Journalnummer: 2023-31-0217.
Resumé
Den 8. februar 2023 traf Datatilsynet afgørelse om JFM’s og GulogGratis’ brug af cookie walls. Tilsynet fandt bl.a. grundlag for at meddele virksomhederne påbud om at kunne påvise, at behandling af personoplysninger til statistiske formål også var en nødvendig del af alternativet til betaling.
Som opfølgning på Datatilsynets påbud, traf tilsynet den 9. juni 2023 yderligere afgørelser i sagerne. Datatilsynet fandt, at JFM og GulogGratis ikke havde påvist, at behandling af personoplysninger til statistiske formål kunne betragtes som en nødvendig del af alternativet.
JFM og GulogGratis anmodede herefter Datatilsynet om genoptagelse af sagerne.
Datatilsynet afviser genoptagelse af JFM’s og GulogGratis’ sager
Datatilsynet konkluderede, at hverken JFM eller GulogGratis havde fremlagt nye oplysninger af så væsentlig betydning, at der var grundlag for at genoptage sagerne.
Datatilsynet bemærkede, at JFM’s og GulogGratis’ behandling af personoplysninger med henblik på at gennemføre statistik ikke havde en direkte tilknytning til finansiering af indholdet. Tilsynet bemærkede ydermere, at markedsføringsformålet – til forskel for det statistiske formål – grundlæggende gjorde det muligt og attraktivt for annonceringspartnere at købe sig adgang til banerreklamer mv. på hjemmesiden for at afvikle personaliserede annoncer og dermed generere annonceindtægter.
Endelig påpegede Datatilsynet, at markedsføringsformålet, der indebar videregivelse af personoplysninger til annoncører med henblik på personaliseret annoncering, skulle anses som et separat formål i forhold til det statistiske formål i databeskyttelsesretlig henseende.
JFM’s og GulogGratis’ anmodninger om genoptagelse har været behandlet i Datarådet.
Afgørelse (GulogGratis)
GulogGratis.dk A/S (”GulogGratis”) har den 6. oktober 2023 rettet fornyet henvendelse til Datatilsynet i sagen, hvor tilsynet den 8. februar 2023 traf afgørelse om GulogGratis’ brug af cookie walls.
Datatilsynet fandt, at GulogGratis’ ikke havde påvist, at virksomhedens behandling af personoplysninger skete i overensstemmelse med databeskyttelsesforordningens[1] artikel 6, stk. 1, litra a, og artikel 4, nr. 11, jf. forordningens artikel 5, stk. 2, jf. artikel 5, stk. 1, litra a.
Datatilsynet fandt derfor grundlag for at meddele GulogGratis påbud om at kunne påvise, at det samtykke, der indhentes fra de besøgende på guloggratis.dk, opfylder databeskyttelsesforordningens krav om frivillighed, jf. databeskyttelsesforordningens artikel 4, nr. 11.
Som opfølgning på Datatilsynets påbud, traf tilsynet den 9. juni 2023 en yderligere afgørelse i sagen. Datatilsynet fandt, at GulogGratis ikke havde påvist, at behandling af personoplysninger til statistiske formål kunne anses som en nødvendig del af alternativet til adgang mod betaling.
GulogGratis har herefter den 6. oktober 2023 anmodet Datatilsynet om genoptagelse af sagen.
Datatilsynet har overvejet, om GulogGratis’ henvendelse giver anledning til, at tilsynet genoptager sagen. Det, som GulogGratis har oplyst, giver imidlertid ikke Datatilsynet grundlag for at genoptage behandlingen af sagen.
Datatilsynet har i den forbindelse lagt vægt på, at GulogGratis’ henvendelse ikke indeholder nye faktiske oplysninger om sagen af så væsentlig betydning, at sagen vil få et andet udfald.
GulogGratis’ anmodning om genoptagelse af 6. oktober 2023 har været behandlet i Datarådet.
Nedenfor følger en gennemgang af sagen og en begrundelse for Datatilsynets afslag på genoptagelse.
