Rekommendationer 02/2021 om den rättsliga grunden för lagring av kreditkortsuppgifter endast i syfte att underlätta ytterligare elektroniska transaktioner

Europeiska dataskyddsstyrelsen har antagit dessa rekommendationer

med beaktande av artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (den allmänna dataskyddsförordningen), med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37 till detta, ändrat genom gemensamma EES-kommitténs beslut nr 154/2018 av den 6 juli 2018, och med beaktande av artiklarna 12 och 22 i arbetsordningen.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

1. Under covid-19-pandemin har den digitala ekonomin och e-handeln fortsatt att utvecklats. Riskerna med att använda kreditkortsuppgifter på internet har ökat i samma utsträckning. Såsom anges i artikel 29-arbetsgruppens riktlinjer om konsekvensbedömning avseende dataskydd kan kreditkortsincidenter entydigt få ”allvarliga konsekvenser för den registrerades dagliga liv” eftersom finansiella uppgifter kan användas för betalningsbedrägerier .

2. Det är därför mycket viktigt att den personuppgiftsansvarige inför lämpliga skyddsåtgärder för de registrerade och ser till att de registrerade får kontroll över sina egna personuppgifter för att minska risken för otillåten behandling och för att stärka förtroendet för den digitala miljön. Europeiska dataskyddsstyrelsen (EDPB) anser att detta förtroende är avgörande för en hållbar utveckling av den digitala ekonomin.

3. För detta ändamål strävar dessa rekommendationer efter att uppmuntra en harmoniserad tillämpning av dataskyddsreglerna om behandling av kreditkortsuppgifter inom Europeiska ekonomiska samarbetsområdet (EES) och att garantera ett enhetligt skydd för registrerades rättigheter med fullt beaktande av de grundläggande dataskyddsprinciperna i enlighet med den allmänna dataskyddsförordningen.

4. Dessa rekommendationer avser närmare bestämt den lagring av kreditkortsuppgifter som leverantörer av varor och tjänster på internet genomför enbart och uteslutande i syfte att underlätta registrerades fortsatta köp . Rekommendationerna omfattar situationer när registrerade köper produkter eller betalar för tjänster via en webbplats eller applikation och anger sina kreditkortsuppgifter, vanligen via ett särskilt formulär, för att slutföra den unika transaktionen.

5. Den personuppgiftsansvarige måste ha en giltig rättslig grund i enlighet med artikel 6 i den allmänna dataskyddsförordningen för att lagra dessa uppgifter, precis som för all annan behandling. I detta avseende bör det noteras att ett antal av de rättsliga grunder som anges i artikel 6 i den allmänna dataskyddsförordningen inte är tillämpliga i det här fallet och ska uteslutas. Lagring av kreditkortsuppgifter efter en transaktion för att underlätta ytterligare köp kan varken anses vara nödvändigt för att fullgöra en rättslig förpliktelse (artikel 6.1 c i den allmänna dataskyddsförordningen) eller för att skydda intressen som är av grundläggande betydelse för en fysisk person (artikel 6.1 d i den allmänna dataskyddsförordningen). Det kan inte heller anses att utförandet av en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e) utgör en lämplig rättslig grund.

6. Lagringen av kreditkortsuppgifter efter betalning av varor eller tjänster är dessutom inte i sig nödvändig för att fullgöra ett avtal (artikel 6.1 b i den allmänna dataskyddsförordningen). Medan behandlingen av de avgifter som avser det kreditkort som kunden använt för att betala är nödvändig för att i första hand uppfylla avtalet, och därmed aktivera artikel 6.1 b i den allmänna dataskyddsförordningen, är lagringen av dessa uppgifter endast användbar för att underlätta en eventuell efterföljande transaktion och för att underlätta försäljningen. Ett sådant syfte kan inte anses vara absolut nödvändigt för fullgörandet av avtalet om leverans av de varor eller tjänster som den registrerade redan har betalat för .

7. Vad gäller behandling som är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen konstaterar EDPB att de tre villkor som fastställs i artikel 6.1 f i den allmänna dataskyddsförordningen måste uppfyllas för att den personuppgiftsansvarige ska kunna åberopa den artikeln . För denna rättsliga grund krävs för det första att den personuppgiftsansvariges eller en tredje parts berättigade intressen identifieras och kvalificeras. Den personuppgiftsansvariges eller en tredje parts berättigade intressen kan gå utöver syftet för behandlingen och måste utgöra faktiska intressen vid tidpunkten för behandlingen .

