Journalnummer: 2024-432-0041.
Resumé
DR indførte i efteråret 2024 et krav om login for at se streamingindhold på DRTV. Datatilsynet modtog en række klager og henvendelser fra borgere om indførelsen af kravet. I foråret 2025 besluttede Datatilsynet derfor at undersøge, om DR’s behandling af personoplysninger i den forbindelse var i overensstemmelse med databeskyttelsesreglerne.
Undersøgelsen er nu afsluttet, og Datatilsynet har ikke fundet fuldt tilstrækkeligt grundlag for at kritisere, at DR har gjort det obligatorisk at oprette login. DR får dog kritik for, at login-processen har været tilrettelagt sådan, at man i lang tid blev bedt om at oplyse sit navn – i stedet for et evt. fiktivt profilnavn.
DR’s udtalelser
DR har peget på sin forpligtelse til at levere moderne public service til den danske befolkning, herunder netbaseret public service, og at DR’s streamingindhold skal kunne levere en sammenhængende og individuel brugeroplevelse, som matcher brugernes forventninger.
DR har også anført, at en streamingtjeneste uden login og uden de funktioner, som man kan gøre brug af ved at logge ind, ikke udgør et tidssvarende tilbud og derved ikke vil leve op til de forpligtelser, som DR har som public service-virksomhed. DR har tilføjet, at deres opgave ikke er blot at stille en streamingtjeneste til rådighed, men at sikre, at tjenesten rent faktisk bliver brugt.
Ikke grundlag for kritik af behandlingsgrundlaget
Efter at sagen har været behandlet i Datarådet, har Datatilsynet ikke fundet fuldt tilstrækkeligt grundlag for at kritisere, at DR i medfør af databeskyttelsesforordningen artikel 6, stk. 1, litra e, jf. public service-forpligtelsen, som den kommer til udtryk i radio- og fjernsynsvirksomhedsloven og i public service-kontrakten, indsamler visse oplysninger i forbindelse med brugen af DRTV.
Datatilsynet har lagt vægt på, at rækkevidden af DR’s public service-forpligtelse ikke ses entydigt at kunne fastlægges, og at en sådan nærmere fastlæggelse beror på medieretlige vurderinger, som ikke ligger inden for kerneområdet af Datatilsynets kompetence. Tilsynet har desuden lagt vægt på, at det ressortansvarlige ministerium må antages at have godtaget DR’s fortolkning af public service-forpligtelsen, og at der i øvrigt må indrømmes en vis vurderingsmargin til DR som dataansvarlig myndighed, som har fået pålagt en opgave i medfør af lovgivningen.
DR får kritik for indsamling af brugeroplysninger
Datatilsynet finder imidlertid grundlag for at udtale kritik af, at DR indtil den 5. september 2025 havde tilrettelagt sin indsamling af oplysninger om brugerne på en måde, som ikke overholdt det grundlæggende princip om dataminimering, jf. databeskyttelsesforordningens artikel 5, stk. 1, litra c, når DR indsamlede oplysninger om brugernes navne i forbindelse med oprettelse af brugerprofiler på DRTV.
Frem til den 5. september 2025 stod der således ”Fortæl os dit navn” på login-siden, selvom DR selv havde erkendt, at det ikke var nødvendigt at kende brugernes navne. Nu har DR ændret teksten til ”Vælg et profilnavn – Profilnavnet fungerer som et kaldenavn til din profil og du behøver derfor ikke at benytte dit rigtige navn”.
Afgørelse
Datatilsynet vender hermed tilbage til sagen om DR’s behandling af personoplysninger i forbindelse med indførelsen af krav om login på DRTV.
Ved breve af 10. marts, 28. maj og 11. juli 2025 har Datatilsynet anmodet DR om udtalelser om en række forhold vedr. kravet om login på DRTV.
DR har i udtalelser af 5. maj, 25. juni og 25. august 2025 besvaret Datatilsynets spørgsmål, og DR har grundlæggende anført, at det obligatoriske login på DRTV, og DR’s behandling af personoplysninger i den forbindelse, efter DR’s opfattelse er i overensstemmelse med databeskyttelsesreglerne, herunder databeskyttelsesforordningens[1] artikel 6, stk. 1, litra e, omhandlende lovlig behandling, og artikel 5, stk. 1, litra c, om dataminimering.
Datatilsynet har nu – efter at sagen har været forelagt Datarådet – truffet afgørelse i sagen, som afsluttes med dette brev.
1. Afgørelse
Datatilsynet har med denne afgørelse først og fremmest forholdt sig til spørgsmålet om, hvorvidt DR’s behandling af personoplysninger i forbindelse med obligatorisk login på DRTV er i overensstemmelse med databeskyttelsesforordningens artikel 6, stk. 1, litra e, omhandlende lovlig behandling. Efter en samlet gennemgang af sagen er det Datatilsynets opfattelse, at der ikke er fuldt tilstrækkeligt grundlag for at udtale kritik af DR i forbindelse med den behandling af personoplysninger, som sker i forbindelse med brugernes login på DRTV.
Datatilsynet har for det andet forholdt sig til, om løsningen har været i overensstemmelse med databeskyttelsesforordningens artikel 5, stk. 1, litra c, om dataminimering. Datatilsynet har i den forbindelse fundet, at der er grundlag for at udtale kritik af den måde, hvorpå DR frem til den 5. september 2025 havde tilrettelagt sin indsamling af brugernes navne på i forbindelse med login på DRTV.
