Endelig kontrollrapport

Saksnummer: 12/00716 Dato for kontroll: 05.09.2012 Rapportdato: 11.10.2013 Endelig kontrollrapport Kontrollobjekt: Stavanger Taxi AS Sted: Forus Næringspark Utarbeidet av: Stian D Kringlebotn 1 Innledning Datatilsynet gjennomførte en kontroll hos Stavanger Taxi AS den 5. september 2012. Temaet for kontrollen var virksomhetens bruk av kameraovervåking. Kontrollen ble gjennomført i medhold av personopplysningslovens 44, jf. 42, 3. ledd. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen hos Stavanger Taxi AS. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Tilstede under kontrollen 2.1 Fra virksomheten: - Arild Birkedal, leder Stavanger Taxi - Faruk Brahimi, verneombud - Svein Svimbil, konsernsjef 2.2 Fra Datatilsynet: - Stein Erik Vetland, overingeniør - Stian D. Kringlebotn, seniorrådgiver 3 Om kontrollen Datatilsynets kontroll var varslet i brev av 16. juli 2012. Temaet for kontrollen var virksomhetens bruk av kameraovervåking i taxier. I brev av 20. august 2012 gav Stavanger Taxi AS en redegjørelse for overvåkingen. Den stedlige kontrollen startet med samtaler i Stavanger Taxi AS kontorer i Gamle Forusvei. Under kontrollen har Datatilsynet informert om hjemmel for kontrollen og det ble opplyst om rettigheter og plikter for den parten kontrollen retter seg mot. I tillegg til informasjonsinnsamling gjennom samtaler ønsket Datatilsynet å se nærmere på overvåkingsutstyret slik det er montert i bilene. Virksomheten har et eget verksted i samme bygg. På verkstedet ble det sett på et par biler. Datatilsynet fikk også se eksempel på hvordan opptak ser ut. Det var ikke mulig å velge tilfeldige opptak da det kort før kontrollen var oppdaget at opptakene ikke hadde fungert etter hensikten. Det ble derfor sett på eksempler som utstyrsleverandøren hadde bistått med å gjøre mulige å se. Kontrollen ble avsluttet med en kort oppsummering og informasjon om saksgang. 1 av 13

4 Tidligere saksbehandling om samme tema Temaet kameraovervåking av taxier har oppe mellom Datatilsynet og Stavanger Taxi tidligere. I sak 10/00059 rettet taxisentralen en forespørsel til Datatilsynet om lovlighet av et slikt tiltak. Sakens siste dokument er et brev fra Datatilsynet til Stavanger Taxi av 26. juli 2010. Her gjør Datatilsynet rede for sitt syn på hvor grensene går for et kameraovervåkingstiltak i den aktuelle situasjonen. Det viktigste gjengis her i korthet: Datatilsynet anser løpende overvåkingsopptak som ikke tillatt etter personopplysningsloven. At det tas et bilde av passasjeren er et mindre inngripende tiltak og en slik praksis kan ha et rettslig grunnlag etter personopplysningsloven. Den konkrete overvåkingen på kontrolltidspunktet gikk med andre ord betydelig lengre enn Datatilsynets forhåndsuttalelse tilsa. 5 Kameraovervåkingen På kontrolltidspunktet var det kun ti taxier med kameraovervåking. Overvåkingen var plassert i taxier eid av Stavanger taxi, og ikke i taxier eid av de øvrige løyveeierne som er tilknyttet Stavanger Taxi. Virksomheten anså perioden de var inne i som testperiode. Utstyret hadde vært i drift siden juli 2012. Stavanger Taxi har som selskap 23 løyver. Det er i andel av disse bilene kameraovervåking var installert. 5.1 Den tekniske løsningen Kameraovervåkingen som ble brukt overvåker kupeen i form av løpende overvåkingsfilm. Lagring av overvåkingsmaterialet skjer inne i bilen. Det ble benyttet ett overvåkingskamera i hver bil, plassert ved bakspeilet, og med linsen pekende bakover i bilen. I bilen er det plassert en lagringsenhet. Denne er ment å være skjult i bilen. Under kontrollen så Datatilsynet ett eksempel på en lagringsenhet som det måtte gjøres noe arbeid for å ta frem og ett eksempel på en enhet som lå synlig inne i kupeen. Selve bildelangringen foregår på et alminnelig minnekort, slik man eksempelvis også nytter i digitalt kamera. Lagringen er kryptert. For å se på opptak må man derfor kunne koden for dekryptering. Minnekortet kan enkelt fjernes fra lagringsenheten. På de eksemplene Datatilsynet så var det ingen tekniske hindre av særlig verdi for å vanskeliggjøre at minnekortet enkelt kunne tas ut. Det var heller ingen forsegling eller liknende som ville kunne avklare at enheten var brutt opp. 2 av 13

