Datatilsynet v/ Hanne Silje Gule. Oslo, 15. oktober 2009 Ref: M /1/ /LCO Ansvarlig advokat: John S. Gulbrandsen.

Transkript

1 Datatilsynet v/ Hanne Silje Gule Postboks 8177 Dep 0034 Oslo Oslo, 15. oktober 2009 Ref: M /1/ /LCO Ansvarlig advokat: John S. Gulbrandsen REDEGJØRELSE IAM.NO Vi viser til Datatilsynets brev av 24. september d.å. hvor tilsynet ber om en redegjørelse for I m International AS (heretter IAM ) virksomhet. Vi er av IAM bedt om å bistå selskapet i utarbeidelsen av svar til Datatilsynet. Vi anmoder om at brevet unntas offentlighet, jf offentlighetsloven 13 jf forvaltningsloven 13, første ledd nr 2. Begrunnelsen er at brevet inneholder bedriftssensitive opplysninger som kan skade IAMs virksomhet dersom de blir offentlig kjent. Datatilsynet ber om en generell redegjørelse for hvordan IAM anser vilkårene i personopplysningsloven for å være oppfylt. I den forbindelse ser vi det som hensiktsmessig å gi en kort beskrivelse av hvordan tjenesten som leveres på iam.no er bygget opp. Vi gjør oppmerksom på at IAM, etter henvendelser fra brukere, har gjort en del justeringer på siden og tjenesten. Vår redegjørelse er basert på tjenesten slik den drives og vises nå. Vi ber om at Datatilsynet tar det samme utgangspunktet i sin videre behandling av saken. IAM driver nummeropplysningsvirksomhet med tilleggstjenester. Selskapet ble opprettet i 2007 og har 1 ansatt. IAM eies med 74,4 % av Easy Connect AS (heretter Easy Connect ). På siden iam.no vises en sammenstilling av en rekke forskjellige opplysninger: en vanlig nummeroppføring (navn, adresse og telefonnummer), fødselsdato (måned/dag), stjernetegn, bostedskommune, skatteinformasjon, et filtrert og et ufiltrert treff for navnet samt et kart. I tillegg kan hver enkelt bruker gå inn og redigere sin egen oppføring. Det er da mulig å legge til og fjerne informasjon. En skjematisk opplisting av hvilke personopplysninger som vises i tjenesten følger vedlagt som Bilag 1. Opplysningene på iam.no kan deles inn i tre hovedkategorier: 1) grunndata, 2) annen informasjon i oppføringen og 3) brukergenerert data. Som denne korte gjennomgåelsen viser, har IAM i utgangspunket ingen egen kundedatabase eller register med oppføringer hos seg. Informasjonen vises ved søk i andres databaser, basert på avtaler med disse informasjonsleverandørene. IAM innhenter eller lagrer altså i utgangspunktet ikke noen form for personopplysninger i sine systemer.

2 Unntaket er for den siste kategorien av data, nemlig brukergenerert informasjon. I tilfeller der brukeren logger seg på tjenesten og redigerer sin egen oppføring, registreres personopplysninger om brukeren av IAM. Dette vil kunne være alle mulige former for informasjon som brukeren selv velger å legge til i sin oppføring, som for eksempel CV, interesser, hobbyer og personlige bilder. Selskapet behandler personopplysninger med det formål å drive en utvidet nummeropplysningstjeneste. Virksomheten innbefatter tradisjonell nummeropplysningsvirksomhet og tilleggstjenester. Tjenesten formidles både over nettsiden og over mobiltelefon (SMS/MMS). Opplysningene behandles for å levere, drifte, tilrettelegge og videreutvikle tjenesten. Opplysningene benyttes ikke til andre formål. Det har hele tiden vært avgjørende for IAM å ha oversikt og kontroll over alle prosesser i virksomheten, for derigjennom å sikre korrekt behandling av personopplysninger. På internt nivå er det utarbeidet retningslinjer for behandling av personopplysninger, samt dokumentasjon for informasjonssikkerhet og internkontroll. Disse dokumentene knytter seg særlig til den brukergenererte informasjonen på IAMs tjeneste. Dokumentasjon kan oversendes dersom Datatilsynet ønsker dette. På det eksterne plan er det utarbeidet brukervilkår for tjenesten, samt en detaljert spørsmål- og svartjeneste. Disse er tilgjengelige på Melding til Datatilsynet i henhold til personopplysningsloven 31 ble sendt inn 29. september M /1/ /LCO 2

