Eftersom detta är ett långt inlägg kommer här en kortversion, för dig som inte har tid att läsa allt:
Vi förväntas som ehandlare deklarera att vi inte lämnar ut personuppgifter till tredje part. I praktiken gör vi alla det i någon mening – till Klarna, Posten m fl. Det går inte att driva ehandel utan att göra kunders personuppgifter tillgängliga för partners. Är det då OK att göra detta utan att inhämta uttryckligt samtycke? Är det OK för vissa partners men inte för andra? Vad är i så fall kriteriet?
Fick just en tankeställare när det kom kritiska röster på vårt diskussionsforum om att vi använder Trustpilot för recensioner och att det skulle innebära att vi ”lämnar ut” kundens mailadress till tredje part. Måste medge att jag tidigare inte har sett något kontroversiellt med Trustpilot-tjänsten utan snarare bara sett en win-win-situation för konsumenterna och ehandlaren med recensionssidan hos tredje part.
Jag fick det här från Trustpilots COO:
– Trustpilot acts as a ‘data processor’, with the company acting as the ‘data controller’. A data processor is an organisation which “processes” personal data on behalf of another organisation. A data controller is an organisation which has full authority to decide how and why personal data is to be “processed”.
– The company retains control over the data provided and the purposes for which it is processed. The company authorises Trustpilot to process the data provided only for the purpose of sending out the specified review invitation emails and nothing else.
– Trustpilot will delete the data within a maximum of 30 days after the invitation email has been sent. Trustpilot will not and does not have the authority to use the data for any other purposes, and will never pass it on to any third parties.
Intressant här att man särskiljer olika roller som ”data controller” och ”data processor”. Som jag förstår det är detta terminologi som används i samband med Dataskyddsdirektivet, som ligger till grund för PUL.
Många av oss skriver på våra hemsidor att vi hanterar personuppgifter enligt PUL och inte lämnar ut dem till tredje part. Det är närmast ett krav på oss att vi ska skriva så för att vi ska få godkänt som ansvarsfull ehandlare av Trygg Ehandel/ehandel.org eller vilken instans det nu kan vara. Frågan är vad man menar närmare bestämt med att ”lämna ut” uppgifter.
När man tänker efter är det ju så att alla ehandlare gör kunders personuppgifter tillgängliga för tredje part. Det skulle inte gå att driva verksamheten annars – jag skulle vilja se den ehandlare som kan sköta allt från ordermottagning till betalning och leverans utan att anlita partners för tjänster – tjänster som kräver att partnern får tillgång till viss information om kunden. I vårt fall får åtminstone Textalk, Specter, DIBS/Klarna/bankerna/PayPal, Posten/DHL och Unifaun samt Trustpilot tillgång till olika uppgifter om kunderna. Allt är fullständigt legitimt och inget är kränkande – partnern behöver kunna processa just de persondata för att kunna leverera tjänsten.
Är detta att ”lämna ut” personuppgifter till tredje part?
Det vore absurt att kritisera ehandlaren för att denne ”lämnar ut” kundens personnummer till Klarna eller kundens adress till Posten, eller för den delen kundens mailadress eller mobilnummer till Unifaun – det behövs ju för leveransavisering via mail eller SMS.
När man kräver av oss å ena sidan att vi inte ska lämna ut personuppgifter till tredje part och å andra sidan att vi ska leverera en tjänst till kunden vilket kräver att vi gör personuppgifter tillgängliga för tredje part så ser det tufft ut för den stackars ehandlaren.
Men det finns en utväg – filosofi! Logik och semantik. Det vi måste göra kan ju rimligen inte vara det vi inte får göra. Det vi gör (att låta partners få tillgång till viss information om kunderna) kan inte vara att ”lämna ut personuppgifter”.
Min tolkning just nu är att
”lämna ut uppgifter till tredje part” = göra uppgifter tillgängliga för tredje part utan att behålla kontrollen över hur de får användas
Detta är givetvis ett stort no-no.
Vad vi alla gör, och som är hedervärt, är att samarbeta med partners som levererar sina avgränsade delar av den tjänst som vi levererar till kunden. För detta får partnern tillgång till uppgifter om kunden och behandlar (som ”data processor”) dessa för ett väl avgränsat och helt legitimt syfte, medan vi (som ”data controller”) behåller kontrollen över uppgifterna och hur de får användas. Detta är inte att ”lämna ut uppgifter till tredje part”.
Det vore kul att höra vad ni andra säger om detta – både ni från Svensk Distanshandel, Trygg Ehandel, ehandel.org, Konsumentverket och Datainspektionen, och ni alla ehandlare och partners.
Kanske är allt detta självklart? Kanske är det uppåt väggarna?
Nästa fråga är om det finns någon gradskillnad mellan partners som är mer eller mindre nödvändiga för att kunna leverera distanshandelstjänsten till kunden (betalningsförmedlare, logistikpartner) och partners som inte är det (recensionstjänster). Det finns kanske också mellannivåer (hyrplattformar, webbhotell, webbaserade affärssystem). Ska man hämta in samtycke från kunden innan man gör data tillgängliga för vissa typer av partners medan det inte behövs för andra?
Tack för att du läste så här långt.
.
