OSLO TINGRETT
DOM
Avsagt: 01.07.2024 i Oslo tingrett
Saksnr.: 23-160384TVI-TOSL/04
Dommer: tingrettsdommer Anne-Lene Åvangen Hødnebø
Saken gjelder: Gyldigheten av Personvernnemndas vedtak
Grindr LLC Advokat Eva Ingrid Elisabeth Jarbekk,
Advokat Halvard Helle
mot
Staten v/Personvernnemnda Advokat Thea Westhagen Edell,
Advokat Hanne Inger Bjurstrøm Jahren
Ingen begrensninger i adgangen til offentlig gjengivelse
DOM
Saken gjelder gyldigheten av Personvernnemndas vedtak.
Framstilling av saken
Saken gjelder rettslig overprøving av Personvernnemndas vedtak av 27. september 2023,
som stadfestet Datatilsynets vedtak av 13. september 2021. Grindr LLC (Grindr) ble ilagt
et overtredelsesgebyr på 65 millioner kroner for brudd på EU-forordning 2016/679
(personvernforordningen).
Grindr er et amerikansk selskap som ble etablert i 2009. Selskapet driver et lokasjonsbasert
sosialt nettverk og en mobilapplikasjon (app) for nettdating. Grindr-appen har som formål
å fasilitere deling av informasjon mellom brukere. Appen har en annonsebasert versjon
som kan lastes ned og brukes uten at det koster penger (gratisversjon). I tillegg har appen
betalingsversjoner hvor brukerne kan oppgradere til betalte abonnementsversjoner (Grindr
Xtra og Grindr Unlimited) som inkluderer flere funksjoner. Betalingsversjonene er uten
annonser. Betalingsversjonene er ikke en del av Personvernnemndas vedtak.
Grindr markedsfører seg mot LGBTQ-fellesskapet. LGBTQ er en forkortelse for lesbiske
(Lesbian), homofile (Gay), bifile (Bisexual), transpersoner (Transgender) og skeiv
(Queer). Det er et samlebegrep for seksuelle minoriteter og kjønnsminoriteter.
Personvernnemndas vedtak gjelder Grindrs utlevering av personopplysninger i perioden
20. juli 2018 til 7. april 2020 til annonsepartnere, herunder bruk av samtykkeløsning.
Grindr lanserte ny samtykkeløsning for Grindrs tjenester i EØS den 8. april 2020. Den nye
samtykkeløsningen er ikke en del av saken.
Bakgrunnen for Datatilsynets behandling av saken var at Datatilsynet mottok tre klager
mot Grindr innsendt av Forbrukerrådet 14. januar 2020. Klagene baserte seg på to
rapporter. Den ene rapporten het Out of Control, How consumers are exploited by the
online advertising industry, 14.01.2020, utarbeidet av Forbrukerrådet.
Den andre rapporten het Technical Report, “Out of control” – a review of data sharing by
popular mobile apps, 14.01.2020, utarbeidet av Mnemonic på oppdrag for Forbrukerrådet.
Det fremgår blant annet følgende i sammendraget på side 2 i rapporten:
Summary of findings
…
2. The Grindr app shares detailed user data with a very large number of third
parties, including IP address, GPS location, age, and gender. By using MoPub as a
-2- 23-160384TVI-TOSL/04
mediator, the data sharing is highly opaque as neither the third parties nor the
information transmitted are not known in advance. We have also seen that MoPub
can enrich the data that is shared with other parties dynamically.
Datatilsynet anmodet Grindr om en redegjørelse den 24. februar 2020. Grindr svarte
Datatilsynet den 22. mai 2020. Datatilsynet sendte varsel om overtredelsesgebyr den 24.
januar 2021. Grindr innga merknader til varselet den 8. mars 2021. Forbrukerrådet
innleverte merknader til varselet den 15. mars 2021. Deretter var det ytterligere
korrespondanse mellom Grindr og Datatilsynet frem til Datatilsynet fattet følgende vedtak
den 13. desember 2021.
I medhold av personvernforordningen artikkel 58 nr. 2 bokstav i ilegges Grindr et
overtredelsesgebyr på 65 000 000 – sekstifem millioner kroner – for
å ha utlevert personopplysninger til annonsepartnere uten et gyldig rettslig
grunnlag, i strid med personvernforordningen artikkel 6 nr. 1 og
å ha utlevert særlige kategorier av personopplysninger til annonsepartnere
uten å oppfylle noen av unntakene fra forbudet i personvernforordningen
artikkel 9 nr. 1.
Grindr klaget på vedtaket til Personvernnemnda den 14. februar 2022. Personvernnemnda
opprettholdt Datatilsynets vedtak den 27. september 2023.
Grindr er uenig i Personvernnemndas vedtak og tok ut søksmål mot Staten ved
Personvernnemnda for Oslo tingrett 27. oktober 2023 med påstand om at
Personvernnemndas vedtak må kjennes ugyldig, subsidiært at overtredelsesgebyret må
nedsettes. Staten ved Personvernnemnda innga rettidig tilsvar med påstand om frifinnelse.
Hovedforhandling ble gjennomført 12. til 14. mars 2024. Det ble foretatt slik bevisførsel
som fremgår av rettsboken.
Saksøkeren – Grindr LLC – har i hovedtrekk gjort gjeldende:
Grindrs samtykkeløsning oppfylte kravene i GDPR
Grindrs samtykkeløsning var utvetydig, frivillig, informert og spesifikt. Grindrs
samtykkeløsning tilrettela for at brukernes samtykke var frivillig i tråd med GDRP artikkel
4 nr. 11. Grindr har aldri tvunget brukerne til å samtykke til utleveringen av opplysninger
til annonsepartnere. Brukerne har valgt å laste ned appen etter å ha blitt informerte om at
Grindr utleverte personopplysninger for atferdsbasert markedsføring med sine
annonsepartnere basert på samtykke. Brukerne ble også informert om dette ved
registreringen, når de ble presentert med personvernerklæringen og samtykket i sin helhet
og aksepterte dette gjennom aktive handlinger ved å laste ned applikasjonen og klikke på
«Proceed» og «Accept». Brukeren kunne også velge å bruke andre apper enn Grindr.
-3- 23-160384TVI-TOSL/04
Brukeren kunne også trekke tilbake samtykket ved å gjøre valg i operativsystemet, eller
ved å kjøpe betalingsversjonen.
Grindrs samtykkeløsning tilrettela for at brukernes samtykke var spesifikt i tråd med
GDPR artikkel 4. Det at samtykket skal være spesifikt tilsier at den behandlingsansvarlige
må sørge for at samtykket fremstår konkret og håndfattelig for den registrerte.
Spesifikasjonskravet må videre ses i sammenheng med prinsippet om formålsbegrensning i
GDPR artikkel 5 nr. 1 bokstav b om at personopplysninger bare skal samles inn for
spesifikke, uttrykkelig angitte og berettigede formål. Grindr spesifiserte klart og tydelig at
Grindr ville utlevere opplysninger til Grindrs annonsepartnere under overskriften «Where
We Share» og under overskriften «Third Party Advertising Companies» i
personvernerklæringen. Beskrivelsen anga klart og tydelig hvilke opplysninger Grindr
utleverte til sine annonsepartnere for atferdsbasert markedsføring, og hvordan samtykket
kunne trekkes tilbake. Angivelsene var også i tråd med gjeldende bransjepraksis.
Grindrs samtykkeløsning tilrettela for at brukerens samtykke var informert i tråd med
GDPR artikkel 4 nr. 11. Grindr ga brukerne informasjon om formålene Grindr behandlet
personopplysninger for, at Grindr ville utlevere personopplysninger til annonsepartnere og
at utleveringen var basert på samtykke. Grindr anga også hvordan samtykket kunne trekkes
tilbake. Grindrs personvernerklæring var strukturert på en måte som gjorde det lett for
brukeren å finne frem i informasjonen ved bruk av titler og undertitler. Språket var tydelig,
utfyllende og nøyaktig, hvor overskriften «Your Choices» tydeliggjorde og informerte
brukeren om valgmuligheten brukeren hadde, samtidig som brukeren kunne finne
informasjon om behandlingen av opplysninger ved å trykke på lenken «Where we share»
som lenket videre til «Third party Advertisement Companies». Informasjonen var
tilgjengelig på flere flater, både før nedlasting av applikasjonen og under registreringen.
Grindr kan ikke klandres dersom brukerne bevisst har unngått å lese samtykketeksten for
deretter å bevisst samtykke til tekstens innhold.
Grindr utleverte ikke særlige kategorier av personopplysninger
Grindr utleverte ikke særlige kategorier av personopplysninger til sine annonsepartnere i
strid med GDPR artikkel 9. Personvernnemndas vedtak bygger på feil rettsanvendelse, og
videre at Personvernnemndas tolkning av GDPR artikkel 9 er diskriminerende og i strid
med Norge EØS-rettslige forpliktelser. I henhold til ordlyden i GDPR artikkel 9 er det
opplysninger om en persons seksuelle orientering som faller inn under bestemmelsen.
Personvernnemnda la selv til grunn at opplysningen om at en person har en Grindr-profil
ikke forteller noe om personens konkrete orientering. Det finnes heller ikke holdepunkter
for Personvernnemndas tolkning i fortalen til GDPR eller andre rettskilder. Grindr har ikke
delt opplysninger som sier noe om hvilken konkret seksuell orientering eller seksuelle
forhold brukeren har.
-4- 23-160384TVI-TOSL/04
Personvernnemndas tolkning av GDRP artikkel 9 er diskriminerende og innebærer en
forskjellsbehandling av seksuell orientering i EU-pakten og TEUV, som utgjør
grunnleggende EØS-rettslige prinsipper med virkning i Norge.
Personvernnemndas tolkning er i strid med Norges EØS-forpliktelser.
Tolkningsalternativet til staten utgjør en begrensning i Grindrs rett til å tilby tjenester i
strid med EØS-avtalen artikkel 36 og er derfor ikke en korrekt tolkning av GDPR artikkel
9. Vedtaket innebærer at GDPR artikkel 9 bare gis anvendelse på tjenesteytere som hevdes
å være assosiert med eller foretrukket av seksuelle minoriteter. Det er en stor
konkurranseulempe i møte med tilbydere av samme tjenester som er assosiert med eller
foretrukket av heterofile, og som på grunn av Norges demografi ikke behøver å
markedsføre seg mot disse. Det innebærer en begrensning i retten til å tilby tjenesteytelser
som er assosiert med LGBTQ+-fellesskapet sammenliknet med aktører som ikke er det.
Det vil innebære en ulovlig restriksjon i henhold til EØS-avtalen artikkel 36, og
representerer derfor et ulovlig tolkningsalternativ etter GDPR artikkel 9.
Overtredelsesgebyret er uforholdsmessig
Grindr har ikke utvist subjektiv skyld i form av forsett eller uaktsomhet for å ilegge straff
eller overtredelsesgebyr for brudd på GDPR. Grindr utformet samtykkeløsningen i tråd
med lovens ordlyd og gjeldende industripraksis, og må på denne bakgrunn anses for å ha
handlet fullt ut aktsomt.
Overtredelsesgebyret må uansett nedsettes. I henhold til GDPR artikkel 83 nr. 1 skal
tilsynsmyndigheten sikre at overtredelsesgebyret i det enkelte tilfellet er virkningsfull, står
i et rimelig forhold til overtredelsen og virker avskrekkende. Ved avgjørelsen av om det
skal ilegges overtredelsesgebyr og overtredelsesgebyrets størrelse, skal det legges vekt på
en rekke momenter angitt i GDPR artikkel 83 nr. 2 bokstav a til k. Grindr mener
overtredelsesgebyret er uforholdsmessig og derfor i strid med GDPR artikkel 83.
