PVN-2022-22 Grindr - utlevering av personopplysninger uten
gyldig samtykke - overtredelsesgebyr
Personvernnemndas vedtak 27. september2023 (Mari Bø Haugstad, Bjørnar Borvik,
Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten
Goodwin, Malin Tønseth)
Datatilsynets referanse: 20/02136-18
Saken gjelder klage fra Grindr LLC (nå Grindr Inc.) på Datatilsynets vedtak 13. desember
2021 der tilsynet ila Grindr et overtredelsesgebyr på 65 000 000 kroner for å ha utlevert
personopplysninger av særlig kategori, uten rettslig grunnlag, i perioden 20. juli 2018 til 7.
april 2020, jf. personvernforordningen artikkel 6 nr. 1 og artikkel 9 nr. 1.
Sakens gang
Den 14. januar 2020 mottok Datatilsynet tre klager mot Grindr som Forbrukerrådet, i
samarbeid med European Center for Digital Rights (noyb), sendte inn på vegne av en norsk
registrert bruker av Grindr. Den registrerte ønsket selv å være anonym og som vedlegg til
klagen fulgte en «fullmakt til representasjon i sak som fremmes med hjemmel i artikkel 80 (1)
i den generelle personvernforordningen». Klagene gjaldt Grindrs deling av
personopplysninger om sine norske brukere med ulike analyse- og annonseselskaper til bruk
for markedsføring. Klagene baserte seg på funn i Forbrukerrådets rapport «Out of control:
How consumers are exploited by the online advertising industry», og en teknisk rapport
utarbeidet av selskapet Mnemonic på oppdrag fra Forbrukerrådet.
Saken for nemnda gjelder Grindrs utlevering av personopplysninger til sine annonsepartnere,
ikke disse annonsepartnernes videre behandling av opplysningene. De ulike annonsepartnerne
har derfor heller ikke opptrådt som parter i saken for Datatilsynet.
Datatilsynet ba Grindr om en redegjørelse 24. februar 2020. Grindr redegjorde for sin
behandling av personopplysninger 22. mai 2020.
Datatilsynet sendte 24. januar 2021 varsel om at tilsynet vurderte å ilegge Grindr et
overtredelsesgebyr på 100 000 000 kroner for å ha delt personopplysninger om sine norske
brukere med sine annonsepartnere uten rettslig grunnlag. Kopi av varselet ble sendt
Forbrukerrådet.
Grindr ga sine merknader til varselet 8. mars 2021. Forbrukerrådet ga sine merknader til
varselet 15. mars 2021.
__________________________________________________________________________________________________________________________________
Personvernnemnda Telefon E-post: Nettside:
Postboks 6805 St. Olavs plass (+47) 90299216 [email protected] www.personvernnemnda.no
0130 Oslo
PVN PVN-2022-22 Side 2 av 24
Datatilsynets ba om en ytterligere redegjørelse fra Grindr 29. april 2021. Grindr ga slik
redegjørelse 2. juni 2021. Forbrukerrådet kommenterte Grindrs redegjørelse 6. oktober 2021.
Det var ytterligere brevutveksling mellom Datatilsynet og Grindr høsten 2021, med brev fra
Datatilsynet 11. oktober 2021 og brev fra Grindr til tilsynet 19. november 2021.
Datatilsynet traff 13. desember 2021 slikt vedtak:
«I medhold av personvernforordningen artikkel 58 nr. 2 bokstav i ilegges Grindr et
overtredelsesgebyr på 65 000 000 – sekstifem millioner kroner – for
• å ha utlevert personopplysninger til annonsepartnere uten et gyldig rettslig grunnlag, i
strid med personvernforordningen artikkel 6 nr. 1
og
• å ha utlevert særlige kategorier av personopplysninger til annonsepartnere uten å
oppfylle noen av unntakene fra forbudet i personvernforordningen artikkel 9 nr. 1»
Datatilsynets vedtak foreligger i norsk og engelsk versjon. Nemnda forholder seg til den
norske versjonen.
Etter å ha fått fristutsettelse klaget Grindr rettidig på vedtaket 14. februar 2022.
Forbrukerrådet ga sin uttalelse til klagen 24. mars 2022. Datatilsynet vurderte klagen, men
fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt Personvernnemnda 6.
desember 2022. Både Grindr og Forbrukerrådet ble orientert om saken i brev fra nemnda 8.
desember 2022 og fikk anledning til å komme med kommentarer. Grindr har inngitt
kommentarer i brev 10. februar og 20. mars 2023. Forbrukerrådet har inngitt kommentarer 3.
og 31. mars 2023.
Merknadene fra Grindr og Forbrukerrådet foranlediget en tilleggsuttalelse fra Datatilsynet
særlig knyttet til vurderingen av subjektiv skyld hos Grindr. Tilleggsuttalelsen er gitt i brev 8.
mars 2023.
Det har under saksforberedelsen i nemnda vært ytterligere korrespondanse både med
Datatilsynet, Grindr og Forbrukerrådet for å klarlegge faktum, herunder hvilket faktum
Datatilsynet har lagt til grunn i sitt vedtak og om det er uenighet om faktum.
Grindr har i brev 8. august 2023 anmodet om møte- og talerett under nemndas behandling av
saken, samt anmodet om at nemndas behandling av saken uansett utsettes inntil EU-
domstolen har avgjort sakene C-446/21 og C-21/23. Anmodningen er opprettholdt i brev
15. september 2023. Grindr har vist til forskrift om behandling av personopplysninger § 5
femte ledd, som bestemmer at «Personvernnemnda kan i det enkelte tilfelle bestemme at
klager eller andre skal gis møte- og talerett under nemndas behandling av en sak». Ordlyden
«i enkelte tilfeller» peker mot at muntlig forhandling er et unntak fra vanlig saksbehandling i
Personvernnemnda, som er skriftlig. Etter bestemmelsens ordlyd har Personvernnemnda et
helt fritt skjønn ved vurderingen av om unntaksbestemmelsen skal komme til anvendelse.
Bestemmelsen bruker ordet «kan», i motsetning til «skal», og det er ikke angitt nærmere
kriterier for skjønnsutøvelsen. Nemnda legger derfor til grunn at det er nemndas alminnelige
utrednings- og informasjonsplikt som er avgjørende for om muntlig behandling skal
gjennomføres, jf. forvaltningsloven § 17.
PVN PVN-2022-22 Side 3 av 24
Saken er behandlet over flere møter; 25. april, 31. mai, 20. juni og 14., 15., og 27. september
2023 og nemnda har mottatt omfattende skriftlige innspill fra alle sakens parter i flere
omganger. Nemnda anser saken tilstrekkelig opplyst til å treffe en avgjørelse og har ikke
funnet det nødvendig med muntlige forhandlinger.
Når det gjelder spørsmålet om utsettelse av nemndas behandling av saken i påvente av EU-
domstolens avgjørelser i sak C-446/21 og sak C-21/23, har Grindr vist til at utfallet, og EU-
domstolens avklaringer knyttet til tolkningen av forordningen artikkel 9, kan ha direkte
innvirkning på saken her. Personvernnemnda vil komme tilbake til spørsmålet om
rekkevidden av artikkel 9 og nøyer seg her med å nevne at nemnda ikke har funnet grunnlag
for å utsette saken i påvente av EU-domstolens avgjørelser i de nevnte sakene.
Personvernnemnda hadde følgende sammensetning under sakens behandling: Mari Bø
Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Ellen Økland
Blinkenberg, Hans Marius Tessem, Morten Goodwin og Malin Tønseth. Sekretariatsleder
Anette Klem Funderud var også til stede.
Sakens faktum
Grindr Inc. er et amerikansk selskap som driver et lokasjonsbasert sosialt nettverk og en
mobilapplikasjon (app) for nettdating rettet mot homofile, bifile, transpersoner og skeive
(LHBTQ+). Grindr-appen har som formål å fasilitere deling av informasjon mellom brukere
og har omtrent millioner aktive brukere på verdensbasis.
Appen har en annonsebasert versjon som kan lastes ned og brukes uten at det koster penger
(gratisversjonen). Brukerne kan oppgradere til betalte abonnementsversjoner. I tidsperioden
for denne saken var det tilbud om to betalingsversjoner, henholdsvis «XTRA» eller
«Unlimited», som inkluderer flere funksjoner og er uten annonser.
Saken omhandler Grindrs utlevering av personopplysninger om sine brukere i Norge i
perioden fra personvernforordningen trådte i kraft 20. juli 2018 og fram til Grindr endret sin
samtykkemekanisme 8. april 2020. Grindr har opplyst at de for kalenderårene 2018, 2019 og
2020 hadde gjennomsnittlig henholdsvis aktive månedlige brukere i
Norge. De fleste av disse (angitt til ca. %) brukte gratisversjonen av appen og mottok
annonser fra tredjeparter.
I den aktuelle perioden samlet Grindr inn personopplysninger fra brukerne og utleverte noen
av personopplysningene videre til ulike annonseselskaper som tilbyr personopplysninger til
annonsører for bruk i målrettet/atferdsbasert markedsføring. Flere av disse annonseselskapene
forbeholdt seg retten til å dele personopplysninger videre med sine partnere. Det framgikk av
Grindrs personvernerklæring at selskapet utleverte personopplysninger til annonsepartnere.
Én av annonsepartnerne ble navngitt som eksempel, og brukerne fikk mulighet til å følge en
link videre til denne annonsepartnerens personvernerklæring. Personopplysningene som ble
utlevert til annonseselskapene var:
• Annonseidentifikator (Annonse-ID): En unik identifikator som brukes av
annonseringsplattformer for å spore brukerens interaksjoner med annonser
• IP-adresse
• Teknisk informasjon om brukerens enhet og operativsystem, som versjon av
operativsystem, enhetsmodell og skjermoppløsning
• Selvrapportert alder
PVN PVN-2022-22 Side 4 av 24
• Selvrapportert kjønn forutsatt at brukeren hadde rapportert enten mann eller kvinne
• Geografisk lokasjon basert på GPS-koordinater
• App-ID som identifiserer opprinnelsen til disse opplysningene fra Grindr
Ved å sammenstille disse opplysningene kunne annonseselskapene følge enkeltbrukeres
interaksjon med annonsene, finne ut hvilke annonser en bruker har trykket på, i hvilken grad
brukeren har vært innom andre nettsider eller apper med samme annonseselskap, samt vite at
vedkommende var registrert bruker av Grindr.
