Journalnummer: 2023-31-0211.
Resumé
Den 8. februar 2023 traf Datatilsynet afgørelse om JFM’s og GulogGratis’ brug af cookie walls. Tilsynet fandt bl.a. grundlag for at meddele virksomhederne påbud om at kunne påvise, at behandling af personoplysninger til statistiske formål også var en nødvendig del af alternativet til betaling.
Som opfølgning på Datatilsynets påbud, traf tilsynet den 9. juni 2023 yderligere afgørelser i sagerne. Datatilsynet fandt, at JFM og GulogGratis ikke havde påvist, at behandling af personoplysninger til statistiske formål kunne betragtes som en nødvendig del af alternativet.
JFM og GulogGratis anmodede herefter Datatilsynet om genoptagelse af sagerne.
Datatilsynet afviser genoptagelse af JFM’s og GulogGratis’ sager
Datatilsynet konkluderede, at hverken JFM eller GulogGratis havde fremlagt nye oplysninger af så væsentlig betydning, at der var grundlag for at genoptage sagerne.
Datatilsynet bemærkede, at JFM’s og GulogGratis’ behandling af personoplysninger med henblik på at gennemføre statistik ikke havde en direkte tilknytning til finansiering af indholdet. Tilsynet bemærkede ydermere, at markedsføringsformålet – til forskel for det statistiske formål – grundlæggende gjorde det muligt og attraktivt for annonceringspartnere at købe sig adgang til banerreklamer mv. på hjemmesiden for at afvikle personaliserede annoncer og dermed generere annonceindtægter.
Endelig påpegede Datatilsynet, at markedsføringsformålet, der indebar videregivelse af personoplysninger til annoncører med henblik på personaliseret annoncering, skulle anses som et separat formål i forhold til det statistiske formål i databeskyttelsesretlig henseende.
JFM’s og GulogGratis’ anmodninger om genoptagelse har været behandlet i Datarådet.
Jysk Fynske Medier (”JFM”) har den 6. oktober 2023 rettet fornyet henvendelse til Datatilsynet i sagen, hvor tilsynet den 8. februar 2023 traf afgørelse om JFM’s brug af cookie walls.
Afgørelse (JFM)
Datatilsynet fandt, at JFM’s behandling af personoplysninger ikke skete i overensstemmelse med databeskyttelsesforordningens[1] artikel 6, stk. 1, litra a, jf. artikel 4, nr. 11, og forordningens artikel 5, stk. 2, jf. artikel 5, stk. 1, litra a.
Datatilsynet fandt derfor grundlag for at meddele JFM påbud om at sikre, at samtykket, som Jysk Fynske Medier indhenter fra de hjemmesidebesøgende, opfylder kravene i databeskyttelsesforordningens artikel 4, nr. 11, samt at kunne påvise, at samtykket opfyldte databeskyttelsesforordningens krav om et frivilligt samtykke, jf. forordningens artikel 5, stk. 2, jf. artikel 5, stk. 1, litra a.
Som opfølgning på Datatilsynets påbud, traf tilsynet den 9. juni 2023 en yderligere afgørelse i sagen. Datatilsynet fandt, at JFM ikke havde påvist, at behandling af personoplysninger til statistiske formål kunne anses som en nødvendig del af alternativet til adgang mod betaling.
JFM har herefter den 6. oktober 2023 anmodet Datatilsynet om genoptagelse af sagen.
Datatilsynet har overvejet, om JFM’s henvendelse giver anledning til, at tilsynet genoptager sagen. Det, som JFM har oplyst, giver imidlertid ikke Datatilsynet grundlag for at genoptage behandlingen af sagen.
Datatilsynet har i den forbindelse lagt vægt på, at JFM’s henvendelse ikke indeholder nye faktiske oplysninger om sagen af så væsentlig betydning, at sagen vil få et andet udfald.
JFM’s anmodning om genoptagelse af 6. oktober 2023 har været behandlet i Datarådet.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afslag på genoptagelse.
1. JFM’s bemærkninger
JFM har i sin anmodning om genoptagelse af 6. oktober 2023 anført, at behandling af personoplysninger i statistisk øjemed sker til:
”Optimering af indhold
JFM foretager interaktionsanalyser, hvor vi kan identificere, hvilke artikler og hvilket indhold, der skaber størst "engagement", ligesom vi kan se og danne analyser af, hvordan brugerne interagerer med vores artikler og indhold.
