Datatilsynet har utfärdat en sanktionsavgift på 20 miljoner norska kronor mot en elektronikkedja för behandling av personuppgifter i en kundklubb utan giltig rättslig grund enligt dataskyddsförordningen (GDPR).
Bakgrund
Datatilsynet genomförde en inspektion på plats hos bolaget i juni 2022. Inspektionen gällde bolagets behandling av kunduppgifter och följde på flera anmälningar om personuppgiftsincidenter, klagomål och tips rörande bolagets kundklubb.
Bolaget drev kundklubben i marknadsföringssyfte och medlemskapet presenterades för kunderna främst som ett sätt att få rabatter, exklusiva erbjudanden och andra förmåner. Medlemskapet innebar dock även flera behandlingar av personuppgifter, däribland nyhetsbrev, SMS-marknadsföring, profilering, personalisering och analys. Bolaget grundade denna behandling på samtycke enligt artikel 6.1 (a) GDPR.
Samtycket till kundklubben beskrevs av bolaget som en ”allt eller inget”-lösning. En kund kunde inte gå med i kundklubben utan att samtidigt godkänna profilering, personalisering, analys och marknadsföringskommunikation. Efter att ha gått med kunde kunderna välja bort vissa marknadsföringskanaler, men de fick inte möjlighet att göra ett mer detaljerat val innan samtycket gavs.
Bolaget testade även verktyg för kundmatchning, vilket innebar att kundernas e-postadresser och telefonnummer matchades mot identifierare hos annonsplattformar. Uppgifterna hade ursprungligen samlats in i samband med kundklubben. Bolaget stödde sig på artikel 6.1 (f) GDPR för denna behandling och genomförde inte någon kompatibilitetsbedömning enligt artikel 6.4 GDPR, eftersom man ansåg att syftet var detsamma som syftet med kundklubben.
Dessutom använde bolaget verktyg för offlinekonvertering för att mäta effekten av digital marknadsföring på köp i fysiska butiker. Efter ett köp i butik skickade bolaget information till Google och Facebook för att jämföra köp med klick på digitala annonser. Även denna behandling stöddes på artikel 6.1 (f) GDPR.
Slutligen granskade Datatilsynet bolagets hantering av begäranden om registrerades rättigheter. Bolaget hade olösta begäranden från registrerade, däribland begäranden om rättelse, där tidsfristen på en månad hade löpt ut. Vissa begäranden gick tillbaka till åtminstone december 2021, och dokumentationen visade även på olösta ärenden från februari 2021. Begäranden om rättelse av e-postadresser behandlades automatiskt som komplexa, vilket ledde till en automatisk förlängning av tidsfristen.
Myndighetens bedömning
Datatilsynet konstaterade att bolaget hade överträtt flera centrala bestämmelser i GDPR. Bedömningen omfattade giltigheten av samtycket till kundklubben, bolagets användning av kunduppgifter för kundmatchning och offlinekonverteringar samt hanteringen av registrerades rättigheter. Dessa överträdelser ledde till att Datatilsynet beslutade om en sanktionsavgift.
Ogiltigt samtycke till kundklubben
Datatilsynet ansåg att bolaget hade brutit mot artikel 6.1 (a) GDPR jämförd med artikel 4.11 GDPR eftersom samtycket till kundklubben inte var tillräckligt specifikt, frivilligt och informerat.
Samtycket var inte specifikt. Datatilsynet ansåg att utskick av allmän marknadsföringskommunikation, profilering för personanpassad marknadsföring och analys av kundbeteende utgjorde separata ändamål. En bred hänvisning till marknadsföring var inte tillräckligt konkret för att täcka alla dessa behandlingar.
Samtycket var inte frivilligt. Datatilsynet konstaterade att bolaget hade sammanfört flera ändamål i ett enda medlemskap. Den registrerade kunde inte gå med i kundklubben och erhålla allmänna förmåner utan att samtidigt godkänna profilering, personalisering och analys. Möjligheten att välja bort detta efter anslutningen avhjälpte inte detta problem, eftersom den registrerade borde ha kunnat göra ett detaljerat val innan samtycket gavs.
Samtycket var inte informerat. Den information som lämnades till kunderna före samtycket var främst inriktad på rabatter och förmåner. Datatilsynet konstaterade att bolaget inte tydligt förklarade, innan samtycket gavs, att kundklubben innebar individanpassad marknadsföring, profilering och analys, och inte heller konsekvenserna av sådan behandling. Datatilsynet noterade också att informationen i stor utsträckning var beroende av enskilda butiksanställda, vilket medförde en betydande risk för bristande efterlevnad. Allvaret i överträdelsen förvärrades av att även barns personuppgifter behandlades. Kundklubben var vid tidpunkten för inspektionen öppen för kunder från 15 års ålder, men bolaget registrerade inte ålder och hade ingen mekanism för att kontrollera att kunderna uppfyllde ålderskravet.
