I meldingsåret har det vært store og prinsipielle saker innen samferdselssektoren. En sak som har vært under behandling hele året, og som ennå ikke har kommet til en løsning, er Statens vegvesen sitt prøveprosjekt med helautomatiske bomstasjoner i Tønsberg, Bergen (og, senere viste det seg også, Gjesdal i Rogaland). Det har også blitt foretatt en kartlegging av samferdselsektoren, herunder telekommunikasjon. Formålet var å skaffe en oversikt over registreringsomfanget av personopplysninger og i hvilken grad den enkelte har rett og en reell mulighet til å kunne ferdes uten å legge igjen spor. Som et ledd i denne kartleggingen ble det gjennomført flere tilsyn.
Rett til sporfri ferdsel?
Personvern er vanskelig å definere. Hva som oppfattes som krenkende for en person kan oppleves helt annerledes for en annen. Retten til selv å kunne bestemme over egne opplysninger er derfor et av de helt sentrale personvernprinsippene. For at selvbestemmelse skal ha et virkelig innhold må den enkelte imidlertid stå overfor reelle valg med hensyn til om man skal la andre få tilgang til, og behandle personopplysninger om seg i ulike sammenhenger.
Retten til anonym ferdsel er ikke uttrykkelig slått fast i norsk lovgivning. En slik rett kan likevel utledes av de grunnleggende rettigheter i blant annet menneskerettskonvensjonens artikkel åtte og av EUs personverndirektiv. Her heter det at enkeltpersoners grunnleggende rettigheter og friheter må respekteres, særlig retten til privatlivets fred. I både personverndirektivet og i den norske personopplysningsloven er den enkeltes selvbestemmelsesrett et av grunnprinsippene – fortrinnsvis uttrykt ved avgivelse av et frivillig, informert og uttrykkelig samtykke til behandling av personopplysninger.
Gjelder ikke ubetinget
Retten til anonym ferdsel gjelder selvsagt ikke ubetinget. Det finnes både internasjonale og nasjonale regler som begrenser den enkeltes mulighet til å reise uten å måtte gi fra seg personopplysninger. Dette gjelder for eksempel identifikasjonskontroll og registrering av personer som ønsker adgang til et geografisk område, eller å reise med bestemte transportmidler. Det finnes derfor bestemmelser om at alle passasjerer på skip som reiser over 20 nautiske mil skal registreres med navn, alder og kjønn. Opplysningene skal være tilgjengelige for redningstjenesten og andre relevante myndigheter i forbindelse med redningsarbeide.
Må tilrettelegg for sporfrie løsninger
Den grunnleggende retten det er for den enkelte å kunne ferdes fritt i det norske samfunnet uten å legge igjen elektroniske spor, forutsetter at aktørene innen samferdselssektoren må etablere sporfrie løsninger, med mindre sterke samfunnsmessige interesser skulle tilsi noe annet. Alle som planlegger løsninger som forutsetter registrering av opplysninger om individers bevegelser må derfor begrunne og dokumentere hva det er som gjør det nødvendig å gjøre unntak fra den grunnleggende retten til å kunne ferdes sporfritt.
Personopplysninger innen samferdsel - en kartlegging
Gjennom Nasjonal transportplan og Samferdselsdepartementets IKT-strategi tas det til orde for økt bruk og samordning av informasjons- og kommunikasjonsteknologi innen samferdselssektoren. Det er en uttalt målsetting at økt bruk av IKT skal bidra til bedre sikkerhet, effektivitet og nytte for de reisende. Denne utviklingen kan imidlertid komme i konflikt med personvernhensyn, ettersom økt bruk av IKT ofte også innebærer økt registrering av personopplysninger.
Datatilsynet har, blant annet gjennom forsøkene med helautomatiske bomstasjoner, erfart at personvern i bare liten grad vektlegges når nye løsninger etableres innen samferdselssektoren. Med denne bakgrunnen fant Datatilsynet det derfor nødvendig å gjennomføre en mer systematisk kartlegging av registreringsomfanget innen samferdselssektoren. Kartleggingen tok i første rekke for seg reiser ved bruk av fly og båt, øvrig kollektivferdsel og vegtrafikk. I en mer begrenset grad ble det også gjort kartlegging når det gjelder telesektoren.