Personopplysningene som ble utlevert til annonseselskapene ble dels brukt av
annonseselskapene til annonseformål i Grindrs app, og dels ble de utlevert videre av
annonseselskapene til andre virksomheter som annonseselskapene samarbeidet med til bruk
på andre plattformer.
I samtykkemekanismen som gjaldt i den aktuelle perioden, ble først brukervilkårene
(«GRINDR TERMS AND CONDITIONS OF SERVICE») vist i sin helhet. Når brukeren
trykket på «Proceed», kom det opp et vindu med teksten «I accept the Terms of Service», og
med de klikkbare svaralternativene «Cancel» og «Accept». Deretter ble brukeren presentert
for personvernerklæringen («GRINDR PRIVACY AND COOKIE POLICY»). Det er i denne
erklæringen de aktuelle formuleringene om utlevering av personopplysninger til
annonsepartnere med formål å eksponere bruker for atferdsbasert markedsføring,
framkommer. Når brukeren trykket på «Proceed» her, kom det opp et nytt vindu med teksten
«I accept the Privacy Policy», og med de klikkbare svaralternativene «Cancel» og «Accept».
Personvernerklæringen ble presentert på det språket brukeren anga på enheten
(språkinnstilling). Hvis Grindr ikke tilbød det språket brukeren hadde valgt, mottok brukeren
personvernerklæringen på engelsk. Brukere med norsk språkinnstilling fikk
personvernerklæringen på engelsk med mindre de valgte et annet fremmedspråk.
Dersom brukeren ikke aksepterte brukervilkår og personvernerklæring, var videre registrering
ikke mulig, og brukeren ville ikke kunne bruke appen.
Det var ikke mulig å reservere seg mot utlevering av personopplysninger til annonsepartnere i
selve Grindr-appen. Under overskriften «How We Use Your Information» i
personvernerklæringen informeres brukeren i kulepunkt 12 («Third Party Advertising
Companies») først om hvilke personopplysninger som utleveres til annonsepartnere. Om
brukerens mulighet til å velge bort atferdsbasert markedsføring, heter det i samme
kulepunktet:
«See the YOUR CHOICES section of this policy for information on your ability to opt-out
of interest based advertising.»
Den nærmere framgangsmåten for hvordan brukeren kunne velge bort atferdsbasert
markedsføring ble i personvernerklæringen framstilt på denne måten i kulepunkt 3 under
overskriften «Your Choices»:
«Behavioral Advertising Within The Grindr App. If you are using the Grindr Services on
an Apple iOS device, you can opt out of behavioral targeting by going into Settings >
Privacy > Advertising on your iOS device, or visiting Apple’s website for more
PVN PVN-2022-22 Side 5 av 24
information. To opt out on an Android device, open the “Google Settings,” click on “Ads”
and enable “Opt out of interest based ads.”»
I den aktuelle perioden måtte brukere som ønsket å velge bort den atferdsbasere
markedsføringen altså gjøre endringer i enhetens operativsystem som ikke bare hadde
virkning for Grindr-appen, men som hadde tilsvarende konsekvenser for alle apper som var
lastet ned på brukerens enhet. Når det gjaldt utlevering av lokasjonsdata til annonsepartnere,
kunne brukeren velge å skjule denne personopplysningen for Grindr ved å endre
innstillingene i enhetens operativsystem som bare har konsekvenser for bruken av Grindr. En
av appens funksjoner er å finne potensielle partnere innenfor samme geografiske lokasjon.
Ved å skru av tilgang til geografisk lokasjon fra operativsystemet mistet dermed Grindr-appen
også denne funksjonen.
Personopplysninger om Grindr-brukerne ble utlevert til annonsepartnerne når brukeren
trykket «Accept» og fullførte registreringen første gang. Først etter at brukeren hadde fullført
registreringen fikk vedkommende en vedvarende mulighet til å oppgradere til en betalt
versjon («XTRA» eller «Unlimited»), som var uten tredjepartsreklame og uten deling av
personopplysninger til annonseselskapene. Det ble bare opplyst at de betalte versjonene var
reklamefrie, og ikke presentert som en reservasjonsrett mot å utlevere personopplysninger til
annonsepartnere. Det var ikke mulig å opprette en brukerprofil direkte i betalingsversjonene
uten å først gå veien om å opprette en profil i gratisversjonen ved å registrere seg og godta
brukervilkårene og personvernerklæringen.
Grindr har opplyst at selskapet startet arbeidet med å få på plass en ny samtykkemekanisme i
juni 2019. Den nye samtykkemekanismen innen EØS ble lansert 8. april 2020 og var på plass
før Grindr ga sin redegjørelse til tilsynet i mai 2020. Datatilsynet opplyser at den nye
samtykkemekanismen ikke er vurdert av tilsynet, og den er derfor ikke en del av denne saken.
Datatilsynet har likevel vektlagt endringen i sin utmåling av gebyret.
Kort om Datatilsynets vedtak
Datatilsynet la til grunn at Grindr ikke har noen hovedvirksomhet i EØS, jf. artikkel 4 nr. 16,
og at den aktuelle behandlingen av personopplysninger derfor ikke utgjør
«grenseoverskridende behandling» i henhold til artikkel 4 nr. 23. Datatilsynet har myndighet
til å utføre oppgaver i samsvar med artikkel 55 nr. 1 for å ivareta personvernet til brukere på
norsk territorium.
Datatilsynet har for det første konkludert med at Grindr ikke hadde gyldig
behandlingsgrunnlag for sin utlevering av personopplysninger i personvernforordningen
artikkel 6 nr. 1 bokstav f (samtykke). Grindr oppfylte ikke vilkårene om at samtykket må være
en «frivillig», «spesifikk», «informert», «utvetydig» viljesytring, og at det må være «like
enkelt å trekke tilbake som å gi», jf. artikkel 4 nr. 11 og artikkel 7.
For det andre har Datatilsynet kommet til at Grindr, ved å dele opplysninger om sine brukere,
har utlevert opplysninger av særlig kategori, jf. personvernforordningen artikkel 9 nr. 1:
«opplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering». Utlevering
av informasjon om den registrerte sammen med informasjon om at den registrerte er en
Grindr-bruker er tilstrekkelig til at opplysningen faller inn under artikkel 9 nr. 1.
Deling av opplysninger av særlig kategori er forbudt med mindre det foreligger rettslig
grunnlag i artikkel 9 nr. 2. Etter Datatilsynets vurdering foreligger det ikke slikt rettslig
PVN PVN-2022-22 Side 6 av 24
grunnlag, verken etter artikkel 9 nr. 1 bokstav a (samtykke) eller bokstav e (opplysninger som
det er åpenbart at den registrerte har offentliggjort).
Etter å ha konkludert med at Grindr har brutt personvernforordningen går Datatilsynet
gjennom de momentene tilsynet anser som relevante for vurderingen av om
overtredelsesgebyr skal ilegges etter personvernforordningen artikkel 83 nr. 2 bokstav a til k.
Datatilsynet kommer til at både de subjektive og de objektive vilkårene for å ilegge
overtredelsesgebyr er oppfylt, og at karakteren, alvorlighetsgraden og varigheten av
overtredelsen, samt tilstedeværelsen av flere skjerpende omstendigheter, peker i retning av at
et overtredelsesgebyr er formålstjenlig.
Datatilsynet hadde varslet et overtredelsesgebyr på 100 000 000 kroner. I sitt endelige vedtak
ble overtredelsesgebyret redusert og satt til 65 000 000 kroner. Tilsynet begrunnet
reduksjonen i at Grindrs omsetning var i nedre sjikt av det tilsynet hadde lagt til grunn for
varselet, og at Grindrs iverksatte endringer for å utbedre de påpekte manglene i appen ble
vektlagt i formildende retning.
Grindrs klage i korte trekk
Grindr deler ikke særlige kategorier av opplysninger
Nedlastning og bruk av appen avslører ingen informasjon om brukerens konkrete seksuelle
orientering. Appen representerer det moderne LHBTQ+-fellesskapet som omfatter alle
seksuelle orienteringer og kjønnsidentiteter. Appen har ingen krav om at brukere må
identifisere seg som LHBTQ+ eller kvalifisere seg som «sexual minority - gay, bi, trans or
queer», eller «community of peers». Appen er åpen for brukere med alle seksuelle
orienteringer, herunder brukere som er usikre på sin seksuelle orientering.
Datatilsynet argumenterer gjennomgående for en vid tolkning av personvernforordningen
artikkel 9 første ledd. En slik tolkning vil imidlertid kun gjelde der de aktuelle opplysningene
uttrykkelig identifiserer enkeltpersoner som «sexual minorities» i henhold til Datatilsynets
forståelse.
I Ebab-saken fra mars 2017 (VG 6 L 250.17, BreckRS2017, 107622) bekreftet
forvaltningsdomstolen i Berlin at enhver indirekte indikasjon knyttet til særlige kategorier av
personopplysninger ikke er tilstrekkelig til å begrunne anvendelsen av
personvernforordningen artikkel 9 første ledd. Tilsvarende må gjelde her.
Datatilsynets tolkning vil ha store ringvirkninger ettersom enhver applikasjon som retter seg
mot det heterofile, LHBTQ+-fellesskapet eller begge, vil behandle data om en fysisk persons
seksuelle forhold eller seksuelle orientering uavhengig av formålet med delingen, simpelthen
fordi kilden til de delte opplysningene er en tjeneste som retter seg mot individer som har én
seksuell orientering.
Det generelle forbudet mot å behandle opplysninger om personers seksuelle forhold eller
orientering etter artikkel 9 nr. 1 gjelder kun når behandlingen tjener eller kan tjene et forbudt
formål, for eksempel å fastslå en persons seksuelle orientering. Grindr behandler ikke
brukernes data for å trekke noen slutninger om deres seksuelle orientering. Grindr verken
sporer eller klassifiserer brukere ut fra deres seksuelle orientering. Det understrekes at Grindr
heller ikke deler informasjon om seksuell orientering med annonsepartnere.
PVN PVN-2022-22 Side 7 av 24
Datatilsynets antakelser om Grindrbrukeres seksuelle orientering åpner også for at selve
tilknytningen til en rekke andre tjenester eller plattformer kan bli definert som særlig
kategorier av personopplysninger. All informasjon som deles av mobilapplikasjoner til
politisk rettede organisasjoner (som organisasjoner som spesifikt retter seg mot konservative),
vil automatisk bli ansett som særlig kategorier av personopplysninger i henhold til artikkel 9,
hvis man antar at de politiske synspunktene i organisasjonen gjenspeiles hos brukerne, slik
Datatilsynet foreslår. På samme måte vil en applikasjon eller et nettsted rettet mot heterofile
brukere være underlagt personvernforordningen artikkel 9 bare fordi man kan utlede seksuell
orientering gjennom brukernes bruk av disse tjenestene.