Disse interaktionsanalyser gør det muligt for os at tilpasse og optimere vores artikler og hjemmeside efter vores brugeres præferencer, hvilket har stor kommerciel og økonomisk værdi for JFM.
Helt konkret udgør disse interaktionsanalyser et vigtigt værktøj ift. fx at definere:
- Hvilke typer af artikler vores brugere/abonnenter besøger mest (eller mindst) ("mest/mindst læste lister"), og dermed hvilke typer af artikler og indhold, der er mest populært, herunder hvilke emner, sager og problemstillinger, der er relevante for vores brugere/abonnenter;
- Hvilke karakteristika ved vores artikler og indhold (fx i form af særlige overskrifter, særlige former for blikfang (billeder, videoer m.v.) vores brugere/abonnenter finder mest (eller mindst) interessant;
- Hvilke typer af artikler og indhold, som vores brugere/abonnenter sandsynligvis er villige til at betale for (med udgangspunkt i de flere hundrede artikler, som publiceres på daglig basis); og
- Om (eller hvordan) vi lykkes med at indfri vores publicistiske ambitioner om at gøre en positiv forskel for demokrati og sammenhængskraft i vores lokalområder, herunder ift. om vi rent faktisk – statistisk set - når ud til lokalsamfundet med relevante informationer, budskaber m.v.
Interaktionsanalyser kan både ske på individ-og populationsniveau.
Optimering af indhold er kommercielt set strengt nødvendig for JFM's forretningsmodel, da vores mulighed for at navigere i et marked, som på mange fronter er presset (herunder som følge af vedvarende fald i abonnementssalget), forringes kraftigt, hvis vi ikke som led i en cookie wall kan inkludere brug af cookies og den hertil knyttede behandling af persondata til brug for statistik som en del af et samlet – med markedsføring – rimeligt og nødvendigt betalingsalternativ.
Optimering af annoncering
På samme måde som JFM foretager interaktionsanalyser med henblik på optimering af indhold, som nævnt ovenfor, sker det også til brug for at se og danne analyser af, hvordan brugerne/abonnenterne interagerer med annoncer på hjemmesiden.
Disse interaktionsanalyser gør det muligt for os og vores annoncører at optimere vores/deres annoncering, herunder fx ift. hvilke typer annoncer, der er mest effektive (hvilke annoncer der trykkes mest på). Dette skal ses i lyset af, at hele det økosystem, der er bygget op omkring online annoncering og markedsføring, generelt har stor kommerciel og økonomisk værdi for JFM.
Interaktionsanalyser kan også her ske på både individ-og populationsniveau.
Optimering af annoncering hænger tæt sammen med selve annonceringen på hjemmesiden, da fremtidig (optimeret) annoncering er direkte afhængig af statistik relateret til tidligere annoncering.”
JFM har endvidere anført, at virksomheden anvender statistik på en måde, som bør sidestilles med målrettet markedsføring, når det kommer til den kommercielle og økonomiske værdi af statistikken. Det skyldes særligt, at denne form for avanceret statistik med henblik på annoncering (markedsføring) i praksis udgør en integreret del af JFM’s forretningsmodel.
Endvidere har JFM anført, at opdelingen mellem statistik og markedsføring som særskilte formål reelt er et resultat af udviklingen inden for udvikling og drift af hjemmesider og myndighedernes tilsyn hermed. Sammenhængen mellem de to formål er i virksomhedens optik så tæt, at det kan diskuteres, hvorvidt der reelt er tale om to særskilte formål frem for et og samme formål.
I tilknytning hertil har JFM anført, at virksomhedens anvendelse af avanceret statistik, herunder i form af interaktionsanalyser på både individ- og populationsniveau, som led i optimering af annoncering er direkte forbundet med selve annonceringen på hjemmesiden og dermed generering af indtægt på anden måde end via brugernes betaling.
Af den årsag udgør behandling af personoplysninger til både statistiske og markedsføringsformål en del af et rimeligt og nødvendigt betalingsalternativ. Det er derfor også JFM’s vurdering, at det betalingsalternativ, som JFM havde opstillet i sin cookie wall på hjemmesiden var udtryk for ét samlet betalingsalternativ bestående af to sammenhængende (del)formål, der både kommercielt og økonomisk modsvarede brugerens mulighed for at betale med (fysiske) penge.