Fly og båt
For reisende som benytter fly og båt, registreres det opplysninger som hvem som reiser, kjønn, passasjerkategori, eller aldersgruppe. Dersom kunden ønsker det registreres det også eventuelle preferanser for reisen. Alle disse registreringene, med unntak av preferansene, er lovpålagte og har som formål å ivareta sikkerheten til de reisende, til bruk ved ulykker eller andre hendelser. Omfanget av registrerte opplysninger er lite og de slettes kort tid etter at reisen er gjennomført.
Det ble, som ledd i kartleggingen, gjennomført stedlige tilsyn hos ett flyselskap, to reisebyråer og to ferjeselskaper. Hovedinntrykket er at selskapenes behandling av personopplysninger er i samsvar med bestemmelsene i personopplysningsloven.
Elektronisk billettering for buss og bane
Kartleggingen viste at operatørene innen kollektivtrafikken er i ferd med å gå fra det tradisjonelle billetteringssystemet til elektronisk billettering. Det ønskes innført kompatible systemer, slik at kunden kan bruke samme billett i et større geografisk område, og på sikt i hele landet. Også i en slik sammenheng er det viktig at den enkelte, uten for store økonomiske eller praktiske kostnader, fortsatt skal kunne reise kollektivt uten å legge igjen detaljerte opplysninger om seg og sitt reisemønster. De tanker og løsninger som hittil er blitt presentert for Datatilsynet synes å ivareta dette hensynet.
Strekningsvis automatisk trafikkontroll
Vegmyndighetene benytter kjøretøyenes registreringsnummer til kontroll av trafikk og trafikanter. Dette gjelder for eksempel ved passering av bomstasjoner, fartskontroller og kontroll av kjøre- og hviletid.
Datatilsynet ble under kartleggingsarbeidet gjort kjent med et prøveprosjekt som går ut på strekningsvis automatisk trafikkontroll. Dette innebærer at gjennomsnittsfarten måles mellom to kontrollpunkter. Siden denne typen fartskontroll reiser noen helt sentrale utfordringer i forhold til ivaretakelsen av personvernet, følger Datatilsynet nøye med på prøveprosjektet. Dette skal etter planen testes ut våren 2005, i området rundt Lillehammer.
Helautomatiske bomstasjoner
Datatilsynet ble på slutten av 2002 kontaktet av Statens vegvesen i forbindelse med et prøveprosjekt for helautomatiske bomstasjoner i Tønsberg og Bergen. Vegvesenet la innledningsvis opp til alternative betalingsformer, enten abonnement basert på AutoPass-brikke, eller etterskuddsfakturering basert på videoopptak av bilens registreringsnummer. I tillegg ble det lagt opp til en løsning der trafikanten kan betale kontant hos en agent for bompengeselskapet (for eksempel bensinstasjoner) innen tre dager etter passering. De registrerte passeringsopplysningene blir deretter slettet.
Løsningene innebærer at enhver passering av bomstasjonen blir registrert (blant annet bilens registreringsnummer, tid og sted). Datatilsynet meldte derfor tilbake at det i tillegg må tilbys et alternativ som gjør at det, i likhet med myntautomater eller manuell betjening, fortsatt er mulig å passere bomstasjonene uten å legge igjen personopplysninger. Datatilsynet forutsatte derfor at det, før prøveprosjektet ble igangsatt, måtte etableres et alternativ hvor det reelt sett ikke legges igjen passeringsopplysninger som kan knyttes til trafikanten.
