Databeskyttelsesloven § 13

I persondatalovens § 6, stk. 2-4, er der nærmere betingelser for behandling af personoplysninger i forbindelse med markedsføring. I persondatalovens § 12 er der endvidere fastsat markedsføringsregler vedrørende adresserings- og kuverteringsbureauer. Der henvises til afsnit 2.3.9. i de almindelige bemærkninger. Desuden er der i persondatalovens § 36, stk. 2, 1. pkt., fastsat regler om pligtmæssig undersøgelse i CPR af, om de registrerede frabeder sig henvendelser i markedsføringsøjemed forinden videregivelse eller anvendelse af oplysningerne i markedsføringsøjemed. Der henvises til afsnit 2.3.9. i de almindelige bemærkninger.

Det foreslås i § 13 at videreføre bestemmelserne i persondatalovens § 6, stk. 2-4, og § 12. Endvidere foreslås det at videreføre persondatalovens § 36, stk. 2, 1. pkt., tilpasset databeskyttelsesforordningens ændringer af indsigelsesretten i forhold til markedsføring.

I den foreslåede stk. 1 fastsættes hovedreglen om, at virksomheder ikke må videregive oplysninger om forbrugere til andre virksomheder i markedsføringsøjemed (eller anvende oplysningerne på vegne af andre virksomheder i markedsføringsøjemed), medmindre forbrugeren har givet sit udtrykkelige samtykke til det. Om samtykkekravet henvises til databeskyttelsesforordningens artikel 4, nr. 11 og artikel 7. Derudover skal samtykket indhentes i overensstemmelse med reglerne i markedsføringslovens § 10.

I stk. 2 angives de tilfælde, hvor der gøres undtagelse fra kravet om samtykke i stk. 1. Som det fremgår af bestemmelsen, kan kundeoplysninger kun videregives uden kundens samtykke, hvis to betingelser er opfyldt.

For det første skal der være tale om generelle kundeoplysninger, der danner grundlag for inddeling i kundekategorier.

Er denne betingelse opfyldt, skal videregivelsen for det andet følge af den interesseafvejning, som er fastsat i databeskyttelsesforordningens artikel 6, stk. 1, litra f. Efter denne bestemmelse kan videregivelse ske, hvis videregivelse er nødvendig for, at »den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn.« Med dette supplerende krav sikres det, at videregivelse af generelle kundeoplysninger i markedsføringsøjemed ikke kan ske, hvis interesseafvejningen undtagelsesvis måtte tale herimod. Som eksempel herpå kan nævnes den situation, at en virksomhed har orienteret sine kunder om, at den ikke vil videregive oplysninger om kunderne til andre virksomheder til brug for markedsføring. Hvis virksomheden på trods heraf alligevel skulle beslutte sig for at videregive oplysningerne, vil hensynet til kunderne, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra f, efter omstændighederne kunne tale imod, at en sådan videregivelse kan ske uden kundernes forudgående samtykke.

Som eksempler på oplysninger, der herefter vil kunne videregives uden samtykke efter den foreslåede bestemmelse, kan nævnes oplysninger om kundens navn, adresse, køn og alder. Det samme gælder generelle oplysninger om f.eks., at kunden er husejer, bilejer, computerejer og lignende. Tilsvarende gælder f.eks. oplysninger om, at der er tale om en kunde til fritidsartikler, til baby- og småbørnsartikler, til økologiske varer, til vin- og spiritus eller andre generelt afgrænsede varegrupper.

Derimod vil det efter den foreslåede bestemmelse ikke være muligt uden samtykke at videregive oplysninger, som afslører følsomme oplysninger om kunden.

Det vil heller ikke være muligt at videregive mere detaljerede kundeoplysninger eller forbrugsvaner uden kundens samtykke. Der må således f.eks. ikke videregives oplysninger om, hvorvidt kundens bil er købt på kredit og i givet fald oplysninger om vilkårene for kreditten. Der må heller ikke videregives oplysninger om, hvilken mængde vin kunden køber. Det gælder, selv om dette ikke i sig selv afslører, at kunden har et spiritusmisbrug. Der må heller ikke videregives mere detaljerede oplysninger om, hvilken slags vin kunden køber.

Kan videregivelse efter det anførte ske uden kundens samtykke, følger det herudover af databeskyttelsesforordningens artikel 21, stk. 3, at videregivelse ikke må finde sted med henblik på direkte markedsføring, hvis kunden har gjort indsigelse imod det.

I stk. 3 angives det for at undgå enhver tvivl herom udtrykkeligt, at der ikke uden forbrugerens samtykke må videregives følsomme oplysninger om forbrugeren til andre virksomheder til brug ved direkte markedsføring.

I stk. 4 angives det, at en virksomhed – hver gang den ønsker at videregive kundeoplysninger til andre virksomheder til brug ved direkte markedsføring – skal tjekke i CPR, om kunden har frabedt sig henvendelser i markedsføringsøjemed. I bekræftende fald må oplysningerne ikke videregives til dette formål, jf. databeskyttelsesforordningens artikel 21, stk. 3.

