Datatilsynet og Forbrukerrådet: Microsofts brukervilkår kan bryte med norsk lov

Digi.no skrev 2. november om hvordan Microsoft uten forvarsel sperret Onedrive-kontoen (krever abonnement) til IKT-professor Andreas Prinz fra Grimstad, og også fjernet de synkroniserte originalfilene fra familiens PCer. Mandag gikk Forbrukerrådet ut, og sa at forbrukerne i realiteten er rettsløse (krever abonnement) i møte med skylagrings-gigantene.

Microsoft sier at dette ikke er en type beslutning selskapet tar lett på (se Microsofts kommentar lenger ned i saken).

Etter å ha sett nærmere på Microsofts tjenesteavtale mener imidlertid Forbrukerrådet at avtalen framstår som urimelig, og kan være i strid med både Markedsføringsloven og Avtaleloven. Datatilsynet mener det er uklart om avtaleteksten er i tråd med GDPR-regelverket.

Siden Microsoft sperret Onedrive-kontoen til Andreas Prinz i februar, er den eneste forklaringen han har fått på hvorfor de har gjort det, en lenke til punkt 3 i Microsofts tjenesteavtale. Digi.no har bedt Datatilsynet og Forbrukerrådet om å vurdere dette punktet, og begge etatene er svært kritiske til avtaleteksten.

Seksjonssjef Tobias Judin i Datatilsynets internasjonale seksjon mener det som har skjedd kan være problematisk opp mot GDPR-direktivet på flere punkter. Han tar forbehold om at han ikke vet hvorfor Microsoft har sperret Onedrive-kontoen, og at det eventuelt er det irske datatilsynet som skal behandle en klagesak om dette siden Microsoft har sitt europeiske hovedkontor der, men er likevel kritisk.

– Det første jeg tenker er: Har Microsoft glemt GDPR? I filene i en OneDrive-konto ligger det typisk store mengder personopplysninger. Det betyr at GDPR gjelder, og GDPR går foran tjenestevilkårene.

Problematiske punkter

Judin trekker fram fire artikler i GDPR, som det er uklart om Microsoft har fulgt i denne saken:

Artikkel 6: Det er ikke fritt frem for Microsoft å lese eller slette brukernes filer. For å gjøre det må Microsoft ha et rettslig grunnlag i GDPR.

– Så lenge Microsoft ikke har kommentert saken, er det veldig uklart for oss hvilket rettslig grunnlag de kan vise til her, sier Judin.

Artikkel 13: Virksomheter har plikt til å informere godt om hvordan de behandler personopplysninger. Å se på eller fjerne filer i en Onedrive-konto må regnes som behandling av personopplysninger, mener Judin.

– Informasjonen om hvordan data behandles, kan ikke gjemmes bort i for eksempel tjenestevilkår. Jo mer uventet informasjonen er, desto mer fremhevet og konkret bør den være. Vage formuleringer kan være ulovlige etter GDPR, sier han.

Artikkel 15: Man har rett til innsyn i opplysninger om seg selv. Det innebærer at Microsoft må gi Prinz innsyn i filene som inneholder personopplysningene hans, og i begrunnelsen for hvorfor de sperret kontoen hans – eller vise til et unntak i loven for hvorfor han ikke får innsyn.

– Når Prinz tar kontakt med Microsoft for å finne ut hvorfor han er blitt utestengt, er det det samme som å be om innsyn i hvilke vurderinger de har gjort om hans bruk av tjenesten. Han kan også be om innsyn i opplysninger om ham selv som ligger i de sperrede filene på Onedrive-kontoen. Microsoft må da enten gi innsyn, eller vise til et gyldig unntak i loven. Dersom Microsoft mener at innsynsretten ikke gjelder, må de samtidig informere om at man kan klage på avslaget til Datatilsynet. Tidsfristen er normalt én måned. Basert på informasjonen vi har så langt virker det ikke som at Microsoft har fulgt disse pliktene, sier Judin.

Artikkel 20: Retten til dataportabilitet: Når Prinz vil ha tilbake filer som inneholder personopplysninger om ham, er dette egentlig et krav om dataportabilitet. Microsoft må gi ham tilgang til filene, eller vise til et unntak i loven for hvorfor de ikke gjør det.

– Også her virker det som at Microsoft ikke har vurdert forespørselen etter GDPR. Hvis dette virkelig stemmer, er det grovt, sier Judin.

