Brugerorganisationer forlanger supermarkedsanalyser af kvitteringer undersøgt

Forbrugerrådet vil have en kulegravning af supermarkedernes analyser på forbrugernes kvitteringsdata. Udmeldingen kommer efter Version2's artikler om, at Dansk Supermarked netop vil analysere kvitteringerne.

Når du sætter Dankortet i terminalen i Netto, bliver der knyttet en hash-værdi til din kvittering i Dansk Supermarkeds backend. Og det gør der også hos udbyderen af digitale kvitteringer, Storebox, som modtager kvitteringsdata, såfremt kunden er bruger hos StoreBox.

StoreBox oplyser, at man har dispensation til at behandle data på den måde, mens Dansk Supermarked oplyser, at der ikke behov for dispensation, da data ikke er personhenførbare.

Men den vurdering er formand for It-politisk forening Jesper Lund uenig i. Han mener tværtimod, at Dansk Supermarkeds kobling af data udledt af kortnummeret til kvitteringer er på kant med lov om betalingsmidlers paragraf 85 stk. 3.

Paragraffen opstiller en række betingelser, der skal være opfyldt, før der må ske behandling af oplysninger om, hvor betalerne har anvendt deres betalingsinstrumenter (eksempelvis betalingskort), og hvad de har købt.

Læs også: Dansk Supermarked vil datamine hash-værdien på din Føtex-kvittering

Og Jesper Lund mener ikke umiddelbart, Dansk Supermarked opfylder betingelserne.

»Nu sammenkæder de betalingsmidlet med oplysninger om, hvad du har købt. Og det er det, paragraf 85 stk. 3 siger, man ikke må. Medmindre man har fået en dispensation.«

Seniorøkonom i Forbrugerrådet Tænk Troels Hauer Holmberg har fulgt den generelle debat og dækning på Version2 om betalingskort, kvitteringer og en eventuel sammenkædning af disse. Her har flere læsere - blandt andet Jesper Lund - diskuteret dataindsamlingen i forhold til både lovlighed og privatliv.

Troels Hauer Holmberg vil ikke udtale sig konkret i forhold til, hvad Dansk Supermarked gør, men han mener, der er behov for en generel gennemgang af området.

»Der er blevet fremsat nogle meget alvorlige påstande i debatten om, hvad der sker med vores betalingsoplysninger, når vi har kørt kortet gennem terminalen i supermarkedet. Vi mener, der er brug for en tilbundsgående kulegravning af, hvad der sker lige nu, og hvad der tidligere er sket med vores betalingsoplysninger, så vi kan være trygge når vi betaler med kort. Efter vores vurdering er loven klar: Der må ikke ske behandling af vores betalingsoplysninger. Hashværdi eller ej,« skriver Troels Hauer Holmberg i en mail.

Læs også: Sådan fungerer Nets' setup til håndtering af digitale kvitteringer

Han oplyser, at Forbrugerrådet i første omgang vil tage fat i Forbrugerombudsmanden og se, om der kan blive lavet en undersøgelse.

Dansk Supermarked: Det er IKKE personhenførbare data

Hos Dansk Supermarked har Kim Kraglund svært ved at få øje på, at der skulle være noget fordækt ved virksomhedens kobling af hash-værdier og kvitteringer.

»For en god ordens skyld: Vi kan ikke henføre til nogen personer, og vi bruger det ikke endnu. Og vi har ikke nogen intentioner om at henføre det til nogen personer. Vi kan på anonym vis måle, om der kommer flere kort ind i en butik eller ej, men det er ikke noget, vi bruger til at give tilbud eller på anden måde lave segmentering i forhold til enkeltkunder, overhovedet,« siger han og fortsætter:

»Når vi engang kommer så langt, at vi skal snakke loyalitetskort (som i sagens natur er personhenførbare, red.), så kommer vi selvfølgelig til at henvende os til de relevante myndigheder for at være sikre på, at det, vi laver, er lovligt og i orden, det vil sige, at det kan forsvares både juridisk og etisk. Der er alle mulige overvejelser i forbindelse med det.«

Jesper Lund fra IT Politisk Forening giver umiddelbart ikke meget for argumentet om, at de kort-data, der ligger sammen med kvitteringsdata, ikke skulle være personhenførbare.

