Andmekaitse Inspektsioon (AKI) anser att elsparksföretag haft rätt att kontrollera kundernas vikt via sensorer enligt dataskyddsförordningen (GDPR).
Av beslutet framgår att en registrerad tagit emot ett meddelande från elsparksföretaget efter sin resa där företaget hävdade att den registrerade inte använt elsparken ensam, det vill säga att elsparken användes samtidigt av den registrerade och en eller flera andra personer. Den registrerade lämnade in ett klagomål till AKI och hävdade att elsparksföretagets integritetspolicy inte innehöll information om insamlingen av kroppsvikt, dess ändamål och rättsliga grund.
Elsparksföretaget hävdade att tandemåkning är förbjuden enligt företagets användarpolicy. För att säkerställa ett regeln efterföljs ansåg företaget att det var nödvändigt att övervaka användarna genom att kontrollera deras vikt via sensorer som installerats på elsparkarna.
AKI konstaterade inledningsvis att en persons vikt i sig är en personuppgift, men att uppgiften inte anses vara känsliga uppgifter i den mening som avses i artikel 9 GDPR. AKI delade även elsparksföretagets bedömning att företaget haft ett berättigat intresse enligt artikel 6.1 (f) GDPR att behandla uppgifterna. Enligt AKI tjänar behandlingen av uppgifterna ett viktigt syfte för såväl kunder som för andra fotgängare, och behandlingen syftar till att förbättra säkerheten i stadens infrastruktur och minska antalet olyckor till följd av tandemåkning och kollisioner med fotgängare.
Vidare ansåg AKI, även om denna behandling innebär övervakning av förändringar av personens vikt, att uppgifterna kommer att användas för att upprätthålla säker körning och det kommer att uppväga integritetsintrånget för de registrerade. Uppgifterna kommer vidare att sparas under en begränsad tidsperiod på ett säkert sätt och kommer endast att användas för att skicka ett meddelande till användaren när eventuell tandemkörning har upptäckts.
Eftersom integritetspolicyn inte innehöll alla nödvändiga upplysningar konstaterade dock AKI att elsparksföretaget brustit i företagets informationsplikt enligt artikel 13.1 GDPR varför myndigheten ansåg att företaget uppdaterar sin integritetspolicy med nödvändig information.