▒
§IT
▼
Kundehåndtering, handel og medlemskap
https://www.datatilsynet.no/personvern-pa-ulike-omrader/kundehandtering-handel-og-medlemskap/
Forbrukertilsynet og Datatilsynet har laget en veileder der vi går gjennom det viktigste du som utvikler, markedsfører eller tilbyder av digitale tjenester må vite om reglene for forbruker- og personvern.
Plikt til å oppfylle rettigheter
Alle virksomheter har plikt til å legge til rette for at brukere/kunder får oppfylt rettighetene sine på en enkel måte. Det skal som hovedregel gjøres uten kostnad for kunden og innen 30 dager.
Kundeklubber og personvern
https://www.datatilsynet.no/personvern-pa-ulike-omrader/kundehandtering-handel-og-medlemskap/kundeklubber-og-personvern/
Kundeklubber må passe på hvordan de bruker kundenes personopplysninger. Særlig viktig er medlemmets samtykke og selvbestemmelsesrett over sine personopplysninger.
Alle kundeklubber behandler personopplysninger
Det er flere og flere virksomheter innen varehandel som tilbyr kundeklubber (også kjent som lojalitetsprogrammer eller fordelsprogrammer). Kundeklubbene tilbyr lojale kunder rabatter eller bonuser. For å kunne gi kundene dette, behandler kundeklubbene medlemmenes personopplysninger.
Kundeklubber kan bruke personopplysningene i den grad det er nødvendig for å tilby lojalitetsgodene. For eksempel trenger klubben å vite hvem som er med i kundeklubben. Noen ganger trenger man å se på hvor mye medlemmet har handlet for å regne ut bonus eller rabatter. Dette er legitimt.
Mange kundeklubber ønsker også å analysere medlemmenes handlemønster for å lære mer om kundene eller tilby personaliserte rabatter. Dette går ut over det som er strengt nødvendig for å tilby vanlig rabatt eller bonus. Derfor er det ikke fritt frem å utføre slike analyser.
Samtykke til analyse
Noen kunder ønsker å få tilpassede rabatter fordi de oppleves som mer relevante og nyttige.
På en annen side finnes det kunder som synes at analyse er ubehagelig. Handlemønstre kan avsløre uventede forhold. Hvilke matvarer vi legger i handlevogna kan for eksempel si noe om økonomien eller kostholdet vårt. Kosthold er igjen nært knyttet til helsa vår (og i noen tilfeller religion).
For å legge til rette for den enkelte medlems valg og kontroll over egne opplysninger, må kundeklubben be om medlemmets samtykke hvis man ønsker å analysere opplysningene.
Man skal unngå å foreta analyser som avdekker sensitive personopplysninger.
Det er strenge krav til hvordan samtykke innhentes. Et samtykke skal være frivillig, så det må være mulig å si nei til analyse uten å bli utestengt fra tjenesten.
Videre må virksomheten gi kortfattet og forståelig informasjon om hva samtykke innebærer. Man kan kun samtykke til ett spesifikt formål av gangen. Samtykke må avgis ved en aktiv handling (i motsetning til å passivt fullføre en registreringsprosess), og samtykkeforespørselen skal være adskilt fra annen informasjon og vilkår. Husk at samtykke må dokumenteres.
Selvbestemmelsesrett
Det er hvert enkelt medlem av kundeklubben som bestemmer over opplysningene som er gitt, og det skal være like lett å trekke tilbake samtykke som det var å gi det.
Lagringstid og tilgangsstyring
Personopplysningene skal ikke lagres lenger enn det som er nødvendig for formålet, for eksempel å gi rabatter. Det betyr at virksomheten må fastsette rimelige sletteregler. Det mest personvernvennlige alternativet skal være standard, så kan heller de kundene som ønsker lenger lagring, be om det.
Noen ganger har kundeklubbene plikt til å lagre enkelte opplysninger i fem år etter bokføringsloven. Det er legitimt, men personopplysninger som lagres for bokføringsformål, skal lagres separat og ikke brukes til andre ting. Virksomheten må ha på plass tilgangsstyring slik at kun de som jobber med bokføring og liknende har tilgang til disse opplysningene.
https://www.datatilsynet.no/rettigheter-og-plikter/personvernprinsippene/
Nyhetsbrev, epostlister og SMS
https://www.datatilsynet.no/personvern-pa-ulike-omrader/kundehandtering-handel-og-medlemskap/nyhetsbrev-epostlister-og-sms/
Hvordan er reglene for utsending av nyhetsbrev? Må man ha samtykke? Og hvilke regler gjelder?
Når en virksomhet skal behandle personopplysninger, må den ha et behandlingsgrunnlag. Både e-postadresse og mobilnummer regnes normalt som personopplysninger.
