Journalnummer: 2019-431-0018
Resumé
Datatilsynet indledte i januar 2019 en sag af egen drift mod Burda Nordic, da Datatilsynet gennem en række borgerhenvender var blevet bekendt med Burda Nordics optagelse af telefonsamtaler ved salg og markedsføring af Burda Nordics magasiner.
Datatilsynet traf den 21. november afgørelse i sagen. Tilsynet fandt, at Burda Nordics behandling af personoplysninger i forbindelse med optagelse af telefonsamtaler er sket uden et gyldigt samtykke. Datatilsynet fandt desuden at Burda Nordic ikke har iagttaget forlagets oplysningspligt i medfør af databeskyttelsesforordningens artikel 13 og 14.
Burda Nordic har oplyst, at optagelserne udelukkende bruges til at dokumentere aftaleindgåelser. Datatilsynet bemærkede hertil, at der altid skal foreligge et sagligt formål med optagelser af telefonsamtaler, og at virksomheder således skal overveje, om det forfulgte formål kan opnås med mindre indgribende midler, f.eks. ved fremsendelse af ordrebekræftelser via e-mail.
Afgørelse
Datatilsynet vender hermed tilbage til sagen om Burda Nordic A/S’ behandling af personoplysninger i forbindelse med telefonsamtaler vedrørende salg og markedsføring af Burda Nordics magasiner.
Datatilsynet skal bemærke, at tilsynet alene kan tage stilling til databeskyttelsesretlige spørgsmål. Datatilsynet har derfor ikke taget stilling til forbrugerretlige spørgsmål i forbindelse med sagens behandling.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale alvorlig kritik af, at Burda Nordics behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens[1] artikel 6, stk. 1, samt artikel 13 og 14.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Datatilsynet er efter en række konkrete henvendelser blevet opmærksom på behandlingen af personoplysninger i forbindelse med telefonsamtaler vedrørende salg og markedsføring af Burda Nordics magasiner.
Datatilsynet har ved brev af 9. januar 2019 stillet Burda Nordic en række spørgsmål med henblik på Datatilsynets behandling af sagen. Burda Nordic har den 2. februar 2019 indsendt sine bemærkninger til tilsynet, herunder skærmprint af samtykkeerklæringer til brug for indsamling af personoplysninger i forbindelse med konkurrencer.
Det fremgår, at optagelse af telefonsamtaler i forbindelse med henvendelse fra salgsbureauerne sker på grundlag af det samtykke, som den registrerede har givet i forbindelse med deltagelse i en konkurrence.
Burda Nordic behandler oplysninger om potentielle nye kunder bl.a. ved, at leadbureauer indsamler kontaktoplysninger gennem konkurrencer, hvor de registrerede, som en del af konkurrencebetingelserne, samtykker til, at Burda Nordic må rette henvendelse via telefon, e-mail, brev og sms. Deltagelse i leadbureauernes konkurrencer forudsætter, at de registrerede accepterer konkurrencebetingelserne, herunder accepterer at en række samarbejdspartnere efterfølgende må henvende sig til de registrerede med henblik på salg og markedsføring af deres produkter.
Det fremgår endvidere, at de registrerede – inden de accepterer konkurrencebetingelserne – kan klikke ind og se hvilke samarbejdspartnere, der efterfølgende kan rette henvendelse til de registrerede. På listen over samarbejdspartnere er det muligt at afmelde de enkelte virksomheder. Hvis de registrerede således ikke aktivt afmelder virksomhederne, accepterer de ifølge konkurrencebetingelserne at blive kontaktet af alle konkurrencens samarbejdspartnere.
2.1. Burda Nordics bemærkninger
Burda Nordic har til sagen oplyst bl.a., at forlaget i forbindelse med salg og markedsføring af abonnementer på deres magasiner udelukkende behandler ikke-følsomme personoplysninger, herunder oplysninger om navn, adresse, telefonnummer og e-mailadresse. Oplysningerne behandles med hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra a, om samtykke.
