Retningslinjer for indsamling og behandling af personoplysning

1. Formål
Disse retningslinjer fastsætter M4M Holding ApS’ (herefter: M4M) og annoncørers og mediebureauers (herefter: Indkøberen) rettigheder og forpligtelser ved behandling af ​​personoplysninger i forbindelse med Annoncering fra digitale tjenester ejet af M4M. Retningslinjerne gælder for alle aktiviteter i forbindelse med placering af Annoncer hos M4M foretaget af Indkøberen.

Retningslinjerne fastsætter ansvarsfordelingen mellem M4M og Indkøberen (i fællesskab: Parterne) i forbindelse med, at Parterne i fællesskab fastlægger formål med og hjælpemidlerne til behandling af personoplysninger til brug for Indkøberens annoncering på M4M-sites.

Når Indkøberen køber Annoncering hos M4M, er Indkøberen ansvarlig for at overholde forpligtelserne i disse retningslinjer. Dette indebærer blandt andet, at Indkøberen sikrer, at dennes datterselskaber, kunder samt anvendte tredjepartsteknologier overholder retningslinjerne.

Disse retningslinjer har forrang ift. alle andre aftaler, der måtte være indgået mellem M4M og Indkøberen, fx økonomiske rammeaftaler for annoncekøb.

2. Definitioner
”Annonce” eller ”Annoncering” er et kommercielt budskab til offentliggørelse og udbredelse via digitale kanaler.

“M4M-bruger” er en bruger af enhver digital tjeneste udbudt af M4M.

“M4M-id” er et cookiebaseret id sat på anonyme M4M-brugere, der har givet samtykke til cookies og databehandling på et M4M-site, fx Ekstra Bladet, hvor dette id hedder ‘ebid’. M4M-id’er bruges til at indsamle M4M-data samt til kampagnestyring.

“M4M-data” er alle dataelementer eller segmenter, der kontrolleres eller leveres af M4M (også kaldet førstepartsdata) fx gennem dataplatformen Relevance.

”M4M-sites” er alle helt eller delvist ejede nyhedswebsites og apps som udbydes af M4M, herunder, men ikke begrænset til, ekstrabladet.dk, politiken.dk, jyllandsposten.dk, finans.dk.

”Personoplysninger” og “dataansvarlig” har samme betydning som defineret i databeskyttelsesforordningens artikel 4, nr. 1 og nr. 8.

3. Fælles dataansvar
Efter databeskyttelsesforordningens artikel 26 foreligger der et fælles dataansvar, når to eller flere dataansvarlige i fællesskab fastlægger formålene med og hjælpemidlerne til behandling af personoplysninger.

Når der foreligger et fælles dataansvar, skal de fælles dataansvarlige på en gennemsigtig måde fastlægge deres respektive ansvar for overholdelse af forpligtelserne i henhold til databeskyttelsesforordningen, navnlig hvad angår udøvelse af den registreredes rettigheder og deres respektive forpligtelser til at fremlægge de oplysninger, der er omhandlet i artikel 13 og 14, ved hjælp af en ordning imellem dem, medmindre og i det omfang de dataansvarliges respektive ansvar er fastlagt i EU-ret eller medlemsstaternes nationale ret, som de dataansvarlige er underlagt.

Ordningen skal efter databeskyttelsesforordningens artikel 26, stk. 2, på behørig vis afspejle de fælles dataansvarliges respektive roller og forhold til de registrerede. Det væsentligste indhold af ordningen skal ligeledes gøres tilgængeligt for de registrerede.

Den registrerede kan dog, uanset ordningens udformning, udøve sine rettigheder i medfør af databeskyttelsesforordningen med hensyn til og over for den enkelte dataansvarlige.

Den interne ansvarsfordeling i retningslinjerne hindrer ligeledes ikke, at tilsynsmyndigheden kan udøve sine beføjelser overfor begge Parter hver for sig.

Parterne er enige om, at der i forbindelse med Indkøberens Annoncering på M4M-sites foreligger et fælles dataansvar. Ved vurderingen heraf er der bl.a. lagt vægt på, at M4M giver Indkøberen mulighed for ved hjælp af egne eller af tredjepartsteknologier at indsamle personoplysninger om M4M-brugere. M4M har herved på afgørende vis indflydelse på indsamling og transmission af personoplysninger om M4M-brugere til Indkøberen og fastlægger derved sammen med Indkøberen formålene med og hjælpemidlerne til disse behandlingsoperationer. Det er derimod Indkøberen, der fastlægger til hvilke formål og med hvilke hjælpemidler personoplysningerne efterfølgende behandles. Parterne er således fælles dataansvarlige for indsamling og transmission af personoplysninger om M4M-brugere på M4M-sites.