Noen ganger har andre lover tilleggskrav, for eksempel kan en viss handling kreve forutgående samtykke. Markedsføringsloven sier for eksempel at man som hovedregel må ha samtykke for å sende markedsføring på e-post eller SMS. Terskelen for hva som regnes som for markedsføring er lav, og mange nyhetsbrev vil derfor falle inn i denne kategorien.
Dersom din virksomhet skal sende ut markedsføring på e-post, må du altså forholde deg til to ulike lovverk:
Du må ha behandlingsgrunnlag etter personopplysningsloven for å bruke e-postadresser og mobilnumre.
Du må i utgangspunktet ha samtykke etter markedsføringsloven for å kontakte noen med markedsføring per e-post eller SMS.
Her utdyper vi hva reglene går ut på og hvilke unntak som gjelder.
Markedsføringslovens krav til samtykke
Markedsføringsloven sier at man må ha samtykke for å sende ut nyhetsbrev når disse fire vilkårene er oppfylt:
Nyhetsbrevet sendes ut som del av næringsvirksomhet og inneholder markedsføring, altså ved at man ønsker å påvirke til kjøp av en vare eller tjeneste.
Nyhetsbrevet sendes ved elektroniske kommunikasjonsmetoder som tillater individuell kommunikasjon, for eksempel e-post eller SMS.
Nyhetsbrevet sendes til en bestemt person, enten en privatperson eller en arbeidstaker i en virksomhet (for eksempel navn@virksomhet.no).
Det foreligger ikke et eksisterende kundeforhold der dere har mottatt den enkeltes e-postadresse i forbindelse med salg.
Dette vil si at virksomheten ikke trenger samtykke etter markedsføringsloven dersom nyhetsbrevet ikke inneholder markedsføring. Det trengs heller ikke samtykke dersom nyhetsbrevet inneholder markedsføring, men det foreligger et eksisterende kundeforhold i forbindelse med salg.
Dersom dere har spørsmål til markedsføringsloven, er Forbrukertilsynet riktig instans. De har laget en veileder der dere kan lese mer om hva som menes med for eksempel markedsføring og eksisterende kundeforhold.
Kravene til et gyldig samtykke etter markedsføringsloven tilsvarer kravene til et gyldig samtykke etter personvernforordningen. Derfor kan det være lett å forveksle disse to samtykkene, selv om de egentlig handler om ulike ting (samtykke til å kontakte noen med markedsføring og samtykke til behandling av personopplysninger).
Personopplysningslovens krav til behandlingsgrunnlag
En virksomhet må alltid ha et behandlingsgrunnlag for å behandle personopplysninger slik som navn, telefonnummer og e-postadresse. Det finnes flere mulige behandlingsgrunnlag, som samtykke, nødvendig for avtale eller interesseavveiing.
Les mer om de ulike behandlingsgrunnlagene
Dersom markedsføringsloven krever samtykke, kan samtykket også fungere som behandlingsgrunnlag. Det vil si at ett og samme samtykke kan oppfylle kravene etter begge lovene. Grunnen til at dette er mulig akkurat her, er at det man ber om samtykke til – å sende markedsføring og å behandle e-postadresse eller telefonnummer med det formål å sende markedsføring – henger så nært sammen at kravene til gyldig samtykke overholdes.
Eksempel
En virksomhet ber om samtykke til å sende ut nyhetsbrev. Det er frivillig å samtykke, virksomheten gir god informasjon og samtykkene kan dokumenteres. Under registreringsfeltet skriver virksomheten følgende:
«Ved å skrive inn e-postadressen din ovenfor og klikke på «Send meg nyhetsbrev» samtykker du til at vi sender deg informasjon om nye produkter og tilbud og at vi bruker e-postadressen din til å gjøre dette.»
Dersom den enkelte klikker på samtykkeknappen, har virksomheten innhentet samtykke etter markedsføringsloven og samtidig sikret behandlingsgrunnlag for å bruke e-postadressen til å sende nyhetsbrev og markedsføring.
Også andre behandlingsgrunnlag kan være relevante, for eksempel interesseavveiing. Husk at virksomheter må kunne dokumentere interesseavveiingene sine.
Dersom markedsføringsloven ikke krever samtykke, finnes det flere aktuelle behandlingsgrunnlag.
Eksempel
En virksomhet sender ut nyhetsbrev med markedsføring, men det foreligger et eksisterende kundeforhold som gjør at man ikke trenger samtykke etter markedsføringsloven. Virksomheten kommer frem til at behandlingsgrunnlaget for å bruke kundens e-post til å sende markedsføring er interesseavveiing.
