Journalnummer: J.nr. 2009-212-0145
Afgørelse
1. Ved brev af 8. januar 2009 har De på vegne af Sterling Air A/S rettet henvendelse til Datatilsynet med en forespørgsel vedrørende overdragelse af en kundedatabase og markedsføringsdatabase fra Sterling Airlines A/S under konkurs (herefter konkursboet) til det nye selskab Sterling Air A/S.
Der er telefonisk indhentet supplerende oplysninger.
1.1. Det er oplyst, at Sterling Air A/S, som er et nyoprettet datterselskab af Cimber Air-Holding A/S, har erhvervet den væsentligste del af de tilbageværende aktiver og aktiviteter i Sterling Airlines A/S under konkurs. Baggrunden for henvendelsen er, at kuratellet i aftalen om virksomhedsoverdragelsen har betinget overdragelsen af kundeoplysningerne af, at Datatilsynet har givet sin accept hertil.
Det er endvidere oplyst, at konkursboet ud over kundedatabasen og markedsføringsdatabasen overdrager følgende aktiver:
- Dokumentation knyttet til Air Operator's Certificate (AOC) (Statens Luftfartsvæsens tilladelse til konkursboet til at drive virksomhed med regelmæssig luftfart i erhvervsøjemed)
- Samtlige overdragelige rettigheder knyttet til AOC, herunder især slots" (rettigheder til at lade rutefly lande og afgå i bestemte lufthavne på bestemte tidspunkter)
- 4 nøglemedarbejdere
- Immaterielle rettigheder, herunder navn, varemærker og domænenavne, inklusive varemærket "Sterling"
- Relevante dele af IT-systemerne og software
De eneste overdragne passiver er forpligtelser over for de 4 nøglemedarbejdere.
Vedrørende kundedatabasen har De oplyst, at den indeholder følgende personoplysninger vedrørende ca. 15 mio. rejser:
- Fornavn og efternavn
- Adresse, postnummer og land
- Lufthavn ved hjemmet
- E-mail adresse
- Telefonnummer
- Afrejselufthavn (fløjen rute)
- Destinationslufthavn (fløjen rute)
- Sprogkode
- Køn (mand, kvinde, barn)
Vedrørende markedsføringsdatabasen har De oplyst, at databasen indeholder samtykke fra ca. 2,4 mio. personer til at modtage elektronisk markedsføring fra konkursboet.
De har oplyst, at Sterling Air A/S vil erhverve markedsføringsdatabasen som en del af kundedatabasen, om end ikke alle de personer, der har afgivet samtykke, er kunde hos konkursboet.
Det er yderligere oplyst, at konkursboet ikke efter overdragelsen vil have adgang til kundeoplysningerne.
De har supplerende oplyst, at Sterling Airlines A/S under konkurs har leaset alle fly, og at Sterling Air A/S ikke har overtaget leasingkontrakterne på fly, men har ønsket at forhandle direkte med leasinggiver.
1.2. Deres argumenter vedrørende overdragelse af kundedatabasen og markedsføringsdatabasen
De har gjort gældende, at Sterling Air A/S' erhvervelse af kundeoplysningerne sker ved succession. De har herved henvist til Datatilsynets j.nr. 2008-233-0090 .
De har anført, at hovedargumentet for, at der er tale om succession, er, at Sterling Air A/S reelt overtager de tilbageværende aktiviteter i konkursboet, og at konkursboet derefter alene beholder helt uvæsentlige aktiver af særdeles begrænset værdi, samt at Sterling Airlines A/S efter konkursbehandlingen ophører med at eksistere.
I anden række har De anført, at der er tale om en videregivelse, som kan ske i medfør af persondatalovens §§ 5 og 6, stk. 1, nr. 7.
De har i den forbindelse anført, at kundedatabasen består af oplysninger om eksisterende kundeforhold, og at det er et sagligt formål at kunne opdatere og supplere databasen med oplysninger, som gør det lettere for Sterling Air A/S at kontakte kunderne på lovlig vis.
De har præciserende oplyst, at Sterling Air A/S' kontakt til kunderne sker med henblik på markedsføring, og at der ikke er andre formål med overdragelsen.
