B 95 - svar på spm. 15 om regeringens syn på, om de sociale medier i tilstrækkelig grad tager hensyn til GDPR-reglerne om samtykke og alderskravet for afgivelse af samtykke

Stormgade 2-6
1470 København K
Telefon 72 28 24 00
digmin@digmin.dk
Svar på spørgsmål fra Lisbeth Bech-Nielsen (SF) stillet den 25. februar 2025.
Spørgsmål nr. 15:
”Vil ministeren redegøre for regeringens syn på, om de sociale medier i tilstrækkelig grad ta-
ger hensyn til GDPR-reglerne om samtykke og alderskravet for afgivelse af samtykke, når man
i dag omgår det ved at indgå kontrakter med børnene i stedet, jf. Det Europæiske Databeskyt-
telsesråds afgørelse mod Meta om et forbud mod behandling af personoplysninger til brug for
adfærdsbaseret markedsføring.”
Svar:
Til brug for besvarelsen har jeg indhentet bidrag fra Justitsministeriet, som oplyser følgende:
”1. Justitsministeriet skal indledningsvist bemærke, at Det Europæiske Databeskyttelsesråds
(EDPB) afgørelse af 27. oktober 2023 handler om, at Meta overtrådte GDPR ved at behandle
personoplysninger til adfærdsbaseret markedsføring på baggrund af behandlingsgrundlagene
”kontrakt” og ”interesseafvejning”. EDPB lagde vægt på, at behandlingen ikke var nødvendig
for at opfylde kontrakten mellem Meta og brugeren, og at Metas interesse i at behandle op-
lysningerne ikke oversteg brugernes interesse i, at behandlingen ikke skete.
Afgørelsen har således ikke direkte betydning for selve brugeroprettelsen – herunder børns
brugeroprettelse – på sociale medier. Det skyldes, at afgørelsen forholder sig til behandling af
personoplysninger til den form for adfærdsbaseret markedsføring, dvs. målrettede reklamer
på baggrund af indsamling af oplysninger om den enkelte brugers aktiviteter på internettet,
som sagen handlede om. Afgørelsen vil således alene få betydning for en brugeroprettelse –
herunder børns brugeroprettelse – på et socialt medie, hvis brugeroprettelsen er betinget af,
at brugeren tillader adfærdsbaseret markedsføring.
Som det fremgår nedenfor oplyser Datatilsynet, at Meta efter EDPB’s afgørelse har indført en
såkaldt ”consent or pay-model”, som indebærer, at en bruger enten skal samtykke til behand-
ling af personoplysninger til brug for adfærdsbaseret markedsføring eller betale for sin brug af
tjenesten og dermed undgå markedsføring. Senest har Meta den 12. november 2024 annon-
ceret, at Meta har ændret sin ”consent or pay”-model, således at der nu kan vælges mellem
tre muligheder, når man bruger Metas tjenester:
1) gratis adgang med adfærdsbaseret markedsføring,
2) gratis adgang med annoncering, der i mindre grad vil være tilpasset den enkelte bruger
og derved baseret på færre personoplysninger, eller
3) betaling for brug af tjenesterne mod helt at undgå annoncering.
Det bemærkes, at følgende fremgår af Metas hjemmeside under ”Om annoncering til teen-
agere”:
Sagsnr.
2024 - 3374
Doknr.
123831
Dato
19-03-2025
Folketingets Udvalg for Digitalisering og It
Offentligt
B 95 - endeligt svar på spørgsmål 15
Udvalget for Digitalisering og It 2024-25
2
”Annoncer med lokationer i EU, EØS eller Schweiz kan ikke leveres til målgrup-
per under 18 (siden november 2023). Annoncer med disse lokationer bliver
fortsat leveret til målgrupper over 18 år.”
For en nærmere beskrivelse af EDPB’s afgørelse af 27. oktober 2023 og det efterfølgende for-
løb henvises til Datatilsynets udtalelse herom nedenfor.
2. For så vidt angår børns brugeroprettelse på sociale medier kan Justitsministeriet oplyse, at
enhver behandlingsaktivitet skal have et såkaldt behandlingsgrundlag. Det betyder også, at
man skal vurdere eksempelvis behandlingsaktiviteten brugeroprettelse og behandlingsaktivi-
teten adfærdsbaseret markedsføring, jf. ovenfor, særskilt.
