Journalnummer: 2004-215-0160
1. Datatilsynet blev i forbindelse med et indslag i fjernsynet den 22. marts 2004 opmærksom på, at oplysninger, som TDC Forlag havde solgt fra Den Elektroniske Telefonbog, var blevet brugt til markedsføring.
TDC A/S har i brev af 24. marts 2004 rettet henvendelse til Datatilsynet og redegjort for det faktuelle forløb i sagen samt anmodet om Datatilsynets stillingtagen til den pågældende sag.
Der har den 29. marts 2004 været afholdt møde mellem Datatilsynet og TDC A/S.
Det fremgår af sagen, at DM Huset (TDC Forlag) medio februar 2004 blev kontaktet af virksomheden GCI Mannov vedrørende køb af forbrugerprofiler til brug for etablering af en kundedatabase ud fra nogle nærmere angivne kriterier (alder, indkomst og bopæl).
Eftersom DM Huset ikke selv har den type data i sit produktsortiment, formidlede DM Huset en kontakt til virksomheden Geomatic, der sælger produktet Conzoom. Conzoom er et produkt indeholdende statistiske oplysninger.
GCI Mannov indgik desuden en aftale med DM Huset om berigelse af den derved etablerede kundedatabase - der udelukkende bestod af adresser - med navne. Navneoplysningerne er videregivet fra Den Elektroniske Telefonbog (såkaldt § 34-data). DM Huset udførte berigelsen og fakturerede herefter GCI Mannov. I DM Husets ordrebekræftelse på berigelse af GCI Mannovs kundedatabase fremgår følgende under købsvilkårene: "Kunden er ansvarlig for overholdelse af den til enhver tid gældende lovgivning, herunder persondataloven og markedsføringsloven". Formålet med GCI Mannovs bestilling af berigelsen af databasen fremgår ikke af ordrebekræftelsen.
GCI Mannov anvendte herefter den pågældende kundedatabase til udsendelse af markedsføringsmateriale på vegne af en virksomhed.
TDC A/S har over for Datatilsynet anført, at det er TDC A/S’s opfattelse, at DM Huset i nærværende sag har handlet i overensstemmelse med Datatilsynets udtalelse af 13. februar 2003.
2. Datatilsynet har tidligere behandlet sager om TDC Forlags videregivelse af telefonbogsoplysninger.
I brev af 9. oktober 2002 traf Datatilsynet således afgørelse i en sag, der bl.a. vedrørte videregivelse af telefonbogsoplysninger. I Datatilsynets afgørelse er følgende anført om adressevask:
”I de tilfælde, hvor TDC opdaterer virksomhedernes kundedatabaser, således at der alene indgår de seneste oplysninger om kundernes adresser og telefonnumre, tilføres der ikke som sådan nye oplysninger til modtagervirksomheden. Snarere sker der en ajourføring af allerede eksisterende oplysninger i virksomheden.
Det er på dette grundlag Datatilsynets opfattelse, at der herved ikke sker videregivelse med henblik på markedsføring.
Datatilsynet har herved også lagt vægt på, at den dataansvarlige efter den grundlæggende regel i persondatalovens § 5, stk. 4, 1. pkt., har pligt til at sørge for den fornødne ajourføring af oplysninger, som behandles.”
I brev af 13. februar 2003 udtalte Datatilsynet følgende om TDC Forlags tilførsel af § 34-data ved opdatering af kundedatabaser:
”Tilførsel af yderligere § 34-data i forbindelse med opdatering af kundedatabaser må efter Datatilsynets opfattelse betragtes som en videregivelse i persondatalovens forstand.
I Datatilsynets afgørelse af 9. oktober 2002 tilkendegav tilsynet, at videregivelse af rene nummeroplysningsdata omfattet af § 34 i lov om konkurrence- og forbrugerforhold på telemarkedet ikke er omfattet af de særlige markedsføringsregler i persondatalovens § 6, stk. 2-4, og § 36.
