GDPR: Annonsørforeningen krever avklaring fra Google

I kjølvannet av den nært forestående implementeringen av GDPR i Norge følger en rekke uavklarte problemstillinger om behandlingsansvar. Den siste tidens avisoverskrifter viser at giganter som Facebook og Google ikke er tydelige i sine svar om hvilke samtykker som må innhentes av norske virksomheter som bruker tjenestene deres til markedsføring.

Annonsørforeningen i Norge har fått hjelp av Ræders advokat Vebjørn Søndersrød til å få klarhet i hvilke ansvarsforhold som ennå står uavklart mellom dem og Google – ved bruk av Googles annonseringstjenester.

 

Innhente samtykker

Etter ANFO sin oppfatning har Google gitt for lite informasjon om sine tjenester til at det er enkelt for Googles norske kunder, annonsørene, å vurdere sin egen virksomhets etterlevelse av GDPR. Google stiller krav til sine kunder om at kundene må innhente sluttbrukeres samtykke til behandling av personopplysninger ved bruk av flere av Googles tjenester. ANFO sin forståelse er at det dels er uklart hvorvidt det er annonsøren eller Google som har plikt til å innhente samtykker for de ulike tjenestene.

 

Behandlingsansvar

GDPR fører med seg spørsmålet om hvem det er som er ansvarlig for behandlingen av personopplysninger, altså hvem er behandlingsansvarlig. Den behandlingsansvarlige har ansvaret for å sørge for at personopplysningsbehandlingen skjer lovlig og må derfor innhente gyldig rettslig grunnlag for den behandling av personopplysninger som skjer i Googles tjenester. Et gyldig rettslig grunnlag vil som regel være et samtykke eller at behandlingen er nødvendig for å levere en tjeneste sluttbruker har bedt om å få.

 

Innhenting og behandling av personopplysninger

For at norske annonsører skal være i stand til å oppfylle sine informasjonsplikter etter GDPR i de tilfeller annonsøren er behandlingsansvarlig, må annonsørene ha detaljert kunnskap om hvilke personopplysninger Google behandler, hvor opplysningene er samlet inn fra, hvordan opplysningene behandles, hvor lenge de lagres og hvorvidt de levers ut til tredjeparter. ANFO er av den oppfatning at Google så langt ikke har gitt sine kunder tilstrekkelig informasjon til at kunden vil være i stand til å oppfylle disse pliktene.

 

Krav om databehandleravtale

Dersom annonsøren er behandlingsansvarlig, må det inngås databehandleravtale med Google. I disse tilfellene er det annonsøren som har informasjonsplikt overfor sluttbruker. I de tilfellene Google eventuelt er behandlingsansvarlig, så må annonsøren forvisse seg om at annonsøren har et rettslig grunnlag for å levere ut personopplysninger til Google.

 

Driver din virksomhet med markedsføring og annonsering?

• Les ANFO sin anbefaling til sine medlemmer for videre dialog mot Google på ANFO sine hjemmesider
• Les Google sine foreløpige retningslinjer på Google sine supportsider (22.mars 2018)