»Jeg mener helt klart, at de bruger oplysninger om betalingsmidlet til at registrere, hvad kunderne har købt. Ikke med navn og adresse, men på en måde, så de kan sammenkæde de enkelte boner, der principielt fremgår som kontantkøb, til en samlende profil af den enkelte kunde. Igen uden navn, men på en sådan måde, at hver gang jeg går ind i en butik hos Dansk Supermarked, så kan jeg blive genkendt.«

Læs også: Privacy-bekymring over privat virksomheds indsamling af kvitteringsdata

Hvordan kan du blive genkendt?

»Jeg må ikke overlade mit betalingskort til andre, så det bruges kun af en person,« siger Jesper Lund og peger på, at der de facto ikke er forskel på, om identifikationen sker i forhold til det enkelte kort eller en person.

Kim Kraglund peger på, at Dansk Supermarked af regnskabstekniske årsager er forpligtet til at opbevare bon-data i halvandet år, og at den enkelte kunde altså derudover ikke kan identificeres.

»I og med at vi af andre lovgivninger skal opbevare bonen halvandet år, og i og med, at den værdi, der står på bonen, ikke kan henføres til nogen personer, så har jeg godt nok svært ved at se, at det skulle være ulovligt,« siger han og tilføjer:

»Vi målretter ikke tilbud til forbrugere.«

Men det handler vel også om, hvorvidt I KAN målrette tilbud?

»Det kan vi ikke, vi kan ikke identificere den enkelte kunde ud fra det tal (hash-værdien, red.)«

Loyalitetsmodul og kvitteringsmodul er adskilte hos Storebox

En virksomhed, der også kobler entydige oplysninger til kvitteringsindhold, er Storebox. Virksomheden gør kvitteringer tilgængelige digitalt for tilmeldte brugere, så det eksempelvis er muligt at se købet af en lottokupon og en liter letmælk digitalt efter købet. StoreBox har tidligere oplyst, at virksomheden kun får data for brugere, der er tilmeldt tjenesten.

Og direktør Ivan Sandqvist oplyser desuden, at virksomheden har den fornødne dispensation i forhold til den lovgivning, der vedrører behandling af betalingsoplysninger.

I forhold til de konkrete bon-oplysninger, som Storebox-indsamler, så er de forbeholdt brugerne af sitet, understreger direktøren:

»Der er ingen kæder og ingen butikker, der har adgang til de data, de leverer til os.«

Af Storebox' hjemmeside fremgår det desuden, at virksomheden kan levere et produkt kaldet 'indsigt i købsadfærd', hvor det blandt andet fremgår, at man kan få et 'samlet overblik over en kunde på tværs af kanaler'. Altså på tværs af eksempelvis en fysisk forretning og en web-butik.

Dette produkt har dog ikke noget med de kvitteringsdata, Storebox indsamler, at gøre.

Ivan Sandqvist forklarer, at 'Indsigt i købsadfærd' relaterer sig til en platform for loyalitetprogrammer, som Storebox også udbyder til forretninger. Men det er et selvstændigt produkt, som en forretning kan anvende, og hvor butikskunderne skal skrives op selvstændigt, hvis de altså ønsker det.

»Kunden kan skrive sig op i det her loyalitetsprogram, og der er så nogle regler på området for, hvad man må gøre med de data. Men det har intet at gøre med kvitteringsløsningen, det er fuldstændig separate løsninger, og der er ikke nogen data, der går fra den ene til den anden. Det kræver en separat opskrivning til loyalitetsplatformen, hvis en butik ønsker at få en analyse af købsdata,« siger Ivan Sandqvist.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (2)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Bjarne Nielsen

Hvis vi lige ignorerer elefanten i rummet (lov om betalingsmidlers paragraf 85 stk. 3), så er der en anden interessant udtalelse:

For en god ordens skyld: vi kan ikke henføre til nogen personer, og vi bruger det ikke endnu. Og vi har ikke nogen intentioner om at henføre det til nogen personer.

Hvad en enkelt part evner eller gør eller planlægger har ikke nogen betydning for om data er personhenførbare eller ej. Hvis det er muligt (for nogen) at henføre data til personer, så er de personhenførbare.

Povl H. Pedersen

Hvis man ser i loven som der refereres til, så finder lov om behandling af personoplysninger anvendelse med undtagelser.