I overensstemmelse hermed finder Datatilsynet, at TDC Forlags videregivelse af § 34-data ved opdatering af kundedatabaser, f.eks. ved tilførsel af telefonnumre til en navnedatabase, kan ske i medfør af interesseafvejningsbestemmelsen i persondatalovens § 6, stk. 1, nr. 7. Datatilsynet har herved lagt vægt på, at der alene er tale om videregivelse af nummeroplysninger omfattet af § 34 i lov om konkurrence- og forbrugerforhold på telemarkedet.”
3. Datatilsynet skal, efter at sagen har været behandlet i Datarådet, udtale følgende:
3.1. Det følger af Datatilsynets afgørelse af 9. oktober 2002 og Datatilsynets udtalelse af 13. februar 2003, at videregivelse af § 34-data kan ske i medfør af interesseafvejningsreglen i persondatalovens § 6, stk. 1, nr. 7, ved opdatering af kundedatabaser, og at videregivelsen i denne situation ikke er omfattet af de særlige markedsføringsregler i persondatalovens § 6, stk. 2-4, og § 36.
Datatilsynet har i begge sager bl.a. lagt vægt på, at videregivelsen sker med henblik på opdatering af kundedatabaser.
I den foreliggende sag består den database, hvortil TDC Forlag videregiver navneoplysninger, af adresser på potentielle kunder, der er udfundet ved hjælp af rent statistiske oplysninger, og uden at der har været nogen form for forudgående kontakt mellem virksomheden og de pågældende personer.
Det er Datatilsynets opfattelse, at en sådan database ikke med rimelighed kan betegnes som en kundedatabase, således at den kan tilføres oplysninger uden iagttagelse af persondatalovens § 6, stk. 2-4, og § 36.
Datatilsynet skal derfor præcisere, at tilførsel af oplysninger til en kundedatabase uden iagttagelse af markedsføringsreglerne i persondataloven efter tilsynets opfattelse må forudsætte, at der er tale om en virksomheds database over eksisterende kundeforhold, dvs. at der forudgående er etableret en kontakt mellem kunden og virksomheden.
TDC A/S har oplyst, at såfremt Datatilsynet finder, at der skal være tale om eksisterende kundeforhold, så vil TDC Forlag indrette sin forretning herefter ved fremover i sine aftalevilkår at betinge sig, at opdatering af kunders databaser alene kan ske, såfremt kunden indestår for, at den fremsendte database består af eksisterende kunder.
På denne baggrund og henset til, at Datatilsynet ikke tidligere har haft anledning til at præcisere, hvad der efter tilsynets opfattelse må forstås ved en kundedatabase, agter Datatilsynet ikke at foretage sig yderligere i relation til TDC Forlag i den konkrete sag.
3.2. Foranlediget af den konkrete sag har Datatilsynet endvidere fundet det relevant at overveje, hvilke oplysninger der kan tilføres kundedatabaser, uden at proceduren i persondatalovens § 36, stk. 2, skal iagttages.
Datatilsynet har i afgørelsen af 9. oktober 2002 om adressevask bl.a. lagt vægt på, at den dataansvarlige efter den grundlæggende regel i persondatalovens § 5, stk. 4, 1. pkt., har pligt til at sørge for den fornødne ajourføring af oplysninger, som behandles.
Når det samtidig lægges til grund, at en kundedatabase er en database, der består af oplysninger om en virksomheds eksisterende kundeforhold, må det antages, at en virksomheds saglige formål med ajourføring af kundedatabasen og/eller med at få den suppleret med oplysninger er at gøre det lettere for virksomheden at kontakte virksomhedens kunder på korrekt vis. Dette må også antages at være i kundernes interesse.
Datatilsynet finder på denne baggrund, at der alene kan tilføres en kundedatabase oplysninger, som er nødvendige til opfyldelse af dette formål, dvs. oplysninger om navn, adresse og telefonnummer, uden at iagttage proceduren i persondatalovens § 36, stk. 2.
Til orientering kan det oplyses, at Datatilsynet forventer at omtale sagen i sin årsberetning og eventuelt offentliggøre dette brev på tilsynets hjemmeside.