Journalnummer: 2015-631-0122
1. Datatilsynet vender hermed tilbage til sagen om Dades A/S’ registrering af nummerplader ved parkering på RO’s Torv.
Datatilsynet blev via en borgerhenvendelse og en efterfølgende søgning på internettet opmærksom på, at Dades A/S foretager registrering af nummerplader på parkeringsområdet ved RO’s Torv i Roskilde.
På den baggrund anmodede Datatilsynet ved breve af 17. august 2015 og 2. december 2015 om udtalelser til sagen.
APCOA Parking Danmark A/S er på vegne af Dades A/S kommet med udtalelser til sagen ved breve af 25. september 2015 og 27. januar 2016.
2. Registrering af nummerplader på RO’s Torv
Det fremgår af udtalelserne til sagen og af pressens omtale af systemet, at registreringen af nummerplader sker, når en bil kører ind på parkeringsanlægget på RO’s Torv.
Inden udkørsel skal man indtaste bilens registreringsnummer på en automat, hvorefter betaling for parkering i over 2 timer kan foretages.
Når bilen forlader parkeringsområdet, registreres det, 1) om bilen har holdt under 2 timer, hvilket er gratis, 2) om bilen har holdt over 2 timer og foretaget korrekt betaling, før parkeringsområdet forlades, eller 3) om bilen har holdt over 2 timer, uden der er foretaget korrekt betaling, før parkeringsområdet forlades.
Hvis der ikke er foretaget korrekt betaling, når parkeringsområdet forlades, har man mulighed for at foretage efterfølgende betaling via internettet inden midnat samme dag. Hvis denne betaling heller ikke sker, vil bilens registrerede ejer modtage et girokort på den manglende betaling samt et gebyr herfor.
Ved indkørslen til parkeringsområdet er der skilte, hvoraf bl.a. fremgår: ”2 timers gratis parkering, automatisk nummerpladeaflæsning, husk dit registreringsnummer, der skal bruges ved automaten.”
3. Dades A/S’ udtalelser til sagen
Dades A/S har til sagen bl.a. anført, at registrering af nummerpladerne ved parkering sker i overensstemmelse med persondatalovens1 § 6, stk. 1, nr. 7, og § 5, idet Dades A/S har en berettiget interesse i at kunne rette krav og forfølge dette, når der ikke betales for en parkering i henhold til den opslåede skiltning.
Endvidere har Dades A/S anført, at oplysninger om nummerplader på biler, der har holdt under 2 timer, ønskes opbevaret i 15 måneder, idet det vil være nødvendigt for at kunne finde eventuelle fejl i systemet, for at kunne optimere parkeringsoplevelsen og for at sikre størst mulig driftsikkerhed.
Dades A/S har derudover anført, at oplysninger om nummerplader på biler, der har holdt over 2 timer og foretaget korrekt betaling, før parkeringsområdet forlades, ønskes opbevaret i 5 år, idet behandlingen vil være nødvendig for at overholde den retlige forpligtelse, der følger af bogføringslovens § 10.
Endvidere har Dades A/S anført, at oplysninger om nummerplader på biler, som har holdt over 2 timer, uden der er foretaget korrekt betaling, før parkeringsområdet forlades, som udgangspunkt ønskes opbevaret i 3 år grundet forældelsesreglerne i forældelsesloven, men bliver opbevaret i 5 år i henhold til bogføringslovens § 10.
Dades A/S har endelig i forbindelse med registrering af indehaveren af parkeringskort for personer med handicap anført, at der som minimum registreres navn og registreringsnummer på bilen, og at Dades A/S finder, at dette ikke er følsomme personoplysninger.
4. Datatilsynets udtalelse
4.1. Persondataloven
Persondataloven gælder ifølge lovens § 1, stk. 1, for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling, og for ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
Ved personoplysning forstås enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede).
Behandling af almindelige ikke-følsomme oplysninger, herunder f.eks. oplysninger om navn, telefonnummer og nummerplade, skal ske i overensstemmelse med persondatalovens § 6, stk. 1, nr. 1-7. Behandling kan herefter bl.a. ske, hvis den registrerede har givet udtrykkeligt samtykke hertil, jf. § 6, stk. 1, nr. 1, behandlingen er nødvendig af hensyn til opfyldelsen af en aftale, som den registrerede er part i, jf. § 6, stk. 1, nr. 2, behandlingen er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige, jf. § 6, stk. 1, nr. 3, eller hvis behandlingen er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en berettiget interesse, og hensynet til den registrerede ikke overstiger denne interesse, jf.
§ 6, stk. 1, nr. 7.