Personvernnemnda ga Grindr medhold på en rekke punkter og uttrykte «sterk tvil» ved
vurderingen av om Grindrs samtykkeløsning var tilstrekkelig spesifikt. Dette ble ikke
hensyntatt i vurderingen av overtredelsesgebyrets størrelse. Videre var de tekniske
mulighetene på tidspunktet begrenset, og det ville være komplisert å re-identifisere
brukeren basert på opplysningene Grindr utleverte til annonsepartnere for atferdsbasert
markedsføring. Personvernnemda tok heller ikke hensyn til at Grindr flere måneder før
Datatilsynets varsel om overtredelsesgebyr hadde initiert arbeidet med å implementere en
ny samtykkeløsning, og at den nye samtykkeløsningen allerede var implementert da
Datatilsynet fattet vedtak. Det er heller ikke påvist at den påståtte krenkelsen rent faktisk
har resultert i noen påvist skade i Norge, og Personvernnemnda har heller ikke tatt hensyn
til at saksbehandlingen har vært lang.
-5- 23-160384TVI-TOSL/04
Saksøkeren har nedlagt følgende påstand:
1. Prinsipalt: Personvernnemndas vedtak av 27. september 2023 er ugyldig
2. Subsidiært: Overtredelsesgebyret nedsettes
3. I begge tilfeller: Grindr LLC tilkjennes sakens omkostninger
Saksøkte – Staten ved Personvernnemnda – har i hovedtrekk gjort gjeldende:
Grindrs samtykkeløsning oppfylte ikke kravene etter GDPR
Grindr har påberopt samtykke som grunnlag for delingen av brukernes personopplysninger
til annonsepartnere for tilpasset markedsføring, jf. GDPR artikkel 44 (11). Bestemmelsen
tilsier at et samtykke forutsetter en aktiv handling. Den eneste aktive handlingen fra
Grindrs brukere knyttet til deling av personopplysninger var ved aksept av hele
personvernerklæringen i forbindelse med registreringen. Denne handlingen oppfylte ikke
kravene til et samtykke etter GDPR. Brukerne fikk ikke et reelt valg. Brukerne måtte
akseptere personvernerklæringen, og med dette deling av personopplysninger, for å kunne
registrere seg på Grindr. Brukerne fikk ikke noe samtidig valgalternativ om ikke å dele
personopplysninger med Grindrs annonsepartnere. I tillegg var informasjonen som ble gitt
mangelfull og lite tilgjengelig.
Grindr har anført at brukerne kunne gjøre endringer i enhetens operativsystem eller
oppgradere til en premiumversjon for å reservere seg mot delingen. Brukerens
personopplysninger ble delt umiddelbart etter registreringen, og brukeren hadde derfor
ingen reell mulighet til å reservere seg mot delingen. En etterfølgende unnlatelse av å
reservere seg mot deling av personopplysninger kan heller ikke anses som en «erklæring»
eller «tydelig bekreftelse» på et samtykke, jf. GDPR artikkel 4 (11).
Det var også flere svakheter ved de anførte reservasjonsløsningene. Muligheten for å gjøre
endringer i operativsystemet var en generell funksjon på enheten, og ikke en løsning fra
Grindr for å sikre brukerne et reelt valg med hensyn til deling av personopplysninger.
Endringen fikk virkning for alle apper på mobiltelefonen. Videre ble noen
personopplysninger fortsatt delt, selv om brukeren gjorde nevnte endring i
operativsystemet. Når det gjelder premiumversjonen var denne markedsført som en
tjeneste der brukerne betalte for flere tilleggsfunksjoner, og ikke kun for å reservere seg
mot deling av personopplysninger. Det ble bare gitt informasjon om at betalingsløsningen
var en reklamefri løsning, men ikke at brukerne kunne oppgradere til premiumversjonen
for å unngå at personopplysninger ble delt med annonsepartnerne.
Grindr utleverte særlige kategorier av personopplysninger
En opplysning om at noen er en del av LHBTQ+ er en opplysning om noens «seksuelle
forhold eller seksuell orientering», jf. GDPR artikkel 9 (1). Selv om opplysningen ikke
-6- 23-160384TVI-TOSL/04
avslører brukerens konkrete legning, sier den noe om brukerens seksuelle preferanser og at
vedkommende har en annen seksuell orientering enn heterofil. At dette er en opplysning
som omfattes av GDPR artikkel 9 (1) underbygges av ordlyden, formålet og praksis fra
EU-domstolen.
Staten anfører subsidiært at en opplysning om at noen er Grindr-bruker med klar
sannsynlighetsovervekt tilsier at personen har en seksuell orientering i tråd med Grindrs
markedsføring og design – nemlig menn som søker menn.
Av samme grunn som over om samtykke er det klart at brukerne ikke ga uttrykkelig
samtykke til deling av slike særlige kategorier av personopplysninger, jf. GDPR artikkel 9
(2).
Grindr er ikke diskriminert. Grindr er et selskap som ikke har en seksuell orientering og
kan da heller ikke påberope seg vernet mot forskjellsbehandling på dette grunnlaget, jf.
EMK artikkel 8 jf. EMK artikkel 14. Grindr kan heller ikke påberope seg hensynet til
brukerne. Selve formålet med personvernforordningen er å beskytte brukerne og ivareta
deres grunnleggende rettigheter.
Personvernnemndas vedtak utgjør ikke en ulovlig restriksjon etter EØS-avtalen artikkel 36.
GDPR er totalharmonisert, og det er derfor ikke rom for en separat vurdering av om
vedtaket utgjør en restriksjon etter primærretten. Noe annet er at primærretten spiller inn på
tolkningen av sekundærretten. Staten kan ikke se hvordan EØS-avtalen artikkel 36 skal få
den følge at den behandlingsansvarliges tjenestefrihet veier tyngre enn hensynet til
privatpersoners rett til særlig vern av sensitive personopplysninger.
Overtredelsesgebyret er i tråd med GDPR artikkel 83
Overtredelsesgebyret skal etter GDPR artikkel 83 være virkningsfullt, stå i et rimelig
forhold til overtredelsen og virke avskrekkende. Grindr har med forsett brutt
grunnleggende prinsipper for behandling av personopplysninger. Antallet berørte av
overtredelsen, kategorien av personopplysninger, og overtredelsens varighet på nesten to
år, tilsier at utmålingen er korrekt, jf. bokstav a til k. Gebyret utgjør kun ca. 30 prosent av
det beløpet som forordningen åpner for i et tilfelle som dette, jf. GDPR artikkel 85 (5).
Saksøkte har nedlagt følgende påstand:
1. Staten ved Personvernnemnda frifinnes
2. Staten ved Personvernnemnda tilkjennes sakskostnader
-7- 23-160384TVI-TOSL/04
Rettens vurdering
Innledning
Domstolens prøvingsrett av Personvernnemndas vedtak
Retten kan prøve alle sider av saken, jf. personopplysningsloven § 27 andre ledd og
forvaltningsloven § 50. At retten kan prøve alle sider av saken innebærer at retten kan
prøve både faktum, saksbehandling, rettsanvendelse og det forvaltningsmessige skjønnet
Personvernnemndas vedtak bygger på. Kompetansen til å prøve alle sider av saken
inkluderer både vilkårene for ileggelse av gebyr, utmåling av gebyr og den skjønnsmessige
vurderingen av om overtredelsesgebyr bør ilegges om vilkårene er oppfylt («kan»-
skjønnet). Domstolen har samme kompetanse som klageorganet i forvaltningssaker og har
kompetanse, men ikke plikt, til å avsi dom for det underliggende materielle kravet
(realitetsdom). Retten kan også opprettholde vedtaket med en annen rettslig begrunnelse,
jf. Rt-2010-999 avsnitt 46.
Hva saken gjelder og rettslige utgangspunkter
Retten skal vurdere om Grindrs behandling av personopplysninger var lovlig. Det rettslige
utgangspunktet er at all behandling av personopplysninger må ha et rettslig
behandlingsgrunnlag for å være lovlig, jf. personvernforordningen artikkel 5 nr. 1 jf.
artikkel 6 nr. 1. I vår sak er det bokstav a om samtykke som er påberopt som
behandlingsgrunnlag.
Saken reiser tre hovedproblemstillinger. Den første problemstillingen er om Grindr
utleverte personopplysninger av særlige kategorier av personopplysninger, jf.
personvernforordningen artikkel 9 nr. 1. Den andre problemstillingen er om Grindr
innhentet gyldig samtykke for utlevering av personopplysninger, jf.
personvernforordningen artikkel 6 nr. 1 bokstav b jf. artikkel 4 nr. 11 og om samtykket
eventuelt inkluderte utlevering av særlige kategorier av personopplysninger, jf.
personvernforordningen artikkel 9 nr. 2 bokstav a. Den tredje problemstillingen er om
utmålingen av overtredelsesgebyret er riktig, for det tilfellet at retten skulle gi Staten ved
Personvernnemnda medhold i hovedproblemstilling nummer en og nummer to eller bare
hovedproblemstilling nummer to.
Tolkning av personvernforordningen
Europaparlaments- og rådsforordning (EN) 2016/679 om vern av fysiske personer i
forbindelse med behandling av personopplysninger og om fri utveksling av slike
opplysninger (personvernforordningen / GDPR) ble vedtatt i EU 27. april 2016.
Personvernforordningen ble gjeldende i EUs medlemsland fra mai 2018 og trådte i kraft i
Norge den 20. juli 2018. Personvernforordningen er oversatt til norsk, men siden alle
-8- 23-160384TVI-TOSL/04
språkversjonene er likestilte kan retten også se hen til andre språkversjoner i tolkningen av
forordningen.
Personvernforordningen består av en fortale og artikler. Fortalen er ment å være en
tolkningshjelp som kan utfylle artiklene. Gjennom fortalene oppfyller EU-institusjonene
kravet i Traktaten om Den Europeiske Unions Virkemåte artikkel 296 andre ledd om at alle
rettsakter må begrunnes.
Formålene i personvernforordningen er også sentrale tolkningsfaktorer ved tolkning av
forordningens øvrige bestemmelser. De øvrige bestemmelsene må tolkes slik at formålene i
størst mulig grad blir realisert. Personvernforordningens formål er angitt i artikkel 1 nr. 2
og 3 slik:
2. Denne forordning sikrer vern av fysiske personers grunnleggende rettigheter og
friheter, særlig deres rett til vern av personopplysninger.
3. Fri utveksling av personopplysninger i Unionen skal verken begrenses eller forbys
av årsaker knyttet til vern av fysiske personer i forbindelse med behandling av
personopplysninger.
Personvernforordningens formål er nærmere omtalt i fortalen og retten viser særlig til
fortalens punkt 6 og 7:
Den raske teknologiske utviklingen samt globaliseringen har skapt nye utfordringer
med hensyn til vern av personopplysninger. Omfanget av innsamlingen og
utvekslingen av personopplysninger har økt betraktelig. Teknologien gjør det mulig
for både private selskaper og offentlige myndigheter å benytte seg av
personopplysninger i sitt arbeid i et helt nytt omfang. Fysiske personer gjør i stadig
større grad personopplysninger offentlig tilgjengelig, også globalt. Teknologien har
endret både økonomien og det sosiale liv og bør ytterligere fremme den frie flyt av
personopplysninger i Unionen og overføring av disse til tredjestater og
internasjonale organisasjoner, samtidig som det sikres et høyt nivå for vern av
personopplysningene.
Denne utviklingen krever en sterk og mer sammenhengende ramme for vern av
personopplysninger i Unionen støttet av en streng håndheving av reglene, ettersom
det er viktig å skape den nødvendige tillit som vil gjøre at den digitale økonomien
kan utvikle seg i det indre marked. Fysiske personer bør ha kontroll over egne
personopplysninger. Rettssikkerheten og den praktiske sikkerheten for fysiske
personer, markedsdeltakere og offentlige myndigheter bør styrkes.
