DNB vil vite hvem du er i sosiale medier

Den siste tiden er det flere som har reagert på meldinger i postkassen i DNBs nettbank, om oppdatering av personvernerklæringen.

«Vi gjør oppmerksom på at vi har oppdatert vår personvernerklæring vedrørende sosiale medier og nettsteder», starter meldingen fra DNB.

Videre forklarer banken at for å kunne gi kunden relevant markedsføring i alle kanaler, må de vite hvem kunden er når vedkommende bruker sosiale medier og nettsider. Det gjør de ved å koble kontaktinformasjon som telefonnummer og epostadresse som er registrert i banken, sammen med informasjonen som er gitt til det sosiale mediet eller nettbanken.

Spesielt med banken

En av de som har reagert, og twitret, er forfatter og forlegger Anders Heger.

Heger sier til Digi.no at han ser at enkelte svarer på twitter at dette skjer hele tiden og er helt vanlig, men mener at det likevel er noe helt spesielt med banken.

– Dette rører ved det fortrolighetsforholdet som må være mellom en bank og dens kunder. Du overlater en masse sensitive opplysninger om deg selv til banken, det er et forhold som er basert 100 prosent på tillit, sier han.

– Det at banken da velger å gå i kompaniskap med tredjeparter om mine personopplysninger er utrolig spesielt, og særlig at de gjør det uten samtykke – at med mindre jeg foretar meg noe aktivt, så tar banken for gitt at de kan dele opplysningene dine.

Heger mener det er rystende hvis en slik praksis er lovlig.

Ber ikke om samtykke

Juridisk direktør i Datatilsynet, Jørgen Skorstad, forteller at han ikke har fått anledning til å undersøke om noen har sendt inn klage til dem om meldingen fra DNB, men at det er et interessant spørsmål.

Han forklarer at de, hvis de får noen klager, først og fremst ville undersøkt hva DNB mener er sitt rettslige grunnlag til å dele kontaktinformasjonen med sosiale medier og nettsider. Det finnes nemlig flere alternativer for rettslig grunnlag, hvor samtykke er ett av dem.

Noe av det flere reagerer på, er nettopp det at DNB i stedet for å be om aktivt samtykke, krever at kundene eventuelt må reservere seg mot denne delingen.

«Denne aktiviteten er basert på DNB sin berettigede rett til markedsføring og ikke samtykke. Formål med aktiviteten er å tilpasse kundekommunikasjon til kundens behov, interesser og preferanser», svarer DNB Kundeservice på en annen tweet om personvernerklæringen.

Bukken og havresekken

Etter å ha fått opplest dette svaret fra DNB, mener Skorstad at det sannsynligvis er grunnlaget som handler om interesseavveining som er brukt i dette tilfellet. Han forklarer at det innebærer at den behandlingsansvarlige selv – altså DNB – må vurdere hva som veier tyngst av sin egen interesse av å dele informasjonen, og kundenes interesse av at det ikke blir delt.

DNB har i et svar til Digi.no bekreftet at det er såkalt berettiget interesse som er deres grunnlag for praksisen, og mener at det er i henhold til GDPR. Deres fulle tilsvar kan leses i bunnen av artikkelen.

– På generelt grunnlag veier personvern tyngre enn kommersielle interesser. Men hvis man supplerer med kompenserende tiltak – for eksempel muligheten for å reservere seg – kan man kanskje justere seg frem til et nivå hvor man likevel kan dele opplysningene.

Og selv om det fremstår litt som bukken og havresekken at det er DNB som selv skal vurdere hvilke interesser som veier tyngst, kan Skorstad berolige med at det ikke er verre enn å sende inn en klage, så vil Datatilsynet kunne gjøre en egen avveining.

– Da kan vi selvfølgelig overprøve DNBs avveining. Det som vil kunne bli utfallet da er at DNB får et vedtak mot seg, sier han, men presiserer at det er for tidlig å si hvordan Datatilsynet ville vurdert en slik avveining.

Kommer an på hva som deles

Siden det i erklæringen står «kontaktinformasjon som telefon og e-post» er det usikkert om dette omfatter mer informasjon enn telefonnummer og epostadresse, og Skorstad understreker at han forutsetter at det kun er denne kontaktinformasjonen som deles.

– Hvis det er mer enn telefonnummer og epost de deler, så kommer det strengere krav inn for å kunne dele den informasjonen.

Han har også forståelse for at folk kanskje blir ekstra skeptiske når det er snakk om banken, slik Heger beskriver.

– Vi vet fra studier som er gjort om folks tanker om personvern, at informasjon om personlig økonomi er noe folk ønsker å holde tett til brystet. Så spesielt hvis det deles mer enn den kontaktinformasjonen, så er nok det noe de fleste ville reagere på.