Datatilsynet bemærker, at tilsynet med denne afgørelse alene har taget stilling til, hvorvidt DR’s behandling af personoplysninger er i overensstemmelse med reglerne om lovlig behandling og princippet om dataminimering. Datatilsynet har således ikke taget stilling til, hvorvidt DR’s indretning af DRTV overholder samtlige af databeskyttelsesforordningens regler, herunder reglerne om f.eks. databeskyttelse gennem design, samtykke til personalisering eller i forhold til reglerne om efterfølgende sletning af de personoplysninger, som DR behandler i forbindelse med brugeres login på DRTV.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
2.1. Sagens oplysninger
DR indførte i efteråret 2024 et krav om login for at se streamingindhold på DRTV. Inden efteråret 2024 var det frivilligt at oprette en brugerprofil og logge ind på DRTV. Login indebærer en række tekniske fordele for brugeren, f.eks. funktionen ”se videre”, som gør, at brugeren kan se videre på et påbegyndt program, selvom brugeren skifter til et andet medie (f.eks. fra TV til tablet eller smartphone), ligesom funktionen ”favorit” gør det muligt for brugeren at vælge favorit-udsendelser.
Når man opretter en brugerprofil for at logge ind på DRTV, skal man angive sin e-mail, lave et kodeord og oplyse DR et navn. DR har oplyst, at DR endvidere behandler personoplysninger om brugerne i form af et unikt ID, som kobles til den enkelte bruger, brugerens IP-adresse, samt oplysninger om hvilke programmer brugerprofilen ser.
Efter oprettelsen af en brugerprofil bliver brugeren spurgt, om vedkommende ønsker at bidrage til statistik, om brugeren ønsker et personligt relevant tilbud, og om brugeren ønsker at modtage personligt tilpassede nyhedsbreve. Det er imidlertid kun behandling af de personoplysninger, som brugeren ikke kan fravælge, dvs. navn, e-mail, kodeord, IP-adresse mv., som denne afgørelse vedrører.
Der var ifølge DR’s oplysninger i slutningen af august 2025 registreret 3.400.000 brugerprofiler på DRTV.
I november 2024 blev kulturministeren kaldt i samråd i Folketingets Kulturudvalg vedr. login-kravet på DRTV[2]. På samrådet meddelte ministeren, at han havde bedt DR om at redegøre for bl.a., hvorfor man havde valgt at indføre et obligatorisk login.
2.2. DR’s bemærkninger
2.2.1. Vedrørende behandlingsgrundlag og public service-forpligtelsen
DR har oplyst følgende om baggrunden for obligatorisk login på DRTV:
”DR har til opgave at levere public service-indhold til hele den danske befolkning. DR’s brugere benytter i takt med den teknologiske udvikling i stigende grad DR’s tilbud på tværs af devices og lokaliteter. For at kunne levere en ydelse, der er optimal i forhold til brugernes forventninger og vaner, og for at kunne leve op til DR’s forpligtelser i medfør af DR’s public service-kontrakt, har DR truffet en strategisk beslutning om at indføre et login, der giver mulighed for at skabe et samlet overblik over hvilke programmer, brugerne har tilgået på tværs af devices. Loginløsningen har erstattet en ren cookieløsning, som ikke gav et retvisende overblik over brugen af DR’s tilbud, fordi brugernes devices ikke kunne kobles sammen.”
DR har henvist til reglerne i lov om radio- og fjernsynsvirksomhed, vedtægt for DR og public service-kontrakten, og DR har i den forbindelse anført bl.a. følgende:
”For at kunne efterleve forpligtelserne i public service-kontrakten og derved udøve public service-virksomhed i overensstemmelse med det for DR gældende retsgrundlag, herunder løbende udvikling af DRTV som digitalt tilbud og dermed understøttelse af brugernes forskellige enheder, er det DR's vurdering, at det er teknisk nødvendigt at etablere en loginløsning. Det skyldes, at et moderne streamingtilbud ikke alene består i at stille indhold til rådighed, men også i at levere en sammenhængende og individuel brugeroplevelse, som matcher brugernes forventninger til et ’attraktivt og relevant streamingtilbud, der udnytter de digitale muligheder’, jf. public service-kontrakten.”
DR har i den forbindelse anført, at DR som selvstændig offentlig institution har ”kompetence til og ansvaret for at vurdere, hvordan public service-kravet skal realiseres i praksis, herunder vurdere i hvilken form DR's indhold skal tilrettelægges og tilbydes til brugerne og dermed hvilke tekniske og organisatoriske løsninger, der er nødvendige for, at DR kan opfylde sine lovfastsatte opgaver og forpligtelser.”
DR har også anført, at for at kunne leve op til public service-forpligtelsen forudsætter det, ”at DRTV indeholder funktionalitet og muligheder på et niveau, som lever op til samme standard som andre streamingtjenester, og som forventes af brugerne.”
DR har i den forbindelse også anført, at som led i at leve op til de forpligtelser, som DR er underlagt efter public service-kontrakten, ”følger DR (…) udviklingen på mediemarkedet samt danskernes medie- og brugervaner nøje og foretager løbende analyser heraf.” DR har i den forbindelse anført, at en streamingtjeneste uden login og uden de særlige funktioner, ”ikke [vil] udgøre et tidssvarende tilbud og derved ikke understøtte forpligtelsen om at levere et ’attraktivt og relevant streamingtilbud, der udnytter de digitale muligheder’ til brugerne.”
DR har samtidig påpeget, at public service-kontrakten ”pålægger DR at gennemgå en digital udvikling, der sikrer, at brugerne også på sigt opdager og bruger dansk public service-indhold som beskrevet ovenfor. DR's opgave er derfor ikke blot at stille en streamingtjeneste til rådighed, men at sikre, at tjenesten rent faktisk bliver brugt.”
DR har samme sted oplyst, at det rent teknisk ville være muligt for DR at stille streamingindholdet på DRTV til rådighed uden login, men at det er DR's vurdering, at ”en sådan løsning ikke i tilstrækkelig grad vil understøtte de forpligtelser, der påhviler DR efter public service-kontrakten, herunder kravet om at følge den digitale udvikling og sikre en løbende fornyelse af sine tjenester.”
