Personvernombud Annegret Andersen har gitt oss råd og anbefaling om hvordan vi skal håndtere vegbildene som i dag er tilgjengelige via applikasjonene NVDB123, GisLine og ViaPhoto. Vi går ikke til det drastiske skrittet å slette bildene, men iverksetter strakstiltak som i første omgang begrenser tilgangen til eksisterende bilder. I tillegg vil vi jobbe med tiltak som sørger for at vi ikke lagrer personsensitiv informasjon i bildende i framtida. Retningslinjer for tildeling av tilgang til bildene vil bli utarbeidet slik at de som har bruk for bildene i jobben sin vil få tilgang.

Personvernombudet skriver følgende:

Rettslig grunnlag

Behandling av vegbilder hvor det også er bilde av kjennemerke/personer er å betrakte som personopplysninger. Når vi behandler personopplysninger skal det foreligge et rettslig grunnlag og et formål med behandling av personopplysninger. Vegloven kan være et rettslig grunnlag. I denne sammenheng er det vist til veglovens § 1 og spesielt § 11 f.

I forbindelse med formålet med vegbilder er det i alle sammenhenger blitt sagt at bilder av kjøretøy/personer ikke skal brukes og at det heller ikke er behov for opplysninger om kjøretøy eller personer. Informasjon om kjøretøy og personer er dermed bare overskuddsinformasjon.

I veglovens § 11 f står det at Statens vegvesen kan behandle personopplysninger når det er nødvendig for å utføre oppgaver i henhold til vegloven. Det foreligger ingen behov for personopplysningene som fremkommer på vegbildene for å utføre bygging eller vedlikehold på vegene. Når en sammenholder formålet med vegbildene og veglovens § 11 f, foreligger det ikke noe rettslig grunnlag for behandling av personopplysninger som fremkommer på vegbildene.

Sletting

Når det ikke foreligger et rettslig grunnlag for behandling av vegbilder med personopplysninger som kjennemerke eller personer, skal disse opplysningene slettes. Det er et prinsipp i personvernlovgivningen at en bare skal behandle personopplysninger som er nødvendige for formålet. Når formålet er oppnådd, skal personopplysningene slettes. Opplysningene skal i hvert fall slettes, når det er samlet inn opplysninger, hvor det som utgangspunkt ikke foreligger noe rettslig grunnlag for den behandlingen.

I forarbeidene til § 11vises det også at det kan forekomme personopplysninger på vegbildene som tas. Det påpekes videre i forarbeidene til § 11 f at Vegdirektoratet arbeider med tekniske løsninger som skal håndtere fjerning av personopplysninger.

Annen behandling

Når det ikke foreligger et rettslig grunnlag for behandling av personopplysninger i tilknytning til vegbilder, gjelder det ikke bare lagring av slike bilder. Utlevering og videreformidling av disse bildene med personopplysninger til andre eksterne aktører, vil det heller ikke være noe grunnlag for. Når vi ikke har et grunnlag for en utlevering til andre, hjelper det ikke at det inn gås databehandleravtaler. Det sikrer kanskje i en viss grad, at de eksterne partene ikke bruker informasjon fra disse bildene på noe måte, men det reparerer ikke det manglende rettslige grunnlaget for en utlevering.

Varsling og informasjon

Dersom en hadde hatt et rettslig grunnlag for å behandle vegbilder med personopplysninger, er det også en del andre krav som skulle ha vært oppfylt. De som er registrert skulle ha vært informert. De registrerte skulle hatt informasjon om at de er registrert og hvem som fikk tilgang til informasjonen og formålet med den behandlingen som ble foretatt. Det er heller ikke gjort og vil sikkert være vanskelig i forhold til vegbilder.

Ut fra dette holder jeg fast ved min konklusjon at det skal gjennomføres tiltak for å slette vegbilder hvor det fremkommer personopplysninger. Videre må det settes i hvert tiltak slik at slike bilder ikke utleveres til eksterne og at det heller ikke gis tilgang til eksterne til slike bilder.