Behandling af følsomme personoplysninger, herunder oplysninger om helbredsmæssige forhold og oplysninger af rent privat karakter, er omfattet af lovens §§ 7-8. Såfremt en privat dataansvarlig behandler følsomme personoplysninger, skal der forinden iværksættelse af behandlingen foretages anmeldelse til og indhentes tilladelse fra Datatilsynet, jf. §§ 48-50.
Samtidig følger det af persondatalovens § 5, stk. 2, at indsamling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, og senere behandling må ikke være uforenelig med disse formål.
Af lovens § 5, stk. 5, følger det endvidere, at indsamlede oplysninger ikke må opbevares på en måde, der giver mulighed for at identificere den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles.
4.2. Bogføringsloven
Det følger af bogføringslovens2 § 10, stk. 1, at den bogføringspligtige skal opbevare regnskabsmaterialet på betryggende vis i 5 år fra udgangen af det regnskabsår, materialet vedrører. Opbevaringen skal ske på en måde, som i hele opbevaringsperioden muliggør en selvstændig og entydig fremfinding af det pågældende regnskabsmateriale.
Som regnskabsmateriale forstås ifølge § 3, stk. 1, nr. 1, bl.a. registreringer, herunder transaktionssporet.
Ved transaktionssporet forstås den sammenhæng, der er mellem de enkelte registreringer og den bogføringspligtiges årsregnskab, skatte- eller afgiftsopgørelse, tilskudsregnskab eller tilsvarende regnskabsopstilling, der skal udarbejdes i henhold til lovgivning, jf. § 4, stk. 1.
Det følger af forarbejderne til bogføringsloven3, at transaktionssporet er et samleudtryk for de oplysninger, der efter § 4, stk. 1, skal sikre, at det altid er muligt at kontrollere, om alle registreringer er medtaget i regnskabet og hvilke registreringer regnskabets poster er sammensat af, og at virksomheden derfor nøje skal dokumentere, hvorledes de enkelte konti i bogføringen samles til poster i regnskabet eller opgørelsen.
4.3. Datatilsynets vurdering
Indledningsvis skal Datatilsynet udtale, at tilsynet generelt finder, at parkeringsselskaber efter omstændighederne ved registrering af bilers registreringsnumre, når bilen holder parkeret i strid med parkeringsanvisningerne, forfølger en berettiget interesse, og at hensyn til den registrerede ikke overstiger denne, jf. persondatalovens § 6, stk. 1, nr. 7.
Datatilsynet må dog forbeholde sig sin endelige stillingtagen til spørgsmålet om Dades A/S’ registrering af bilers registreringsnummer på RO’s Torv til en konkret klagesag.
4.3.1. Slettefrist ved parkering under 2 timer
For så vidt angår registrering af bilens registreringsnummer, når bilen har parkeret under 2 timer, finder Datatilsynet, at Dades A/S ikke har anført tilstrækkelige grunde til at opbevare oplysningerne i 15 måneder.
Ud fra det til sagen oplyste finder Datatilsynet derfor, at opbevaring af oplysninger i 15 måneder er i strid med persondatalovens § 5, stk. 5.
På det foreliggende grundlag finder tilsynet, at oplysningerne skal slettes uden ugrundet ophold efter, at bilen har forladt parkeringsområdet.
4.3.2. Slettefrist ved parkering over 2 timer med efterfølgende betaling
For så vidt angår registrering af bilens registreringsnummer, når bilen har parkeret over 2 timer med korrekt efterfølgende betaling, finder Datatilsynet, at Dades A/S ikke er forpligtet efter bogføringslovens § 10, jf. § 3, jf. § 4, til at opbevare personoplysninger i form af nummerplade for at opfylde bogføringslovens dokumentationskrav.
Ud fra det til sagen oplyste finder Datatilsynet derfor, at opbevaring af oplysninger i 5 år er i strid med persondatalovens § 5, stk. 5.
Datatilsynet har – ved tilsynets vurdering – derudover også lagt vægt på, at ved parkering i f.eks. p-huse med bom, hvor der købes en kontantbillet, registreres nummerpladen ikke, hvorfor det må lægges til grund, at der ikke er krav efter bogføringsloven til at registrere registreringsnummeret ved almindelig parkeringsbetaling.
Idet Dades A/S ikke ses at have anført andre tilstrækkelige grunde til opbevaringen i 5 år, finder Datatilsynet på det foreliggende grundlag, at oplysningerne skal slettes uden ugrundet ophold efter, at parkeringen er korrekt betalt, og bilen har forladt parkeringsområdet.
