GDPR: Annonsørforeningen krever avklaring fra Google

GDPR stiller krav til avklaringer om behandlingsansvar og informasjonsplikt overfor forbrukere når norske annonsører bruker Google sine annonseringstjenester i markedsføring. Annonsørforeningen (ANFO) har engasjert Ræders spesialist på personvern, advokat Vebjørn Søndersrød, til å få klarhet i hvilke ansvarsområder som må avklares med Google. Hvordan skal norske annonsører forholde seg til Google sine annonseringstjenester ved implementeringen av GDPR?

Kort fattet gjelder kravene og problemene

-for lite informasjon. ANFO synes informasjonen fra Google er mangelfull i spørsmålet om det er Google eller norske annonsører som har plikt til å innhente samtykke for de ulike Google-tjenestene som brukes i markedsføring overfor norske forbrukere (sluttbrukere). Det er nødvendig at Google snarest kommer på banen med informasjon om hvilke personopplysninger som behandles i Googles tjenester, hva opplysningene brukes til, hvorvidt de utleveres til tredjeparter samt hvor lenge de lagres.

-avklaring på hvorvidt det er Google eller norske annonsører som er behandlingsansvarlig for den datainnhenting Google bruker annonseringstjenestene sine på. Hvilke kilder henter Google disse personopplysningene fra? Søndersrød påpeker at dersom den norske annonsøren er ansvarlig, må det skrives databehandleravtale med Google. Likevel vil annonsøren ha informasjonsplikt overfor sine sluttbrukere. Dersom Google er behandleransvarlig, må annonsøren sikre at de har et rettslig grunnlag til å levere ut personopplysninger om sluttbruker til Google.

-vingling fra Google sitt hold. Google har nylig uttalt at behandlingsansvaret er delt mellom Google og annonsør for noen annonseringstjenester (Google DFP, DoubleCLick, Ad Exchange, AdMob, ADSense). Andre uttalelser går i retning av at Google alene er behandlingsanasvarlig. Hvilken løsning er etter Googles oppfatning riktig, og hvorfor?

GDPR har allerede trådt i kraft i Europa og forventes å tre i kraft i Norge i juli eller august 2018.