Brevkontroll - TVNorge WebTV - Internettbaserte TV-tjenester - Vedtak

Transkript

1 TVNorge AS Postboks 4800 Nydalen 0422 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) Dato 11/ /FUE 2. august 2011 Brevkontroll - TVNorge WebTV - Internettbaserte TV-tjenester - Vedtak Det vises til Datatilsynets brevkontroll mot TVNorge den 26. april 2011 og Datatilsynets varsel om vedtak av 3. juni Vurdering av tilsvar Datatilsynet har i brev av 1. juli 2011 mottatt virksomhetens merknader til varselet, og har følgende kommentarer til det som fremkommer der: Generelt Tilsynet har ingen kommentarer til virksomhetens tilbakemelding med unntak av punktene 1 til 3 nevnt under. Det vil derfor fattes vedtak i samsvar med fremdriftplanen som er fremlagt. Ad. Punkt 1 og 2 Som beskrevet i tilbakemeldingen er de varslede vedtak gjennomført, noe tilsynet anser som tilfredsstillende. illende. Det vil derfor ikke bli fattet vedtak på disse punktene. Ad. Punkt 3 Datatilsynet har ingen kommentarer vedrørende lagringstiden av brukermønster i tjenesten, men vil påpeke at en slik lagring må komme tydeligere frem i brukervilkårene til tjenesten. Det må informeres om lagringstiden og hva denne informasjonen blir brukt til slik at brukeren kan ivareta de retter og plikter som foreligger etter personopplysningsloven 18 og 19. Vedtak om pålegg Med hjemmel i personopplysningsloven 46 gir Datatilsynet følgende pålegg: 1. Virksomheten må etablere en rutine for sletting eller anonymisering av brukermønster i tjenesten, jf. personopplysningsloven 28, jf 14 om internkontroll. Det vises til kontrollrapporten Frist settes til 15. september Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Postboks 8177 Dep Tollbugt OSLO Hjemmeside:

2 2. Virksomheten må etablere databehandleravtale med PayEx og MPS Broadband i tråd med personopplysningslovens 15. Det vises til kontrollrapporten 4.3. Frist settes til 15. september Virksomheten må etablere en løsning for å gi kunden tilstrekkelig informasjon ved behandling av personopplysninger, jf. personopplysningsloven 18, jf 19. Det vises til kontrollrapporten punkt 4.4. Frist settes til 15. september Virksomheten må gjøre kundenes passord utilgjengelig for virksomhetens ansatte og utenforstående, slik at behovet for konfidensialitet ivaretas, jf. personopplysningslovens Det vises til kontrollrapporten punkt Frist settes til 1. januar 2012 TVNorge må innen bekrefte skriftlig overfor Datatilsynet at påleggeene er gjennomført og vedlegge kopi av de nye skriftlige rutinene. Med mindre annet er særskilt angitt kreves det ikke ytterligere dokumentasjon på at pålegget er gjennomført. Det gjøres imidlertid oppmerksom på at Datatilsynet vil kunne foreta en etterkontroll av dette. Klageadgang Dette vedtaket kan påklages i henhold til forvaltningslovens bestemmelser. Eventuell klage må fremsettes overfor Datatilsynet innen tre uker etter at vedtaket ble mottatt. Datatilsynet gjør i den forbindelse oppmerksom på at virksomheten/de har rett til innsyn i sakens dokumenter, jf. forvaltningsloven 18. Personvernnemnda er klageorgan, og skal behandle saken dersom Datatilsynet ikke finner grunn til å gjøre om sitt eget vedtak. Med hilsen Leif T. Aanensen avdelingsdirektør Frank Ulfsby Eriksen senioringeniør Vedlegg: Endelig kontrollrapport 2

