Datatilsynet anser att det finns anledning att framföra allvarlig kritik mot att Dansk Retursystem A/S behandling av personuppgifter inte har skett i enlighet med dataskyddsförordningen (GDPR).
Av beslutet framgår att Datatilsynet i juli 2022 inlett ett initiativärende mot Dansk Retursystem, som utvecklat en app som kan användas för pantsättning. Appen ska bland annat ha behandlat information om användarnas konton, saldon och banklån. Utredningen visade att appen har en inbyggd komponent som behöver få fram användarens kontoinformation för att kunna betala ut pengar till rätt konto. Komponenten, som tillhandahålls av en tredje part, kan emellertid också samla in information som användarens saldon, identitetsinformation och transaktionshistorik. Denna information vidarebefordras dock inte till Dansk Retursystem.
Efter en genomgång av ärendet konstaterar Datatilsynet att:
- Dansk Retursystems behandling av personuppgifter i samband med användningen av Pant-appen inte har skett i enlighet med principen om laglighet, korrekthet och öppenhet i artikel 5.1 (a) GDPR.
- Dansk Retursystems behandling av personuppgifter i samband med användningen av Pant-appen inte har skett i enlighet med principen om uppgiftsminimering i artikel 5.1 (c) GDPR.
- Dansk Retursystems behandling av personuppgifter i samband med användningen av Pant-appen inte har skett i enlighet med artikel 25.1 GDPR när det gäller genomförandet av de dataskyddsrättsliga principerna.
Mot denna bakgrund anser Datatilsynet att Dansk Retursystems behandling av personuppgifter inte har skett i enlighet med reglerna i GDPR, vilket Datatilsynet anser att det finns anledning att framföra allvarlig kritik mot.
Datatilsynet ålägger Dansk Retursystem att se till att Pant-appen överensstämmer med GDPR genom att granska den behandling av personuppgifter som utförs i appen och se till att inte fler uppgifter behandlas än vad syftet dikterar och att den behandling som utförs utförs på ett lagligt, rättvist och öppet sätt. Datatilsynet utfärdar också en varning mot Dansk Retursystem om att deras behandling genom de API:er som appen använder sannolikt bryter mot reglerna i GDPR.