-9- 23-160384TVI-TOSL/04
Personvernforordningen sett opp mot EØS-avtalen
Personvernforordningen er et totalharmonisert direktiv som tilsier total harmonisering av
rettstilstanden på personvernområdet. Det betyr at personvernforordningen både er i tråd
med EØS-avtalen og at EØS-statene i sin nasjonale lovgivning ikke kan innføre eller
opprettholde regler som avviker fra forordningen med mindre forordningen selv åpner opp
for det. Ved vedtakelsen av personvernforordningen har lovgiver nettopp vurdert retten til
personvern opp mot de fire friheter i EU og EU-retten ellers. Retten viser her til fortalens
punkt 4 fjerde linje. Siden forordningen er totalharmonisert, er det verken behov for eller
anledning til direkte prøving av personvernforordningen opp mot EØS-avtalen artikkel 36
om ulovlige restriksjoner siden lovgiver allerede har foretatt denne vurderingen jf.
fortalens punkt 4. Retten viser også til Haukeland, Fredriksen og Mathisen, EØS-rett, 4.
utgave 2022 side 161. Høyesterett sluttet seg til forfatternes tilnærming i HR-2023-301-A
avsnitt 68. Tilsvarende er også uttalt i flere saker for EU-domstolen og EFTA-domstolen.
Retten viser her til sak E-9/11 ESA mot Norge fra 2012 avsnitt 72.
Dersom personvernforordningen ikke var totalharmonisert kunne restriksjonsspørsmålet
stilt seg annerledes, slik tilfelle var i sak E-8/20 hvor Høyesterett ba om en
tolkningsuttalelse fra EFTA-domstolen. Anmodningen fra Høyesterett gjaldt
Trygdeforordningen (forordning EF nr. 883/2004). Trygdeforordningen oppstiller visse
krav til utforming av nasjonale trygdeordninger, men de nasjonale trygdeordningene i
EØS-statene er ikke harmonisert i et felles regelverk slik som personvernforordningen.
Det er dermed ikke grunnlag for separat prøving av en tolkning av forordningen opp mot
EØS-avtalen artikkel 36, slik Grindr har anført.
Oppsummering av rettens vurdering
Retten har i likhet med Datatilsynet og Personvernnemnda kommet til at Grindr ikke har
oppfylt kravene som følger av personvernforordningen artikkel 6 og 9. Retten kan ikke se
at Grindr som følge av dette er diskriminert eller at det foreligger en ulovlig restriksjon i
vurderingen av artikkel 6 og 9. Det er ikke grunnlag for å sette ned overtredelsesgebyret.
Personvernnemndas vedtak er gyldig og Staten ved Personvernnemnda frifinnes.
Spørsmål om Grindr utleverte opplysninger om særlige kategorier personopplysninger
Det er på det rene at Grindr utleverte personopplysninger til annonsepartnere, slik
personopplysninger er definert i GDPR artikkel 4 nr. 1. Opplysningene som ble delt var:
- Annonseidentifikator (Annonse-ID): En unik identifikator som brukes av
annonseringsplattformer for å spore brukerens interaksjoner med annonser
- IP-adresse
- Teknisk informasjon om brukerens enhet og operativsystem, som versjon av
operativsystem, enhetsmodell og skjermoppløsning
- 10 - 23-160384TVI-TOSL/04
- Selvrapportert alder
- Selvrapportert kjønn forutsatt at brukeren hadde rapportert enten mann eller
kvinne
- Geografisk lokasjon basert på GPS-koordinater
- App-ID som identifiserer opprinnelsen til disse opplysningene fra Grindr
Dersom annonseselskapene sammenstilte opplysningene ovenfor kunne annonseselskapene
følge den enkelte brukers interaksjon med annonsene, finne ut hvilke annonser en bruker
hadde trykket på, om brukeren hadde vært innom andre nettsider eller annonser med
samme annonseselskap og vite at brukeren var registrert bruker av Grindr.
Retten skal vurdere om personopplysningene som Grindr utleverte faller inn under
behandlingen av særlige kategorier personopplysninger i personvernforordningen artikkel
9 nr. 1 som lyder som følger:
Behandling av personopplysninger om rasemessig eller etnisk opprinnelse, politisk
oppfatning, religion, filosofisk overbevisning eller fagforeningsmedlemskap, samt
behandling av genetiske opplysninger og biometriske opplysninger med det formål å
entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en
fysisk persons seksuelle forhold eller seksuelle orientering, er forbudt.
[Rettens utheving]
Retten viser også til den engelske versjonen av personvernforordningen hvor siste del av
bestemmelsen lyder som følger:
…data concerning health or data concerning a natural person’s sex life or sexual
orientation shall be prohibited.
[Rettens utheving]
Ordlyden i den norske og engelske versjonen har en nyanseforskjell ved at det i den norske
versjonen står «en fysisk persons seksuelle forhold», mens det i den engelske versjonen
står «a natural person`s sex life». Ordet sex life viser at det er noe mer enn bare seksuelle
forhold i betydningen seksuelle relasjoner. Dette kommer retten tilbake til.
Det er ingen tvil om at opplysninger om en persons seksuelle forhold eller seksuelle
orientering er personopplysninger som av natur er særlige sensitive med hensyn til
grunnleggende rettigheter og friheter. Personer har et særlig behov for kontroll om slike
sensitive opplysninger.
Hva som omfattes av definisjonen av en «fysisk persons seksuelle forhold eller seksuelle
orientering» beror på en tolkning av bestemmelsen. Ordlyden tilsier en nokså bred
rekkevidde av definisjonen, slik at enhver opplysning som sier noe om en persons
- 11 - 23-160384TVI-TOSL/04
seksuelle preferanser, sexliv, følelser, atferd, legning eller lignende omfattes. Det er særlig
alternativet «seksuelle forhold / sex life» som har en vid rekkevidde og omfatter mer enn
en persons konkrete seksuelle legning. Det at det står seksuelle forhold betyr at artikkelen
ikke krever at det utleveres opplysninger om brukerens spesifikke seksuelle legning eller
avslører brukerens spesifikke legning (hvem man blir tiltrukket av), eller at det er
avgjørende alene. Det må være en videre forståelse for ellers hadde det vært tilstrekkelig
med kun «seksuelle orientering» i bestemmelsen. Seksuelle forhold vil her kunne bety
seksuelle aktiviteter, også utover sexliv – eksempelvis å se på porno, samt seksuelle
aktiviteter som avviker fra ens seksuelle orientering. Eksempelvis at en heterofil mann
ønsker å teste ut seksuell aktivitet med en homofil mann. En slik forståelse av ordlyden
støttes også av hvordan «sex life» er definert i Cambridge Dictionary:
Meaning of sex life in English: a person`s sexual activities and relationships
En vid tolkning støttes også av formålet med bestemmelsen, jf. personvernforordningens
fortale punkt 51:
Personopplysninger som av natur er særlige sensitive med hensyn til grunnleggende
rettigheter og friheter, fortjener et særskilt vern, ettersom sammenhengen de
behandles i, kan skape betydelige risikoer for de grunnleggende rettigheter og
friheter.
Retten viser også til Kunder m.fl (2020) The EU General Data Protection Regulation
(GDPR) side 375:
«The two categories 'data concerning a natural person's sex life' and 'sexual
orientation' are closely connected but not identical. Sexual orientation refers to
information concerning whether, for example, an individual is heterosexual,
homosexual, bisexual, or of some other orientation. Data concerning a natural
person's sex life is to be broadly construed to include not only this, but also
information about sexual practices (for example, the consumption of pornography)
as well as details on marital status and intimate personal details (for example,
concerning change of gender or the use of contraception).
EU-domstolen har behandlet enkelte saker vedrørende forståelsen av GDPR artikkel 9.
Retten viser først til EU-domstolens uttalelser i avgjørelse C-252/21 (Meta-saken) av 4.
juli 2023. Saken gjaldt Meta Platforms Irelands innsamling og sammenstilling av
opplysninger om brukernes besøk på andre nettsteder og apper, for eksempel
datingnettsteder for homofile, samt opplysninger som brukerne selv hadde inntastet på den
type nettsteder og apper. Domstolen tok stilling til om slik innsamling og videre
sammenstilling utgjør særlige kategorier av opplysninger fordi appene behandler
- 12 - 23-160384TVI-TOSL/04
opplysninger omfattet av artikkel 9 nr. 1. Retten viser til EU-domstolens konklusjon i
avsnitt 69 og 73 hvor det fremgår følgende:
..that fundamental prohibiton, laid down in Article 9(1) of the GDPR, is independent
of whether or not the information revealed by the processing operation in question is
correct and of whether the controller is acting with that aim of obtaining information
that falls within one of the categories referred to in that provision.
…
In the light of the foregoing, the answer to Question 2(a) is that Article 9(1) of the
GDPR must be interpreted as meaning that, where the user of an online social
network visits websites or apps to which one or more of the categories referred to in
that provision relate and, as the case may be, enters information into them when
registering or when placing online orders, the processing of personal data by the
operator of that online social network, which entails the collection – by means of
integrated interfaces, cookies or similar storage technologies – of data from visits to
those sites and apps and of the information entered by the user, the linking of all
those data with the user’s social network account and the use of those data by that
operator, must be regarded as ‘processing of special categories of personal data’
within the meaning of that provision, which is in principle prohibited, subject to the
derogations provided for in Article 9(2), where that data processing allows
information falling within one of those categories to be revealed, irrespective of
whether that information concerns a user of that network or any other natural
person.
Uttalelsene viser at tilknytning til en app kan være nok til å falle inn under behandling av
særlig kategorier personopplysning om den aktuelle appen håndterer særlig kategorier
personopplysninger. Videre at dette gjelder uavhengig av om informasjonen som avsløres
er korrekt og uavhengig av formålet med behandlingen.
I sak C-184/20 OT ble EU-domstolen spurt om en tolkningsuttalelse fra Litauiske
myndigheter. Spørsmålet som ble behandlet var om GDPR artikkel 9 omfatter
opplysninger som er egnet til indirekte å avsløre særlige kategorier personopplysninger.
Domstolen uttalte at GDPR artikkel 9 skal tolkes vidt og at opplysninger som indirekte kan
avsløre en persons seksuelle legningen er omfattet. Retten viser til avsnitt 125 og 128 hvor
det fremgår følgende:
Furthermore, a wide interpretation of the terms “special categories of personal
data” and “sensitive data” is confirmed by the objective of Directive 95/46 and the
GDPR, noted in paragraph 61 of the present judgement, which is to ensure a high
level of protection of the fundamental rights and freedoms of natural persons, in
particular of their private life with respect to the processing of personal data
concerning them.
- 13 - 23-160384TVI-TOSL/04
…
In the light of all the foregoing considerations, the answer to the second question is
that Article 8(1) of Directive 95/46 and Article 9(1) of the GDPR must be interpreted
as meaning that the publication, on the website of the public authority responsible
for collecting and checking the content of declarations of private interests, of
personal data that are liable to disclose indirectly the sexual orientation of a natural
person constitutes processing of special categories of personal data, for the purpose
of those provisions.
I Generaladvokatens uttalelse av 14. september 2023 i EU-domstolens sak C-115/22
NADA and Others uttalte Generaladvokaten at det at en person er tatt for brudd på
dopingregelverket ikke sa noe om vedkommendes helse. Det var ingen link mellom
opplysningene. Dermed var ikke opplysninger om dopmisbruk en personopplysning av
særlig kategori, jf. artikkel 9. Retten viser til Generaladvokatens uttalelse avsnitt 97 hvor
det fremgår følgende:
All the parties, with the exception of the applicant, rightly note that that definition is
composed of two elements. The first is the requirement that the personal data at issue
be related to the physical or mental health of a natural person. The second is that
those data reveal information about the natural person’s health status. In other
words, the personal data at issue must not only be somehow linked to the data
subject’s health (thus implying a loose connection), but must also allow inferences to
be drawn from that information as to the data subject’s health status (thus implying a
personalised aspect of the information concerned).
Retten må så ta stilling til om Grindr utleverte opplysninger om en «fysisk persons
seksuelle forhold eller seksuelle orientering» da Grindr utleverte App-ID til annonsørene.
Ved å utlevere App-ID så utleverte Grindr med annonsørene at opprinnelsen til
opplysningene kom fra Grindr – altså at opplysningene kom fra en registrert bruker av
Grindr. Spørsmålet er om det å dele opplysninger om at en person er bruker av Grindr
medfører at Grindr samtidig deler en opplysning om en «fysisk persons seksuelle forhold
eller seksuelle orientering».