En organisasjon sender ut nyhetsbrev om norsk politikk, og nyhetsbrevet inneholder ikke markedsføring. Organisasjonen sender kun nyhetsbrev til de som uttrykkelig har bedt om denne spesifikke tjenesten, og e-postadressene til mottakerne er nødvendig for å levere den etterspurte tjenesten. Virksomheten kommer frem til at behandlingsgrunnlaget er nødvendig for avtale.
Husk at dersom virksomheten også sporer om mottakeren har åpnet nyhetsbrevet, hva han klikker på, hvilke sider han besøker og liknende, er dette separate behandlinger av personopplysninger som krever eget behandlingsgrunnlag i tillegg.
Virksomhetenes plikter
Fastsette formål
Før ein kan sette i gang med å behandle personopplysningar, må det definerast eit eller fleire klart formulerte formål.
Ei verksemd kan aldri samle eller lagre personopplysningar utan eit formål. Dette vert slått fast i eit av personvernprinsippa i personvernforordninga. Personopplysningar skal berre nyttast for spesifikke, uttrykkelege, angitte og legitime formål.
Det at opplysningane kan vise seg å komme til nytte ein dag, er ikkje eit godt nok formål. Verksemda må ha eit reelt formål med opplysningane, og det må vere klart uttrykt og bestemt på førehand. Dette inneber at dersom verksemda ønskjer å bruke personopplysningar, må ho starte med å formulere formålet skriftleg først.
Når ein skal formulere formålet, er det viktig å vere konkret og open. Vide eller vage formuleringar er ikkje tillatne. Verksemda har plikt til å gje den einskilde informasjon om formålet med behandlinga av personopplysningar på ein forståeleg måte.
Døme
- Ei foreining skriv at ho bruker personopplysningane til medlemane for administrasjon.
Dette er for vagt. Foreininga kan til dømes i staden seie at formålet med personopplysningane er å fakturere medlemsavgifta, invitere medlemane til foreiningsmøte og dokumentere at verksemda ikkje juksar med medlemstala.
- Ein nettstad oppgjev at personopplysningane til brukarane kan brukast for å tilby relevant kommunikasjon og ei god brukaroppleving.
Dette er ikkje i tråd med lova fordi det ikkje er klart nok kva nettstaden vil nytte personopplysningane til. I staden kan man til dømes seie at nettstaden analyserer kva brukaren klikkar på for å gje tilpassa marknadsføring og avdekkje kva for funksjonar som er mest brukte, dersom det er tilfellet.
Ein bør unngå å seie at opplysningar «kan» brukast til eit eller fleire formål. I staden bør verksemda seie når opplysningane faktisk vil bli brukte til dei oppgjevne formåla.
Formålet må sjølvsagt halde seg innanfor kva som er lovleg. Det inneber mellom anna at handsaminga må ha eit rettsleg grunnlag.
Bordet fangar
Det definerte formålet avgjer kva verksemda kan bruke opplysningane til seinare. Lova forbyr å bruke personopplysningar på måtar som ikkje er i samsvar med det opphavlege formålet.
Spørsmålet er derfor kva som er «i samsvar» med det opphavlege formålet. Her skal verksemda leggje vekt på
- alle samband mellom formålet opplysningane vart samla inn for, og formålet for den tiltenkte behandlinga
- i kva for samanheng opplysningane vart samla inn og forholdet mellom verksemda og den einskilde
- arten av personopplysningane og kor sensitive dei er
- dei moglege konsekvensane for den einskilde ved den vidare behandlinga av opplysningane
- om det ligg føre tiltak for personvernet
Verksemda må òg sjå på kva rimelige forventingar den einskilde har om korleis opplysningane deira vil bli behandla.
Forbodet mot behandling som ikkje er i samsvar med det opphavlege formålet, gjeld ikkje behandling av personopplysningar for
- arkivformål i offentleg interesse
- vitskapelege og historiske forskingsformål
- statistikkformål
Det må ligge føre passande personverngarantiar for desse typane behandling, i tråd med personvernforordninga artikkel 89.
Formålet avgjer lagringstida
Personopplysningalova seier at personopplysningar ikkje kan lagrast lenger enn det som er naudsynt for formålet. I praksis betyr dette at verksemda må fastsetje sletterutinar som sikrar at opplysningane blir sletta når det ikkje lenger er naudsynleg å ta vare på dei.
Virksomhetenes plikter
Plikt til å fastsette formål - artikkel 5
EDPBs veiledning om personvern for små bedrifter
▼
EDPBs veiledning om personvern for små bedrifter | European Data Protection Board (europa.eu)
Hvilke rettigheter har enkeltpersoner i henhold til GDPR?