Samtykket indhentes gennem leadbureauer, der via konkurrencer indsamler kontaktoplysninger på registrerede. Når de registrerede deltager i leadbureauets konkurrence og accepterer konkurrencevilkårene, afgiver de samtykke til at blive kontaktet af bl.a. Burda Nordic. Det fremgår af samtykkeerklæringen, at Burda Nordic kan rette henvendelse til den registrerede vedrørende abonnement på sy- og modemagasiner.
Burda Nordic har desuden oplyst, at de benytter eksterne salgsbureauer til at kontakte de registrerede via kontaktoplysningerne indkøbt fra leadbureauerne. De eksterne salgsbureauer kontakter de potentielle kunder telefonisk på Burda Nordics vegne med henblik på at sælge abonnementer på forlagets magasiner. Der er indgået databehandleraftaler med salgsbureauerne.
Om optagelse af telefonsamtaler har Burda Nordic oplyst, at dele af samtalen mellem salgsbureauerne og den registrerede optages og gemmes, hvis der indgås aftale om køb. Burda Nordic har anført, at de registrerede, når de accepterer konkurrencevilkårene, oplyses om, at samtalen kan blive optaget.
Optagelsen bruges udelukkende som dokumentation for, at der er indgået en aftale mellem forlaget og den registrerede. Burda Nordic sender også en ordrebekræftelse til den registrerede på mail. I forlængelse heraf har Burda Nordic anført, at en ordrebekræftelse på mail ikke er lige så god dokumentation for en aftaleindgåelse som en lydoptagelse, idet en ordrebekræftelse f.eks. kan ende i et spamfilter.
Vedrørende oplysningspligt har Burda Nordic anført, at forlaget køber kontaktoplysninger på potentielle kunder gennem leadbureauer, og at det er leadbureauerne, der iagttager oplysningspligten i medfør af databeskyttelsesforordningens artikel 14. Burda Nordic har i den forbindelse oplyst, at leadbureauerne er selvstændigt dataansvarlige for indsamlingen af personoplysninger, og at oplysningerne efterfølgende bliver købt af Burda Nordic, som bliver dataansvarlige for forlagets behandling af personoplysningerne.
3. Begrundelse for Datatilsynets afgørelse
3.1. Behandlingsgrundlaget ved optagelse af telefonsamtaler
Datatilsynet bemærker indledningsvist at det er tilsynets praksis, at optagelse og lagring af telefonsamtaler som udgangspunkt bør ske på grundlag af et samtykke fra de personer, der behandles oplysninger om, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra a.
Datatilsynet har lagt til grund for sin afgørelse, at der ved optagelse af de omhandlede telefonsamtaler kun behandles ikke-følsomme personoplysninger omfattet af databeskyttelsesforordningens artikel 6, og at Burda Nordic behandler oplysninger om de registrerede på grundlag af databeskyttelsesforordningens artikel 6, stk. 1, litra a.
Endvidere har Datatilsynet lagt til grund, at Burda Nordic behandler personoplysninger om de registrerede på baggrund af den samtykkeerklæring der fremgår af konkurrencevilkårene i leadbureauers konkurrencer, der er vedhæftet i kopi i bilag 7, 8 og 9 til Burda Nordics høringssvar af 20. februar 2019.
Betingelserne for et gyldigt samtykke fremgår af databeskyttelsesforordningens artikel 4, nr. 11, [2] og artikel 7. Et samtykke skal for at være gyldigt være frivilligt, specifikt og informeret, og udtryk for en utvetydig viljestilkendegivelse.
Et specifikt samtykke indebærer, at samtykket ikke må være generelt udformet eller uden præcis angivelse af formålene med behandlingen af personoplysninger og hvilke personoplysninger der vil blive behandlet.