Det er på det rene at App-ID som Grindr har delt i seg selv og isolert sett ikke sier noe om
en persons seksuelle forhold eller seksuelle orientering siden App-ID består av en
tallrekke. Det avgjørende er at en App-ID kan spores tilbake til en konkret bruker. Ved å
dele App-ID så gir Grindr altså ut informasjon om at en konkret bruker er bruker av
Grindr. For å ta stilling til om det å dele informasjon om at en person er bruker av Grindr
er utlevering av informasjon om en persons seksuelle forhold eller seksuelle orientering må
retten først vurdere hva slags app Grindr er.
Grindr driver et lokasjonsbasert sosialt nettverk og en mobilapplikasjon for nettdating.
- 14 - 23-160384TVI-TOSL/04
Grindr markedsfører seg mot LGBTQ+-fellesskapet. I App Store er appen navngitt slik:
Grindr – Gay Dating & Chat
Meet & Date Lokal LGBTQ People
Lenger ned på siden i App Store er appen beskrevet på følgende måte:
Grindr is the world`s #1 free dating app serving the LGBTQ community. If you`re
gay, bi, trans, queer, or even just curious. Grindr is the best and easiest way to meet
new people for friendships, hookups, dates and whatever else you`re looking for.
I Google Play ble Grindr omtalt på følgende måte i januar 2020:
Grindr – Gay Chat
Grindr – exclusively for gay, bi and curious men.
Ovennevnte viser at Grindr markedsførerø seg direkte mot personer om deres seksuelle
preferanser og orientering. Grindr henvender seg i markedsføringen til LHBTQ-
fellesskapet, men appen er likevel designet på en slik måte at den særlig retter seg mot
menn som søker menn. Helt innledningsvis vil retten vise til en artikkel på Grindrs egen
hjemmeside som omhandler hvordan navnet Grindr kom til. I artikkelen fra november
2010 vises det til at navnet kommer fra en sammenkopling av ordene «Guy» og «Finder»:
Since we launched nearly two years ago, over a million of you have downloaded
Grindr and in the process helped us become the world`s largest, all-male, mobile,
social networking utility.
…
The name `Grindr` was chosen because it embodies the idea of “grinding” people
together in the same way that a coffee grinder grinds coffee beans. Our app helps
introduce like-minded users to each other in 180 countries around the world and
helps them form new relationships of all kinds. The name is also partly a
combination of the words “Guy” and “Finder”. Put the two explanations together
and you`ve got the history behind the name Grindr and the social networking
revolution you`ve helped make happen.
Det er ikke omtvistet mellom partene at Grindr opprinnelig var en app som rettet seg mot
menn som søkte menn. Dette bekreftet Grindrs partsrepresentant, Chief Privacy Officer
Kelly Miranda, i retten. Miranda forklarte videre at appen etter opprinnelsen har utviklet
seg til å omfatte en større brukergruppe – LHBTQ+-, slik at Grindr i dag (og i den tiden
vedtaket gjelder) ikke bare rettet seg mot homofile menn. Retten forstår at Grindr i dag har
utviklet forretningskonseptet siden opprinnelsen, men selv om dette var og er Grindrs
hensikt, er appen fortsatt en app som fungerer og assosieres som en datingapp for homofile
- 15 - 23-160384TVI-TOSL/04
menn og transkvinner. Årsaken til dette er etter rettens syn hvordan appen er markedsført
og designet.
Det er uansett ikke av avgjørende betydning om appen retter seg mot menn som søker
menn eller mot LHBTQ+-fellesskapet. Etter rettens syn er det avgjørende at Grindr er en
app som markedsfører seg som et sosialt nettverk rettet spesifikt mot seksuell orientering
og relasjoner. Videre er det etter rettens syn mest nærliggende å kalle Grindr en
«dating/sjekke-app», enn en app som også retter seg mot brukere som er ute etter «nye
vennskap» eller «pleie gamle vennskap». Grunnen til dette er hvordan appen er designet
for brukerne. I registreringen av en profil får brukeren en rekke valg før brukeren kommer
inn i den såkalte «kaskaden». Kaskaden er den delen av appen hvor brukerne ser og kan
kontakte andre brukere etter registrering. De ulike valgene i registreringen bidrar til at
brukerne sorteres basert på preferanser før brukerne kommer inn i kaskaden.
Det er en rekke valg brukeren kan krysse av for som omhandler blant annet hvordan
brukeren selv ser ut, brukerens seksuelle preferanser og brukerens ønsker for en
kommende partner. Eksempelvis kan brukeren krysse av for foretrukne seksuelle
posisjoner – «Positions»: «Top», «Vers Top», «Versatile», «Vers Bottom», «Bottom»,
«Side» eller «Not Specified».
Brukeren kan også krysse av for beskrivelse av egen kroppstype – «Body type»: «Toned»,
«Large», «Slim», «Average», «Muscular», «Stocky» og «Not Specified».
Videre kan brukeren krysse av for foretrukne persontyper – «Tribes» og dele beskrivelse
av egen persontype: «Bear», «Daddy», «Geek», «Leather», «Poz», «Trans», «Sober»,
«Clean-Cut», «Discreet», «Jack», «Otter», «Rugged», «Twink» eller «Not specified».
I utgangspunktet kan enkelte av valgalternativene isolert sett være kjønnsnøytrale, men
opplysningene sett i sammenheng viser tydelig at dette er beskrivelser som er innrettet mot
menn som søker menn. Det betyr ikke at kvinnelige brukere er utelukket som brukere, men
designet viser at appen ikke har kvinnelige brukere i målgruppen. Dersom appen skulle
kunne sies å være kjønnsnøytral måtte de ulike alternativene ha vært utvidet med flere
alternativer tilpasset eksempelvis kvinnelige kropps- eller persontyper selv om
alternativene, som nevnt over, under kroppstyper isolert sett er kjønnsnøytrale. Det er også
anledning til å legge inn hiv-status og dato for siste sjekk. Retten viser også til at
markedsføringsbildene til Grindr, som vises i App Store, er utelukkende bilder av menn og
transkvinner.
Retten presiserer at Grindr ikke har delt videre ovennevnte brukervalg om kroppstyper og
seksuelle preferanser. Grunnen til at retten likevel fokuserer på dette er for å vise hvilken
gruppe mennesker appen faktisk retter seg mot og hva de skal bruke appen til. Appen er
hovedsakelig en «dating/sjekke-app», med de forhold og aktiviteter som følger av det. Mer
- 16 - 23-160384TVI-TOSL/04
presist kan det kanskje sies at den i hovedsak retter seg mot en gruppe mennesker som
søker seksuell kontakt med andre basert på seksuell legning og preferanser. Etter rettens
syn er dette opplysninger om en persons seksuelle forhold.
En opplysning om at en person er registrert bruker av Grindr, er da etter rettens syn en
opplysning om noens seksuelle forhold eller orientering.
En slik tolkning støttes også av Meta-dommen referert til over. Selv om EU-domstolens
uttalelser knyttet seg til innsamling og videre sammenstilling av opplysninger – og ikke
utlevering – slik som i vår sak, så er den likevel relevant. Hensynet bak om å beskytte
sensitiv informasjon vil være den samme uansett hvilken vei informasjonen flyter. Når EU-
domstolen i Meta-saken konkluderte med at innsamling og sammenstilling av opplysninger
om besøkende på eksempelvis datingnettsider for homofile utgjør behandling av særlige
kategorier personopplysninger, må også slike nettsiders utlevering av samme type
informasjon for lignende formål også utgjøre en behandling av personopplysninger som er
omfattet av personvernforordningen artikkel 9 nr. 1. Det avgjørende er om appen som ble
besøkt behandlet informasjon om særlige kategorier personopplysninger. Grindr behandler
utvilsomt særlige kategorier personopplysninger i appen.
Opplysningene om at en person er Grindr-bruker er egnet til å avsløre noe om brukerens
seksuelle forhold eller seksuelle orientering. Slutningen som trekkes om brukerens
seksuelle forhold eller orientering trenger ikke å være korrekt for at den skal omfattes. Det
er også en tydelig link mellom å være bruker på Grindr og brukerens seksuelle forhold
eller seksuelle orientering. Bare det å være bruker i Grindr så kan man treffe den
slutningen at brukeren ikke er heterofil og det vil være omfattet av seksuelle forhold.
Retten har i likhet med Personvernnemnda kommet til at Grindr utleverte
personopplysninger om personers seksuelle forhold eller legning, jf. GDPR artikkel 9 nr. 1.
Grindr har anført at Personvernnemndas tolkning av GDPR artikkel 9 er i strid med EMK
artikkel 14 og at Grindr er diskriminert ved en slik tolkning. EMK artikkel 14 oppstiller et
forbud mot diskriminering og det følger av dom avsagt av Den Europeiske
menneskerettighetsdomstolen i sak mellom Frettè og Frankrike fra 2002 avsnitt 32 at
artikkel 14 også gjelder forskjellsbehandling som følge av seksuell orientering.
Det fremgår av personvernforordningens artikkel 1 nr. 2 at forordningen skal sikre vern av
fysiske personers grunnleggende rettigheter og friheter, særlig deres rett til vern av
personopplysninger. Personopplysninger som er særlig sensitive har behov for et særlig
vern, jf. fortalens punkt 51. Artikkel 9 skal derfor nettopp forhindre diskriminering ved at
sensitive personopplysninger ikke blir delt utenfor personens kontroll. Det er derfor ingen
motstrid mellom personvernforordningens artikkel 9 og EMK artikkel 8 og 14.
- 17 - 23-160384TVI-TOSL/04
En diskriminering må omfatte en av de nevnte grunnlagene som fremgår av EMK artikkel
14 for at det skal komme til anvendelse. I vår sak er det forskjellsbehandling som følge av
seksuell orientering som er aktuelt. I utgangspunktet kan både fysiske og juridiske personer
ha krav på beskyttelse etter EMK artikkel 8 og 14, jf. «enhver». Men det er bare de som
har «et familieliv» eller «et hjem» som er beskyttet etter artikkel 8 og det er eksempelvis
bare de som har en seksuell orientering som er beskyttet av artikkel 14. Grindr har ingen
seksuell orientering og kan derfor ikke vise til vernet mot forskjellsbehandling, jf. EMK
artikkel 8 jf. artikkel 14.
Grindr har videre vist til at det i EU er nedfelt et generelt forbud mot diskriminering basert
på seksuell legning, jf. TEUV artikkel 10 og i pakten artikkel 21. I forlengelsen av dette
har Grindr anført at det vil strid mot pakten dersom en aktør stilles dårligere enn en annen
aktør. Etter rettens syn foreligger det i saken ikke diskriminering basert på hvilken seksuell
legning man har. Alle personer har rette til privatliv og særskilt kontroll med opplysninger
om deres seksuelle forhold eller seksuelle orientering etter artikkel 9. Dette gjelder uansett
om man tilhører en seksuell minoritet eller majoritet. Forbudet mot deling av opplysninger
etter artikkel 9 uten samtykke gjelder også hvis en sjekkeapp spesifikt retter seg inn mot
personer med heterofil legning. Det samme vil gjelde for sjekkeapper som retter seg mot
seksuelle preferanser.
Spørsmål om Grindr innhentet gyldig samtykke til utlevering av personopplysninger
inkludert samtykke til utlevering av særlige kategorier personopplysninger
Rettslige utgangspunkter
Neste spørsmål er om Grindr innhentet gyldig samtykke fra brukerne til behandlingen av
personopplysninger i samsvar med GDPR artikkel 6 og 9. Hva som menes med samtykke
fremgår av GDPR artikkel 4 nr. 11:
«samtykke» fra den registrerte enhver frivillig, spesifikk, informert og utvetydig
viljesytring fra den registrerte der vedkommende ved en erklæring eller en tydelig
bekreftelse gir sitt samtykke til behandling av personopplysninger som gjelder
vedkommende
Ovennevnte viser at det stilles strenge krav til et samtykke siden det listes opp fire
kumulative vilkår for at et samtykke anses å være gitt. Samtykkekravene etter
personvernforordningen er dermed strengere enn alminnelige samtykkekrav etter norsk rett
på andre rettsområder. Det er et grunnleggende krav at EØS-rettslige regler skal tolkes likt
i hele EØS-området. Det er derfor ikke relevant for retten å se hen til hvilke samtykkekrav
Høyesterett tidligere har oppstilt til eksempelvis samtykke til bruk av narkotika, slik
rettspraksis Grindr har henvist til, når retten skal tolke samtykkevilkårene i
personvernforordningen.