8. För denna rättsliga grund krävs för det andra att behandlingen av personuppgifter är nödvändig för det berättigade intresse som eftersträvas. Vad gäller det sistnämnda villkoret är det inte uppenbart att lagringen av kreditkortsuppgifterna för att underlätta ytterligare köp är nödvändigt för att eftersträva ett berättigat intresse, förutsatt att den personuppgiftsansvarige har ett berättigat intresse i enlighet med vad som nämns ovan. Det faktiska genomförandet av ett ytterligare köp beror på kundens val och det avgörs inte av möjligheten att genomföra köpet med ett klick.

9. För det tredje villkoret krävs slutligen att ett avvägningstest genomförs. De berättigade intressena hos den registeransvarige eller tredje parter måste vägas mot den registrerades intressen eller grundläggande fri- och rättigheter, däribland den registrerades rätt till dataskydd och integritet. I avvägningstestet måste de särskilda omständigheterna för behandlingen beaktas . En viktig del i avvägningen är behandlingens möjliga inverkan på den registrerades fri- och rättigheter . Denna inverkan kan bero på arten av uppgifter, den särskilda behandlingsmetoden och tredje parters tillgång till sådana uppgifter. Vad gäller arten av uppgifter bör det noteras att artikel 29arbetsgruppen har förklarat att finansiella uppgifter är uppgifter av mycket personlig karaktär eftersom överträdelser mot dessa uppgifter entydigt får allvarliga konsekvenser för den registrerades dagliga liv . Trots att den personuppgiftsansvarige är skyldig att införa tekniska eller organisatoriska åtgärder för att säkerställa kreditkortsuppgifternas säkerhet i enlighet med artikel 5.1 f i den allmänna dataskyddsförordningen och det faktum att dessa uppgifter skulle kunna lagras för andra ändamål kan behandlingen av dessa uppgifter för att underlätta ytterligare köp därför medföra en ökad risk för säkerhetsöverträdelser mot kreditkortsuppgifter. En annan viktig del av avvägningstestet som kan beaktas vid bedömningen av behandlingens inverkan på registrerade är de registrerades rimliga förväntningar till följd av förhållandet till den personuppgiftsansvarige, sammanhanget och syftet med insamlingen av personuppgifterna . Ändå verkar det som att de registrerade inte rimligen förväntar sig att deras kreditkortsuppgifter vid köptillfället ska lagras längre än vad som är nödvändigt för att betala för de köpta varorna eller tjänsterna, trots att de anger sina kreditkortsuppgifter för betalningen. I detta särskilda sammanhang skulle de grundläggande fri- och rättigheterna för de personer som dataskyddet avser därmed antagligen ha företräde framför den personuppgiftsansvariges intressen.

10. Dessa aspekter leder till slutsatsen att samtycke (artikel 6.1 a i den allmänna dataskyddsförordningen) verkar vara den enda lämpliga rättsliga grunden till att ovannämnda behandling ska vara laglig. För att hantera riskerna, låta den registrerade behålla kontrollen över sina egna uppgifter samt för att denne aktivt ska fatta beslut om användningen av hans/hennes kreditkortsuppgifter bör den registrerades specifika samtycke erhållas innan kreditkortsuppgifterna lagras efter ett köp. Detta samtycke gör det möjligt för den personuppgiftsansvarige att bevisa att individens vill underlätta sina ytterligare köp via den särskilda webbplatsen eller applikationen, vilket inte kan förutsättas baserat på att individen helt enkelt har genomfört ett eller flera enskilda transaktioner.

11. Detta samtycke kan inte förutsättas, och det måste vara frivilligt, specifikt, informerat och otvetydigt . Det måste lämnas i form av en tydlig bekräftelse och bör begäras på ett användarvänligt sätt, såsom med hjälp av en ruta, som inte bör vara ikryssad på förhand , direkt i det formulär som används för att samla in uppgifterna. Detta specifika samtycke måste särskiljas från det samtycke som ges för tjänste- eller försäljningsvillkoren och får inte utgöra ett villkor för att transaktionen ska genomföras.

12. Enligt artikel 7.3 i den allmänna dataskyddsförordningen ska de registrerade ha rätt att när som helst återkalla sitt samtycke till lagringen av kreditkortsuppgifterna för att underlätta ytterligare köp. Det måste vara gratis, lätt och lika enkelt för den registrerade att återkalla sitt samtycke som det var att ge det. Detta ska leda till att den personuppgiftsansvarige omedelbart raderar de kreditkortsuppgifter som har lagrats endast i syfte att underlätta ytterligare transaktioner. På Europeiska dataskyddsstyrelsens vägnar Ordförande (Andrea Jelinek)