For så vidt angår den registrerede kunde eller lignende, der ikke i CPR har frabedt sig henvendelser i markedsføringsøjemed, skal virksomheden endvidere – senest på tidspunktet for den første kommunikation med den registrerede – efter databeskyttelsesforordningens artikel 21, stk. 4, udtrykkeligt gøre den registrerede opmærksom på retten til at gøre indsigelse efter forordningens artikel 21, stk. 2, mod behandling af personoplysninger til direkte markedsføring.

Reglerne gælder også i den situation, hvor oplysningerne anvendes på vegne af en anden virksomhed med henblik på direkte markedsføring.

Bestemmelsen beskriver således den fremgangsmåde, som den dataansvarlige virksomhed skal følge for at sikre sig, at forbrugeren ikke har gjort indsigelse imod, at generelle kundeoplysninger om den pågældende videregives til en anden virksomhed med henblik på direkte markedsføring.

Fremgangsmåden skal også følges i tilfælde, hvor den dataansvarlige virksomhed ikke ønsker at videregive oplysningerne til en anden virksomhed, men derimod selv at anvende oplysningerne på vegne af en anden virksomhed med henblik på direkte markedsføring.

Efter bestemmelsen skal den dataansvarlige virksomhed undersøge i CPR, om forbrugeren har frabedt sig henvendelser i markedsføringsøjemed.

Af bestemmelsen i stk. 5 fremgår, hvilke oplysninger en dataansvarlig, som med henblik på direkte markedsføring sælger adresser over grupper af personer, eller som for tredjemand foretager kuvertering eller udsendelse af meddelelser til sådanne grupper, må behandle. Bestemmelsen omfatter således kun de situationer, hvor bureauet er dataansvarlig for de oplysninger, som sælges eller danner grundlag for kuvertering eller udsendelse for tredjemand. Hvis en dataansvarlig derimod overlader egne oplysninger til et bureau med henblik på, at bureauet foretager kuvertering eller udsendelse, er det de almindelige behandlingsbestemmelser samt bestemmelserne i databeskyttelsesforordningens artikel 21, stk. 2 og 3, om indsigelse imod behandling med henblik på direkte markedsføring, som finder anvendelse. I så fald vil bureauet blot være databehandler og må derfor ikke behandle oplysningerne til andre formål end dem, som den dataansvarlige giver instruks om, jf. databeskyttelsesforordningens artikel 29, sammenholdt med artikel 4, nr. 8.

Af reglen i stk. 5, nr. 1 følger, at der må behandles oplysninger om navn, adresse, stilling, erhverv, e-mailadresse samt telefon- og telefaxnummer. Endvidere må oplysninger, der indgår i erhvervsregistre, som i henhold til lov eller bestemmelser fastsat i henhold til lov er beregnet til at informere offentligheden, behandles, jf. nr. 2. Endelig må andre oplysninger behandles, hvis den registrerede har givet udtrykkeligt samtykke dertil, jf. nr. 3. Et sådant samtykke skal opfylde de betingelser, som fremgår af databeskyttelsesforordningens artikel 4, nr. 11 og artikel 7.

Efter bestemmelsens stk. 6 skal et samtykke endvidere indhentes i overensstemmelse med reglerne i markedsføringslovens § 10.

Det bemærkes, at den registrerede altid vil kunne fremsætte indsigelse mod, at et dataansvarligt adresserings- og kuverteringsbureau behandler oplysninger om den pågældende med henblik på direkte markedsføring, herunder salg, kuvertering eller udsendelse, jf. databeskyttelsesforordningens artikel 21, stk. 2, ligesom adresserings- og kuverteringsbureauet skal følge proceduren i forordningens artikel 21, stk. 3.

I de tilfælde, hvor videregivelse af oplysninger til en anden virksomhed eller anvendelse af oplysninger på vegne af en anden virksomhed med henblik på direkte markedsføring over for den registrerede kan ske uden samtykke efter reglerne i lovforslagets § 13, stk. 1-3, foreslås det, at virksomheden (den dataansvarlige) skal iagttage proceduren i stk. 4, og databeskyttelsesforordningens artikel 21.

Det betyder, at virksomheden ikke må videregive oplysninger om en kunde til andre virksomheder med henblik på direkte markedsføring, hvis kunden har gjort indsigelse herimod.

I stk. 7 angives det for at undgå enhver tvivl herom udtrykkeligt, at behandling af oplysninger omfattet af stk. 5 ikke må omfatte følsomme oplysninger. Dette gælder uanset, om der er givet samtykke dertil.

I stk. 8 angives det, at justitsministeren ved bekendtgørelse vil kunne begrænse adgangen til efter stk. 2 at videregive andre typer af oplysninger til brug ved markedsføring. Baggrunden for bestemmelsen er, at det ikke på forhånd kan udelukkes, at der vil kunne vise sig et behov for, at visse typer oplysninger ikke skal kunne videregives uden forbrugerens udtrykkelige samtykke.

Det angives endvidere i bestemmelsens stk. 9, at justitsministeren ved bekendtgørelse vil kunne begrænse adgangen til efter stk. 5 at behandle andre typer af oplysninger. Baggrunden for bestemmelsen er, at det ikke på forhånd kan udelukkes, at der vil kunne vise sig et behov for, at visse typer oplysninger ikke skal kunne behandles.