- 18 - 23-160384TVI-TOSL/04
Partene er enige om faktum som ble lagt til grunn av Personvernnemnda om
samtykkeløsningen. Retten viser til Personvernnemndas beskrivelse på side fire i vedtaket
og legger følgende til grunn i den videre vurderingen:
I samtykkemekanismen som gjaldt i den aktuelle perioden, ble først brukervilkårene
(«GRINDR TERMS AND CONDITIONS OF SERVICE») vist i sin helhet. Når
brukeren trykket på «Proceed», kom det opp et vindu med teksten «I accept the
Terms of Service», og med de klikkbare svaralternativene «Cancel» og «Accept».
Deretter ble brukeren presentert for personvernerklæringen («GRINDR PRIVACY
AND COOKIE POLICY»). Det er i denne erklæringen de aktuelle formuleringene
om utlevering av personopplysninger til annonsepartnere med formål å eksponere
bruker for atferdsbasert markedsføring, framkommer. Når brukeren trykket på
«Proceed» her, kom det opp et nytt vindu med teksten «I accept the Privacy Policy»,
og med de klikkbare svaralternativene «Cancel» og «Accept».
…
Dersom brukeren ikke aksepterte brukervilkår og personvernerklæring, var videre
registrering ikke mulig, og brukeren ville ikke kunne bruke appen.
Krav til samtykkets frivillighet
Det første spørsmålet er om samtykket ble gitt frivillig, jf. artikkel 4 nr. 11. I vurderingen
av om et samtykke er gitt frivillig skal det tas størst mulig hensyn til om yting av tjenesten
er gjort betinget av samtykke til behandling av personopplysninger som ikke er nødvendig
for å yte tjenesten, jf. artikkel 7 nr. 4 og fortalen punkt 43. Frivillighet innebærer også at
brukeren må ha et reelt valg for hvordan personopplysningene skal behandles. Retten viser
her til personvernforordningens fortale punkt 42 siste punktum hvor det fremgår følgende:
Samtykket skal ikke anses som frivillig dersom den registrerte ikke har en reell
valgfrihet, eller ikke er i stand til å nekte å gi eller trekke tilbake et samtykke uten at
det er til skade for vedkommende.
Brukeren hadde to alternativer etter at personvernerklæringen ble presentert i Grindr og det
var «Cancel» eller «Accept». Dersom brukeren trykket «Cancel» fikk ikke brukeren
opprettet profil i Grindr-appen selv om Grindrs alminnelige brukervilkår var akseptert. Det
var ikke et samtidig valgalternativ om ikke å utlevere personopplysninger til
annonsepartnere. Siden brukeren hadde en mulighet til å trykke «Cancel» kan det
argumenteres for at brukeren hadde en valgfrihet – brukeren kunne velge å ikke opprette en
bruker i Grindr-appen. Brukeren kunne isteden gå til en konkurrent. Retten er av den
oppfatning at det ikke er den type valgfrihet personvernforordningen hadde for øye da
teksten «reell valgfrihet» ble skrevet. Brukeren hadde ikke valgfrihet når det gjaldt om
brukeren ville tillate at Grindr utleverte personopplysninger om vedkommende til
annonsepartnere i bruken av Grindr-appen. Brukeren skal selv kunne velge om
personopplysninger skal utleveres, jf. personvernforordningens formål. Valgfriheten
- 19 - 23-160384TVI-TOSL/04
knytter seg ikke til valget om å velge tjenesten eller ikke. En slik tolkning støttes også av
Guidelines 05/2020 on Consent under Regulation 2016/678 versjon 1.1 side 7 punkt 3.1 nr.
13:
If consent is bundles up as a non-negotiable part of terms and conditions it is
presumed not to have been freely given. Accordingly, consent will not be considered
to be free if the data subject is unable to refuser or withdraw his or her consent
without detriment.
Retten viser også til Jarbekk m.fl., Personopplysningsloven og personvernforordningen
med kommentarer (2019) side 174:
WP29 skriver i samme veileder på side 9 at en behandlingsansvarlig ikke kan
argumentere med at den registrerte har et valg, ved å peke på at en annen
behandlingsansvarlig tilbyr et annet alternativ. Friheten er da avhengig av en
markedssituasjon og hvorvidt den registrerte finner at den andre
behandlingsansvarliges tilbud faktisk er tilsvarende. Dessuten ville det innebære en
forpliktelse for den behandlingsansvarlige til å følge med på markedet for å se at
alternativet fremdeles finnes.
Det var heller ikke nødvendig for at Grindr skulle kunne tilby tjenesten til brukerne at
brukerne samtykket til deling av personopplysninger til annonsepartnere. Retten viser her
til artikkel 7 nr. 4 og fortalen punkt 43, samt Guidelines 05/2020 on Consent under
Regulation 2016/678 versjon 1.1 side 7 punkt 3.1 nr. 14 og 15:
When assessing whether consent is freely given, one should also take into account
the specific situation of tying consent contracts or the provisions of a service as
described in Artickle 7(4). Article 7(4) has been drafted in a non-exhaustive fashion
by the words “inter alia”, meaning that there may be a range of other situations,
which are caught by this provision. In general terms, any elements of inappropriate
pressure or influence upon that data subject (which may be manifested in many
different ways) which prevents data subject from exercising their free will, shall
render the consent invalid.
Example 1: A mobile app for photo editing asks its users to have their GPS
localisation activated for the use of its services. The app also tells its users it will use
the collected data for behavioural advertising purposes. Neither geolocalisation or
online behavioural advertising are necessary for the provision of the photo editing
services and go beyond the delivery of the core service provided. Since users cannot
use the app without consenting to these purposes, the consent cannot be considered
as being freely given.
- 20 - 23-160384TVI-TOSL/04
Samtykket brukerne ga Grindr kan derfor ikke sies å være frivillig siden brukerne ikke fikk
tilgang til Grindr uten å samtykke til deling av personopplysninger til annonsepartnere. Det
var ikke et alternativ å trykke aksept av tjenesten uten å utlevere personopplysninger til
annonseformål. Deling av personopplysninger til annonsepartnere var heller ikke
nødvendig for å kunne yte tjenesten. Det fikk negative konsekvenser for brukeren å ikke
samtykke i form av at brukeren ikke fikk tilgang til tjenesten. Et slikt samtykke som Grindr
benyttet er i strid med personvernforordningens formål om retten til å ha kontroll over egne
personopplysninger. Samtykket var ikke frivillig. Retten går ikke nærmere inn på
muligheten til å trekke samtykket tilbake siden retten uansett har kommet til at samtykket
ikke var frivillig.
Grindr har anført at brukerne hadde et reelt valg hvor de kunne velge å benytte
betalingsversjonen av appen og dermed slippe annonser. Dersom brukere valgte
betalingsversjonen, ville ikke personopplysninger bli delt med annonsepartnerne. Retten
bemerker at betalingsversjonen var først tilgjengelig etter at brukeren hadde registrert en
profil i Grindr-appen og deretter sluppet inn i kaskaden hvor brukeren kunne se andre
brukere. Personopplysninger ble delt umiddelbart med annonsepartnerne i det man trykket
«Accept» av personvernerklæringen før betalingsversjonen ble tilgjengelig. På dette
tidspunktet var allerede personopplysninger delt, slik at dette utgjør ikke et alternativt valg
og følgelig medfører ikke at samtykket var frivillig. Det var ikke et samtidig valg å velge
betalingsversjonen. Retten legger også til at det ikke var informasjon om
betalingsversjonen i personvernerklæringen. Betalingsversjonen ble heller ikke fremhevet
som et alternativ for å unngå at personopplysninger ble utlevert. Betalingsversjonen ble
markedsført som en tjeneste med en rekke tilleggstjenester, slik som «more profiles», «no
more ads», «advanced filters», «chat in explore» og «viewed me». Det at det stod «no
mores ads» er ikke ensbetydende for en bruker at Grindr ville slutte å utlevere
personopplysninger med annonsepartnere.
Videre har Grindr anført at det i personvernerklæringen kom frem informasjon om hvordan
brukeren kunne velge bort atferdsbasert markedsføring ved å endre innstillingene på
telefonen, og at dersom brukeren ikke gjorde dette må det anses som samtykke til deling av
personopplysninger. Retten viser først til hvordan denne muligheten ble presentert i
personvernerklæringen. Under overskriften «How We Use Your Information» i
personvernerklæringen informeres brukeren i kulepunkt 12 («Third Part Advertising
Companies») først om hvilke personopplysninger som utleveres til annonsepartnere. Om
brukernes mulighet til å velge bort atferdsbasert markedsføring, står det følgende i samme
punkt:
See the YOUR CHOICES section of this policy for information on your ability to opt-
out of interest based advertising.
- 21 - 23-160384TVI-TOSL/04
Den nærmere fremgangsmåten for hvordan brukerne kunne velge bort atferdsbasert
markedsføring ble i personvernerklæringen framstilt på følgende måte under kulepunkt tre
under overskriften «Your Choices»:
Behavioral Advertising Within The Grindr App. If you are using the Grindr Services
on an Apple iOS device, you can opt out of behavioral targeting by going into
Settings >Privacy > Advertising on your iOS device, or visiting Apple’s website for
more information. To opt out on an Android device, open the “Google Settings,”
click on “Ads” and enable “Opt out of interest based ads.”
Dersom brukeren fulgte denne fremgangsmåten, kunne en bruker unngå deling av
personopplysninger. Heller ikke dette alternativet oppfyller kravet til frivillighet. Dersom
brukeren unnlot å gjøre denne handlingen kan dette ikke tas til inntekt for et frivillig
samtykke. Et samtykke krever en aktiv handling. For det andre ville en slik avkrysning i
telefonens innstillinger gjelde alle apper brukeren hadde på telefonen. Grindr kan ikke
påberope seg en løsning som går utover alle andre apper. Det kan godt tenkes at brukere
ønsket å dele personopplysninger til atferdsbasert markedsføring i andre apper, men ikke i
Grindr-appen. Og uansett om brukeren faktisk valgte dette alternativet så delte fortsatt
Grindr likevel enkelte personopplysninger med annonsørene, jf. Mnemonics Technical
Report av 14. januar 2021 side 67. Det vil si at heller ikke dette alternativet var et fullgodt
alternativ for brukerne til å hindre deling av personopplysninger selv om de endret i
innstillinger på telefonen. Unnlatelse av å gjøre endringer i telefonens innstillinger er ikke
et frivillig samtykke til deling av personopplysninger i henhold til personvernforordningen
artikkel 4. Et samtykke krever en aktiv handling, jf. «active beaviour» i EU-domstolens sak
C-61/19 Orange Romania (2020) avsnitt 52.
Grindr har videre anført at brukeren først kunne gå inn i telefonens innstillinger, velge bort
atferdsbasert markedsføring, for deretter å opprette en profil i Grindr, for deretter å kjøpe
betalingsversjonen, for så å gå inn i innstillinger og krysse av for aksept av atferdsbasert
markedsføring igjen. En slik løsning er for teoretisk og ikke en realistisk fremgangsmåte –
særlig uten en tydelig forklaring som brukeren kunne forså.
Grindr har også anført at brukerne er selv ansvarlige for å lese vilkårene i
personvernerklæringen, slik at Grindr kan ikke klandres om vilkårene ikke ble lest hvor
alternativet om endringer i telefonens innstillinger ble presentert. Retten er enig i at Grindr
ikke er ansvarlige for om brukerne unnlot å lese vilkårene, men Grindr kan ikke påberope
seg unnlatelser til å ikke endre forhåndsavkryssede bokser i mobilens innstillinger til å
utgjøre et frivillig samtykke. Retten viser her både til personvernforordningens fortale
punkt 32 og sak C-61/19 Orange Romania avsnitt 51 hvor det fremgår følgende:
In any event, as is apparent from the considerations set out in paragraphs 35, 36 and
42 above, it is for Orange România, as the data controller, to establish that its
- 22 - 23-160384TVI-TOSL/04
customers have, by active behaviour, given their consent to the processing of their
personal data, with the result that that company cannot require them actively to
express their refusal.
