Metro Service slettede tv-optagelser under indsigtssag og får alvorlig kritik

Metro Service lod optagelserne fra Kongens Nytorv Metrostation blive slettet, mens en borgers anmodning om indsigt stadig verserede. Det udløser nu alvorlig kritik fra Datatilsynet, der slår fast, at optagelser gerne må gemmes ud over den faste slettefrist alene for at besvare en indsigtsanmodning – og at sletning midt i sagen afskærer klageadgangen. Samme uge blev det sendt i høring, hvilke myndigheder der skal føre tilsyn med følelsesgenkendelse på arbejdspladser og mærkning af deepfakes.

Tre afslagsgrunde underkendt i metrosagen

En advokat bad på vegne af en særligt udsat borger om optagelserne fra en hændelse i den lange midtergang på Kongens Nytorv Metrostation. Advokaten beskrev både borgerens udseende og selve hændelsesforløbet, men kunne kun afgrænse tidspunktet til tidsrummet mellem kl. 00.00 og 06.00 inden for 10 bestemte dage. Metro Service afviste anmodningen – først fordi beskrivelsen var for generisk, siden også med henvisning til den offentlige sikkerhed.

Datatilsynet underkender alle tre begrundelser og konkluderer, at selskabet har overtrådt GDPR artikel 5, stk. 1, litra a, artikel 12, stk. 2, artikel 12, stk. 5, litra b, og artikel 15.

Afgørelsen har betydning for alle virksomheder og myndigheder, der bruger tv-overvågning: retten til indsigt gælder også videooptagelser, og hverken overvågningsteknologien, tidsforbruget ved at gennemgå optagelserne eller et generelt hensyn til sikkerheden kan bruges som begrundelse for at afvise en anmodning.

Sletningen afskar borgeren fra at få afslaget prøvet

Metro Service sletter optagelser fra stationerne efter 30 dage, og materialet var ifølge selskabet allerede slettet, da anmodningen nåede frem. Datatilsynet regner efter: efter selskabets egen frist burde optagelserne fra de fleste af de 10 dage stadig have eksisteret, da anmodningen kom frem. Selskabet burde derfor have fundet det relevante materiale frem og gemt det. Borgeren fik først at vide, at optagelserne var væk, da tilsynet sendte sit høringsbrev i sagen.

Afgørelsen indeholder en klar regel for, hvad der skal ske, når en anmodning lander:

Oplysninger, der ellers skulle slettes efter en fastsat frist, må gemmes udelukkende for at kunne besvare en konkret indsigtsanmodning, der allerede er indgivet. Optræder andre personer på optagelserne, skal virksomheden selv løse det teknisk med sløring eller redigering af lyd og billede.

At slette i forbindelse med et afslag strider mod princippet om lovlighed, rimelighed og gennemsigtighed, fordi den registrerede dermed mister muligheden for at få afslaget prøvet ved Datatilsynet efter databeskyttelseslovens § 39 eller ved domstolene efter GDPR artikel 79. Det er ikke første gang: i 2024 fik en natklub alvorlig kritik for at slette tv-optagelser efter et afslag på indsigt.

Metro Service fik ellers medhold i en lignende sag i 2019. Den afgørelse kan ifølge tilsynet ikke bruges som en generel undtagelse fra indsigtsretten – den var en konkret vurdering. Selskabets persondatapolitik oplyser dog fortsat, at passagerer som udgangspunkt ikke har ret til indsigt i tv-optagelser.

Sådan rammer afgørelsen arbejdsgiverens indsigtsprocedure

Samme logik gælder for de optagelser og logfiler, der ligger i virksomheden: tv-overvågning af lager, kasse og indgang, GPS i firmabiler, adgangskontrol og logning af it-brug. Indsigtsanmodninger fra medarbejdere – og særligt fra afskedigede og bortviste – kommer typisk uger efter den hændelse, de handler om, og lander dermed tæt på den automatiske slettefrist. Det er netop dér, metrosagen placerer ansvaret.