Datatilsynets tilnærming vil skape vidtrekkende og uforholdsmessige forpliktelser for enhver
organisasjon som skal ivareta et interessefellesskap.
Grindr har innhentet gyldig samtykke for sin deling av opplysninger
Grindr innhentet gyldig samtykke fra brukere av applikasjonens gratisversjon for behandling
av begrensede data for reklameformål i tråd med gjeldende industristandard. Grindr behandlet
kun denne informasjonen dersom brukere tillot slik deling i enhetenes operativsystem. Disse
brukerne hadde videre samtykket til Grindrs brukervilkår, Grindrs personvernerklæring, og
besluttet å ikke kjøpe betalingsversjon av applikasjonen.
Grindrs innhenting av brukersamtykke for deling av data med annonsepartnere i perioden fra
20. juli 2018 til 7. april 2020 må vurderes i lys av daværende norm og personvernpraksis i
adtech-miljøet. Datatilsynet har vurdert Grindrs tidligere samtykkepraksis basert på en
tolkning av kravene til gyldig samtykke som ikke har støtte i ordlyden i
personvernforordningens bestemmelser eller i den eksisterende veiledningen på tidspunktet
for den påståtte overtredelsen. På tidspunktet for den påståtte overtredelsen kunne ikke
Grindr forutse EU-domstolens avgjørelser, uttalelser fra EUs generaladvokat eller
Personvernrådet (EDPB) om tolkningen av samtykkekravene som Datatilsynet viser til.
Grindrs prosedyre for innhenting av brukersamtykke for deling av visse datafelt med
annonsepartnere i den aktuelle perioden oppfylte kravet til frivillighet, jf. artikkel 4 nr. 11.
Brukerne ble gitt lett tilgjengelig informasjon om deling av visse data for reklameformål.
På det aktuelle tidspunktet var det ingen rettslig forpliktelse eller tolkning fra EU-domstolen
som gjorde det påkrevd å innhente separate samtykker gjennom separate opt-in-funksjoner for
hvert enkelt formål. Personvernrådets retningslinjer 05/2020 om samtykke er ingen bindende
rettskilde og Grindr var ikke forpliktet til å følge disse.
Selv om Personvernrådets retningslinjer anbefaler å be om separate samtykker hvis
databehandlingen gjelder flere formål, er dette ikke et absolutt krav. Det representerer ingen
overtredelse av forordningen ikke å følge denne anbefalingen. Personvernrådets retningslinjer
utelukker ikke, og kan ikke utelukke, at det er mulig å be brukere om samtykke til flere formål
samtidig, såfremt brukeren får spesifikk informasjon om hvert formål i forkant av
behandlingen.
Grindr gjorde det tydelig for brukerne at de som ikke vil benytte betalingsabonnement, kunne
bruke gratisversjonen som støttes av tredjepartsannonser, både ved at det stod «Ads help keep
Grindr free» på annonsene, og gjennom personvernerklæringen som forklarte brukernes
valgmuligheter når det gjaldt deling av data. Grindr bemerker at appen tilbyr muligheten til å
PVN PVN-2022-22 Side 8 av 24
kjøpe betalingsabonnement umiddelbart etter at brukerkonto er opprettet, og før det avgjøres
hvilke selvrapporterte datafelt som fylles inn for å fullføre den offentlige profilen.
Brukerens data ble ikke brukt til reklameformål dersom brukeren trakk sitt samtykke.
Annonsepartneren ville da kun behandle teknisk informasjon som er nødvendig for å levere
kontekstuelle annonser (mobiltype, operativsystem, etc.). Følgelig kunne brukere
nekte/tilbaketrekke samtykket uten negative konsekvenser.
Grindr er ikke forpliktet til å tilby sine tjenester gratis.
Kravet om at samtykket må være spesifikt må ses i sammenheng med artikkel 5 nr. 1 bokstav
b om formålsbegrensning. I personvernerklæringen under tittelen «Where We Share» og
undertittelen «Third Party Advertising Companies» er ordlyden «deliver personalized
advertising» klart formulert med et begrenset formål. Grindr har dermed oppgitt spesifikke
formål for sine behandlingsaktiviteter.
Loven krever ikke at informasjon om deling av data med annonsepartnere presenteres atskilt
fra annen informasjon som den behandlingsansvarlige plikter å gi. Grindr har overholdt de
kravene til informasjon som angis i forordningen artikkel 13 og fortalepunkt 42.
Personvernerklæringen var nøyaktig, utfyllende, klarspråklig og strukturert med titler og
undertitler. Brukerne kunne gjennom erklæringen gjøre seg kjent med identiteten til den
behandlingsansvarlige og formålene med behandlingen av personopplysningene, jf.
fortalepunkt 42. Personvernerklæringen lå tilgjengelig på internett og gjennom lenke i Google
Play og App Store.
Personvernerklæringen ble vist i sin helhet under registreringsprosessen og er skrevet spesifikt
og med et klart og tydelig språk om at brukere vil få opp annonser uavhengig av om de har
samtykket til deling av data for markedsføringsformål. Mekanismen med dobbelt samtykke,
som krevde en klar og bekreftende aktiv handling, gjorde at Grindr kunne registrere brukeres
utvetydige samtykke. Brukerne måtte huke av på to bokser plassert på ulike steder på
skjermen. Boksene var ikke huket av på forhånd. Det var svært lite sannsynlig at samtykke ble
feilregistrert.
Ileggelse av overtredelsesgebyr
Det foreligger ikke rettslig hjemmel for ileggelse av overtredelsesgebyr
Grindr har ikke brutt artikkel 6 nr. 1 eller artikkel 9 og det er ikke rettslig grunnlag for å
ilegge overtredelsesgebyr etter artikkel 83 nr. 1.
Subsidiært anføres det at de alminnelige vilkårene for å ilegge overtredelsesgebyr ikke
foreligger. Ileggelse av overtredelsesgebyr forutsetter klar og tydelig lovhjemmel, samt
konstatering av skyld (uaktsomhet eller forsett) hos en person som handler på vegne av
virksomheten som ilegges gebyr. Disse vilkårene er ikke oppfylt.
Etter det grunnleggende rettssikkerhetsprinsippet som gjelder i EØS-retten og i norsk
forvaltningsrett kreves det et klart rettslig grunnlag. Ileggelse av overtredelsesgebyr må
dessuten baseres på «objective, non-discriminatory criteria which are known in advance to the
undertakings concerned» for å ilegge overtredelsesgebyr, jf. EFTA-domstolen, sak E-9/11
avsnitt 100. Et slikt klart rettslig grunnlag og på forhånd kjente «objective, non-discriminatory
criteria» eksisterer ikke i dette tilfellet.
PVN PVN-2022-22 Side 9 av 24
De materielle vilkårene i artikkel 6 nr. 1 og artikkel 9 nr. 1 var i perioden 20. juli 2018 til
7. april 2020 ikke tilstrekkelig klare og tydelige til å gi den rettsikkerheten som kreves i
henhold til norske grunnlovfestede og forvaltningsrettslige prinsipper, EØS-retten og EMK,
når disse kravene anvendes på Grindrs prosedyre for innhenting av brukersamtykke i den
aktuelle perioden. Den betydelige usikkerhet om forståelsen av artikkel 6 og 9 på dette
tidspunktet må hensyntas.
Datatilsynet har gitt ny tolkning av reglene tilbakevirkende kraft i strid med forbudet i
Grunnloven § 97, samt legalitetsprinsippet i § 113, samt proporsjonalitetsprinsippet slik det
eksempelvis framgår av EU-retten og reflekteres i EØS-retten.
Den som har handlet på vegne av foretaket som ilegges et overtredelsesgebyr etter artikkel 83
må ha utvist uaktsomhet eller forsett med hensyn til overtredelsen, jf. HR-2021-797-A.
Datatilsynet har ikke dokumentert skyld fra noen spesifikke personer som opptrådte på vegne
av Grindr. Det må tas stilling til hvem som på vegne av Grindr har utvist uaktsomhet med
hensyn til overtredelsene av artikkel 6 og 9. Tilsynet har heller ikke underbygget forsett eller
uaktsomhet ved å peke på en bestemt handling eller årsak til overtredelsen eller som kunne
forhindret den påståtte overtredelsen. Datatilsynets forutsetning om at det foreligger
«anonymt forsett» bygger på en rettslig argumentasjon som ikke er holdbar.
Brudd på generelle prinsipper for ileggelse av overtredelsesgebyr
Datatilsynets vurderinger og vedtak oppfyller ikke kravene til effektivitet og
forholdsmessighet.
Datatilsynet har ikke gitt noen vurdering av om andre korrigerende tiltak ville vært egnet for
den påståtte overtredelsen. Det vises særlig til at Grindr på egen hånd allerede hadde
implementert OneTrust CMP og endret sin praksis for innhenting av samtykke da Datatilsynet
traff sitt vedtak. Datatilsynets vurdering er basert på den tidligere praksisen som ikke lenger er
aktuell.
Gebyret er også i strid med det grunnleggende norske og europeiske likhetsprinsippet og
forordningens fortalepunkt 11. Flere nasjonale tilsynsmyndigheter ilegger ikke gebyr, men gir
kritikk, eventuelt i kombinasjon med pålegg om å sørge for samsvar med artikkel 6 nr. 1 og 9
nr. 1.
Vurderingen av de ulike momentene i artikkel 83
Datatilsynet har ikke i tilstrekkelig grad tatt i betraktning alle relevante faktorer i artikkel 83
nr. 2. Overtredelsesgebyret er ikke virkningsfullt, og står ikke i et rimelig forhold til
overtredelsen, jf. artikkel 83 nr.1.
Størrelsen på overtredelsesgebyret er dessuten uforholdsmessig. Relativt sett er størrelsen på
gebyret en av de høyeste som er ilagt for overtredelse av personvernforordningen innenfor
EØS, jf. framlagte oversikt over vedtatte overtredelsesgebyr i Europa. Overtredelsesgebyret er
ikke proporsjonalt med den påståtte overtredelsen, jf. artikkel 83 nr. 1 og avviker fra etablert
praksis. Det er ikke hensyntatt at den påståtte overtredelsen skjedde i en begrenset periode og
opphørte to år før tilsynet ila gebyr. Det er heller ikke tatt hensyn til Grindrs implementering
av nye prosedyrer for innhenting av samtykke, som gir brukeren detaljert kontroll over deling
av informasjon fra appen, herunder enkle valg som «Allow all» eller «Reject all» for
reklameformål.
