Datatilsynet har afsluttet to tilsyn med behandlingen af personoplysninger i Coop-appen og Meny-appen, der drives af henholdsvis Coop Danmark og Dagrofa. Tilsynene har blandt andet haft fokus på virksomhedernes brug af lokationsoplysninger og indsamling af personoplysninger gennem cookies og lignende teknologier.
I begge sager udtaler Datatilsynet alvorlig kritik af, at virksomhederne har anvendt lokationsoplysninger fra kundernes mobiltelefoner til deres scan-og-betal-funktioner uden et lovligt behandlingsgrundlag. Datatilsynet vurderer, at behandlingen skulle være sket på baggrund af kundernes samtykke.
Datatilsynet udtaler også kritik af begge virksomheders samtykkeløsninger til markedsføring. Herudover får Coop alvorlig kritik for brugen af lokationsoplysninger til markedsføring, mens Dagrofa får alvorlig kritik for indsamling af oplysninger om brugernes aktiviteter i Meny-appen.
Dagrofa og Coop har taget kritikken til efterretning og har sat konkrete tiltag i gang for at rette op på forholdene.
Lokationsoplysninger krævede samtykke
Både Coop og Dagrofa har anvendt mobiltelefonernes indbyggede lokationsdata til at identificere, hvilken butik kunderne befandt sig i, når de benyttede scan-og-betal-funktionen.
Behandlingen har været forholdsvis afgrænset. Der har ikke været tale om løbende registrering eller sporing af kundernes bevægelser, og det har alene været oplysningen om den relevante butik, der blev anvendt. Datatilsynet vurderer dog, at brugen af mobiltelefonens lokationsdata er en indgribende behandling af personoplysninger, som kræver særlig beskyttelse.
Coop og Dagrofa havde henvist til henholdsvis reglerne om opfyldelse af en kontrakt og interesseafvejningsreglen som grundlag for behandlingen.
Datatilsynet vurderer imidlertid, at behandlingen ikke var nødvendig for at kunne tilbyde scan-og-betal-funktionen. Virksomhederne kunne have identificeret den relevante butik på en mindre indgribende måde, eksempelvis ved at lade kunderne scanne en QR-kode ved butikkens indgang.
De pågældende regler kunne derfor ikke danne grundlag for behandlingen, som i stedet skulle være sket på baggrund af et gyldigt samtykke.
Meny-appens scan-og-betal-funktion blev udfaset i oktober 2025.
Kritik af brugen af oplysninger til markedsføring
Datatilsynet har også undersøgt virksomhedernes behandling af personoplysninger til markedsføring.
Coop har anvendt lokationsoplysninger fra kundernes mobiltelefoner til at vise indhold og markedsføring med udgangspunkt i, hvilken butik kunden befandt sig i nærheden af. Behandlingen er sket med henvisning til interesseafvejningsreglen.
Datatilsynet vurderer, at hensynet til beskyttelsen af kundernes lokationsoplysninger vejer tungere end Coops interesse i at anvende oplysningerne til markedsføring. Tilsynet har også lagt vægt på, at markedsføringen kunne ske på mindre indgribende måder, eksempelvis ved at lade kunden vælge butik manuelt i appen.
Behandlingen skulle derfor være sket på baggrund af et samtykke, og Datatilsynet udtaler alvorlig kritik af forholdet.
Begge virksomheder får også kritik af deres samtykkeløsninger til markedsføring, men af forskellige årsager.
I Coop-appen har knappen “Accepter alle” været fremhævet med rød farve, mens knappen “Accepter valgte” har været hvid. Efter Datatilsynets vurdering har udformningen påvirket brugerne til at acceptere alle cookies og dermed begrænset deres frie valg.
I Meny-appen har brugerne skullet give ét samlet samtykke til flere forskellige markedsføringsformål, herunder videregivelse af personoplysninger til samarbejdspartnere. Brugerne har ikke haft mulighed for at vælge de enkelte formål til eller fra, og det har heller ikke fremgået tydeligt af samtykketeksten, at oplysningerne blev videregivet til samarbejdspartnere.
Datatilsynet vurderer derfor, at samtykkeløsningerne ikke levede op til databeskyttelsesreglernes krav om et gyldigt samtykke.
Alvorlig kritik af sporing i Meny-appen
Datatilsynet udtaler også alvorlig kritik af indsamlingen af oplysninger om brugernes aktiviteter i Meny-appen, som drives af Dagrofa.
Oplysningerne er blandt andet blevet indsamlet gennem cookies og lignende sporingsteknologier til brug for statistik, forbedringer, fejlfinding og afvikling af konkurrencer og spil.
Dagrofa havde henvist til interesseafvejningsreglen som grundlag for behandlingen. Datatilsynet vurderer imidlertid, at behandlingen krævede samtykke, fordi sporingsteknologierne blev anvendt til formål, der gik videre end at sikre appens funktionalitet.
Tilsynet har også lagt vægt på, at brugerne ikke med rimelighed kunne forventes at være bekendt med behandlingen på det tidspunkt, hvor oplysningerne blev indsamlet.
Datatilsynet har bedt begge virksomheder om at redegøre for de tiltag, der skal sikre, at deres behandling af personoplysninger sker i overensstemmelse med databeskyttelsesreglerne.
Vil du vide mere?
Læs de to afgørelser nedenfor:
Tilsyn med Coop Danmarks behandling af personoplysninger i Coop-appen.
Tilsyn med Dagrofas behandling af personoplysninger i Meny-appen.