Personvernnemndas vedtak 9. mars 2021 (Mari Bø Haugstad, Bjørnar Borvik, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin)
Saken gjelder klage fra A på Datatilsynets vedtak 20. desember 2018 der Datatilsynet avsluttet en sak mot bompengeselskapet Vegfinans AS om uriktige passeringsdata, uten å gi pålegg om retting.
Sakens bakgrunn
Bomstasjonen på Bommestad på E18-strekningen Skinmo-Sky-Bommestad ved Larvik, ble satt i drift 9. mai 2018. Etter åpning ble det oppdaget at klokka på bomstasjonen gikk ca. 7 minutter feil, noe som ga tilsvarende uriktig tidsregistrering på de bilene som passerte. Feilen ble rettet opp i begynnelsen av juni 2018 med virkning for nye passeringer.
I fakturaen A mottok fra Vegfinans AS for passeringer i mai 2018 var passeringene oppgitt med den uriktige tidsregistreringen. A kontaktet bompengeselskapet 5. juli 2018 og ba om at opplysningene om passeringstidspunkt ble rettet eller slettet. Bompengeselskapet svarte A 6. juli 2018 at de var kjent med feilen, at den var rettet og at det av sikkerhetsmessige årsaker ikke var mulig å endre de registrerte passeringstidspunktene. De opplyste samtidig at ved en eventuell utlevering av opplysninger til politiet vil bompengeselskapet opplyse om relevante forhold, som uriktig tidsregistrering.
A brakte saken inn for Datatilsynet 15. august 2018. Han ønsket å få rettet de uriktige opplysningene om passeringstidspunkt, samt klaget over manglende overholdelse av informasjonsplikten etter personvernforordningen.
Datatilsynet skrev til Vegfinans AS som ga sin redegjørelse i brev 10. desember 2018. Datatilsynet vurderte de innhentede opplysningene og konkluderte med at redegjørelsen fra Vegfinans AS var tilfredsstillende. De avsluttet deretter saken i brev til Vegfinans AS 20 desember 2018 uten å gi pålegg. A mottok kopi av brevet, samt kopi av redegjørelsen fra Vegfinans AS.
A framsatte rettidig klage 24. desember 2018. Datatilsynet innhentet ytterligere opplysninger fra Statens vegvesen vedrørende tekniske krav knyttet til tidsregistrering ved bompengepasseringer, herunder hvorvidt klokka ved bompengepasseringer kan tilbakestilles. Statens vegvesen ga sin redegjørelse 24. januar 2019 og bekreftet at det ikke er systemteknisk mulig å endre tidspunktet for registrerte passeringer.
Datatilsynet oversendte redegjørelsen til A dagen etter og opplyste blant annet at tilsynet ikke pålegger Vegfinans AS å rette opplysning om passeringstidspunkt, men at tilsynet har gitt beskjed til både Statens vegvesen og Vegfinans AS at de for framtiden må etablere informasjonsløsninger på sin hjemmeside hvor det kan informeres om slike feil i systemet.
Etter dette har A redegjort ytterligere for sitt syn og opprettholdt sin klage i flere skriv til Datatilsynet, herunder e-poster 5. februar, 20. mai og 17. juli 2019, samt 10. februar 2020. Datatilsynet har besvart A henvendelser i brev 26. april og 10. juli 2019.
Tilsynet opprettholdt sin vurdering og oversendte saken til Personvernnemnda 17. november 2020. Partene ble orientert om saken i brev fra nemnda 14. desember 2020, og fikk anledning til å komme med eventuelle kommentarer. A har gitt sin kommentar i e-post til nemnda 15. februar 2021.
Saken ble behandlet i nemndas møte 9. mars 2021. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem og Morten Goodwin. Sekretariatsleder Anette Klem Funderud var også tilstede.
Datatilsynets vurdering i hovedtrekk
Retting
Datatilsynet legger til grunn at informasjonen og vurderingene Vegfinans AS og Statens vegvesen har gitt om feilregistreringen er tilfredsstillende. Statens vegvesen har sannsynliggjort at det er tekniske hindre for korrigering av tidspunktet på klokken i ettertid, men at berørte kan få en bekreftelse på riktig tidspunkt når det er ønskelig. At det gis supplerende opplysninger om tidspunktet vil være i tråd med personvernforordningen artikkel 16 om retting.
