Vedtak om pålegg og endelig kontrollrapport - Kontroll hos Norsk Medisinaldepot AS

Transkript

1 Norsk Medisinaldepot AS Postboks 183 Kalbakken 0903 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) Dato 11/ /SEV 28. februar 2012 Vedtak om pålegg og endelig kontrollrapport - Kontroll hos Norsk Medisinaldepot AS Det vises til Datatilsynets kontroll hos virksomheten den 28. september 2011 og Datatilsynets varsel om vedtak av 4. november Vurdering av tilsvar Datatilsynet har i e-post av 21. oktober 2011 og 25. november 2011 mottatt virksomhetens merknader til varselet, og har følgende kommentarer til det som fremkommer der: Ad. Punkt 4 Virksomheten presiserer at punktene under Temaer du er interessert i: er valgfrie felt. Dette presiserer i endelig rapport. Ad. Punkt Virksomheten presiserer at den ikke har kjøpshistorikk ikk for kjøp over disk. Dette gjelder kun det kundene e foretar over nett hvor medlemsbasen viser omsetningsstatistikk på varekategori nivå. Datatilsynet endrer setningen i kontrollrapporten så dette blir presisert. Tidligere var setningen: Virksomheten oppgir at ved bruk av medlemskortet under bestilling eller kjøp i butikk blir det registrert hvilke kategori som inngår i handelen, antall elementer i kategorien og total sum for kjøpet. Dette blir endret til: Virksomheten oppgir at ved bruk av medlemskortet under bestilling på internett blir det registrert hvilken kategori som inngår i handelen, antall elementer i kategorien og total sum for kjøpet. Lukking av avvik Virksomheten beskriver at de skal utarbeide en plan for å kunne korrigere sin praksis når det gjelder pålegg 1. Virksomheten har i e-post av 21. oktober informert tilsynet om sin utvidelse av informasjon til medlemmer om hva slags type informasjon virksomheten registrerer av medlemmer som kjøper i nettbutikken. Datatilsynet vurderer endringen til å beskrive virksomheten sin praksis og anser den til å være tilstrekkelig. Datatilsynet anser avviket som lukket og vil ikke fatte vedtak som varslet i Varsel om vedtak pålegg 2. Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Postboks 8177 Dep Tollbugt OSLO Hjemmeside:

2 Virksomheten beskriver sine endringer i prosedyre Registre Kunde med dok id i sitt kvalitetssystem. Den nye rutinen er sendt på høring og godkjent internt. Endringen lukker avviket og Datatilsynet vil ikke fatte vedtak som varslet i Varsel om vedtak pålegg 3. Vedtak om pålegg Med hjemmel i personopplysningsloven 46 gir Datatilsynet følgende pålegg: 1. Virksomheten må dokumentere internkontroll i samsvar med personopplysningslovens 14. Det vises til tilsynsrapportens Datatilsynet gir frist for gjennomføring av pålegget til 1. april Virksomheten må innen nevnte dato bekrefte skriftlig overfor Datatilsynet at pålegget er gjennomført. Med mindre annet er særskilt angitt kreves det ikke ytterligere dokumentasjon på at pålegget er gjennomført. Det gjøres imidlertid oppmerksom på at Datatilsynet vil kunne foreta en etterkontroll av dette. Klageadgang Dette vedtaket kan påklages i henhold til forvaltningslovens bestemmelser. Eventuell klage må fremsettes overfor Datatilsynet innen tre uker etter at vedtaket ble mottatt. Datatilsynet gjør i den forbindelse oppmerksom på at virksomheten har rett til innsyn i sakens dokumenter, jf. forvaltningsloven 18. Personvernnemnda er klageorgan, og skal behandle saken dersom Datatilsynet ikke finner grunn til å gjøre om sitt eget vedtak. Med vennlig hilsen Knut B. Kaspersen fagdirektør Stein Erik Vetland overingeniør Vedlegg: Endelig kontrollrapport 2

