Hvorfor datadeling kan være et avtalebrudd, ikke bare et personvernbrudd

Når du bruker en treningsapp uten å betale med penger, betaler du ofte i praksis med personopplysningene dine, og digitalytelsesloven anerkjenner dette som en reell form for vederlag. Det betyr at det som står i appens personvernerklæring og vilkår om hvordan disse dataene skal brukes, ikke bare er formaliteter, men en del av selve avtalen mellom deg og tilbyderen. Sier appen at treningsdataene dine kun brukes til å forbedre tjenesten internt, men i realiteten selger den detaljerte helse- og aktivitetsdata videre til annonsenettverk eller forsikringsselskaper, har tilbyderen levert noe helt annet enn det som ble avtalt. Dette er ikke bare et spørsmål om at personopplysningsloven kan være brutt et sted i bakgrunnen, det er et konkret avtalebrudd fra tilbyderens side overfor deg som bruker, fordi vederlaget du faktisk betalte, altså dataene dine, ble brukt på en annen måte enn det du sa ja til. Alvorlighetsgraden har betydning: en liten teknisk unøyaktighet i hvordan data lagres er noe annet enn en bevisst videresalg av sensitive helseopplysninger til aktører du aldri godkjente. Jo mer sensitive dataene er, og jo tydeligere bruddet er på det som konkret ble lovet, desto sterkere står du med et krav om heving og erstatning direkte mot tilbyderen.

Hvordan du vurderer alvorlighetsgraden i din sak

Start med å finne den personvernerklæringen og de vilkårene som gjaldt da du opprettet kontoen, siden det er disse løftene bruddet skal måles mot, ikke en oppdatert versjon appen har lagt ut i etterkant. Undersøk konkret hva som faktisk skjedde, for eksempel gjennom varsler fra appen selv, nyhetsoppslag om selskapet, eller informasjon du har fått fra tredjeparten som mottok dataene. Vurder deretter hvor sensitive dataene som ble delt faktisk var: treningsfrekvens er noe annet enn detaljert informasjon om helsetilstand, medisinbruk, eller andre opplysninger som kan si mye om deg som person. Se på om delingen var i direkte strid med en konkret formulering i vilkårene, eller om den lå i en gråsone appen kanskje kunne forsvare med en vid formulering et sted i det finskrevne. Et klart, direkte brudd på et konkret løfte gir deg det sterkeste kjøpsrettslige grunnlaget for heving. Vurder også om du har lidt noe tap som følge av dette, for eksempel uønsket markedsføring eller høyere forsikringspremie, siden digitalytelsesloven i visse tilfeller åpner for erstatning selv uten et direkte påvisbart økonomisk tap, men et konkret tap styrker likevel kravet ditt om erstatning ytterligere. Ta også med i vurderingen om appen har informert deg i etterkant om at dataene dine var involvert i en hendelse, siden en slik varsling, selv om den kommer sent, kan si noe om hvor alvorlig selskapet selv anser bruddet. Manglende varsling fra appens side, kombinert med at du selv oppdaget forholdet tilfeldig, styrker inntrykket av at bruddet ikke ble håndtert ryddig fra tilbyderens side.

Villads fant helsedataene sine hos et forsikringsselskap

Villads brukte en treningsapp som lovet i vilkårene at aktivitetsdataene hans kun ble brukt til personlig statistikk og aldri delt med tredjeparter uten eksplisitt samtykke. Et halvt år senere fikk han et tilbud fra et forsikringsselskap som refererte til treningsmønsteret hans på en måte som gjorde det klart at de hadde fått tilgang til data fra appen. Villads tok skjermbilder av det opprinnelige personvernløftet fra da han registrerte seg, sammenlignet det med det som tydeligvis hadde skjedd, og sendte en skriftlig klage til treningsappen der han krevde heving av abonnementet og tilbakebetaling av det han hadde betalt for gjenværende periode. Han viste konkret til at delingen var i direkte strid med det uttrykkelige løftet i vilkårene han hadde akseptert. Appen innrømmet bruddet, hevet avtalen med umiddelbar virkning slik han krevde, og refunderte gjenværende abonnementsperiode. Villads meldte i tillegg saken til Datatilsynet for å få vurdert det bredere personvernrettslige sporet. Han undersøkte i tillegg om andre brukere hadde rapportert lignende erfaringer, og fant flere omtaler som pekte i samme retning, noe som ga ham en følelse av at dette ikke var en enkeltstående feil. Han passet på å beholde alle skjermbilder og korrespondanse i en egen mappe, i tilfelle saken skulle ta lengre tid enn forventet å løse.

Slik følger du opp saken din

Finn frem personvernerklæringen og vilkårene som gjaldt da du inngikk avtalen, og sammenlign dem nøye med det du faktisk har funnet ut skjedde med dataene dine. Dokumenter bruddet så konkret du kan, med skjermbilder, e-poster fra tredjeparter, eller andre spor som viser at dataene faktisk havnet der de ikke skulle. Send en skriftlig klage til tilbyderen der du viser til det konkrete løftet som ble brutt, og krev heving av avtalen samt tilbakebetaling av det du har betalt for perioden fremover. Nevn også at du vurderer å melde saken til Datatilsynet for den personvernrettslige siden av saken, siden det er et eget spor som løper parallelt med det avtalerettslige kravet ditt. Hold de to sporene atskilt i egen kommunikasjon: krev heving og refusjon fra appen basert på avtalebruddet, og send en separat henvendelse til Datatilsynet for den bredere personvernvurderingen. Vurder også å be om en skriftlig bekreftelse fra appen på at dine data ikke lenger deles videre etter at abonnementet er avsluttet, siden heving av selve avtalen ikke automatisk betyr at tidligere delte data blir slettet hos tredjeparten som mottok dem. Dette er en del av det som naturlig hører inn under den videre personvernklagen, ikke det kjøpsrettslige kravet mot appen alene.

Kort oppsummert

  • Datadeling i strid med det appen lovet deg, er et avtalebrudd du kan kreve heving og erstatning for.
  • Alvorlighetsgraden avhenger av hvor sensitive dataene var og hvor tydelig bruddet var på et konkret løfte.
  • Sammenlign alltid med vilkårene som gjaldt da du registrerte deg, ikke en senere oppdatert versjon.
  • Krev heving og refusjon skriftlig fra tilbyderen, med henvisning til det konkrete bruddet.
  • Meld saken separat til Datatilsynet for den personvernrettslige vurderingen ved siden av kjøpsrettskravet.