Fortsatt ikke godt nok
For å tilfredsstille kravet om anonymitet etablerte Statens vegvesen en løsning med en AutoPass-brikke som fungerer som et ihendehaverbevis. Trafikanten deponerer på en brikke, og betaler den verdi brikken er ladet med. Ved senere lading av brikken benyttes brikkens identifikasjonsnummer som referanse for betalingen. I motsetning til abonnentsløsningen knyttes denne brikken ikke til et bestemt kjøretøy hos bompengeselskapet. Registrerte passeringsopplysninger kan dermed ikke spores tilbake til bil og trafikant.
Ved oppstart av de helautomatiske bomstasjonene i Tønsberg og Bergen i februar 2004 var det imidlertid mye som tydet på løsningen ikke fungerte slik at dette kunne regnes som et tilfredsstillende sporfritt alternativ. Det ble derfor gjennomført stedlige tilsyn både i Tønsberg og Bergen.
Datatilsynet fant at den løsningen som var valgt langt på vei sikret trafikantene sporfrihet, rent teknisk sett. Likevel var løsningen langt fra tilfredsstillende. Alternativet var betydelig underkommunisert og brikken vanskelig å få tak i. I Tønsberg måtte besøkende til og med passere bomstasjonen for å få tak i brikken på et Securitas-kontor innenfor bomringen. Løsningen ga ikke de trafikantene som besøker området en eller få ganger, en reell mulighet til å passere sporfritt. Anskaffelseskostnadene er også urimelig store for de som bare skal passere noen få ganger, og det tilbys ingen rabatter ved bruk av den anonyme brikken.
Vedtak om konsesjonsplikt
Selv om det ikke behandles sensitive personopplysninger i de helautomatiske bomstasjonene, fattet Datatilsynet høsten 2004 vedtak om at de helautomatiske bomstasjonene skal underlegges konsesjonsplikt. Vilkåret for å kunne gjøre dette, er at behandlingen åpenbart vil krenke tungtveiende personverninteresser. Etter Datatilsynets vurdering vil det være en åpenbar krenkelse av tungtveiende personverninteresser dersom det enkelte individ ikke selv kan velge hvorvidt man vil legge igjen spor om hvor man ferdes til hvilke tidspunkt langs norske veier. Med de løsninger som hittil har vært implementert tilbys trafikantene ikke løsninger som innebærer at de har et reelt valg, tatt hensyn til informasjon, tilgjengelighet, kostnader og funksjonell bruk.
Ved meldingsårets slutt var Datatilsynet fortsatt i dialog med Statens vegvesen når det gjelder å finne fram til en akseptabel løsning. Selv om det blir enighet om en teknisk løsning som ivaretar trafikantenes rett til å kunne ferdes sporfritt, vil Datatilsynet likevel innføre konsesjonsplikt for de helautomatiske bomstasjonene. Gjennom vilkår satt i konsesjon kan selskapene få felles regler for blant annet utlevering av personopplysninger, praktisering av innsynsretten og sletting av passeringsopplysningene. Datatilsynet erfarte gjennom sitt kartleggingsarbeide at dette håndteres ulikt i de forskjellige bompengeselskapene. Det er uheldig, tatt i betraktning at trafikanten, som følge av samordning selskapene imellom, kan benytte sin autopassbrikke også i andre bompengeselskaper enn sitt eget. Ensartete behandlingsrutiner vil skape forutberegnlighet for publikum.
Datatilsynet forutsetter at det ikke bygges ut nye helautomatiske bomstasjoner før det foreligger løsninger som gjør at trafikantene fortsatt kan ferdes langs norske veier uten å legge igjen detaljerte og personidentifiserbare passeringsopplysninger.
Mobiltelefon og posisjonering
Norge er på verdenstoppen når det gjelder utbredelse av mobiltelefoner og bruk av tilhørende tjenester. Denne teknologien forutsetter en automatisk utveksling av signaler, som kan gi muligheter til å kartlegge hvor innehaveren av telefonen faktisk befinner seg. Da melder spørsmålet seg straks: Hvor fritt kan disse lokaliseringsdataene brukes?
