Konkret vurdering av Grindrs deling av data

En App-ID viser at en person bruker en bestemt app, og vil derfor indirekte gi opplysninger om personen. Gjennomgangen av EU-domstolens rettspraksis viser at opplysninger som indirekte er egnet til å avsløre sensitive data, er nok til å falle inn under personvernforordningen artikkel 9 nr. 1.

Det sentrale spørsmålet i saken blir derfor hva som – direkte eller indirekte – kunne utledes av informasjon om at en person bruker Grindr-appen.

Lagmannsretten vurderer ut fra det samlede bevisbildet, at det helt dominerende formålet med appen er at personer som anser seg selv for å ha en seksuell orientering som faller inn under LHBTQ+, og særlig homofile menn, skal oppnå seksuell kontakt med andre. En av Grindrs representanter anslo for retten at 90 prosent av appens brukere er homofile.

At appen markedsføres mot alle LHBTQ+-personer, og ikke utelukkende homofile, endrer ikke karakteren av opplysning om seksuell orientering.

At heterofile personer benytter appen har heller ikke betydning, selv om det innebærer at en helt sikker konklusjon om seksuell orientering ikke kan trekkes ut fra informasjon om at en person har en Grindr-bruker. Lagmannsretten viser til sakene C-184/20 OT og C-252/21 Meta, hvor data som ikke ga grunnlag for å trekke sikre slutninger, likevel ble ansett å falle inn under artikkel 9 nr. 1.

App-ID til en Grindr-bruker gir indirekte grunnlag for å trekke den slutningen at en person med høy sannsynlighet er en homofil mann.

App-ID til Grindr utgjør derfor opplysninger om en «fysisk persons seksuelle orientering eller seksuelle forhold» i personvernforordningen artikkel 9 nr. 1.

Hadde Grindr samtykke til deling av personopplysninger?

For behandling av «særlige kategorier av personopplysninger» kreves at den registrerte har gitt «uttrykkelig samtykke» jf. artikkel 9 nr. 2. Slik saken ligger an, anser lagmannsretten det tilstrekkelig å vurdere om det foreligger «samtykke» jf. artikkel 6 nr. 1 bokstav a. Dersom selskapet ikke fikk det, er det klart at kravet til samtykke i artikkel 9 nr. 2 ikke er oppfylt.

Et «samtykke» i forordningens forstand må være frivillig, spesifikt og informert, jf. personvernforordningen artikkel 4 nr. 11.

Lagmannsretten vurderer først om appens samtykkeløsning tilfredsstilte kravet til frivillighet.

Ved opprettelsen av en profil i appen, måtte man velge mellom å la være å bruke appen eller å akseptere Grindrs personvernpolicy – herunder at selskapet utleverte særlige kategorier av personopplysninger. Det var altså umulig å bruke appen uten å samtykke i en deling.

Kravet om samtykke oppfylles ikke av at brukeren gis mulighet til å velge å bruke en tjeneste eller ikke.

Lagmannsretten avviser videre Grindrs anførsler om at brukerne kunne endret innstillinger på sin egen enhet. En brukers unnlatelse av å endre innstillingen for markedsbasert handling, kan ikke anses som noe samtykke. Samtykke etter personvernforordningen krever en aktiv handling fra brukerens side.

Lagmannsrettens konklusjon er at brukerne ikke ga Grindr noe frivillig samtykke til at selskapet kunne dele personopplysninger med andre. Dette er nok til å fastslå at Grindr ikke hadde samtykke til å dele brukernes App-ID med andre, jf. artikkel 6 nr. 1 bokstav a. Lagmannsretten vil likevel også vurdere om samtykkeløsningen oppfylte kravene til å være en «spesifikk» og «informert» erklæring, jf. artikkel 4 nr. 11.

Uttrykkene «spesifikk» og «informert» innebærer at en forespørsel om et samtykke skal legges fram på en måte som gjør at den «tydelig kan skilles fra nevnte andre forhold» i en «forståelig og lett tilgjengelig form og på et klart og enkelt språk» jf. artikkel 7 nr. 2.

