Påbud og alvorlig kritik af TeeShoppen for ikke at have slettet personoplysninger

Dato: 09-08-2022
Afgørelse Private virksomheder Alvorlig kritik Påbud Klage Retten til sletning

Datatilsynet udsteder påbud og udtaler alvorlig kritik af Teeshoppen for ikke at have slettet oplysninger om en person på trods af, at Teeshoppen i forbindelse med en enslydende klage fra samme person i 2020 havde meddelt både klager og Datatilsynet, at de havde slettet oplysningerne.

Journalnummer: 2021-31-5523

Resume

Datatilsynet afgjorde i 2020 en sag, hvor en person klagede over manglende sletning af personoplysninger hos TeeShoppen. Personen havde tidligere været kunde hos virksomheden og modtog mod sit ønske markedsføringsmateriale. Datatilsynet fandt i afgørelsen fra 2020, at TeeShoppen ikke havde efterlevet personens ret til at få slettet oplysninger om sig.

TeeShoppen udtalte i forbindelse med sagens behandling i 2020, at oplysninger om kunden var blevet slettet fra virksomhedens system.

Klage over samme forhold igen i 2021

I 2021 blev Datatilsynet på ny kontaktet af samme person med en enslydende klage over TeeShoppen. Det viste sig, at TeeShoppen ikke havde slettet oplysningerne om personen, på trods af at virksomheden tidligere havde meddelt både personen og Datatilsynet dette.

Datatilsynet fandt herefter i tilsynets nye afgørelse anledning til at udtale alvorlig kritik af, at TeeShoppens behandling af personoplysninger ikke var sket i overensstemmelse med databeskyttelsesreglerne.  

Datatilsynet fandt samtidig anledning til at meddele TeeShoppen påbud om at slette de oplysninger om personen, som TeeShoppens brugte til markedsføring.

Samme dag modtog Datatilsynet TeeShoppens udtalelse om, at påbuddet var blevet efterlevet.

Afgørelse

Datatilsynet vender hermed tilbage til sagen, hvor [klager[ den 9. september 2021 har klaget til tilsynet over, at Noodle Firm ApS/TeeShoppen (herefter TeeShoppen) ikke har slettet klagers personoplysninger, selv om virksomheden tidligere havde meddelt klager, at dette var sket.

1. Afgørelse

Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale alvorlig kritik af, at Teeshoppens behandling af personoplysninger ikke er sket inden for rammerne af reglerne i databeskyttelsesforordningens[1] artikel 17.

Samtidig finder Datatilsynet, at der er grundlag for at meddele TeeShoppen påbud om at slette de oplysninger om klager, som TeeShoppens bruger til markedsføring. Påbuddet meddeles i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra g.

Fristen for efterlevelse af påbuddet er den 23. august 2022. Datatilsynet skal anmode om senest samme dato at modtage en bekræftelse på, at påbuddet er efterlevet. Ifølge databeskyttelseslovens[2] § 41, stk. 2, nr. 5, straffes med bøde eller fængsel i op til 6 måneder den, der undlader at efterkomme et påbud meddelt af Datatilsynet i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra g.

Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.

2. Sagsfremstilling

Klager havde købt varer fra TeeShoppen i 2018 og modtog efterfølgende markedsføringse-mails fra virksomheden. Klager havde anmodet TeeShoppen om at få slettet oplysninger om ham, og den 24. juni 2019 orienterede TeeShoppen klager om, at oplysningerne om ham ville blive slettet. Da klager efterfølgende konstaterede, at oplysninger om ham til brug for markedsføring ikke var slettet, rettede klager henvendelse til Datatilsynet.

Den 27. januar 2020 meddelte TeeShoppen i Datatilsynets sag med j.nr. 2019-31-2638, at klager var blevet slettet fra TeeShoppens system.

Datatilsynet udtalte den 8. oktober 2020 kritik i sagen for, at TeeShoppens behandling af personoplysninger ikke var sket inden for rammerne af reglerne i databeskyttelsesforordningens artikel 17. Datatilsynet havde i sagen noteret sig, at TeeShoppen ikke længere behandlede oplysninger om klager.

Den 9. september 2021 rettede klager fornyet henvendelse til Datatilsynet efter at have modtaget e-mails med markedsføring fra TeeShoppen i efteråret 2021.

2.1. Klagers bemærkninger

Klager har overordnet anført, at TeeShoppen ikke har slettet oplysninger om ham, hvilket virksomheden ellers havde oplyst at have gjort.

2.2. TeeShoppens bemærkninger

Datatilsynet anmodede TeeShoppen om en udtalelse i sagen ved breve af 12. oktober og 9. november 2021. TeeShoppen er ikke vendt tilbage med svar til Datatilsynet.

3. Begrundelse for Datatilsynets afgørelse

3.1. Det følger af databeskyttelsesforordningens artikel 21, stk. 2, at hvis personoplysninger behandles med henblik på direkte markedsføring, har den registrerede til enhver tid ret til at gøre indsigelse mod behandling af sine personoplysninger til sådan markedsføring.

Den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden

unødig forsinkelse, hvis den registrerede gør indsigelse mod behandlingen i medfør af artikel 21, stk. 2, jf. databeskyttelsesforordningens artikel 17, stk. 1, litra c.

Datatilsynet fandt i forbindelse med tilsynets afgørelse af 8. oktober 2020, at TeeShoppen ikke har efterlevet klagers ret til sletning af personoplysninger efter databeskyttelsesforordningens artikel 17, stk. 1, litra c.

3.2. Datatilsynet lægger til grund, at TeeShoppen – på trods af det af TeeShoppen anførte herom den 27. januar 2020 – ikke har slettet oplysninger om klager til brug for markedsføring.

Datatilsynet finder fortsat, at TeeShoppen ikke har efterlevet klagers ret til sletning af personoplysninger efter databeskyttelsesforordningens artikel 17, stk. 1, litra c.

Datatilsynet har herved lagt vægt på, at betingelserne for, at klager kunne kræve oplysningerne slettet fra TeeShoppens e-mailliste, ses at være opfyldt den 24. juni 2019, og at sletningen herefter skulle ske uden unødig forsinkelse.

Datatilsynet finder herefter grundlag for at udtale alvorlig kritik af, at TeeShoppens behandling af personoplysninger ikke er sket inden for rammerne af reglerne i databeskyttelsesforordningens artikel 17.

Samtidig finder Datatilsynet, at der er grundlag for at meddele TeeShoppen påbud om at slette de oplysninger om klager, som TeeShoppens bruger til markedsføring. Påbuddet meddeles i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra g.

Fristen for efterlevelse af påbuddet er den 23. august 2022. Datatilsynet skal anmode om senest samme dato at modtage en bekræftelse på, at påbuddet er efterlevet. Ifølge databeskyttelseslovens § 41, stk. 2, nr. 5, straffes med bøde eller fængsel i op til 6 måneder den, der undlader at efterkomme et påbud meddelt af Datatilsynet i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra g.

 

[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).

[2] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).