Disse retningslinjer er udarbejdet med henblik på at fastlægge Parternes respektive rettigheder og forpligtelser som forudsat i databeskyttelsesforordningens artikel 26.

4. Overordnet ansvarsfordeling
Når M4M sælger Annoncering på M4M-sites, muliggør M4M, at Indkøberen kan indsamle og behandle personoplysninger om M4M-brugere. Dette sker ved, at M4M har implementeret Indkøberens eller tredjeparters teknologi på M4M-sites samt tillader, at Indkøberen indrykker Annoncer på M4M-sites, hvori der er implementeret teknologi, der kan indsamle personoplysninger.

Ved indrykning af Annoncering på M4M-sites gør Indkøberen brug af egne eller af tredjepartsteknologier til at indsamle og behandle personoplysninger. Behandlingen foretages for at kunne levere og målrette Annonceringen samt måle effekten heraf. Indkøberen kan også behandle personoplysningerne med henblik på profilering af M4M-brugere. Det er Indkøberen alene, der fastlægger formålene med og hjælpemidlerne til behandling af personoplysningerne efter, at disse er blevet transmitteret til Indkøberen.

M4M er ansvarlig for at sikre, at der foreligger et gyldigt behandlingsgrundlag for behandling af personoplysninger om M4M-brugere, samt at M4M-brugerne modtager information om behandlingsaktiviteten.

Indkøberen er ansvarlig for at sikre, at den øvrige behandling af personoplysninger sker i overensstemmelse med databeskyttelsesforordningen og databeskyttelsesloven, herunder bl.a. at de grundlæggende principper i databeskyttelsesforordningens artikel 5 overholdes, samt at de registreredes øvrige rettigheder iagttages.

5. Principper og behandlingshjemmel
M4M er ansvarlig for, at der etableres et behandlingsgrundlag for Parternes behandling af personoplysninger samt at kunne dokumentere dette over for tilsynsmyndigheden. Dette gælder både for den indsamling og behandling, der finder sted på M4M-sites, hvor Indkøberen i forbindelse med Annoncering – enten selvstændigt via egne teknologier eller ved at benytte tredjepartsteknologier – indsamler og behandler personoplysninger, samt for Indkøberens efterfølgende behandling.

For at overholde sin forpligtelse efter pkt. 5 har M4M implementeret en Consent Management Platform (“CMP”), der iagttager IAB’s Transparency and Consent Framework (“IAB TCF”) politikker, hvorved M4M kan indhente samtykke fra M4M-brugere og formidle dette samtykke til Indkøberen.

Indkøberen er forpligtet til i videst muligt omfang at benytte første- eller tredjepartsteknologier og samarbejdspartnere, som er tilsluttet IAB TCF, og som kan modtage og læse den samtykkeinformation, som genereres via M4M’s CMP (“consent string”). Som udgangspunkt kræves samtykke til alle formål, dog accepteres legitim interesse som behandlingsgrundlag for formål, der ikke involverer profilering af og målretning mod brugere. Samtykkeinformationen skal respekteres; der må ikke indsamles personoplysninger om M4M-brugere uden behandlingsgrundlag.

Indkøberen skal på forlangende oplyse M4M om samtlige formål med dataindsamlingen samt om samtlige teknologier, Indkøberen anvender til indsamling og behandling af personoplysninger. Dette sker med henblik på at give M4M mulighed for at tilvejebringe det fornødne behandlingsgrundlag.

Parterne er hver især ansvarlige for at overholde de grundlæggende principper for behandling af personoplysninger i databeskyttelsesforordningens artikel 5 for så vidt angår Parternes respektive ansvarsområder ifølge disse retningslinjer.

I forbindelse med Annoncering på M4M-sites kan Indkøberen udelukkende gøre brug af oplysninger til nedenstående formål, der følger IAB’s TCF, og på baggrund af de nævnte behandlingsgrundlag i forbindelse med den tekniske levering, målretning og effektmåling af Annonceringen. Hvis Indkøberen gør brug af et andet behandlingsgrundlag end samtykke, skal der redegøres herfor, jf. pkt. 7. IAB TCF’s politikker og formål fremgår af følgende link: https://iabeurope.eu/iab-europe-transparency-consent-framework-policies/