5.2 Overvåkingsbildene På de eksemplene på opptak Datatilsynet har sett, er kupeen nærmest som helhet overvåket, riktignok med unntak av sjåføren som sitter i en blindsone bak bakspeilet. Det er et bevisst valg at sjåføren ikke er med på bildet, etter det Datatilsynet forstår. Overvåkingsbildet er relativt godt. Avstanden er kort fra overvåkingskameraet til passasjersetene. Overvåkingsbildene gir således en mer nærgående overvåking enn det man ofte ser ellers, eksempelvis i butikker. Passasjerenes reise må beskrives som totalovervåket. 5.3 Automatisert start og stopp av opptak Opptaket starter når bilens tenning vris på og stanser når den vris av. Det er riktignok en forsinkelse på mindre enn et halvt minutt hvor opptaket fortsetter etter at tenningen er slått av. I dette ligger det også at taxien overvåkes uansett om det kjøres passasjerer eller om taxien venter på neste oppdrag. 5.4 Lagringstid Etter beskrivelsen slettes/ overskrives opptak etter syv dager. Det var ikke mulig for Datatilsynet å verifisere dette under kontrollen på grunn av problemene med opptakene (se lengre opp i rapporten). 5.5 Formålet med overvåkingen Det overordnede formålet med overvåkingen er å bedre sikkerheten for sjåfør og passasjerer. Virksomheten beskriver håpet om en preventiv effekt at problemer i mindre grad oppstår som hovedanliggende. Også det å kunne dokumentere hendelser i ettertid er en del av formålet. Formålet kan både beskrives som rettet mot å sikre sjåføren mot vold, trusler eller andre alvorlige handlinger fra passasjerene. Samtidig er det på samme måte et formål å sikre passasjerene mot sjåføren. I dette ligger det også en forventning om at opptaket blir sikret slik at sjåføren ikke kan påvirke løsningen. 5.6 Bruk av og tilgang til overvåkingsopptak internkontroll og rutiner Forut for kontrollen hadde virksomheten verken brukt overvåkingsmaterialet for eget formål eller utlevert til andre. Det må her holdes i mente at systemet hadde vært på plass kun i kort tid. I virksomhetens redegjørelse til Datatilsynet forut for kontrollen (datert 20. august 2012) gjøres det klart at det ikke er laget skriftlige rutiner for tilgang til og bruk av opptak. Det skrives i brevet at Prosedyren er pr i dag ikke ferdig, da vi kun kjører kamera overvåkningen som en test. Virksomheten hadde på kontrolltidspunktet ingen egen skriftlig nedfelt rutine for bruk og tilgang til overvåkingsmaterialet. 3 av 13

5.7 Meldeplikt Datatilsynet har søkt i egen database over gyldige meldinger uten å finne noen melding fra Stavanger Taxi AS om kameraovervåking. 5.8 Varslingsskilter og annen informasjon til kunder På bilenes sidevinduer er det satt relativt små skilt med bilde av et overvåkingskamera og med teksten Taxien er videoovervåket!. Det er ikke skilt inne i taxien. 5.9 Informasjon til ansatte og deres medvirkning i beslutningen Aksjeeierne løyvehaverne er aksjeeiere har på generalforsamling vedtatt at selskapet Rogaland Taxi (som Stavanger Taxi er majoritetseier av) skal finne utstyr for testing og implementering. Det har tidligere vært underskriftskampanje blant sjåførene til støtte innføring av kameraovervåking. Støtten skal ha vært betydelig blant sjåførene. Når det gjelder informasjon til ansatte og deres medvirkning er det viktig å presisere at de fleste sjåfører ikke er ansatt hos Stavanger Taxi, men hos den enkelte løyvehaver. På kontrolltidspunktet hadde ikke Stavanger Taxi forestått noen kameraovervåking i disse kjøretøyene. Ansatte hos Stavanger Taxi er gitt informasjon om kameraovervåking på et allmøte. Datatilsynet har ikke informasjon om hvor detaljert informasjon var. Det er ikke laget et informasjonsskriv eller liknede. Bruk av kameraovervåking har vært tatt opp på et AMU-møte. Om virksomheten har drøftet tiltaket etter kravene i arbeidsmiljølovens kapittel 9 er uklart. Etter Datatilsynets vurdering, kan det ikke her være tvil om at tiltaket er å forstå som et kontrolltiltak etter arbeidsmiljøloven. Etterlevelse av dette regelverket er ikke Datatilsynets myndighetsområde, men Arbeidstilsynets. Resultatet av drøftinger etter arbeidsmiljøloven er gjerne av interesse for Datatilsynet for vurderingen av personvernulemper for ansatte. 5.10 Innsynsbegjæringer Virksomheten har ingen rutine for håndtering av eventuelle innsynsbegjæringer fra den som er på opptaket. (Denne type innsyn må skilles fra begjæringer om utlevering fra politiet.) 6 Kort om personopplysningslovens regulering av fjernsynsovervåking Lov om behandling av personopplysninger av 14. april 2000 nr. 31 (personopplysningsloven) regulerer bruk av kameraovervåking, definert i lovens 36. I april i år trådte endringer i personopplysningsloven i kraft, herunder for kameraovervåking. Personopplysningslovens kapittel VII ( 36-41) regulerer bruk av kameraovervåking. I personopplysningsforskriftens kapittel 8 finnes utfyllende bestemmelser. 4 av 13