PVN PVN-2022-22 Side 10 av 24
Grindr har deretter en gjennomgang av de ulike momentene artikkel 83 gir anvisning på i nr. 2
bokstav a – k.
Personvernnemndas vurdering
Datatilsynet og Personvernnemndas kompetanse
Grindr er et USA-basert selskap og har ingen etablering innen EØS. Personopplysningsloven
og personvernforordningen gjelder likevel for behandling av personopplysninger om
registrerte brukere som befinner seg i Norge dersom behandlingen er knyttet til:
a. tilbud av varer eller tjenester til slike registrerte i Norge, uavhengig av om det kreves
betaling fra den registrerte eller ikke, eller
b. monitorering av deres atferd, i den grad deres atferd finner sted i Norge
jf. personopplysningsloven § 4 andre ledd bokstav a og b.
Det er ingen tvil om at Grindrs utlevering av personopplysninger om sine brukere utgjør en
behandling av personopplysninger etter personopplysningsloven og personvernforordningen,
og at norsk lov kommer til anvendelse. Datatilsynets kompetanse følger da av
personopplysningsloven § 20 og Personvernnemnda er klageorgan, jf.
personopplysningsloven § 22.
Sakens parter
Uten at det har noen direkte betydning for denne saken, finner nemnda det hensiktsmessig å si
noe om Forbrukerrådets rolle i saken. Datatilsynet har lagt til grunn at Forbrukerrådet opptrer
på vegne av en Grindr-bruker som har henvendt seg til Forbrukerrådet, men som selv ikke
ønsker å fremme saken. Det er vist til personvernforordningen artikkel 80 som grunnlag for
denne representasjonen.
Personvernforordningen artikkel 80 lyder:
1. Den registrerte skal ha rett til å gi et ideelt organ eller en ideell organisasjon eller
sammenslutning som er opprettet i samsvar med nasjonal rett i en medlemsstat, som har
vedtektsfestede formål som er i allmennhetens interesse, og som er aktiv på området
vern av registrertes rettigheter og friheter med hensyn til vern av deres
personopplysninger, fullmakt til å klage på vedkommendes vegne, utøve rettighetene
nevnt i artikkel 77, 78 og 79 på vedkommendes vegne og utøve retten til å motta
erstatning nevnt i artikkel 82 på vedkommendes vegne dersom det er fastsatt i
medlemsstatenes nasjonale rett.
2. Medlemsstatene kan fastsette at ethvert organ eller enhver organisasjon eller
sammenslutning nevnt i nr. 1 i denne artikkel, uavhengig av en registrerts fullmakt, i
nevnte medlemsstat har rett til å klage til tilsynsmyndigheten som har kompetanse i
henhold til artikkel 77, og til å utøve rettighetene nevnt i artikkel 78 og 79 dersom
den/det anser at den registrertes rettigheter i henhold til denne forordning er blitt krenket
som følge av behandlingen.
Forbrukerrådet er ikke en ideell organisasjon, men et forvaltningsorgan som ifølge egen
nettside skal «veilede forbrukere og påvirke samfunnet i en forbrukervennlig retning».
Forbrukerrådet faller derfor ikke inn under den typen organisasjoner som etter nemndas
vurdering kan gis representasjonsrett etter artikkel 80.
PVN PVN-2022-22 Side 11 av 24
Uansett legger nemnda til grunn at artikkel 80 henviser til medlemsstatenes nasjonale rett når
det gjelder den registrertes rett til å la seg representere av andre, jf. avslutningsvis «dersom
det er fastsatt i medlemsstatenes nasjonale rett». Det er i norsk rett gitt regler om dette i
forvaltningsloven når det gjelder forvaltningssaker og i tvisteloven når det gjelder saker for
domstolene.
I saker for domstolen følger det av tvisteloven § 1-4, jf. § 1-3 at offentlige organer med
oppgave å fremme særskilte interesser kan reise søksmål i eget navn om forhold som det
ligger innenfor den offentlige myndighetens formål og naturlige virkeområde å ivareta. Når
det gjelder hvem som kan klage en sak inn til Datatilsynet, så er det den registrerte selv. Den
registrertes rett til å la seg bistå av en fullmektig er regulert i forvaltningsloven § 12 som i
annet ledd første punktum bestemmer:
«Som fullmektig kan brukes enhver myndig person eller en organisasjon som
vedkommende er medlem av.»
Forvaltningsloven åpner dermed ikke for at Forbrukerrådet kan opptre som fullmektig på
vegne av en registrert. Nemnda legger derfor til grunn at Forbrukerrådet ikke er part i denne
saken.
En annen sak er at Forbrukerrådet, som en offentlig myndighet med oppdrag om særlig å
ivareta forbrukernes rettigheter, står fritt til å henvende seg til Datatilsynet om saker de mener
er viktige og som de mener Datatilsynet bør se nærmere på. Datatilsynet er videre ikke
avhengig av å ha en klager eller en representant for en klager for å åpne en tilsynssak mot
noen som behandler personopplysninger. Nemnda har, uavhengig av Forbrukerrådets
manglende partsstilling, sett det som hensiktsmessig å innhente synspunkter og innspill fra
Forbrukerrådet som ledd i arbeidet med å opplyse saken, jf. forvaltningsloven § 17.
Nemnda går etter dette over til å vurdere de materielle spørsmålene i saken. Nemnda vil først
vurdere hvorvidt Grindrs utlevering av opplysninger til annonsepartnere innebærer en
utlevering av særlig kategorier av opplysninger. Deretter vurderer nemnda om Grindr har
gyldig behandlingsgrunnlag for sin utlevering av opplysninger, før spørsmålet om
overtredelsesgebyr og størrelsen på dette vurderes.
Utleverer Grindr særlig kategorier av opplysninger, jf. personvernforordningen artikkel
9?
Det er ingen tvil om at Grindrs utlevering av opplysninger, herunder utlevering av App-ID og
IP-adresse, representerer utlevering av personopplysninger, jf. artikkel 4 nr. 1. Hvilke
opplysninger som utgjør en særlig kategori av opplysninger, og som dermed er underlagt et
særlig vern etter personvernforordningen, følger av artikkel 9 nr. 1. Bestemmelsen lyder:
«Behandling av personopplysninger om rasemessig eller etnisk opprinnelse, politisk
oppfatning, religion, filosofisk overbevisning eller fagforeningsmedlemskap, samt
behandling av genetiske opplysninger og biometriske opplysninger med det formål å
entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en fysisk
persons seksuelle forhold eller seksuelle orientering, er forbudt.»
I denne saken er spørsmålet om Grindrs utlevering av opplysninger om sine brukere til sine
annonsepartnere innebærer en utlevering av «en fysisk persons seksuelle forhold eller
seksuelle orientering». Hvilke opplysninger Grindr utleverer er redegjort for ovenfor under
PVN PVN-2022-22 Side 12 av 24
«Sakens faktum». Det utleveres ingen opplysninger om seksuelle forhold utover opplysningen
om at vedkommende person er en registrert Grindr-bruker.
Spørsmålet for nemnda er om dette representerer en opplysning omfattet av artikkel 9 nr. 1.
Nemnda har kommet til at opplysningen om at en person er en registrert bruker av dating-
appen Grindr i seg selv er en opplysning om en «persons seksuelle forhold eller seksuelle
orientering», og at Grindrs utlevering av nevnte type opplysninger dermed innebærer en
behandling av opplysninger som er omfattet av forbudet i artikkel 9 nr. 1. Nemnda vil
begrunne sitt standpunkt nærmere i det følgende.
Nemnda vil først peke på at personvernforordningen har som formål å sikre vern av fysiske
personers grunnleggende rettigheter og friheter, særlig deres rett til vern av
personopplysninger, jf. artikkel 1 nr. 2. Personopplysninger som omfattes av særlige
kategorier av opplysninger i artikkel 9 nr. 1, er gitt et særskilt vern. Det framgår av
forordningens fortalepunkt 51 at dette er personopplysninger som av natur er særlig sensitive
med hensyn til grunnleggende rettigheter og friheter, og som fortjener et særskilt vern,
ettersom sammenhengen de behandles i kan skape betydelige risikoer for de grunnleggende
rettigheter og friheter. Det er imidlertid ikke sammenhengen eller formålet med behandlingen
som avgjør om opplysningene er av særlig kategori. Det er de utvalgte opplysningstypene i
seg selv som avgjør dette.
Nemnda har funnet støtte for denne vurderingen i storkammerdommen fra EU-domstolen i
sak OT v Vyriausioji tarnybinės etikos komisija, C- 184/20 fra 1. august 2022. Saken gjaldt et
litauisk forvaltningsorgans publisering av erklæringer på nettet knyttet til private interesser for
offentlige tjenestemenn. Publiseringen ble gjort som ledd i åpenhetsforpliktelser etter nasjonal
lov for bekjempelse av korrupsjon. I lister/erklæringer som ble offentliggjort ble det fjernet en
del informasjon av åpenbar/antatt sensitiv karakter. Listene inneholdt likevel fortsatt
informasjon om navn på samboer, ektefelle eller partner. Spørsmålet i saken var om
offentliggjøring av slike opplysninger, var egnet til indirekte å avsløre seksuell legning mv.,
og derfor utgjøre en behandling av særlige kategorier av opplysninger.
EU-domstolen la til grunn at begrepet «særlige kategorier av personopplysninger» i artikkel 9
nr. 1 må tolkes vidt og konkluderte med at det er tilstrekkelig for å bli omfattet av begrepet at
opplysninger om en fysisk persons seksuelle orientering indirekte kan utledes av
informasjonen, se avsnittene 119-128. Domstolen mener at en vid tolkning av bestemmelsen
har støtte i formålet med personvernforordningen som er å «sikre et højt niveau for
beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten
til privatlivets fred», se avsnittene 125 til 126.
