Virksomheds krav om udlevering af CPR-nummer var i strid med god markedsføringsskik

For at få adgang til en virksomheds wellness-afdeling skulle besøgende vise sundhedskort til en ansat hos virksomheden. Den ansatte førte kortet gennem en læser for at se, om den besøgende stod på en ”sortliste”, hvorefter kortet blev tilbageleveret. Virksomheden gemte kun oplysningerne i systemet, hvis den besøgende blev sat på sortlisten, og læseren registrerede kun navn og adresse, ikke CPR-nr. Denne praksis blev indført, fordi virksomheden tidligere havde haft store problemer med nogle enkelte besøgende.

Det var Forbrugerombudsmandens vurdering, at virksomhedens fremgangsmåde svarede til, at virksomheden anmodede om at få de besøgendes CPR-nummer oplyst, selvom virksomheden ikke lagrede CPR-numrene i virksomhedens IT-system, fordi de besøgende skulle udlevere sundhedskortet, hvoraf CPR-nummeret tydeligt fremgår, til en ansat.

Spørgsmålet om, hvorvidt en virksomhed kan kræve CPR-nummer som betingelse for at indgå en aftale, er reguleret af god skik-bestemmelsen i markedsføringslovens § 3, som Forbrugerombudsmanden fører tilsyn med. Det er Forbrugerombudsmandens praksis efter denne bestemmelse, at en virksomhed, der ikke efter loven er forpligtet til at indhente forbrugerens CPR-nummer, skal have et sagligt og relevant formål med at anmode om det. Forbrugerombudsmanden lægger blandt andet vægt på, om administrative og praktiske forhold taler for, at virksomheden beder om CPR-nummeret, og om formålet relativt nemt kan opnås på anden måde.

Selvom der var et relevant hensyn at tage til beskyttelsen af virksomhedens medarbejdere og faciliteter, måtte dette hensyn i sagen vige for hensynet til beskyttelsen af forbrugernes fortrolige oplysninger. Dette gælder særligt, når formålet (krydstjek af besøgende for at se, om de fremgår af ”sortlisten”) kunne opnås på mindre indgribende vis end ved krav om fremvisning af sundhedskort til en ansat, fx ved krav om at fremvise id, der ikke indeholder CPR-nummer. På denne baggrund var det Forbrugerombudsmandens vurdering, at virksomheden havde handlet i strid med markedsføringslovens § 3.

Virksomheden ændrede herefter fremgangsmåden, så de besøgende fremadrettet selv skulle indlæse sundhedskort i læsere, der udelukkende registrerede navn og adresse. På denne baggrund afsluttede Forbrugerombudsmanden sagen.