Artikel 29-gruppen vedrørende databeskyttelse 00065/2010/DA WP 174 Udtalelse nr. 4/2010 om FEDMA's europæiske adfærdskodeks for brug af personoplysninger i forbindelse med direkte markedsføring vedtaget den 13. juli 2010 Gruppen, der er nedsat under artikel 29 i direktiv 95/46/EF, er et uafhængigt EU-rådgivningsorgan vedrørende databeskyttelse og beskyttelse af privatlivets fred, hvis opgaver er fastsat i artikel 30 i direktiv 95/46/EF og artikel 15 i direktiv 2002/58/EF. Gruppens sekretariat varetages af Europa-Kommissionens Direktorat C (Grundlæggende rettigheder og Unionsborgerskab) under Generaldirektoratet for Retfærdighed, Frihed og Sikkerhed (1049 Bruxelles, Belgien, kontor nr. LX-46 01/190). Websted: http://ec.europa.eu/justice/policies/privacy/index_en.htm
GRUPPEN VEDRØRENDE BESKYTTELSE AF PERSONER I FORBINDELSE MED BEHANDLING AF PERSONOPLYSNINGER, som blev nedsat ved Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 1, under henvisning til artikel 29 og artikel 30, stk. 1, litra d), i ovennævnte direktiv, under henvisning til sin forretningsorden, særlig artikel 12 og 14, har vedtaget følgende udtalelse: 1. INDLEDNING Artikel 27, stk. 3, i direktivet fastsætter følgende: "Udkast til EF-kodeks og forslag til ændring eller forlængelse af eksisterende EF-kodekser kan forelægges den i artikel 29 omhandlede gruppe. Denne gruppe udtaler sig bl.a. om, hvorvidt de udkast, den har fået forelagt, er i overensstemmelse med de nationale bestemmelser til gennemførelse af dette direktiv. Hvis den finder det nødvendigt, indhenter den bemærkninger fra de registrerede eller disses repræsentanter. Kommissionen kan tilse, at de kodekser, som gruppen har godkendt, offentliggøres på passende vis". For at lette anvendelsen af denne bestemmelse vedtog gruppen i september 1998 et dokument, som fastlægger den procedure, der skal følges af de interesserede parter ved indsendelse af EU-adfærdskodekser og ved gruppens efterfølgende evaluering i overensstemmelse med artikel 27 og 29 i direktiv 95/46/EF 2. Dette dokument sammenfatter de grundlæggende proceduremæssige skridt, der skal tages i den forbindelse. Gruppen vedtog i juni 2003 en udtalelse om FEDMA's EU-adfærdskodeks for brug af personoplysninger i forbindelse med direkte markedsføring. Kodeksen er i overensstemmelse med artikel 27 i databeskyttelsesdirektivet og tilfører det merværdi samtidigt med, at det i tilstrækkeligt omfang fokuserer på de specifikke databeskyttelsesspørgsmål og -problemer inden for direkte markedsføring og omhandler tilstrækkeligt klare løsninger på de eksisterende problemer 3. Gruppen mente derfor, at den opfyldte de krav, direktivets artikel 27 fastsætter. Gruppen understregede imidlertid, at en generel kodeks som denne pr. definition ikke kan løse alle de specifikke problemer, der er forbundet med brugen af internettet, og opfordrer derfor FEDMA til at udarbejde et bilag til kodeksen, som omhandler disse spørgsmål. Dette bilag bør navnlig omhandle beskyttelse af børn, som er særligt sårbare i en internetkontekst, således som det understreges i bidraget fra BEUC (den europæiske forbrugerorganisation), der blev hørt af gruppen. Ved brev af 16. december 2005 tilsendte FEDMA artikel 29-gruppen et dokument indeholdende "et bilag til kodeksen om databeskyttelse og direkte markedsføring" (i det 1 2 3 EFT L 281 af 23.11.1995, s. 31, tilgængelig på: http://europa.eu.int/comm/internal_market/privacy/law_en.htm Fremtidigt arbejde vedrørende adfærdskodekser: Arbejdsdokument om proceduren for behandling af EU-adfærdskodekser i gruppen vedtaget den 10. september 1998, WP 13. Udtalelse nr. 3/2003, dokument WP 77, findes på: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2003/wp77_en.pdf - 2