Datatilsynet viser til at hensikten med bestemmelsene må være å pålegge den ansvarlige å gjennomføre tiltak som sikrer at den registrertes personopplysninger totalt sett gir et korrekt bilde.
Datatilsynet anser at selskapets tiltak med å supplere opplysningene om feil i klokken, med en bekreftelse av riktig tid, oppfyller intensjonene bak og kravene til forordningens artikkel 16, jf. fortalepunkt 39 som begrenser retteplikten til «rimelige tiltak».
Informasjon til de registrerte
Tilsynet viser til A klage om at det ikke var gitt informasjon til kundene når slik feilregistrering skjedde. I brev til A 10. juli 2019 informerte Datatilsynet om at dette ville bli tatt opp i et kommende møte med Autopass-selskapene, noe som ble gjort uten at Datatilsynet påpekte hvordan slik informasjon skulle tilkjennegis.
Datatilsynet la til grunn at det er selskapene selv som skal vurdere hvorvidt informasjon og klageadgang skal framgå av fakturaen eller på annen måte, og at valg av informasjonsmåte ikke er noe Datatilsynet tar stilling til.
Tilsynet viser videre til personvernforordningen artikkel 34, som sier at de registrerte skal varsles om brudd på personopplysningssikkerheten uten ugrunnet opphold hvis bruddet vil medføre en høy risiko for fysiske personers rettigheter og friheter. Datatilsynet vurderer at en feil på 7 minutter i klokkene trolig ikke medfører noen høy risiko for fysiske personers rettigheter og friheter og at det derfor ikke vil være noen plikt for selskapet til å informere om bruddet.
Personvernombud
Når det gjelder spørsmålet om Vegfinans AS har en plikt til å ha personvernombud, legger Datatilsynet til grunn at A ikke har partsrettigheter og dermed ikke klagerett. Tilsynet opplyser imidlertid at Vegfinans AS har meldt inn at de har opprettet et personvernombud.
Datatilsynets konklusjon
Datatilsynet opprettholder sin vurdering av at Vegfinans AS har gitt en tilfredsstillende redegjørelse om sin behandling av personopplysninger og at det ikke er behov for å treffe avgjørelse om korrigerende tiltak, jf. personopplysningsloven § 58 nr. 2.
As syn på saken i korte trekk
Det er ikke grunnlag for Datatilsynet å avslutte denne saken.
I fakturaen han mottok fra Vegfinans AS framgikk det at han hadde passert bomstasjonene Skinmo-Sky-Bommestad. Det er ikke fysisk mulig med de oppgitte tidspunktene. Feilregistreringen på 7 minutter må rettes, slik at fakturaen blir riktig, ved å utelate klokkeslett. Vegfinans AS og Statens vegvesen har ikke forklart hvorfor klokken gikk feil.
Personopplysninger fra veikantutstyr i bomstasjonene skal slettes når kunden har betalt for passering. At opplysningene fra veikantutstyr i bomstasjonene ikke kan endres er godt begrunnet, men bokføringsdokumentasjon, som skal lagres lengre bør/må kunne korrigeres når det påvises feil ved dokumentasjonen.
Forordningens dataminimeringsprinsipp tilsier at behandling av personopplysninger skal begrenses til det som er nødvendig for formålet de behandles for, og være korrekte, jf. personvernforordningen artikkel 5 nr. 1 bokstavene c og d. Fakturadokumentasjon skal lagres i henhold til bestemmelser i bokføringslovgivningen. Bokføringsforskriften stiller kun krav til registrering av sted og dato for levering av ytelse. Registrering av klokkeslett er kun et krav ved kontantsalg der tidspunktet er avgjørende for hva som skal betales. Klokkeslett for passering trenger dermed ikke framgå av fakturaen når det ikke er nødvendig for å fastsette hva som skal betales for passeringen. Klokkeslettet skulle ikke ha vært angitt for passeringer ved Bommestad, men når det først er angitt, skal klokkeslettet være korrekt, jf. bokføringsloven § 10 første ledd: «Dokumentasjon skal utstedes med et korrekt og fullstendig innhold og vise de bokførte opplysningenes berettigelse». Bokføringsloven §10 første ledd fastslår også at dokumentasjon ikke skal endres etter utstedelse. Retting av feil må gjøres med ny dokumentasjon, jf. § 9 første ledd siste punktum.