3 Saksnummer: 11/00939 Dato for kontroll: Rapportdato: Endelig kontrollrapport Kontrollobjekt: Norsk Medisinaldepot AS Sted: Oslo Utarbeidet av: Knut B. Kaspersen Stein Erik Vetland 1 Innledning Datatilsynet gjennomførte kontroll hos Norsk Medisinaldepot AS 28.september Kontrollen ble utført med hjemmel i personopplysningslovens 44, jf. 42, 3. ledd. Temaet for kontrollen var virksomhetens behandling av personopplysninger, i forbindelse med medlemskort i Vitusapotek. Kontrollen fant sted ved virksomhetens faste forretningsadresse. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Tilstede under kontrollen 2.1 Fra virksomheten: - Per Dingtorp, intern revisor avd. fag og kvalitet - Stig Heyerdahl, IT direktør avd. IT - Thomas Talle, Kanalsjef WEB avd. Commercial - Kristian Ekrheim, Leder IT-tjenester apotek/it 2.2 Fra Datatilsynet: - Knut B. Kaspersen, fagdirektør - Stein Erik Vetland, overingeniør 3 Generelt Norsk Medisinaldepot eier den landsdekkende apotekkjeden Vitusapotek, samt tilbyr konseptet Ditt Apotek til frittstående apotek. Virksomheten ble etablert i 1957 og er den største aktøren i det norske legemiddelmarkedet. Norsk Medisinaldepot er heleid av Celesio Gruppen, som er en ledende aktør i det globale legemiddelmarkedet. edet. Celesio gruppen er aktiv i 27 land og har medarbeidere. Blant annet eier gruppen apotek i 7 land. 4 Kort om bruk av personopplysninger samt formålet med behandlingene Datatilsynet har kun sett på virksomhetens behandling av personopplysninger nger i forbindelse med medlemskort i Vitusapotekene. 1 av 5

4 Formålet med behandlingen er å administrere personopplysningene til kunder som ønsker å være en del av medlemsprogrammet. Medlemsprogrammet gir kundene følgende fordeler: Spesielle medlemstilbud hver måned 20 % fast rabatt på utvalgte vitaminer og mineraler Ekstra bonustilbud ved hvert 6. kjøp over kr. 100 Sikker oppbevaring av resepter på apoteket Medisinen din er klar til henting på apoteket til avtalt tid Reseptene kan overføres til andre apotek i Norge Tilbud om nyhetsbrev via e-post Registreringen som kunden må gjøre for å bli medlem kan enten gjøres på blankett i apotekene eller elektronisk på Personopplysningene som kunden blir bedt om å avgi avgrenser seg til: Fornavn Etternavn Adresse Kommune (Kun ved registrering på blankett) Postnr Poststed Mobiltelefon (*For hentemelding på posten) E-post Passord Fødselsdato/år Kjønn Har ansvar for barn Temaer du er interessert i: o Hud og velvære o Kosthold og ernæring o Mosjon og bevegelse o Kvinnehelse o Småbarn o Astma og allergi o Diabetes o Muskel og skjelett o Hjerte og kar Temaer du er interessert i oppgis av virksomheten til å brukes for å kunne spisse tilbud til sine medlemmer. Punktene under Temaer du er interessert i: er valgfrie felter. 2 av 5