- Uakseptable straffer

Fagdirektør Finn Myrstad ved Forbrukerrådets digitalavdeling mener Tjenesteavtalens punkt 3 bryter flere paragrafer i Avtaleloven og Markedsføringsloven.

– Det er særlig dette punktet vi synes er problematisk fra et forbrukerrettslig ståsted. Punkt 3A, som ramser opp alle tingene du kan gjøre galt, er ekstremt bredt, og blander sammen alt fra grove lovbrudd til mindre overtredelser man kan komme til å gjøre ved en feiltakelse. Her må det jo være rutiner og mekanismer som hindrer feiltolking. For en vanlig forbruker virker det jo omtrent umulig å vite når man gjør noe feil her, sier Myrstad.

Han mener punkt 3B om håndhevelsen av brudd på tjenesteavtalen, gjør vondt verre.

– Det mangler helt mekanismer for varsling og muligheter til å klage, og det er dårlig proporsjonalitet i reaksjonene. Hvis du har en mappe med innhold som Microsoft mener bryter med brukervilkårene, burde du få beskjed om at den aktuelle mappen ville bli sperret på grunn av sånn og sånn, og få en mulighet til å bestride dette. Dersom den likevel ble sperret, så burde du få anledning til å klage på avgjørelsen.

– Med forbehold om at vi bare kjenner Prinz' versjon av saken, så virker det her som om det er en situasjon der det er umulig å vite når man gjør noe galt, og så helt uakseptable straffer uten at man blir varslet først eller får anledning til å klage etterpå, sier Myrstad.

Han mener vilkårene kan være i strid med både avtaleloven og markedsføringsloven. Det kan medføre at vilkårene settes til side, ettersom loven står over en slik avtale.

Det er Avtalelovens paragraf 36 og 37 om tilsidesetting av avtaler som er urimelige eller i strid med god forretningsskikk, og Markedsføringslovens paragraf 22 om urimelige avtalevilkår som vil bli brukt dersom det viser seg at avtaleteksten er lovstridig.

Urimelige avtalevilkår kan også føre til gebyrer fra Forbrukertilsynet, som fører tilsyn med både avtalevilkår og markedsføring.

Rettsprosess kan ta lang tid

Andreas Prinz har tidligere fortalt Digi.no at han vil be Datatilsynet vurdere saken hans, og Tobias Judin bekrefter at Prinz kan klage saken sin inn til Datatilsynet hvis han mener GDPR-reglene er brutt.

– Vi er langt på vei en forbrukerinstans. Det er en viktig del av vårt samfunnsoppdrag å ivareta forbrukernes personopplysninger. Kommer det en klage vil vi sørge for å sende den over til det irske datatilsynet som er saksbehandler. Klageren behøver imidlertid ikke å forholde seg til andre enn det norske Datatilsynet, forklarer Judin.

Han forteller at det er egne mekanismer som trer i kraft når Datatilsynet får inn en klage som gjelder forhold i andre land.

– Da blir det en internasjonal sak, og det irske datatilsynet vil involvere datatilsynet i alle land som kan være berørt. I et tilfelle som dette vil jeg tro det gjelder alle land innen EØS, altså 30 stater. En avgjørelse i saken vil da også gjelde i alle disse landene, sier Judin.

En norsk klage på Microsofts brukeravtaler kan i prinsippet få tre utfall.

• Datatilsynet i Irland er uenig med klageren, og gir Microsoft medhold.
• Datatilsynet i Irland tar kontakt med Microsoft, og Microsoft kommer til en minnelig løsning med klageren.
• Hvis det ikke blir enighet mellom Microsoft og klager, kan Datatilsynet i Irland gi Microsoft pålegg om å iverksette et tiltak innen en frist. Mener tilsynet at bruddet er grovt, kan de også ilegge et overtredelsesgebyr. Denne avgjørelsen kan Microsoft anke, og en rettsprosess kan ta lang tid, forklarer Judin.

– Det irske rettssystemet har mer kompliserte prosedyreregler enn i Norge. Et selskap har mange muligheter til å anke påståtte brudd på rettsprosedyrer, og vil slik kunne forsinke saken. En behandling av klagen kan derfor fort ta lenger tid i Irland enn den ville tatt i Norge, sier han.

– Men, legger han til: – Når det er sagt, så er det irske datatilsynet svært flinke til å få løst saker i minnelighet.

