Lov om utprøving av selvkjørende kjøretøy og personvern

Data Protection, Privacy and Security Alert

Kontakt:

Denne artikkelen stod på trykk i Moderne Transports oktoberutgave (2017) og er gjengitt med tillatelse.

Den 16. juni 2017 fremmet Samferdselsdepartementet proposisjon 152 L (2016-2017) for Lov om utprøving av selvkjørende kjøretøy. Dette er en spennende utvikling som innebærer at man kommer et steg nærmere introduksjon av selvkjørende biler i Norge. Den teknologiske utviklingen av automatiserte kjøretøy "antas å få stor betydning for mer effektiv trafikkavvikling, økt mobilitet, miljø og ikke minst være svært viktig for trafikksikkerheten" i følge samferdselsministeren Kjetil Solvik-Olsen. Samtidig, i forbindelse med innføring av automatiserte kjøretøy, innhenter kjøretøyet informasjon om både passasjerer og omverdenen. Hvilke personvernrettslige problemstillinger vil denne utviklingen ha, og hvordan er dette håndtert i den foreslåtte loven?

Gjeldende lov og problemstillinger

Personopplysninger er opplysninger som kan knyttes til en enkeltperson, jf definisjonen i personopplysningsloven §2 (1), slik som bilder av individer, e-postadresser, bilregistreringsnummer, samt opplysninger om sjåførens kjøremønster. Personopplysninger kan kun samles inn og behandles av andre dersom det eksisterer et gyldig behandlingsgrunnlag; et slikt grunnlag kan være at den registrerte har samtykket til at hans personopplysninger samles inn, jf. personopplysningsloven §8.

For at samtykke skal anses gyldig, stilles det flere vilkår i §19, eksempelvis må den registrerte bli informert om hvem som samler inn opplysningene, til hvilket formål, mm. Den som samler personopplysninger har kun etter lovens §11 lov til å bruke disse for det opplyste formålet, og kun i den grad det er nødvendig.

Datatilsynet har i en årrekke nøye observert hvordan moderne kjøretøy samler ulike typer personopplysninger og hvordan slik informasjon anvendes. Basert på innspill fra Datatilsynet og andre høringsinstanser har regjeringen langt på vei prøvd å regulere personvernrettslige problemstillingen i den nye Lov om utprøving av selvkjørende kjøretøy.

Personvernbestemmelser i Lov om utprøving av selvkjørende kjøretøy

Lov om utprøving av selvkjørende kjøretøy har et begrenset reguleringsområde da den kun tilrettelegger for "utprøving av selvkjørende kjøretøy uten ansvarlig fører og selvkjørende kjøretøy med ansvarlig fører som ikke befinner seg i tradisjonell førerplass" jf lovens §2, samt andre tilfeller med selvkjørende kjøretøy hvor det er nødvendig.

I lovens kapittel 4 fremgår det at den som ved utprøving får tilgang til andres personopplysninger må holde disse hemmelige, og den som har fått tillatelse til utprøving kun må behandle personopplysninger "for forsknings- og utviklingsarbeid med sikte på å avdekke hvilke effekter selvkjørende kjøretøy kan ha for trafikksikkerhet, effektivitet i trafikkavviklingen, mobilitet og miljø", jf §11. Behandlingsgrunnlaget er derfor etablert ved lov. Personopplysningene kan samtidig kun utleveres i den grad det er nødvendig for gjennomføring av tilsyn, forskning eller utviklingsarbeid, og må slettes når de ikke lenger er nødvendige, jf §14. Med andre ord, loven tillater kun et svært begrenset bruksformål for personopplysninger som samles.

Når det gjelder hvilke opplysninger som er tillatt å samle inn er dette ganske mye. Etter §12 kan det innhentes nødvendige personopplysninger utenfor kjøretøy og i kjøretøy der allmennheten har tilgang uten samtykke så lenge informasjonen slettes eller avidentifiseres etter 7 dager. Et eksempel er ved bruk av kamera utenfor kjøretøy, som for eksempel filmer forbigående kjøretøy eller fotgjengere, eller passasjerer i busser. Til slutt gis det i §12 en generell tilgang til innhenting av personopplysninger i kjøretøy hvor a) allmennheten ikke har tilgang, b) det er gitt samtykke og c) det er nødvendig for å oppnå formålet.

Der det må innhentes samtykke følger det av §13 at dette skal varsles gjennom tydelig skilting; det følger av kommentarene i lovforslaget at dersom det filmes utenfor kjøretøyet, skal slik skilting være tydelig vist på utsiden av kjøretøyet. Dette gjelder både på kjøretøy der allmenheten har tilgang, slik som i busser, og kjøretøy der allmennheten ikke har tilgang.

I proposisjonen fremgår det at flere høringsinstanser mener det er teknologisk vanskelig og tidkrevende å avidentifisere informasjon, mens Datatilsynet mener det ikke er tilstrekkelig kun med avidentifisering for å sikre personvern. Departementet har på sin side ikke kommentert om det teknisk sett er mulig å avidentifisere informasjon. I stedet fokuseres det på at det ikke kan stilles skjerpede krav om full anonymisering fordi dette vil være mer krevende enn avidentifisering. I alle tilfelle er det tale om få opplysninger som faktisk er lov å innhente og da blir det tilsvarende få opplysninger å avidentifisere.

Konklusjon

I den nye Lov om utprøving av selvkjørende kjøretøy har regjeringen forsøkt å regulere de ulike personvernrettslige spørsmålene på en konsis og enkel måte. Dette vil antakeligvis være tilstrekkelig i den første utprøvingsfasen. Når det innføres en permanent ordning med selvkjørende kjøretøy vil det være viktig at det også tas hensyn til den nye personvernforordningen, EUs General Data Protection Regulations ("GDPR"), som blir innført i Norge i mai 2018. Personopplysningsloven vil bli erstattet med et nytt regelverk, hvor blant annet stilles skjerpede krav til innhenting av samtykke, ansvarsfordeling mellom databehandlere og de som bestemmer formålet for bruk av personopplysninger. Om Lov om utprøving av selvkjørende kjøretøy ikke inneholder noen "overgangsordning" for å tilfredsstille det nye regelverket bør imidlertid sentrale krav etter GDPR overholdes, f.eks øvrige krav til internkontroll, selv om dette ikke er berørt i lovutkastet.