Verksember bruker ofte standard avtalevilkår når forbrukaren skal inngå avtaleforhold. For å få bankkonto, ulike fordelskort, forsikring, mobilabonnement og lignande, krevs det at du inngår ein standardavtale med verksemda som tilbyr deg tenesta. Det er blitt vanleg at eit såkalla ”personopplysningsvilkår” blir tekne inn i avtalevilkåra.
I personopplysningsvilkåret blir det informert om kven av personopplysningane dine som skal brukast til kva – og at du ved inngåing av kontrakten samtykkjer til denne bruken. På denne måten sikrer verksemda seg om mogeleg framtidig bruk av opplysningane, særleg i relasjon til marknadsføringsaktivitetar.
Dette kjem til uttrykk ved at forbrukaren gjennom avtaleinngåinga samtidig må godta at hans/hennar innsamla personopplysningar blir nytta til marknadsføringsformål, medrekna at dei kan bli utlevert til eksterne samarbeidspartnerar. For å motta ei teneste som forbrukaren treng, må vedkomande faktisk samtidig vere nøydde til å akseptere bruk av eigne personopplysningar til marknadsføringsformål.
Etter marknadsføringslova si § 9 a, vil dette i mange tilfelle kunne bli rekna som eit urimeleg avtalevilkår. Men også frå ein personvernrettsleg ståstad er denne praksisen problematisk.
Problem i forhold til personopplysningslova
Slike standard personopplysningsvilkår skaper etter Datatilsynets oppfatning fleire problem:
- Det er vanskeleg å vurdere om grunnvilkåra i personopplysningslova § 11 er oppfylt. Når behandling av personopplysningar til fleire forskjellige formål blir regulerte i same kontrakt, blir det vanskeleg å kontrollere om dei aktuelle opplysningane er relevante og nødvendige for det eine, men ikkje det andre formålet, om alle formåla har eit behandlingsgrunnlag osv. Har ein eigentleg gitt eit gyldig samtykke til å bruke eigne personopplysningar til marknadsføringsformål når det er noko ein må godta dersom ein ønskjer å inngå for eksempel ein kjøpekortavtale?
- Behandling av personopplysningar i tilknyting til hovudformålet med inngåinga av avtalen, vil som hovudregel kunne heimlast i behandlingsgrunnlaget ”avtale” i personopplysningslova § 8 bokstav a. Som dei andre alternative behandlingsgrunnlaga nemnde i bokstavane i § 8, er det eit krav om at behandlinga av personopplysningar skal vere nødvendig. Nødvendighetskriteriet er her knytt til oppfyllinga av avtalen og utføringa av gjeremål i samsvar med den blir ønske registrerte. Ved å samle fleire ulike formål i eit og same personopplysningsvilkår, vil nødvendighetskriteriet vanskeleg kunne seiast å vere oppfylt for alle formåla. Det vil ikkje vere nødvendig å behandle personopplysningane til marknadsføring for å få gjennomført ein kortavtale.
Behandling av opplysningane til formålet marknadsføring, krev altså ofte samtykke. Det kan vanskeleg seiast at ein gjennom avtaleinngåinga har innhenta eit gyldig samtykke til bruk av personopplysningar også ved marknadsføring – sjølv om bruken går tydeleg fram av avtalevilkåra – då ein ikkje har ei reell valmoglegheit dersom ein ønskjer den tenesta dei standard avtalevilkåra er knytta til. Den registrerte vil i slike tilfelle ikkje ha teke eit eksplisitt val i forhold til at personopplysningane til vedkomande også skal brukast til andre formål enn dei formåla som er direkte knytte til tenesta den registrerte ønskjer.
Spesielle vilkår separat frå standardavtalen
Datatilsynet krev at bruk av personopplysningane til andre formål enn det som er nødvendig for å gjennomføre sjølve avtaleforholdet, blir behandla separat frå standardavtalen. Med separat meiner Datatilsynet at desse formåla blir tekne ut av avtalen, slik at ein må samtykkje til desse som enkeltståande behandlingar, eventuelt at avtaleteksten inneheld ein avkrysningsboks for denne typen formål (”ja, eg samtykkjer til at….").
Separat behandling av personvernvilkåra skal sikre at:
- verksemda har eit behandlingsgrunnlag (ofte vil det vere krav om samtykkje) til bruk av personopplysningar til alle dei ulike behandlingane (kan ofte skiljast ved at dei har ulike formål) som beskrivast i ein standardavtale
- forbrukaren tek medvitne val i forhold til å tillatne at eins personopplysningar også blir brukte til andre formål enn det som er intensjonen med avtaleinngåinga det blir enklare for den registrerte å vurdere kvarvidt dei opplysningane som blir samla inn er relevante og nødvendige i forhold til alle dei behandlingane dei behandlingsansvarlege ønska å gjennomføre.