Auglýsingar sendar með sms-skilaboðum án samþykkis viðtakanda

26.7.2002

Hinn 28. janúar sl. barst Persónuvernd tölvupóstur frá A þar sem hann kvartar yfir að Alþjóðlega auglýsingamiðlunin ehf. (AAM ehf.) hafi sent auglýsingar í farsíma hans með SMS-skilaboðum án þess að hann hafi samþykkt að fá sendar slíkar auglýsingar. AAM ehf. lýsti sjónarmiðum sínum vegna málsins í bréfi til Persónuverndar, dags. 5. mars sl., og hafnar því að ekki hafi legið fyrir samþykki A.

I.

Málsatvik, eins og þeim er lýst í tölvupóstinum frá A, eru sem hér greinir: Í desember sl. tók hann þátt í SMS-leik sem haldinn var í þættinum "Með hausverk um helgar" á sjónvarpsstöðinni Sýn. Var hann beðinn um að senda skilaboðin "hausverk" í símanúmerið 1848. Gerði hann það og var þá orðinn þátttakandi í leik sem gekk út á að vinna farsíma. Hins vegar fékk hann aldrei skilaboð um hvernig honum hefði gengið heldur einungis auglýsingu um að 20% afsláttur væri af buxum í verslunum Herra Hafnarfjarðar. Um mánuði síðar var honum svo boðið að taka þátt í "Friends-leik" sem haldinn var í tilefni þess að á ný átti að fara að sýna sjónvarpsþáttinn Friends á Stöð 2.

Þegar hann fékk auglýsinguna frá Herra Hafnarfirði í farsímann sinn hringdi hann í fyrirtækið Hausverk, sem sá um framleiðslu á þættinum þar sem SMS-leikurinn var haldinn, og var tjáð að leikurinn væri skipulagður í samvinnu við AAM ehf. Þær upplýsingar, sem fengjust í SMS-leikjum, væru flokkaðar í gagnagrunn sem síðan væri fluttur til Noregs og keyrður saman við aðra gagnagrunna, e.t.v. símaskrána, og þannig væri "demógrafískum" (lýðfræðilegum) upplýsingum safnað um þátttakendur. Þegar A fékk auglýsinguna um "Friends-leikinn" í farsímann sinn hringdi hann í Íslenska útvarpsfélagið. Mun sá sem hann talaði við þar hafa vitað lítið um þann markhóp sem skilaboð, eins og þau sem A fékk, væru send á, en hafa vísað á þann sem sæji um SMS-leikinn.

A segist ekki hafa veitt samþykki sitt fyrir að sér yrðu sendar tilkynningar og auglýsingar. Þegar hann hefði tekið þátt í SMS-leiknum hafi hann talið sig vera að taka þátt í SMS-leik í kringum einn viðburð. Aldrei hefði neinn fyrirvari verið gerður þess efnis að honum yrðu sendar tilkynningar og auglýsingar um eitthvað annað en það sem tengdist þessum leik.

Af hálfu AAM ehf. er gerð sú athugasemd við lýsingu A á málsatvikum að hann hafi aldrei verið beðinn um að taka þátt í SMS-leik heldur hafi honum einungis verið boðið það. Þá er því haldið fram að alls staðar, þar sem boðið sé upp á símaþjónustu fyrirtækisins, sé fólki kennt hvernig hana megi afvirkja ef það felist í þjónustunni að sendar verði upplýsingar eða auglýsingar um hina ýmsu þjónustu. Frammi liggi leiðbeiningar, eins og hjá öllum símafyrirtækjum, notendum til afnota og þá hafi fyrirtækið neyðarnúmer fyrir notendur sem opið sé allan sólarhringinn alla daga vikunnar. Þegar tekinn sé þáttur í SMS-leikjum fyrirtækisins og samstarfsaðila þess sé símanúmer viðkomandi vistað í gagnagrunni til notkunar fyrir samstarfsaðila til að koma upplýsingum á framfæri. Númerin séu hins vegar ekki til sölu nema það sé sérstaklega og skilmerkilega tekið fram. Ávallt sé tekið fram að viðkomandi geti átt von á upplýsingum í símann sinn sé þjónustan þess eðlis en óski hann ekki eftir því sé honum kennt hvernig skrúfa megi fyrir slíkar upplýsingar. Þetta séu reglur sem símafyrirtækin hafi sett fyrirtækjum eins og AAM ehf. nýlega (18. janúar 2002).

Bent er á að A sé einn af forsvarsmönnum fyrirtækisins Kasts ehf. en það sé í samkeppni við AAM ehf. Að hann hafi vísað málinu til Persónuverndar sé liður í þeirri samkeppni og sé það vítavert.

II.

Persónuvernd tekur ekki afstöðu til þess hvort mál þetta sé liður í samkeppni Kasts ehf. og AAM ehf. eða hvaða afleiðingar það ætti að hafa. Er einungis tekin afstaða til þess hvort brotið hafi verið gegn ákvæðum laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.