Et samtykke skal endvidere være informeret, således at den registrerede er klar over, hvad der gives samtykke til. Den dataansvarlige skal således give den registrerede en række informationer, som skal sikre, at den registrerede kan træffe sin beslutning på et oplyst grundlag.
Et samtykke skal desuden være udtryk for en utvetydig viljestilkendegivelse. Det samtykke, der er givet, må således ikke give anledning til tvivl, hvorfor tavshed eller passivitet ikke er tilstrækkeligt til at udgøre en utvetydig tilkendegivelse.
Datatilsynet finder efter en gennemgang af sagen, at den fremsendte samtykkeerklæring ikke opfylder betingelserne i databeskyttelsesforordningens artikel 4, nr. 11, og artikel 7.
Datatilsynet har herved lagt vægt på, at inaktivitet, herunder allerede afkrydsede felter, ikke er tilstrækkeligt til at udgøre en utvetydig tilkendegivelse, og sådanne forudafkrydsede felter opfylder derfor ikke betingelserne i databeskyttelsesforordningens artikel 4, nr. 11.
Datatilsynet finder endvidere, at den fremsendte samtykkeerklæring efter sin ordlyd kun ses at omhandle Burda Nordics behandling af personoplysninger i forbindelse med den telefoniske henvendelse til de registrerede med henblik på salg og markedsføring af forlagets titler. Efter Datatilsynets opfattelse kan samtykkeerklæringen ikke udstrækkes til at omfatte anden behandling af personoplysninger, herunder bl.a. optagelse af telefonsamtaler.
Datatilsynet finder på baggrund af ovenstående, anledning til at udtale alvorlig kritik af, at Burda Nordics behandling af personoplysninger ikke er sket i overensstemmelse med databeskyttelsesforordningens artikel 6, stk. 1, litra a, idet optagelse af telefonsamtalerne med de registrerede i forbindelse med salg ikke er sket med et gyldigt samtykke.
3.1.2. Grundlæggende behandlingsprincipper
Datatilsynet skal endvidere bemærke, at databeskyttelsesforordningens artikel 5 indeholder en række grundlæggende principper, som dataansvarlige altid skal overholde ved behandling af personoplysninger.
I medfør af databeskyttelsesforordningens artikel 5, stk. 1, litra b, skal personoplysninger indsamles til udtrykkeligt angivne og legitime formål. Senere behandling må ikke være uforenelig med disse formål (»formålsbegrænsning«).
I medfør af artikel 5, stk. 1, litra c, skal personoplysninger være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til formålene med behandlingen af oplysningerne (»dataminimering«).
Der skal således altid foreligge et sagligt formål med optagelser af telefonsamtaler, og virksomheder skal overveje, om det forfulgte formål eventuelt kan opnås med mindre indgribende midler.
Henset til det oplyste om, at optagelse af samtalerne udelukkende sker for at kunne dokumentere, at der er indgået en aftale mellem forlag og kunde, såfremt der opstår en tvist vedrørende betaling, og at der desuden sendes en ordrebekræftelse til den registrerede på mail, er det Datatilsynets opfattelse, at dokumentation for Burda Nordics indgåelse af aftaler kan foretages med mindre indgribende midler, som ikke nødvendiggør behandling af oplysninger i form af optagelse af telefonsamtaler.
Datatilsynet gør opmærksom på, at de grundlæggende betingelser i artikel 5, som beskrevet ovenfor også gælder, selv hvis der forelå gyldig behandlingshjemmel i databeskyttelsesforordningens artikel 6, stk.1, litra a, om samtykke.
3.2 Oplysningspligten
Når der indsamles personoplysninger om registrerede skal dataansvarlige iagttage oplysningspligten efter databeskyttelsesforordningens artikel 13 og 14.