▲
Respektere enkeltpersoners rettigheter | European Data Protection Board (europa.eu)
Dataportabilitet
Gjennom retten til dataportabilitet har forbrukere rett til å få utlevert opplysninger om seg selv som de selv har gitt til tjenesten din. Retten til dataportabilitet skal gjøre det enklere for forbrukeren å bytte eller bruke flere tjenesteleverandører samtidig, og dermed forhindre at forbrukere låses til en tjeneste eller tilbyder.
Retten til dataportabilitet gjelder kun opplysninger du har behandlet på bakgrunn av samtykke eller at de var «nødvendig for å gjennomføre en avtale». Videre må det være snakk om data som forbrukeren aktivt har gitt til tjenesten, eller rådata om observert aktivitet, slik som logger og historikk. Retten gjelder ikke bearbeidede data, slik som dine egne analyser og profiler.
Husk:
- Informer om retten til dataportabilitet på en kortfattet, lett forståelig og lett tilgjengelig måte.
- Legg til rette for at forbrukeren kan bruke retten til dataportabilitet på en enkel måte.
- For eksempel bør det legges til rette for at slike henvendelser kan gjøres
elektronisk. - Hvis vilkårene om dataportabilitet er oppfylt, må du utlevere opplysningene så raskt som mulig, og normalt senest innen én måned. Dersom vilkårene ikke er oppfylt, må du si fra om dette innen den samme tidsfristen.
- Utlever opplysningene i et strukturert, alminnelig anvendt og maskinlesbart format, slik at disse kan overføres til en annen tjenesteleverandør.
- Gi begrunnelse dersom du gir avslag på anmodning om dataportabilitet, og gi samtidig informasjon om retten til å klage avslaget inn for Datatilsynet.
- Ikke ta gebyr for å imøtekomme kravet om dataportabilitet.
- Ikke oversend opplysningene ukryptert, for eksempel via en ukryptert e-post.
Retten til dataportabilitet følger av personvernforordningen artikkel 20, jf. pol. § 1.
Reglene om hvordan rettigheter skal imøtekommes, herunder regler om tidsfrister og betaling, følger av artikkel 12.
Plikten til informasjonssikkerhet følger av artikkel 5 nr. 1 bokstav f og artikkel 32.
Rett til dataportabilitet
https://www.datatilsynet.no/rettigheter-og-plikter/den-registrertes-rettigheter/rett-til-dataportabilitet/
Retten til dataportabilitet er en rettighet som skal styrke kontrollen din over egne personopplysninger. Dette gjør at kan du få utlevert personopplysninger om deg selv og gjenbruke dem som du vil på tvers av ulike systemer og tjenester.
Retten til dataportabilitet innebærer:
Med retten til dataportabilitet kan du få utlevert personopplysninger om deg og gjenbruke disse som du vil på tvers av ulike systemer og tjenester.
Dataportabilitet skal gjøre det lettere å bytte tjenesteleverandør. Du skal enkelt kunne ta med deg opplysningene dine til den leverandøren som tilbyr de beste vilkårene.
Opplysningene skal utleveres i et maskinlesbart og vanlig brukt filformat. Du kan kreve at personopplysningene dine overføres direkte til den nye tjenesteleverandøren når dette er teknisk mulig.
Med retten til dataportabilitet kan du flytte persondata fra en tjenesteleverandør til en annen på en trygg og sikker måte.
Din rett til dataportabilitet gjelder kun hvis opplysningene du ønsker utlevert er samlet inn på bakgrunn av samtykke eller kontrakt.
Rettigheten gjelder kun opplysninger som du selv har gitt til virksomheten. Dette gjelder for eksempel opplysninger som du bevist og aktivt har gitt fra deg, for eksempel i forbindelse med opprettelse av en brukerkonto. Det gjelder også opplysninger som er samlet inn fra deg gjennom aktiv bruk av en tjeneste, for eksempel data om dine løpeturer (puls, tid, lokasjon) samlet inn fra deg når du bruker en treningsapp.
Personopplysninger som tjenesteleverandøren ikke har samlet inn direkte fra deg, er ikke omfattet av denne retten. Dette gjelder blant annet opplysninger som tjenesteleverandøren har utledet basert på din aktive bruk av tjenesten. Dette er ikke opplysninger som er avgitt direkte av deg, men som virksomheten selv har opprettet basert på analyse av din bruk av tjenesten.
Du har krav på å få dataene utlevert så raskt som mulig, og senest innen en måned.
Opplysningene skal sendes til deg kryptert. Du bør sende opplysningene videre på samme måte som du fikk dem.
Virksomheten må kunne fastslå din identitet før de utleverer opplysningene dine til deg.
Virksomheter har ikke lov til å ta gebyr for å imøtekomme kravet om dataportabilitet
