Standard avtalevilkår brukes ofte når forbrukeren skal inngå ulike avtaleforhold. For å få bankkonto, ulike fordelskort, forsikring, mobilabonnement etc., kreves det som oftest at du inngår en standardavtale med virksomheten som tilbyr deg tjenesten. I den senere tid er det blitt vanlig at et såkalt ”personopplysningsvilkår” inntas i disse kontraktene. I dette vilkåret informeres det i tråd med informasjonsplikten etter personopplysningsloven, om hvilke av dine personopplysninger som skal brukes til hva – og at du ved inngåelse av kontrakten samtykker til denne bruken. Det er en gjennomgående trend at virksomheten ønsker å ”sikre” seg i forhold til mulig fremtidig bruk av opplysningene, særlig i relasjon til markedsføringsaktiviteter. Dette kommer til uttrykk ved at forbrukeren gjennom avtaleinngåelsen samtidig må godta at hans/hennes innsamlede personopplysninger benyttes i markedsføringsøyemed, herunder utleveres til eksterne samarbeidspartnere. For å motta en tjeneste som forbrukeren behøver, må vedkommende faktisk samtidig være nødt til å akseptere bruk av egne personopplysninger i markedsføringsøyemed.
Etter markedsføringslovens § 9 a, vil dette i mange tilfeller kunne anses som et urimelig avtalevilkår. Men også fra et personvernrettslig ståsted er denne praksisen problematisk.
Problemer i forhold til personopplysningsloven
Slike standard personopplysningsvilkår skaper etter Datatilsynets oppfatning flere problemer. Det er blant annet vanskelig å vurdere hvorvidt grunnvilkårene i personopplysningsloven § 11 er oppfylt. Når behandling av personopplysninger til flere forskjellige formål reguleres i samme kontrakt, blir det vanskelig å kontrollere hvorvidt de aktuelle opplysningene er relevante og nødvendige for det ene, men ikke det andre formålet, hvorvidt alle formålene har et behandlingsgrunnlag osv. Har man egentlig avgitt et gyldig samtykke etter personopplysningsloven § 2 nr. 7 til å bruke egne personopplysninger i markedsføringsøyemed når det er noe man må godta dersom man ønsker å inngå for eksempel en kjøpekortavtale?
Behandling av personopplysninger i tilknytning til hovedformålet med inngåelsen av avtalen, vil som hovedregel kunne hjemles i behandlingsgrunnlaget ”avtale” i personopplysningsloven § 8 bokstav a. Som de andre alternative behandlingsgrunnlagene nevnt i bokstavene i § 8, er det et krav om at behandlingen av personopplysninger skal være nødvendig. Nødvendighetskriteriet er her knyttet til oppfyllelsen av avtalen og utførelsen av gjøremål i samsvar med den registrertes ønske. Ved å samle flere ulike formål i et og samme personopplysningsvilkår, vil nødvendighetskriteriet vanskelig kunne sies å være oppfylt for alle formålene. Det vil ikke være nødvendig å behandle personopplysningene til markedsføring for å få gjennomført en kortavtale.
Behandling av opplysningene til formålet markedsføring, vil altså ofte kreve samtykke. Det kan vanskelig sies at man gjennom avtaleinngåelsen har innhentet et gyldig samtykke til bruk av personopplysninger også ved markedsføring– til tross for at bruken går tydelig frem av avtalevilkårene – da man ikke har noen valgmulighet dersom man ønsker den tjenesten de standard avtalevilkårene er knyttet til. Den registrerte vil i slike tilfeller ikke ha tatt et eksplisitt valg i forhold til at vedkommendes personopplysninger også skal brukes til andre formål enn de formål som er direkte knyttet til den tjenesteytelse som den registrerte ønsker.
Praktisk konklusjon
For å sikre at man har et behandlingsgrunnlag ( ofte vil det være krav om samtykke) til bruk av personopplysninger til alle de ulike behandlinger (kan ofte skilles ved at de har ulike formål) som beskrives i en standardavtale, krever Datatilsynet at bruk av personopplysningene til andre formål enn det som er nødvendig for å gjennomføre selve avtaleforholdet, behandles separat fra standardavtalen. Dette vil kunne sikre at man tar et bevisst valg i forhold til å tillate at ens personopplysninger også brukes til andre formål enn det som er intensjonen med avtaleinngåelsen. Med separat mener Datatilsynet at disse formålene tas ut av avtalen, slik at man må samtykke til disse som enkeltstående behandlinger, eventuelt at det i selv avtaleteksten inntas en avkrysningsboks for denne type formål ”ja, jeg samtykker til at….”.
Det vil på denne måten også fremstå som enklere for den registrerte å vurdere hvorvidt de opplysninger som samles inn er relevante og nødvendige i forhold til alle de behandlinger den behandlingsansvarlige ønsker å gjennomføre.