I avsnitt 127-128 uttaler EU-domstolen:
«Følgelig kan disse bestemmelser ikke fortolkes således, at behandling af
personoplysninger, der indirekte kan afsløre følsomme oplysninger om en fysisk person, er
undtaget fra den skærpede beskyttelsesordning, der er fastsat i de nævnte bestemmelser,
idet den effektive virkning af denne ordning og den beskyttelse af fysiske personers
grundlæggende rettigheder og frihedsrettigheder, som den tilsigter at sikre, ellers ville
blive bragt i fare.
PVN PVN-2022-22 Side 13 av 24
Henset til samtlige ovenfor anførte betragtninger skal det andet spørgsmål besvares med, at
artikel 8, stk. 1, i direktiv 95/46 og databeskyttelsesforordningens artikel 9, stk. 1, skal
fortolkes således, at offentliggørelse af personoplysninger på webstedet for den offentlige
myndighed, der har til opgave at indsamle og kontrollere indholdet af erklæringer om
private interesser, som indirekte kan medføre videregivelse af oplysninger om en fysisk
persons seksuelle orientering, udgør en behandling af særlige kategorier af
personoplysninger i disse bestemmelsers forstand.»
Grindr er et sosialt nettverk og en mobilapplikasjon for nettdating rettet mot homofile, bifile,
transpersoner og skeive. Grindr markedsfører seg som verdens største sosiale
nettverksapplikasjon for «gay, bi, trans and queer people», og applikasjonen markedsføres
som «Grindr – Gay Dating & Chat» på App Store og som «Grindr – Gay chat» på Google
Play. Selv om brukere på Grindr har mange ulike seksuelle orienteringer, herunder også
heterofil orientering, vil man ved å registrere en profil på Grindr bli assosiert med LHBTQ+-
fellesskapet. Selv om den konkrete orienteringen ikke framkommer, sier opplysningen om at
du er bruker på Grindr, at du med stor sannsynlighet har en seksuell orientering som er
annerledes enn flertallet. Etter nemndas syn er det tilstrekkelig til at opplysningen omfattes av
artikkel 9 nr. 1.
Nemnda ser ikke at Ebab-saken, som Grindr har vist til, er relevant for spørsmålet i denne
saken. Ebab-saken gjaldt utlevering av personopplysninger om homofilvennlige utleiere som
ønsket å leie ut boliger til homofile. Domstolen la til grunn at det ikke var grunnlag for en
slutning om at utleierne var homofile selv om de betegnet seg som homofilvennlige. Ved å
registrere seg som bruker på et datingnettsted for homofile, bifile, transpersoner og skeive,
signaliserer man sterkere tilknytning til et miljø som sier noe om seksuell orientering enn om
man betegner seg som homofilvennlig. I og med at faktum var annerledes anses saken ikke
relevant, og det er ikke nødvendig å gå nærmere inn på rettskildevekten av denne avgjørelsen.
Nemnda understreker at forbudet i artikkel 9 nr. 1 mot behandling av opplysninger om en
«fysisk persons seksuelle forhold eller seksuelle orientering» ikke bare gjelder seksuelle
minoriteter, men favner alle seksuelle forhold og orienteringer. Bestemmelsens ordlyd er
nøytral og gir ikke holdepunkter for å skille mellom minoritet og majoritet. Nemnda legger
etter dette til grunn at en datingside eksplisitt for heterofile derfor også vil falle inn under de
samme reglene.
Nemnda finner støtte for sitt standpunkt i EU-domstolens storkammeravgjørelse C- 252/21 av
4. juli 2023 (Meta-saken). Saken gjaldt Meta Platforms Ireland sin innsamling og
sammenstilling av opplysninger om brukernes besøk på andre nettsteder og apper, for
eksempel datingnettsteder for homofile, samt opplysninger som brukerne selv har inntastet på
slike nettsteder og apper. Ett av spørsmålene som EU-domstolen tok stilling til var hvorvidt
innsamling og videre sammenstilling av opplysninger som omhandler brukernes besøk og
inntasting på nettstedene/appene utgjør behandling av særlige kategorier av opplysninger
fordi nettstedene inneholder opplysninger omfattet av artikkel 9 nr. 1. EU-domstolen la til
grunn at de aktuelle datingnettstedene, som brukerne hadde besøkt og registrert seg på,
inneholdt opplysninger omfattet av artikkel 9 nr. 1.
I avsnitt 73 konkluderer EU-domstolen med at:
«Henset til det ovenstående skal det andet spørgsmål, litra a), besvares med, at
databeskyttelsesforordningens artikel 9, stk. 1, skal fortolkes således, at såfremt en bruger
PVN PVN-2022-22 Side 14 av 24
af et socialt onlinenetværk besøger websteder eller anvender applikationer i forbindelse
med en eller flere af de i denne bestemmelse omhandlede kategorier, og eventuelt indtaster
oplysninger heri ved at oprette en profil eller foretage onlinebestillinger, skal den
behandling af personoplysninger, som operatøren af dette sociale onlinenetværk foretager,
og som består i indsamling af oplysninger fra besøg på disse websteder eller anvendelse af
disse applikationer samt de af brugeren indtastede oplysninger gennem grænseflader,
cookies eller lignende lagringsteknologier, sammenstilling af samtlige disse oplysninger
med brugerens konto på det sociale netværk og operatørens anvendelse af nævnte
oplysninger, anses for at udgøre »behandling af særlige kategorier af personoplysninger«
som omhandlet i denne bestemmelse, hvilket principielt er forbudt med forbehold for
undtagelserne i denne forordnings artikel 9, stk. 2, når denne behandling af oplysninger
kan afsløre oplysninger, der er omfattet af en af disse kategorier, uanset om oplysningerne
vedrører en bruger af dette netværk eller enhver anden fysisk person.»
Etter nemndas syn er EU-domstolens uttalelser i Meta-saken relevant for spørsmålet i denne
saken til tross for at den ikke omhandlet spørsmålet om utlevering av særlige kategorier
personopplysninger, men derimot spørsmålet om innsamling og videre sammenstilling av
slike opplysninger. Som redegjort for over mener nemnda at personer som registrerer en profil
på Grindr vil assosieres med LHBTQ+-fellesskapet og nemnda legger derfor til grunn at
opplysninger om bruk av Grindr-appen omfattes av artikkel 9 nr. 1. Når EU-domstolen i
Meta-saken konkluderer med at Meta Platforms Ireland sin innsamling og sammenstilling av
opplysninger om besøkende på datingnettsteder for homofile utgjør en behandling av særlige
kategorier personopplysninger, mener nemnda at også slike nettsteders – i dette tilfellet
Grindrs - utlevering av samme type informasjon for lignende sammenstillingsformål utgjør en
behandling av opplysninger som er omfattet av personvernforordningen artikkel 9 nr. 1.
Nemnda legger etter dette til grunn at Grindr har utlevert særlige kategorier av opplysninger
til sine annonsepartnere. Nemnda deler ikke Grindrs bekymringer for eventuelle negative
ringvirkninger av denne konklusjonen idet lovlig behandling av slike opplysninger kan skje
ved å sørge for gode og informative prosesser for innhenting av samtykke i tråd med lovens
krav.
Har Grindr innhentet gyldig samtykke for sin utlevering av opplysninger?
For at en behandling av personopplysninger skal være lovlig, må den ha et rettslig grunnlag.
De rettslige grunnlagene for behandling av personopplysninger framgår av
personvernforordningen artikkel 6 nr. 1. Det følger av artikkel 6 nr. 1 bokstav a at samtykke
er ett av flere mulige behandlingsgrunnlag.
Legaldefinisjonen av samtykke i artikkel 4 nr. 11 lyder slik:
«… enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte der
vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling
av personopplysninger som gjelder vedkommende.»
Siden nemnda ovenfor er kommet til at Grindr ved utleveringen av personopplysninger til
annonsepartnere har behandlet særlige kategorier av personopplysninger, følger det av
artikkel 9 nr. 2 at behandlingen – for å være lovlig – må oppfylle vilkårene i ett av
alternativene i artikkel 9 nr. 2. Det følger av artikkel 9 nr. 2 bokstav a at den registrerte må ha
gitt et «uttrykkelig» samtykke til behandling av slike opplysninger.
PVN PVN-2022-22 Side 15 av 24
Forordningen forklarer ikke nærmere hva som ligger i kravet om at den registrerte har gitt et
«uttrykkelig samtykke». Nemnda legger til grunn at formuleringen «uttrykkelig» ikke
innebærer et skjerpet samtykkekrav sammenlignet med kravet i artikkel 6 nr. 1 om at
samtykket må være en «utvetydig viljesytring». Det sentrale for begge kravene er at det ikke
må være tvil om at det er avgitt et samtykke.
Når det gjelder kravet i artikkel 4 nr. 11 om at viljesytringen må være «utvetydig», gir
fortalepunkt 32 en viss veiledning. Samtykket vil være utvetydig dersom det er gitt:
«… f.eks. i form av en skriftlig, herunder elektronisk, eller en muntlig erklæring. Dette kan
innebære å krysse av i en boks under et besøk på et nettsted, velge tekniske innstillinger for
informasjonssamfunnstjenester eller en annen erklæring eller handling som i denne
forbindelse tydelig viser at den registrerte godtar den foreslåtte behandlingen av
vedkommendes personopplysninger. Taushet, forhåndsavkryssede bokser eller inaktivitet
bør derfor ikke utgjøre et samtykke.»
Det sentrale er at den registrerte har handlet på en måte som tydelig viser at vedkommende
godtar behandlingen. Nemnda antar at dette også utgjør kjernen i kravet om «uttrykkelig
samtykke» i artikkel 9 nr. 2 bokstav a. En slik tolkning harmonerer også best med den
behandlingsansvarliges plikt etter forordningen artikkel 7 nr. 1 til å påvise at det er gitt
samtykke.
Personvernrådets retningslinjer om samtykke (Guidelines 05/2020 on consent under
Regulation 2016/679) tilsier også at det er selve viljesytringen til den registrerte som er det
sentrale i kravet om utvetydighet/uttrykkelighet. I avsnitt 75, som gjelder det nærmere
innholdet i kravet om at viljesytringen må være «utvetydig», heter det bl.a. at «…samtykke
kræver en erklæring eller klar bekræftelse fra den registrerede, hvilket betyder, at samtykke
altid skal gives ved en aktiv handling …», og i avsnitt 77 presiseres det videre at:
«En "klar bekræftelse" indebærer, at den registrerede skal have handlet bevidst for at give
samtykke til den pågældende behandling. Der findes yderligere retningslinjer herom i
betragtning 32. Samtykke kan indhentes ved skriftlig eller (optaget) mundtlig erklæring,
herunder elektronisk.»