2.2.2. Vedrørende dataminimering
I forhold til spørgsmålet om dataminimering har DR anført bl.a. følgende:
”For at opfylde DR’s forpligtelse til at følge medieudviklingen og afspejle brugernes medieforbrug er DR nødt til at have et indblik i brugernes vaner. DR har vurderet, at kvaliteten af data er bedst, når data om brugernes forbrug (indsamlet via cookies på grundlag af samtykke) på DRTV kan kobles til enkeltbrugere på baggrund af login.
DR har selv designet loginløsningen, så det kun er de absolut nødvendige personoplysninger i form af det brugernavn og den e-mailadresse, brugeren angiver ved oprettelse af login, der indsamles, ligesom der kun indsamles data via cookies fra de brugere, der har givet samtykke hertil i forbindelse med oprettelsen af login eller efterfølgende (medmindre der er tale om teknisk nødvendige cookies). I forbindelse med beslutningen om at indføre login overvejede DR tillige at indsamle oplysninger om brugernes alder, køn, postnummer mv. i forbindelse med oprettelse. DR besluttede dog tidligt i processen at undlade dette på baggrund af netop hensynet til dataminimeringsprincippet.”
DR har tilsvarende oplyst, at det samlet set er DR's opfattelse, at dataminimeringsprincippet i henhold til databeskyttelsesforordningens artikel 5, stk. 1, litra c, bliver iagttaget, fordi der kun indsamles de personoplysninger, som er nødvendige.
DR har i forhold til brugernes navne oplyst, at ”brugernavnet muligvis kan forveksles med et navn og [DR] skal for god ordens skyld oplyse, at der netop kun anmodes om et brugernavn for at kunne tiltale borgeren, hvorfor borgerens rigtige navn ikke er vigtigt.”
Om behovet for at kende brugernes rigtige navne har DR også anført følgende:
”DR behøver ikke at kende brugerens rigtige navn, men DR har valgt at bede om et navn for at kunne byde brugeren velkommen til DRTV, ligesom andre streamingtjenester gør.” (DR’s redegørelse af 25. november 2024 til Kulturministeriet)
Over for Datatilsynet har DR oplyst, at brugeren ved oprettelse af brugerprofilen frit kan vælge et navn, og at det er ikke nødvendigt, at brugeren angiver sit rigtige navn:
”Den konkrete formulering ’Fortæl os dit navn’ er valgt ud fra et ønske om at skabe en brugervenlig oplevelse. DR anerkender dog, at denne formulering kan give anledning til misforståelser, og DR vil derfor justere teksten, så det tydeligere fremgår, at der er tale om et valgfrit brugernavn.”[3]
2.2.3. Beskyttelse af børn mod skadeligt indhold
I forhold til kravet om login har DR endvidere gjort gældende, at kravet er en forudsætning for en bedre børnebeskyttelse. DR har i den forbindelse oplyst, at man med en streamingtjeneste ikke kan sikre børnebeskyttelse gennem tidspunktet for publicering, ligesom man tidligere kunne, når DR udelukkende sendte via flow-kanaler. DR har i den forbindelse anført bl.a. følgende:
”I praksis opfylder DR [kravet om beskyttelse af børn] ved at stille krav om login til DRTV. Login sikrer, at mindre børn, som typisk ikke har en e-mailadresse, ikke får adgang til indhold tiltænkt voksne via DR's on-demand-tjenester. I stedet tilbyder DR, at der kan oprettes en børneprofil under en voksen hovedbruger, som har kontrol over adgangen.”
3. Relevante regler, mv.
3.1. Databeskyttelsesforordningen
3.1.1. Behandlingsgrundlag
Det følger af databeskyttelsesforordningens artikel 6, stk. 1, at behandling kun er lovlig, hvis og i det omfang mindst ét af forholdene i bestemmelsen gør sig gældende.
Databeskyttelsesforordningens artikel 6, stk. 1, litra e, har følgende ordlyd:
”Stk. 1. Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:
(…)
e) Behandling er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.”
Efter databeskyttelsesforordningens artikel 6, stk. 2 og 3, kan medlemsstaterne opretholde eller indføre mere specifikke bestemmelser for at tilpasse anvendelsen af forordningens bestemmelser om behandling med henblik på overholdelse af bl.a. stk. 1, litra e, ved at fastsætte mere præcist specifikke krav til behandling for at sikre lovlig og rimelig behandling. Grundlaget for behandling i henhold til bl.a. litra e skal fremgå af EU-retten, eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt.
Endvidere fremgår bl.a. følgende af artikel 6, stk. 3:
”Formålet med behandlingen skal være fastlagt i dette retsgrundlag eller for så vidt angår den behandling, der er omhandlet i stk. 1, litra e), være nødvendig for udførelsen af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. (…) EU-retten eller medlemsstaternes nationale ret skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges.”
Vedrørende vurderingen af, hvorvidt en behandling er nødvendig, har Datatilsynet i april 2021 udtalt bl.a. følgende i et bidrag til Justitsministeriet i forbindelse med ministeriets nationale evaluering af databeskyttelsesreglerne[4]:
”Hvornår behandling i henhold til forordningens artikel 6, stk. 1, litra e, kan anses for nødvendig, skal i disse tilfælde holdes op imod de opgaver og forpligtelser, som myndigheden har i henhold til den lovgivning, som regulerer dens virke. Tilsvarende gælder i forhold til det krav om nødvendighed, som følger af forordningens artikel 5, stk. 1, litra c.