For bruk av kameraovervåking gjelder hele personopplysningsloven, med de presiseringer som finnes i lovens 37. I tillegg til lovens alminnelige vilkår, må kameraovervåking også oppfylle tilleggsvilkår for kameraovervåking i 38-40. 6.1 Grunnkrav og vilkår for å behandle personopplysninger Personopplysningslovens 11 oppstiller grunnkrav til behandling av personopplysninger. Innsamling og bruk av personopplysninger skal skje til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet, jf 11 bokstav b. Det er med andre ord en forutsetning at det er klargjort hvorfor personopplysningene samles inn og hva de skal brukes til. Begreper som relevans og tilstrekkelighet for formålet, står sentralt i forbindelse med grunnkravene. Det er en forutsetning at formålet er styrende for hva som samles inn av personopplysninger opplysningene skal være relevante for formålet. Selv om dette ikke eksplisitt fremkommer av bestemmelsens ordlyd, gjelder et proporsjonalitetsprinsipp. Tiltaket må stå i rimelige proporsjoner sett opp mot behov og formål og den inngripen i personvernet tiltaket eventuelt medfører. Etter personopplysningslovens 11 første ledd bokstav a må behandling av personopplysninger oppfylle ett av vilkårene i personopplysningslovens 8 (og 9 dersom det behandles sensitive personopplysninger). Dette kalles behandlingsgrunnlag. Behandlingsgrunnlaget for kameraovervåkning vil normalt være lovens 8 bokstav f. Vilkåret etter dette alternativet er at behandlingen av personopplysningene er nødvendig for at den behandlingsansvarlige kan vareta en berettiget interesse, og at hensynet til den registrertes personvern ikke overstiger denne interessen. Med den registrerte menes her enhver som omfattes av opptakene og kan gjenkjennes, herunder ansatte, besøkende, kunder, eller andre. I personopplysningslovens 37 tredje ledd utdypes vurderingen av berettiget interesse i forbindelse med kameraovervåking: Ved vurdering av hva som er en berettiget interesse etter personopplysningslovens 8 bokstav f skal det for kameraovervåking legges vesentlig vekt på om overvåkingen bidrar til å verne om liv og helse eller forebygge gjentatte eller alvorlige straffbare handlinger. Oppfyller ikke overvåkningen vilkåret i 8, vil den mangle behandlingsgrunnlag, og følgelig være en behandling av personopplysninger i strid med loven. En avveining av interesser må ta utgangspunkt i en konkret vurdering. 6.2 Andre sentrale bestemmelser Det følger av personopplysningslovens 38 at kameraovervåking av et sted hvor en begrenset krets av personer ferdes jevnlig, bare er tillatt dersom det ut fra virksomheten er behov for å forebygge at farlige situasjoner oppstår og ivareta hensynet til ansattes eller andres sikkerhet 5 av 13

eller det for øvrig er et særskilt behov for overvåkingen. Loven oppstiller således et skjerpet krav til behov som, etter Datatilsynets vurdering, normalt kommer til anvendelse for områder som er forbehold ansatte. Fjernsynsovervåking er normalt kun meldepliktig etter personopplysningslovens 31. Overvåkingen skal tydelig varsles med informasjon om hvem som er behandlingsansvarlig, jf personopplysningslovens 40. Alminnelige informasjonsplikter fremgår av lovens 19. Bestemmelser om utlevering av billedopptak finnes i personopplysningslovens 39. Personopplysningsforskriftens kapittel 8 om fjernsynsovervåking har utfyllende bestemmelser om sletting i 8-4. Innsynsrettigheter følger av forskriftens 8-5 og lovens 18. Billedopptak sikres etter personopplysningslovens 13 med utfyllende bestemmelser i personopplysningsforskriftens kapittel 2. Lovens 14 omhandler internkontroll, med utfyllende bestemmelser i forskriftens kapittel 3. 7 Funn og avvik fra lovbestemte krav til behandling av personopplysninger Etter Datatilsynets vurdering, faller kameraovervåkingen i taxiene inn under personopplysningslovens definisjon av kameraovervåking i lovens 36, og behandlingsansvarlig må derfor etterleve regelverket som gjelder kameraovervåking. 