Det er vurderingen, at sociale medier kan pege på følgende to behandlingsgrundlag, når de
behandler personoplysninger såsom navn og alder i forbindelse med en brugeroprettelse:
− databeskyttelsesforordningens artikel 6, stk. 1, litra a (den registrerede har givet sam-
tykke til behandlingen)
− databeskyttelsesforordningens artikel 6, stk. 1, litra b (behandlingen er nødvendig af
hensyn til opfyldelsen af en kontrakt med den registrerede).
For så vidt angår samtykke følger det af databeskyttelseslovens § 6, at et barn ikke kan give
samtykke til at få behandlet personoplysninger på eksempelvis sociale medier, hvis barnet er
under 15 år. Barnets forældre vil dog kunne give samtykke til en sådan behandling på barnets
vegne.
For så vidt angår kontrakt, så henviser sociale medier ofte til, at behandling af personoplys-
ninger som led brugeroprettelse – hvor brugerne stiller navn og alder mv. til rådighed – sker
af hensyn til opfyldelsen af en kontrakt med brugerne.
Det skal hertil oplyses, at der kun kan henvises til databeskyttelsesforordningens artikel 6, stk.
1, litra b (kontrakt), som behandlingsgrundlag, hvis det reelt er nødvendigt at behandle de på-
gældende oplysninger til brug for opfyldelsen af en kontrakt. Det var bl.a. det, der blev ud-
slagsgivende for, at EDPB i sin afgørelse af 27. oktober 2023 kom frem til, at Meta ikke kunne
behandle personoplysninger til brug for adfærdsbaseret markedsføring på baggrund af en
kontrakt. EDPB lagde således vægt på, at behandlingen (den adfærdsbaserede markedsføring)
ikke var nødvendig for at opfylde kontrakten mellem Meta og brugeren.
Spørgsmålet om, hvorvidt et barn kan indgå en gyldig kontrakt reguleres imidlertid ikke af da-
tabeskyttelsesreglerne, men af aftaleretlige regler. Regeringen er derfor i øjeblikket ved at un-
dersøge, om der indenfor for EU-rettens rammer kan fastsættes en aldersgrænse på f.eks. 15
år for, hvornår sociale medier kan indgå kontrakter med børn.
3. Det bemærkes afslutningsvist, at den endelige vurdering af lovligheden af en behandling af
personoplysninger vil bero på en konkret vurdering, og at klager over overtrædelser af data-
beskyttelsesreglerne kan indgives til Datatilsynet.
4. Justitsministeriet har til brug for besvarelsen endvidere indhentet en udtalelse fra Datatil-
synet, der har oplyst følgende:
”1. Datatilsynet er ikke bekendt med, hvilke ændringer Meta måtte have fore-
taget som følge af, at Danmark hævede aldersgrænsen for samtykke til 15 år
pr. 1. januar 2024. For så vidt angår Meta er det det irske datatilsyn (DPC), der
er den såkaldte ”ledende tilsynsmyndighed” i henhold til databeskyttelsesfor-
ordningen. Det vil sige, at det er DPC, der har hovedansvaret for at føre tilsyn
med Meta.
Datatilsynet kan oplyse, at tilsynet i januar 2024 modtog en henvendelse fra Børns Vil-
kår, hvori det bl.a. anførtes, at en række sociale medier, herunder dem, som er ejet af
3
Meta, ikke overholdt aldersgrænsen på 15 år. Datatilsynet svarede bl.a., at – når det
kommer til selve oprettelsen af en profil – som sociale medier baserer på en kontrakt
med børnene – kan de sociale medier godt have en aldersgrænse, som er lavere end
aldersgrænsen for samtykke, forudsat at barnet gyldigt kan indgå en kontrakt. Der hen-
vises nærmere til det vedhæftede svar til Børns Vilkår, som også blev sendt til Justits-
ministeriet.
Datatilsynet har derudover foretaget en søgning i tilsynets elektroniske sagsbehand-
lingssystem og ses på den baggrund ikke at have modtaget nogen andre henvendelser
vedrørende manglende overholdelse af aldersgrænsen.
2. Datatilsynet har i det følgende alene forholdt sig til sagsforløbet vedrørende Det Eu-
ropæiske Databeskyttelsesråds (EDPB) afgørelser rettet mod det irske datatilsyn (DPC)
om Metas valg af behandlingsgrundlag for brug af adfærdsbaseret markedsføring og
EDPB’s udtalelse om brugen af såkaldte ”consent or pay”-modeller.
Datatilsynet kan oplyse, at det for så vidt angår Meta er DPC, der er den såkaldte ”le-
dende tilsynsmyndighed” i henhold til databeskyttelsesforordningen. Det vil sige, at
det er DPC, der har hovedansvaret for at føre tilsyn med Meta.