Det er i den forbindelse vigtigt at understrege, at databeskyttelsesreglerne ikke har til formål at stå i vejen for eller besværliggøre offentlige myndigheders opgavevaretagelse. Databeskyttelsesreglerne, herunder kravet om nødvendighed, indebærer således ikke, at offentlige myndigheder for enhver pris skal tilrettelægge deres opgavevaretagelse på en sådan måde, at der behandles færrest muligt personoplysninger, hvis dette vil afskære myndigheden fra at løse sine opgaver på den i lovgivningen tiltænkte måde.
Det databeskyttelsesretlige krav om nødvendighed er derimod fleksibelt og giver den dataansvarlige – i denne kontekst offentlige myndigheder – muligheden for at vurdere, hvad der i det enkelte tilfælde er relevant og sagligt, dvs. nødvendigt, for at myndigheden kan varetage sine opgaver på den måde, som er tiltænkt med lovgivningen. I den forbindelse er det også vigtigt at holde sig for øje, at den myndighed, som i lovgivningen forudsættes at udføre en opgave, i sagens natur har de bedste forudsætninger for at vurdere, hvad der er sagligt og relevant for at løse opgaven, idet det netop er den pågældende myndighed, som har mest kendskab til, hvordan eventuel sektorspecifik lovgivning udmøntes i praksis.
Det vil således ligge inden for rammerne af databeskyttelsesforordningens artikel 6, stk. 1, litra e, hvis myndigheden kan pege på et lovgrundlag som årsagen til behandlingen, og hvis behandlingen ikke – ud fra en generel betragtning – er unødigt indgribende for den registrerede, f.eks. fordi behandlingen udelukkende er en praktisk måde for myndigheden at opfylde formålet på, som ikke tager hensyn til den registrerede.
Med andre ord har offentlige myndigheder ganske vide rammer for at vurdere, hvilken behandling af oplysninger der er nødvendig for at varetage myndighedens opgaver i henhold til lovgivningen.”
3.1.2. Princippet om dataminimering
Databeskyttelsesforordningens artikel 5, stk. 1, litra c, har følgende ordlyd:
”Personoplysninger skal:
[…]
c) være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (»dataminimering«)”
I databeskyttelsesforordningens præambelbetragtning nr. 39 fremgår følgende om princippet:
”(39) […] Personoplysninger bør være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til formålene med deres behandling. Dette kræver navnlig, at det sikres, at perioden for opbevaring ikke er længere end strengt nødvendigt. Personoplysninger bør kun behandles, hvis formålet med behandlingen ikke med rimelighed kan opfyldes på anden måde. […]”
I Justitsministeriets betænkning nr. 1565/2017, s. 87-88, angives følgende om den tidligere gældende og næsten tilsvarende bestemmelse i persondatalovens § 5, stk. 3:
”Det fremgår af persondatalovens § 5, stk. 3, at oplysninger, som behandles, skal være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles.
Det fremgår af bemærkninger til persondataloven, at der med udtrykkene relevante og tilstrækkelige oplysninger sigtes til, at oplysningernes art skal svare til det formål, der tilsigtes med behandlingen. Bestemmelsen fastsætter endvidere, at den dataansvarliges behandling af oplysninger er undergivet et proportionalitetsprincip.”
3.2. Reglerne om public service
3.2.1. Lov om radio- og fjernsynsvirksomhed
I lov om radio- og fjernsynsvirksomhed[5] er der fastsat regler om public service-virksomhed.
Det fremgår af lovens § 11, stk. 1, at det er ”DR, de regionale TV 2-virksomheder og TV 2 DANMARK A/S[, som] udøver public service-virksomhed”, og loven indeholder derudover en række nærmere regler herom.
I lovens kapitel 4 er der fastsat nærmere regler for DR’s public service-virksomhed:
”§ 12. DR skal udøve public service-virksomhed over for hele befolkningen efter de i § 10 nævnte principper.
Stk. 2. DR’s udfyldelse af public service-forpligtelserne fastsættes i en public sevice-kontrakt mellem kulturministeren og DR.”
Lovens § 10 har følgende ordlyd:
”§ 10. Den samlede public service-virksomhed skal via fjernsyn, radio og internet el.lign. sikre den danske befolkning et bredt udbud af programmer og tjenester omfattende nyhedsformidling, oplysning, undervisning, kunst og underholdning. Der skal i udbuddet tilstræbes kvalitet, alsidighed og mangfoldighed. Ved programlægningen skal der lægges afgørende vægt på hensynet til informations- og ytringsfriheden. Ved informationsformidlingen skal der lægges vægt på saglighed og upartiskhed. Programvirksomheden skal sikre befolkningen adgang til væsentlig samfundsinformation og debat. Der skal endvidere lægges særlig vægt på dansk sprog og dansk kultur. Programvirksomheden skal endvidere afspejle bredden i produktionen af kunst og kultur og give programtilbud, som reflekterer mangfoldigheden af kulturinteresser i det danske samfund.”
Som det fremgår, omfatter public service-virksomhed også ”internet el.lign.”. Tidligere blev public service primært tilbudt via fjernsyn og radio, men blev i år 2000 udvidet til også at omfatte internettet[6].
Af de specielle bemærkninger til lovforslagets[7] § 6 b fremgår bl.a. følgende om udvidelsen af public service-forpligtelsen til også at omfatte internetvirksomhed:
”Baggrunden for denne udvidelse er, at befolkningens medievaner i de senere år har ændret sig i retning af, at Internettet bruges på linje med radio, fjernsyn og aviser, når det gælder adgang til f.eks. nyheder, information, debat og underholdning. Udviklingen har betydet, at næsten alle større medievirksomheder har internettjenester som en del af deres virksomhed, ikke mindst inden for radio- og tv, hvor Internettet er velegnet til information om programmer og som forum for dialog med brugerne.