3 Datatilsynet ber videre om en særskilt redegjørelse for følgende punkter: 1. HJEMMELSGRUNNLAG FOR BEHANDLING AV PERSONOPPLYSNINGER PÅ IAM.NO En skjematisk oversikt over opplysningstypene og det rettslige grunnlaget følger vedlagt som Bilag HVILKEN KILDE(R) SOM ER BENYTTET FOR Å INNHENTE OPPLYSNINGENE SOM ER PUBLISERT PÅ NETTSTEDET Som nevnt ovenfor, henter og/eller får IAM opplysninger fra 3 kilder: 1) Easy Connect; 2) Google og 3) Brukerne selv. For opplysningene navn, adresse, telefon og fødselsdato er kilden Easy Connect. Det samme gjelder informasjon om antall personer med samme navn, samt roller og aksjer. Opplysningene om stjernetegn og bostedskommune utledes fra henholdsvis fødselsdato og postkode. For opplysningstypene kart, opplysninger om skatt, filtrert treff fra nettet og ufiltrert treff fra nettet er Google kilden. Opplysninger om jobb, utdanning, eventuelle bilder som ligger på oppføringen, livsstil, på nettet, sosialt nettverk, e-postadresse, badges og kjønn er informasjon som brukeren selv legger til på oppføringen sin. Kilden blir dermed brukeren selv. En skjematisk oversikt over opplysningstypene og kilder følger vedlagt som Bilag HVORDAN VIRKSOMHETEN SIKRER IVARETAKELSE AV KRAVET OM AT PERSONOPPLYSNINGENE SKAL VÆRE KORREKTE OG OPPDATERTE Som det fremgår av vår innledende beskrivelse av virksomheten, har IAM opplysninger fra tre kilder; Easy Connect, Google og brukerne selv. Ved bruk av Googles åpne API godtar man de alminnelige brukervilkårene som Google har satt. 4. HVORDAN VIRKSOMHETEN FORHINDRER AT OPPLYSNINGER OM PERSONER SOM HAR SKJULTE TELEFONNUMMER OG ADRESSER PUBLISERES Teleleverandørenes utleveringsplikt følger av ekomloven 7-4, jf ekomforskriften 6-3. Dersom en person har skjult telefonnummer eller adresse, vil ikke denne personen omfattes av utleveringsplikten, jf ekomforskriften 6-3. M /1/ /LCO 3

4 5. HVILKE RUTINER VIRKSOMHETEN HAR FOR PUBLIKUMS KORRIGERING AV OPPLYSNINGER Som det fremgår av gjennomgåelsen ovenfor, må grunndata korrigeres hos hver enkelt brukers teleleverandør.. Korrigering av annen informasjon, og da særlig nyhetstreff fra Google, er, som Datatilsynet er kjent med, en vanskelig prosess. IAM tilbyr imidlertid den eneste nummeropplysningstjenesten hvor det er mulig for brukeren å gå inn og ta kontroll over sin oppføring og legge til og redigere informasjon. Hvis brukeren velger å legge til informasjon om seg selv via linker i sin oppføring, vil disse linkene vises før resultater fra Google. Slik vil de treffene man selv mener er mest interessante ligge øverst i visningen. Videre gjør IAM det mulig å fjerne slike nyhetstreff helt, i motsetning til hva man ser på for eksempel tjenester som abcsok.no, finnfirma.no og 1881.no. Brukergenerert info kan til enhver tid korrigeres av den enkelte bruker ved at denne logger seg inn på tjenesten og legger til, fjerner, korrigerer eller oppdaterer informasjonen som er lagt inn. *** Vi håper Datatilsynet finner IAMs svar tilfredsstillende. IAM tar gjerne et møte med Datatilsynet, dersom Datatilsynet ønsker en nærmere utdypning av vår redegjørelse. Dersom Datatilsynet har behov for ytterligere informasjon eller dokumentasjon i sakens anledning, vennligst ta kontakt med undertegnede. Med vennlig hilsen for Wiersholm, Mellbye & Bech, advokatfirma AS Line Coll line.coll@wiersholm.no Kopi: IM International AS M /1/ /LCO 4

5 Bilag 1: M /1/ /LCO 5