følgende "bilaget"). Ifølge FEDMA er formålet med bilaget at dække specifikke problemer i forbindelse med online-markedsføring. Som det er tilfældet med FEDMAkodeksen er det hverken hensigten på nogen måde at erstatte eller blande sig i national lovgivning eller at bevæge sig ind på områder, der ikke på nuværende tidspunkt er omfattet af EU-lovgivning. Formålet med bilaget er at give de grænseoverskridende internetvirksomheder retningslinjer for, hvordan de skal forholde sig i forbindelse med online-markedsføring. Ved brev af 8. juni 2006 informerede formanden for artikel 29-gruppen FEDMA om artikel 29-gruppens kommentarer til udkastet til et bilag om online-markedsføring. Der blev fremsat flere kommentarer til forskellige afsnit i dokumentet. Artikel 29-gruppen opfordrede FEDMA til at tage hensyn til de tilknyttede kommentarer for at sikre, at dette bilag i højere grad afspejler de databeskyttelsesnormer, der er fastsat i direktiv 95/46/EF og 2002/58/EF og de nationale gennemførelsesbestemmelser hertil. Den 7. juni 2007 fremlagde generaldirektøren for FEDMA artikel 29-gruppen en revideret udgave af bilaget om en adfærdskodeks for online-markedsføring. Den nye tekst var et gennemrevideret dokument med samme opbygning som den generelle FEDMA-kode fra 2003, der blev godkendt af artikel 29-gruppen (WP 77). Ad hoc-undergruppen under artikel 29-gruppen med ansvar for adfærdskodeksen har holdt flere møder for at undersøge dokumenterne fra FEDMA. Den har også holdt møde med FEDMA for at diskutere bilaget om online-markedsføring for at få klarhed omkring en række emner og spørgsmål, kodeksen adresserer. Efter disse møder fremlagde FEDMA i februar 2010 en ny version af bilaget om onlinemarkedsføring. Formanden for artikel 29-gruppen opfordrede den 25. maj 2010 FEDMA til at behandle et sidste spørgsmål vedrørende reglerne for member-get-memberkampagner, således at artikel 29-gruppen kan træffe en endelig afgørelse om onlinemarkedsføringskodeksens overensstemmelse med direktiv 95/46/EF og det gældende direktiv 2002/58/EF 4. FEDMA fremsendte i juni 2010 en endelig version af bilaget om online-markedsføring, der endelig er i overensstemmelse med direktiv 95/46/EF og sikrer tilstrækkelig merværdi. 2. OPBYGNINGEN OG INDHOLDET AF BILAGET OM ONLINE-MARKEDSFØRING Hvad angår navnlig e-mail-markedsføring, som omhandles i bilaget om onlinemarkedsføring, skal den eventuelt den opfylde de to hovedkriterier, som artikel 29- gruppen vedrørende EU-adfærdskodekser har fastsat i sit arbejdsdokument WP 13: En kodeks, der indsendes i henhold til artikel 27 i direktiv 95/46/EF, skal være i overensstemmelse med direktivet og de nationale gennemførelsesbestemmelser hertil 4 Direktiv 2002/58/EF blev ændret ved Europa-Parlamentets og Rådets direktiv 2009/136/EF af 25. november 2009. Det ændrede direktiv 2002/58 skal gennemføres senest den 25. maj 2011 (EUT L 337 af 18.12.2009, s. 11). 3
En kodeks, der indsendes, skal være af tilstrækkelig kvalitet og intern konsekvens og sikre tilstrækkelig merværdi samt fokus på særlige spørgsmål og problemer angående beskyttelse af oplysninger i den organisation eller sektor, hvor den skal anvendes, og frembyde tilstrækkeligt entydige løsninger på disse spørgsmål og problemer. Eftersom adfærdskodeksen for online-markedsføring er et bilag til EU-adfærdskodeksen til brug i forbindelse med anvendelse af personoplysninger i direkte markedsføring, der skal ses som en supplerende FEDMA-adfærdskodeks, finder artikel 29-gruppen, at bestemmelserne i den generelle FEDMA-kodeks