Og i avsnitt 93, som gjelder det nærmere innholdet i kravet i artikkel 9 nr. 2 bokstav a om at
samtykket må være «uttrykkelig», uttaler Personvernrådet følgende:
«Termen udtrykkeligt betegner den måde, hvorpå den registrerede giver samtykket. Det
betyder, at den registrerede skal afgive en udtrykkelig samtykkeerklæring. Det ville være
logisk at få samtykket udtrykkeligt bekræftet i en skriftlig erklæring. Når det er
hensigtsmæssigt, kan den dataansvarlige sørge for, at den skriftlige erklæring bliver
underskrevet af den registrerede, så der fremadrettet ikke hersker nogen tvivl om og ikke er
nogen risiko for, at der ikke foreligger noget bevis.» [Kursiv i original]
Nemnda er av den oppfatning at dersom kravet om utvetydighet/uttrykkelighet skal ha en
selvstendig betydning, så kan ikke andre mangler ved samtykkemekanisen – om denne er
utformet slik at samtykket ikke kan sies å være frivillig, spesifikt og informert – være til
hinder for å komme til at selve viljesytringen oppfyller kravet om utvetydighet/uttrykkelighet.
PVN PVN-2022-22 Side 16 av 24
Det er under «Sakens faktum» innledningsvis redegjort for Grindrs samtykkemekanisme i det
aktuelle tidsrommet. Tilsynet har i sitt vedtak gitt uttrykk for at formuleringen «I accept the
Privacy Policy» ikke nødvendigvis kan forstås som et utvetydig eller uttrykkelig samtykke,
men like godt kan forstås som at den registrerte bare vedkjenner at informasjonen er gitt. Etter
nemndas syn framstår dette som en nokså anstrengt tolkning av formuleringen, og nemnda ser
det slik at formuleringen i kombinasjon med at brukeren har klikket på svaralternativet
«Accept», utgjør et uttrykkelig samtykke som oppfyller forordningens krav på dette punktet.
I fortsettelsen av dette vil nemnda for ordens skyld knytte en kommentar til den delen av
samtykkemekanismen som går ut på at brukeren ved å gjøre endringer i enhetens
operativsystem, både gis mulighet til å velge bort atferdsbasert markedsføring og til å hindre
at Grindr får tilgang til lokasjonsdata. Nemnda er av den oppfatning at det er mest
nærliggende å inkludere disse sidene ved samtykkemekanismen i vurderingen av om
samtykket er gitt frivillig.
Nemnda går etter dette over til å vurdere de øvrige tre kravene som inngår i vurderingen av
om det er gitt et gyldig samtykke til utlevering av personopplysninger til annonsepartnere,
nemlig om samtykket er frivillig, spesifikt og informert. Som allerede påpekt ovenfor, er det
tette bånd og delvis overlapp mellom disse tre kravene. Nemnda er kommet til at
samtykkemekanismen til Grindr i den perioden som denne saken gjelder, ikke oppfylte
forordningens krav til gyldig samtykke, og vil i det følgende gjøre nærmere rede for sin
vurdering av de sentrale manglene ved samtykkemekanismen knyttet til disse tre kravene.
Nemnda legger til grunn at kjernen i kravet om at samtykket skal være frivillig er den
personlige autonomien. Samtykkemekanismen må utformes på en slik måte at vedkommende
som skal gi sitt samtykke gis reelle valg med tanke på hvordan personopplysningene skal
behandles. I fortalepunkt 42 slås det fast at samtykket:
«… skal ikke anses som frivillig dersom den registrerte ikke har en reell valgfrihet, eller
ikke er i stand til å nekte å gi eller trekke tilbake et samtykke uten at det er til skade for
vedkommende.»
Mye av det samme påpekes også av Personvernrådet i avsnitt 13 i retningslinjene om
samtykke:
«Elementet "frit" indebærer, at de registrerede har et reelt valg og kontrol. Generelt fastslås
det i databeskyttelsesforordningen, at et samtykke er ugyldigt, hvis ikke den registrerede er
i stand til at foretage et reelt valg, hvis den registrerede føler sig tvunget til at give sit
samtykke, eller hvis det vil få negative konsekvenser, hvis den registrerede ikke
samtykker. …»
Samtykkemekanismen til Grindr, slik den er redegjort for under «Sakens faktum», er etter
nemndas vurdering ikke utformet på en slik måte at brukeren fritt kan ta stilling til spørsmålet
om personopplysninger skal eller ikke skal utleveres til annonsepartnere.
Samtykkemekanismen innebar at brukere som ønsket å velge bort den atferdsbaserte
markedsføringen måtte gjøre endringer i enhetens operativsystem som ikke bare hadde
virkning for Grindr-appen, men som hadde tilsvarende konsekvenser for alle apper som var
lastet ned på brukerens enhet. En slik innretning av samtykkemekanismen plasserte brukeren i
en tvangssituasjon hvor vedkommende enten måtte akseptere at personopplysningene ble
PVN PVN-2022-22 Side 17 av 24
utlevert til Grindrs annonsepartnere, eller måtte gjøre endringer i enhetens operativsystem
som hadde konsekvenser for alle apper som var lastet ned på enheten. Dette tilsier etter
nemndas vurdering at det ikke kan legges til grunn at brukeren frivillig hadde samtykket til
utlevering av personopplysninger til annonsepartnere.
Når det derimot gjelder utlevering av lokasjonsdata til annonsepartnere, kunne brukeren velge
å skjule denne personopplysningen for Grindr ved å endre innstillingene i enhetens
operativsystem som bare hadde konsekvenser for bruken av Grindr. Dersom brukeren valgte å
ikke dele lokasjonsdata med Grindr, fikk også appen redusert funksjonalitet. Selv om appen
ikke lenger kunne brukes for å komme i kontakt homofile, bifile, transpersoner og skeive som
befant seg i nærheten, er det nemndas vurdering at appen fortsatt gjorde det mulig for
brukerne å komme i kontakt med andre homofile, bifile, transpersoner og skeive. Det valget
som brukeren her ble stilt overfor når det gjaldt utlevering av lokasjonsdata, er etter nemndas
syn ikke egnet til å frata disposisjonen preget av frivillighet.
Samtykkemekanismen til Grindr i den aktuelle perioden var utformet slik at det først var etter
at registreringen var fullført at den registrerte fikk tilbud om å kjøpe abonnement på en av
betalingsversjonene. At brukeren etter at registreringen er fullført, gis muligheten til å kjøpe et
abonnement, har slik nemnda vurderer det, ingen innvirkning på spørsmålet om det samtykket
som allerede ble gitt i forbindelse med at brukeren aksepterte personvernerklæringen, var
frivillig. Nemnda er enig med Grindr i at de ikke har en plikt til å tilby en gratis datingapp, og
nemnda anerkjenner at et sentralt trekk ved forretningsmodellen for sosiale medier og
applikasjoner er at de registrerte «betaler» for bruken av sosiale medier og applikasjoner ved å
akseptere at deres personopplysninger blir brukt kommersielt, for eksempel ved at de
utleveres til annonsepartnere. Hadde brukeren før registreringsprosessen var avsluttet blitt gitt
valget mellom å bruke gratisversjonen av appen eller å kjøpe en av de to betalingsversjonene
av appen, hadde dette trukket i retning av at kravet om frivillighet var oppfylt. Brukeren
hadde da hatt et reelt valg om vedkommende ville betale penger for å bruke applikasjonen,
eller om vedkommende heller ville «betale» med sine personopplysninger.
Etter nemndas vurdering er det uten betydning for vurderingen av om samtykket er frivillig,
om utleveringen av personopplysninger skjer umiddelbart etter at registreringen er fullført,
eller om det skjer noe senere. Vurderingen må knytte seg til forholdene slik de var på
tidspunktet da registreringen ble fullført. Det er kvaliteten ved viljesytringen på dette
tidspunktet som er avgjørende for spørsmålet om det er gitt et gyldig samtykke i
forordningens forstand.
Det framgår av fortalepunkt 43 bl.a. at samtykket «antas å ikke være gitt frivillig dersom det
ikke er mulig å gi separat samtykke for forskjellige behandlingsaktiviteter». Noe av det
samme kommer fram i fortalepunkt 32. Personvernrådet omtaler dette som et krav om
granularitet, jf. avsnitt 42-45 i retningslinjene om samtykke. Denne klagesaken gjelder bare
spørsmålet om Grindr har innhentet et gyldig samtykke fra brukerne til utlevering av
personopplysninger til annonsepartnere. Med en slik tilskjæring av saken, er nemnda av den
oppfatning at faktum ikke gir grunnlag for en selvstendig vurdering av dette elementet i
kravet om frivillighet.
Nemnda går så over til å vurdere om samtykkemekanismen er utformet slik at samtykket er
spesifikt og informert. Et sentralt utgangspunkt for denne vurderingen finnes i artikkel 7 nr. 2,
som lyder slik:
PVN PVN-2022-22 Side 18 av 24
«Dersom den registrertes samtykke gis i forbindelse med en skriftlig erklæring som også
gjelder andre forhold, skal anmodningen om samtykke framlegges på en måte som gjør at
den tydelig kan skilles fra nevnte andre forhold, i en forståelig og lett tilgjengelig form og
på et klart og enkelt språk. …»
Denne bestemmelsen må tolkes og anvendes i lys av prinsippet om åpenhet og transparens i
artikkel 5 nr. 1 bokstav a, og den registrertes rett til gjennomsiktighet og informasjon i
artiklene 12 og 13.
Under overskriften «How We Use Your Information» i personvernerklæringen informeres
brukeren bl.a. om hvilke personopplysninger som utleveres til annonsepartnere. Kulepunkt 12
lyder slik:
«Third Party Advertising Companies. We share your hashed Device ID, your device’s
advertising identifier, a portion of your Profile Information, Distance Information, and
some of your demographic information with our advertising partners. … Note that we do
not sell your personal user information to third parties for advertising purposes. Also note
that we do not share information about your Tribe, or about your HIV status, with any
advertising companies.»
Nemnda er i sterk tvil om denne måten å informere om hvilke personopplysninger som
utleveres til annonsepartnere, er tilstrekkelig spesifikk til at samtykket fra brukeren kan anses
for å være informert. Noen av ordene er tekniske begreper som for å være forståelige
forutsetter en innsikt som det ikke kan forutsettes at den alminnelige bruker har. Andre ord
har et nokså uklart innhold. Det gis for eksempel ikke nærmere informasjon om hva slags
profilinformasjon som blir utlevert, bare hvilke personopplysninger som ikke blir utlevert.
