Identifiserende opplysninger om klageren er fjernet i denne artikkelen.
Datatilsynets saksnummer: 05/01385-8 /BOF
Klagen gjelder Datatilsynets vedtak av 1. november 2005, i sak 2005/01385-2, om at saken ikke strider med personopplysningsloven med forskrift. Datatilsynet har foretatt en ny vurdering av saken og finner ikke grunnlag for å oppheve eller endre vedtaket. Saken oversendes derfor i sin helhet til behandling i Personvernnemnda, jf personopplysningslovens §§ 42 fjerde ledd og 43 første ledd.
1. Saksgangen
Datatilsynet mottok den 20. oktober 2005 en klage på Microsoft Windows XP operativsystem, herunder operativsystemets autooppgraderingsfunksjon (vedlegg 1). Den 1. november 2005 fattet tilsynet vedtak om at forholdet ikke er i strid med personopplysningsloven med forskrift (vedlegg 2). Klager oversendte i brev av 18. november 2005 tilsvar, der klager ikke aksepterer tilsynets avgjørelse og ba om at forholdet vurderes på nytt (vedlegg 3). Datatilsynet kan ikke se at det fremkommer nye opplysninger i saken og anser saken som avsluttet i brev av 25. januar 2006 (vedlegg 4). Klager fastholder sin påstand om at behandlingen er brudd på personopplysningsloven og krever i brev av 13. februar 2006 at saken legges frem for tilsynets overordnende organ (vedlegg 5). Tilsynet gjennomgikk saken med klager per telefon 28. februar 2006, og klager opprettholdt sitt krav om overprøving. Klagen anses rettidig innkommet, og oversendes Personvernnemnda.
2. Faktum i saken
Klager har kjøpt en bærbar PC med Microsoft Windows XP operativsystem. Ved installering blir bruker spurt om det er ønskelig med automatisk oppdatering. Alternativene er ”ja” og ”nei”. Klager oppfatter programmet som personvernstridig da det betraktes som forsøk på å tilsikre seg data ved at Microsoft, eller annen tredjeperson, gis tilgang til informasjon i klagers PC.
3. Klagers anførsler
Klager anfører at tilbudet om autooppdateringer på programvarer fra Microsoft strider mot personopplysningsloven og at Datatilsynets vedtak derfor er uriktig.
Klager anfører at programmet åpner for at Microsoft, eller annen tredjeperson, gis innsyn i klagers PC, med de filer denne måtte inneholde. Videre anføres at Microsoft, eller annen tredjeperson, samtidig gis mulighet til å lagre annen data på klagers PC.
4. Datatilsynets vurdering
Klager anfører at Microsofts autooppdateringer av programvare strider mot personvernet. Datatilsynet er imidlertid av den oppfatning at ordningen ikke strider mot personopplysningsloven med forskrift.
Autooppdatering skal i første rekke sikre at installert programvare ikke innholder sikkerhetshull, og at programvaren er oppdatert. Aksepteres autooppdatering vil Microsoft gis adgang til å lese installert programvare, samt påse at programvaren er oppdatert. Teknisk sett vil aksept av autooppdateringen åpne for at Microsoft kan lese personlige filer, samt installere programvare på klagers pc. Dette vil ikke være formålet med behandlingen. Like fullt blir konsekvensene at personopplysningsloven får anvendelse, jf personopplysningslovens § 2 første ledd nr. 2.
Personopplysningslovens § 8 stiller vilkår for å behandle personopplysninger. Behandlingsgrunnlaget vil i dette tilfellet være samtykke, som er lovens hovedregel for behandling av personopplysninger. Samtykke skal være en frivillig, utrykkelig og informert erklæring fra den registrerte om at vedkommende godtar behandlingen av opplysninger av seg selv, jf lovens § 2 første ledd nr. 7.
Aktivisering av Microsofts autooppdaterings funksjon krever brukers aksept. Dette skjer ved at bruker må krysse av i ”ja” feltet. Alternativt kan bruker avstå fra tilbudet om autooppdatering ved å krysse av i ”nei” feltet. Nok et alternativ foreligger da oppdatering kan skje ved bruk av programvare lastet ned på CD plater. Overfor Datatilsynet har Microsoft opplyst at bruker gis utførlig informasjon om autooppdateringen under programmets installasjonsprosedyre.
Med denne bakgrunn legger tilsynet til grunn at lovens vilkår for behandling av personopplysninger er oppfylt.