Samtykkeløsningen til Grindr oppfylte ikke kravet til frivillighet i GDPR artikkel 6.
Det er i utgangspunktet ikke nødvendig for retten å vurdere om samtykkeløsningen også
var tilstrekkelig spesifikt og informativt, jf. GDPR artikkel 4 nr. 11, men siden vilkårene er
til dels overlappende så tar også retten med en kort vurdering av disse vilkårene for
fullstendighetens skyld.
Krav til at et samtykke skal være spesifikt og informert
En anmodning om samtykke skal fremlegges på en slik måte som gjør at den tydelig kan
skilles fra nevnte andre forhold, i en forståelig og lett tilgjengelig form og på et klart og
enkelt språk, jf. GDPR artikkel 7 nr. 2 jf. fortalens punkt 42.
I sak C-61/19 Orange Romania (2020) uttalte EU-domstolen følgende om
spesifikasjonskravet i avsnitt 39, 40 og 52:
..such a declaration must be presented in an intelligible and easily accessible form,
using clear and plain language, in particular where it concerns a declaration of
consent which is to be pre-formulated by the controller of personal data.
…
that the controller is to provide the data subject with information relating to
all the circumstances surrounding the data processing, in an intelligible and easily
accessible form, using clear and plain language, allowing the data subject to be
aware of, inter alia, the type of data to be processed, the identity of the controller,
the period and procedures for that processing and the purposes of the processing.
Such information must enable the data subject to be able to determine easily the
consequences of any consent he or she might give and ensure that the consent given
is well informed.
…
that it is for the data controller to demonstrate that the data subject has, by active
behaviour, given his or her consent to the prosessing of his or her personal data and
that he or sha has obtained, beforehand, information relating to all circumstances
surrounding that processing in an intelligible and easily accessible form, using clear
and plain language, allowing that person easily to understand the consequences of
that consent, so that it is given with full knowledge of the facts.
[Rettens utheving]
- 23 - 23-160384TVI-TOSL/04
Retten viser også til sak C-673/17 Planet49 (2019) hvor EU-domstolen uttalte at brukeren
må forstå konsekvensene av et samtykke. Retten viser til avsnitt 74 hvor det fremgår
følgende:
..clear and comprehensive information implies that a user is in a position to be able
to determine easily the consequences of any consent he or she might give and ensure
that the consent given is well informed. It must be clearly comprehensible and
sufficiently detailed so as to enable the user to comprehend the functioning of the
cookies employed.
Tilsvarende fremgår Guidelines 05/2020 on Consent under Regulation 2016/678 versjon
1.1 avsnitt 67:
When seeking consent, controllers should ensure that they use cleat and plain
language in all cases. This means a message should be easily understandable for the
average person and not only for lawyers. Controllers cannot use long privacy
policies that are difficult to understand or statements full of legal jargon. Consent
must be clear and distinguishable from other matters and provided in an intelligible
and easily accessible form. This requirement essentially means that information
relevant for making informed decisions on whether or not to consent may not be
hidden in general terms and conditions.
Det fremgår i tillegg av fortalens punkt 32 og 43 at et samtykke skal dekke alle
behandlingsaktiviteter som har samme formål og at et samtykke skal gis separat for
forskjellige formål.
Grindr samtykkeløsning var utformet som en del av Grindrs personvernerklæringer.
Personvernerklæringene redegjør i detalj for hvordan Grindr behandlet
personopplysninger, og hadde til formål å oppfylle Grindrs plikter etter
personvernforordningen artikkel 13. En personvernforordning er i utgangspunktet ikke et
dokument en bruker skal samtykke til. Det å kombinere en samtykkeløsning som en del av
en personvernerklæring krever at det kommer tydelig frem hva det er den
behandlingsansvarlige ber om samtykke til. Det var ikke tydelig i personvernerklæringen
til Grindr.
Det foreligger flere versjoner av personvernerklæringen i perioden vedtaket gjelder, men
partene er enige om faktum som ble lagt til grunn av Personvernnemnda om innholdet i
personvernerklæringen. Retten viser derfor til Personvernnemndas beskrivelse på side 18 i
vedtaket og legger følgende til grunn i den videre vurderingen:
- 24 - 23-160384TVI-TOSL/04
Under overskriften «How We Use Your Information» I personvernerklæringen
informeres brukeren bl.a. om hvilke personopplysninger som utleveres til
annonsepartnere. Kulepunkt 12 lyder slik:
«Third Party Advertising Companies. We share your hashed Device ID, your
device`s advertising identifier, a portion of your Profile Information, Distance
Information, and some of your demographic information with our
partners…Note that we do not sell your personal user information to third
parties for advertising purposes. Also note that we do not share information
about your Tribe, or about your HIV status, with any advertising companies.»
Personvernerklæringene inneholdt tekniske begreper som for eksempel «Hashed device
ID» og «your device`s advertising identifier». Grindr har erkjent at personvernerklæringen
brukte en del tekniske begreper, men argumenterte for at dette er normale begreper i en
personvernerklæring som det er lett å finne ut hva betyr om man ønsker det. Videre at det å
forklare begrepene med flere ord ville medføre en enda lengre personvernerklæring. Til
dette vil retten bemerke kort at å benytte begreper som en vanlig bruker ikke forstår uten
en forklaring er ikke i tråd med personvernforordningens krav om klarspråk.
Det var heller ikke mulig for en bruker å forstå hvilke opplysninger Grindr ba om
samtykke til å dele når det i personvernerklæringen står at Grinder deler «a portion of your
personal information».
I relasjon til utlevering av opplysninger stod det også i personvernerklæringen at «we do
not sell your personal user information to third parties for advertising purposes». Det er
vanskelig for retten å forstå hvorfor denne setningen står i personvernerklæringen når det
er nettopp det Grindr faktisk gjør. Grindrs partsrepresentant forklarte i retten at Grindr ikke
selger informasjon, men at Grindr får betalt for å vise annonser mot utlevering av
personopplysninger. Det er etter rettens syn to sider av samme sak. Informasjonen var
uklar og misvisende for en bruker.
Videre ble brukerne henvist til å lese personvernerklæringene til andre annonsepartnere,
men Grindr oppga navnet på kun en av Grindrs annonsepartnere. Brukerne visste dermed
ikke hvilke personvernerklæringer de eventuelt burde lese. Uansett er det Grindr som må
forklare konsekvensene av et samtykke på en forståelig måte uten at en bruker må lese en
rekke andre personvernerklæringer. Retten viser til rapporten fra Mnemonic hvor det
fremgår at Grindrs utlevering medførte en massiv spredning av personopplysninger. Grindr
var klar over dette, men brukerne ble ikke satt i stand til å forstå konsekvensene av Grindrs
utlevering. Selv om denne saken ikke gjelder annonsepartnernes håndtering av
personopplysninger er det likevel relevant for brukerne å forstå omfanget nettopp for å
forstå konsekvensene av samtykket.
- 25 - 23-160384TVI-TOSL/04
Ovennevnte gjennomgang viser at Grindrs anmodning om samtykke ikke var spesifikt og
informert. Det ble ikke benyttet et klart språk og det var ikke mulig for brukerne å forstå
hva de samtykket til og konsekvensene av et samtykke.
Når det gjelder kravet til utvetydig viljesytring nøyer retten seg med å konstatere at
Personvernnemnda har tolket «utvetydig viljesytring» i vedtaket i snever forstand og lagt
til grunn at det å trykke «Accept» isolert sett var en utvetydig viljesytring. Retten er enig i
at selve aksepten var en utvetydig viljesytring, men at innholdet det ble samtykket til ikke
oppfylte kraven til utvetydig, spesifikt eller informativt.
Siden retten har kommet til at Grindrs samtykkeløsning ikke tilfredsstilte kravene i GDRP
artikkel 4 så er det ikke nødvendig for retten å vurdere om samtykkekravet som stilles i
artikkel 9 nr. 2 bokstav a medfører et strengere krav enn det som følger av artikkel 4.
Relevansen av hvilke tekniske muligheter Grindr hadde til å utforme en samtykkeløsning i
tråd med personvernforordningen
Grindr har anført at de tekniske mulighetene på tidspunktet vedtaket gjelder satte
begrensninger for utformingen av samtykkeløsningen. Grindr har i den forbindelse vist til
hvordan en mobilapplikasjon bygges opp og forskjellen på web-apps (app til pc) og native-
apps (app til mobiltelefoner). Videre har Grindr vist til ulikhetene mellom
operativsystemene til Apple og Android for mobiletelefoner.
Det er for retten ikke nødvendig å vurdere de ulike tekniske begrensningene/mulighetene
Grindr har presentert. Det avgjørende for retten er at det er Grindr som er ansvarlig for at
Grindr oppfyller de lovpålagte kravene som følger av personvernforordningen.
Bevisførselen viste uansett at det ikke var teknisk umulig å utvikle andre
samtykkeløsninger. Retten viser til vitneforklaringene til Tor E. Bjørstad i Mnemonic og
Stephen Samuel i Grindr. De anførte begrensningene Grindr har vist til dreier seg i all
hovedsak om kommersielle valg. Det at andre alternativer ville være dyrere eller mer
kompliserte å få til er ikke forhold som fritar Grindr for brudd på personvernforordningen.
I betalingsversjonen til Grindr ble ikke personopplysninger delt, slik at det var mulig å lage
en løsning i selve appen, men Grindr ville da fått lavere inntekter. En slik løsning kunne
eksempelvis vært benyttet i perioden hvor Grindr selv forklarte at den gjeldende
samtykkeløsningen fungerte dårlig og de arbeidet med å utvikle en ny i samarbeid med
OneTrust.
- 26 - 23-160384TVI-TOSL/04
Vurdering av overtredelsesgebyret
Rettslige utgangspunkter
Personopplysningsloven § 26 fastsetter at Datatilsynet kan ilegge offentlige myndigheter
og organer overtredelsesgebyr for overtredelser av personvernforordningen. Ileggelse av
overtredelsesgebyr er ikke straff i straffeloven eller straffeprosesslovens forstand, men en
forvaltningsrettslig sanksjon. Overtredelsesgebyr er likevel en reaksjon på en overtredelse
og har et straffende formål. Det er å anse som straff etter Den europeiske
menneskerettskonvensjonen (EMK) artikkel 6 og 7. Det innebærer blant annet at kravene
til saksbehandling som følger av EMK artikkel 6 må oppfylles, og at det må foreligge
skyld i det gebyret er å anse som straff etter EMK artikkel 7. For å oppfylle skyldkravet er
det tilstrekkelig med vanlig uaktsomhet, jf. HR-2021-797-A avsnitt 24.
Bestemmelsen om overtredelsesgebyr i personopplysningsloven § 26 er en «kan»-regel.
Avgjørelsen av om overtredelsesgebyr skal ilegges, og hvor stort det i så fall skal være, vil
bero på en skjønnsmessig vurdering. Det fremgår av artikkel 83 at ileggelse av
overtredelsesgebyr i hvert enkelt tilfelle skal være virkningsfullt, stå i et rimelig forhold til
overtredelsen og det skal virke avskrekkene. I vurderingen av beløpets størrelse skal det tas
hensyn til en rekke momenter som er opplistet i artikkel 83 nr. 2 bokstav a til k.
Bestemmelsen legger opp til en bred skjønnsmessig vurdering. Retten kommer tilbake til
den konkrete vurderingen nedenfor.
