Afgørelse fra Datatilsynet om indsamling af lokationsdata viser vigtigheden af dataminimering

I en afgørelse fra februar 2019 vedrørende TDC anvender Datatilsynet Persondataforordningens artikel 5, princippet om, at indsamling af personoplysninger skal begrænses til det nødvendige af hensyn til formålet - det såkaldte dataminimeringsprincip.

Indsamling af lokationsdata

En borger havde klaget over, at TDC over en periode havde indsamlet et større antal lokationsdata vedrørende den pågældende. TDC oplyste, at det ikke var muligt at skelne mellem forskellig slags trafik, hvorfor der blev indsamlet lokationsdata for al mobildatatrafik. De pågældende data blev slettet igen, når de ikke længere var relevante.

TDC oplyste, at det ville kræve betydelige systemændringer at kunne skelne mellem forskellige former for mobildata, og at omkostningen herved formentlig ville være et tocifret millionbeløb. Endvidere at det var nødvendigt at indsamle lokationsdata for al mobiltrafik for at kunne overholde Logningsbekendtgørelsens krav om registrering af lokationsdata for MMS-kommunikation.

Opbygningen af et it-system kan ikke begrunde manglende overholdelse af databeskyttelsesreglerne

Datatilsynet vurderede imidlertid, at opbygningen af TDC’s it-system ikke kan begrunde, at der indsamles oplysninger, som TDC ikke er forpligtet til at indsamle, og at omkostningerne til ændring af systemerne ikke kan begrunde manglende overholdelse af databeskyttelsesreglerne.

Datatilsynet noterer sig, at TDC ikke længere indsamler de omhandlede oplysninger og foretager sig ikke yderligere end at udtale kritik.

Afgørelsen er interessant ved det generelle udsagn om, at opbygningen af et it-system (og omkostningerne ved at ændre det) ikke kan begrunde, at princippet om dataminimering overtrædes. Der er ikke i afgørelsen antydning af, om der ville gælde noget andet, hvis omkostningerne havde været endnu højere end angivet. Det er næppe overraskende, men dog udtryk for en relativ kompromisløs linje.

Da ændringer it-systemer tager tid, kunne man måske have forventet, at Datatilsynet ville have åbnet op for, at dataindsamlingen kunne fortsætte i en overgangsperiode. Det er der heller ikke støtte for i afgørelsen.

Omvendt er det værd at notere sig, at sanktionen for overtrædelsen alene er kritik. Det fremgår ikke, om Datatilsynet har overgivet sagen til Politiet med henblik på bødeansvar.

Det er vigtigt kun at indsamle nødvendige data

Afgørelsen viser, at kravet om kun at indsamle de nødvendige data er et af grundprincipperne i forordningen, og at selv nok så gode praktiske og økonomiske grunde ikke kan begrunde, at princippet ikke følges. Læs mere om afgørelsen her

Har du spørgsmål eller brug for rådgivning vedrørende dataminimering, er du altid velkommen til at kontakte os.