Samtykkeløsningen inngikk som del av selskapets personvernerklæring. Grindrs personvernerklæring var på det aktuelle tidspunktet syv og en halv tettskrevne sider eller enda lenger. Omfanget og innholdet av personvernerklæringen, tilfredsstilte ikke kravet til at samtykket skal være spesifikt. Opplysninger som at appen ikke selger personopplysninger til tredjeparter for markedsføringsformål, var videre klart misvisende.

Overtredelsesgebyret

Datatilsynet kan ilegge overtredelsesgebyr etter reglene i personvernforordningen artikkel 83, jf. personopplysningsloven § 26.

Lagmannsretten poengterer at forarbeidene til forvaltningsloven inneholder uttalelser om at domstolene bør utvise en viss tilbakeholdenhet når det gjelder å overprøve forvaltningens avgjørelse om at sanksjon skal ilegges og størrelsen på denne. Samtidig har uttalelsen om tilbakeholdenhet sammenheng med at administrative sanksjoner kan være av svært ulik karakter og alvorlighetsgrad.

Lagmannsretten vurderer overtredelsesgebyret som straff i EMKs forstand.

På strafferettens område har domstolene en viktig rolle i å ta stilling til straffereaksjoner. Lagmannsretten tar utgangspunkt i full prøvingsintensitet jf. fvl. § 50, med henvisning til hensynet til rettssikkerhet som gjør seg gjeldende i saken.

Har Grindr utvist nødvendig skyld?

At overtredelsesgebyret er å regne som straff etter EMK artikkel 6, innebærer at det må påvises skyld. For å ilegge overtredelsesgebyr er det tilstrekkelig med vanlig uaktsomhet. Graden av skyld har likevel betydning for spørsmålet om gebyret skal ilegges eller ikke og for fastsettelsen av gebyrets størrelse, jf. personvernforordningen artikkel 83 nr. 2 bokstav b.

For å kunne konstatere skyld hos Grindr, må det kunne påvises at noen «som handler på vegne av» selskapet har utvist forsett eller uaktsomhet både med hensyn til hvilke opplysninger som ble delt med annonsepartnerne og hvordan samtykkeløsningen var utformet.

Grindr har ikke bestridt at personer som handlet på vegne av selskapet, hadde slik kunnskap. Selskapet gjør imidlertid gjeldende at det er tale om anonyme og kumulative feil, og at det da ikke kan konstateres forsett.

Lagmannsretten poengterer at det ikke stilles krav om at den som har utvist skyld, må identifiseres, jf. HR-2022-1271-A avsnitt 47.

Det fremgår av tingrettens dom blant annet at Grindr hadde forsøkt å få annonsepartnerne til å akseptere at Grindr kunne unngå å sende App-ID for kontekstuell markedsføring, men ikke fikk medhold i dette.

Lagmannsretten finner klar sannsynlighetsovervekt for at personer som opptrådte på vegne av Grindr var klar over og tok et bevisst valg med hensyn til hvilke opplysninger som ble delt med annonsepartnere, samt omfanget av denne delingen og hvordan samtykkeløsningen var utformet.

Selskapet anses å ha handlet forsettlig.

Lagmannsretten finner ikke formildende omstendigheter av betydning og anser det klart at Grindr med rette er ilagt gebyr.

Når det gjelder gebyrfastsettelsen, legger lagmannsretten til grunn at retningslinjene til Det europeiske databeskyttelsesrådet, som er vedtatt med sikte på harmonisering, bør tillegges betydelig vekt. Gebyret Grindr er ilagt, på 65 millioner kroner, ligger i det nedre sjiktet av utgangspunktet etter retningslinjene.

Lagmannsretten finner at gebyret ligger på et riktig nivå, og fastslår at det ikke er holdepunkter som tilsier at størrelsen på gebyret bør justeres.