7.1 Ansvar for behandlingen av personopplysninger behandlingsansvar Avklaring av hvem som er ansvarlig for å oppfylle lovens krav er viktig. Personopplysningslovens 2 nr 4 definerer begrepet behandlingsansvarlig som den som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes. Etter egen vurdering, er Stavanger Taxi AS selv ansvarlig for den aktuelle kameraovervåking. Datatilsynet tar dette til etterretning og anser Stavanger Taxi AS som behandlingsansvarlig etter personopplysningsloven. 7.2 Rettslig grunnlag for overvåkingen og krav om særskilt behov Det vises til redegjørelsen ovenfor om grunnkrav og vilkår for å behandle personopplysninger (rapportens 6.1). Datatilsynet legger til grunn at det aktuelle vilkåret (behandlingsgrunnlaget) er personopplysningslovens 8 bokstav f. Etter Datatilsynets vurdering, er overvåkingen også omfattet av kravet i personopplysningslovens 38 om overvåking av sted hvor en begrenset krets ferdes jevnlig. Selv om opptaket ikke viser sjåføren direkte hvis vedkommende sitter i førersetet, er opptaket også opplysninger om sjåføren, sjåførens handlinger, og overvåkingen viser vedkommendes arbeidsplass. 7.2.1 Drøfting av rettslig grunnlag for kameraovervåkingen og krav om særskilt behov Etter Datatilsynets vurdering, gjør personverninteresser seg sterkt gjeldende i forbindelse med kameraovervåking i taxier. 6 av 13

For kundene kan kameraovervåking av taxier ikke vurderes likt som overvåking av busser eller tog. Tog eller buss er transportmidler hvor man reiser sammen med, og i påsyn av en rekke andre mennesker. En persons tilstedeværelse og handlinger er i stor grad allerede eksponert for en rekke andre medpassasjerer. Passasjerene velger ikke om man skal ta på flere passasjerer, om man vi sitte alene, eller liknende. Taxi er helt annerledes i så måte. Som et allment tilgjengelig transportmiddel er taxi er det nærmeste man kommer den privathet og individuell styring som gjelder for privatbil, riktig nok med den forskjell av at sjåføren er i taxien. Ved å ta taxi som befordringsmiddel gis det et mer privat og lukket rom for kunden. Kunden bestemmer hvor reisen går, og kunden velger hvem man vil reise sammen med eller om man vi reise alene. Etter tilsynet vurdering, er dette også en del av den tjeneste taxinæringen gir, nemlig at kundene må kunne forvente seg en annen grad av privathet enn ved alminnelig kollektivtransport. Fra tid til annen kan denne kvaliteten også være grunnen til at kunden velger en taxi fremfor andre transportmidler. Det legges også til at overvåkingen i saken representerer en mer nærgående overvåking enn vanlig. Det er naturlig nok varierende og situasjonsbetinget hvilke personverninteresser kundene har i å kunne ta taxi uten at turen bil liggende på overvåkingsopptak. Mange turer vil trolig være mindre beskyttelsesverdige for de det gjelder. Andre turer vil være annerledes. Taxier transporterer mennesker i situasjoner eller tilstander som ikke ønskes festet til film. En taxi vil over tid ha transportert personer i relativt sårbare eller private situasjoner situasjoner hvor lagring på film ikke er naturlig. Eksempler kan være skadede personer som raskt må komme seg legevakt, personer i sorg på vei tilbake fra en begravelse, kvinner i hast på vei til fødestue, eller det kan være personer på vei fra julebord eller en lang kveld på byen. Taxier benyttes også til pasienttransport. At det eksisterer høye terskler for når opptak skal ses på, og at det etableres god sikkerhet for lagrede opplysninger, vil redusere ulempene sammenliknet med en mer omfattende bruk av opptak. For Datatilsynet er det et sentralt poeng at også lagring i seg selv eksempelvis lydopptak av hva man sier, kameraovervåking av hva man gjør, loggføring av hvem man har vært i kontakt med, registrering av hva man har kjøpt representerer en inngripen. I den aktuelle saken må passasjerer og ansatte forholde seg til en endring av situasjonen: Det som skjer er ikke bare tilgjengelig for de tilstedeværende her og nå og eventuelt videre i den enkeltes hukommelse. Alt som skjer i taxien blir liggende igjen i form av film. Personvernhensyn tilsier forsiktighet med å bruke kameraovervåking i taxier i det hele tatt. Dersom det likevel skal brukes, må det, etter Datatilsynets vurdering, skje på med store krav til informasjonssikkerhet og minst mulig inngripende løsninger. Løsninger må være mest mulig rettet mot, og ikke mist avgrenset til situasjoner hvor det er behov for overvåking. Overvåkingen må ses i sammenheng med andre tiltak under den ansvarliges kontroll. Kameraovervåkingen er ikke det eneste tiltaket av sikkerhetsrelevans. Sjåførens mulighet for å slå alarm til sentralen er viktig. Løsningen fører til posisjonering, overføring av lyd og lagring av lydopptak. Kameraovervåkingsopptak er heller ikke de eneste data drosjeselskapet har av interesse dersom en hendelse skulle skje, og hvor det er behov for å i ettertid kunne rekonstruere bevegelser i et hendelsesforløp. Drosjeselskapet har data om hvor bilene har vært, og betalings- og bestillingsløsninger vil også kunne gi noe informasjon. 7 av 13

