Hva er en personprofil?
Når en virksomhet kombinerer opplysninger og ut i fra disse knytter visse antagelser om adferd, evner, preferanser eller behov, kalles dette en personprofil. For eksempel vil opplysninger om navn, adresse, varegruppekjøp, pris på vare og tidspunkt for kjøp sammen kunne danne grunnlaget for en personprofil. En ekstra informasjonsplikt inntrer dersom disse opplysningene brukes til å skreddersy henvendelser til kunden, eller treffe avgjørelser overfor en enkeltperson. Når kundeinformasjonen kun brukes til statistikk, vil det ikke være personprofiler. Da kan man imidlertid heller ikke lagre informasjonen på en slik måte at man kan finne tilbake til personene opplysningene stammer fra.
Når en virksomhet henvender seg til en kunde eller treffer avgjørelser ut fra en personprofil, oppstår en særskilt informasjonsplikt. Den enkelte kunden må også ha samtykket til at opplysningene om ham brukes til å lage personprofiler. Les mer om dette i avsnittene under.
Eksempel 1:
Bokhandleren antar at Kari liker krimbøker, fordi de har registrert i datasystemet sitt at hun ofte kjøper slike bøker. Derfor sender bokhandleren henne reklame om den nye krimboken han har for salg. Dette er en personprofil.
Eksempel 2:
Nærbutikken har et bonuskort og registrerer alle kjøpene til kundene med slike kort. Nærbutikken sender direkte reklame om eksotiske frukter til alle over 50 år som kjøper mye frukt og grønt. De antar at disse kundene er spesielt interesserte. Dette er en personprofil.Eksempel 3:
Et reisebyrå samler inn kundedata for å få statistikk over egne kunder. Dataene knyttes ikke spesielt til enkeltpersoner. Kundene kan selv velge å abonnere på forskjellige nyhetsbrev, om eksotiske reiser, aktivitetsreiser eller klassiske sydenturer. Kundene melder seg på om de har lyst. Dette er ikke bruk av personprofiler.Personprofiler krever samtykke
Virksomheter som bruker personprofiler må som hovedregel innhente samtykke fra den enkelte. Kravet går frem av personopplysningslovens § 8. Dersom virksomheten ikke bruker personopplysninger utover grunndata og statistikk til å anta noe om noen, er det ikke nødvendig å innhente samtykke. Med grunndata menes kontaktopplysninger og fødselsdato. Informasjonsplikten i § 21 må imidlertid følges.
Personopplysningslovens utgangspunkt er at den enkelte skal kunne bestemme selv. Et samtykke må være frivillig, uttrykkelig og informert. Samtykke fra den enkelte gir et rettslig grunnlag for behandling av personopplysninger. Dette betyr at et samtykke må være en aktiv handling fra den enkeltes side. Personen kan ikke bindes ved passivitet. En aktiv handling vil for eksempel kunne være at personen selv må merke av i en "klikk-av-boks". Dersom en slik boks er utfylt på forhånd, vil kravene til aktivt samtykke ikke være tilfredsstilt.
Kravet om frivillighet innebærer at et samtykke til profiler normalt ikke bør være en forutsetning for å få tjenester. Det bør heller ikke lokkes med særlige fordeler ved avgivelse av samtykke.
For at et samtykke skal være informert, må det gis tilstrekkelig informasjon til at den enkelte kan forstå hva samtykket omfatter. Dette innebærer at det informeres om hvilke opplysninger som registreres og at det brukes til å skreddersy tilbud på bakgrunn av personprofiler. Kravet til informasjon samsvarer i stor grad med regelen om informasjonsplikt i personopplysningsloven § 19. Informasjon om at virksomheten vil drive markedsføring dekker ikke informasjonskravet til samtykke ved bruk av personprofiler.
Det stilles i utgangspunktet ikke formkrav til et samtykke. Virksomheten vil likevel ha plikt til å kunne bevise at samtykket er reelt. Derfor kan det være lurt å dokumentere samtykket.
Det må legges til rette for at kundene kan tilbakekalle et tidligere avgitt samtykke, eller endre registrerte personopplysninger. Virksomheten kan eventuelt oppgi en e-postadresse, peker til et kontaktskjema eller et telefonnummer der samtykket kan kalles tilbake.
Utvidet informasjonsplikt
Personopplysningsloven pålegger den som bruker personprofiler å gi utvidet informasjon til personene det gjelder. Man må gi ekstra informasjon hver gang man tar kontakt med en kunde på bakgrunn av en profil, på lik linje med kildemerkingskravet ved direkte markedsføring.
