Fel använda kunders personuppgifter för profilering utan samtycke

IMY har granskat hur Bonnier News samlar in och hanterar personuppgifter med syftet att använda dessa för marknadsföring. Bolaget samlar in uppgifter från flera olika källor som sedan används för riktad annonsering på webben, marknadsföring som skickas via fysisk post och för telefonförsäljning.

Det handlar till exempel om uppgifter om köp som gjorts i olika bolag i koncernen och surfbeteenden, alltså hur internetanvändare surfat på bolagens webbplatser. I vissa fall samkörs dessa uppgifter även med andra personuppgifter som köps in utifrån som exempelvis uppgifter om kundens kön, hushållets bilägande och postnummer, samt statistiska uppgifter baserade på den enskildes bostadsområde såsom livsfas, köpkraft och boendeform.

Bonnier har angett att de stödjer sig på en intresseavvägning för denna hantering av personuppgifter, det vill säga att bolaget bedömt att dess intressen väger tyngre än den registrerades och att behandlingen är nödvändig för aktuell marknadsföring.

– Kunderna, de registrerade, kan inte förvänta sig att deras beteendedata samlas in för marknadsföringssyfte bara för att de besöker en webbsida. De kan inte heller förvänta sig att deras beteendedata kombineras med uppgifter från en annan köpsituation eller inhämtade uppgifter från andra register i syfte att de ska bli kontaktade för telefonförsäljning eller direktmarknadsföring. Sådan omfattande profilering kräver enligt IMY:s bedömning samtycke. Intresseavvägning går inte att använda som rättslig grund för sådan personuppgiftsbehandling, säger Ulrika Bergström som lett IMY:s granskning.

Däremot kan Bonnier använda intresseavvägning som rättslig grund när bolaget samkör olika personuppgifter som inte innefattar surfhistorik och använder dessa uppgifter för marknadsföringsutskick via post eller telefonförsäljning. Detta då koncernen har vidtagit olika åtgärder för att begränsa integritetsintrånget.

IMY utfärdar en administrativ sanktionsavgift på 13 miljoner kronor mot Bonnier för de konstaterade bristerna. I sin bedömning av sanktionsavgiftens storlek har IMY bland annat vägt in att bolaget vidtagit omfattande åtgärder för att begränsa intrånget i de registrerades personliga integritet.

Eftersom Bonnier har användare i många länder har detta beslut fattats i samarbete med övriga dataskyddsmyndigheter i EU.

Läs beslutet mot Bonnier News (pdf, 425 kB)