Som redegjort for over kan retten prøve alle sider av saken inkludert om
overtredelsesgebyr skal ilegges og beløpets størrelse. I forarbeidene til bestemmelsene i
forvaltningsloven kapittel IX om administrative sanksjoner, som supplerer
personopplysningsloven § 27, er det uttalt følgende om domstolens kompetanse ved
prøving av vedtak om administrative sanksjoner, jf. Prop.62 L(2015-2016) side 204:
Det kan imidlertid ofte være grunn for domstolene til å vise tilbakeholdenhet med å
overprøve forvaltningens avgjørelse av om en sanksjon bør ilegges selv om vilkårene
for ileggelse er oppfylt. Forvaltningen kan for eksempel ha bedre oversikt over
hvordan både individual- og allmennpreventive hensyn virer på området. Og særlig
ved mindre overtredelse kan det medføre uhensiktsmessig ressursbruk om
domstolene skal gå inn i en vurdering av «kan»-skjønnet. Domstolene bør her kunne
nøye seg med en mer overfladisk kontroll av «kan»-skjønnet, der et sentralt spørsmål
blir om forvaltningen har oppfylt visse minstekrav til likebehandling og
forholdsmessighet.
Også hvor det foreligger en ordning som bærer preg av å være en standardisert
sanksjon mot visse typer overtredelser, bør domstolene vise tilbakeholdenhet med å
overprøve forvaltningens vurderinger. Det gjelder ikke minst på områder der
forvaltningen treffer en lang rekke avgjørelse om å ilegge sanksjoner, gjerne av
- 27 - 23-160384TVI-TOSL/04
mindre omfang. I de sistnevnte tilfellene bør det først og fremst være aktuelt å
overprøve skjønnet for å unngå åpenbart urimelige utslag i spesielle tilfeller.
Departementet antar derfor at vurderingen av om sanksjon bør ilegges selv om
vilkårene er oppfylt, («kan»-skjønnet) i praksis ikke vil bli vesentlig annerledes enn
etter myndighetsmisbrukslæren. Muligheten for full prøving også på dette punktet gir
imidlertid økt fleksibilitet og dermed uansett må gå inn i saken på en annen måte enn
ved tradisjonelle gyldighetsspørsmål.
Og fra side 154:
Selv om domstolene etter dette kan prøve alle sider av saken, bør de utvise
tilbakeholdenhet med å overprøve forvaltningens vurdering av om det bør ilegges
sanksjon selv om vilkårene er oppfylt, samt utmålingen av sanksjonen. Graden av
tilbakeholdenhet kan variere etter hjemmelsloven og saken.
Forarbeidenes uttalelser tilsier at domstolene bør vise noe tilbakeholdenhet med å
overprøve forvaltningens avgjørelse om overtredelsesgebyr bør ilegges og utmålingen.
Spørsmålet om Grindr har utvist skyld
For at et overtredelsesgebyr skal kunne ilegges må Grindr eller noen som har handlet på
vegne av Grindr ha utvist skyld i overtredelsen av personvernforordningen, jf.
forvaltningsloven § 46 og personvernforordningen artikkel 83 nr. 2 bokstav b jf. EMK
artikkel 7. Det er tilstrekkelig med simpel uaktsomhet og det er ikke et krav om at skylden
må knyttes til enkeltpersoner, jf. HR-2022-1271-A avsnitt 47. Beviskravet er klar
sannsynlighetsovervekt.
Som det fremgår over var valg av samtykkeløsning et bevisst valg hos Grindr. Valget ble
tatt basert på hvilken samtykkeløsning som var tilgjengelig som «hyllevare». Dersom
Grindr skulle valgt en annen samtykkeløsning forklarte partsrepresentant Miranda at da
måtte de selv ha utviklet denne eller utviklet den i samarbeid med en tredjepart – slik de
senere gjorde i samarbeid med OneTrust. Miranda forklarte også at Grindr forsøkte å få
annonsepartnerne til å akseptere at Grindr kunne unngå å sende Add-ID for kontekstuell
markedsføring, men fikk ikke medhold i dette for da måtte Grindr få tilgang til kildekoden
hos annonsepartnerne og det ønsket ikke annonsepartnerne.
Grindr var klar over at den tilgjengelige hyllevaren ikke var god, men valgte likevel å
benytte denne. Senere bisto Grindr selskapet OneTrust i å utvikle en ny samtykkeløsning.
Dette viser at Grindr hadde kunnskap om de faktiske handlingene som ligger til grunn for
brudd på personvernforordningen og det var et bevisst valg. Det at andre alternativer ville
være dyrere eller mer kompliserte å få til er ikke forhold som fritar selskapet for deres
brudd på personvernforordningen. Valg av samtykkeløsning var derfor et bevisst
- 28 - 23-160384TVI-TOSL/04
kommersielt valg hos Grindr. Uansett er det ikke valg av tekniske løsninger som alene er
avgjørende for vurderingen av skyld. Selv om Grindr – etter egen oppfatning – ikke hadde
et annet valg enn å bruke den samtykkeløsningen som var tilgjengelig hadde Grindr selv
kontroll på hvilken informasjon som ble gitt brukerne i forbindelse med
samtykkeløsningen. Grindr oppfylte heller ikke kravet til informasjon for at det skulle
foreligge et gyldig samtykke. Det at Grindr selv var i den tro at informasjonskravet ble
oppfylt beror i så fall på en rettsvillfarelse som ikke var aktsom. Det må forventes at
Grindr, som en profesjonell aktør, setter seg godt inn i gjeldende regelverk, jf.
personvernforordningen artikkel 24 nr. 1. Retten er ikke enig med Grindr i at Grindr
oppfylte lovens ordlyd for gyldig samtykke og viser til vurderingen over.
Personvernforordningen ble vedtatt i april 2016 og trådte i kraft i Norge i juli 2018. Retten
har forståelse for at det ved implementering av nytt regelverk kan være behov for noe tid
for å forstå det nye regelverket, men personvernforordningen trådte først i kraft to år etter
at den ble vedtatt. I tillegg gjorde ikke Grindr endringer i samtykkeløsningen før nærmere
to år etter ikrafttredelsen. Det at Grindr selv mener å ha opptrådt i tråd med
«industristandarden» fritar ikke Grindr fra å følge regelverket. En eventuell
«industristandard» vil først kunne være aktuell å se hen til om den oppfylte lovens krav
eller ble benyttet på et uregulert område.
Etter dette har retten kommet til at Grindr forsettlig har overtrådt personvernforordningen.
Utmålingen av overtredelsesgebyret
Innledning
Som nevnt innledningsvis skal det foretas en bred skjønnsmessig vurdering i fastsettelsen
av overtredelsesgebyrets størrelse. I vurderingen skal det tas hensyn til en rekke momenter
som er opplistet i personvernforordningen artikkel 83 nr. 2 bokstav a til k. Ved prøvingen
legger retten til grunn at Datatilsynet og Personvernnemnda har spesialkunnskap om
regelverket i personvernforordningen, som de håndhever som henholdsvis
tilsynsmyndighet og klageinstans. Datatilsynet har som tilsynsmyndighet kjennskap til
andre kontrollsaker og må anses godt rustet til å vurdere om gebyr skal ilegges og i tilfelle
hvor stort overtredelsesgebyret bør være. Retten viser også til forarbeidenes uttalelser
gjengitt over om at domstolen bør vise tilbakeholdenhet med å overprøve forvaltningens
avgjørelser om utmålingen av et overtredelsesgebyr. Retten legger dette til grunn for
prøvingen av vedtaket.
Karakteren, alvorlighetsgraden og varigheten av overtredelsen
Når det gjelder karakteren, alvorlighetsgraden og varigheten av overtredelsen skal det tas
hensyn til den berørte behandlingens art, omfang eller formål, samt antall registrerte som
er berørt, og omfanget av den skade de har lidd, jf. personvernforordningen artikkel 83 nr.
2 bokstav a. Grindr har ikke overholdt personvernforordningens krav til samtykke som er
en grunnleggende rettighet i personvernlovgivningen. I tillegg har Grindr delt
- 29 - 23-160384TVI-TOSL/04
personopplysninger av særlig kategori som er personopplysninger som krever ekstra vern
og dermed gjør overtredelsen mer alvorlig. Det betyr at det foreligger brudd overfor alle
Grindrs norske brukere i perioden juli 2018 til april 2020. Grindr har anført at forskjellen
mellom Apple og Androids systemer for deling av Ad-Iden må få betydning for
alvorlighetsgraden av bruddet. Grindr har vist til at for brukere med Apple-enheter, ble Ad-
Iden som krevdes for kontekstualisert markedsføring, frekvensmåling, mv. omgjort til en
serie av nuller. Apple og Android hadde i perioden 2018 og 2019 mer eller mindre like
markedsandeler i Norge, mens i 2020 hadde Apple en større markedsandel enn Android.
Retten er enig med Grindr i at dette påvirker alvorlighetsgraden for momentet om hvor
mange som er berørt, men det er bare ett av flere momenter i helhetsvurderingen. Retten
legger til at det uansett er tale om et stort antall brukere som er berørt knyttet til akkurat
denne nyanseringen. Retten har i vurderingen av karakteren og alvorlighetsgraden også sett
hen til at Grindrs deling av personopplysninger har medført en omfattende og ukontrollert
spredning av personopplysninger til annonsører for atferdsbasert markedsføring. Grindr
hadde i perioden syv til ti annonsepartnere ifølge Grindrs partsrepresentant Miranda. En av
partnerne var MoPub som igjen hadde 160 partnere. En av MoPubs partnere hadde igjen
4000 partnere. Tusenvis av selskaper fikk derfor tilgang til brukernes personopplysninger
som ble delt. Det er riktig som Grindr anfører at denne saken ikke omfatter
annonsepartnernes håndtering av personopplysningene, men det er etter rettens syn
relevant å vise til hvilke konsekvenser det har medført for brukerne hvordan Grindrs deling
av personopplysninger har fått betydning for brukerne – uansett om Grindrs
annonsepartnere ikke er parter i saken. Grindr har vært klar over at deres deling innebar
ytterligere spredning utenfor Grindrs kontroll uten at brukerne fikk tilstrekkelig
informasjon om dette. Skaden Grindrs brukere har lidt er krenkelse av personvernet i
nesten to år og som har medført stor spredning av brukernes personopplysninger.
Overtrederens grad av skyld
Overtredelsene av personvernforordningen ble gjort forsettlig, jf. vurderingen over, jf.
personvernforordningen artikkel 83 nr. 2 bokstav b, noe som tilsier en strengere utmåling
av overtredelsesgebyrets størrelse enn om overtredelsen var uaktsom.
Graden av samarbeid med tilsynsmyndighetene for å bøte på overtredelsen og redusere de
mulige negative virkningene av den
Det følger av artikkel 83 bokstav f at det i vurderingen av overtredelsesgebyrets størrelse
skal legges vekt på samarbeid med tilsynsmyndighetene. Grindr har vist til at Grindr har
samarbeidet med myndighetene ved å svare utførlig på alle henvendelser fra
tilsynsmyndighetene. Videre at Grindr også har samarbeidet med Personvernnemnda og
svart på alle henvendelser fra dem. Grindr har anført at dette er formildende
omstendigheter som tilsier at overtredelsesgebyret må nedsettes.
I utgangspunktet gjelder artikkel 83 nr. 2 bokstav b samarbeid for å bøte på overtredelsen
og redusere de eventuelle negative virkningene av overtredelsen. Eksempelvis kunne slike
- 30 - 23-160384TVI-TOSL/04
handlinger ha vært at Grindr stoppet bruken av samtykkeløsningen frem til de hadde en
lovlig samtykkeløsning på plass. Det at Grindr samarbeider med Datatilsynet og innleverer
den informasjonen Datatilsynet etterspør – og som Grindr er lovpålagt å besvare – er ikke
et formildende moment, jf. Guidelines on the application and setting of administrative
fines for the purposes of the Regulation 2016/679 side 14 hvor det fremgår følgende:
This said, it would not be appropriate to give additional regard to cooperation that is
already required by law for example, the entity is in any case required to allow the
supervisory authority access to premises for audits/inspections.
Når det gjelder saksbehandlingstiden i denne saken så er retten enig med Grindr i at den
har vært lang. Imidlertid tilsier sakens kompleksitet og sakens betydning at den lange
saksbehandlingstiden kan rettferdiggjøres. Staten ved Personvernnemnda har grundig
redegjort for saksbehandlingstiden og retten kan ikke se at det har vært inaktivitet hos
verken Datatilsynet eller Personvernnemnda. Saksbehandlingstiden hos Datatilsynet og
Personvernnemnda er ikke et formildende moment i saken.