For det tredje har De anført, at såfremt Datatilsynet lægger afgørende vægt på overdragelsen til markedsføringsformål, kan overdragelsen ske med hjemmel i persondatalovens § 6, stk. 2, jf. § 6, stk. 1, nr. 7. De har henvist til, at det af forarbejderne til persondataloven fremgår, at den interesse-afvejning, der skal foretages efter reglen i persondatalovens § 6, stk. 2, jf. § 6, stk. 1, nr. 7, kun undtagelsesvist vil være til hinder for, at oplysningerne videregives. De har anført, at konkursboet i givet fald i nødvendigt omfang vil begrænse overdragelsen til alene at omfatte generelle kundeoplysninger.
De har videre anført, at hvis videregivelsen skal ske efter § 6, stk. 2, og Datatilsynet finder, at parterne skal følge opt-out proceduren i persondatalovens § 36, vil parterne overveje, om overdragelsen af kundeoplysningerne skal ske, idet dette vil være særdeles omkostningstungt.
De har endelig anført, at da kundedatabasen indeholder oplysninger om ca. 15 mio. rejser, vil det være uforholdsmæssigt vanskeligt for Sterling Air A/S at følge proceduren i persondatalovens § 29, stk. 1, jf. § 29, stk. 3, særligt henset til, at der ikke er tale om indgribende oplysninger om kunderne.
2. Datatilsynet skal - efter at sagen har været behandlet i Datarådet - udtale følgende:
2.1. Videregivelse eller succession
2.1.1. Deres henvendelse vedrører en eventuel overdragelse af oplysninger fra en virksomhed til en anden. Der er tale om to forskellige juridiske enheder, hvor den modtagende virksomhed i øvrigt har et navn, der minder om den oprindelige virksomheds.
I relation til persondataloven betragtes en overdragelse af personoplysninger mellem forskellige juridiske enheder som udgangspunkt som videregivelse - dvs. en behandling af personoplysninger.
Hvis der sker fuldstændig overdragelse af en virksomhed, vil der efter omstændighederne kunne være tale om en succession i forhold til persondatalovens regler, således at virksomhedens ny indehaver indtræder i den gamle ejers stilling.
Efter Datatilsynets opfattelse må det bero på en konkret vurdering i den enkelte sag, hvorvidt en overdragelse af personoplysninger kan betragtes som en succession i behandlingen af personoplysningerne, eller om der er tale om en videregivelse.
Datatilsynet finder i denne sag, at den ønskede overdragelse af kundedatabasen og markedsføringsdatabasen fra konkursboet til Sterling Air A/S vil udgøre en videregivelse og ikke kan anses for en succession.
Datatilsynet har herved lagt vægt på, at der ikke kan siges at være tale om en videreførelse af virksomheden. Der er således ikke tale om videreførelse af igangværende aktiviteter og kundeforhold eller overtagelse af alle ansættelsesforhold og andre forpligtelser.
I den sag, som De har henvist til (j.nr. 2008-233-0090), var der efter tilsynets umiddelbare vurdering tale om en succession. Tilsynet lagde i den forbindelse bl.a. vægt på, at overdragelsen skete til en anden dansk virksomhed og efter en lovfæstet procedure, der involverede Finanstilsynet, at kundeforhold mv. overgik til den nye virksomhed, at samtlige aktiviteter videreførtes af den anden virksomhed, samt at den gamle virksomhed ikke videreførtes.
2.2. Videregivelse af oplysninger i kundedatabasen og markedsføringsdatabasen
2.2.1. Ved vurderingen af om der kan ske videregivelse af konkursboets database, må det efter Datatilsynets opfattelse lægges til grund, at kundedatabasens oplysninger om 15 mio. rejser vedrører rejser, der enten må antages at være gennemført og afsluttede, eller som ikke blev gennemført på grund af konkursen.
Datatilsynet finder på denne baggrund og i overensstemmelse med Deres oplysninger, at videregivelsen sker til brug for markedsføring. Efter Datatilsynets opfattelse skal videregivelsen derfor vur-deres efter reglerne i persondatalovens § 6, stk. 2 - 4, og § 36.
Datatilsynet finder tillige, at reglerne i persondatalovens § 6, stk. 2 - 4, og § 36 finder anvendelse ved videregivelse fra et konkursbo.