Stk. 3 siger: "Der må kun ske behandling af oplysninger om, hvor betalerne har anvendt deres betalingsinstrumenter, og hvad de har købt, ...."

Såfremt det ikke er muligt at knytte hash-værdien til en konkret person/betaler, så er behandlingen vel ikke ulovlig ? Og myndighederne har vel altid været i stand til at kunne få transaktionsoplysninger fra Nets, og bruge dem i daglivarehandlen ? Men dette er ikke en jura-side.

Og selv uden hashværdien, vil det vel teoretisk være muligt for PET at tjekke alle forhandlere af nitratrig gødning, få en Nets transaktionskode fra bon-data, og få Nets til at hjælpe med at finde bombemanden.

Før hash-værdien, så havde man 6 første + 4 sidste cifre fra bon-data, og dem har man endnu. Dette er ikke helt unikt, men nok til at man kan korrelere data data, og måske med AI ud fra indkøb opdele bon'erne på forskellige personer.

Jeg fik som test lavet et udtræk fra en større supermarkedskæde af alle kort der matchede mit på 6+4, med butikslokation og tidspunkt, og det gav sammenfald med sandsynligvis 3-4 andre kort over en måned (ud fra i hvilke butikker kortet var anvendt), og der var overlap mellem mig og andre i mindst en butik.

Når man bruger kort, så er man ikke anonym. Det er derfor der er grænser for hvor dyre ting man overhovedet må sælge kontakt (15.000 kr ?) jf noget hvidvaskningslovgivning. Det er fordi kortbetalinger er sporbare.

Hvis supermarkedet genkender kunder ud fra deres bon-data, også ved kontant betaling, er det så lovligt ? For der kan vi vel også snart være ? Rækkefølgen varerne kommer på båndet i, hastigheden hvormed de scannes kompenseret for den enkelte kassemedarbejder, og køen, frekvensen for køb af mælk, havregryn etc - Det kan vel altsammen bruges, når der er så mange andre timingsting der kan bruges, også på web og når cookies er slået fra.

Sagen er, man kan genkendes, specielt i supermarkeder hvor man kommer ofte og køber mange varer, og de samme gentagne gange. Både ved kortbetaling og kontantbetaling. Det er alene et spørgsmål om den indsats der skal gøres.

Ved fjernaflæsning af målere, så kan vandværket se om der er en ekstra person i husstanden (bistandsklient med overnattende gæster), hvor ofte man går på toilet eller tager bad, elselskabet kan også se noget om dig, og varme sammen med vand kan sikre at man ved om vandet går til vask eller andet. Der er dataindsamling over det hele. Og der er ingen der har tænkt over dette. Og det er først lige begyndt. Lovgivningen er der ikke endnu.

Jeg køber mange ting på Internet, så jeg lever med at en masse butikker ved en masse om mine indkøb. Jeg har en masse indkøb på eBay, Amazon.de, ProShop og andre steder, og PayPal har fulde bon'er på det meste på tværs af sælgere. Jeg lever med det. Men kan også se at jeg får målrettede annoncer fra mine forhandlere på 3die part sider, hvilket er irriterende når man har købt produktet. Men jeg lever med det. Sålænge jeg bare bliver behandlet som en anonym enhed i basen, så ser jeg ikke de store problemer. Risikoen er, at oplysningerne kommer ud, knyttet til mig som fysisk person. Så vil en kriminelle kunne bruge det til at se om jeg har noget spændende, eller hvilken type alarm jeg har etc. Om der er 2 eller 5 liter mælk i køleskabet er vel lige meget.

Log ind eller Opret konto for at kommentere
Pressemeddelelser

Welcome to the Cloud Integration Enablement Day (Bring your own laptop)

On this track, we will give you the chance to become a "Cloud First" data integration specialist.
15. nov 2017

Silicom i Søborg har fået stærk vind i sejlene…

Silicom Denmark arbejder med cutting-edge teknologier og er helt fremme hvad angår FPGA teknologien, som har eksisteret i over 20 år.
22. sep 2017

Conference: How AI and Machine Learning can accelerate your business growth

Can Artificial Intelligence (AI) and Machine Learning bring actual value to your business? Will it supercharge growth? How do other businesses leverage AI and Machine Learning?
13. sep 2017
Jobfinder Logo
Job fra Jobfinder