Journalnummer: 2009-42-1666
1. Den 18. september 2009 modtog Datatilsynet en anmeldelse af Google Street View fra Google Inc. repræsenteret ved Dem. Der henvises til Deres j.nr. 767815 OHO/pbo.
Anmeldelsen er indsendt på Datatilsynets blanket til anmeldelse af behandlinger af følsomme oplysninger hos private virksomheder, men der er imidlertid ikke sat kryds ud for nogen af de typer af følsomme oplysninger, som kan anmeldes.
Som dataansvarlig er angivet Google Inc., 1500 Amphitheatre Parkway, Mountain View CA 94043.
Der er sat kryds i, at den dataansvarlige er etableret i et tredjeland, og der er udpeget en repræsentant i Danmark. Som repræsentant er angivet Google Denmark ApS, Frederiksborggade 20 B 1, 1360 København K.
Anmeldelsen omfatter alene Street View. Ingen af Googles øvrige tjenester er således omtalt.
Formålet er angivet som "Indsamling af fotografiske billeder fra gadeplan til brug for Googles internettjenester". Behandlingen er beskrevet således: Billeder bliver indsamlet af køretøjer, der er udstyret med specielt kameraudstyr, såkaldte Street View køretøjer. Billederne bliver automatisk indsamlet, mens køretøjet bevæger sig, og de bliver lagret sikkert, før de bliver overført til Googles sikre datahostingfaciliteter.
Om datasikkerhed er det oplyst, at alle oplysninger behandles i overensstemmelse med Googles interne sikkerhedskontrol. Denne sikkerhedskontrol er ikke nærmere beskrevet i anmeldelsen.
Med hensyn til sletning er det anført, at Googles Policy Manager vil kontakte Datatilsynet angående tidspunktet for sletning af oplysninger. I følgebrevet er det oplyst, at den manglende angivelse af et tidspunkt for sletning ikke er udtryk for, at Google ikke har nogen politik herom. Det skyldes derimod, at Google for tiden har drøftelser med artikel 29-gruppen herom. Der er endnu ikke kommet nogen henvendelse om sletning fra den pågældende Policy Manager.
2. Datatilsynet er bekendt med, at Google flere gange har besvaret spørgsmål fra artikel 29-gruppen vedrørende Steeet View. I forlængelse af det sidste svar af 6. oktober 2009 har Google tillige offentliggjort et blog-indlæg om, hvad de gør for at imødekomme artikel 29-gruppen.
Google har i den forbindelse oplyst, at de i særdeleshed føler sig forpligtet til at give yderligere oplysninger til offentligheden og til at indføre sletterutiner for de uslørede billeder.
Det fremgår endvidere, at Google vil anvende en opbevaringsperiode på et år fra offentliggørelsen af et billede, med reduceret periode for billeder, som brugere anmoder dem om at fjerne.
Google henviser til, at de har arbejdet tæt sammen med den irske databeskyttelseskommissærs kontor omkring fastlæggelsen af denne opbevaringsperiode, og at de i den forbindelse har givet nærmere information om den interne proces, som billeder går igennem, inden de kan sløres permanent.
Også med hensyn til information til offentligheden har Google annonceret forbedringer. Der vil i løbet af de næste måneder blive lanceret nye websites i alle de lande, som er omfattet af Street View. Disse sites vil give præcis og rettidig information til offentligheden om, hvor bilerne med kameraer opererer.
Endeligt er det oplyst, at Google vil fortsætte med at opfylde og styrke den privacy beskyttelse, som virksomheden har lagt ind i produktet. I særdeleshed udforsker de hele tiden nye muligheder for at forbedre virksomhedens slørings-teknologi, og de vil naturligvis udrulle sådanne forbedringer globalt.
3. I den anledning skal Datatilsynet udtale følgende:
3.1. Datatilsynet har noteret sig, at det fremgår af anmeldelsen, at der ikke behandles følsomme personoplysninger i forbindelse med Street View. Dette er efter tilsynets opfattelse i tråd med, hvordan tilsynet har vurderet behandling af personoplysninger i forbindelse med f.eks. tv-overvågning.
