Har du firmaprofil på Facebook? Så er du medansvarlig for Facebook’s håndtering af persondata

De færreste virksomheder har formentlig tænkt over, at der kunne opstå et persondataretligt problem ved at have en firmaprofil på Facebook og ved at have ”følgere”, som ”liker” virksomheden, idet de fleste er af den klare opfattelse, at det er Facebook, der er dataansvarlig i relation til disse følgere - og alle andre personer, der måtte besøge virksomhedens ”fanpage”.

Virksomheden modtager nemlig ikke personhenførbare data fra Facebook, men alene anonymiserede statistiske oplysninger genereret af cookier, placeret af Facebook.

Det er også korrekt, at Facebook er dataansvarlig, MEN i en ny afgørelse fra den 5. juni fastslog EU-Domstolen, at også virksomheden har et medansansvar og dermed et fælles ansvar med Facebook for en korrekt håndtering af persondatareglerne.

EU-Domstolen begrunder resultatet med følgende udtalelse:

”I denne sammenhæng fremgår det af de for Domstolen fremlagte oplysninger, at oprettelsen af en fanside på Facebook indebærer, at administratoren af fansiden (Virksomheden) foretager en indstilling, som er afhængig af bl.a. målgruppen samt målene for forvaltning af og reklame for sine aktiviteter, og som har indflydelse på behandlingen af personoplysningerne med henblik på udarbejdelsen af statistikker på grundlag af besøgene på fansiden. Denne administrator kan ved hjælp af de filtre, som Facebook stiller til rådighed, definere de kriterier, som statistikkerne skal udarbejdes på grundlag af, og angive de kategorier af personer, som Facebook skal indsamle personoplysninger om. Følgelig bidrager administratoren af en fanside på Facebook til behandlingen af personoplysninger om brugerne af dennes side.

Administratoren af en fanside kan især anmode om at modtage – og dermed, at der behandles – demografiske oplysninger om målgruppen, bl.a. tendenser for så vidt angår alder, køn, forholdsstatus og arbejde, oplysninger om målgruppens livsstil og interesseområder og oplysninger om brugerne af sidens køb og købsadfærd online, kategorier af varer eller tjenesteydelser, der interesserer målgruppen mest, og geografiske oplysninger, som gør det muligt for fansidens administrator at foretage specifikke salgsfremstød eller arrangere begivenheder eller mere generelt bedre at målrette sit informationsudbud.

Selv om det er korrekt, at de af Facebook udarbejdede statistikker om målgruppen alene videregives til fansidens administrator i anonymiseret form, er udarbejdelsen af disse statistikker ikke desto mindre baseret på den forudgående indsamling af brugernes personoplysninger ved hjælp af cookies, som Facebook har installeret i brugernes computer eller ethvert andet medium, når de besøger fansiden, og behandlingen af deres personoplysninger i statistisk øjemed. Når flere operatører har et fælles ansvar for den samme behandling, kræver direktiv 95/46 under alle omstændigheder ikke, at hver enkelt har adgang til de pågældende personoplysninger.”

Kort fortalt siger EU-Domstolen, at den kendsgerning at virksomheden (”administratoren”) har indflydelse på hvilke persondata, der skal indhentes for at virksomheden kan modtage de ønskede anonymiserede data, betyder, at man bliver medansvarlig.

Sagen vil få stor betydning - ikke kun for social media marketing - men for hele online markedsføringen i form af retargeting etc.

Et fælles dataansvar har den konsekvens, at virksomheden og Facebook (eller andre tilsvarende platforme og værktøjer) skal fortælle de registrerede hvilke opgaver og ansvarsområder, som de to parter hver især har i relation til datahåndteringen.

Du kan læse mere om dommen og få gode råd til, hvordan du skal forholde dig til sagen i en artikel fra Datatilsynet, som du finder her:

EU-Domstolens afgørelse om dataansvar for fansider på Facebook

Læs hele dommen her