Datatilsynet har herved bl.a. lagt vægt på, at formålet med salget af aktiver fortsat er forretningsmæssigt, og at hensynene bag bestemmelsen, dvs. på den ene side forbrugerens interesse i, at oplysninger om vedkommende ikke gøres til genstand for salg mellem virksomheder, og på den anden side virksomhedens kommercielle interesse i at kunne sælge oplysningerne, ikke ses at være påvirket af, at der er tale om et konkursbo, som sælger oplysningerne.
2.2.2. Det følger af persondatalovens § 6, stk. 2 - 4, at en virksomhed ikke må videregive oplysnin-ger om en forbruger til en anden virksomhed til brug ved markedsføring eller anvende oplysningerne på vegne af en anden virksomhed i dette øjemed, medmindre forbrugeren har givet sit samtykke hertil. Videregivelse og anvendelse kan dog ske uden samtykke, hvis der er tale om generelle kundeoplysninger.
I de tilfælde, hvor videregivelse eller anvendelse af generelle kundeoplysninger kan ske uden samtykke, skal indsigelsesreglerne i § 36 iagttages. Heraf følger, at hvis kunden ikke har fremsat indsigelse direkte over for virksomheden, skal virksomheden - hver gang den ønsker at videregive kundeoplysninger til andre virksomheder til brug for markedsføring eller anvende kundeoplysninger på vegne af en anden virksomhed - tjekke i CPR, om kunden har frabedt sig henvendelser i markedsføringsøjemed.
Er dette tilfældet, må oplysningerne ikke videregives eller anvendes til dette formål. Hvis kunden ikke gennem en markering i CPR har frabedt sig henvendelser, skal virksomheden endvidere - inden oplysningerne videregives eller anvendes - give kunden tydelig og forståelig meddelelse om indsigelsesretten.
Virksomheden skal i den forbindelse give kunden en nem adgang til inden for en frist på to uger at fremsætte indsigelse mod, at videregivelse eller anvendelse finder sted. Videregivelse eller anvendelse må ikke finde sted, før det er konstateret, at forbrugeren ikke har fremsat indsigelse inden udløbet af fristen på 2 uger.
Af forarbejderne til § 6, stk. 3, fremgår som eksempler på oplysninger, der som udgangspunkt vil kunne videregives uden samtykke efter bestemmelsen, oplysninger om kundens navn, adresse, køn og alder. Det samme gælder generelle oplysninger om f.eks., at kunden er husejer, bilejer, computerejer og lignende. Tilsvarende gælder f.eks. oplysninger om, at der er tale om en kunde til fritidsartikler, til baby- og småbørnsartikler, til økologiske varer, til vin- og spiritus eller andre generelt afgrænsede varegrupper.
Af forarbejderne fremgår endvidere, at det efter bestemmelsen ikke vil være muligt uden samtykke at videregive oplysninger, som afslører rent private forhold hos kunden, som f.eks. oplysninger om spiritusmisbrug. Det fremgår desuden, at det heller ikke vil være muligt at videregive mere detaljerede kundeoplysninger eller forbrugsvaner uden kundens samtykke. Der må således f.eks. ikke videregives oplysninger om, hvorvidt kundens bil er købt på kredit, og i givet fald oplysninger om vilkårene for kreditten. Der må heller ikke videregives oplysninger om, hvilken mængde vin kunden køber. Det gælder, selv om dette ikke i sig selv afslører, at kunden har et spiritusmisbrug. Der må heller ikke videregives mere detaljerede oplysninger om, hvilken slags vin kunden køber.
Af forarbejderne til § 6, stk. 3, fremgår desuden, at videregivelse efter denne bestemmelse kan ske, hvis videregivelse er nødvendig for, at "den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives kan forfølge en berettiget interesse, og hensynet til den registrerede ikke overstiger denne interesse." Det fremgår, at det med dette supplerende krav sikres, at videregivelse af generelle kundeoplysninger i markedsføringsøjemed ikke kan ske, hvis interesseafvejningen undtagelsesvis måtte tale herimod. Som eksempel herpå er nævnt den situation, at en virksomhed har orienteret sine kunder om, at den ikke vil videregive oplysninger om kunderne til andre virksomheder til brug for markedsføring. Hvis virksomheden på trods heraf alligevel skulle beslutte sig for at videregive oplysningerne, vil hensynet til kunderne, jf. § 6, stk. 1, nr. 7, efter omstændighederne kunne tale imod, at en sådan videregivelse kan ske uden kundernes forudgående samtykke.