III.
1.

Persónuvernd hefur fengið afrit af þættinum "Með hausverk um helgar" frá 21. desember sl. Í þeim þætti var haldinn SMS-leikur sem er eins og sá sem A lýsir í bréfi sínu, dags. 28. janúar sl. Var áhorfendum þannig boðið að senda skilaboðin "hausverk Nokia" í símanúmerið 1848 og var Nokia-farsími í verðlaun. Aldrei var tekið fram að símanúmer þátttakenda í leiknum yrðu notuð við markaðssetningu fyrir aðra síðar meir. Þá var ekki tekið fram hver stæði fyrir leiknum, þ.e. AAM ehf.

2.

Í 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er kveðið á um hvenær vinna má með persónuupplýsingar. Verður einhverju þeirra skilyrða, sem þar er kveðið á um, ávallt að vera fullnægt. Í 1. tölul. 1. mgr. 8. gr. er vinnsla heimiluð hafi hinn skráði samþykkt hana ótvírætt, en samþykki getur talist ótvírætt þótt það sé ekki veitt berum orðum heldur í verki.

Líta verður svo á að þeir sem tóku þátt í umræddum leik með því að senda SMS-skilaboð í símanúmerið 1848 hafi veitt ótvírætt samþykki sitt fyrir notkun símanúmers síns vegna leiksins. Ekki verður hins vegar litið svo á að ótvírætt samþykki hafi verið veitt fyrir notkun símanúmeranna við markaðssetningu fyrir aðra síðar meir, enda var ekki tekið fram að það væri ætlunin. Var þannig ekki heimild samkvæmt 8. gr. laga um persónuvernd og meðferð persónuupplýsinga fyrir þeirri vinnslu.

Vinnsla persónuupplýsinga verður ávallt að fullnægja ákvæðum 7. gr. laganna, en þar er kveðið á um hvernig vinna skal með persónuupplýsingar. Samkvæmt 2. tölul. 1. mgr. 7. gr. skal þess gætt að persónuupplýsingar séu fengnar í yfirlýstum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi. Hinn yfirlýsti tilgangur með öflun símanúmeranna var að nota þau vegna umrædds leiks. Notkun símanúmeranna síðar var hins vegar annar og ósamrýmanlegur tilgangur, en túlka verður þröngt það svigrúm, sem 2. tölul. 1. mgr. 7. gr. felur í sér, til að nota persónuupplýsingar í öðrum tilgangi en þeim sem upphaflega var ákveðinn.

Samkvæmt 1. tölul. 1. mgr. 7. gr. skal þess gætt að vinnsla persónuupplýsinga sé sanngjörn. Felur þetta skilyrði í sér að vinnsla verður að fullnægja ákveðnum lágmarkskröfum um gagnsæi og fyrirsjáanleika. Ekki verður gert ráð fyrir að þeir sem tóku þátt í umræddum hafi átt að geta séð það fyrir að nota ætti símanúmer þeirra við markaðssetningu fyrir aðra. Í þessu sambandi verður að nefna 1. mgr. 20. gr. Þar segir meðal annars að þegar safnað sé persónuupplýsingum hjá hinum skráða skuli fræða hann um hver sé ábyrgðaraðili, hvert sé markmið söfnunarinnar, hvernig hagað verði auðkenningu upplýsinga og hverjum upplýsingarnar verði afhentar. Einnig segir að veita skuli upplýsingar um hvort skylt sé eða valfrjálst að veita umbeðnar upplýsingar og hvaða afleiðingar það kunni að hafa í för með sér að það sé ekki gert. Eðli málsins samkvæmt eiga þessi tvö síðastnefndu atriði ekki við. Hið sama gildir um að veita skuli upplýsingar um hvernig háttað verði auðkenningu upplýsinga. Hin atriðin eiga hins vegar án nokkurs vafa við, en ekki liggur fyrir að upplýsingar um þau hafi verið veittar.

Í 1. mgr. 28. gr. laga um persónuvernd og meðferð persónuupplýsinga segir að hinum skráða sé heimilt að andmæla vinnslu persónuupplýsinga um sjálfan sig hafi hann til þess lögmætar og knýjandi ástæður. Þá segir að eigi andmælin rétt á sér sé ábyrgðaraðila óheimil frekari vinnsla upplýsinganna. Svo að þetta ákvæði nái tilgangi sínum verður hinn skráði að vita hvert hann á að beina andmælunum. Ekki var hægt að gera ráð fyrir að þátttakendur í umræddum leik gætu vitað það.

IV.

Af ofangreindu leiðir að sú vinnsla AAM ehf. að senda auglýsingar með SMS-skilaboðum til þeirra sem tekið höfðu þátt í umræddum SMS-leik samrýmdist ekki 1. og 2. tölul. 1. mgr. 7. gr., 8. gr. og 1. mgr. 20. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þá var ekki tryggt að þátttakendur í leiknum gætu andmælt vinnslunni, sbr. 1. mgr. 28. gr. laganna. Er þeim tilmælum beint til AAM ehf. að eyða símanúmerum þeirra sem tóku þátt í umræddum SMS-leik. Þess þarf þó ekki hafi þeir síðar tekið þátt í SMS-leik, þar sem tekið var fram að símanúmer þeirra yrðu notuð við markaðssetningu fyrir aðra seinna meir, eða skráð símanúmer sitt á heimasíðu AAM ehf. til þess að fá sendar auglýsingar í farsíma.