Datatilsynet har afsluttet sin gennemgang af DR’s obligatoriske login på DRTV. Tilsynet retter ikke kritik af selve login-kravet, men udtaler kritik af, at DR tidligere indsamlede brugernes navne ved oprettelse af profiler i strid med dataminimering.
Retligt grundlag for obligatorisk login på DRTV – GDPR art. 6, stk. 1, litra e
Datatilsynet – efter forelæggelse for Datarådet – finder ikke tilstrækkeligt grundlag for at kritisere, at DR baserer behandlingen på GDPR art. 6, stk. 1, litra e om opgave i offentlighedens interesse. Hjemlen for opgaven udspringer af radio- og fjernsynsvirksomhedsloven samt public service-kontrakten.
Tilsynet lægger vægt på, at rækkevidden af public service-forpligtelsen ikke er entydigt afgrænset, og at den medieretlige afklaring ligger uden for Datatilsynets kernekompetence. DR indrømmes derfor en vis vurderingsmargin som dataansvarlig med en lovbestemt opgave, særligt når det ressortansvarlige ministerium har tiltrådt fortolkningen.
Kritik for navneindsamling og dataminimering
Datatilsynet kritiserer, at DR i en periode bad brugere angive rigtigt navn ved profiloprettelse, selv om oplysningen ikke var nødvendig for formålet. Praksissen var i strid med dataminimeringsprincippet i GDPR art. 5, stk. 1, litra c.
DR har efterfølgende ændret login-teksten, så brugerne opretter et profilnavn uden krav om korrekt civilnavn. Ændringen understreger, at kun relevante og nødvendige oplysninger må behandles, og at unødvendig identifikation skal undgås.
Lær at udarbejde solide databehandleraftaler på praksisnært kursus
Læs mere her →Kompetencefordeling og praktiske konsekvenser
Afgørelsen tydeliggør grænsen mellem databeskyttelsesretlige vurderinger og medieretlige skøn: Datatilsynet kontrollerer lovligheden af behandlingen, mens indholdet af public service-opgaven primært beror på det saglige ressort. Den samlede vurdering giver DR en begrænset skønsmargin.
For offentlige dataansvarlige peger sagen på to hovedspor: Et klart, dokumenteret behandlingsgrundlag efter art. 6, stk. 1, litra e, og en konsekvent implementering af dataminimering i design af login- og profilflows. Se Datatilsynets afgørelse på datatilsynet.dk.
