Modtager
Datatilsynet
Ved brev af l. juni 2021 har Datatilsynet anmodet Advokatsamfundet om input til en vejledning, som Datatilsynet vil udarbejde om behandling af personoplysninger i forbindelse med markedsføring.
1. Generelle bemærkninger
Advokatsamfundet finder det positivt, at Datatilsynet vælger at udarbejde en vejledning om behandling af personoplysninger i forbindelse med markedsføring, så der skabes klarhed for dataansvarlige og datasubjekter.
Siden databeskyttelsesforordningen trådte i kraft har især samspillet mellem databeskyttelsesforordningen, markedsføringsloven, forbrugeraftaleloven og cookiebekendtgørelsen været utilstrækkelig belyst. Det er derfor ønskeligt, at den kommende vejledning indeholder anbefalinger til, hvordan dataansvarlige efterlever relevante databeskyttelsesregler, når forskellige myndigheder håndhæver og vejleder i forhold til behandling af personoplysninger i forbindelse med markedsføring.
Herudover opfordres Datatilsynet til i højere grad at præcisere hjemmelsgrundlaget for anbefalinger, enten via reference til EU-retten, dansk lovgivning eller retspraksis.
2. Specifikke bemærkninger
Advokatsamfundet skal foreslå, at nedenstående medtages i den kommende vejledning.
2.1 Direkte markedsføring
Med implementeringen af ePrivacy direktivets (1) artikel 13 vedrørende uanmodet henvendelser i markedsføringslovens § 10 foreslås det afklaret:
- Hvordan direkte markedsføring juridisk defineres i en persondataretlig kontekst, dvs. betingelserne for hvornår der er tale direkte markedsføring ved anvendelse af personoplysninger. Formålet hermed er klarere at kunne skelne mellem det markedsføringsretlige henholdsvis persondataretlige indhold af ePrivacydirektivets artikel 13.
(1) Europa-Parlamentets og Rådets direktiv 2002/58EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation)
2.2 samtykke til flere partnere (koncerner, leads m.v.)
Under hensyn til samtykkekravene i databeskyttelsesforordningens artikel 7, jf. artikel 4 (11), foreslås det afklaret:
- Hvorvidt indsamling af samtykke til direkte markedsføring inden for en koncern kan indeholdes i et samlet samtykke, og hvor overførsel til koncernselskaber enten anses for indeholdt i formålet med det afgivne samtykke eller kan følge af den dataansvarliges legitime interesse jf. databeskyttelsesforordningens artikel 6, stk. l, litra f;
- Hvorvidt indsamling af samtykke til direkte markedsføring til brug for lead generering - det vil sige, hvor der indsamles oplysninger for andre uden for en koncern - kan indeholdes i et samlet samtykke, og hvor overførsel til koncernselskaber enten anses for indeholdt i formålet med det afgivne samtykke eller kan følge af den dataansvarliges legitime interesse jf. databeskyttelsesforordningens artikel 6, stk. l, litra f).
2.3 Uanmodede telefoniske henvendelser
I forhold til kravet om indhentelse af forudgående anmodning fra en forbruger ved telefoniske henvendelser med henblik på afsætning, jf. forbrugerañalelovens § 4, stk. l, foreslås det afklaret:
- Hvorvidt behandling af personoplysninger ved indhentelse af anmodninger med henblik på afsætning, fx ”ja, tak, jeg vil gerne kontaktes vedr. xxx vare”, foretages med hjemmel i databeskyttelsesforordningens artikel 6, stk. l, litra b) på baggrund af gennemførelse af foranstaltninger, der træffes på den registreredes amnodning forud for indgåelse af en kontrakt. Telefoniske henvendelser ses ikke omfattet af ePrivacydirektivets artikel 13 eller markedsføringslovens § 10.
2.4 Anden markedsføring og profilering
I forhold til markedsføring defineret som værende en legitim interesse, jf. databeskyttelsesforordningens artikel 6, stk. l, litra f), og markedsføringsteknologi ofte indebærende profilering, jf. databeskyttelsesforordningens artikel 22, foreslås det afklaret:
- Hvorvidt behandling af personoplysninger i forhold til push-beskeder indeholdende markedsføring på mobile enheder kan foretages med hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra f),
- Hvorvidt behandling af personoplysninger i forhold til tracking teknologi på tværs af hjemmesider, efter der er afgivet samtykke til placering af markedsførings og/eller analyse cookies, kan foretages med hjemmel i databeskyttelsesforordningens artikel 6, stk. l, litra f);
- Hvorvidt anvendelse af personoplysninger til profilering, i feks. kundeklubber, hvor kunden modtager særlige tilbud på baggrund af købshistorik og anden adfærd, udgør en individuel afgørelse jf. databeskyttelsesforordningens artikel 22, stk. l, der forudsætter et udtrykkeligt samtykke.
2.5 Personoplysninger som de facto modydelse ved ydelser/rabatter m.v.
I nyere forretningsmodeller anvendes ”betalingsmure” med krav om adfærdsmonitorering og samtykke til markedsføring, det vil sige, hvor datasubjektet de facto udveksler personoplysninger med henblik på at opnå adgang til en ”gratis” ydelse/rabat m.v.