Den 31. december 2022 traf DPC afgørelse i to sager vedrørende Meta, hvori DPC kon-
kluderede, at Meta ikke havde hjemmel til at behandle personoplysninger om brugere
med henblik på at lave adfærdsbaseret markedsføring. Meta gjorde gældende, at de
havde hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra b (kontraktfor-
hold), til behandlingen. Afgørelserne blev truffet på baggrund af to bindende afgørel-
ser af 5. december 2022 fra EDPB. Meta valgte herefter at ændre sit grundlag til be-
handlingen til artikel 6, stk. 1, litra f (interesseafvejning).
Det norske datatilsyn besluttede herefter at nedlægge midlertidigt forbud mod Metas
behandling af personoplysninger om norske brugere og anmodede i den forbindelse
om en bindende afgørelse fra EDPB, der skulle beslutte, om Meta kunne bruge databe-
skyttelsesforordningens artikel 6, stk. 1, litra f, som hjemmel til behandlingen af per-
sonoplysninger om sine brugere til brug for adfærdsbaseret markedsføring.
Den 27. oktober 2023 traf EDPB afgørelse i sagen og instruerede DPC i at nedlægge for-
bud mod Metas behandling af personoplysningerne på baggrund af bl.a. artikel 6, stk.
1, litra f.
DPC traf afgørelse den 10. november 2023 i overensstemmelse med EDPB’s afgørelse.
Meta ændrede herefter på ny sit grundlag for behandlingen til databeskyttelsesforord-
ningens artikel 6, stk. 1, litra a (samtykke), og indførte i den forbindelse den såkaldte
”consent or pay”-model, som indebar, at man som bruger kunne vælge mellem at sam-
tykke til at modtage adfærdsbaseret markedsføring eller at betale for at undgå mar-
kedsføring.
EDPB vedtog den 17. april 2024 en udtalelse vedrørende netop ”consent or pay”-mo-
deller, hvori man bl.a. opfordrede til, at der i sådanne modeller tilbydes et tredje gratis
alternativ, der i højere grad beskytter brugernes privatliv.
Meta annoncerede den 12. november 2024, at man havde foretaget ændringer i sin
”consent or pay”-model, således at det – ud over muligheden for enten at samtykke til
at modtage adfærdsbaseret markedsføring eller at betale for at undgå markedsføring –
vil være muligt at vælge at bruge Metas tjenester gratis og samtidig modtage annoncer
baseret på færre personoplysninger end hidtil. Der vil derfor være tre muligheder, når
man bruger Metas tjenester: 1) gratis adgang med adfærdsbaseret markedsføring, 2)
gratis adgang med annoncering, der i mindre grad vil være tilpasset den enkelte bruger
4
og derved baseret på færre personoplysninger, og 3) betaling for brug af tjenesterne
mod helt at undgå annoncering.
Det vil først og fremmest være DPC, der som ledende tilsynsmyndighed vil skulle tage
stilling til den beskrevne model, men Datatilsynet vil – sammen med de øvrige euro-
pæiske tilsynsmyndigheder – blive inddraget i eventuelle undersøgelser eller foran-
staltninger, som DPC måtte finde anledning til at iværksætte i den forbindelse.””
Med venlig hilsen
Caroline Stage
Bilag:
Bilag 1 – Brev til Børns Vilkår


J.nr. 2024-45-0098
Dok.nr. 587499
Sagsbehandler
Kenni Elm Olsen
Datatilsynet
Carl Jacobsens Vej 35
2500 Valby
T 3319 3200
dt@datatilsynet.dk
datatilsynet.dk
CVR 11883729
Børns Vilkår
Trekronergade 26
2500 Valby
Sendt til: svr@bornsvilkar.dk
Børns Vilkårs henvendelse om en række sociale medier
1. Børns Vilkår har rettet henvendelse til Datatilsynet om en række forskellige sociale mediers
(Meta, TikTok, Google, X og Snap Inc.) behandling af oplysninger om børn.
Børns Vilkår oplyser i henvendelsen, at de sociale medier ikke overholder de nationalt fastsatte
aldersgrænser, herunder aldersgrænsen i den danske databeskyttelseslov, som gælder for
samtykke i forbindelse med udbud af informationssamfundstjenester direkte til børn. Børns
Vilkår har også påpeget, at børn, som følge af at de er umyndige, ikke kan indgå en kontrakt
med de sociale medier.
Børns Vilkårs henvendelse har været behandlet på et møde i Datarådet.
