Aldersgrense-varer på nett – slik oppfyller du kontrollplikten

To kontrollpunkter, ikke ett

Salg av varer med aldersgrense, som tobakk, nikotinprodukter og alkohol, er regulert av eget lovverk utenfor det generelle forbrukervernet, og reglene stiller krav til kontroll både ved bestilling og ved levering. Ved bestilling holder det ikke med en enkel avkrysning, du bør ha et system som faktisk krever at kunden oppgir fødselsdato, ikke bare bekrefter en påstand med ett klikk. Ved levering er kravet strengere: den som mottar varen skal kunne legitimere seg, og varen skal ikke bare settes igjen utenfor døren eller overlates uten noen form for kontroll. Leif hadde løst det første punktet greit, men transportøren hans leverte i praksis varer på verandaen uten å be om legitimasjon i det hele tatt, noe som i realiteten betydde at det andre kontrollpunktet ikke fungerte.

Det er lett å forstå hvordan dette skjer. Transportøren er en ekstern part, med egne rutiner og egne ansatte som ikke nødvendigvis vet at akkurat denne pakken inneholder en vare med aldersgrense. Fra transportørens ståsted er det bare en pakke blant hundrevis andre den dagen, med mindre du selv har merket sendingen tydelig og avtalt konkret at denne typen leveranser krever legitimasjonssjekk. Ansvaret for at kontrollen faktisk skjer, ligger likevel hos deg som selger, ikke hos transportøren alene, selv om det er transportøren som fysisk møter kunden ved døren.

Hva som skjer når kontrollen svikter

Konsekvensene av manglende alderskontroll rammer flere ledd samtidig. Bevillingsmyndigheter og tilsyn kan reagere overfor virksomheter som systematisk ikke oppfyller kontrollplikten, og gjentatte brudd kan i ytterste konsekvens true retten til å drive salg av slike varer i det hele tatt. I tillegg kommer omdømmerisikoen: en historie om at mindreårige har fått kjøpt nikotinprodukter uten kontroll, sprer seg raskt og er vanskelig å reparere. De færreste sakene starter med en bot, de starter med en henvendelse eller et varsel der virksomheten får anledning til å rette opp rutinene før noe mer alvorlig skjer, og det er nettopp det stadiet Leif befant seg i da han tok tak i problemet, på samme måte som pliktene til å informere korrekt om angrerett ved bestilling først blir en reell sak dersom noen faktisk klager.

Slik bygger du en kontrollkjede som faktisk holder

Rekkefølgen på tiltakene har betydning for hvor raskt du lukker hullet.

• Krev fødselsdato ved bestilling, ikke bare et avkrysningsfelt, og bygg inn en sperre som stopper bestillingen dersom oppgitt alder er for lav.
• Avtal eksplisitt med transportøren at levering av aldersgrensevarer krever legitimasjonskontroll ved overlevering, ikke bare en signatur.
• Tren opp eget personale i egen butikk eller hentepunkt på hvilken type legitimasjon som godtas og hva de skal gjøre hvis mottakeren ikke kan vise noen.
• Loggfør at kontrollen faktisk er gjennomført, uten å lagre mer personopplysninger enn nødvendig, se gjerne innsynsverktøyet for GDPR for å unngå å samle inn mer enn du trenger til dette formålet.

Kontrollplikten møter personvernreglene

Det er en glidebane her som mange går rett i: for å dokumentere at alderskontroll er gjort, er det fristende å lagre kopi av legitimasjon eller fødselsnummer permanent. Det går som regel lenger enn det formålet krever. Du trenger å kunne dokumentere at kontrollen skjedde, ikke å bygge et arkiv med kopier av kundenes ID-dokumenter. Leif endte opp med en løsning der transportøren kun kvitterte i eget system for at legitimasjon var sjekket og alder bekreftet, uten at noe bilde eller nummer ble lagret hos ham selv i etterkant. Det holder som dokumentasjon, og det unngår at han samtidig bygger opp en ny personvernrisiko mens han lukker den første.

Han vurderte også om han burde be om samtykke til å lagre kopi av legitimasjon, i tilfelle en senere kontroll fra tilsynsmyndighet skulle kreve mer dokumentasjon enn en enkel kvittering i systemet. Vurderingen han landet på var at det ikke var nødvendig. En logg som viser tidspunkt, hvilken ansatt eller transportør som utførte kontrollen, og en bekreftelse på at alder ble sjekket, er tilstrekkelig dokumentasjon i de aller fleste tilfeller, og det er langt mindre risikabelt å oppbevare enn kopier av selve legitimasjonen.

Kort oppsummert

• Kontrollplikten ved salg av aldersgrensevarer på nett gjelder både ved bestilling og ved selve leveringen, ikke bare det ene.
• Et avkrysningsfelt ved bestilling er ikke nok alene, kunden bør oppgi fødselsdato som kan sperre bestillingen ved for lav alder.
• Levering skal skje med reell legitimasjonskontroll, ikke ved å sette varen igjen utenfor døren uten kontakt med mottaker.
• Gjentatte brudd på kontrollplikten kan i ytterste konsekvens true retten til å selge slike varer i det hele tatt.
• Dokumenter at kontroll er gjort uten å lagre kopi av legitimasjon lenger enn formålet krever, av hensyn til personvernreglene.