Datatilsynet har udtalt alvorlig kritik og meddelt påbud til Boligportal for brugen af Facebook Business Tools. Tilsynet kunne ikke fastslå, om klagers data faktisk var overført til USA, men fandt, at Boligportal ikke kunne dokumentere overholdelse af GDPRs ansvarlighedskrav. Særligt manglede en gyldig og tilstrækkelig aftale om fælles dataansvar med Meta Ireland, og den nuværende ordning beskriver ikke klart eventuel brug af databehandlere uden for EU/EØS eller ansvaret for tredjelandsoverførsler.
Fælles dataansvar og tredjelandsoverførsler
Ved fælles dataansvar kræver GDPR art. 26 en ordning, der fordeler roller og pligter, herunder information til de registrerede og efterlevelse af reglerne i kapitel V om overførsler. Datatilsynet konstaterede, at disse elementer ikke var tilstrækkeligt fastlagt.
Facebook Business Tools indsamler bl.a. IP-adresser og onlineidentifikatorer via cookies og sporingspixels. Når sådanne værktøjer integreres, skal den dataansvarlige kunne redegøre for behandlingsgrundlag, oplysningspligt, eventuelle databehandlere og hvilket overførselsgrundlag der anvendes, hvis data behandles uden for EU/EØS.
Påbud og næste skridt
Påbuddet kan efterleves ved at præcisere rolle- og ansvarsfordelingen, herunder hvem der sikrer lovlige tredjelandsoverførsler, eller ved at stoppe den omhandlede behandling. Forslagene er vejledende; det er op til den dataansvarlige at dokumentere compliance.
Sagen er behandlet i EDPB’s Taskforce 101 om koordinering af klager. Se EDPB’s omtale her: edpb.europa.eu. Datatilsynets afgørelse kan læses her: datatilsynet.dk. Vejledning om hjemmesidebesøgende findes her: datatilsynet.dk.