3 Saksnummer: 11/00442 Dato for kontroll: Rapportdato: Endelig kontrollrapport Kontrollobjekt: TV Norge Sted: Oslo Brevkontroll Utarbeidet av: Frank Ulfsby Eriksen Maria Bakke 1 Innledning Datatilsynet gjennomførte en brevkontroll mot TV Norge (Heretter virksomheten). Kontrollen ble utført med hjemmel i personopplysningsloven 44, jf. 42, 3. ledd. Svarfirst på kontrollen ble satt til 16. mai Virksomheten ga sitt tilsvar på e-post 10. mai Temaet for kontrollen var virksomhetens behandling av personopplysninger, særlig i forbindelse med IP-TV. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under brevkontrollen. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Generelt TV Norge er en kommersiell tv-kanal med 120 ansatte, og er heleid av ProSiebenSat1. TV Norge står bak kanalene TV Norge, MAX og Fem. De tilbyr også muligheten for Nett-TV i samarbeid med MPS Broadband AB i Sverige. Virksomhetens norske produksjoner lages utelukkende av 100 prosent frittstående produksjonsselskaper. 3 Kort om bruk av personopplysninger samt formålet med behandlingene Virksomheten samler inn opplysninger om kunder for å levere tv-abonnement igjennom internett. Dette er i hovedsak fullt navn, e-post, sted og kredittkortinformasjon. I tillegg ber de om adresse, land, postnummer, telefon og mobiltelefon. TV-løsningen registrerer også brukermønster for hvilke tv-programmer hver enkelt kunde ser. Formålet er i hovedsak administrasjon av kundeforholdet. Sistnevnte på statistisk grunnlag for avregning av kostnader. Kredittkortinformasjon og IP-adresse formidles til PayEx for betaling av abonnement. 4 Funn og avvik fra lovbestemte krav til behandling av personopplysninger 4.1 Grunnkrav til behandling av personopplysninger Det oppstilles en rekke grunnkrav til behandling av personopplysninger i personopplysningslovens 11. Personopplysninger skal kun behandles dersom det foreligger et behandlingsgrunnlag for dette i henhold til personopplysningslovens 8 og 9. Den 1 av 5

4 behandlingsansvarlige skal også sørge for at personopplysningene som behandles bare brukes til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet, jf. personopplysningslovens 11 bokstav b). Videre stilles det i personopplysningslovens 11 bokstav e) et krav om at opplysningene som behandles er korrekte og oppdaterte, og ikke lagres lenger enn det som er nødvendig ut fra formålet med behandlingen, jf. 28. Opplysningene skal slettes med mindre de deretter skal oppbevares i henhold til arkivloven eller annen lovgivning. Ved opphør av for eksempel et kundeforhold skal opplysningene slettes med mindre det foreligger utestående krav eller lagring er regulert i annen lovgivning. 4.2 Behandlingsgrunnlag og sletterutiner Generelt om behandlingsgrunnlag i kundeforhold Etter personopplysningslovens 8 kreves et behandlingsgrunnlag ved behandling av personopplysninger. Behandlingen kan baseres på et samtykke fra den registrerte, lovhjemmel, eller at behandlingen fremstår som nødvendig holdt opp mot nærmere angitte formål, jf. bokstav a-f. Virksomhetens behandlingsgrunnlag for egne aktiviteter ovenfor abonnenter vil være behandling nødvendig for å oppfylle en avtale med den registrerte, eller for å utføre gjøremål etter den registrertes ønske før en slik avtale inngås, jf. personopplysningslovens 8 bokstav a. For å behandle personopplysninger utover det som anses for å være nødvendig for å oppfylle avtalen med den registrerte, må en eventuell behandling av personopplysninger baseres på et samtykke fra den registrerte Generelt om sletting og anonymisering I henhold til personopplysningsloven 28 skal den behandlingsansvarlige ikke lagre personopplysninger lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen. Hvis opplysningene ikke deretter skal oppbevares i henhold til annen lovgivning, skal de slettes. Dersom opplysningene anonymiseres, oppfyller dette også vilkåret i personopplysningsloven 28, da opplysningene ikke lenger kan knyttes til enkeltpersoner og derfor ikke lenger er personopplysninger. Sletting eller anonymisering av opplysninger må skje i alle ledd hvor opplysninger lagres for å oppfylle vilkåret i lovens Behandlingsgrunnlag for innsamling av personopplysninger som ikke er nødvendige for gjennomføringen av avtalen Som nevnt under avnitt fire, samler TV Norge inn opplysninger om adresse, land, postnummer, telefon og mobiltelefon dersom kunden oppgir dette ved registrering. Opplysningene er ikke obligatoriske for å kunne benytte løsningen. Det fremgår tydelig av skjemaet man skal fylle ut at disse opplysningene ikke er nødvendige for å få tilgang til løsningen, men det fremgår ikke hva formålet med utfylling av disse opplysningene er og hva TV Norge ønsker å benytte disse opplysningene til om de fylles ut. I henhold til personopplysningslovens 11 bokstav c) og d) skal den behandlingsansvarlige påse at opplysninger som innhentes er relevante for formålet med behandlingen, og ikke 2 av 5