På denne baggrund, foreslås det afklaret:
- Hvorvidt og i bekræftende fald hvornår et samtykke kan anses for værende frivilligt afgivet, jf. databeskyttelsesforordningens artikel 7, jf. databeskyttelsesforordningens artikel 4 (l 1) i forhold til adgang til feks. hjemmesideindhold, rabatter i kundeklubber og særtilbud m.v.
2.6 Samarbejdspartnere og fælles dataansvarlige
Vi foreslår, at Vejledningen inkluderer et afsnit der afdækker tjenesteudbyderes interaktioner med aktørerne i moderne digitale markedsføringskonstruktioner, herunder håndteringen af fælles dataansvar ved personoplysninger indeholdende cookies, cross-site tracking, profilering m.v., samt betingelserne for anvendelsen af adtech platforme og oplysning om disses samarbejdspartnere.
2.7 Digitale markedsføringsteknologier
Vi foreslår, at vejledningen inkluderer et afsnit vedrørende brugen af markedsføringsteknogi er såsom real time bidding og cookie matching teknologiunderstøttende markedsføringstjenester(2), bLa.med fokus på hvilke behandlingsgrundlag de vil være fornødne til brug for behandlingerne involveret i en sådan ordning, samt transparens krav, jf. databeskyttelsesforordningens artikel 13. På denne baggrund ønskes der endvidere afklaret:
- Hvorvidt brugen af teknologi såsom real time bidding og cookie matching teknologier til målrettet og personaliseret annonceplacering, baseret på bestemte kundeprofiler, anses for direkte markedsføring efter ePrivacy direktivets artikel 13, som implementeret i markedsføringslovens § 10;
- Hvorvidt brugen af tracking teknologi, hvor fysiske enheder indgår (loT) - det vil sige, hvor datasubjektets personoplysninger indsamles fra fysiske enheder med henblik på profilering 0g markedsføring - følger af den dataansvarliges legitime interesse jf. databeskyttelsesforordningens artikel 6, stk. 1. litra f), eller forudsætter et samtykke jf. databeskyttelsesforordningens artikel 6, stk. l, litra a).
(2) Eksempel på en implementering fra Google Authorized Buyers - https://developersgoogle.com/authorizedbuyers/rtb/cookie-guide#cookie-matching-workñow-example-scenarios
2.8 Betydningen af tilbagekaldelse af samtykke til at indgå i reklamemateriale.
Hvis man eksempelvis som medarbejder, kunde eller andet har givet samtykke til at indgå i markedsføringsmateriale for Virksomheden, hvorefter arbejdsgivervirksomheden trykker 10.000 oplag af en fysisk brochure, som skal uddeles på messer mv. det kommende år, og samtykket fra den registrerede tilbagekaldes efter, at brochurerne er trygt (og betalt), men inden at brochurerne er bragt i anvendelse. Kan de anvendes, eller skal de destrueres? Og har det nogen betydning for retten til at tilbagekalde et samtykke i forhold til databeskyttelsesforordningen, hvis medarbejderen eller kunden i en eller anden form har indgået en kontraktretlig forpligtelse til at indgå i materialet og evt. også modtaget en form for modydelse.
Vi forslår på den baggrund, at vejledningen inkluderer tilbagekaldelse af samtykke til at indgå i reklamemateriale.
2.9 Brugen af retargeting/remarketing
Hvis en virksomhed eksempelvis ønsker at gemme kunders oplysninger om køb og besøg på hjemmeside med henblik på at sende relevant markedsføring' via e-mail (hvor kunden har samtykket til at modtage elektronisk post) og/eller igennem et samarbejde med andre virksomheder at sikre, at kunden får vist markedsføring fra virksomheden ved besøg på andre hjemmesider. Kan man som (privat) virksomhed anvende hjemlen i databeskyttelsesforordningens artikel 6, stk. l, litra f), til retargeting/remarketing,
Vi forslår, at vejledningen også inkluderer brugen af retargeting.
2.10 Tracking af adfærd i fysisk butik
Hvis en besøgende i en butik er udsat for, at vedkommendes besøg i og adfærd i butikken logges, eksempelvis ved brug af Bluetooth, med henblik på, at vedkommende kan modtage relevant markedsføring på sin enhed mobile enhed, er der da tale om profilering i databeskyttelsesforordningens forstand? Den information, der logges, vil typisk være, at man har befundet sig i butikken, hvilke varer man har været i nærheden af, og hvad man har købt.
Vi forslår også, at vejledningen behandler tracking af adfærd i fysisk butik til brug for markedsføring.
2.11 Datatilsynet, Forbrugerombudsmandens 0g Erhvervsstyrelsen rolle i forbindelse med ePrivacy- direktivets (2002/58 EF) implementering i dansk ret
Vi foreslår, at vejledningen inkluderer en afklaring af samspillet mellem Datatilsynet og Forbrugerombudsmandens rolle ved reguleringen og håndhævelse af direkte markedsføring, jf markedsføringslovens § 10, herunder bl.a. ved fastlæggelsen af samtykkekrav og anvendelsesområde samt en afklaring af samspillet mellem Datatilsynet og Erhvervsstyrelsen ved reguleringen af cookies, herunder bl.a. fastlæggelsen af behandlingsgrundlag for personoplysningsindeholdende cookies og muligheden for altemative behandlingsgrundlag til samtykke.
Hvis ovenstående giver anledning til spørgsmål, så står Advokatsamfundet selvfølgelig til rådighed herfor.
Med venlig hilsen
Andrew Hjuler Crichton
Generalsekretær