4.3.3. Slettefrist ved parkering over 2 timer uden efterfølgende betaling
Det følger af forældelseslovens4 § 3, stk. 1, at fordringer som udgangspunkt forældes efter 3 år.
Datatilsynet finder, at det vil kunne være nødvendigt at opbevare personoplysninger, herunder oplysninger om registreringsnummer, i det tilfælde, hvor Dades A/S har et krav mod en person for manglende betaling for parkering.
Efter Datatilsynets opfattelse kan Dades A/S efter persondatalovens § 5, stk. 5, opbevare oplysningerne, indtil kravet er indfriet, eller fordringen er forældet efter forældelseslovens regler.
For så vidt angår oplysningerne fra det udsendte og eventuelt betalte girokort vurderer Datatilsynet, at disse oplysninger efter bogføringslovens § 10 kan opbevares i 5 år.
Datatilsynet må imidlertid umiddelbart anse det for tvivlsomt, om det hermed også er nødvendigt efter bogføringslovens regler at opbevare oplysninger om bilen registreringsnummer. Datatilsynet lægger bl.a. vægt på, at hvis girokortet er betalt, foreligger der ikke længere nogen tvist, og tilsynet stiller sig derfor tvivlende over for nødvendigheden af at opbevare oplysninger om bilens registreringsnummer, herunder hvornår bilen er kørt ind og ud ad parkeringsanlægget.
Datatilsynet skal desuden henvise til persondatalovens § 5, stk. 3, og stk. 5.
4.3.4. Registrering af indehavere af parkeringskort for personer med handicap
Det følger af bekendtgørelse om parkeringskort for personer med handicap5 § 6, at parkeringskort udstedes til personer, som opfylder betingelserne for støtte til køb af bil i henhold til servicelovens bestemmelser eller regler fastsat i medfør heraf.
Efter servicelovens6 § 114, stk. 1, ydes der støtte til køb af bil til personer med en varigt nedsat fysisk eller psykisk funktionsevne.
Endvidere udstedes parkeringskort til personer, som er godkendt til at deltage i den individuelle handicapkørsel for svært bevægelseshæmmede, som er etableret som fritidskørsel.
Endelig udstedes parkeringskort til personer med stærkt reduceret gangdistance, varig nedsættelse af funktionsevnen eller lignende helbredsmæssige forhold, der i væsentlig grad forringer eller vanskeliggør evnen til at færdes, muligheden for at opnå eller fastholde et arbejde, eller muligheden for at gennemføre en uddannelse.
Datatilsynet finder på den baggrund, at en oplysning om, at man er indehaver af et parkeringskort for personer med handicap, kan være en følsom oplysning om helbredsmæssige forhold omfattet af persondatalovens § 7, stk. 1, idet en oplysning om, at man har et parkeringskort for personer med handicap de facto kan være en oplysning om ens helbredsmæssige forhold.
Såfremt Dades A/S fortsat ønsker at behandle følsomme personoplysninger, skal der derfor ske anmeldelse via Datatilsynets hjemmeside7. Datatilsynet bemærker for god ordens skyld, at tilladelse til behandlingen skal indhentes forinden iværksættelsen af behandlingen, jf. § 50, stk. 1, og at anmeldelsespligtig behandling uden forudgående tilladelse er strafbart, jf. lovens § 70, stk. 1, nr. 1.
5. Afsluttende bemærkninger
Datatilsynet lægger til grund, at Dades A/S indretter behandlingen af personoplysninger ved parkering på RO’s Torv i overensstemmelse med ovenstående.
Spørgsmålet om underretning efter persondatalovens §§ 28-29 har ikke været genstand for nærværende sag, men Datatilsynet forudsætter, at behandling af registreringsnumre sker i overensstemmelse hermed.
Datatilsynet anser hermed sagen for afsluttet og foretager sig ikke yderligere.
Det skal for god ordens skyld bemærkes, at Datatilsynet forventer at offentliggøre denne udtalelse på tilsynets hjemmeside.
1 Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med senere ændringer.
2 Lovbekendtgørelse nr. 648 af 15. juni 2006 med senere ændringer.
3 De specielle bemærkninger til § 4 i lovforslag nr. L 63, 1998-1999, 1. samling.
4 Lovbekendtgørelse nr. 1238 af 9. november 2015 om forældelse af fordringer (forældelsesloven).
5 Bekendtgørelse nr. 661 af 11. juni 2010 med senere ændringer.
6 Lovbekendtgørelse nr. 1284 af 17. november 2015 med senere ændringer.
7 www.datatilsynet.dk/blanketter/privat-sektor/blanket-til-oevrig-privat-virksomhed/1.