Nemnda mener videre at det er en mangel ved Grindrs samtykkemekanisme at samtykket til
utlevering av personopplysninger til annonsepartnere er inntatt i personvernerklæringen.
Denne erklæringen redegjør i detalj for hvordan Grindr behandler personopplysninger, og har
til formål å oppfylle den behandlingsansvarliges plikter etter forordningens artikkel 13. En
personvernerklæring er ikke et dokument som det i utgangspunktet skal samtykkes til. Det er
et dokument av informerende karakter, og skiller seg slik sett fra brukervilkårene, som
brukerne må samtykke til.
Begge personvernerklæringene er strukturert med overskrifter etter ulike tema.
Personvernerklæringen som gjaldt fram til 31. desember 2019, var strukturert med
utgangspunkt i følgende overskrifter:
• What we Collect
• How We Use Your Information
• Where We Share
• Your Choices
• How We Protect Personal Information
• Miscellaneous Information
Personvernerklæringen som gjaldt fra 1. januar 2020 var utbygget med noen flere overskrifter,
men denne forskjellen er uten betydning for nemndas vurdering her. En bruker uten kjennskap
til selve teksten i personvernerklæringen, vil få det inntrykk at teksten er av informerende
karakter. Formuleringene i personvernerklæringen som beskriver hvilke opplysninger som
PVN PVN-2022-22 Side 19 av 24
utleveres til annonsepartnere, kan etter nemndas vurdering derfor ikke skilles klart fra annen
informasjon som gis den som registrerer seg som bruker.
De aktuelle formuleringene om hvilke opplysninger som utleveres til annonsepartnerne er
etter nemndas vurdering heller ikke utformet som en anmodning om et samtykke. At
formuleringen er inntatt under overskriften «Your Choices», endrer ikke på dette. Nemnda har
for øvrig merket seg at Grindr i personvernerklæringen som gjaldt fra 1. januar 2020, under
overskriften «How and Why We Use Your Personal Data», har utarbeidet en tabell som lister
opp alle de 25 ulike behandlingsformålene, og som til hvert av formålene angir behandlingens
rettslige grunnlag. Behandlingsformål 21 gjelder «Share your Personal Data with our
advertising partners», og det sies eksplisitt at det rettslige grunnlaget for denne behandlingen
av personopplysninger er samtykke («Consent»). Selv om dette velvillig lest og isolert sett
muligens kan tolkes som en anmodning om et samtykke, er nemnda likevel ikke i tvil om at
disse formuleringene lest i sin kontekst, ikke kan tolkes på denne måten. Nemnda viser til at
tabellen med alle behandlingsformålene er plassert under en overskrift som ikke gir noen
indikasjoner om at brukeren her vil finne anmodninger om behandling av personopplysninger
som det må samtykkes til. Formuleringene i de to personvernerklæringene oppfyller derfor
ikke det kravet som kan utledes fra artikkel 7 nr. 2.
Grindr har også anført at betalingsversjonene av appen var presentert for brukeren på en slik
måte at kravet om spesifikt og informert samtykke var oppfylt. Det vises til at brukeren blir
informert om at betalingsversjonene er reklamefrie, bl.a. med formuleringer som «No banner
ads», «No more ads», No 3rd party ads» og «ZERO third-party ads». Nemnda har ovenfor
lagt til grunn at den nærmere utformingen av betalingsversjonene av appen er uten betydning
for vurderingen av om samtykket var frivillig, siden den registrerte først fikk tilbud om å
kjøpe abonnement på en av disse etter at registreringen var fullført. Det samme gjelder
selvsagt for vurderingen av om samtykket var spesifikt og informert; den nærmere
utformingen av betalingsversjonene har ingen relevans for denne vurderingen. Nemnda vil
likevel kort bemerke at de formuleringene som Grindr viser til, bare på en nokså indirekte
måte er egnet til å kommunisere til brukeren at ved å velge å kjøpe et abonnement på en av
betalingsversjonene, så vil ikke brukerens personopplysninger bli utlevert til annonsepartnere.
Denne informasjonen forutsetter teknisk innsikt som det ikke kan legges til grunn at den
alminnelige bruker besitter.
Nemnda har på dette grunnlaget kommet til at Grindrs samtykkemekanisme, i den perioden
som denne saken gjelder, var innrettet på en slik måte at brukerens samtykke verken var
frivillig, spesifikt eller informert. Selv om nemnda ovenfor er kommet til at samtykket var
uttrykkelig, blir nemndas konklusjon likevel at Grindr ikke hadde gyldig samtykke fra de
registrerte for utlevering av personopplysninger til annonsepartnere, jf. artikkel 6 nr. 1 og
artikkel 9 nr. 2.
Overtredelsesgebyr
Etter personopplysningsloven § 26 kan Datatilsynet ilegge et behandlingsansvarlig
overtredelsesgebyr etter personvernforordningen artikkel 83. Det følger videre av artikkel 83
nr. 5 bokstav a at foretak som bryter bestemmelsene i artikkel 6 og artikkel 9 kan ilegges et
overtredelsesgebyr på opptil 20 000 000 euro eller inntil 4 % av den samlede globale
årsomsetningen i forutgående regnskapsår, der det høyeste beløpet anvendes.
PVN PVN-2022-22 Side 20 av 24
Nemnda har ovenfor konkludert med at Grindr har handlet i strid med artikkel 6 nr. 1 og
artikkel 9. De objektive vilkårene for å kunne ilegge overtredelsesgebyr er dermed i
utgangspunktet oppfylt.
Forbudet mot tilbakevirkende lovgivning og kravet til klar lovhjemmel for ileggelse av gebyr
Personvernnemnda finner grunn til å kommentere særskilt Grindrs anførsel om at
Datatilsynets gebyrvedtak er i strid med forbudet mot tilbakevirkende lovgivning. Det er
særlig vist til at tilsynet har bygget vedtaket på Personvernrådets retningslinjer om samtykke.
Disse ble først vedtatt 4. mai 2020, og Grindr har anført at disse ikke kan legges til grunn for
vurderingen av behandlingen av personopplysninger som fant sted i den perioden som denne
klagesaken gjelder, nemlig fra forordningen trådte i kraft 20. juli 2018 og fram til
samtykkemekanismen ble endret 8. april 2020.
Etter nemndas vurdering er det ikke holdepunkter i vedtakets begrunnelse for at tilsynet har
bygget dette på rettsregler som er utledet fra disse retningslinjene. Nemnda har i sin praksis
gitt uttrykk for at slike retningslinjer har begrenset verdi som rettskilde, men har lagt til grunn
at de gir nyttig veiledning siden de gir uttrykk for forvaltningspraksis hos tilsynene i EU og
EØS, jf. PVN-2020-14 og PVN-2019-02. Slik nemnda leser tilsynets begrunnelse i
foreliggende sak, bygger denne på et tilsvarende syn på den rettslige betydningen av
retningslinjene. Tilsynets vedtak bygger på forordningens bestemmelser.
Videre anfører Grindr at tilsynets tolkning av forordningens samtykkebestemmelser ikke
kommer klart nok til uttrykk i ordlyden, og følgelig ikke i tilstrekkelig grad ivaretar kravet om
forutberegnelighet. Praksis fra menneskerettighetsdomstolen i Strasbourg (EMD) gir gode
holdepunkter for hva som nærmere ligger i kravet til klar lovhjemmel og forutberegnelighet i
den europeiske menneskerettighetskonvensjonen (EMK).
Nemnda nøyer seg med å vise til Sanchez v. France, Grand Chamber judgment of 15 May
2023 (application no. 45581/15). I avsnittene 125-127 oppsummeres – med henvisning til
tidligere dommer fra EMD – de sentrale elementene i kravet til klar lovhjemmel i EMK:
«… That person must be able to – if need be with appropriate advice – to foresee, to a
degree that is reasonable in the circumstances, the consequences which a given action may
entail. … Accordingly, many laws are inevitably couched in terms which, to a greater or
lesser extent, are vague, and whose interpretation and application are questions of practice
… The level of precision required of domestic legislation – which cannot provide for every
eventuality – depends to a considerable degree on the content of the law in question, the
field it is designed to cover and the number and status of those to whom it is addressed …
… A margin of doubt in relation to borderline facts does not therefore by itself make a
legal provision unforeseeable in its application. Nor does the mere fact that a provision is
capable of more than one construction mean that it fails to meet the requirement of
“foreseeability” for the purposes of the Convention.
… The novel character of a legal question that has not hitherto been raised, particularly
with regard to previous decisions, is not in itself incompatible with the requirements of
accessibility and foreseeability of the law, provided the solution adopted is consistent with
one of the possible and reasonably foreseeable interpretations …»
PVN PVN-2022-22 Side 21 av 24
Det ligger i dette at EMD aksepterer at det nærmere innholdet i vagt formulerte
lovbestemmelser må finne sin avklaring i praksis, og at dette ikke er i strid med EMKs krav
om klar lovhjemmel og forutberegnelighet.
Det er nemndas vurdering at Personvernrådets retningslinjer om samtykke ligger godt
innenfor det som kan utledes av fortalen og de aktuelle bestemmelsene i forordningen tolket i
sin kontekst og med utgangspunkt forordningens formål om å styrke de registrertes vern av
egne personopplysninger. I fortsettelsen av dette vil nemnda peke på at disse retningslinjene,
som ble vedtatt 4. mai 2020, for alle praktiske formål innebærer en uendret videreføring av
Artikkel 29-gruppens retningslinjer om samtykke (Guidelines on consent under Regulation
2016/679 (WP259.01)) fra 10. april 2018. Retningslinjene for samtykke har med andre ord
ligget fast i hele den perioden som denne klagesaken gjelder.
Etter nemndas vurdering gjelder det samme for hva som utgjør en særlig kategori av
opplysninger, jf. artikkel i artikkel 9 nr. 1. Datatilsynets avgjørelse representerer heller ingen
ny eller endret tolkning av de vedtatte reglene på dette punktet. Personopplysningsloven trådte
i kraft 20. juli 2018, samme dag som beslutningen som innlemmer forordningen i EØS-
avtalen trådte i kraft. Personvernforordningen ble vedtatt i EU i april 2016 og begynte å gjelde
i EUs medlemsland fra 25. mai 2018. Etterfølgende rettskilder, som Datatilsynet viser til i sitt
vedtak, presiserer og klargjør hva som var gjeldende rett på tidspunktet for Grindrs utlevering
av personopplysninger om sine brukere til annonsepartnere. En slik rettslig klargjøring er en
sentral oppgave for domstolene og representerer ingen endring av rettstilstanden.
