Frafaller millionbot til amerikansk selskap

Det amerikanske selskapet Disqus, som leverer kommentarfeltløsninger og ad-tech, trodde personvernforordningen ikke gjaldt i Norge.

Dermed leverte de en løsning til norske nettsider, som var beregnet på land utenfor EØS.

Selskapet slipper likevel unna med voksen-kjeft: et vedtak om irettesettelse. Dermed frafaller Datatilsynet den varslede bota på 25 millioner fra 2021.

Det melder Datatilsynet på egne nettsider.

Oppdaget i media

I november 2019 leste ansatte i Datatilsynet interessert en sak i NRK Beta der det kom frem at kommentarløsningen fra Disqus hentet data om brukere av løsningen, og delte den med en rekke andre selskaper, både markedsførere og selskaper som lever av å kombinere og videreselge persondata.

TV 2s bilmagasin Broom, Khrono, Adresseavisen, NRK Ytring, NRK P3, Human Rights Service og Document.no var berørt.

Den gang var det halvannet år siden GDPR (Personvernforordningen) hadde trådt i kraft i Norge. Datatilsynet opprettet tilsynssak.

Det viste seg at det amerikanske selskapet feilaktig hadde antatt at Norge ikke var underlagt personvernforordningen.

Frafaller 25 millioner i bot

I mai 2021 varslet Datatilsynet vedtak. Den gang kom vedtaket med en klekkelig bot. 25 millioner kroner tilsvarte så mye som 15 prosent av selskapets omsetning i 2018.

– Størrelsen på gebyret er etter en nøye vurdering satt såpass høyt fordi flere hundre tusen er berørt, fordi det dreier seg om private opplysninger om hvilke nettsider man besøker, sporingen var skjult og personopplysninger kom på avveie i annonsering, sier direktør Bjørn Erik Thon i Datatilsynet i en pressemelding den gang.

Nå har Datatilsynet tatt hensyn til selskapets egne merknader til det varslede vedtaket.

Dermed snur tilsynet blant annet om at Disqus skal ha drevet adferdsbasert markedsføring. Annonsene som ble vist til brukerne var kontekstuelle, ikke basert på deres klikk rundt på nettet, fortalte Disqus i tilsvaret til varselet. Siden saken har trukket ut i tid, og det har vært vanskelig å finne bevis for hvordan løsningen var satt opp i 2019, har Datatilsynet valgt å legge vekt på Disqus sin forklaring.

Dermed er personvernbruddet av et «langt mindre omfang og alvorlighet enn de antatte bruddene som opprinnelig lå til grunn for varselet», skriver tilsynet i vedtaket.

Datatilsynet peker også på lang saksbehandlingstid som grunnlag for å frafalle bota.