Et teknisk utgangspunkt
En mobiltelefon trenger trådløs kontakt med basestasjoner plassert på bakken for å kunne brukes. Basestasjonene kan på forespørsel kartlegge hvor telefonsettet fysisk befinner seg. Slike data kalles lokaliseringsdata. Posisjonens nøyaktighet avhenger blant annet av tettheten mellom basestasjonene. I bysentra, hvor basetettheten normalt er stor, kan lokaliseringen, slik den gjøres i dag, angis med inntil hundre meters nøyaktighet. Etter som nettverket bygges ut og moderniseres, kan stedsangivelsen bli stadig mer presis.
Den grunnleggende funksjonen for disse lokaliseringsdataene er å gi informasjon om hvor bæreren av mobilen befinner seg. Siden lokaliseringsdataene kan knyttes til enkeltpersoner (bæreren av mobilen), er de også å betrakte som personopplysninger, og bruken av disse dataene er underlagt personvernlovgivningen. Dette gir føringer for hvor lenge teleoperatørene kan lagre lokaliseringsdataene og hvordan de eventuelt kan utleveres til andre, for eksempel andre selskaper som tilbyr tjenester via mobiltelefon (innholdsleverandører).
Stor kommersiell interesse
Datatilsynet ser en betydelig økt interesse for bruk av lokaliseringsdata i kommersielt øyemed. Flere innholdsleverandører har forlengst lansert tjenester for sporing og gjenfinning av biler, båter og andre verdigjenstander via GSM. Det er for eksempel lansert tjenester som varsler mobilbrukeren om denne nærmer seg fotobokser langs veien, eller når man er i nærheten av en eller annen nærmere spesifisert tjeneste, for eksempel et underholdningstilbud.
Abonnentens egen, frivillige bruk
Når det gjelder kommersielle tjenester som mobiltelefonbæreren selv benytter seg av og har god informasjon om, vil personverntrusselen være relativt liten. Dette forutsetter imidlertid at man med vitende og vilje benytter tjenesten. Et eksempel på dette er den såkalte ”buddy –tjenesten”, levert av NetCom. Ved å sende en etterspørsel, kan man få en melding tilbake om hvor den etterspurte mobiltelefonbæreren fysisk befinner seg. Forutsetningen er imidlertid at begge har meldt seg på tjenesten, og i den forbindelse har samtykket til utlevering av lokaliseringsdataene. Dersom den etterspurte har meldt seg ut av tjenesten, vil posisjonen ikke lenger kunne utleveres til den som spør. Datatilsynet forutsetter ved slike tjenester at det med jevne mellomrom blir sendt varsel til den som blir lokalisert.
Lokalisere for å kontrollere
Det er imidlertid også flere eksempler på at lokaliseringsdata ønskes tatt i bruk i helt andre sammenhenger. Datatilsynet gav i en konkret sak utrykk for at et forsikringsselskap ikke kan basere seg på samtykke fra forsikringstakere til innhenting av lokaliseringsdata for å avdekke mulig forsikringsbedrageri. Tilsynet begrunnet dette med at et slikt samtykke i realiteten ikke vil være særlig frivillig. Det at forsikringstaker nekter å gi sitt samtykke til utlevering vil lett lede tankene til at vedkommende har noe å skjule. Dessuten ville forsikringsselskapet motta en mengde overskuddsinformasjon som er dem uvedkommende. Forsikringsselskapene bør i stedet overlate til politiet å innhente denne typen materiale.
Det er også lansert tjenester skreddersydd for at foreldre skal kunne lokalisere sine barn. Man kan da definere en sone som barnet er forutsatt å holde seg innenfor. Dersom signalene fra mobilen indikerer at barnet av en eller annen grunn har beveget seg utenfor den tillatte sonen, går et sms-varsel til foreldrene. Man har også tjenester hvor man kan følge med på Internett hvor mobilenheten til enhver tid befinner seg, vist som markører på detaljerte kart. Den samme typen tjeneste kan selvsagt benyttes også overfor andre familiemedlemmer. Ikke minst åpner også lokaliseringsteknologien for at arbeidsgivere kan få til en mest mulig effektiv drift og logistikk ('flåtestyring'). Imidlertid kan også posisjoneringsteknologien tas i bruk for å kontrollere at medarbeiderne til enhver tid er på de steder de, fra arbeidsgivers side, er forutsatt å være.
