I mai 2021 varslet Datatilsynet at de ville ilegge Ferde gebyr på fem millioner kroner for brudd på personvernregelverket i forbindelse med overføring av bilder av bilskilt til tredjeland (manuell billedbehandling).
Datatilsynet fattet endelig vedtak om gebyr i slutten av september 2021, og Ferde aksepterer gebyret.
Ferde registrerer passeringer av kjøretøy i bomstasjoner, og dersom kjøretøyet ikke har brikke, eller brikken ikke blir korrekt registrert, blir det tatt et bilde av registreringsnummeret. Bilder som ikke leses digitalt, blir sendt videre til manuell bildebehandling. Datatilsynet legger til grunn at bilskilt er en personopplysning og at den manuelle billedbehandlingen utgjør behandling av personopplysninger.
I undersøkelsene har Datatilsynet fokusert på spørsmål knyttet til eksistensen av databehandleravtale, risikovurdering, samt overføringsgrunnlag ved overføring av personopplysninger til tredjeland. Undersøkelsen er avgrenset til de faktiske forhold slik de var i tidsrommet september 2017 og frem til oktober 2019.
Ferde erkjenner at det har vært brudd på personopplysningsloven i denne perioden. Når vi ble kjent med manglene, ble databehandleravtale signert, risikovurdering skriftlig vurdert og overføringsgrunnlag for overføring av personopplysninger utenfor EØS utarbeidet.
Etter at varselet om gebyr forelå har Ferde hatt en gjennomgang av tjenesten om manuell billedbehandling av bilskilt. Basert på dette er kontraktsforholdet avviklet og overføring av bilder av bilskilt til utlandet er avsluttet. Tjenesten ble utført internt i Ferde frem til ny avtale ble inngått med ekstern leverandør i 2022. (oppdatert)
Lenke til Datatilsynet
https://www.datatilsynet.no/aktuelt/