PVN-2002-02 Posten Norge BA

1. Saksgang.

Posten Norge BA (Posten) søkte 17. september 2001 om forlenget lagring av billedopptak til personopplysningsforskriftens § 8-4, 5. ledd. Søknaden ble delvis avslått av Datatilsynet i vedtak av 24. november 2001. Avslaget på søknad om dispensasjon fra lagringstiden ble påklaget av Posten 19.12.2001 og dette rettidig, jfr. forvaltningslovens § 29. Klagesaken ble oversendt fra Datatilsynet til Personvernnemnda 26.02.2002.

2. Sakens faktum.

Posten ønsket i brev av 7. juni 2001 avklaringer på noen spørsmål i forhold til person-opplysningsloven (POL). Spørsmålene gjaldt bl.a. slettefristen ved fjernsynsovervåkning. På bakgrunn av Datatilsynets svar søkte Posten om forlenget lagringstid for billedopptak i brev av 17. september 2001. Posten ønsket å få utvidet lagringstiden fra de i forskriften fastsatte 7 dager til 3 måneder. Søknaden gjaldt forlenget oppbevaringstid både for opptak av ekspedisjoner ved minibanker utenfor postlokaler og for billedopptak gjort ved steder der store postmengder flyter gjennom systemet. I brev av 24. november 2001 fattet Datatilsynet vedtak om å gjøre unntak fra slettefristen i personopplysningsforskriftens § 8-4, 5. ledd, for opptak gjort ved steder der store postmengder flyter gjennom systemet. I vedtaket ble det avslått å dispensere for forlenget lagring for opptak gjort ved minibanker på utsiden av postlokalet.

Posten utfører finansielle tjenester på vegne av DnB / Postbanken og er å anse som den behandlingsansvarliges representant. På vegne av DnB / Postbanken har Posten klaget på vedtaket om avslaget om forlenget lagringstid for opptak gjort ved minibanker på utsiden av lokalet.

3. Datatilsynets vedtak

Av Datatilsynets vedtak av 24.11.01 fremgår det at det etter personopplysningsforskriften § 8-4, 3. ledd, er slik at billedopptak gjort i "i post- og banklokaler" har en slettefrist på 3 måneder. Datatilsynet viser til at det i sitt brev av 20. juli 2001 til klager har uttalt at ordlyden i bestemmelsen må forstås slik at den ikke dekker oppbevaring av billedopptak gjort av minibanker utenfor postens lokale. Regelen om sletting av billedopptak i personopplysnings-forskriften § 8-4, er en videreføring av de tilsvarende reglene om sletting etter personregister-loven. Datatilsynet fastholder at henvisningen til "i post- og banklokaler" skal fortolkes bokstavelig.

Forskriften til personopplysningsloven § 8-4, 5. ledd, åpner for at oppbevaring utover 7-dagers fristen kan tillates hvis det foreligger et "særlig behov". Hva som ligger i kravet til særlig behov er av Datatilsynet i lignede saker tolket strengt. Det må foreligge særlige omstendigheter som gjør at overvåker har behov for utvidet lagringsadgang. Postens begrunnelse for utvidet lagringstid er revisjonstiden. Etter Datatilsynets oppfatning er dette ikke omstendigheter som gjør at Posten har et særlig behov for lengre oppbevaring av billedopptak sammenlignet med andre overvåkere i samme situasjon.

Det er forøvrig i forskriftens § 8-4, 2. ledd, gjort unntak fra 7-dagers fristen dersom det er sannsynlig at billedopptak vil bli utlevert politiet i forbindelse med etterforskning av straffbare handlinger, f.eks. svindelforsøk. I disse tilfellene kan opptakene oppbevares i inntil 30 dager. Dette innebærer at Posten noen ganger kan oppbevare opptakene lenger enn 7 dager, slik at det ikke er behov for en tillatelse til å oppbevare alle opptakene i en lengre periode.

På denne bakgrunn fant Datatilsynet at det ikke kunne sies å foreligge et særlig behov. Søknad om utvidet lagringstid for billedopptak gjort av minibanker utenfor postlokalet ble derfor avslått.

