bank efter Datatilsynets opfattelse handlet i strid med persondatalovens § 5, stk. 4.

Datatilsynet finder det passerede meget kritisabelt.

Ved denne vurdering tillægger Datatilsynet det særlig vægt, at den manglende sikring af datakvaliteten har haft betydelige negative konsekvenser for A.

Datatilsynet har ved brev af dags dato meddelt dette til B Bank.

I forlængelse heraf har tilsynet anmodet B Bank om at bringe behandlingen af personoplysninger i overensstemmelse med persondatalovens regler.

Med hensyn til den videre behandling af billederne af A, herunder visningen af disse i tv, har Datatilsynet noteret sig, at denne problemstilling har været behandlet af de kompetente myndigheder.