For kundenes personverninteresse er utfallet av interesseavveiningen også avhengig av en sterk sikring av opptakene. Kryptert lagring i den enkelte bil gir god sikkerhet mot unødvendig titting på opptak, men biler er derimot ikke er et særlig egnet lagringssted for beskyttelsesverdige personopplysninger. Krypteringen er svært viktig som sikkerhet mot at opptak eller at data kommer på avveier i en lesbar form, for eksempel om bilen får et innbrudd eller bli stjålet. Kundenes personverninteresser må veies mot virksomhetens behov for overvåkingen. Stavangerområdet har hatt problemer med hensyn til sikkerhet og opplevd trygghet ved bruk av taxi. Det har tidligere vært en periode med et høyt antall hendelser. Det må, etter Datatilsynets vurdering, gis vekt i en vurdering av hvilke tiltak som er rimelig i forhold til behovet. Om kameraovervåking er et egnet middel til å forhindre vold, overgrep eller andre alvorlige handlinger, er ikke avklart. En slik årsakssammenheng vil også være vanskelig å påvise. Datatilsynet legger likevel vekt på at virksomheten har tro på tiltaket og mener å ha positive erfaringer med overvåkingen så langt. Den bølge av problemer som var tydelig for noen år tilbake har nå lagt seg. Datatilsynet vil poengtere av endringen ikke kan tilskrives kameraovervåkingen. Overvåkingen hadde vært virksom i kort tid før kontrollen i en liten brøkdel av drosjene til Stavanger Taxi. Kameraovervåkingen kan ses som ett blant flere tiltak for å sikre mot fremtidige uønskede hendelser. Virksomheten har også tatt i bruk andre virkemidler for å bedre tryggheten for både sjåfør og passasjerer. Det har vært gjennomført kurs i kommunikasjon og konflikthåndtering. Datatilsynet ser dette som positivt, og som et tegn på at virksomheten ikke har valgt kameraovervåking som eneste løsning. Når sjåføren sitter i ro i førersetet, vil vedkommende ikke bli fanget opp på overvåkingsbildet. Bevegelser ut over dette vil komme med på bildet. Hvis sjåføren vender seg litt til siden eller snur seg mot kundene, for eksempel for å gi en kvittering, vil sjåføren ses innenfor bilderammen. Opptaket viser også det som kan ses ut av sidevinduer eller bakrute, og sjåføren vil ses direkte på bildet når bagasje hente ut eller en hvis han eller hun åpner sidedøren for passasjeren. Selv om ansiktet ikke er med mesteparten av tiden, vil overvåkingen gi løpende informasjon om sjåførens handlinger og situasjonen sjåføren er en del av. I en forstand kan man si at opplysningene om sjåføren kan leses ut av opptakene på en indirekte måte. Opptakene viser om det er kunder, om det ser ut som sjåføren og kunden snakker sammen (noe som var tilfellet på opptaket Datatilsynet gjorde innsyn i), om bilen kjører eller står stille, hvordan sjåføren kjører bilen (gjennom bakrute og sidevinduer kan man se hvordan bilen beveger seg med svinger og oppbremsing, og i en grad får man også inntrykk av fart). Etter Datatilsynets vurdering, er det åpenbart at overvåkingsopptakene gir et godt inntrykk av sjåførens handlinger i løpet av en arbeidsdag. På mange måter representerer opptakene en omfattende overvåking av sjåførens handlinger og arbeidsdag, på tross av at kropp, ansikt og mimikk i stor grad ikke er med på overvåkingsbildene. 8 av 13

