Ulovlig deling av personopplysninger gjennom sporingspiksler hos seks nettsteder

Vi har gjennomført tilsyn med seks nettsteders bruk av sporingspiksler. Alle delte besøkendes personopplysninger med tredjeparter ulovlig, og i flere av sakene var det snakk om beskyttelsesverdige opplysninger. I en av sakene ila vi et overtredelsesgebyr på 250 000 kroner.

Illustrasjon av mennesker som jobber rundt et stort forstørrelsesglass

- Alle nettstedene tilgjengeliggjorde personopplysninger om de besøkende med tredjeparter uten rettslig grunnlag. Vi fant også brudd på informasjonsplikten, sier seksjonssjef Tobias Judin.

Sporingspiksler er en teknologi som automatisk sender informasjon om de som besøker et nettsted eller en app videre til en tredjepart. Dette kan være informasjon om hvilke nettsider personene er inne på, hvilke handlinger de foretar seg eller hva de legger i handlekurven.

- Alle skal kunne bruke nettet og finne informasjon, uten å være redde for at private opplysninger havner på avveie. Jeg er derfor glad for at Datatilsynet fører tilsyn med bruk av sporingsverktøy og hvilken informasjon som deles med de store teknologiselskapene, sier digitaliserings- og forvaltningsminister Karianne Tung.

Datatilsynet gjennomførte tilsyn med seks nettsteder som bruker sporingspiksler:

116111.no – en offentlig tjeneste for barn som er i en sårbar posisjon, for eksempel som har blitt utsatt for vold eller overgrep, og som trenger å snakke med en trygg voksen. Tjenesten drives av Kristiansand kommune.
apotekfordeg.no – et nettapotek.
bibel.no – et kristent nettsted som publiserer bibeltekster, selger bibler og tar imot donasjoner til Det norske bibelselskap.
drdropin.no – et nettsted som tilbyr legetjenester.
ifengsel.no – en samtaletjeneste fra Kirkens Bymisjon for barn som har en forelder i fengsel.
nhi.no – et nettsted som tilbyr informasjon om ulike sykdommer, tilstander og diagnoser.

- Visste ikke at de delte opplysninger med tredjeparter

En persons surfehistorikk, alene eller ved hjelp av sammenstilling av data fra ulike kilder, gjør det ofte mulig å utlede private eller sensitive personopplysninger. I tilsynene så vi eksempler på at nettsteder delte opplysninger som indirekte kunne si noe om de besøkendes helse, sexliv og religion. Vi så også at flere nettsteder delte personopplysninger om barn i sårbare situasjoner.

- Funnene er alvorlige. Samtidig ser vi at mange av nettstedene ikke er klar over hvordan teknologien fungerer eller ikke mente å dele denne typen opplysninger. For oss er det derfor viktig å skape større bevissthet om risikoene ved sporingspiksler, sier Judin.

Overtredelsesgebyr til nettsted for barn

I saken om nettstedet 116111.no har vi valgt å ilegge et overtredelsesgebyr på 250 000 kroner. Grunnen til dette er at det er lagt vekt på at det er et offentlig nettsted som behandler barns personopplysninger ulovlig. Sporingspiksler har automatisk sendt informasjon om de som besøker nettstedet videre til en tredjepart, uten at regelverkets krav til rettslig grunnlag eller informasjon til brukerne var oppfylt. Gebyret er imidlertid lavere enn det som ble varslet, siden Kristiansand kommune har samarbeidet godt og effektivt, og iverksatt en rekke tiltak for å rydde opp og hindre liknende brudd i fremtiden.

Formålet med tilsynene er først og fremst å øke bevisstgjøringen i bruk av sporingspiksler på nettsider, og vi ser at det er et stort behov for veiledning. I denne omgangen var derfor reaksjonene stort sett milde og Datatilsynet ila kun irettesettelser til de øvrige nettstedene. Dette er første gang Datatilsynet foretar denne typen tilsyn, og hovedformålet med tilsynene er økt bevisstgjøring. I fremtiden kan reaksjonene være mye strengere.

Tilsynssakene avdekket en rekke praksiser som ikke er i tråd med personvernreglene:

Besøkende fikk uriktig informasjon om at de var anonyme når de ikke var det.
Særlige kategorier personopplysninger om besøkende ble ulovlig tilgjengeliggjort for tredjeparter.
Personopplysninger om barn ble ulovlig tilgjengeliggjort for tredjeparter.
Besøkende ble «dultet» til å samtykke.
Besøkende fikk informasjon som var villedende, vanskelig å forstå eller som ikke forklarte konsekvensene av å gi samtykke.

Veiledning om sporingsverktøy på nettsteder

Vi har laget veiledning basert på erfaringene fra tilsynene. I veiledningen kan du lese mer om funnene vi gjorde, hvilke krav loven stiller til bruk av sporingsverktøy, og hva vi forventer av nettsteder fremover.

- Det er mange nettsteder der ute som har en ryddejobb å gjøre. Vi håper veiledningen vår kan bidra til større varsomhet i implementering av sporingspiksler og at færre trår feil i fremtiden, sier kommunikasjonsdirektør Janne Stang Dahl.