• Stop sletningen, så snart anmodningen er modtaget. Materialet må gemmes ud over den normale frist, når det sker udelukkende for at besvare den konkrete anmodning.
• Søg i materialet, før I vurderer identifikation. Et afslag med henvisning til, at personen ikke kan findes, forudsætter, at I faktisk har forsøgt – og kan dokumentere det.
• Tidsforbrug bærer ikke et afslag alene. Bevisbyrden for, at en anmodning er åbenbart grundløs eller overdreven, ligger hos virksomheden.
• Løs tredjemandshensyn teknisk. Sløring og redigering af lyd og billede er virksomhedens opgave, ikke en grund til at sige nej.
• Gennemgå persondatapolitikken. Formuleringer om, at der "som udgangspunkt" ikke gives indsigt i optagelser, svarer ikke til den linje, tilsynet lægger.
• Vælg systemer, der kan søge. Et overvågningssetup, hvor oplysninger reelt ikke kan findes frem, vil generelt ikke være lovligt.

Datatilsynets samlede materiale om optagelser og tv-overvågning indeholder desuden de særlige begrænsninger, der gælder, når kontrolforanstaltninger rettes mod ansatte.

Tilsynet med forbudt AI-praksis deles mellem to myndigheder

Mens GDPR-sagerne ruller, er rammen om AI-tilsynet ved at falde på plads. Digitaliseringsstyrelsen har sendt et udkast til bekendtgørelse i høring, som udpeger markedsovervågningsmyndigheder for de forbudte former for AI-praksis i AI-forordningens artikel 5 og for gennemsigtighedsforpligtelserne i artikel 50. Hjemlen er § 2 i den nye AI-lov, der er fremsat som L 3 og endnu ikke er vedtaget.

Det nye i udkastet er, at Digitaliseringsstyrelsen også får tilsynet med artikel 50 – oplysning om, at man interagerer med et AI-system, maskinlæsbar mærkning af syntetisk indhold og deklarering af deepfakes. Beføjelserne efter lovforslaget er mærkbare: krav om oplysninger, påbud, midlertidige forbud, kontrolbesøg uden retskendelse, udtagning af AI-systemer til teknisk undersøgelse og offentliggørelse af afgørelser. Myndighederne skal samtidig være funktionelt uafhængige og må ikke modtage instrukser i sager efter forordningen.

To forhold er værd at bemærke for den, der skal afgive høringssvar: Domstolsstyrelsens hidtidige rolle optræder ikke i udkastet, og høringsfristen ligger dagen før den planlagte ikrafttræden.

Chatbotten i rekrutteringen skal fortælle, at den er en maskine

Størstedelen af AI-forordningens gennemsigtighedskrav gælder allerede. Det fremhæver Den Europæiske Tilsynsførende for Databeskyttelse i et blogindlæg om, hvordan kravene omsættes til praksis i EU's institutioner – et arbejde, der foregår i et netværk af AI-kontaktpersoner på tværs af institutioner, organer og agenturer.

For HR-funktionen er det artikel 50, der bider først:

• Chatbots og screeningsdialoger skal oplyse ansøgeren om, at modparten er et AI-system.
• AI-genereret tekst, lyd, billede og video skal kunne spores som kunstigt genereret eller manipuleret.
• Idriftsættere skal underrette de personer, der udsættes for systemer til følelsesgenkendelse eller biometrisk kategorisering.
• Oplysningen skal gives klart og synligt senest ved den første interaktion.

Skridtet videre – følelsesgenkendelse på arbejdspladsen – er ikke et spørgsmål om oplysningspligt, men forbudt efter artikel 5, stk. 1, litra f. Det er netop den bestemmelse, Digitaliseringsstyrelsen efter udkastet skal føre tilsyn med, og hvor styrelsen tidligere har gennemført sine første danske AI-tilsyn.