5 5 Funn og avvik fra lovbestemte krav til behandling av personopplysninger 5.1 Internkontroll Lovkrav Personopplysningsloven 14 stadfester at den behandlingsansvarlige skal etablere og holde ved like planlagte og systematiske tiltak som er nødvendig for å oppfylle kravene i eller i medhold av denne loven, herunder sikre personopplysningenes kvalitet. Videre skal den behandlingsansvarlige dokumentere tiltakene, jf personopplysningslovens forskrifter 3-1. Dokumentasjonen skal være tilgjengelig for medarbeiderne hos den behandlingsansvarlige og hos databehandleren. Dokumentasjonen skal også være tilgjengelig for Datatilsynet og Personvernnemnda Funn Virksomheten manglet dokumenter som beskrev hvordan virksomheten behandler personopplysninger i forbindelse med administrasjon av medlemskortene Vurdering og konklusjon Virksomheten er lovpålagt å ha skriftlig dokumentasjon for sitt internkontrollsystem, jf. personopplysningslovens forskrifter 3-1. Det er formålstjenlig at dokumentasjonen deles opp i tre hoveddeler: a) styrende dokumentasjon, b) gjennomførende dokumentasjon, c) og kontrollerende dokumentasjon. Manglende skriftlig dokumentasjon er uheldig siden det gjør det vanskelig å kunne kvalitetsvurdere opplæringen og rutinene virksomheten har. Manglende dokumentasjon gjør det også vanskelig for tilsynet å få kunnskap om virksomheten har en rutine som etterleves eller ikke. Manglende skriftlig dokumentasjon anses som et avvik og er et brudd på personopplysningslovens 14, jf personopplysningsforskriftens Informasjon Lovkrav Personopplysningsloven 19 stadfester at når det samles inn personopplysninger fra den registrerte selv, skal den behandlingsansvarlige av eget tiltak først informere den registrerte om a) navn og adresse på den behandlingsansvarlige og dennes eventuelle representant, b) formålet med behandlingen, c) opplysningene vil bli utlevert, og eventuelt hvem som er mottaker, d) det er frivillig å gi fra seg opplysningene, og 3 av 5

6 e) annet som gjør den registrerte i stand til å bruke sine rettigheter etter loven her på best mulig måte, som for eksempel informasjon om retten til å kreve innsyn, jf 18, og retten til å kreve retting, jf 27 og Funn Virksomheten har på sin blankett og på sine nettsider ingen spesiell informasjon som informerer kunder om hvilke opplysninger som vil bli lagret ut over de opplysningene de selv oppgir. På nettsidene har virksomheten lagt ut siden Personvern. På denne siden ligger kun informasjonen: Vi behandler kun personopplysninger som oppgis til oss, og som er nødvendig for at vi skal kunne gjennomføre våre forpliktelser overfor deg. samt informasjon om at nettsiden bruker cookies og script for å forbedre nettstedets funksjonalitet. Virksomheten oppgir at ved bruk av medlemskortet under bestilling på internett blir det registrert hvilke kategori som inngår i handelen, antall elementer i kategorien og total sum for kjøpet. Eksempler på kategorier er: Kvinnehelse, Muskel og skjelett og Hjerte/kar. Antallet kategorier er litt vekslende mellom 30 og 40. Antallet produkter oppgis til å være rundt Vurdering og konklusjon Kategoriene som benyttes anses fra tilsynet å være så grovmasket at opplysningene ikke kan utlede sensitive personopplysninger. Virksomheten er pålagt å informere tilstrekkelig så den registrerte er i stand til å bruke sine rettigheter etter loven. Så lenge kundene ikke er informert om hvilke behandlinger virksomheten gjør med deres personopplysninger vil de ikke være i stand til å bruke sine rettigheter. Siden virksomheten ikke sletter medlemmer som er inaktive, vil opplysningene fortsatt bli lagret hvis ikke medlemmet selv aktivt ber om å bli slettet. Manglende informasjon om registrering av kjøpsopplysninger i medlemsdatabasen anses som et avvik og er et brudd på personopplysningslovens Sletting Lovkrav Personopplysningsloven 28 stadfester at den behandlingsansvarlige ikke skal lagre personopplysninger lengre enn det som er nødvendig for å gjennomføre formålet med behandlingen. Hvis ikke personopplysningen deretter skal oppbevares i henhold til arkivloven eller annen lovgivning, skal de slettes Funn Virksomheten merker en kunde som utmeldt hvis en kunde ønsker å bli slettet som medlem. Virksomheten beholder personopplysningene, men bruker ikke personopplysningene til å kontakte kunden igjen. 4 av 5

7 5.3.3 Vurdering og konklusjon Personopplysningsloven definerer sletting til å være en fjerning av opplysningen. Ved kun å merke medlemmet som utmeldt har virksomheten ikke fjernet noen av de registrerte opplysningene. Siden kunden ikke videre blir kontaktet av virksomheten er ikke kundene klar over at de fortsatt er lagret i databasen. Manglende sletting anses som et avvik og er et brudd på personopplysningslovens av 5