Endelig har JFM anført, at virksomheden – ved vurderingen af, hvad der udgør et rimeligt og nødvendigt samlet betalingsalternativ – har ret til at udøve et vist skøn, som konkret, og efter JFM’s opfattelse, ligger inden for, hvad Datatilsynet bør acceptere.
2. Datatilsynets vurdering
Datatilsynet har vurderet, om JFM’s anmodning af 6. oktober 2023 giver anledning til, at tilsynet genoptager sagen. Det er ikke tilfældet, idet anmodningen efter tilsynets opfattelse ikke indeholder nye faktiske oplysninger om sagen af så væsentlig betydning, at sagen vil få et andet udfald.
Datatilsynet bemærker herved, at JFM’s behandling af personoplysninger med henblik på at gennemføre (avanceret) statistik ikke kan anses for at have en direkte tilknytning til finansiering af indholdet. Markedsføringsformålet gør det – til forskel for det statistiske formål – grundlæggende muligt og attraktivt for annonceringspartnere at købe sig adgang til bannerreklamer mv. på hjemmesiden og afvikle personaliserede annoncer og generere annonceindtægter.
Statistiske formål gør det derimod muligt for JFM at gennemføre analyser af, hvordan hjemmesidens indhold og annoncering mv. kan optimeres. Det gør det muligt at tilrettelægge hjemmesiden på en mere hensigtsmæssig måde og derved gøre den mere attraktiv for f.eks. (betalende) brugere og annoncører.
Det er fortsat Datatilsynets opfattelse, at statistiske formål og markedsføringsformål er to særskilte formål i databeskyttelsesretlig henseende, hvoraf alene markedsføringsformål udgør en nødvendig del af alternativet til adgang mod betaling.
I den forbindelse har den tidligere Artikel 29-gruppe udtalt, at den dataansvarlige generelt skal undgå at identificere et enkelt bredt formål for at retfærdiggøre en række behandlingsaktiviteter, der relaterer sig til det indledende formål. Hvert enkelt formål skal desuden være tilpas specifikt udformet til, at den registrerede kan vurdere, om indsamlingen af personoplysninger til det pågældende formål, er lovlig.[2]
Endvidere fremgår det af EDPB’s retningslinjer om samtykke, at en dataansvarlig, der indhenter samtykke til flere forskellige formål, skal give mulighed for tilvalg af hvert enkelt formål, så brugerne kan give specifikt samtykke til specifikke formål.[3]
Endelig har EU-Domstolen i sin dom af 24. februar 2022 i sagen C-175/20, »SS« SIA mod Valsts ieņēmumu dienests, understreget vigtigheden af, at den dataansvarlige præciserer de specifikke formål med indsamlingen af personoplysninger, navnlig med henblik på at gøre det muligt for den registrerede at sikre sig, at den efterfølgende behandling, herunder videregivelse, af oplysningerne, er lovlig.[4]
En sådan opdeling og specificering af formålene med behandling af personoplysninger stemmer desuden overens med Datatilsynets vejledning om behandling af personoplysninger om hjemmesidebesøgende og tilsynets vejledning om direkte markedsføring.[5]
I lyset heraf bemærker Datatilsynet, at behandling af personoplysninger om, hvordan de besøgende bruger hjemmesiden med henblik på at tilpasse og optimere hjemmesiden skal anses som et separat formål i databeskyttelsesretlig henseende fra behandling, herunder videregivelse, af personoplysninger til annoncører med henblik på personaliseret annoncering.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Artikel 29-gruppens udtalelse nr. 3/2013 om formålsbegrænsning (WP203), s. 16.
[3] EDPB’s retningslinjer 5/2020 vedrørende samtykke i henhold til forordning 2016/679, version 1.1. af 4. maj 2020, side 15.
[4] Sag C-175/20, præmis 71.
[5] Se Datatilsynets vejledning om behandling af personoplysninger om hjemmesidebesøgende eksempel 10, som skal ses i sammenhæng med vejledningens eksempel 7. Se også Datatilsynets vejledning om direkte markedsføring, s. 9 ” […] begrebet markedsføring [vil] i almindelighed vedrøre en række forskellige behandlingsaktiviteter i databeskyttelsesretlig henseende. Det vil derfor oftest ikke være tilstrækkeligt alene at angive markedsføring som formål.”