også skal finde tilsvarende anvendelse på dette bilag. Bilagets opbygning ligger tæt op ad opbygningen i den generelle FEDMA-kodeks, som den henviser til, og udgør i den forstand en behørig tilføjelse hertil - Generelt: Definitioner - Afsnit 1: Anvendelig lovgivning - Afsnit 2: Indhentning af oplysninger direkte fra den registrerede - Afsnit 3: Indhentning af oplysninger fra andre kilder end den registrerede - Afsnit 4: Præferenceservicesystemer - Afsnit 5: Beskyttelse af privatlivets fred og brug af cookies - Afsnit 6: Særlig bestemmelse til beskyttelse af børn - Afsnit 7: Særlige bestemmelser om forbudt praksis - Bilag: Eksempler på god praksis og ikke-acceptabel praksis i forbindelse med online-annoncering. Bilagets indhold forbedrer dokumentets kvalitet og klarlægger de forskellige spørgsmål, det behandler. Bilagets merværdi gør sig gældende på følgende områder: Definitioner Listen over definitioner er blevet revideret grundigt og udvidet. Der er f.eks. inkluderet definitioner af "uopfordret kommerciel kommunikation", "behandling af personoplysninger" og "samtykke". Listen supplerer de definitioner, der allerede indgår i den generelle kodeks. Afsnit 2: Indhentning af oplysninger direkte fra den registrerede Afsnit 2 fastsætter generelle principper for fair behandling af oplysninger og kravene til den registreringsansvarlige i overensstemmelse med direktiv 95/46/EF. Det indeholder specifikke bestemmelser om indsamling af personoplysninger om forbrugere (herunder oplysninger, som skal gives ved den registreringsansvarliges egen anvendelse af oplysninger, samt ved videregivelse af personoplysninger om registrerede til tredjeparter) og af personoplysninger for juridiske personer i forbindelse med kommercielle produkter eller tjenester. Artikel 29-gruppen ser med tilfredshed på det udtrykkelige krav om, at kommercielle e-mail skal indeholde tilstrækkelige oplysninger til, at det er muligt tydeligt at identificere det kommercielle formål med mailen og om indføjelse af et afsnit om muligheder for afmelding, der gør det muligt for modtagere af kommercielle meddelelser på en enkel, effektiv, direkte og nem måde at afmelde kommercielle meddelelser vederlagsfrit. Modtageren bør have mulighed for at foretage afmelding uden begrundelse. 4
Afsnit 3: Indhentning af oplysninger fra andre kilder end den registrerede Afsnit 3 omhandler kravene til den registreringsansvarlige om at fremlægge oplysninger, navnlig om den registreredes informerede samtykke. Behovet for, at den kommercielle virksomhed opnår den registreredes samtykke, nævnes også udtrykkeligt i forbindelse med host mailing. Artikel 29-gruppen ser også med tilfredshed på reglerne vedrørende member-get-member-kampagnerne efter en præcisering af teksten med henblik på at undgå retlige fejlfortolkninger (3.2.1.). Afsnit 4: Præferenceservicesystemer Artikel 29-gruppen ser navnlig med tilfredshed på indføjelsen af afsnit 4 vedrørende præferenceservicesystemer. Afsnit 5: Beskyttelse af privatlivets fred og brug af cookies Afsnittet indeholder bl.a. bestemmelser om politikker til beskyttelse af privatlivets fred, der bør indeholde klare og omfattende oplysninger om enhver cookie. De retlige rammer for direktiv 2002/58/EF som ændret ved direktiv 2009/136/EF, der anvendes fra 25. maj 2011, kan kræve, at dette afsnit tilpasses for at sikre overensstemmelse med direktivet. Afsnit 6: Beskyttelse af børn Bestemmelserne henviser til en ordning, der er fastsat i den generelle FEDMA-kodeks med henblik på at beskytte børn mod nye og specifikke farer inden for online-sektoren. Artikel 29-gruppen ser f.eks. med tilfredshed på