Hensigten med at gøre internettjenester til en del af både DR s og TV 2 public service forpligtelser er at sikre brugerne adgang til danske public servicetilbud på Internettet og at sikre public service virksomhederne den bedst mulige stilling i konkurrencen med andre medievirksomheder. Desuden er det en forberedelse til mediernes konvergens.
Til illustration kan der peges på, at DR s internettjeneste - DR Online - i de senere år er blevet integreret med programvirksomheden, idet seere og lyttere på DR Online har mulighed for bl.a. at se og høre tidligere udsendte programmer, se de seneste nyheder samt at søge oplysninger om programmer og om DR s virksomhed generelt. Det er denne virksomhed, der nu gøres til en del af DR s public serviceforpligtelse. DR s internettjeneste skal være en service til borgerne med bl.a. nyheder, uddannelsestilbud, programrelateret information, seerservice og debatforum.
Det forekommer imidlertid ikke hensigtsmæssigt at fastsætte en udtømmende afgrænsning af, hvad DR s og TV 2 s public service internettjeneste skal indeholde, da udviklingen på området er dynamisk og uforudsigelig.”
3.2.2. Public service-kontrakten
Det fremgår som nævnt af radio- og fjernsynsvirksomhedslovens § 12, stk. 2, at DR’s udfyldelse af public service-forpligtelsen fastsættes i en public service-kontrakt mellem kulturministeren og DR.
Den seneste public service-kontrakt af 5. april 2024 trådte i kraft den 1. januar 2024 og udløber den 31. december 2026.
Public service-kontrakten angår en række forskellige forhold, herunder programmernes indhold, publicering, dialog med befolkning, finansiering mv. Formålet med kontrakten er ifølge kontraktens pkt. 1 bl.a. at præcisere, hvilke opgaver DR forventes at opfylde, og at udstikke rammerne, inden for hvilke public service-virksomheden kan drives.
Det fremgår i den forbindelse bl.a., at DR’s bestyrelse inden for de rammer, der er fastlagt i lovgivningen og kontrakten, har ansvaret for den overordnede tilrettelæggelse af programvirksomheden, og at DR’s bestyrelse har ”fuld og uindskrænket rådighed over de tildelte midler til anvendelse på de aktivitetsområder, der er angivet i lovgivningen og i kontrakten eller i øvrigt efter aftale med kulturministeren.”
Om public service er der anført bl.a. følgende i kontrakten:
”2. DR’s ROLLE OG OVERORDNEDE FORMÅL
(…)
Public service skal samle danskerne omkring et fælles udgangspunkt i dansk kultur, samfund og historie. DR skal være garanten for indhold, der rager så højt op og har så meget kvalitet, at det er relevant og bliver brugt af hele befolkningen og dermed skaber fælles referencer og understøtter den demokratiske samtale i Danmark. DR’s økonomiske ramme skal understøtte dette formål.
DR skal løfte sin demokratiske opgave ved at give alle borgere fri adgang til et mangfoldigt og alsidigt indhold, der upartisk understøtter borgernes handleevne i det danske folkestyre og styrker dansk kultur og sprog.
DR skal sikre et bredt udbud af programmer og tjenester til alle borgere via tv, radio, internet, herunder apps og andre relevante platforme, men DR skal adressere den øgede digitalisering ved distributionen og udviklingen af DR’s indhold.
(…)
Mediemarkedet og brugernes medievaner ændres markant disse år på grund af den digitale udvikling. DR er på den baggrund i gang med en nødvendig udvikling henimod at være en fortrinsvis digital public service-institution, som understøtter demokratiet, bidrager til dansk kultur og styrker fællesskaber i Danmark. DR skal gennemgå en digital udvikling, så befolkningen også på sigt opdager og bruger dansk public service-indhold af høj kvalitet, der er udviklet digitalt og giver værdi til den enkelte.
Samlet set er formålet med DR’s public service-virksomhed følgende:
- At styrke borgernes handleevne i et demokratisk samfund
- At forbinde og spejle Danmark
- At stimulere kultur og sprog, herunder formidle den kristne kulturarv
- At fremme viden og forståelse
(…)
- DISTRIBUTION/PUBLICERING AF DR’S INDHOLD
For at sikre public service-tilbud til alle skal DR følge medieudviklingen og afspejle borgernes mediebrug ved at stille indhold af høj kvalitet til rådighed på relevante kanaler og platforme, hvor borgerne befinder sig, på de vilkår, der er beskrevet nedenfor.
(…)
4.1. Tilrådighedsstillelse af DR’s indhold
Tv:
DRTV udvikles løbende som et særskilt tilbud i sin egen ret med henblik på at kunne præsentere et attraktivt og relevant streamingtilbud, der udnytter de digitale muligheder.
(…)
DR skal være transparente om brugen af algoritmer og personalisering af indhold og gøre det tydeligt for brugerne, hvordan anbefalet indhold er udvalgt, og sikre at der præsenteres et bredt og alsidigt indhold for den enkelte bruger på DR’s streamingplatform. DR skal i løbet af kontraktperioden øge transparensen omkring personaliseret indhold på DRTV, og kommunikere herom til brugerne.
(…)
Internetbaserede tjenester:
DR skal tilbyde public service-indhold på teknologineutralt grundlag og understøtte danskernes brug af internettet og digitale tjenester. DR skal således stille public service-indhold til rådighed digitalt og via internettet med henblik på modtagelse ved hjælp af forskelligt forbrugerrelevant modtageudstyr. Som en del heraf driver DR de tre digitale hovedindgange dr.dk, DRTV og DR LYD, ligesom DR stiller en række apps til rådighed.
(…)
DR skal på dr.dk tilbyde indhold med fokus på høj kvalitet, som bidrager til DR’s public service-formål, og som er redaktionelt begrundet, på lige fod med indhold på øvrige platforme.