Særlig om kravet til subjektiv skyld
Høyesterett har i HR-2021-797-A, avsnitt 23 uttalt at det ikke er forenlig med EMK artikkel 6
nr. 2 og artikkel 7 å straffe et foretak dersom ingen har utvist skyld. Høyesterett viser til nyere
praksis fra Den europeiske menneskerettsdomstolen (EMD) hvor det kreves en «mental link»
mellom handlingen og de faktiske omstendighetene som statuerer straffansvaret, jf. særlig
EMDs storkammerdom 28. juni 2018 G.I.E.M. S.r.l. med flere mot Italia (EMD-2006-1828)
og EMDs dom 20. januar 2009 Sud Fondi S.r.l. med flere mot Italia (EMD-2001-75909).
Som en følge av denne rettsutviklingen, og at overtredelsesgebyr anses å ha karakter av straff,
jf. Rt-2012-1556, ble forvaltningsloven § 46 endret i 2022 slik at det nå også oppstilles et krav
om subjektiv skyld (uaktsomhet) ved ileggelse av overtredelsesgebyr for foretak og offentlige
myndigheter, med mindre noe annet er bestemt. Nemnda legger til grunn for vurderingen i
denne saken at forordningen oppstilte et krav om subjektiv skyld (i det minste uaktsomhet)
hos den eller de som har opptrådt på vegne av foretaket for at overtredelsesgebyr kunne
ilegges også i den perioden denne saken gjelder.
Nemnda kan ikke peke ut hvem hos Grindr som har hatt ansvaret for å velge den tidligere
etablerte løsningen for innhenting av samtykke, og som etter nemndas vurdering representerer
brudd på både artikkel og 6 nr. 1 og artikkel 9 nr. 1. Det er etter rettspraksis heller ikke et krav
om at skylden individualiseres. Både anonyme og kumulative feil kan utgjøre grunnlag for
ansvar ved ileggelse av foretaksstraff, jf. HR-2022-1271-A, avsnitt 46-50.
Valg av teknisk løsning og prosedyre for innhenting av brukersamtykke var uten tvil et
bevisst valg hos Grindr, hvilket innebærer en forsettlig overtredelse av
personvernforordningen. Dersom dette, slik det er anført, skyldtes uvitenhet hos Grindr om
hvilke krav personvernforordningen stilte til innhenting av samtykke for utlevering av
brukernes personopplysninger til annonsepartnere, dreier det seg uansett om en uvitenhet som
PVN PVN-2022-22 Side 22 av 24
ikke er unnskyldelig og dermed uten betydning for nemndas vurdering av om de subjektive
vilkårene er oppfylt.
Det foreligger dermed en forsettlig overtredelse og både subjektive og objektive vilkår for å
ilegge overtredelsesgebyr er oppfylt.
Vurdering av om overtredelsesgebyr skal ilegges og utmåling av gebyret
Spørsmålet for nemnda er etter dette om det etter personvernforordningen artikkel 83 nr. 2
skal ilegges et overtredelsesgebyr, og dersom det ilegges, hvor stort gebyret skal være.
Det følger av artikkel 83 nr. 1 at ileggelse av overtredelsesgebyr i hvert enkelt tilfelle skal
være virkningsfullt, stå i et rimelig forhold til overtredelsen og virke avskrekkende. Både ved
vurderingen av om det skal ilegges gebyr og ved utmålingen av gebyret, skal det tas hensyn til
momentene i personvernforordningen artikkel 83 nr. 2 bokstavene a til k.
Det er for denne vurderingen sentralt å se på overtredelsens karakter, alvorlighetsgrad og
varighet, jf. artikkel 83 nr. 2 bokstav a. Det følger av bestemmelsen at det skal tas hensyn til
den aktuelle behandlingens art, omfang eller formål, samt antall registrerte som er berørt og
omfanget av den skade de har lidd.
I dette tilfellet dreier det seg om utlevering av særlige kategorier av opplysninger om et stort
antall brukere uten at det har blitt innhentet gyldig samtykke for dette. Det dreier seg om en
forsettlig overtredelse som pågikk over nesten to år, i perioden fra 20. juli 2018 til 7. april
2020. Den ulovlige utleveringen av personopplysninger var begrunnet i et ønske om
økonomisk vinning hos Grindr. Nemnda legger til grunn at salg av personopplysninger til
bruk for atferdsbasert markedsføring har bidratt til finansiering av tjenesten og bidratt til
Grindrs inntekter. Nemnda er enig med Datatilsynet i at profilering for målrettet
markedsføring er en form for behandling av personopplysninger som kan oppfattes
påtrengende og ofte virker ugjennomsiktig og uoversiktlig for de registrerte. Det er skjerpende
at Grindr var klar over at deres utlevering av opplysninger til ulike annonsepartnere også
innebar en ytterligere spredning av opplysningene utenfor Grindrs kontroll.
Nemnda er enig med Datatilsynet i at det lave antallet klager på appen ikke er et forhold som
skal tilleggs vekt i formildende retning. Manglende klager kan dels skyldes manglende
kunnskap hos de registrerte om hvilke rettigheter de har og dels manglende kunnskap om hva
som skjer med deres personopplysninger dersom de velger å registrere seg som bruker hos
Grindr. Nemnda viser til det som er sagt ovenfor om hvilken informasjon som ble gitt til
brukerne og tilgjengeligheten av denne informasjonen.
Når det gjelder betydningen av eventuelle tekniske og organisatoriske tiltak etter artikkel 25
og 32, jf. artikkel 83 andre ledd bokstav d, har dette etter nemndas vurdering liten betydning
når det dreier seg om en forsettlig utlevering av personopplysninger uten gyldig rettslig
grunnlag.
I tillegg til at Grindr utleverer opplysninger omfattet av artikkel 9 nr. 1 (opplysninger om en
persons seksuelle forhold eller seksuell orientering), utleveres også opplysninger om den
registrertes geografiske lokasjon. Nemnda er enig med Datatilsynet i at også behandling av
denne kategorien av opplysninger krever nøye overveielse. GPS-lokasjon kan være særlig
avslørende for livet og vanene til de registrerte, og kan bli brukt for å utlede store mengder
informasjon. For eksempel kan lokasjonsdata avsløre hvor den registrerte jobber og hvor han
PVN PVN-2022-22 Side 23 av 24
eller hun bor. Dataene kan også brukes for å avsløre potensielt sensitive opplysninger som
religion gjennom religiøse forsamlingshus, eller seksuell orientering gjennom stedene som er
besøkt. Nemnda deler Datatilsynets vurdering av at behandlingen av den registrertes
geografiske lokasjon, etter omstendighetene, kan være svært inngripende og har et potensiale
for misbruk dersom opplysningene deles med behandlingsansvarlige som har slike ønsker.
Nemnda har etter dette kommet til at det er riktig å ilegge Grindr et overtredelsesgebyr, jf.
personopplysningsloven § 26, jf. personvernforordningen artikkel 83.
Både ved vurderingen av om det skal ilegges gebyr og ved utmålingen av gebyret, skal det
som påpekt ovenfor tas hensyn til momentene i personvernforordningen artikkel 83 nr. 2
bokstavene a til k. Nemnda viser derfor til sin vurdering ovenfor.
Det følger av personvernforordningen artikkel 83 nr. 5 at overtredelse av artikkel 5, 6, 7 og 9 i
samsvar med artikkel 83 nr. 2 skal ilegges overtredelsesgebyr på opptil 20 000 000 euro eller,
dersom det dreier seg om et foretak, på opptil 4 % a den samlede globale årsomsetningen i
forutgående regnskapsår, der det høyeste beløpet anvendes. Grindr har i sine merknader til
varsel om vedtak opplyst at den globale omsetningen i 2020 var på USD Det
blir dermed 20 000 000 euro som utgjør det øvre taket i dette tilfellet.
Datatilsynet varslet opprinnelig 100 000 000 kroner i overtredelsesgebyr, men reduserte dette
til 65 000 000 kroner i sitt endelige vedtak. Reduksjonen fra opprinnelig varsel om
100 000 000 kroner til 65 000 000 kroner var i vedtaket begrunnet med at Grindrs omsetning
var i nedre sjikt av det tilsynet la til grunn i varselet, samt at Grindrs iverksatte tiltak for å
utbedre manglene ved deres tidligere samtykkemekanisme ble vektlagt i formildende retning.
Personvernnemnda har ikke funnet noen grunn til å endre størrelsen på det fastsatte gebyret.
Datatilsynet har i sitt vedtak drøftet de innvendingene Grindr har hatt til det utmålte gebyret
og gitt sin redegjørelse for hvorfor gebyret er satt høyere i dette tilfellet enn i andre saker pekt
på av Grindr. Nemnda er enig i de vurderingene tilsynet der gir uttrykk for. Det utmålte
gebyret utgjør mindre enn 30 % av det maksimale beløpet personvernforordningen åpner for i
dette tilfellet. Overtredelsens alvor, særlig antallet registrerte som er berørt, kategorien av
opplysninger som det gjelder, at overtredelsen har pågått over nesten to år, samt at det dreier
seg om en forsettlig handling hvor man bevisst har valgt en teknisk løsning som ikke gjør det
mulig å registrere seg uten at man samtidig «godkjenner» utlevering av opplysninger for bruk
i atferdsbasert markedsføring, tilsier at overtredelsesgebyret ikke anses uforholdsmessig. At
den tekniske løsningen åpner for opt-out etter registrering, endrer ikke nemndas vurdering av
dette. Et gebyr på 65 000 000 kroner anses nødvendig for å ha tilstrekkelig avskrekkende
effekt.
Nemnda bemerker at den ved utmålingen ikke har lagt vekt på at samtykkemekanismen er
endret, ettersom den nye tekniske løsningen ikke er vurdert av Datatilsynet og nemnda.
Nemnda forutsetter at Grindr innretter seg i tråd med de kravene personvernforordningen
stiller og som nemnda har redegjort for i denne saken.
Grindr får ikke medhold i klagen.
Konklusjon
Datatilsynets vedtak opprettholdes.
PVN PVN-2022-22 Side 24 av 24
Vedtaket er enstemmig.
Oslo, 27. september 2023
Mari Bø Haugstad
Leder