Journalnummer: 2019-31-2211
Resumé
Datatilsynet har truffet afgørelse i en sag, hvor en borger har klaget til tilsynet over, at Stofa A/S har videregivet kundeoplysninger om borgeren til Syd Energi, som herefter har kontaktet borgeren med et tilbud på en el-aftale.
Datatilsynet har i afgørelsen fastslået, at Stofa A/S har handlet i overensstemmelse med de databeskyttelsesretlige regler, ved at videregive oplysninger om borgerens navn, adresse, telefonnummer og kundenummer til Syd Energi. Datatilsynet har i vurderingen lagt vægt på oplysningernes karakter, herunder at oplysninger om navn, adresse, telefonnummer og kundenummer er generelle kundeoplysninger, og at Stofa A/S’ interesse i at videregive oplysningerne om borgeren til Syd Energi oversteg borgerens interesse i, at oplysningerne ikke blev videregivet.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at Stofas behandling af personoplysninger er sket i overensstemmelse med reglerne i databeskyttelseslovens[1] § 13, stk. 2.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af sagen, at Stofa har videregivet oplysninger om dig, og at du som følge heraf er blevet kontaktet af SE med et tilbud på en el-aftale.
2.1. Dine bemærkninger
Du har overordnet anført, at du ikke har givet dit samtykke til eller vist interesse for, at Stofa skulle videregive personoplysninger om dig til SE og TCC med henblik på et tilbud på en el-aftale.
2.2. Stofas bemærkninger
Stofa har overordnet anført, at Stofa har videregivet oplysninger om dit navn, adresse, kundenummer og telefonnummer til SE med henblik på, at SE kunne kontakte dig med et tilbud på en el-aftale.
Vedrørende videregivelsen af dine oplysninger til TCC, har Stofa oplyst, at TCC har modtaget oplysninger om dig fra SE, idet TCC er databehandler for SE og derfor behandler oplysninger på vegne af SE til SE’s formål og efter dokumenteret instruks fra SE. Der er indgået en databehandleraftale mellem SE og TCC efter databeskyttelsesforordningens[2] artikel 28, stk. 3.
Stofa har oplyst, at i forbindelse med en telefonsamtale mellem dig og en kundeservicemedarbejder hos Stofa den 18. juni 2019 har du afgivet et telefonisk samtykke til at blive kontaktet af SE med henblik på at modtage et tilbud på en el-aftale.
Stofa har i forbindelse hermed oplyst, at dit samtykke blev indhentet i overensstemmelse med Stofas skriftlige retningslinjer for indhentelse af samtykker, og at det har været noteret i Stofas samtykkedatabase. Dit samtykke og dine oplysninger er som følge af en senere dialog mellem dig og SE blevet tilbagekaldt og slettet.
Stofa har derudover oplyst, at uagtet, at du har afgivet et samtykke, har Stofa videregivet dine personoplysninger efter reglerne i databeskyttelseslovens § 13, stk. 2. Stofa har lagt vægt på, at videregivelsen alene vedrører generelle kundeoplysninger, og at interesseafvejningsreglen i databeskyttelsesforordningens artikel 6, stk. 1, litra f (interesseafvejningsreglen) falder ud til Stofa og SE’s fordel.
Stofa har i forbindelse hermed oplyst, at Stofa har en legitim interesse i at videregive oplysninger om dig – som går forud for dine interesser eller grundlæggende rettigheder og frihedsrettigheder – idet du har vist interesse i at blive kontaktet med henblik på en el-aftale, som eventuelt kunne føre til en besparelse hos dig.
Herudover har Stofa oplyst, at videregivelsen af oplysninger om dig ikke har været en ulempe for dig, idet videregivelsen alene vedrører almindelige personoplysninger, og idet oplysningerne kun er videregivet til SE til et meget konkret og afgrænset formål.
3. Begrundelse for Datatilsynets afgørelse
Datatilsynet lægger til grund, at Stofa har videregivet oplysninger om dit navn, adresse, kundenummer og telefonnummer til SE med henblik på, at SE skulle kontakte dig med et tilbud på en el-aftale. Datatilsynet lægger endvidere til grund, at TCC er databehandler for SE.
Endvidere lægger Datatilsynet – på baggrund af det af Stofa anførte – til grund, at videregivelsen af dine oplysninger er sket med hjemmel i databeskyttelseslovens § 13, stk. 2, og ikke på baggrund af et samtykke afgivet af dig.