Økonomiske fordeler som er oppnådd
Grindr har fått inntekter fra sine annonsepartnere ved deling av personopplysninger til
atferdsbasert markedsføring, jf. artikkel 83 punkt 2 bokstav k. Og Grindr har hatt
besparelser ved at overtredelsene kan knyttes til manglende ressursbruk knyttet til å få på
plass en samtykkeløsning som tilfredsstilte personvernforordningens krav. Den
økonomiske fordelen som er oppnådd taler for at det bør ilegges et overtredelsesgebyr, jf.
Guidelines on the application and setting of administrative fines for the purposes of the
Regulation 2016/679 side 16.
Retten er kjent med at Grindr implementerte en ny samtykkeløsning i april 2020.
Datatilsynet tilla vekt i formildende retning at Grindr var i gang med arbeidet med å få på
plass en ny samtykkeløsning i utmålingen av overtredelsesgebyret. Da Personvernnemnda
fattet sitt vedtak var ny samtykkeløsning implementert. Personvernnemnda uttalte i
vedtaket at nemnda ved utmålingen ikke hadde lagt vekt på at samtykkeløsningen var
endret ettersom den nye tekniske løsningen ikke var vurdert av Datatilsynet og nemnda.
Retten kan ikke se at det skal tillegges vekt i formildende retning at Grindr senere har
endret samtykkeløsningen. Det er ikke et formildende moment at en behandlingsansvarlig
endrer en ulovlig praksis til å bli lovlig. Den nye samtykkeløsningen har heller ikke vært
vurdert av verken Datatilsynet, Personvernnemnda eller retten, slik at det er ukjent for
retten om Grindrs samtykkeløsning i dag uansett oppfyller kravene i
personvernforordningen.
Et overtredelsesgebyr skal være virkningsfullt og avskrekkende. Det gjelder ikke bare
overfor den overtredelsesgebyret ilegges overfor, men det gjelder også for andre aktører i
det samme markedet.
- 31 - 23-160384TVI-TOSL/04
Grindr har anført at Datatilsynet i vurderingen av overtredelsesgebyrets størrelse la vekt på
at overtredelsesgebyret skulle virke avskrekkende for både Grindr og andre
behandlingsansvarlige, men at Datatilsynet så helt bort fra at Grindr allerede hadde endret
samtykkeløsningen da vedtaket ble fattet. Etter rettens vil det fortsatt være et
individualpreventivt hensyn i vurderingen av overtredelsesgebyrets størrelse overfor
Grindr. Selv om samtykkeløsningen ble endret så vil det uansett være individualpreventivt
ved at Grindr fremover overholder de forpliktelsene som følger av personvernforordningen
– ikke bare relatert til samtykkeløsninger.
Rettslige rammer for overtredelsesgebyrets størrelse
Det følger av personvernforordningen artikkel 83 nr. 5 at overtredelse av artikkel 5, 6, 7 og
9 jf. artikkel 83 nr. 2 at det kan ilegges overtredelsesgebyr på opptil 20 00 000 euro eller,
dersom det dreier seg om et foretak, på opptil fire prosent av den samlede globale
årsomsetningen i forutgående regnskapsår, der det høyeste beløpet anvendes. Det er
20 000 000 euro som utgjør det maksimale overtredelsesgebyret i vår sak.
Datatilsynet varslet først Grindr om et overtredelsesgebyr på 100 000 000 kroner.
Datatilsynet nedjusterte dette til 65 000 000 kroner i det endelige vedtaket som følge av en
skjønnsmessig vurdering av selskapets omsetning og de endringene i samtykkeløsningen
som Grindr jobbet med. 65 000 000 kroner utgjør noe under 30 prosent av det maksimale
gebyret som kan ilegges. Et overtredelsesgebyr skal være virkningsfullt, stå i et rimelig
forhold til overtredelsen og det skal virke avskrekkende på både Grindr og andre aktører i
markedet.
Retten kan ikke se at det er grunnlag for å sette ned overtredelsesgebyret som Datatilsynet
ila Grindr og som senere ble stadfestet av Personvernnemnda. Retten viser til momentene
som er gjennomgått over. Retten viser videre til den konkrete utmålingen som fremgår av
Datatilsynets vedtak punkt 6.4 og Personvernnemndas vedtak på side 23. Retten slutter seg
til den konkrete utmålingen, som bygger på et riktig rettslig utgangspunkt, et korrekt
faktisk grunnlag basert på overtredelsens alvor, varighet, antall berørte, kategorien av
opplysninger det gjelder, skyld og økonomiske evne. Utmålingen er også vurdert opp mot
sammenliknbar tilsynspraksis fra andre land som det ble vist til under hovedforhandlingen.
De samme momentene tilsier heller ikke at overtredelsesgebyret er uforholdsmessig.
Sakskostnader
Etter det resultatet retten er kommet til har Staten ved Personvernnemnda vunnet saken, og
skal som utgangspunkt tilkjennes sakskostnader, jf. tvisteloven § 20-2 første ledd. Det er
ikke grunnlag for å redusere erstatningsansvaret for sakskostnadene etter bestemmelsens
tredje ledd.
- 32 - 23-160384TVI-TOSL/04
Staten ved Personvernnemnda krever dekket 524 195 kroner i sakskostnader, som består av
advokatsalær (514 300 kroner) og utlegg i forbindelse med hovedforhandlingen (9 895
kroner). Advokatsalæret er basert på en gjennomsnittlig timepris på 1 850 kroner og er
uten merverdiavgift. Grindr har ikke fremsatt innvendinger mot sakskostnadskravets
størrelse. Retten er enig i at kostnadene fremstår som nødvendige og rimelige, jf.
tvisteloven § 20-5 første ledd. Grindr dømmes på denne bakgrunn til å erstatte Staten ved
Personvernnemndas sakskostnader i samsvar med sakskostnadsoppgaven.
Dommen er ikke avsagt innen lovens frist. Grunnen er sakens kompleksitet, ferieavvikling
og andre arbeidsoppgaver.
DOMSSLUTNING
1. Staten ved Personvernnemnda frifinnes.
2. Grindr LLC dømmes til innen 14 – fjorten – dager etter domsforkynnelse å betale
524 195 – femhundreogtjuefiretusenhundreognittifem – kroner i sakskostnader til
Staten ved Personvernnemnda.
Retten hevet
Anne-Lene Åvangen
Hødnebø
Veiledning om anke i sivile saker vedlegges.
- 33 - 23-160384TVI-TOSL/04
Veiledning om anke i sivile saker
I sivile saker er det reglene i tvisteloven kapitler 29 og 30 som gjelder for anke. Reglene for anke over dommer,
anke over kjennelser og anke over beslutninger er litt ulike. Nedenfor finner du mer informasjon og veiledning
om reglene.
Ankefrist og gebyr
Fristen for å anke er én måned fra den dagen avgjørelsen ble gjort kjent for deg, hvis ikke retten har fastsatt en
annen frist. Disse periodene tas ikke med når fristen beregnes (rettsferie):
- fra og med siste lørdag før palmesøndag til og med annen påskedag
- fra og med 1. juli til og med 15. august
- fra og med 24. desember til og med 3. januar
Den som anker, må betale behandlingsgebyr. Du kan få mer informasjon om gebyret fra den domstolen som har
behandlet saken.
Hva må ankeerklæringen inneholde?
I ankeerklæringen må du nevne
- hvilken avgjørelse du anker
- hvilken domstol du anker til
- navn og adresse på parter, stedfortredere og prosessfullmektiger
- hva du mener er feil med den avgjørelsen som er tatt
- den faktiske og rettslige begrunnelsen for at det foreligger feil
- hvilke nye fakta, bevis eller rettslige begrunnelser du vil legge fram
- om anken gjelder hele avgjørelsen eller bare deler av den
- det kravet ankesaken gjelder, og hvilket resultat du krever
- grunnlaget for at retten kan behandle anken, dersom det har vært tvil om det
- hvordan du mener at anken skal behandles videre
Hvis du vil anke en tingrettsdom til lagmannsretten
Dommer fra tingretten kan ankes til lagmannsretten. Du kan anke en dom hvis du mener det er
- feil i de faktiske forholdene som retten har beskrevet i dommen
- feil i rettsanvendelsen (at loven er tolket feil)
- feil i saksbehandlingen
Hvis du ønsker å anke, må du sende en skriftlig ankeerklæring til den tingretten som har behandlet saken. Hvis
du fører saken selv uten advokat, kan du møte opp i tingretten og anke muntlig. Retten kan tillate at også
prosessfullmektiger som ikke er advokater, anker muntlig.
Det er vanligvis en muntlig forhandling i lagmannsretten som avgjør en anke over en dom. I ankebehandlingen
skal lagmannsretten konsentrere seg om de delene av tingrettens avgjørelse som er omtvistet, og som det er
knyttet tvil til.
Lagmannsretten kan nekte å behandle en anke hvis den kommer til at det er klar sannsynlighetsovervekt for at
dommen fra tingretten ikke vil bli endret. I tillegg kan retten nekte å behandle noen krav eller ankegrunner, selv
om resten av anken blir behandlet.
Retten til å anke er begrenset i saker som gjelder formuesverdi under 250 000 kroner
Hvis anken gjelder en formuesverdi under 250 000 kroner, kreves det samtykke fra lagmannsretten for at anken
skal kunne bli behandlet.
Når lagmannsretten vurderer om den skal gi samtykke, legger den vekt på
- sakens karakter
- partenes behov for å få saken prøvd på nytt
- om det ser ut til å være svakheter ved den avgjørelsen som er anket, eller ved behandlingen av saken
Hvis du vil anke en tingretts kjennelse eller beslutning til lagmannsretten
En kjennelse kan du som hovedregel anke på grunn av
- feil i de faktiske forholdene som retten har beskrevet i kjennelsen
- feil i rettsanvendelsen (at loven er tolket feil)
- feil i saksbehandlingen
-1- 23-160384TVI-TOSL/04
Kjennelser som gjelder saksbehandlingen, og som er tatt på bakgrunn av skjønn, kan bare ankes dersom du
mener at skjønnsutøvelsen er uforsvarlig eller klart urimelig.
En beslutning kan du bare anke hvis du mener
- at retten ikke hadde rett til å ta denne typen avgjørelse på det lovgrunnlaget, eller
- at avgjørelsen åpenbart er uforsvarlig eller urimelig
Hvis tingretten har avsagt dom i saken, kan tingrettens avgjørelser om saksbehandlingen ikke ankes særskilt. Da
kan dommen isteden ankes på grunnlag av feil i saksbehandlingen.
Kjennelser og beslutninger anker du til den tingretten som har avsagt avgjørelsen. Anken avgjøres normalt ved
kjennelse etter skriftlig behandling i lagmannsretten.
Hvis du vil anke lagmannsrettens avgjørelse til Høyesterett
Høyesterett er ankeinstans for lagmannsrettens avgjørelser.
Anke til Høyesterett over dommer krever alltid samtykke fra Høyesteretts ankeutvalg. Samtykke gis bare når
anken gjelder spørsmål som har betydning utover den aktuelle saken, eller det av andre grunner er særlig viktig å
få saken behandlet av Høyesterett. Anke over dommer avgjøres normalt etter muntlig forhandling.
Høyesteretts ankeutvalg kan nekte å ta anker over kjennelser og beslutninger til behandling dersom anken ikke
reiser spørsmål av betydning utover den aktuelle saken, og heller ikke andre hensyn taler for at anken bør prøves.
Anken kan også nektes fremmet dersom den reiser omfattende bevisspørsmål.
Når en anke over kjennelser og beslutninger i tingretten er avgjort ved kjennelse i lagmannsretten, kan
avgjørelsen som hovedregel ikke ankes videre til Høyesterett.
Anke over lagmannsrettens kjennelser og beslutninger avgjøres normalt etter skriftlig behandling i Høyesteretts
ankeutvalg.
-2- 23-160384TVI-TOSL/04