Hvor skal grensene settes?
De nye lokaliseringstjenestene reiser altså en rekke utfordringer som berører personvernet. Det går selvsagt en grense for hvor langt foreldre kan gå for å spore sine barn, eller for arbeidsgivere å spore sine ansatte. Men hvor skal streken settes? I tiden som kommer vil det bli nødvendig å foreta en rekke slike grenseoppganger, basert på helt konkrete tilfeller. Her vil ikke bare Datatilsynet måtte engasjere seg, men også arbeidstakerorganisasjoner, Arbeidstilsyn, Barneombud og så videre.
Utlevering og samtykke
Selv om begge de to store teleoperatørene i det norske markedet (Telenor og NetCom) naturlig nok selv er innholdsleverandører for mange mobiltelefontjenester, er det også en rekke andre selskaper som tilbyr ulike innholdstjenester basert på mobiltelefoni. Når det gjelder tjenester som forutsetter bruk av lokaliseringsdata, baserer både Telenor og NetCom, seg på at samtykke til utlevering og bruk av disse dataene innhentes via innholdsleverandørene. Det blir avtalefestet at det er innholdsleverandørene som står ansvarlig for at gyldig samtykke er innhentet fra kunden før lokaliseringsdata hentes ut fra teleoperatøren. Hos Telenor kan mobilabonnenten få sperret all utlevering av lokaliseringsdata, også selv om man tidligere har samtykket til slik utlevering via en eller flere innholdsleverandører. Hos NetCom har abonnenten ikke denne muligheten.
Oversiktlighet og enkelhet er en nødvendig forutsetning for at abonnenten skal kunne ha kontroll med opplysninger om seg selv, og hvor de tar veien. Datatilsynet har derfor pålagt begge teleoperatørene om å etablere løsninger som gjør det mulig for mobiltelefonabonnentene både å starte og stoppe muligheten til lokalisering direkte hos teleoperatørene. Mobilabonnenten må selv aktivere lokaliseringstjenesten før den kan tas i bruk.
Datatilsynet har også gjennomført tilsyn overfor to innholdsleverandører som henter lokaliseringsdata fra mobiloperatørene. De benyttet seg av forskjellige fremgangsmåter for innhenting av samtykke fra abonnentene, avhengig av hva slags tjenester de tilbyr. Datatilsynet venter med å følge opp innholdsleverandørene til etter at forholdet til teleoperatørene er avklart.
Kontantkort og trafikkdata
Hos mobiltelefonoperatørene ble det ved gjennomgang av sletterutinene avdekket at tilsynsobjektene oppbevarer trafikkdata knyttet til sine kontantkortkunder i tre til fem måneder. Kontantkort fungerer slik at sluttbrukeren fyller opp en ”konto” knyttet til telefonnummeret med en sum penger. Kostnadene trekkes fortløpende fra kontoen etter hvert som kontantkortet benyttes. Teleoperatørene kan derfor ikke vise til faktureringshensyn som begrunnelse for at de lagrer trafikkdataene like lenge for kontantkundene som for øvrige abonnenter. På spørsmål fra Datatilsynet påberopte teleoperatørene seg imidlertid at andre hensyn lå bak den lange lagringstiden, blant annet tekniske forhold og forbrukerhensyn. Tilsynet sitter likevel igjen med et inntrykk av at også trafikkdataene for kontantkortkundene lagres fordi dette er det enkleste for teleoperatørene, rent teknisk og administrativt. Det er lettere å forholde seg til en felles lagringsrutine, enten man fakturerer for tjenesten eller ikke. Datatilsynet stiller seg derfor tvilende til om teleoperatørene har et tilstrekkelig saklig grunnlag for å lagre trafikkdataene fra kontantkort i den grad de gjør i dag, og vil følge opp saken.