Datatilsynet udtaler alvorlig kritik af Metro Service for nægtet tv-indsigt

I 2025 klagede en borger til DatatilsynetDatatilsynet, efter at Metro Service havde nægtet indsigt i tv-overvågningsoptagelser fra Kongens Nytorv stationDatatilsynet i forbindelse med en konkret hændelse. Anmodningen, der blev sendt gennem en repræsentant, indeholdt en generisk beskrivelse af borgerens udseendeDatatilsynet samt konkrete oplysninger om episoden, afgrænset til ti givne dage mellem kl. 00.00 og 06.00. Den henviste til GDPR artikel 15, stk. 3 og anmodede om, at optagelserne blev bevaret med henblik på en mulig efterforskning.

Metro Service, der driver Københavns Metro, nægtede to gangeDatatilsynet. Selskabet anførte, at beskrivelsen var for generisk til at identificere nogen blandt de mange daglige passagererDatatilsynet, at en gennemgang af stationens kameraer ville tage uforholdsmæssig lang tid, og at optagelser kun udleveres til politiet af hensyn til den offentlige sikkerhed og blinde vinkler. Det oplyste endvidere, at optagelser slettes efter 30 dageDatatilsynet og allerede var væk, da anmodningen ankom.

Ved afgørelse af 27. oktober 2026Datatilsynet udtalte Datatilsynet alvorlig kritikDatatilsynet efter GDPR artikel 58, stk. 2, litra b. Behandlingen af anmodningen var i strid med artikel 5, stk. 1, litra a, artikel 12, stk. 2, artikel 12, stk. 5, litra b og artikel 15, og den efterfølgende sletning var i strid med artikel 5, stk. 1, litra a og artikel 15, jf. databeskyttelseslovens § 39 om klage til tilsynet og GDPR artikel 79 om prøvelse ved domstolene.

Vedrørende identifikation gælder, at der ikke hersker rimelig tvivl, hvor den samlede mængde oplysninger om en bestemt person individualiserer vedkommende tilstrækkeligt. En generisk beskrivelse af udseende kombineret med en beskrevet episode på et præcist sted, i et snævert nattetidsrum og med et markant hændelsesforløb kan opfylde dette krav. Ved rimelig tvivl kan den dataansvarlige bede om yderligere oplysninger til bekræftelse af identiteten, ikke nægte direkteDatatilsynet, og artikel 12, stk. 2 forpligter den dataansvarlige til at lette udøvelsen af rettigheder, idet anmodninger skal besvares inden en måned efter artikel 12, stk. 3Datatilsynet.

De øvrige nægtelsesgrunde holder heller ikke. Om en første anmodning er åbenbart grundløs eller overdreven efter artikel 12, stk. 5, litra b, skal den dataansvarlige bevise, og bestemmelsen fortolkes strengt; tidsforbrug alene gør ikke en anmodning til misbrug, jf. EDPB's retningslinjer 01/2022. En sikkerhedsundtagelse efter databeskyttelseslovens § 22, stk. 2 kræver en konkret afvejning for hver enkelt oplysning, og tilsynets Metro-afgørelse fra 2019 er ingen generel undtagelse. Blindvinkelargumentet ramte forbi: anmodningen gjaldt en beskrevet aktiv situation i en åben gang, som flere kameraer kunne have dækket, og da der ikke engang var fremfundet materiale om situationen, fandt den konkrete vurdering aldrig sted.

Vedrørende sletning kræver artikel 5, stk. 1, litra a sammen med pligten til at iagttage de registreredes rettigheder foranstaltninger til at fremfinde og midlertidigt opbevare oplysninger til brug for rettighedsanmodninger, navnlig hvor en fast slettefrist ellers ville fjerne dem, før anmodningen er færdigbehandlet. Efter et afslag skal den dataansvarlige som udgangspunkt bevare materialet, så borgeren kan klage til Datatilsynet eller gå til domstoleneDatatilsynet; sletning i umiddelbar tilknytning til afslaget afskærer denne prøvelse. Efter Metro Services egen 30-dages-regel burde kun optagelser fra før den ønskede periode have været væk, så materialet fra de ti dage burde have været identificeret og bevaret. Overskredne optagelser må opbevares til det isolerede formål at opfylde en indgivet indsigtsanmodning, og hvor andre optræder, får den indsigtsøgende kun sine egne oplysninger, idet den dataansvarlige anvender redigering såsom maskering til beskyttelse af tredjemand.

For tv-overvågningsoperatører er pointerne at vurdere hele identifikationsbilledet, dokumentere en konkret afvejning for hver enkelt oplysning før påberåbelse af sikkerhed og fastfryse de ønskede optagelser ved modtagelsen, så et afslag fortsat kan prøves.

Retsgrundlag: GDPR artikel 5, stk. 1, litra a, artikel 12, stk. 2, 3 og 5, litra b, artikel 15, artikel 58, stk. 2, litra b og artikel 79 samt databeskyttelseslovens §§ 22 og 39.