Jesper Bengtson
Datatilsynet finder ikke grundlag for at kritisere appens GPS-indsamling, selv om den kan registrere følsomme lokationer.
Datatilsynet afsluttede i går sin to år lange undersøgelse af Rejsekort-appen uden at udtale kritik. Tilsynet konkluderer, at der ikke er “fuldt tilstrækkeligt grundlag” for at rejse indsigelser mod, hvordan appen indsamler og behandler brugernes positionsdata, oplyser Datatilsynet i afgørelsen fra 20. august 2026.
Sagen har kørt siden sommeren 2024 og har koncentreret sig om to spørgsmål: om indsamlingen af lokationsoplysninger overholder princippet om dataminimering, og om appens indretning følger reglerne om databeskyttelse gennem design.
Appen kan registrere følsomme steder
Kernen i sagen er, at appen bruger GPS til at beregne prisen på rejsen, og at registreringen kan fortsætte efter, at rejsen reelt er slut, hvis brugeren glemmer at checke ud. Datatilsynet har tidligere fremhævet, at dataindsamlingen i den situation potentielt kan omfatte følsomme oplysninger.
Tilsynet nævnte i en statusmelding fra januar 2026 besøg hos speciallæge, deltagelse i gudstjeneste og møder i fagforeningen som eksempler på oplysninger, som en bruger ikke nødvendigvis ønsker at dele med selskabet bag appen. Det er den type registrering, undersøgelsen skulle vurdere lovligheden af.
Datatilsynet lagde vægt på Rejsekorts tiltag
I den samlede vurdering lagde tilsynet vægt på, at kun en lille andel af brugerne glemmer at checke ud, og at Rejsekort & Rejseplan A/S har indført en række tiltag, der begrænser registreringen. Det gælder blandt andet påmindelser i appen, en smart check-ud-funktion og en tvungen automatisk udtjekning én gang i døgnet.
Selve dataflowet er beskrevet i Rejsekorts privatlivspolitik. Her fremgår det, at positionen registreres lokalt på telefonen i 5 minutter ad gangen, at kun de sidste 2 minutter før check-ind sendes til selskabet, og at lokationsoplysninger og aktivitetsdata slettes efter 2 måneder.
Sådan slår brugerne registreringen fra
Smart check-ud er den funktion, brugerne selv kan aktivere for at undgå, at appen bliver ved med at registrere position, når rejsen er slut. Ifølge Rejsekorts vejledning sender appen en notifikation 10 til 30 minutter efter, at systemet har registreret, at brugeren er stået af den kollektive transport. Reagerer brugeren ikke inden for 5 minutter, afsluttes rejsen automatisk.
Har brugeren hverken slået smart check-ud til eller checket manuelt ud, bliver rejsen først afsluttet ved den automatiske natlige udtjekning. I det tidsrum kan appen fortsætte med at indsamle positionsdata for at sikre, at rejsehjemlen er gyldig.
EU-drøftelser gav ikke fælles linje
Datatilsynet forsøgte at få de øvrige europæiske databeskyttelsesmyndigheder til at tage stilling til principperne i sagen.
I juni 2025 blev spørgsmålene sendt i konsultation, og i april 2026 blev de drøftet på arbejdsgruppeniveau under Det Europæiske Databeskyttelsesråd. Der var dog ikke tilstrækkelig opbakning til en formel udtalelse fra rådet, og tilsynet valgte herefter at træffe afgørelsen på det nationale grundlag.
Med afgørelsen er sagen slut, og Datatilsynet foretager sig ikke videre.
