Datenschutzbehörde (DSB) beviljar ett forskningsinstitut tillstånd att behandla personuppgifter inom området området för automatiserad körning. Tillståndet beviljas med stöd av artikel 89 dataskyddsförordningen (GDPR).
Av beslutet framgår att ett forskningsinstitut som är verksamt inom området för automatiserad körning ansökt om ett tillstånd för behandling av personuppgifter hos DSB. Forskningsinstitutet ville testa automatiserade fordon på allmänna motorvägar och behövde behandla en stor mängd personuppgifter, i synnerhet videor från både utsidan och insidan av fordonen, för att träna sin algoritm. Forskningsinstitutet hävdade att identiteten hos de registrerade vars bilder fångades av kamerorna inte hade någon betydelse för behandlingen. Inspelningen var dock nödvändig för att säkerställa att automatiserade fordon var säkra för trafikanterna. Forskningsinstitutet utförde en konsekvensbedömning enligt artikel 35 GDPR och ansåg att riskerna kunde minskas i tillräcklig utsträckning.
Initialt noterade DSB att behandling av personuppgifter i samband med arkivering, vetenskapliga, historiska eller statistiska ändamål regleras i österrikisk lag genom Datenschutzgesetz (DSG). En sådan bestämmelse är ett genomförande av artikel 89 GDPR, som gör det möjligt för medlemsstaterna att anta regler som begränsar de registrerades rättigheter i samband med ovan nämnda behandlingsaktiviteter, förutsatt att skyddsåtgärder genomförs.
Enligt bestämmelser i DSG kan behandling av personuppgifter som inte tidigare varit allmänt tillgängliga eller som inte därefter anonymiserats endast grunda sig på särskilda rättsliga bestämmelser, samtycke eller tillstånd från tillsynsmyndigheten. I det aktuella fallet kunde forskningsinstitutet endast förlita sig på den senare rättsliga grunden.
DSB beaktade flera faktorer i tillståndsprocessen:
- Forskningsinstitutet planerade att radera eller anonymisera uppgifter så snart de inte längre var nödvändiga för ändamålet med behandlingen.
- Forskningsinstitutet garanterade att när anonymisering inte var en genomförbar åtgärd skulle utlämnande endast ha varit möjligt i den utsträckning som forskningsinstitutet berättigade intressen vägde tyngre än den registrerades rättigheter.
- Forskningsinstitutet planerade att använda sig av personuppgiftsbiträden som kunde garantera efterlevnad av GDPR, i enlighet med artikel 28 GDPR.
- Forskningsinstitutet garanterade att europeiska dataskyddsstandarder skulle respekteras om uppgifter överförs utanför EU.
- Att inhämta samtycke från de registrerade skulle ha varit omöjligt eller inneburit en oproportionerligt stor ansträngning för forskningsinstitutet.
- Forskningsinstitutets mål, nämligen en högre säkerhetsnivå vid utvecklingen av automatiserade fordon, låg i allmänhetens intresse.
Mot bakgrund av ovanstående beviljade DSB tillstånd till behandlingen. DSB införde dock två ytterligare villkor; att behandlingen av de registrerades ansikten begränsas så långt som möjligt, att forskningsinstitutet inte fick överföra uppgifter till tredje part i avsaknad av ett ytterligare tillstånd.