Kritik af DR for brud på dataminimering ved indsamling af brugernavne i forbindelse med obligatorisk login på DRTV

DR indførte i efteråret 2024 et krav om obligatorisk login for at se streamingindhold på DRTV, hvilket førte til klager fra borgere og en efterfølgende undersøgelse fra Datatilsynet. Undersøgelsen fokuserede på, om DR's behandling af personoplysninger i den forbindelse var i overensstemmelse med databeskyttelsesreglerne, særligt med hensyn til behandlingsgrundlag og dataminimering.

DR's begrundelse for obligatorisk login

DR argumenterede for, at kravet om login var nødvendigt for at opfylde public service-forpligtelsen, som den er fastsat i lovgivningen og public service-kontrakten. DR fremhævede, at en moderne streamingtjeneste skal levere en sammenhængende og individuel brugeroplevelse, der matcher brugernes forventninger, og at login var teknisk nødvendigt for at tilbyde funktioner som 'se videre' på tværs af enheder. DR baserede behandlingen af personoplysninger (e-mail, kodeord, unikt ID, IP-adresse og sete programmer) på Databeskyttelsesforordningen artikel 6, stk. 1, litra e om behandling, der er nødvendig af hensyn til udførelse af en opgave i samfundets interesse.

Tvist om dataminimering ved navneindsamling

Datatilsynet undersøgte også, om login-processen overholdt princippet om dataminimering, jf. Databeskyttelsesforordningen artikel 5, stk. 1, litra c. DR havde indtil september 2025 bedt brugerne om at oplyse deres navn via formuleringen:

"Fortæl os dit navn"

DR erkendte dog, at det rigtige navn ikke var nødvendigt for formålet, men var valgt for at skabe en brugervenlig oplevelse. Datatilsynet måtte i sin vurdering af behandlingsgrundlaget lægge vægt på, at den nærmere fastlæggelse af DR’s public service-forpligtelse beror på medieretlige vurderinger, som ligger uden for tilsynets kernekompetence. Tilsynet noterede sig desuden, at det ressortansvarlige ministerium syntes at have godtaget DR’s fortolkning af forpligtelsen.

Datatilsynet afsluttede sagen med at udtale kritik af DR for brud på dataminimeringsprincippet, men fandt ikke fuldt tilstrækkeligt grundlag for at kritisere selve behandlingsgrundlaget for det obligatoriske login.

Behandlingsgrundlag for obligatorisk login

Datatilsynet fandt ikke grundlag for at kritisere, at DR gjorde login obligatorisk og indsamlede de nødvendige personoplysninger (e-mail, IP-adresse, sete programmer). Tilsynet lagde vægt på:

• At Lov om radio- og fjernsynsvirksomhed § 12, stk. 1 og public service-kontrakten kan udgøre et supplerende retsgrundlag for behandling efter .