4. Klagers anførsler

Posten anfører i sin klage av 19.12.2002 at Datatilsynets definisjon av post- og banklokaler neppe er helt i samsvar med næringens egen vurdering. Det er også kommentert at Datatilsynet i et tidligere brev har grunngitt 3 måneders lagringstid for opptak i post- og banklokaler med at det er behov for å gå tilbake i tid ved etterforskning av f.eks. ran. Klager anfører at banksamordningen leder til at alle bankers kortkunder kan benytte minibank til kontantuttak. Det har således ingen praktisk betydning hvem som eier selve minibanken.

Klager anfører at minibanken er en integrert del av bankenes betalingssystemer, heving av kontant fra konto i minibank har vesentlig større volum enn uttak over skranke. Hvorvidt minibanken er plassert utendørs eller inne i bankens lokaler, har ingen betydning for bruken av banken og behovet for overvåkning.

Klager er enig i at det neppe vil være korrekt å benytte benevnelsen postlokale på en utendørs minibank, og i denne sammenheng er det etter klagers oppfatning korrekt å definere en utendørs minibank som et banklokale.

Klager beskriver formålet med ITV-overvåkning av minibanker slik:

1. Forebygge bedragerier (kortmisbruk)
2. Oppklare bedragerier
3. Avdekke feilaktige reklamasjoner
4. Avdekke hvitvasking av penger (dokumentasjon i forbindelse med den lovpålagte plikten til å rapportere mistenkelige transaksjoner)

Klager redegjør videre for erfaringen med overvåkning av minibanker og peker på at kortmisbruket er stadig økende. I motsetning til andre bedragerisaker, etterlater gjernings-personen seg få spor med kortmisbruk. Dette har ført til mange henleggelser og stadig større tap både for bankene og den enkelte kunde. Dette har bedret seg vesentlig etter hvert som bankene har etablert videoovervåkning av minibankene. Over halvparten av mer en 3.000 bedragerisaker i 2001 gjaldt kortmisbruk, hvorav de største sakene rent beløpsmessig er kontantuttak i minibanker. Tapene ved disse sakene er betydelige, ikke bare for banken, men også for de berørte kundene. Klager har den siste tiden sett at stadig flere saker vedrørende kortmisbruk blir oppklart av politiet, med påfølgende dom. Dermed får både kunden og banken mulighet til å kreve tilbakebetaling fra gjerningspersonen.

De siste månedene har norske banker vært utsatt for internasjonal, organisert kortkriminalitet.

Etter hvert har videobildene også vist seg å være viktige og nyttige i forbindelse med oppklaring av saker om hvitvasking av penger. I en hvitvaskingsoperasjon skjer det bl.a. kontantuttak av penger.

Klager anfører at de fleste bankbedragerier avdekkes først når en kunde reklamerer på transaksjoner. Selv om kunden etter hvert får stadig bedre oversikt over sine brukskonti, bl.a. ved bruk av kontofon og nettbankløsning, er det de månedlige eller kvartalsvise kontoutskriftene som oppdaterer kundene på plasseringskonti hvor de store innskuddene befinner seg. Uansett kontotype tar reklamasjonsbehandlingen så pass lang tid selv om kunden reklamerer umiddelbart at en lagringsfrist på 7 dager ofte vil medføre at ITV-opptaket er slettet før dokumentasjonsinnhentingen kan påbegynnes.

Uten utvidet lagringsfrist vil ITV-overvåkning av minibanker ha begrenset betydning og minibankene i stedet bli et godt tilbud til de kriminelle miljøene.

Klagers konklusjon er at en utvidet lagringstid vil styrke rettssikkerheten til bankkundene og bidra til et tryggere samfunn.

Klager viser også til at det er lang revisjonstid, som innebærer at det var behov for å oppbevare opptakene lengre.

