To millioner til en amerikansk datamegler: berettiget interesse dekker ikke salg av kontakter

Hvor opplysningene kom fra

Selskapet samlet informasjon fra flere kilder: skraping av sosiale nettverk og kjøp fra andre datameglere. Deretter gjorde det dem tilgjengelige for plattformens kunder til kommersielle formål eller svindelbekjempelse. Blant informasjonen som kunne søkes opp, fantes også opplysninger om høytstående institusjonelle personer, offentlige tjenestemenn, politifolk og dommere.

Det er dette som skiller vedtaket fra vanlige markedsføringssaker: ingen av disse personene hadde noen gang hatt et forhold til selskapet, og ingen visste at de sto i en katalog som var til salgs.

Hva tilsynet fant

• Brudd på prinsippene om lovlighet, rettferdighet og åpenhet
• Brudd på prinsippet om dataminimering
• En informasjon som verken var klar eller lett tilgjengelig for de registrerte
• Mangel på et egnet behandlingsgrunnlag: berettiget interesse ble ikke godtatt som grunnlag for denne behandlingen

Avvisningen av berettiget interesse er det som rekker ut over saken. Datameglingen har hvilt på dette i årevis: samle offentlig tilgjengelige yrkesopplysninger, berike dem, selge dem videre, og regne egen kommersiell interesse som overveiende. Tilsynet sier at avveiningen ikke holder når den registrerte ikke har noe forhold til den behandlingsansvarlige, ikke med rimelighet kan forvente behandlingen og ikke får forståelig informasjon.

Selskapet er amerikansk, og hva så?

Lusha har ingen etablering i Italia, og det beskyttet ikke. Vedtaket er et eksempel på forordningens eksterritorielle rekkevidde: gjelder behandlingen personer som befinner seg i unionen, og er den knyttet til å tilby tjenester eller å følge deres atferd, gjelder reglene uansett hvor den behandlingsansvarlige er etablert.

I tillegg til gebyret forbød tilsynet selskapet å behandle personopplysninger om personer som befinner seg i Italia, og påla sletting av det som var ulovlig innsamlet.

Hva som endrer seg i praksis

• En kontraktsbestemmelse om at «opplysningene samles inn i samsvar med forordningen» er ikke bevis, men et løfte
• Plikten til å informere den registrerte innen en måned, når opplysningene ikke er innhentet fra vedkommende, ligger hos den som bruker dem
• Får leverandøren et behandlingsforbud, blir allerede nedlastede opplysninger ikke lovlige av at de ble lastet ned tidligere
• For hver plattform i bruk lønner det seg å sjekke om den har fått vedtak fra europeiske tilsyn: de er offentlige

Markedet for yrkesmessige kontaktopplysninger vokste i gråsonen mellom «offentlig opplysning» og «fritt anvendelig opplysning», som ikke er det samme. Dette vedtaket er blant de klareste på at offentlig tilgjengelig ikke betyr tilgjengelig for videresalg.