Datatilsynet har undersøgt Rejsekort & Rejseplan A/S’ behandling af personoplysninger i Rejsekort-appen og har undervejs indhentet en række redegørelser fra virksomheden om appens indretning og funktion.
Sagen har været behandlet i Datarådet.
Dataminering og databeskyttelse gennem design
Rejsekort-appen bruger GPS’en i brugerens telefon til at registrere, hvor brugeren befinder sig under rejsen. Oplysningerne bruges bl.a. til at kortlægge rejsen, beregne den korrekte pris og fordele billetindtægterne mellem de forskellige transportører.
Oplysningerne om, hvor en bestemt person befinder sig på et bestemt tidspunkt er personoplysninger i henhold til databeskyttelsesreglerne.
– Oplysninger om, hvor vi befinder os og bevæger os hen, kan fortælle meget om vores privatliv. Derfor er det vigtigt, at dataansvarlige, der indsamler lokationsdata om borgere eller kunder, har fokus på at begrænse indsamlingen til det, der er nødvendigt. Det var derfor, vi indledte en undersøgelse af Rejsekort-appen, siger Morten Gjermundbo, kontorchef i Datatilsynet.
Datatilsynet stillede indledningsvis en række forskellige spørgsmål vedrørende Rejsekort-appens behandling af disse personoplysninger. Undersøgelsen har siden koncentreret sig om to centrale spørgsmål:
- om indsamlingen af lokationsoplysninger lever op til princippet om dataminimering, og
- om appens indretning lever op til princippet om databeskyttelse gennem design.
Efter en samlet vurdering finder Datatilsynet nu, at der ikke er fuldt tilstrækkeligt grundlag for at udtale kritik af Rejsekort-appen i forhold til disse to forhold.
Datatilsynets afgørelse vedrører appens design og funktion i relation til principperne om dataminimering og databeskyttelse gennem design. Afgørelsen tager dermed ikke stilling til appens overholdelse af databeskyttelsesreglerne i øvrigt.
GPS-sporing efter rejsens afslutning
Når brugeren er checket ind i Rejsekort-appen, indsamler appen løbende oplysninger om brugerens lokation under rejsen. Men hvis brugeren ikke checker ud, når rejsen er slut, kan indsamlingen fortsætte, selv om brugeren har forladt den kollektive transport. I så fald vil der ske indsamling af personoplysninger uden tilknytning til den ydelse, som Rejsekort skal levere.
Denne indsamling af personoplysninger vil potentielt kunne omfatte følsomme oplysninger – hvis brugeren efter sin rejse for eksempel besøger en kirke, modtager sundhedsbehandling eller besøger sin fagforening.
En samlet afvejning
I den samlede vurdering har Datatilsynet lagt vægt på en række forhold, der taler henholdsvis for og imod, at Rejsekort-appen er i overensstemmelse med reglerne. Blandt andet har Datatilsynet lagt vægt på, at det ifølge Rejsekort kun er en lille andel af brugerne, der glemmer eller undlader at checke ud. Samtidig har Datatilsynet noteret sig, at Rejsekort er et landsdækkende system, som henvender sig til hele befolkningen.
Datatilsynet har endvidere lagt vægt på, at Rejsekort har iværksat en række tiltag for at begrænse risikoen for unødig indsamling af lokationsoplysninger. Rejsekort har f.eks. udarbejdet vejledningsmateriale om brugen af appen og indbygget en række hjælpefunktioner. Det gælder bl.a. advarsler om check ud, muligheden for at aktivere funktionen ”smart check ud” og et tvunget automatisk check ud af inaktive rejser én gang i døgnet.
Datatilsynet har dog også lagt vægt på, at flere af disse hjælpefunktioner kræver et aktivt tilvalg fra brugernes side. Endelig har det haft betydning, at brugerne er forpligtet til at checke ud, når rejsen er slut.
Efter en grundig, samlet afvejning af de argumenter, der taler for og imod, har Datatilsynet nu konkluderet, at der ikke er fuldt tilstrækkeligt grundlag for at udtale kritik af Rejsekort-appen.
Principielle spørgsmål blev drøftet på europæisk niveau
Sagen har rejst generelle spørgsmål om, hvordan reglerne om dataminimering og databeskyttelse gennem design skal fortolkes i forbindelse med en app-løsning, der fungerer som Rejsekort-appen. Da den tekniske løsning bag appen også anvendes til billetløsninger i andre europæiske lande, valgte Datatilsynet i juni 2025 at konsultere andre europæiske databeskyttelsesmyndigheder om de centrale juridiske spørgsmål.
Tilbagemeldingerne gav imidlertid ikke en sådan klarhed, at der kunne fastlægges en ensartet tilgang. Datatilsynet tog derfor skridt til at forelægge spørgsmålene for Det Europæiske Databeskyttelsesråd (EDPB) med henblik på en formel udtalelse. Spørgsmålene blev i april 2026 drøftet på arbejdsgruppeniveau under EDPB.
Efter drøftelser på europæisk niveau var der imidlertid ikke fuld opbakning til, at spørgsmålene var egnede til en udtalelse fra EDPB. Datatilsynet besluttede derfor – efter fornyede drøftelser i Datarådet – ikke at gå videre med anmodningen til EDPB og i stedet træffe afgørelse på det foreliggende grundlag.
Med afgørelsen afslutter Datatilsynet sin undersøgelse af Rejsekort-appen, og tilsynet foretager sig ikke yderligere i sagen.