(…)”
3.2.3. Vedtægt for DR
I medfør af § 15, stk. 9, i lov om radio- og fjernsynsvirksomhed har kulturministeren udstedt bekendtgørelse om vedtægt for DR[8].
I vedtægtens § 3 gentages DR’s forpligtelse til at udøve public service-virksomhed ”over for hele befolkningen”, og der henvises til principperne i § 10 i lov om radio- og fjernsynsvirksomhed.
3.3. Regler vedr. beskyttelse af børn mod skadeligt indhold
I sine svar til Datatilsynet har DR i forbindelse med login-kravet som nævnt også henvist til en forpligtelse til at skærme børn mod skadeligt indhold. Af § 5 i vedtægten for DR fremgår følgende:
”§ 5. DR skal sikre, at programmer, der kan skade mindreåriges fysiske, psykiske eller moralske udvikling, kun stilles til rådighed på en sådan måde, at mindreårige normalt ikke hører eller ser dem. Dette kan ske ved valg af sendetidspunkt, værktøjer til alderskontrol eller andre tekniske foranstaltninger.
Stk. 2. Foranstaltninger i henhold til stk. 1 skal stå i et rimeligt forhold til programmets mulige skadevirkninger.
Stk. 3. De mest skadelige programmer, herunder programmer, som indeholder umotiveret vold eller pornografi, skal underlægges de strengest mulige foranstaltninger såsom kryptering og forældrekontrolsystemer.
Stk. 4. Mindreåriges personoplysninger, som indsamles eller på anden måde genereres i henhold til de foranstaltninger, der er nævnt i stk. 1-3, må ikke behandles med henblik på kommercielle formål såsom direkte markedsføring, profilering og adfærdsbaseret reklame.”
Af public service-kontrakten fremgår følgende om børn og unge:
”3. DR’S INDHOLD
(…)
3.2. Børn og Unge
(…)
DR skal have fokus på sin indsats over for børn ved at udvikle og stille relevant public service-indhold til børn til rådighed i form af programmer, tjenester mv. på de platforme, hvor børn befinder sig.
(…)
DR skal i overensstemmelse med reglerne i bekendtgørelse om vedtægt for DR påse, at mindreårige sikres mod skadeligt indhold.
(…)”
4. Begrundelse for Datatilsynets afgørelse
4.1. Vedrørende behandlingsgrundlag
Behandling af personoplysninger skal – som nævnt – være baseret på ét af de oplistede retlige grundlag i databeskyttelsesforordningens artikel 6, stk. 1.
DR har oplyst, at behandlingen af personoplysninger i forbindelse med etablering og vedligeholdelse af login er nødvendig af hensyn til udførelsen af den opgave, som DR er forpligtet til at udføre, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra e, jf. radio- og fjernsynsvirksomhedslovens § 12, stk. 1, og public service-kontrakten.
Datatilsynet er enig med DR i, at radio- og fjernsynsvirksomhedslovens § 12, stk. 1, og public service-kontrakten i øvrigt kan udgøre et supplerende retsgrundlag i national ret til behandling af personoplysninger efter databeskyttelsesforordningens artikel 6, stk. 1, litra e, jf. artikel 6, stk. 3, litra b.
Afgørende for hjemmelsspørgsmålet er herefter, om behandlingen af personoplysninger om brugerne er nødvendig af hensyn til opnåelsen af et formål, som DR sagligt må forfølge. Datatilsynet lægger i den forbindelse overordnet til grund – i overensstemmelse med det, som DR har anført – at formålet med indførelsen af login-kravet er at stille en moderne, netbaseret public service-tjeneste til rådighed for befolkningen, og at dette er et sagligt og relevant formål.
Den nærmere fastlæggelse af DR’s saglige formål beror derfor på en vurdering af public service-forpligtelsens udstrækning, herunder hvad DR nærmere bestemt er forpligtet til at udbyde af netbaseret indhold, funktioner mv. og under hvilke vilkår mv. dette skal ske.
DR har en forpligtelse til at stille flere forskellige medie-tilbud til rådighed for danskerne via radio, tv og internet. Det må således også lægges til grund – som DR også selv har anført – at DR har en forpligtelse til dels at stille en streamingplatform til rådighed for brugerne, dels at gøre det på en sådan måde, at brugeroplevelsen er tidssvarende og svarer til brugernes forventninger mv.
Datatilsynet har ikke grundlag for at betvivle DR’s vurdering af, hvad der er en opdateret og tidssvarende brugerforventning til en streamingtjeneste, og tilsynet stiller således ikke spørgsmål ved, om det er nødvendigt at indsamle enkelte personoplysninger fra brugerne for at kunne give dem mulighed for at skabe en profil og udnytte de digitale muligheder for f.eks. at se videre på et program ved skift mellem enheder.
Det har dog ikke stået Datatilsynet klart, om public service-forpligtelsen også indebærer, at DR ikke bare skal tilbyde login-løsningen og de dermed forbundne fordele, men faktisk skal gøre login obligatorisk, således at brugerne reelt påtvinges login-løsningen, for, at brugerne kan benytte DR’s streamingtjeneste.
Datatilsynet har udtrykkeligt spurgt DR, hvorfor login-løsningen og de tekniske fordele, som ubestridt er forbundet hermed, ikke kan være frivillig for brugerne. DR har som nævnt svaret, at DR i medfør af public service-forpligtelsen skal tilbyde en moderne streamingtjeneste, og at login er nødvendigt for at kunne tilbyde de funktioner, som brugerne ønsker.