5. Datatilsynets vurdering av klagen

Datatilsynet viser til sitt brev av 20. juli 2001 der det sies følgende om hensynet bak forlenget lagringstid av billedopptak i post- og banklokaler:

"Hensynet bak bestemmelsen om forlenget lagringstid av billedopptak i post- og banklokaler er behovet for å kunne gå tilbake i tid ved etterforskning av f.eks. ran. På denne måten kan personer som har vært på befaring før den kriminelle handlingen avsløres. Etter Datatilsynets oppfatning gjør ikke de samme hensyn seg gjeldende ved billedopptak av minibanker utenfor postlokalene. En eventuell befaring kan her lettere skje utenfor overvåkningskameraenes rekkevidde."

Datatilsynet påpeker at Posten er uenig i denne begrunnelsen. Posten viser til et brev fra Samferdselsdepartementet til Justisdepartementet av 14. oktober 1996. Posten mener brevet viser at hensynet bak den forlengede lagringstiden for billedopptak i post- og banklokaler var lang revisjonstid. Justisdepartmentet ga i brev av 16. oktober 1995 Samferdselsdepartementet midlertidig tillatelse til lagring av billeddopptak gjort av Posten i 6 måneder. Vilkåret for tillatelsen var at Posten skulle forbedre sine rutiner slik at revisjonstiden kunne reduseres.

I brev av 14. oktober 1996 fra Samferdseldepartementet mottok Justisdepartementet ny søknad om dispensasjon for Posten. Kompetanse til å avgjøre slik søknad lå nå hos Datatilsynet, og Datatilsynet avslo søknaden 16. april 1997. Dette avslaget ble ikke påklaget av Posten. Datatilsynet anfører at verken personopplysningsloven, forarbeidene til person-opplysningsloven eller personopplysningsforskriften sier noe om begrunnelsen for den utvidete lagringstiden av billedopptak gjort i post- eller banklokaler.

Siden bestemmelsen i personopplysningsforskriften om fjernsynsovervåkning i det store og hele er en videreføring av reglene i forskrift til personregisterloven, er det naturlig å se hen til forarbeidene i forskriften som regulerte skilting av billedopptak etter personregisterloven. I foredraget til Kgl. resolusjon av 1.juli 1994 om billedopptak gjort ved fjernsynsovervåkning på side 9 og 10, er det til forskriftens § 5, 3. ledd, uttalt at høringsinstansen hadde fremhevet viktigheten av en romslig oppbevaringstid for billedopptak gjort i post- og banklokaler. Begrunnelsen er bl.a. at gjerningsmenn forut for forbrytelser foretar befaringer av lokalene for å kunne undersøke sikringstiltak osv. Det nevnes også at billedopptak har betydning for å kunne gå tilbake i tid i forhold til bedragerier. Lang revisjonstid er altså en del av begrunnelsen for forlenget lagringstid av billedopptak gjort i post- og banklokaler.

Datatilsynet er enig i at det er naturlig å se heving av kontanter fra minibanker som en integrert del av bankenes betalingssystemer. Ordlyden i personopplysningsforskriftens § 8-4, 3. ledd, sier klart at slettefristen er 3 måneder for billedopptak gjort i post- og banklokaler. Den naturlige forståelsen av ordet "lokale" er at dette er et rom eller et værelse. Ordlyden tilsier etter Datatilsynets mening at 3 måneders slettefrist gjelder billedopptak gjort i selve post- eller banklokalet som sådan. Selv om ordlyden i sammenheng med formålet med bestemmelsen, som fremhever viktigheten av å fange opp "befaringer" forut for forbrytelser, blir det naturlig å skille post- og banklokaler i ytre og indre sone. Dette innebærer at opptak som er gjort i sammenheng med det som skjer i lokalet, typisk opptak ved inngangspartiet, omfattes av 3-måneders slettefrist, mens opptak i forbindelse med det som skjer utenfor faller utenfor personopplysningsforskriften § 8-4, 3- ledd.

