Datatilsynet har i en ny afgørelse den 11. februar 2020 udtalt alvorlig kritik af DMI’s brug af personoplysninger via bannerannoncer fra Google på dmi.dk. Afgørelsen er vigtig, fordi den sætter grænser for en forretningsmodel, der er baseret på at opsamle oplysninger om den enkelte med henblik på at påvirke adfærd.
Afgørelsen tager blandt andet fat i, hvilke typer oplysninger der overføres til Google, hvem der har en økonomisk interesse i oplysningerne, samt hvilke krav der kan stilles til brugerens samtykke.
Afgørelsen vil betyde, at ejere af både offentlige og private tjenester må revurdere deres dataopsamling
For det første understreges det, at de oplysninger, der bliver overført til Google, udgør personoplysninger, idet de bruges til at ”vurdere en person, behandle den pågældende på en bestemt måde eller påvirke den pågældendes status eller adfærd”.
Udover cookie-identifikatorer overføres oplysninger om brugerens IP-adresse samt den hjemmeside, den pågældende anmoder om at besøge. Disse oplysningerne bruges til at vurdere, hvilke annoncer der bliver vist for den pågældende.
For det andet fastslår afgørelsen, at formålet med behandlingen af personoplysninger via bannerannoncer er at skabe annonceindtægter. Ved at integrere bannerannoncer på dmi.dk har DMI givet et implicit samtykke til en indsamling og videregivelse af personoplysninger, der er i både DMI’s og Googles økonomiske interesse.
Googles adgang til oplysningerne bruges til at fastlægge ”de registreredes interesser, personlige præferencer og adfærd”, hvilket bidrager til en effektivisering af Googles annoncenetværk (adfærdsbaseret markedsføring) og kommer DMI til gode i form af øgede annonceindtægter.
For det tredje påpeges det, at DMI ved at integrere bannerannoncer på dmi.dk giver Google mulighed for at indhente personoplysninger fra det tidspunkt, hvor brugeren første gang besøger hjemmesiden. Det påhviler derfor DMI at sikre et gyldigt samtykke før denne første dataopsamling.
Den nuværende samtykkeløsning på dmi.dk lever ikke op til lovgivningens krav om gennemsigtighed – blandt andet fordi det kræver et ekstra skridt for brugeren at afslå at give samtykke. Muligheden for at afslå samtykke skal således fremgå lige så enkel og tydelig som muligheden for at give samtykke. Ellers risikerer man, at brugeren ”skubbes i retning af” samtykket, hvilket ikke er lovligt.
Afgørelsen vil betyde, at ejere af både offentlige og private tjenester må revurdere deres dataopsamling, her særligt om de giver brugerne en enkel og tydelig mulighed for at sige nej, inden der opsamles oplysninger om den enkelte.
Det bliver spændende at følge næste skridt. Vil afgørelsen skubbe økosystemet omkring online annoncer i en ny retning? Hvad bliver Googles modsvar? Og hvilke konsekvenser vil det få, hvis digitale tjenester ikke retter ind? Foreløbig er der grund til at rose Datatilsynet for at understrege, at brugernes rettigheder betyder noget i praksis.
