Til Datatilsynet

Til startsiden til Datatilsynet

Veileder

Adressemekling

Når krever bruk av adresselister samtykke?

Bruk av personopplysninger til nye formål

Kravet til behandlingsgrunnlag i personopplysningsloven er bare ett av flere grunnkrav til behandlingen av personopplysninger. Det kreves også at personopplysningene som behandles bare skal brukes til «uttrykkelig angitte formål». Det skal være en saklig grunn til at virksomheten trenger å bruke opplysningene. Personopplysningene skal ikke benyttes til formål som er uforenlige med det opprinnelige formålet.

I denne sammenheng er det av betydning å vurdere følgende: Hva var det opprinnelig formålet med innhenting av grunndata? Hvilken forventning har den registrerte om å motta tilbud fra virksomheten? Hvordan vil den registrerte reagere på å motta tilbud fra tredjeparter på bakgrunn av registreringen hos virksomheten? Er bruken av adresselisten uforenlig med det opprinnelige formålet med registreringen, må et samtykke innhentes. Dersom man for eksempel er medlem i en ideell organisasjon og denne videreformidler adresselister til rent kommersielle virksomheter, kan dette anses uforenlig med det opprinnelige formålet.

Personprofiler

Dersom adresselistene inneholder opplysninger utover navn og kontaktinformasjon (grunndata) og informasjon om hvor listen er hentet fra (kildeinformasjon), vil de potensielt inneholde så mye informasjon om hver enkelt at man kan skape en personprofil ut fra dem. En personprofil skaper antakelser og oppfatninger om individer uten at det finnes noe empirisk grunnlag for det. På bakgrunn av den økte personverntrusselen ved bruk av slike profiler, har Datatilsynet vurdert det slik at mekling og utlevering av personopplysninger utover grunndata og kildeinformasjon som hovedregel skal være samtykkebasert.

Dersom man sammenstiller en egen adresseliste med en annen ekstern adresseliste, eksempelvis for å finne frem til en gruppe man ønsker å henvende seg til, vil man som regel ha et behandlingsgrunnlag basert på en interesseavveining som nevnt ovenfor. Hvis sammenstillingen av lister medfører at den informasjonen man utleder av koblingen kan oppleves som integritetskrenkende, må samtykke likevel innhentes. Hvis for eksempel en liste over helsekostkunder kobles med en liste over kunder i en butikk som selger store klær, vil det oppleves som integritetskrenkende å få markedsføring for slankepulver i posten.

Sensitive opplysninger

Hvis adresselistene inneholder informasjon som kan gi indikasjoner på sensitive forhold, kan listene verken utleveres, mekles eller benyttes med mindre det foreligger et samtykke fra den registrerte.

Et illustrerende tilfelle er medlemskap i en interesseorganisasjon for en sykdom. Sannsynligheten for at medlemmer i foreningen har sykdommen er stor, og det vil kunne kreves et samtykke ved utlevering av adresselister. Det er foreningen eller adresseeier som må foreta vurderingen om opplysningene er sensitive, da denne som behandlingsansvarlig er nærmest til å ta avgjørelsen.

Barn under 15 år

Fordi barn under 15 år sjelden vil være registrert i Reservasjonsregisteret, og siden barn kan være dårligere rustet til å ivareta egne rettigheter, er det etter Datatilsynets vurdering ikke adgang til å levere ut adresselister som inneholder grunndata om personer under 15 år. En interesseavveining kan derfor ikke benyttes som behandlingsgrunnlag for denne gruppen.

Bruk av adresselister i direktemarkedsføring

Skal en adresse liste brukes til markedsføring og den registrere kontaktes direkte med elektroniske kommunikasjonsmidler, slik som e-post og sms, krever markedsføringsloven at den registrerte samtykker til dette. For mer informasjon om direktemarkedsføring, se https://forbrukerombudet.no/lov-og-rett/veiledninger-og-retningslinjer/forbrukerombudets-veiledning-markedsforing-via-e-post-sms-o-l#chapter-3-3

Den registrertes reservasjonsadgang

Det følger av markedsføringsloven at den enkelte kan reservere seg direkte hos den næringsdrivende eller sentralt hos Brønnøysundregistrene mot enkelte typer markedsføringshenvendelser. Slike reserverte personer skal ikke være registrert i adresselister som benyttes i adressemekling.