Datatilsynets vurdering i brev 25. januar 2019 er mangelfullt begrunnet.
Personvernforordningen artikkel 12 nr. 1 og nr. 2 pålegger den behandlingsansvarlige å gi den registrerte informasjon om rettigheter etter artiklene 13 og 14, og legge til rette for at den registrerte kan utøve sine rettigheter i henhold til artikkel 15 til 22. Videre angir artikkel 14 nr. 3 bokstav b at den behandlingsansvarlige skal gi informasjonen nevnt i nr. 1 og 2 senest på tidspunktet for den første kommunikasjonen med vedkommende.
Bompengeselskap skal ha personvernombud, og det skal gis informasjon om klageadgang, jf. artikkel 14 nr. 1 bokstav b og nr. 2 bokstav e. Det er Datatilsynet som skal ta stilling til slike problemstillinger når de mottar en klagesak, og ikke henvise til forbrukermyndighetene, slik tilsynet gjør i brev 26. april 2019.
Vegfinans AS' syn på saken i korte trekk
Vegfinans er gitt rett til å kreve inn bompenger på offentlig veg, jf. veglova § 27 første ledd. Behandlingsgrunnlaget følger av veglova § 27 femte ledd. Selskap som er gitt fullmakt fra departementet til å kreve inn bompenger kan behandle personopplysninger når det er nødvendig for å utføre denne oppgaven.
Utbyggingen av E18 gjennom Vestfold er delfinansiert ved bompenger. Siste parsell ble ferdigstilt og bomstasjon ved Bommestad ble satt i drift 9. mai 2018. Ved passering av en bomstasjon blir det registrert tid og sted for passeringen.
En tid etter idriftsettelse av bomstasjonen ble det avdekket at klokken på bomstasjonen gikk feil. Klokken ved bomstasjonen gikk da ca. 7 minutter for sent. Feilen ble korrigert den 11. juni 2018. Passeringer foretatt etter korrigeringen har riktig tidspunkt. Endring av passeringsopplysningene er ikke mulig, da det ellers ville være mulig å manipulere dataene som ligger til grunn for innkreving av bompenger. Det er ikke mulig å endre tidspunkt for passeringer som fant sted i mai og begynnelsen av juni, og som er bakgrunnen for henvendelsen fra A.
Formålet for registreringen og behandlingen av passeringsinformasjonen er innkreving av bompenger. Det er selve passeringen og registreringen av denne som er avgjørende for betalingsplikten. En forskyvning i tidsregistreringen er ikke avgjørende for skyldners forpliktelse til å betale. A har ikke bestridt at han har passert bomstasjonen, men har nektet å betale bompengene fordi tidsregistreringen var feil. Ved bomstasjonene på E18 gjennom Vestfold er det lik pris hele døgnet og tidsregistreringen er derfor ikke av betydning for størrelsen på bompengene. Tidsforskyvingen har også vært begrenset. Feil på tidsregistreringen har følgelig ikke hatt noen annen betydning for de registrerte. Det er derfor heller ikke blitt ansett nødvending å varsle noen av de berørte.
Vegfinans anser at selskapets plikter etter personvernforordningen artikkel 5 nr. 1 bokstav d, jf. artikkel 5 nr. 2 som oppfylt.
Personvernnemndas vurdering
Personvernnemnda skal først ta stilling til om Vegfinans AS plikter å rette, eventuelt ved å slette, de registrerte passeringstidspunktene ved en bestemt bomstasjon som A passerte i mai 2018. Det er på det rene at passeringstidspunktet ved den aktuelle bomstasjonen registrerte tiden feil med ca. 7 minutter. Feilen med klokka er i ettertid rettet. Rettelsen medførte at nye passeringer ble registrert med rett tidspunkt, men medførte ingen endring av de feilregistrerte tidspunktene.
Personvernforordningen artikkel 5 fastsetter prinsipper for behandling av personopplysninger. I artikkel 5 nr. 1 bokstav c framgår det at behandlingen av personopplysningene skal være adekvat, relevant og begrenset til de formålene de behandles for. Artikkel 5 nr. 1 bokstav d stiller videre krav om at opplysningene skal være korrekte og om nødvendig oppdaterte og at det må det treffes «rimelige tiltak» for å sikre at personopplysninger som er uriktige med hensyn til formålene de behandles for, uten opphold slettes eller rettes.