Datatilsynet ser at det kan være behov for lengre oppbevaringstid for opptak gjort av minibankene utenfor lokalet. Lang revisjonstid gjelder uavhengig av om minibanken er plassert i selve lokalet eller utenfor. Å tenke på en minibank rett utenfor banklokalet som en del av selve lokalet, kan være naturlig på grunn av den nære "geografiske" tilknytningen. Problemet, slik Datatilsynet ser det, er at utviklingen viser at minibanker i stor grad plasseres der de ikke har samme geografiske tilknytning som nevnt. I dag finner man minibanker i kiosker eller på ulike steder i kjøpesentre. Man må anta at denne utviklingen vil fortsette. Også ved disse terminalene vil det bli behov for forlenget lagringstid på grunn av lang revisjonstid. I disse tilfellene vil det ikke være like naturlig å tenke på terminalene som en del av post- eller banklokalet på samme måte som de terminaler som faktisk har en tilknytning til selve lokalet. Behovet for forlenget lagringstid på bakgrunn av lang revisjonstid vil gjelde alle virksomheter som tilbyr kunden bruk av betalingsterminal. Slik Datatilsynet ser det, står derfor ikke bankene i en særstilling når det gjelder dette argumentet.

Datatilsynet peker videre på at det vil være en forskjell i forventningene til publikum. Over-våkningskameraene utenfor et lokale vil fange inn områder allmennheten normalt ferdes og hvor man i utgangspunktet ikke forventer at overvåkning skjer, mens overvåkning i post- eller banklokale skjer på et begrenset område der publikum også har en forventning om at det overvåkes.

Datatilsynet drøfter deretter om det kan sies å foreligge "særlig behov".

Datatilsynet viser igjen til at "særlig behov" har vært tolket strengt og at det må foreligge særlige omstendigheter som gjør at overvåker har behov for utvidet lagringstid. Datatilsynet peker på at lang revisjonstid vil gjelde for alle virksomheter der kunden har muligheter til å betale med kort og ser ikke dette som en særlig omstendighet for overvåker, som tilsier utvidet lagringsadgang. Det vises til at dette har vært Datatilsynets holdning i lignende søknad om forlenget oppbevaring av billedopptak.

Datatilsynet har videre vurdert det slik at et eventuelt unntak etter forskriftens § 8-4, 5. ledd, for virksomheter som har problemer med lang revisjonstid, vil være å fatte et vedtak som strekker seg for langt i forhold til kompetansen tilsynet er tillagt. Etter Datatilsynets oppfatning er det lovgiver som må vurdere hvorvidt virksomheter innefor dette relativt store området har behov for lengre lagringstid.

Datatilsynet fant på denne bakgrunn ikke å omgjøre sitt vedtak, og oversendte saken til Personvernnemnda. Klager ble gjort kjent med dette. Klager er orientert om behandlingen i nemnda, og det er ikke mottatt ytterligere merknader.

6. Personvernnemndas vurderinger

Lovgiver har i personopplysningsloven (POL), som i den tidligere personregisterloven, åpnet for at fjernsynsovervåkning kan skje på visse vilkår, jfr POL § 37 følgende. POL § 41 gir hjemmel for at Kongen kan gi forskrifter ved nærmere bestemmelser om fjernsynsovervåkning og billedopptak i forbindelse med slik overvåkning, herunder om sikring, bruk og sletting av billedopptak gjort ved fjernsynsovervåkning. Som det fremgår foran er slike forskrifter gitt.

Fristen for sletting av opptak i bank- og postlokaler er tre måneder, mens den generelle frist er 7 dager. Dersom det er sannsynlig at opptak vil bli utlevert til politiet i forbindelse med en straffbar handling eller ulykke, er fristen satt til 30 dager. Posten ønsker samme slettefrist som i post- og banklokaler, tre måneder. Dette enten ved at forskriften tolkes slik at denne regel gjelder eller ved at dispensasjon blir gitt.

Personvernnemnda er kommet til at tolkning av begrepet "i post- og banklokaler" etter sin ordlyd ikke favner om minibanker på utsiden av lokalet. Personvernnemnda er enig med Datatilsynet i deres vurdering av dette spørsmålet og viser til tilsynets begrunnelse.

Det må etter dette vurderes om det er grunnlag for å gjøre unntak fra 7-dagers regelen etter forskriften § 8-4, 5. ledd.

