Overtredelsesgebyret på fire millioner kroner er det høyeste Datatilsynet så langt har varslet etter det nye regelverket (GDPR), skriver de i en pressemelding.

Årsaken til det skyhøye gebyret er manglende sletting av passeringsopplysninger i bomringen.

Statens vegvesen skal ikke ha slettet passeringsopplysninger som brikkenummer, lokasjon og passeringstidspunkt i sin database. I det opprinnelige systemet for lagring av passeringer i bomringen, var det ikke mulig å slette passeringsopplysninger.

- Ulovlig

- Vegvesenet har behandlet personopplysninger ulovlig. Slettefunksjonen har manglet, og det er snakk om enormt mye informasjon som ikke har vært nødvendig å lagre, sier direktør Bjørn Erik Thon.

Datatilsynet skriver at det i vurderingen er særlig lagt vekt på at man i systemet ikke hadde vurdert innebygd personvern, for eksempel automatisk sletting.

- Da er det alvorlig at systemet ikke var innrettet etter personvernregelverket. Folk skal kunne ferdes uten at det blir foretatt unødvendige registreringer, sier Thon.

Arbeider med en ny database

I varsel om pålegg ber Datatilsynet Statens vegvesen om å slette personopplysninger, som brikkenummer, lokasjon og passeringstidspunkt, som lagres utover den tid Vegvesenet lovlig kan oppbevare disse personopplysningene. Grunnen er at slike personopplysninger ikke lenger er nødvendige for formålet de opprinnelig ble samlet inn eller behandlet for.