1. GulogGratis’ bemærkninger
GulogGratis har i sin anmodning om genoptagelse af 6. oktober 2023 anført, at behandling af personoplysninger i statistik øjemed sker til:
”Optimering af brugerannoncering
GulogGratis foretager interaktionsanalyser, hvor vi kan identificere, hvilke brugerannoncer, der skaber størst ”engagement”, ligesom vi kan se og danne analyser af, hvordan brugerne interagerer med brugerannoncer og andet indhold.
Disse interaktionsanalyser gør det muligt for os at tilpasse og optimere vores platform og hjemmeside efter vores brugeres præferencer, hvilket i lyset af præmissen for vores platform har stor kommerciel og økonomisk værdi for GulogGratis.
Helt konkret udgør disse interaktionsanalyser et vigtigt værktøj ift. fx at definere:
- Hvilke funktionaliteter brugerne anvender mest (eller mindst) ved oprettelse af brugerannoncer, herunder også hvad årsagen til dette kan være; og
- Hvilke karakteristika ved en brugerannonce (fx billeder, produktspecifikation, beskrivelse) eventuelle ”købere” lægger mest (eller mindst) vægt på.
Interaktionsanalyser kan ske både på individ- og populationsniveau.
Jo bedre vores platform matcher vores brugeres præferencer, jo større indtægt genererer vi, herunder også i form af annoncering.
Optimering af annoncering
På samme måde som GulogGratis foretager interaktionsanalyser med henblik på optimering af brugerannoncering, som nævnt ovenfor, sker det også til brug for at se og danne analyser af, hvordan brugerne interagerer med annoncer på hjemmesiden.
Disse interaktionsanalyser gør det muligt for os og vores annoncører at optimere vores/deres annoncering, herunder fx ift. hvilke typer annoncer, der er mest effektive (hvilke annoncer der trykkes mest på). Dette skal ses i lyset af, at hele det økosystem, der er bygget op omkring online annoncering og markedsføring, generelt har stor kommerciel og økonomisk værdi for GulogGratis.
Interaktionsanalyser kan også her ske på både individ- og populationsniveau.
Optimering af annoncering hænger tæt sammen med selve annonceringen på hjemmesiden, da fremtidig (optimeret) annoncering af direkte afhængig af statistik relateret til tidligere annoncering.”
GulogGratis har endvidere anført, at virksomheden anvender statistik på en måde, som bør sidestilles med målrettet markedsføring, når det kommer til den kommercielle og økonomiske værdi af statistikken. Det skyldes særligt, at denne form for avanceret statistik med henblik på annoncering (markedsføring) i praksis udgør en integreret del af GulogGratis’ forretningsmodel.
Endvidere har GulogGratis anført, at opdelingen mellem statistik og markedsføring som særskilte formål reelt er et resultat af udviklingen inden for udvikling og drift af hjemmesider og myndighedernes tilsyn hermed. Sammenhængen mellem de to formål er i virksomhedens optik så tæt, at det kan diskuteres, hvorvidt der reelt er tale om to særskilte formål frem for et og samme formål.
I tilknytning hertil har GulogGratis anført, at virksomhedens anvendelse af avanceret statistik, herunder i form af interaktionsanalyser på både individ- og populationsniveau, som led i optimering af annoncering er direkte forbundet med selve annonceringen på hjemmesiden og dermed generering af indtægt på anden måde end via brugernes betaling.
Af den årsag udgør behandling af personoplysninger til både statistiske og markedsføringsformål en del af et rimeligt og nødvendigt betalingsalternativ. Det er derfor også GulogGratis’ vurdering, at det betalingsalternativ, som GulogGratis havde opstillet i sin cookie wall på hjemmesiden var udtryk for ét samlet betalingsalternativ bestående af to sammenhængende (del)formål, der både kommercielt og økonomisk modsvarede brugerens mulighed for at betale med (fysiske) penge.
Endelig har GulogGratis anført, at virksomheden – ved vurderingen af, hvad der udgør et rimeligt og nødvendigt samlet betalingsalternativ – har ret til at udøve et vist skøn, som konkret, og efter GulogGratis’ opfattelse, ligger inden for, hvad Datatilsynet bør acceptere.