– Et ressursspørsmål

Forbrukerrådet har ikke vurdert om de kommer til å lage en prinsipiell sak rundt de omstridte punktene i Microsofts tjenesteavtale. Finn Myrstad sier til Digi.no at digitale tjenester og skytjenester vil være et prioritert område i 2021, men at det ikke er bestemt nøyaktig hvilke deler av disse tjenestene Forbrukerrådet vil se nærmere på.

– Vi har begrenset kapasitet, og det er et ressursspørsmål hva vi rekker over.

– Men skylagring er jo en internasjonal bransje, og tjenesteavtalene trolig like fra land til land. Er det en mulighet for at forbrukermyndigheter i flere land kan gå sammen og legge press på leverandører for å få dem til å endre sine avtaletekster?

– Absolutt! Slik jobber vi ofte. Det er flere eksempler på at vi har fått med oss andre stater på norske klager, slik at de er blitt store EU-saker. Vi klaget for eksempel inn Google for brudd på GDPR-reglene i 2018, og da fikk vi med oss forbrukerorganisasjoner fra åtte andre land. Den saken ligger nå hos det irske datatilsynet, forteller Myrstad.

Han forklarer at dersom den ikke løses der, vil den bli behandlet i det irske rettssystemet, og deretter eventuelt i en EU-domstol. Myrstad regner med at det kan ta 5-7 år før saken er avgjort, og ser ikke bort fra at selskaper kan spekulere i at slike saker tar lang tid.

– Men på sikt vil det jo være et konkurransefortrinn å være god på forbrukerrettigheter og personvern, selv om mange skytjenesteleverandører fort kommer i en slags monopolsituasjon fordi det er vanskelig å bryte ut av økosystemene deres, sier han.

Når det gjelder Microsofts sperring av Onedrive-kontoen, synes Myrstad det virker som om Prinz er utsatt for ekstremt dårlig kundebehandling, uansett hva loven sier.

– Det er veldig pussig at ikke Microsoft er mer framoverlent i en sak som dette, som fort kan gjelde mange potensielle kunder.

Microsoft: Vi suspenderer kun når vi er sikre

Da Digi.no kontaktet Microsoft Norges kommunikasjonsdirektør, Karen Hammeren, i går bad hun om å få forelagt skriftlig de innvendingene Datatilsynet og Forbrukerrådet har til vilkårene i den tjenesteavtalen Microsoft har henvist til i kommunikasjonen med Andreas Prinz. I eposten med redegjørelsen bad vi også om svar på fire spørsmål:

1: Hva er Microsofts kommentar til at både Forbrukerrådet og Datatilsynet mener at Microsofts

tjenesteavtale bryter med GDPR-regulativet, Avtaleloven og Markedsføringsloven?

2: Vil Microsoft vurdere å endre tjenesteavtalen dersom det viser seg at den ikke er i henhold til disse lovene?

3: Vil Microsoft gi Prinz informasjon om hvorfor Onedrive-kontoen hans er frosset, og filene fjernet?

4: Vil Microsoft gi Prinz tilbake filene han hadde på Onedrive-kontoen sin da den ble frosset?

Vi har i dag fått en epost med dette svaret fra Microsoft:

«Vi suspenderer en kundes konto kun når vi er sikre på at de har brutt vilkårene for bruk, som er ment å beskytte folk på nettet og sikre at vi overholder loven. Vi forstår at ved å suspendere tjenestene våre, så kan det hindre kunder i å få tilgang til viktig, personlig informasjon eller forretningsinformasjon, og derfor tar vi disse beslutningene etter nøye overveielser og tilbyr en prosess for folk til å klage.»

Når vi ringer Hammeren for å spørre om Microsoft ikke også har en kommentar til de innvendingene Datatilsynet og Forbrukerrådet har til avtalevilkårene, sier Hammeren:

– Så vidt jeg vet har vi ikke fått en offisiell henvendelse fra Datatilsynet eller Forbrukerrådet, og da kan vi ikke kommentere det.

– Kan du si mer om hvilke muligheter Prinz har for å klage i denne saken?

– Hvis han besøker support.microsoft.com vil han finne informasjon.

Klager til Datatilsynet

Andreas Prinz sier til Digi.no at han allerede har prøvd å klage via denne nettadressen.

– Jeg har blitt henvist dit flere ganger etter at jeg begynte å jobbe for å få tilbake innholdet i Onedrive-kontoen min. Men jeg finner ingen vei der som jeg kan bruke til å få klaget eller forklart saken min.

Prinz sier til Digi.no at han nå vil utforme en klage til Datatilsynet, og i første omgang prøve å få løst saken den veien.