Datatilsynet har forstået det, som DR har oplyst, sådan, at DR mener, at der ikke længere kan stilles en løsning til rådighed, hvor man ser streamingindhold på DRTV uden at være logget ind, fordi en sådan løsning ville have en så begrænset funktion, at det ville være i strid med public service-forpligtelsen blot at tilbyde den. Og at dette gælder, uanset om der samtidig tilbydes en login-løsning med de nævnte funktioner. Det må således forstås sådan, at DR anser sig forpligtet til ikke blot at stille en streamingtjeneste med de nævnte funktioner til rådighed, men at DR også anser sig forpligtet til at sikre, at brugerne rent faktisk også får og benytter de nævnte funktioner.
I sit svar af 25. november 2024 til Kulturministeriet anførte DR således bl.a., at det var nødvendigt at give DRTV et samlet løft ”for at sikre, at danskerne får adgang til de funktioner”, og at det obligatoriske login ”skal sikre, at alle danskere får en bedre brugeroplevelse.” Tilsvarende har DR anført i sit svar af 25. august 2025 til Datatilsynet, at DR’s opgave ”ikke blot [er] at stille en streamingtjeneste til rådighed, men at sikre, at tjenesten rent faktisk bliver brugt.”
Datatilsynet har samtidig forstået DR sådan, at det efter DR’s opfattelse er i overensstemmelse med public service-forpligtelsen, at en gruppe brugere, som gerne vil gøre brug af DR’s internetbaserede medieindhold, men som ikke ønsker at afgive personoplysninger i forbindelse med login, helt afskæres herfra og må nøjes med flow-tv. Også selvom det rent teknisk ville være muligt for DR at stille streamingtilbuddet på DRTV til rådighed uden login.
På denne ene side er der i reglerne for public service holdepunkter for at antage, at DR blot skal stille en streamingtjeneste til rådighed som et tilbud til befolkningen. Der er dog på den anden side også holdepunkter for at antage, at DR skal sikre, at en moderne streamingtjeneste faktisk anvendes af brugerne.
Den endelige vurdering af, om public service-forpligtelsen skal forstås sådan, som DR synes at gøre det, synes imidlertid at bero på en særlig medieretlig sagkundskab, som Datatilsynet ikke i kraft af sit normale virke, er i besiddelse af.
Datatilsynet fremhæver i den forbindelse, at kulturministeren – som er kontraktpart i public service-kontrakten – ikke ses at have gjort indvendinger mod det, som DR har anført i redegørelsen til Kulturministeriet om bl.a. baggrunden og begrundelsen for indførelsen af login-kravet. Redegørelsen blev endvidere fremsendt til Folketingets Kulturudvalg i forlængelse af det nævnte samråd, som kulturministeren blev indkaldt til vedr. login-kravet. Af den årsag lægger Datatilsynet til grund, at Kulturministeriet, som er ressortansvarlig for radio- og fjernsynsvirksomhedsloven, og kulturministeren, der som nævnt er kontraktpart i public service-kontrakten, har godtaget DR’s fortolkning af disse nævnte retsakter.
Mens Datatilsynet som nævnt ikke ser sig i stand til med den fornødne sikkerhed at foretage den endelige vurdering af public service-reglerne, jf. det ovenfor anførte, skal tilsynet afslutningsvist bemærke, at idet der ikke synes at være klare holdepunkter i lov om radio- og fjernsynsvirksomhed, public service-kontrakten eller i DR’s vedtægter for hverken det ene eller det andet udfald, idet der må tillægges DR en vis margin til, som sagkyndig institution på området, at vurdere den nærmere rækkevidde og forståelse af public service-forpligtelsen, og idet det relevante ressortministerium må anses at have godtaget DR’s fortolkning af denne forpligtelse, har Datatilsynet fundet, at der ikke er fuldt tilstrækkeligt grundlag for at kritisere, at DR har gjort login på DRTV obligatorisk, og at der ved login sker indsamling af visse personoplysninger med henblik på at få de relevante funktioner til at fungere. Der henvises dog til det anførte under pkt. 5.2 nedenfor.
Det, som DR har anført om beskyttelse af børn mod skadeligt indhold, kan efter Datatilsynets opfattelse ikke tillægges nogen betydning i den ovennævnte vurdering.
4.2. Vedrørende dataminimering
Behandling af personoplysninger i forbindelse med login på DRTV skal – i tillæg til at være baseret på et retligt grundlag – leve op til de øvrige krav i databeskyttelsesforordningen. Det omfatter bl.a. princippet om dataminimering i artikel 5, stk. 1, litra c.
Personoplysninger skal i henhold til dataminimeringsprincippet bl.a. være ”begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles.”
Som nævnt indsamles der ved oprettelsen af en brugerprofil en række oplysninger. Ved den oprindelige indretning af login-løsningen fremgik det af login-siden, at brugeren skulle oplyse sit navn. Af den pågældende side stod der således bl.a. følgende: ”Fortæl os dit navn” når en brugerprofil blev oprettet. Som nævnt anførte DR i sin redegørelse af 25. november 2024 til Kulturministeriet, at DR ikke behøvede at kende brugerens rigtige navn, men at DR havde valgt at bede om et navn for at kunne byde brugeren velkommen til DRTV, ligesom andre streamingtjenester gør.
Over for Datatilsynet har DR tilsvarende oplyst, at brugerens rigtige navn ikke er vigtigt, at formuleringen på login-siden kunne give anledning til misforståelser, og at teksten ville blive justeret således, at det tydeligere fremgår, at der blot skal oplyses et valgfrit brugernavn.
Datatilsynet er opmærksomt på, at denne justering nu (pr. 5. september 2025) er gennemført, og at brugere ikke længere bliver bedt om at fortælle sit navn, men i stedet bliver bedt om at vælge et profilnavn.