2.2.2.1. For så vidt angår oplysninger om fornavn, efternavn, adresse, postnummer, land, lufthavn ved hjemmet, e-mail adresse, telefonnummer, køn, sprogkode samt oplysning om, at vedkommende har købt en flyrejse med Sterling Airlines A/S, er der efter Datatilsynets opfattelse tale om generelle kundeoplysninger som nævnt i persondatalovens § 6, stk. 3.
Det er endvidere Datatilsynets vurdering, at videregivelsen af de generelle kundeoplysninger i kundedatabasen som udgangspunkt kan ske uden samtykke. Der må imidlertid indhentes samtykke, hvis konkrete forhold gør, at interesseafvejningsreglen undtagelsesvist taler imod. Eksempelvis hvis konkursboet har orienteret sine kunder om, at det ikke vil videregive oplysninger om kunderne til andre virksomheder til brug for markedsføring.
For så vidt angår videregivelse af personoplysninger om ikke forbrugere (f.eks. enkeltmandsejede virksomheder) er det endvidere Datatilsynets opfattelse, at de samme oplysningstyper, som er nævnt ovenfor, kan videregives efter persondatalovens § 6, stk. 1, nr. 7. Endvidere skal det bemærkes, at videregivelse af oplysninger om juridiske personer ikke er omfattet af reguleringen i persondataloven.
2.2.2.2. Vedrørende oplysningerne i kundedatabasen om afrejselufthavn (fløjen rute) og destinationslufthavn (fløjen rute) er det Datatilsynets opfattelse, at en videregivelse af disse oplysninger ikke kan ske uden samtykke.
Datatilsynet finder således, at de nævnte oplysningstyper - afrejselufthavn (fløjen rute) og destinationslufthavn (fløjen rute) - kan sidestilles med oplysninger om tidligere køb. Datatilsynet finder derfor, at der ikke er tale om generelle kundeoplysninger, som kan videregives i medfør af persondatalovens § 6, stk. 3.
2.2.2.3. For så vidt angår de personer, der er registreret i markedsføringsdatabasen, er det Datatilsynets opfattelse, at en oplysning om, at man har samtykket til at modtage markedsføringsmateriale, kan videregives efter samme principper som anført ovenfor vedrørende generelle kundeoplysninger.
Datatilsynet har i den forbindelse overvejet, om samtykket kan benyttes af Sterling Air A/S til uanmodet henvendelse til bestemte aftagere i henhold til markedsføringslovens regler herom. Det ligger imidlertid uden for tilsynets kompetence at tage stilling til, om det samtykke, konkursboet i sin tid har indhentet, kan benyttes af Sterling Air A/S. Spørgsmålet henhører under Forbrugerombudsmandens kompetence.
Hvis samtykket ikke kan benyttes, vil videregivelsen af oplysninger herom efter Datatilsynets vurdering ikke tjene noget formål. En videregivelse af oplysninger, som modtageren i henhold til anden lovgivning ikke kan anvende til det anførte formål, vil efter Datatilsynets opfattelse ikke være forenelig med grundreglerne i persondatalovens § 5, stk. 1 - 3, om god databehandlingsskik, saglighed og proportionalitet.
Datatilsynet finder således, at oplysninger om samtykket til markedsføring samt oplysninger om personer, der kun er i markedsføringsdatabasen, alene kan videregives, hvis markedsføringsreglerne giver mulighed for, at Sterling Air A/S kan anvende det samtykke, som konkursboet har indhentet.
2.2.2.4. De har gjort gældende, at efterlevelse af indsigelsesproceduren i persondatalovens § 36 kan undlades. De anfører således, at hvis videregivelsen skal ske efter § 6, stk. 2, og Datatilsynet finder, at parterne skal følge opt-out proceduren i persondatalovens § 36, vil parterne overveje, om overdragelsen af kundeoplysningerne skal ske, idet dette vil være særdeles omkostningstungt.
Datatilsynet skal bemærke, at persondatalovens § 36 ikke indeholder nogen undtagelses- eller dispensationsregel.
Det er derfor Datatilsynets opfattelse, at proceduren i persondatalovens § 36 skal iagttages, når der sker videregivelse af generelle kundeoplysninger om forbrugere til brug for markedsføring uden samtykke fra forbrugeren.
Datatilsynet forventer at offentliggøre dette brev på tilsynets hjemmeside.