Bilen er sjåførens arbeidsplass, og Datatilsynet mener at kravet om et særskilt behov etter personopplysningslovens 38 gjør seg gjeldene i tillegg til interesseavveiningen etter 8 bokstav f. Datatilsynet legger til grunn at det nok er ulike oppfatninger blant sjåførene, men at ansatte ikke har motsatt seg overvåkingen og at mange har gitt uttrykk for at kameraovervåking har vært ønskelig. Lagring i den enkelte bil, og særlig dersom lagringen også er kryptert, gir lav risiko for bruk av overvåkingen til å overvåke sjåførenes arbeidsutførelse. Dette gir mindre personvernulemper for ansatte. Sammenliknet med kameraovervåking av arbeidssteder mer generelt, har sjåførene relativt god sikkerhet for at opptak kun vil bli brukt i spesielle situasjoner, og at opptak i liten grad vil bli hentet frem for bruk i det hele tatt. Kameraovervåking er likevel et inngrep i deres arbeidssituasjon. Hele arbeidsdagen ligger på opptak og kameraovervåkingen er dels rettet mot sjåførene i den forstand at tiltaket også er ment for å sikre kunden. Samtidig er overvåkingen også et tiltak som virksomheten antar at kommer sjåførene til gode i form av bedre sikkerhet mot at uønskede hendelser oppstår. Opptak vil også i ettertid kunne være av verdi for sjåføren dersom vedkommende skulle vært utsatt for en alvorlig hendelse på jobb. 7.2.2 Datatilsynets vurdering rettslig grunnlag for kameraovervåkingen Etter Datatilsynets vurdering, er kravet etter personopplysningslovens 8 bokstav f tilfredsstilt med hensyn til sjåførenes personverninteresser, separat sett. Datatilsynet vurderer interesseavveiningen mellom virksomhetens behov og kundenes personverninteresse annerledes. Kun mer begrensede løsninger enn løpende overvåkingsopptak oppfyller kravet i personopplysningslovens 8 bokstav f. Kameraovervåkingstiltak i denne sammenheng bør vurderes i to forskjellige kategorier: Midler som kan tas i bruk generelt når det er passasjerer i taxien, det vil si at systemet samler inn personopplysninger på samme måte og i samme mengde, uavhengig av om det er en farlig situasjon eller ikke. Midler som tas i bruk i spesielle situasjoner, det vil si når situasjoner der og da oppleves som farlig, truende eller liknende. For den første kategorien systemer som fungerer på samme måte hele tiden representerer løpende overvåkingsopptak en for stor inngripen. I forbindelse med kontrollsaken har Datatilsynet tatt tidligere råd om grensene for en tillatt kameraovervåking i taxier opp til ny vurdering. Bestemmelsene for kameraovervåking i personopplysningslovens kapittel VII har også blitt endret siden tidligere nevnte sak hvor virksomheten ba Datatilsynet om en vurdering av lovlighet. Datatilsynet kommer til samme konklusjon som tidligere: Kontinuerlig og løpende kameraovervåkingsopptak fra taxiene lar seg ikke forsvare ut fra kravene i personopplysningslovens 8 bokstav f med henblikk på avveining mot kundenes 9 av 13

personverninteresser. Tiltaket oppfyller heller ikke lovens 38 med krav om et særskilt behov. Datatilsynet står også fast ved at et mindre inngripende tiltak i form av bilde ved turens start eller slutt er tillatt dersom det er snakk om et system som skal fungerer på samme måte hele tiden. I dette ligger det en vurdering av at det å benytte taxi ikke skal medføre en omfattende overvåking med mindre noe spesielt skjer. Som passasjer i taxi må det kunne forventes en vesentlig større grad av privatliv, en mer fortrolig og skjermet form for transport enn eksempelvis på en buss. Et bilde vil ikke gi like mye informasjon som film. Likevel vil et slikt tiltak bidra til formålet ved at det stadfester hvem som var til stede i en konkret taxi og når de var der. Gjennom andre opplysninger vil man kunne vite hvor taxien har vært i det aktuelle tidsrommet. Bilde, sammen med annen informasjon, må antas å ha verdi i forbindelse med eventuelle påstander eller anmeldelser. For den andre kategorien midler som tas i bruk i spesielle situasjoner stiller virksomhetens muligheter seg ganske annerledes etter personopplysningsloven. Situasjonen karakter, og det det faktum at tiltaket er avgrenset til de situasjoner hvor det er et særlig behov, gjør at virksomheten kan ta mer inngripende midler i bruk. I slike situasjoner kan virksomheten kameraovervåke taxien i form av løpende opptak. Datatilsynet ser her for seg situasjoner som trolig er relativ like de situasjoner hvor taxisjåføren bør slå alarm, slik de i dag har mulighet til, men uten at dette står i sammenheng med kameraovervåkingstiltaket. Virksomhetens behov står sterk i forhold til den registrertes personverninteresser når det er snakk om situasjoner preget av frykt, trusler, fysiske angrep eller frykt for at situasjonen eskalerer mot vold eller trusler (eller andre alvorlige hendelser). Etter Datatilsynets vurdering, har virksomheten et gyldig rettslig grunnlag i personopplysningslovens 8 bokstav f for et slikt tiltak. Tilsynet vurderer også kravet i lovens 38 som oppfylt i alarmsituasjoner (eller situasjoner med en tilsvarende terskel av alvorlighet). Det legges til grunn at tersklene for å benytte et slikt tiltak står i sammenheng med vern om liv og helse eller alvorlige straffbare hendelser. Uenighet om pris eller oppgjør er alene ikke nok. Dersom virksomheten velger å benytte seg av en slik løsning, kan det vurderes å gi kundene en tilsvarende mulighet til å slå alarm til sentralen. Ut over de nevnte løsningene, mener Datatilsynet at kundens sikkerhet mot eventuelle overgrep fra sjåførens side må sikres med andre midler enn kameraovervåking. Det legges til at tersklene for å kameraovervåke ansatte og deres alminnelige arbeidsutførelse er høy. Kameraovervåking av taxien er en overvåking av stedet hvor sjåføren gjør sine arbeidsoppgaver. Løpende overvåkingsopptak omfatter slik sett hele arbeidsdagen, noe som generelt vurderes som et kraftig inngrep i personvernet. Kontinuerlig og løpende overvåking er et avvik fra personopplysningsloven 8 bokstav f og 38. 10 av 13

7.3 Varslingsskilt og informasjon til kunder Ett av tilleggsvilkårene for kameraovervåking er at det ved bruk av skilter eller på annen måte skal gjøres tydelig oppmerksom på at området er overvåket. Det skal også informeres om hvem som er behandlingsansvarlig. Det vises her til personopplysningslovens 40. 7.3.1 Datatilsynets vurdering varslingsskilt og informasjon til kunder Det vises til informasjonen om dette temaet i den generelle beskrivelsen av kameraovervåkingen i rapportens kapittel 5. Etter Datatilsynets vurdering, er varslingsplikten etter personopplysningslovens 40 ikke ivaretatt på en god nok måte. Varsling på utsiden av bilen er både bra og nødvendig, men det er ikke nok, slik Datatilsynet ser det. Det er ikke alltid en kunde vil ha verken anledning eller tid til å se på informasjon på utsiden av kjøretøyet før vedkommende setter seg inn. Plasseringen på nederste del av et sidevindu gjør at skiltet vil forsvinne om vinduet er rullet noe ned. Det behøves totalt sett en større sikkerhet for at kunden får varslingen med seg. Skiltene manglet også informasjon om hvem som er den ansvarlige for overvåkingen, noe som er et lovkrav. Under kontrollen syntes det å være en gjensidig enighet mellom virksomheten og Datatilsynet om at varsling inne i bilene også ville være nødvendig for å sikre at kundene fikk med seg at drosjen var overvåket. Varslingen av kameraovervåkingen må gjennomgås og styrkes. Varslingen må inneholde informasjon om hvem som er ansvarlig for tiltaket i tråd med personopplysningsloven 40. For å ivareta kundenes interesse, bør det også være kortfattet informasjon om hvordan taxien er overvåket og lagringstid for overvåkingsmaterialet. Kunden vil da kunne vite hvor omfattende overvåkingen er, og hvor viktig det vil være å ta raskt ta kontakt dersom noe skulle ha skjedd for å unngå at opptak har blitt slettet i mellomtiden. Utilstrekkelig varsling er et avvik fra personopplysningsloven 40. 7.4 Informasjon til ansatte og deres medvirkning i beslutningen Varslingsskilter på stedet skal sørge for informasjon til enhver om at stedet er overvåket og hvilken part som er ansvarlig for overvåkingen. Denne begrensede informasjonsmengden er ikke tilstrekkelig som informasjon til ansatte, en gruppe virksomheten har anledning til å nå med mer utfyllende informasjon. Datatilsynet ser her hen til lovens alminnelige informasjonsbestemmelse i personopplysningsloven 19. Behandlingsansvarlig plikter av eget tiltak å informere de registrerte (i dette tilfellet ansatte) blant annet om, formålet med behandlingen, at opplysningene vil bli utlevert, og eventuelt til hvem. Videre plikter behandlingsansvarlig å informere om annet som gjør den registrere i stand til å bruke sine rettigheter etter loven på best mulig måte, som for eksempel informasjon om retten til å kreve innsyn, jf. lovens 18. Etter arbeidsmiljøloven, som forvaltes av Arbeidstilsynet, plikter arbeidsgiver så tidlig som mulig å drøfte behov, utforming, gjennomføring og vesentlig endring av kontrolltiltak i virksomheten med arbeidstakernes tillitsvalgte, jf. arbeidsmiljølovens 9-2 første ledd. 11 av 13