5 senere behandles til formål som er uforenlige med det opprinnelige formålet. Så fremt opplysninger ikke er nødvendig for formålet å abonnere på løsningen, kan de med dette som utgangspunkt heller ikke samles inn for eventuell fremtidig bruk som ikke har et klart og definert formål. Dersom den behandlingsansvarlige skal samle inn personopplysninger ut over det som er nødvendig for å oppfylle avtalen med kunden, jf. behandlingsgrunnlaget i personopplysningslovens 8 bokstav a), må kunden informeres om dette på en klar måte, slik at dersom kunden ønsker å oppgi slik informasjon, vil dette gjøres på bakgrunn av et frivillig, uttrykkelig og informert samtykke, jf personopplysningslovens 8 og 2 nr. 7). Manglende behandlingsgrunnlag anses som et brudd på personopplysningslovens 11 jf. 8. Dersom virksomheten ikke kan vise til et rettslig grunnlag for behandling av disse opplysningene, skal det som er samlet inn slettes uten unødig opphold, jf. personopplysningslovens 28. Så fremt det ikke foreligger et saklig formål skal ikke personopplysninger samles inn Behandlingsgrunnlag for lagring av brukermønster - sletting og anonymisering av brukermønster Det vises her til avsnitt og med hensyn til krav til behandlingsgrunnlag og et konkret formål med behandling av personopplysninger. Som beskrevet i punkt må det være samsvar mellom formålet med innhenting/behandling av personopplysninger og det rettslige grunnlaget for behandling av personopplysningene - det må altså foreligge en sammenheng mellom innhenting av opplysninger om abonnenters brukermønster, det rettslige grunnlaget for dette, og formålet med det som faktisk registreres i løsningen. TV Norge lagrer pr i dag brukermønster på abonnenter, men det er ikke avklart hva det faktiske formålet med lagringen er. Opplysningene lagres på nåværende tidspunkt i 3 uker. Dette punktet må også ses i sammenheng med hvilken informasjon kunden gis når avtale om bruk av TV-løsningen inngås, jf. avsnitt 4.4 om informasjonsplikt og avsnitt og hvor det beskrives at informasjon til kunden er en forutsetning for behandlingsgrunnlag som samtykke og avtale. Ettersom kundene ikke får informasjon om registrering av brukermønster, vil det ikke foreligge et rettslig grunnlag for denne typen registrering, jf. personopplysningslovens 8. Så fremt det ikke finnes et saklig formål for lagringen som er begrunnet i behandlingsgrunnlaget, eller det foreligger hjemmel i annen lovgiving for lagringen, skal opplysningene slettes, jf. personopplysningslovens 28. Se nærmere om dette i punkt Manglende behandlingsgrunnlag anses som et brudd på personopplysningslovens 11 jf. 8. Manglende rutine for sletting eller anonymisering av brukermønster anses å være i strid med personopplysningslovens 28, jf 14 om internkontroll. 4.3 Databehandleravtale Personopplysningsloven 2 nr. 4 omhandler plassering av behandlingsansvar for personopplysninger. Den behandlingsansvarlige er i henhold til bestemmelsen den som 3 av 5

