Kritik og alvorlig kritik til Fynbus for manglende overholdelse af oplysningspligten

Datatilsynet indledte i efteråret 2019 et skriftligt tilsyn med Fynbus I/S for at undersøge, om selskabet overholdt oplysningspligten ved indsamling af oplysninger om kunders rejsehistorik. Tilsynet fokuserede på, om Fynbus i tilstrækkelig grad informerede kunderne om, hvordan deres personoplysninger blev behandlet, jf. Databeskyttelsesforordningen § 13, samt om Fynbus overholdt kravet om gennemsigtighed, jf. Databeskyttelsesloven § 5. Datatilsynet undersøgte fem af Fynbus’ tjenester: webshop.fynbus.dk, Fynbus Mobilbillet (app), fynbus.flextrafik.dk (med tilhørende app), og fynbusbestilling.dk.

Fynbus anførte, at de opfyldte oplysningspligten via privatlivspolitikker tilgængelige på deres hjemmeside. Datatilsynet vurderede, om disse politikker var tilstrækkeligt tilgængelige for brugerne, og om de indeholdt alle de nødvendige oplysninger i henhold til databeskyttelsesforordningen.

Datatilsynet fandt, at Fynbus ikke i alle tilfælde gav kunderne tilstrækkelig information om databehandlingen på tidspunktet for indsamlingen af personoplysninger. Derudover fandt tilsynet mangler i flere af Fynbus’ privatlivspolitikker, særligt i forhold til oplysninger om retten til at trække samtykke tilbage, opbevaringsperioder for data og retten til begrænsning af behandling.

Datatilsynet har truffet følgende afgørelse i sagen om Fynbus I/S:

Konklusion

• Datatilsynet udtaler kritik af Fynbus for manglende overholdelse af oplysningspligten i forbindelse med tjenesterne webshop.fynbus.dk, fynbus.flextrafik.dk og fynbusbestilling.dk, da kunderne selv skulle opsøge informationerne, hvilket ikke lever op til kravene i Databeskyttelsesforordningen § 13 og Databeskyttelsesforordningen § 12.
• Datatilsynet udtaler ligeledes kritik af Fynbus for utilstrækkelig information i privatlivspolitikken for webshop.fynbus.dk og fynbusbestilling.dk, hvilket er i strid med Databeskyttelsesforordningen § 13.
• Datatilsynet udtaler alvorlig kritik af Fynbus for mangelfuld privatlivspolitik i app'en Fynbus Mobilbillet, især fordi den oprindelige politik refererede til den forældede persondatalov og den opdaterede politik fortsat var mangelfuld, hvilket er en overtrædelse af Databeskyttelsesforordningen § 13.

Datatilsynet fandt ingen anledning til at udtale kritik vedrørende Fynbus’ procedure for iagttagelse af oplysningspligten i forbindelse med tjenesterne Fynbus Mobilbillet og app’en Flextrafik, samt privatlivspolitikkerne tilknyttet tjenesterne fynbus.flextrafik.dk og den tilhørende app Flextrafik.