Det følger af databeskyttelseslovens § 13, stk. 1, at en virksomhed ikke må videregive oplysninger om en forbruger til en anden virksomhed til brug for direkte markedsføring eller anvende oplysningerne på vegne af en anden virksomhed i dette øjemed, medmindre forbrugeren har givet sit udtrykkelige samtykke hertil.
Videregivelse og anvendelse som nævnt i stk. 1 kan dog ske uden samtykke, hvis der er tale om generelle kundeoplysninger, der danner grundlag for inddeling i kundekategorier, og hvis videregivelsen følger den interesseafvejning, som er fastsat i databeskyttelsesforordningens artikel 6, stk. 1, litra f (interesseafvejningsreglen), jf. databeskyttelseslovens § 13, stk. 2.
Efter databeskyttelsesforordningens artikel 6, stk. 1, litra f, kan der ske videregivelse af oplysninger, hvis det er nødvendigt for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor.
Det følger af forarbejderne til § 13 i forslag til databeskyttelsesloven, at det med kravet om, at videregivelse skal følge interesseafvejningsreglen sikres, at videregivelse af generelle kundeoplysninger i markedsføringsøjemed ikke kan ske, hvis interesseafvejningen undtagelsesvis måtte tale herimod.
Som eksempel på en situation, hvor interesseafvejningsreglen undtagelsesvist måtte tale imod, kan nævnes den situation, hvor en virksomhed har orienteret sine kunder om, at den ikke vil videregive oplysninger om kunderne til andre virksomheder til brug for markedsføring. Hvis virksomheden på trods heraf alligevel skulle beslutte sig for at videregive oplysningerne, vil hensynet til kunderne, efter omstændighederne kunne tale imod, at en sådan videregivelse kan ske uden kundernes forudgående samtykke.
Datatilsynet finder indledningsvist, at oplysninger om navn, adresse, telefonnummer og kundenummer er generelle kundeoplysninger omfattet af databeskyttelseslovens § 13, stk. 2.
Datatilsynet finder endvidere, at videregivelsen af oplysninger om dit navn, adresse, kundenummer og telefonnummer fra Stofa til SE er sket i overensstemmelse med interesseafvejningsreglen i databeskyttelsesforordningens artikel 6, stk. 1, litra f, jf. databeskyttelseslovens § 13, stk. 2.
Datatilsynet har i vurderingen heraf lagt vægt på forarbejderne til § 13 i forslag til databeskyttelsesloven, hvorefter interesseafvejningsreglen kun undtagelsesvist vil falde ud til kundens fordel ved anvendelsen af databeskyttelseslovens § 13, stk. 2. Datatilsynet finder ikke, at der i sagen foreligger sådanne omstændigheder, som gør, at interesseafvejningsreglen falder ud til din fordel. Datatilsynet har i forbindelse hermed lagt vægt på karakteren af de oplysninger, der er blevet videregivet, herunder at der ikke er tale om oplysninger af særlig beskyttelsesværdig karakter, og at videregivelsen er sket med henblik på, at kunne tilbyde dig en el-aftale, som vil kunne føre til en besparelse hos dig.
Datatilsynet finder på baggrund heraf ikke anledning til at tilsidesætte Stofas vurdering af, at videregivelsen af oplysninger om dit navn, adresse, kundenummer og telefonnummer til SE er sket i overensstemmelse med databeskyttelseslovens § 13, stk. 2.
Datatilsynet skal bemærke, at det af databeskyttelseslovens § 13, stk. 4 fremgår, at inden en virksomhed videregiver kundeoplysninger til andre virksomheder med henblik på direkte markedsføring, skal virksomheden tjekke i CPR registeret, om den registrerede har frabedt sig henvendelser i markedsføringsøjemed. Hvis dette er tilfældet, må oplysningerne ikke videregives til dette formål, jf. databeskyttelsesforordningens artikel 21, stk. 3.
I tilfælde hvor den registrerede ikke har frabedt sig henvendelser i markedsføringsøjemed i CPR registeret, skal virksomheden senest på tidspunktet for den første kommunikation med den registrerede udtrykkeligt gøre den registrerede opmærksom på retten til at gøre indsigelse efter databeskyttelsesforordningens artikel 21, stk. 2, mod behandling af personoplysninger til direkte markedsføring, jf. databeskyttelsesforordningens artikel 21, stk. 4. Oplysningerne skal meddeles klart og adskilt fra alle andre oplysninger.
[1] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).
[2] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).