Webshops skal være opmærksomme på autoudfyld-funktionen

E-handelsløsninger bør indrettes, så de i højere grad sikrer kundernes personoplysninger. Det fremhæver Datatilsynet i en ny udtalelse, hvori tilsynet fastslår, at e-handelsløsninger bør sikre, at kundernes personoplysninger ikke bliver vist allerede efter indtastning af telefonnummer eller e-mailadresse oplyst i forbindelse med tidligere køb.

Den konkrete sag handlede om, hvorvidt en online-forhandler af modetøj behandlede og videregav personoplysninger i sin e-handelsløsning.

Webshoppens e-handelsløsning var indrettet, så tidligere indtastede oplysninger, fx en kundes navn, adresse og telefonnummer, blev synlige på hjemmesiden, når kundens telefonnummer eller e-mailadresse blev indtastet i webshoppen i forbindelse med et nyt køb. Det fremgik af webshoppens hjemmeside, at kundeoplysninger ikke blev videregivet til tredjemand.

En kunde, der gentagne gange havde gjort webshoppen opmærksom på, at kunden fandt dette i strid med persondataloven, klagede til Datatilsynet over e-handelsløsningen.

Videregivelse i strid med persondataloven

Datatilsynet fandt, at den pågældende e-handelsløsning, hvor indtastning af en e-mailadresse førte til visning af kontaktoplysninger på en kunde, var videregivelse af personoplysninger til tredjemand i persondatalovens forstand.

At videregive almindelige ikke-følsomme personoplysninger på den måde kan som udgangspunkt kun finde sted, hvis kunden har givet sit udtrykkelige samtykke.

Online-forhandleren havde ikke anført et grundlag for behandlingen på hjemmesiden, og det var ikke blevet undersøgt, om den pågældende kunde havde beskyttet adresse og/eller hemmeligt telefonnummer. Datatilsynet fandt derfor, at videregivelsen af personoplysningerne var sket i strid med persondataloven.

Opfordring fra Datatilsynet

Generelt opfordrer Datatilsynet i udtalelsen til, at webshops forsøger at forbedre sikkerheden i e-handelsløsninger. Løsningerne bør indrettes, så muligheden for at personoplysninger bliver synlige allerede ved indtastning af telefonnummer eller e-mailadresse, kun anvendes, hvis den enkelte kunde selv aktivt har valgt, at dette skal være muligt.

Bech-Bruun anbefaler

Virksomheder, der driver webshops, bør sikre sig, at autoudfyld-funktionen af personoplysninger kun er mulig, hvis indehaveren af det pågældende telefonnummer eller den pågældende e-mailadresse udtrykkeligt har samtykket hertil.

Generelt anbefaler Bech-Bruun at sikre personoplysninger bag et login, så visning af eksempelvis tidligere indtastede kontaktoplysninger kun sker efter indtastning af en kode, som kunden selv har valgt.

---