Kritik, påbud og advarsel om pant-app
Datatilsynet udtaler alvorlig kritik af Dansk Retursystem for en pant-app, hvor en indlejret tredjepartskomponent kan tilgå flere kontooplysninger end formålet kræver. Tilsynet vurderer overtrædelser af GDPR-principperne om lovlighed, rimelighed og gennemsigtighed, dataminimering samt kravene om databeskyttelse gennem design.
Virksomheden påbydes at bringe behandlingen i overensstemmelse med databeskyttelsesforordningen, og der meddeles en advarsel mod løsninger, hvor API’er muliggør bredere indsamling end nødvendigt. Selve kontodata videregives ikke til Dansk Retursystem, men potentialet for overdreven adgang udløser reaktionen.
Dataansvar og brug af eksterne API’er
Tilsynet præciserer, at den dataansvarlige ikke fritages for ansvar, selv om appen bygges af standardkomponenter, kodebiblioteker og services fra eksterne udbydere. Også hvor en leverandør er lovbestemt dataansvarlig for sin egen behandling, skal den integrerende virksomhed sikre, at eget formål, datagrundlag og design respekterer hele forordningen.
Før idriftsættelse skal alle behandlinger, datatyper og tilgangsveje vurderes, og arkitekturen skal begrænse adgang til kun nødvendige data. Datatilsynet fremhæver desuden behovet for adfærdskodekser i brancher med lignende behandlinger og anfører, at manglende efterlevelse vil indgå skærpende i sanktionsvalget, særligt hvor brugerne har begrænsede alternativer.
Endelig understreges kravene til klar og gennemsigtig information til de registrerede. Se Datatilsynets afgørelse her, de grundlæggende principper her og vejledningen om databeskyttelse gennem design her.