Arbeidsgivers informasjonsplikt overfor ansatte følger videre av lovens 9-2 annet ledd. Arbeidsmiljøloven vil her utfylle personopplysningslovens regler. Det er verdt å merke at arbeidsgivers plikter etter arbeidsmiljøloven inntrer før personopplysningslovens bestemmelser. I det en arbeidsgiver så tidlig som mulig, jf 9-2 første ledd, har en drøftningsplikt i motsetning til personopplysingsloven som setter plikten i tid til Når det samles inn personopplysninger. Drøftingsplikten etter arbeidsmiljøloven og ansattes syn på tiltaket er av betydning for Datatilsynets vurdering av interesseavveining etter personopplysningslovens 8 f. Hvis den registrerte motsetter seg behandlingen, skal dette veie tungt i vurdering. En positiv holdning fra ansatte tas med i en helhetlig vurdering. 7.4.1 Datatilsynets vurdering informasjon til ansatte og deres medvirkning i beslutningen Det vises til informasjonen i beskrivelsen av kameraovervåkingen i rapportens kapittel 5. Tilsynet merker seg at det er informert på et møte, men har ikke detaljert nok informasjon til å ta stilling til om informasjonsplikter etter personopplysningsregelverket er oppfylt. Datatilsynet oppfordrer virksomheten til å lage et utfyllende informasjonsskriv til ansatte om kameraovervåkingen, hvordan overvåkingen fungerer, rutiner og rettigheter. I saken har Datatilsynet lagt til grunn at mange ansatte har ønsket overvåking, at det også er sjåfører som ser dette annerledes, men at det (så langt antallsmessig begrensede) tiltaket ikke bærer preg av å være innført mot sjåførenes vilje. Datatilsynet begrenser seg her til å påpeke plikten arbeidsgiver har til å informere ansatte tilstrekkelig, og at denne informasjonen med fordel kan være skriftlig. 7.5 Informasjonssikkerhet Kravene til informasjonssikkerhet fremgår av personopplysningslovens 13, med utfyllende bestemmelser i personopplysningsforskriftens kapittel 2. De tre sentrale begrepene er konfidensialitet, integritet og tilgjengelighet, samt at utstyret er fysisk sikret i samsvar med personopplysningsforskriftens 2-14. 7.5.1 Datatilsynets vurdering informasjonssikkerhet Etter Datatilsynets vurdering, er en desentralisert og kryptert lagring en informasjonssikkerhetsmessig god sikring av opptakene. Desentraliserte lagring har også en svakhet. Sjåføren eller andre kan fjerne minnebrikken eller hele lagringsenheten uten at dette oppdages eller kan forhindres av virksomheten. Personopplysningsforskriften 2-12 første ledd stadfester at det skal treffes tiltak for å sikre tilgang til personopplysninger hvor tilgjengelighet er nødvendig. Videoopptakene skal sikre både interesser for virksomhet, sjåfør og kunder. Noen ganger vil det åpenbart være mest hensiktsmessig for sjåfør eller kunder at videoopptaket ikke blir lagret. Det er derfor viktig at 12 av 13

lagringsenheten blir fysisk sikret slik at interessen til alle parter blir ivaretatt, og at virksomheten kontrollerer jevnlig at utstyret virker etter sin hensikt. Personopplysningsforskriftens 2-14 tredje ledd stadfester at sikkerhetstiltak skal omfatte tiltak som ikke kan påvirkes eller omgås av medarbeiderne, og ikke være begrenset til handlinger som den enkelte forutsettes å utføre. Datatilsynets vurdering er at sikringen av opptakenes tilgjengelighet er for svak. Manglende sikring av tilgjengelighet til opptakene er et avvik fra personopplysningsloven 13, jf personopplysningsforskriftens 2-12 og 2-14. 7.6 Internkontroll rutiner for bruk og tilgang til overvåkingen og innsynsbegjæringer Kravene til internkontroll fremgår av personopplysningslovens 14, med utfyllende bestemmelser i personopplysningsforskriftens kapittel 3. Hensikten med bestemmelsene er at internkontrollsystemet skal sikre at personvernregelverket etterleves. Regelverket krever en systematikk i tiltakene, samt at rutiner og sikkerhetstiltakene er dokumentert. Virksomheten beskriver at de selv installerer og tester kamerautstyret. Det finnes ingen rutiner for å jevnlig kontrollere at kamerautstyret virker etter sin hensikt. Virksomheten hadde ingen skriftlig rutine for hvem som skal ha tilgang til opptak, eller når opptak kan tas i bruk. Det fantes heller ingen rutine eller bevissthet om hvordan eventuelle innsynsbegjæringer skulle håndteres. 7.6.1 Datatilsynets vurdering - internkontroll rutiner for bruk og tilgang til overvåkingen og innsynsbegjæringer Det vært en skriftlig nedfelt rutine for bruk av kameraovervåkingen etter personopplysningslovens 14. Det samme gjelder også for tilgang til overvåkingsmaterialet og hvordan innsynsbegjæringer håndteres. Manglende rutiner er et avvik fra personopplysningsloven 14, jf personopplysningsforskriftens 3-1. 13 av 13