2. Datatilsynets vurdering
Datatilsynet har vurderet, om GulogGratis’ anmodning af 6. oktober 2023 giver anledning til, at tilsynet genoptager sagen. Det er ikke tilfældet, idet anmodningen efter tilsynets opfattelse ikke indeholder nye faktiske oplysninger om sagen af så væsentlig betydning, at sagen vil få et andet udfald.
Datatilsynet bemærker herved, at GulogGratis’ behandling af personoplysninger med henblik på at gennemføre (avanceret) statistik ikke kan anses for at have en direkte tilknytning til finansiering af indholdet. Markedsføringsformålet gør det – til forskel for det statistiske formål – grundlæggende muligt og attraktivt for annonceringspartnere at købe sig adgang til bannerreklamer mv. på hjemmesiden og afvikle personaliserede annoncer og generere annonceindtægter.
Statistiske formål gør det derimod muligt for GulogGratis at gennemføre analyser af, hvordan hjemmesidens indhold og annoncering mv. kan optimeres. Det gør det muligt at tilrettelægge hjemmesiden på en mere hensigtsmæssig måde og derved gøre den mere attraktiv for f.eks. (betalende) brugere og annoncører.
Det er fortsat Datatilsynets opfattelse, at statistiske formål og markedsføringsformål er to særskilte formål i databeskyttelsesretlig henseende, hvoraf alene markedsføringsformål udgør en nødvendig del af alternativet til adgang mod betaling.
I den forbindelse har den tidligere Artikel 29-gruppe udtalt, at den dataansvarlige generelt skal undgå at identificere et enkelt bredt formål for at retfærdiggøre en række behandlingsaktiviteter, der relaterer sig til det indledende formål. Hvert enkelt formål skal desuden være tilpas specifikt udformet til, at den registrerede kan vurdere, om indsamlingen af personoplysninger til det pågældende formål, er lovlig.[2]
Endvidere fremgår det af EDPB’s retningslinjer om samtykke, at en dataansvarlig, der indhenter samtykke til flere forskellige formål, skal give mulighed for tilvalg af hvert enkelt formål, så brugerne kan give specifikt samtykke til specifikke formål.[3]
Endelig har EU-Domstolen i sin dom af 24. februar 2022 i sagen C-175/20, »SS« SIA mod Valsts ieņēmumu dienests, understreget vigtigheden af, at den dataansvarlige præciserer de specifikke formål med indsamlingen af personoplysninger, navnlig med henblik på at gøre det muligt for den registrerede at sikre sig, at den efterfølgende behandling, herunder videregivelse, af oplysningerne, er lovlig.[4]
En sådan opdeling og specificering af formålene med behandling af personoplysninger stemmer desuden overens med Datatilsynets vejledning om behandling af personoplysninger om hjemmesidebesøgende og tilsynets vejledning om direkte markedsføring.[5]
I lyset heraf bemærker Datatilsynet, at behandling af personoplysninger om, hvordan de besøgende bruger hjemmesiden med henblik på at tilpasse og optimere hjemmesiden skal anses som et separat formål i databeskyttelsesretlig henseende fra behandling, herunder videregivelse, af personoplysninger til annoncører med henblik på personaliseret annoncering.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Artikel 29-gruppens udtalelse nr. 3/2013 om formålsbegrænsning (WP203), s. 16.
[3] EDPB’s retningslinjer 5/2020 vedrørende samtykke i henhold til forordning 2016/679, version 1.1. af 4. maj 2020, side 15.
[4] Sag C-175/20, præmis 71.
[5] Se Datatilsynets vejledning om behandling af personoplysninger om hjemmesidebesøgende eksempel 10, som skal ses i sammenhæng med vejledningens eksempel 7. Se også Datatilsynets vejledning om direkte markedsføring, s. 9 ” […] begrebet markedsføring [vil] i almindelighed vedrøre en række forskellige behandlingsaktiviteter i databeskyttelsesretlig henseende. Det vil derfor oftest ikke være tilstrækkeligt alene at angive markedsføring som formål.”