Når virksomheten henvender seg til, eller treffer avgjørelser som berører enkeltpersoner, på grunnlag av profiler som er ment å beskrive atferd, preferanser, evner eller behov, skal den behandlingsansvarlige informere om:
a) Hvem som er behandlingsansvarlig
Normalt er dette virksomheten ved øverste leder. Se personopplysningslovens
§ 2 nr 4.
b) Hvilke opplysningstyper som er anvendt
Virksomheten skal informere om hvilke typer opplysninger som er anvendt. Det er ikke nødvendig å oppgi eksakt hvilke opplysninger som er brukt. Det er vanskelig å si noe generelt om hvor grovt man kan angi opplysningstypene. Dette må avgjøres konkret i hvert enkelt tilfelle. Datatilsynet er av den oppfatning at man også må informere om opplysningstyper utover personopplysningene, som for eksempel at det er brukt statistikk. Det kan også være naturlig å gi utdypende informasjon om statistikkbruk og bruk av personopplysninger på hjemmesidene til virksomheten. Hensynet bak bestemmelsen er å sørge for den enkelte skal vite hva virksomhetene vet eller antar om han/henne.
c) Hvor opplysningene er hentet fra
Det skal opplyses om kildene for opplysningene.
Den behandlingsansvarlige skal informere på eget initiativ.
Kravene går frem av personopplysningslovens § 21.
Eksempel 4:
En nettbokhandler, Boken AS, bruker personprofiler til å skreddersy tilbud på interessante bøker til den enkelte. Utvelgelsen skjer på bakgrunn av tidligere kjøp. Bedriften informerer kunden slik: (Punktene a, b og c er satt inn kun som en løs henvisning til personopplysningslovens § 21)
a) Boken AS
b) registrerer navn/adresse, kjøpsdato, pris og bokkategori (krim, kokebok, barnebok, historisk biografi, etc.). Informasjonen skal inngå i en personprofil som skal brukes til å skreddersy tilbud
c) Vi bruker kun personopplysninger du selv aktivt har gitt oss
Eksempel 5:
En stor klesbutikk, Klær AS, ønsker å sende direkte markedsføring til småbarnsfamilier. De bruker statistikk til å kartlegge områder der det er spesielt mange slike familier, henter ut en adresseliste for området, og sender henvendelsene sine direkte til beboerne.
Bedriften informerer kunden slik: (Punktene a, b og c er satt inn kun som en løs henvisning til personopplysningslovens § 21)
a) Klær AS
b) Har brukt grunndata og statistikk som bakgrunn for tilbudet.
c) Grunndataene er hentet fra DM-huset
Dersom du vil ha utdypende informasjon om dette, kan du besøke vår hjemmeside: www.klær.no.
Sletting
Personopplysninger som ikke lenger er nødvendig å lagre, for å oppnå formålet de ble innhentet for, skal slettes. Personopplysningslovens § 28 oppstiller et forbud mot å lagre unødvendige personopplysninger. Det vil si at det er ikke lov å sitte på overskuddsinformasjon. Dersom opplysningene kun skal inngå i statistikk, må personopplysningene slettes når de er ført inn i statistikken.
Internkontroll og personvernombud
Virksomheter som behandler personopplysninger skal ha et internkontrollsystem med skriftlige rutiner knyttet til samtykke, informasjonsplikt, sletting med videre. Kravet går frem av personopplysningslovens § 14. Les mer om dette her: http://www.datatilsynet.no/internkontroll.
Virksomheter som håndterer mange personopplysninger kan ha nytte av å opprette et personvernombud. Mer informasjon om ordningen finner du her: http://www.datatilsynet.no/personvernombud.
Oppsummering
a) Virksomheten bruker kun statistikk, ikke opplysninger som kan tilbakeføres til enkeltpersoner.
Eksempel: Virksomheten bruker avisinnstikk eller annen uadressert markedsføring basert på statistikk. Her er det ikke nødvendig med samtykke eller informasjonsplikt.
b) Virksomheten bruker kun grunndata og statistikk.
Eksempel: Virksomheten sender adresserte henvendelser til personer valgt ut på bakgrunn av statistikk (for eksempel grunnkretsdata eller demografiske data). Her trenger ikke virksomheten innhente samtykke, men får den utvidede opplysningsplikten etter personopplysningslovens § 21. Dette kan oppfylles samtidig med kildemerkingen. (personopplysningslovens § 26)
c) Virksomheten bruker opplysninger utover grunndata til å rette direkte henvendelser til enkeltpersoner.
Eksempel: En fordelskort-virksomhet registrerer kjøp i varekategorier, pris og kjøpesum og retter skreddersydde henvendelser til den enkelte på bakgrunn av kjøpshistorikken. Her må virksomheten ha et spesielt samtykke til å bruke personprofiler, og informere etter § 21.
Les også:
Forbrukerombudets og Datatilsynets ”Veiledning for innhenting og bruk av forbrukeres personopplysninger på Internett”
http://www.forbrukerombudet.no/asset/1029/1/1029_1.pdf