Kundmatchning och kompatibilitetsbedömning
Datatilsynet ansåg att bolaget hade brutit mot artiklarna 6.1 och 6.4 GDPR avseende kundmatchning. Kunder som samtyckt till att gå med i en kundklubb för att få rabatter och förmåner kunde inte rimligen förvänta sig att deras uppgifter senare skulle användas för kundmatchning med reklamplattformar, särskilt inte när detta innebar att uppgifter delades med tredje part. Artikel 6.1 (f) GDPR kunde därför inte utgöra en giltig rättslig grund. Bolaget hade dessutom underlåtit att bedöma om det nya syftet var förenligt med det ursprungliga, såsom krävs enligt artikel 6.4 GDPR.
Offlinekonverteringar och ansvarsskyldighet
Datatilsynet ansåg att bolaget hade brutit mot principen om ansvarsskyldighet i artikel 5.2 GDPR jämförd med principen om laglighet, korrekhet och öppenhet i artikel 5.1 (a) GDPR. Datatilsynet tog inte ställning till om artikel 6.1 (f) GDPR i princip kunde användas för offlinekonverteringar, utan konstaterade att bolaget inte hade visat att behandlingen var laglig. Bedömningen av det berättigade intresset var för kortfattad och utelämnade viktiga delar, däribland antalet berörda registrerade, kategorier av personuppgifter, eventuell behandling av barns uppgifter, de registrerades rimliga förväntningar samt potentiella negativa konsekvenser av att dela uppgifter med Google och Facebook.
Begäranden om registrerades rättigheter
Datatilsynet ansåg att bolaget hade åsidosatt artikel 12.3 GDPR avseende hanteringen av begäranden. En begäran om rättelse av en e-postadress var i sig inte komplex. Bolaget kunde inte automatiskt förlänga tidsfristen på en månad för alla sådana begäranden. En eventuell förlängning måste grundas på en konkret bedömning av begärandenas antal och komplexitet. Datatilsynet konstaterade dessutom att vissa begäranden inte hade behandlats ens inom den förlängda tidsfristen på tre månader.
Sanktionsavgift
Mot bakgrund av de konstaterade överträdelserna ålade Datatilsynet en sanktionsavgift på 20 miljoner norska kronor. Myndigheten ansåg att överträdelserna rörde centrala principer i GDPR och berörde många registrerade, däribland barn, samt att överträdelserna var avsiktliga eftersom bolaget medvetet hade valt den aktuella kundklubbstrukturen och marknadsföringsverktygen och hade varit medvetet om riskerna kopplade till samtyckesmodellen.
Datatilsynet beaktade samtidigt förmildrande omständigheter. Bolaget hade samarbetat under utredningen, visat ökad medvetenhet om integritetsfrågor, genomfört förbättringar efter inspektionen och åtgärdat vissa identifierade brister. Den långa handläggningstiden betraktades också som en förmildrande omständighet. Sammantaget bedömde Datatilsynet att överträdelserna var av medelhög allvarlighetsgrad, men i den lägre delen av skalan.
Praktiska konsekvenser
Beslutet visar att Datatilsynet ställer höga krav på hur kundklubbar och lojalitetsprogram utformas. Ett samtycke kan inte omfatta flera olika ändamål genom en allmän hänvisning till ”marknadsföring”. Om behandlingen även omfattar profilering, personalisering och analys måste dessa ändamål beskrivas tydligt innan samtycket lämnas, och den registrerade måste ges en reell möjlighet att välja vilka behandlingar som ska godtas. Det är inte tillräckligt att erbjuda möjligheten att välja bort vissa behandlingar först efter att medlemskapet har ingåtts.
Beslutet understryker också vikten av att informationen lämnas på ett enhetligt och kontrollerbart sätt. Om samtyckets innehåll huvudsakligen förklaras muntligt av butikspersonal finns en risk att informationen blir ofullständig eller varierar mellan olika försäljningstillfällen. Personuppgiftsansvariga bör därför säkerställa att den information som krävs enligt GDPR lämnas innan samtycket inhämtas och på ett sätt som kan tillämpas konsekvent.
Beslutet illustrerar även att personuppgifter som samlats in för ett visst ändamål inte utan vidare kan användas för nya marknadsföringsåtgärder. När uppgifter används för exempelvis kundmatchning med annonsplattformar eller andra behandlingar som innebär ett nytt ändamål måste den personuppgiftsansvarige kunna visa att det finns en giltig rättslig grund och, när det är aktuellt, bedöma om det nya ändamålet är förenligt med det ursprungliga. De registrerades rimliga förväntningar och konsekvenserna av att uppgifter delas med tredje part är centrala faktorer i den bedömningen.
Slutligen visar beslutet att kraven på ansvarsskyldighet omfattar mer än att välja en rättslig grund. Den personuppgiftsansvarige måste kunna dokumentera och motivera sina bedömningar, exempelvis vid intresseavvägningar, samt säkerställa att registrerades rättigheter hanteras inom de tidsfrister som följer av GDPR. Beslutet är därför en påminnelse om att efterlevnad kräver både materiellt korrekta bedömningar och en dokumentation som gör det möjligt att visa att regelverket faktiskt följs.
TechLaw följer utvecklingen och publicerar löpande inlägg om tillsynsärenden, rättsutveckling och andra aktuella frågor på dataskyddsområdet. Läs mer om hur vi bistår våra klienter inom dataskydd och integritet.
Källa: Datatilsynet.