6 bestemmer formålet med behandlingen av personopplysningene, og hvilke hjelpemidler som skal brukes. I tillegg omhandler paragrafens nr 5. bruk av databehandler, den som behandler personopplysninger på vegne av den behandlingsansvarlige. Den behandlingsansvarlige må som hovedregel være etablert i Norge, jf. personopplysningsloven 4. Personopplysningsloven 15 regulerer forholdet mellom en behandlingsansvarlig og en databehandler med hensyn til rådighet over personopplysinger. Det må foreligge en avtale som klart definerer ansvaret virksomheter imellom. Avtalen kan være en del av annet avtaleverk mellom partene, for eksempel som et vedlegg. TV Norge benytter seg av PayEx som leverandør av betalingsløsning for abonnement som tilbys gjennom TV-løsningen. Kredittkortinformasjon regnes som personopplysninger og dersom en annen virksomhet behandler slike opplysninger på vegne av en behandlingsansvarlig må dette reguleres i en databehandleravtale, jf. personopplysningsloven 15. I tillegg benytter TV Norge seg av MPS Broadband AB for behandling av personopplysninger, herunder de personopplysninger som kunde registrerer ved opprettelse av konto. Sistnevnte er underleverandør av web-tv løsningen som TV Norge tilbyr sine kunder. Manglende databehandleravtaler med disse partene anses å være i strid med personopplysningslovens Informasjonsplikt Lagring og behandling av personopplysningene som beskrevet ovenfor i punkt 4.2 er ikke inntatt i avtalen med kundene. Det er heller ikke innhentet samtykke fra abonnentene til en oppbevaring av opplysninger utover det som følger av avtalen medkunden, og det finnes etter dette ikke behandlingsgrunnlag for denne behandlingen. Manglende behandlingsgrunnlag anses som et brudd på personopplysningslovens 11 jf. 8, se nærmere om dette i punkt og Dette får følger også for informasjonsplikten den behandlingsansvarlige har overfor kundene. I henhold til personopplysningsloven 18, jf. 19 er behandlingsansvarlig forpliktet til å informere abonnentene om hvordan deres personopplysninger blir behandlet og legge til rette for abonnentens innsynsrett. Som følge av at noe av behandlingen av personopplysninger om TV Norges kunder ikke er inntatt i avtalen med kundene, og det heller ikke er innhentet samtykke for dette, får abonnenten per i dag ikke tilstrekkelig informasjon over hvilke behandlinger av personopplysninger som foretas. Dette må ses i sammenheng med avsnitt 4.2 om kartlegging av formål og behandlingsgrunnlag for behandling av kundeopplysninger, samt sletting og anonymisering av brukermønster. TV Norge har på nåværende tidspunkt ikke kartlagt på en tilstrekkelig måte hvilke personopplysninger som behandles om brukermønster gjøres, jf. punkt 4.2.4, som igjen gjør at kunden ikke kan få tilstrekkelig informasjon for å ivareta sine rettigheter. 4 av 5

7 Datatilsynet anser manglende informasjon til kunden i strid med personopplysningslovens 18, jf Krav om informasjonssikkerhet Passordhåndtering Personopplysningsforskriftens 2-11 stiller krav om tiltak for å hindre uautorisert innsyn i personopplysninger hvor konfidensialitet er nødvendig. I dagens løsning er ingen passord som kundene benytter beskyttet. Ved glemt passord må kunden oppgi sin e-post adresse eller brukernavn på nettsiden, og vil få tilsendt sitt passord som de da har glemt. Passordet er ikke generert på nytt, men er det samme passordet som kunden har satt tidligere ved opprettelse av konto. E-postadressen som passordet sendes til er også kundens brukernavn. Utsendelse av brukernavn og passord i samme forsendelse er noe som sterkt frarådes, da det vesentlig øker sjansen for å misbruke opplysningene. E-post er en forsendelsesmetode som ikke har nødvendig konfidensialitet for håndtering av slike opplysninger. Mange kunder velger å gjenbruke et passord på flere tjenester. Selv om en slik praksis sterkt frarådes, bør virksomheten ta hensyn til dette i sine vurderinger. Risikoen for at lister med passord kan komme på avveie vil alltid være tilstede ved ovennevnte løsning. Virksomheten bør ikke bidra til å øke kundens risiko for misbruk. Tilsynets forvaltningspraksis tilsier at passord skal krypteres og dermed ikke være tilgjengelig for andre enn kunden selv. Krypteringen må være gjennomgående, det vil si at det også må gjennomføres i alle ledd, både i CRM-systemet og på databasenivå. Ingen ledd i informasjonssystemet skal oppheve en slik kryptering. Ved glemt passord bør kunden få tilsendt et nytt midlertidig passord som har en kort levetid, normalt noen timer. Da kan kunden endre til et passord som er ønskelig uten at uvedkommende kan komme i besittelse av det opprinnelige passordet. Datatilsynet anser den manglende konfidensialiteten på brukerens passord som et brudd på personopplysningsforskriftens av 5