Personvernforordningen artikkel 16 gir videre den registrerte rett til retting:
«Den registrerte skal ha rett til å få uriktige personopplysninger om seg selv rettet av den behandlingsansvarlige uten ugrunnet opphold. Idet det tas hensyn til formålene med behandlingen skal den registrerte ha rett til å få ufullstendige personopplysninger komplettert, herunder ved å framlegge en supplerende erklæring.»
Nemnda legger til grunn at den registrertes adgang til å kreve retting etter artikkel 16 må vurderes i lys av formålet opplysningene behandles for, jf. personvernforordningen artikkel 5 nr. 1 bokstav d. Formålet med Vegfinans AS' registrering av tidspunkt for bompassering er korrekt innkreving av bompenger. Det er passeringen av bomringen og registreringen av denne som utløser betalingsplikt. Registrering av tidspunkt gjør det mulig for begge parter å dokumentere hvorvidt passering faktisk har skjedd. Den uriktige tidsregistreringen medførte i dette tilfellet ikke uriktig pris idet bompasseringen ved den aktuelle bomstasjonen er priset likt hele døgnet. I foreliggende sak hadde derfor den unøyaktige tidsregistreringen ingen betydning for Vegfinans AS' innkreving av bompenger og dermed heller ikke for As betalingsplikt. Dette har etter nemndas vurdering betydning for hvor langt retteplikten strekker seg og for hvor omfattende tiltak som kreves av den behandlingsansvarlige for å rette de uriktige opplysningene.
Statens vegvesen og Vegfinans AS har videre opplyst at det ikke er systemteknisk mulig å endre tidsregistreringen for tidligere passeringer.
Nemnda er etter dette enig med Datatilsynet i at Vegfinans AS ikke skal pålegges å rette eller slette de registrerte opplysningene. Etter nemndas vurdering har A fått rettet opplysningene i henhold til personvernforordningen artikkel 16 gjennom klagen til Vegfinans AS, hvor det framkommer at tidsregistreringen var ca. 7 minutter feil på det aktuelle tidspunktet.
Nemnda går så over til å vurdere om Vegfinans AS har brutt sin informasjonsplikt ved ikke å informere om de uriktige tidsregistreringene.
Den uriktige klokken i tidsregistreringssystemet ved den aktuelle bomstasjonen, som medførte at det ble registrert uriktige opplysninger om klokkeslettet for bilenes passeringer, representerer et brudd på personopplysningssikkerheten. Etter personvernforordningen artikkel 34 nr. 1 skal den behandlingsansvarlige uten ugrunnet opphold underrette den registrerte om brudd på personopplysningssikkerheten dersom det er sannsynlig at bruddet vil medføre en høy risiko for fysiske personers rettigheter og friheter. Nemnda er enig med Datatilsynet i at den uriktige tidsregistreringen, som ble rettet i juni 2018, åpenbart ikke medfører noen høy risiko for As rettigheter og friheter. Vegfinans AS har derfor ikke brutt personopplysningsloven ved ikke å gi A informasjon om de uriktige opplysningene, før A selv tok kontakt med bompengeselskapet 5. juli 2018 og deretter fikk forklaringen på feilregistreringen i e-post dagen etter.
A har i sin klage også bedt om en vurdering av Vegfinans AS' praksis med å iverksette inkasso for ubetalte bompengepasseringer mens saken er til behandling hos Datatilsynet. Dette spørsmålet faller utenfor Personvernnemndas ansvarsområde. Det samme gjelder spørsmålet om den tilsendte fakturaen er utformet i tråd med bokføringslovens regler. Nemnda går derfor ikke nærmere inn på disse spørsmålene.
Nemnda er videre enig med Datatilsynet i at A ikke har partsrettigheter knyttet til spørsmålet om Vegfinans AS etter personvernforordningen plikter å ha et personvernombud.
Konklusjon
A får ikke medhold i sitt krav om retting av uriktig tidsregistrering ved bompengepassering i mai 2018.
Datatilsynets vedtak om å avslutte saken uten å gi pålegg opprettholdes.
Vedtaket er enstemmig.
Oslo, 9. mars 2021
Mari Bø Haugstad
Leder