Den oprindelige tekst (”Fortæl os dit navn”) har imidlertid været den gældende tekst i en lang periode, herunder efter det tidspunkt, hvor DR i november 2024 oplyste til Kulturministeriet, at navnet ikke var vigtigt, og frem til den 5. september 2025. Frem til den 5. september 2025 er der således indsamlet personoplysninger – bl.a. i form af brugeres navne – om et meget stort antal danskere (DR har oplyst om, at 3.400.000 brugerprofiler er oprettet på DRTV). Datatilsynet må derfor også konkludere, at indsamlingen af personoplysninger i denne periode har været tilrettelagt sådan, at det må anses for sandsynligt, at et stort antal brugere i forbindelse med oprettelse af en brugerprofil har givet (unødvendige) oplysninger om, hvad de hedder.
Fra tidligere tilsynspraksis, hvor der ligeledes har været tale om behandling af personoplysninger om et meget stort antal registrerede kan nævnes Datatilsynets j.nr. 2004-54-1396. I denne sag ønskede Undervisningsministeriet at oprette en database indeholdende eksamens- og karakteroplysninger fra de gymnasiale uddannelser med henblik på behandling af ansøgninger om optagelse på videregående uddannelser mv. Datatilsynet udtalte i sagen, at der ved etableringen af eksamensdatabasen ville blive oprettet et register, der på sigt ville indeholde hovedparten af den danske befolknings eksamensbeviser, og at der således på sigt ville være tale om en meget stor mængde data, herunder data, som man aldrig ville få brug for. På den baggrund fandt Datatilsynet det tvivlsomt, om der var den fornødne proportionalitet mellem registrering af alle eksamensbeviser og opfyldelsen af formålet med databasen.
I sagen om digitalt kørekort, Datatilsynets j.nr. 2022-432-0099, udtalte tilsynet, at Digitaliseringsstyrelsen behandlede personoplysninger om alt for mange borgere, idet der blev behandlet personoplysninger om alle borgere, der havde et gyldigt dansk kørekort – næsten 4 millioner – selvom kun ca. 1,7 millioner borgere havde tilsluttet sig Digitaliseringsstyrelsens digitale kørekort. Datatilsynet udtalte i sagen alvorlig kritik af Digitaliseringsstyrelsen.
På baggrund af det store antal registrerede i sagen om login på DRTV, og på baggrund af, at DR selv har oplyst, at det ikke er nødvendigt at indsamle oplysninger om brugernes navne for at opnå formålet med behandlingen, er det Datatilsynets vurdering, at DR’s tilrettelæggelse af indsamlingen af bruger-oplysninger i form af navn har været i strid med databeskyttelsesforordningen artikel 5, stk. 1, litra c, om princippet om dataminimering. Dette giver efter Datatilsynets opfattelse anledning til at udtale kritik af DR.
4.3. Datatilsynets samlede vurdering
Efter Datatilsynets opfattelse er der ikke fuldt tilstrækkeligt grundlag for at kritisere, at DR i medfør af databeskyttelsesforordningens artikel 6, stk. 1, litra e, jf. public service-forpligtelsen, som den kommer til udtryk i radio- og fjernsynsvirksomhedsloven og i public service-kontrakten, tilbyder en streamingtjeneste, som obligatorisk kræver login og indsamler personoplysninger i form af bl.a. e-mailadresse, IP-adresse og oplysninger om sete programmer.
Datatilsynet henviser i den forbindelse til, at rækkevidden af DR’s public service-forpligtelse ikke ses entydigt at kunne fastlægges, at en sådan nærmere fastlæggelse heraf således beror på medieretlige vurderinger, som ikke ligger inden for kerneområdet af Datatilsynets kompetence, at det ressortansvarlige ministerium må antages at have godtaget DR’s fortolkning af public service-forpligtelsen, og at der må indrømmes en vis vurderingsmargin til DR som dataansvarlig myndighed, som har fået pålagt en opgave i medfør af lovgivningen.
Der er således efter Datatilsynets opfattelse ikke fuldt tilstrækkeligt grundlag for at kritisere, at der ved login sker indsamling af visse personoplysninger for at få de relevante funktioner til at fungere.
I lyset af, at DR imidlertid har oplyst, at brugernes navne ikke er nødvendige, og at DR har været klar over dette siden november 2024 og – uanset dette – på sin login-side udtrykkeligt har bedt brugerne om at oplyse deres navne, finder Datatilsynet, at der er grundlag for at udtale kritik af, at den måde, hvorpå indsamlingen har været tilrettelagt, ikke har været i overensstemmelse med databeskyttelsesforordningens artikel 5, stk. 1, litra c, om dataminimering.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Kulturudvalget (KUU), Alm. del, Samling: 2024-25, Samrådsspørgsmål B, af Sólbjørg Jakobsen (LA) til kulturminister Jakob Engel-Schmidt (M), besvaret til samråd i kulturudvalget den 27. november 2024. https://www.ft.dk/samling/20241/almdel/KUU/samspm/B/index.htm
[3] Det bemærkes, at DR pr. 5. september 2025 ændrede den vejledende tekst på login-siden, så der nu står ”Vælg et profilnavn – Profilnavnet fungerer som et kaldenavn til din profil og du behøver derfor ikke at benytte dit rigtige navn.”
[4] Bidrag fra Datatilsynet, Erfaringsindsamling i forbindelse med Justitsministeriets nationale evaluering af databeskyttelsesreglerne, april 2021, afsnit 8.
[5] Lovbekendtgørelse nr. 1350 af 4. september 2020 om radio- og fjernsynsvirksomhed m.v.
[6] Ved lov nr. 1272 af 20. december 2000 om ændring af lov om radio- og fjernsynsvirksomhed og lov om indkomstbeskatning af aktieselskaber m.v. (Gennemførelse af Medieaftale 2001-2004 m.v.) blev § 6 a indsat. Bestemmelsen har stort set samme ordlyd som den nugældende § 10.
[7] Lovforslag nr. L79 af 10. november 2000.
[8] Bekendtgørelse nr. 946 af 18. juni 2020.