I tilfælde, hvor personoplysninger er indsamlet hos den registrerede, følger det af databeskyttelsesforordningens artikel 13, stk. 1 og 2, at det påhviler dataansvarlige at give registrerede meddelelse om en række oplysninger. I tilfælde hvor personoplysningerne ikke er indsamlet hos den registrerede, følger det af forordningens artikel 14, stk. 1-3, at det påhviler den dataansvarlige at give den registrerede en række oplysninger.
Det er Datatilsynets vurdering, at Burda Nordic har en selvstændig forpligtelse til som dataansvarlig at iagttage oplysningspligten i medfør af forordningens artikel 13 og 14.
Datatilsynet har herved lagt vægt på, at der ikke foreligger et databehandlerforhold mellem leadbureauerne og Burda Nordic, men at der er tale om videregivelse af personoplysninger mellem to selvstændigt dataansvarlige. Burda Nordic er således efter tilsynets opfattelse forpligtet til at iagttage oplysningspligten i medfør af databeskyttelsesforordningens artikel 14, når forlaget indsamler personoplysninger i forbindelse med indkøb af leads.
Datatilsynet har endvidere lagt vægt på, at Burda Nordic ikke har anført, at selskabet iagttager oplysningspligten når salgsbureauerne kontakter de registrerede telefonisk og indsamler personoplysninger herigennem. Burda Nordic er efter tilsynets opfattelse forpligtet til at iagttage oplysningspligten i medfør af databeskyttelsesforordningens artikel 13 og i den forbindelse på eget initiativ bl.a., at informere om, at samtalen bliver optaget. Det er således ikke tilstrækkeligt at oplyse, at samtalen kan blive optaget, hvis samtalen faktisk bliver optaget.
Datatilsynet finder på baggrund af ovenstående anledning til at udtale alvorlig kritik af Burda Nordics manglende iagttagelse af databeskyttelsesforordningens artikel 13 og 14.
4. Indsigt
Datatilsynet skal for god ordens skyld bemærke, at registrerede i medfør af databeskyttelsesforordningens artikel 15 som udgangspunkt har ret til indsigt i personoplysninger om dem selv. Indsigtsretten omfatter også optagne telefonsamtaler.
Registrerede kan som udgangspunkt kræve en skriftlig kopi af optagelsen, altså en afskrift af samtalen. Indsigtsretten kan dog også opfyldes ved, at Burda Nordic udleverer optagelsen som en lydfil. En sådan lydfil skal sendes til den registrerede i et almindeligt anvendt standardformat.
Burda Nordic har oplyst, at registrerede kan få indsigt i lydoptagelserne, herunder få fremsendt en kopi af lydfilen, hvis kunden forud legitimerer sig ved at fremsende ID med billede.
Datatilsynet skal i den forbindelse bemærke, at det i medfør af databeskyttelsesforordningens artikel 12, stk. 6, følger at dataansvarlige, hvis der hersker rimelig tvivl om identiteten af en registreret, der fremsætter en anmodning om indsigt, kan anmode om yderligere oplysninger, der er nødvendige for at bekræfte den registreredes identitet. Artikel 12, stk. 6, indebærer, at den dataansvarlige har pligt til at foretage en konkret vurdering af, om der hersker rimelig tvivl om identiteten på en registreret, i forbindelse med hver enkelt anmodning om indsigt. En generel procedure om ID-validering forud for besvarelse af indsigtsanmodninger, er således ikke i overensstemmelse med artikel 12.
En anmodning om yderligere oplysninger med henblik på at identificere en registreret skal endvidere være proportional, jf. forordningens artikel 5, stk. 1, litra c, og den dataansvarlige må derfor ikke kræve flere oplysninger end hvad der er nødvendigt i den konkrete situation.
Datatilsynet henstiller, at Burda Nordic overvejer hvorvidt billede af en registreret er nødvendigt for at sikre identiteten af pågældende i konkrete tvivlstilfælde.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Se hertil præambelbetragtning nr. 32 i databeskyttelsesforordningen.