Avslutning av sak og endelig kontrollrapport - Kontroll hos Boots Norge AS

Transkript

1 Boots Norge AS Postboks 413 Skøyen 0213 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) Dato 11/ /SEV 28. februar 2012 Avslutning av sak og endelig kontrollrapport - Kontroll hos Boots Norge AS Det vises til kontroll hos Boots Norge AS 12. oktober 2011, brev med overskriften Varsel om pålegg og foreløpig kontrollrapport rt av 3. november 2011 og virksomhetens tilsvar av 19. november Brevet fra Datatilsynet 3. november innholdt vedtaket: 1. Virksomheten må slette eller anonymisere personopplysningene når det ikke er nødvendig å lagre opplysningene for å gjennomføre formålet med behandlingen i samsvar med personopplysningsloven 28. Det vises til tilsynsrapportens Vurdering av virksomhetens tilsvar Virksomheten har ikke kommet med innsigelser på foreløpig kontrollrapport. Denne vil da regnes som endelig. Endelig kontrollrapport ligger vedlagt. Virksomheten har i sitt brev av 19. november redegjort for sin revidering av eksisterende avtale med sin databehandler og innføring av nye rutiner for å lukke det varslede pålegget. Den reviderte avtalen og de nye rutinene gjelder fra 18. november Virksomheten har også spesifisert at virksomheten vil slette medlemmer som tidligere har meldt seg ut innen 31. desember Virksomheten har lukket avviket og Datatilsynet anser saken som avsluttet. Med vennlig hilsen Knut B. Kaspersen fagdirektør Vedlegg: Endelig kontrollrapport Stein Erik Vetland overingeniør Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Postboks 8177 Dep Tollbugt OSLO Hjemmeside:

2 2

3 Saksnummer: 11/00938 Dato for kontroll: Rapportdato: Endelig kontrollrapport Kontrollobjekt: Boots Norge AS Sted: Skøyen Oslo Utarbeidet av: Knut B. Kaspersen Stein Erik Vetland 1 Innledning Datatilsynet gjennomførte kontroll hos Boots Norge 12. oktober Kontrollen ble utført med hjemmel i personopplysningslovens 44, jf. 42, 3. ledd. Temaet for kontrollen var virksomhetens behandling av personopplysninger, i forbindelse med medlemskort i Boots apotek. Kontrollen fant sted ved virksomhetens faste forretningsadresse. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Tilstede under kontrollen 2.1 Fra virksomheten: - Margrethe Sunde, Fagdirektør - Arne J.R. Hansen, IT sjef - Cathrine Brenli, kundeprogramsjef 2.2 Fra Datatilsynet: - Knut B. Kaspersen, fagdirektør - Stein Erik Vetland, overingeniør 3 Generelt Alliance Boots er Europas ledende apotekkjede med 3000 apotek og 400 grossistenheter. Selskapet har over medarbeidere i mer enn 20 land. I Norge har Alliance Boots 148 heleide apotek og bandagister. Boots apotek ble lansert i Norge i Kort om bruk av personopplysninger samt formålet med behandlingene Datatilsynet har kun sett på virksomhetens behandling av personopplysninger i forbindelse med medlemskort i Boots apotek. Formålet med behandlingen er å administrere personopplysningene til kunder som ønsker å være en del av medlemsprogrammet. 1 av 3

4 Medlemsprogrammet gir kundene følgende fordeler: Spesielle medlemstilbud hver måned 25 % rabatt på et bredt utvalg produkter Frekvenstilbud til de som handler ofte 3 for 2 på spesielle produkter Kundemagasin Nøkkelservice Gratis utskrift av Schengen-attest Fordeler og rabatter hos Rica Hotels Rabatt på dosepakking av medisiner Registreringen som kunden må gjøre for å bli medlem kan enten gjøres på blankett i apotekene eller elektronisk på Personopplysningene som kunden blir bedt om å avgi avgrenser seg til: Fornavn Etternavn Gate/vei Gate/vei-nummer Postnr Poststed Mobiltelefon Telefon dagtid Fødselsdato Kjønn E-post Temaer du er interessert i: o Trening og mosjon o Kosthold og ernæring o Hjerte og karsykdom o Diabetes o Hudpleie o Mor og barn o Astma og allergi o Kosttilskudd Samtykke for informasjon på e-post Samtykke for sms eller mms Temaer du er interessert i oppgis av virksomheten til å brukes for å kunne spisse tilbud til sine medlemmer. 2 av 3

5 5 Funn og avvik fra lovbestemte krav til behandling av personopplysninger 5.1 Sletting Lovkrav Personopplysningsloven 28 stadfester at den behandlingsansvarlige ikke skal lagre personopplysninger lengre enn det som er nødvendig for å gjennomføre formålet med behandlingen. Hvis ikke personopplysningen deretter skal oppbevares i henhold til arkivloven eller annen lovgivning, skal de slettes Funn Virksomheten merker en kunde som utmeldt hvis en kunde ønsker å bli slettet som medlem. Virksomheten beholder personopplysningene, men bruker ikke personopplysningene til å kontakte kunden igjen Vurdering og konklusjon Personopplysningsloven definerer sletting til å være en fjerning av opplysningen. Ved kun å merke medlemmet som utmeldt har virksomheten ikke fjernet noen av de registrerte opplysningene. Siden kunden ikke videre blir kontaktet av virksomheten er ikke kundene klar over at de fortsatt er lagret i databasen. Datatilsynet ber virksomheten også endre sin internkontroll på dette punktet, jf personopplysningsloven 14. Manglende sletting anses som et avvik og er et brudd på personopplysningslovens av 3