Personvernnemndas vedtak; ønske om å yte god kundeservice er ikke tilstrekkelig for å kreve at kunders telefonnummer må oppgis

Kort om saksforholdet og resultatet

Klager hadde klaget over at bompengeselskapet Ferde AS lagrer passeringsdata i fem år, samt at Ferde AS krever at brukere registrerer telefonnummer ved opprettelse av avtale for AutoPASS-brikke eller ved redigering av eksisterende AutoPASS-avtale på «Min side».  

Personvernnemnda kom til at bokføringsloven pålegger oppbevaring av passeringsdata i fem år etter utløpet av regnskapsåret. Ferde AS hadde dermed behandlingsgrunnlag for å lagre passeringsdata i fem år.

Nemnda kom derimot til at Ferde AS ikke hadde behandlingsgrunnlag for å kreve at kunder måtte oppgi sitt telefonnummer for å bli kunde.

Kundeavtale som behandlingsgrunnlag

For å samle inn og registrere personopplysninger fra brukerne av AutoPASS, må Ferde AS ha et behandlingsgrunnlag i henhold til personvernforordningen. I tillegg må behandlingen av personopplysningene oppfylle de grunnleggende prinsippene i forordningen. Personvernnemnda fremhever at personopplysningene blant annet skal være relevante og nødvendig for formålene de behandles for.

Ferde AS opplyste at begrunnelse for å kreve registrering av telefonnummer var et ønske om å yte god kundeservice dersom kunden ringte inn, samt behovet for å kunne komme i kontakt med kunden.

Nemnda la til grunn at det aktuelle behandlingsgrunnlaget i dette tilfellet, dersom kunden ikke samtykket til å oppgi telefonnummer, var AutoPASS-avtalen med kunden, jf. personvernforordningen artikkel 6 nr. 1 bokstav b.

Ønske om å yte god kundeservice ikke tilstrekkelig

Om det er nødvendig å innhente kundens telefonnummer for å oppfylle en avtale må ses i sammenheng med om oppfyllelsen av avtalen med rimelighet kan oppfylles på annen måte enn å behandle telefonnummeret. Personopplysninger kan innhentes og behandles bare dersom oppfyllelse av avtalen ikke med rimelighet kan oppfylles på annen måte.

Personvernnemnda kom til at registrering av kundens telefonnummer ikke var nødvendig for å oppfylle AutoPASS-avtalen.  

Nemnda hadde forståelse for at Ferde AS synes det var praktisk å ha kundenes telefonnummer. Det gjorde det enkelt å komme i kontakt med kunden og ifølge Ferde AS ga det også mulighet for å gi bedre kundebehandling. Det at Ferde AS synes det var praktisk, var imidlertid ikke nok ifølge nemnda.

I avgjørelsen ble det lagt betydelig vekt på at kunden kan logge på «Min Side» ved bruk av bankID, noe som ikke forutsetter innsamling av telefonnummer. Det innebærer at AutoPASS-brukeren kan benytte seg av «Min Side» uten at telefonnummer må brukes.

Selv om manglende telefonnummer i enkelte tilfeller vil kunne gi en noe dårligere kundebehandling, mente nemnda det måtte være opp til kunden selv å velge om de skulle registrere sitt telefonnummer.

I sin vurdering la nemnda stor vekt på at det for alle som kjører bil nærmest er utenkelig at man ikke kommer i et kundeforhold med et bompengeselskap. Dette kundeforholdet skiller seg fra andre typer kundeforhold hvor det i langt større grad vil være frivillig om man ønsker å bli kunde eller ikke. Nemnda la derfor til grunn at Ferde AS måtte innhente kundens samtykke dersom kundens telefonnummer skulle innhentes og registreres.

Personvernnemnda kom til at Ferde AS ikke kunne kreve kundenes telefonnummer basert på AutoPASS-avtalen alene.

Vedtakets betydning

Vedtaket viser at et selskap som utgangspunkt ikke kan innhente telefonnummer til kunder ene og alene fordi selskapet ønsker å yte god kundeservice til kunden. Det må foretas en vurdering av om innhenting av telefonnummer er nødvendig for å oppfylle kundeavtalen. Er det andre kommunikasjonskanaler som f.eks. kundesider («Min side») eller e-post, kan det videre være tilstrekkelig for å oppfylle kundeavtalen. Selskapet kan da ikke i tillegg innhente kundenes telefonnummer.

Spesielt i de tilfeller hvor en kunde vil være avhengig av å etablere et kundeforhold, tyder vedtaket på at selskapene må være forsiktig med å kreve telefonnummer fra kunden der det ikke er nødvendig for å oppfylle avtalen. Selskaper som tilbyr nettverkstjenester, forsikringsselskaper og enkelte selskap innenfor helsesektoren kan være typiske aktører hvor kunder nærmest er avhengig av å etablere et kundeforhold. Vedtaket tyder på at slike selskaper bør være forsiktige med å kreve telefonnummer fra kundene ved etablering av kundeforhold uten at det er innhentet samtykke fra kundene eller det er helt nødvendig å ha telefonnummer for å oppfylle avtalen med kunden.

Dersom kundene har større valgfrihet om de ønsker å etablere et kundeforhold til et selskap eller ikke, kan vedtaket tyde på at selskapene står friere til å kreve telefonnummer oppgitt fra kundene basert på kundeavtalen som behandlingsgrunnlag. Dette kan for eksempel gjelde selskaper som tilbyr matleveranser på døren og varer innenfor kroppspleie og velvære, hotellselskaper, samt ulike konsulentselskaper.  

Harris kan bistå med å vurdere om ditt selskap kan innhente telefonnummer fra kunder basert på deres kundeavtaler.

Kontakt oss

Vi anbefaler at ditt selskap tar personvernsjekken for bedrifter, slik vi kan vurdere om ditt selskap har de rutiner og oversikter som personvernforordningen krever.

Harris Advokatfirma har bistått klienter med å utforme nødvendig dokumentasjon og utarbeide gode rutiner i henhold til personvernforordningen. Ta kontakt med en av våre spesialiserte personvernadvokater dersom du skulle ha spørsmål om personvern.