Overtredelsesgebyr på 20 millioner for kundeklubb?

Samtykke

Bruk av personopplysninger i kundeklubber og andre fordelsprogrammer er i praksis basert på samtykke, men mange virksomheter har ikke tatt inn over seg hva som kreves for at slike samtykker skal være gyldige.

Elkjøp-saken gjør det klart at det ikke kan brukes ett samtykke for flere ulike behandlingsaktiviteter. Dette gjelder selv om det overordnede formålet med aktivitetene alle er å fremme salg av varer eller tjenester. Kravene til at samtykket skal være frivillig og spesifikt, innebærer f.eks. at det må innhentes egne (separate) samtykker for henholdsvis generell markedsføring, profilering og personlig rettet markedsføring.

Kravet til frivillighet innebærer dessuten at det må være mulig for kunden å kunne si nei til for eksempel profilering uten dermed å bli utstengt fra kundeklubben og muligheten for å oppnå rabatter. Det samme må gjelde dersom kunden velger å benytte seg av sin rett etter markedsføringsloven til å reservere seg mot mottak av markedsføring på SMS eller e-post. I Elkjøp-saken er Datatilsynet avvisende til argumenter om at avgivelse av personopplysninger kan anses som «betaling» for tilgang til generelle rabatter og fordeler.

Gis det ikke tilstrekkelig informasjon om hvordan personopplysningene behandles og formålet med de enkelte aktivitetene, vil samtykkene heller ikke være informerte. Informasjonen skal gis før kunden gir sitt samtykke. Det er ikke tilstrekkelig at kunden gis anledning til å reservere seg mot visse markedsføringsaktiviteter i etterkant. Det er opp til den næringsdrivende å dokumentere hvilken informasjon kunden faktisk har fått. Særlig der det innhentes samtykker i kassen, vil det være vanskelig å dokumentere at informasjonen har vært dekkende for den etterfølgende behandlingen.

Videre bruk av innhentede opplysninger - markedsføring i sosiale medier

Behandler man kundeopplysninger på måter som ikke klart faller innenfor de samtykker som er innhentet, må man nøye vurdere om man har rettslig grunnlag for slik behandling.

Elkjøp-saken viser at dette er særlig relevant i tilfeller hvor man for analyse eller rene markedsføringsformål, deler kundeopplysninger med tredjepart, typisk sosiale medier og andre annonseplattformer. For å få mer ut av sine markedsinvesteringer, hadde Elkjøp delt informasjon om kundenes e-postadresser og telefonnummer med annonseplattformer. Datatilsynet mente slik deling ikke var forenelig med de opprinnelig innhentede samtykkene, og at Elkjøp heller ikke kunne basere slik deling på annet grunnlag, herunder interesseavveiing. Ønsker man å bruke kundeopplysninger for å effektivisere markedsføring på nett, vil det kunne kreve egne samtykker.

Barns personopplysninger

Barns personopplysninger er særlig beskyttet. Kunder under 18 år skal ikke være gjenstand for profilering.

I Elkjøp-saken la Datatilsynet i skjerpende retning vekt på at Elkjøp manglet mekanismer for å sikre at kundene i kundeklubben faktisk var over 15 år. Dette gjaldt selv om Elkjøps markedsføring ikke var særlig rettet mot barn.

Særlige opplysninger

Noe som ikke var tema i Elkjøp-saken, men som kan være særlig relevant for aktører som selger varer og tjenester som kan si noe om kundens helse, seksuelle forhold eller religion, er at det å lagre eller på annen måte behandle informasjon om hvilke slike produkter kunden kjøper, krever at det er innhentet forsterket (eksplisitt) samtykke.