Etter denne bestemmelsen kan det gjøres unntak fra 7-dagers fristen i andre ledd dersom det foreligger et særlig behov for oppbevaring i lengre tid. Personvernnemnda finner ikke holdepunkter for at "særlig behov" i utgangspunktet skal tolkes strengt og at det i dette ligger et krav om at det må foreligge særlige omstendigheter slik Datatilsynet legger til grunn. Det avgjørende, slik Personvernnemnda ser det, er hvorvidt det foreligger et særlig behov som etter en totalvurdering av de ulike hensynene begrunner en utvidet lagringstid. Totalvurderingen må bestå i en avveining av personverninteresser, forbrukerinteresser og andre interesser. Vurderingen av om det foreligger særlig behov og interesseavveiningen som deretter skal gjøres vil således gli noe over i hverandre.

Personvernnemnda viser til at personopplysningslovens alminnelige slettingsregel i § 28 gir anvisning på at "den behandlingsansvarlige skal ikke lagre personopplysninger lengre enn det som er nødvendig for å gjennomføre formålet med behandlingen." Denne bestemmelsen gjelder også for fjernsynsovervåking når billedopptakene lagres på en måte som gjør det mulig å finne igjen opplysninger om en bestemt person, jf POL § 37, 2.ledd. Nemnda anser at den konkret fastsatte slettefristen ikke kan være så lite fravikelig som Datatilsynet synes å legge til grunn. Det vil være i dårlig overensstemmelse med loven å tolke forskriftens unntaksbestemmelse strengt uten å gå inn på en konkret vurdering av det reelle behovet som gjør seg gjeldende. Det forhold at det innen området for billedopptak er fastsatt en særskilt frist og loven hjemler at dette gjøres i forskrift må anses mer som et uttrykk for behov for en alminnelig veiledende norm enn at risikoen for integritetskrenkelse nødvendigvis øker vesentlig om fristen er noe lengre.

Datatilsynet fremholder at det kan se at det foreligger behov for en lengre slettefrist. Nemnda deler dette syn. Så vel lang revisjonstid som behov for å avsløre spaning som har funnet sted mer enn 7 dager før en hendelse tilsier dette. Behovet er ikke vesensforskjellig fra behovet i lokalet, og Personvernnemnda finner at det bør gjøres unntak fra den fastsatte slettefristen. Personvernnemnda har i vurderingen sett hen til at det dreier seg om overvåking av et område hvor det ikke befinner seg mennesker som kan foreta manuell kontroll slik at muligheten for annen kontroll er svært begrenset.

Faren for integritetskrenkelser oppstår i det øyeblikk overvåking tillates og ved mangelfull avgrensing av formål. Med en tilstrekkelig varsling om at området rundt bankautomaten er overvåket kan ikke Personvernnemnda se at lengre lagringstid medfører en integritetskrenkelse som tilsier at de øvrige interessene som gjør seg gjeldende i denne saken må vike. Nemnda har ved vurderingen lagt vekt på at økt lagringstid kan sikre en bedre ivaretagelse av forbrukerinteressene og at overvåkingen gir økt trygghet til publikum ved at muligheten for oppklaring av urettmessige handlinger bli bedre.

Personvernnemnda er etter dette kommet til at lengre slettefrist kan innrømmes og setter denne til 3 måneder som for post-/banklokale. Dette i overensstemmelse med klagen.Vedtaket gjelder ikke for minibanker på andre steder uten samlokalisering med post-/banklokale.

Personvernnemnda finner i likhet med Datatilsynet at et unntak som det omsøkte, i konsekvens vil kunne favne vidt. Men nemnda anser ikke at dette avskjærer adgangen til å gi dispensasjon ved enkeltvedtak i denne saken.

7.Vedtak.

På denne bakgrunn har Personvernnemnda fattet følgende vedtak:

Posten Norges klage tas til følge. Slettefristen for billedopptak gjort ved fjernsynsovervåkning settes til inntil 3 måneder.

For Personvernnemnda

Jon Bing
Leder