Da der ikke behandles følsomme personoplysninger, anser Datatilsynet behandlingerne for undtaget fra anmeldelsespligten efter persondatalovens kapitel 13, og der kræves heller ikke forudgående tilladelse fra Datatilsynet.
Datatilsynet betragter således alene anmeldelsen som en meddelelse om, at Google Inc. behandler personoplysninger inden for rammerne af den danske persondatalov, jf. persondatalovens § 4, stk. 3, nr. 1, og at Google Danmark er udpeget som repræsentant, jf. lovens § 4, stk. 5.
Datatilsynet skal for god ordens skyld understrege, at persondataloven finder anvendelse, selv om behandlingen er fritaget for anmeldelse til Datatilsynet. Datatilsynet forudsætter således, at persondataloven iagttages.
Tilsynet skal i denne forbindelse særligt fremhæve grundbetingelsen i persondatalovens § 5 om god databehandlingsskik, hvori ligger, at behandlingen skal være rimelig og lovlig. En rimelig behandling forudsætter bl.a., at registrerede personer kan få kendskab til en behandlings eksistens. Datatilsynet opfordrer Google til at fortsætte indsatsen med at gøre informationer om databehandlingen i forbindelse med Street View tilgængelige for den danske befolkning.
Datatilsynet har i den forbindelse noteret sig, at Google i sin e-mail af 6. oktober 2009 til artikel 29-gruppen har tilkendegivet, at der på websites i alle de lande, som er omfattet af Street View, vil blive give præcis og rettidig information til offentligheden om, hvor bilerne med kameraer opererer.
Tilsynet forudsætter, at en sådan dansk website bliver tilgængelig snarest, og at eventuelle yderligere optagelser i Danmark først sker, når de lovede informationer er tilgængelige.
Datatilsynet skal endvidere fremhæve grundreglen om saglighed og formålsbestemthed i persondatalovens § 5, stk. 2. I relation til Street View er det særligt vigtigt at være opmærksom på, at denne regel sætter grænser for, hvad de rå optagelser, som Google måtte ligge inde med, må anvendes til.
Herudover skal Datatilsynet fremhæve proportionalitetsgrundsætningen i § 5, stk. 3, som indebærer, at behandlingen ikke må gå videre, end der kræves til opfyldelse af de formål, som den dataansvarlige er berettigede til at følge. Hertil kommer sletningsreglen i persondatalovens § 5, stk. 5, om, at oplysninger ikke må opbevares i identificerbar form i længere tid end, hvad der er nødvendigt af hensyn til de formål hvortil oplysningerne indsamles, eller i forbindelse med hvilke oplysningerne senere behandles, jf. § 5, stk. 2.
Datatilsynet skal i den forbindelse understrege vigtigheden af, at Google begrænser behandlingen af de rå optagelser til det nødvendige, og at virksomheden må have så korte slettefrister for disse billeder som muligt. Datatilsynet har noteret sig, at Google vil anvende en opbevaringsperiode på et år fra offentliggørelsen af et billede, med reduceret periode for billeder, som brugere anmoder dem om at fjerne, samt at denne opbevaringsperiode er fastsat efter dialog med den irske databeskyttelseskommissær.
Tilsynet forudsætter, at Google endvidere vil leve op til persondatalovens regler om de registrerede personers rettigheder, og at Google vil beskytte oplysningerne med de fornødne sikkerhedsforanstaltninger, som det også er krævet efter persondataloven.
Datatilsynet kan samtidig understrege, at når Google iværksætter offentliggørelse af billeder optaget i Danmark, vil tilsynet være meget opmærksomt på, om der er sket den fornødne sløring. Tilsynet vil ligeledes være klar til at bistå borgere, som ikke finder, at Google har sløret billeder tilstrækkeligt.
Datatilsynet afventer i øvrigt udfaldet på artikel 29-gruppens dialog med Google.
Afslutningsvis skal det for god ordens skyld oplyses, at tilsynet forventer at offentliggøre dette brev på sin hjemmeside.