bestemmelsen om, at det er ulovligt uden forudgående samtykke fra den retlige repræsentant at anmode om følsomme oplysninger om racemæssig eller etnisk oprindelse, politiske holdninger, religiøs eller anden overbevisning, medlemskab af fagforening eller oplysninger vedrørende børns helbred eller sexliv eller økonomisk situation for dem selv eller tredjeparter, f.eks. forældre eller venner. Afsnit 7: Forbudt praksis Afsnittet omhandler udtrykkeligt forbudt praksis med hensyn til automatisk indsamling af oplysninger og spyware. Artikel 29-gruppen bemærker, at bilagets afsnit 5 og 7 er omfattet af direktiv 2002/58, navnlig artikel 5, stk. 3, som ændret ved direktiv 2009/136/EF. Begge afsnit bør fortolkes i lyset af den seneste vejledning fra artikel 29- gruppen i dens udtalelse om adfærdsbaseret online-annoncering 5. Bilag: God og ikke-acceptabel praksis Indføjelsen af et bilag med eksempler på god og ikke-acceptabel praksis i forbindelse med online-annoncering sikrer merværdi, hvad angår praktisk anvendelse af reglerne. 3. KONKLUSION Gruppen ser med tilfredshed på, at bilaget om online-markedsføring til FEDMA's adfærdskodeks for anvendelse af personoplysninger inden for direkte markedsføring er i overensstemmelse med direktiv 95/46/EF og det gældende direktiv 2002/58/EF samt gældende national lovgivning 6. Bilaget behandler en række spørgsmål vedrørende online-sektoren (f.eks. member-get-member-kampagner, beskyttelse af børn og mulighed for afmelding) og sikrer derfor direktiverne tilstrækkelig merværdi gennem klare 5 6 Udtalelse nr. 2/2010 om adfærdsbaseret onlineannoncering vedtaget den 22. juni 2010; dokument WP 171, tilgængeligt på: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2010/wp171_en.pdf National lovgivning kan fastsætte yderligere krav. 5
løsninger på de problemer, der optræder i sektoren for online-markedsføring. Det opfylder derfor de krav, der er fastsat i artikel 27 i direktiv 95/46/EF. Gennemførelsen af direktiv 2002/58/EF som ændret ved direktiv 2009/136/EF i medlemsstaternes lovgivning kan imidlertid kræve, at bilaget ændres, navnlig for så vidt angår cookies og spyware, for at være i overensstemmelse med de nye bestemmelser. Gruppen anbefaler FEDMA at vurdere, hvilke tilpasninger bilagets adfærdskodeks vil kræve fra 25. maj 2011 for at være i overensstemmelse med de retlige rammer, der er fastsat ved direktiv 2002/58/EF som ændret ved direktiv 2009/136/EF, og de nationale gennemførelsesbestemmelser hertil. For at sikre, at de nationale databeskyttelsesmyndigheder informeres behørigt om anvendelsen af denne kodeks i praksis, aflægger FEDMA-databeskyttelsesudvalget årligt rapport til gruppen om kodeksens anvendelse. Skulle denne rapport give anledning til spørgsmål, kontakter gruppen FEDMA for at drøfte de pågældende spørgsmål. Gruppen opfordrer FEDMA til at fremme anvendelsen af dette bilag om en adfærdskodeks for online-markedsføring i sektoren for direkte markedsføring på en proaktiv måde med henblik på at sikre, at registrerede personer er tilstrækkeligt informerede om dets eksistens og indhold og til at fortsætte indsatsen på dette område, således at beskyttelsen af den enkelte fortsat forbedres. Gruppen vil i særlig grad være opmærksom på de årlige rapporter om anvendelse af kodeksen, som udarbejdes af databeskyttelsesudvalget under FEDMA. Bilag: teksten til bilaget om online-meddelelser i forbindelse med direkte markedsføring til EU-kodeksen vedrørende anvendelse af personoplysninger i direkte markedsføring (bilaget om direkte markedsføring).. Udfærdiget i Bruxelles, den 13. juli 2010 På gruppens vegne Jacob KOHNSTAMM Formand 6