Datatilsynet er enig med Børns Vilkår i, at det er vigtigt, at oplysninger om børn behandles i
overensstemmelse med databeskyttelsesreglerne, herunder at der passes ordentligt på oplys-
ningerne. Børn skal efter databeskyttelsesreglerne have en særlig beskyttelse, fordi de ofte er
mindre bevidste om de risici og konsekvenser, der kan være forbundet med behandling af
personoplysninger.
2. Datatilsynet kan i anledning af henvendelsen oplyse, at behandling (brug) af personoplys-
ninger henhold til databeskyttelsesforordningens artikel 6, stk. 1, er lovlig, hvis og i det omfang
mindst ét af forholdene i bestemmelsens litra a-f, gør sig gældende.
Det følger af databeskyttelseslovens § 6, stk. 2, at hvis databeskyttelsesforordningens artikel
6, stk. 1, litra a (samtykke), finder anvendelse i forbindelse med udbud af informationssam-
fundstjenester direkte til børn, er behandling af personoplysninger om et barn lovlig, hvis bar-
net er mindst 15 år.
De nævnte sociale medier er alle informationssamfundstjenester og er derfor omfattet af an-
vendelsesområdet for databeskyttelseslovens § 6, stk. 2, og tilsvarende bestemmelser i andre
lande.
Udbuddet af en informationssamfundstjeneste vil ofte indebære en flerhed af behandlingsak-
tiviteter (formål). En af disse behandlingsaktiviteter er muligheden for at oprette en profil, in-
teragere med andre brugere mv. Andre formål kan være modtagelse af personaliseret mar-
kedsføring, bekæmpelse af svig mv. I visse tilfælde vil disse behandlingsaktiviteter have et
29. april 2024
Offentligt
B 95 - endeligt svar på spørgsmål 15
Udvalget for Digitalisering og It 2024-25
Side 2 af 2
overlap, f.eks. hvis man i forbindelse med oprettelsen af en profil bliver præsenteret for mulig-
heden for at give samtykke til personaliseret markedsføring.
Enhver behandlingsaktivitet skal som nævnt have et grundlag i databeskyttelsesforordningens
artikel 6, stk. 1, litra a-f, men grundlaget er ikke nødvendigvis det samme.
Det er i den forbindelse vigtigt at være opmærksom på, at aldersgrænsen for samtykke på 15
år, som gælder i Danmark, kun finder anvendelse, hvis der er tale om formål eller behand-
lingsaktiviteter, som (skal) baseres på et samtykke i henhold til databeskyttelsesforordningens
artikel 6, stk. 1, litra a.
De nævnte sociale medier behandler som led i den behandlingsaktivitet, som består i opret-
telse af en profil, imidlertid almindeligvis ikke personoplysninger på baggrund af børnenes
samtykke. Disse sociale medier henviser i stedet til, at oplysningerne behandles af hensyn til
opfyldelsen af en kontrakt – de nævnte sociale mediers servicevilkår – med børnene. Grund-
laget for behandling er i disse tilfælde databeskyttelsesforordningens artikel 6, stk. 1, litra b.
Aldersgrænsen for børns samtykke har derfor ikke nødvendigvis betydning for børns generelle
adgang til de nævnte sociale medier. En dom fra EU-Domstolen i sommeren 2023 (Bunde-
skartellamt) og en række nyere afgørelser fra EDPB over for bl.a. Meta har fastslået, at visse
typer af personaliseret markedsføring, som var omdrejningspunktet i sagerne, ikke kunne ske
på baggrund af artikel 6, stk. 1, litra b og/eller f. Sådanne typer af personaliseret markedsføring
kan på baggrund af denne udvikling i praksis formentlig kun ske på baggrund af et samtykke.
Når det kommer til selve oprettelsen af en profil, som de nævnte sociale medier som nævnt
baserer på en kontrakt med børnene, kan de sociale medier således godt have en alders-
grænse, som er lavere end aldersgrænsen for samtykke – forudsat at barnet gyldigt kan indgå
en kontrakt.
Spørgsmålet om, hvorvidt et barn kan indgå en gyldig kontrakt reguleres ikke af databeskyt-
telsesreglerne, men af aftaleretlige regler. Datatilsynet har en vis begrænset mulighed for at
påse, at der eksisterer en kontrakt, men det falder udenfor tilsynets kompetence at foretage
en mere dybdegående fortolkning og vurdering af eventuelt indgåede aftaler.
Datatilsynet vil i forlængelse af Børns Vilkårs henvendelse indgå i en dialog med Justitsmini-
steriet, som er ressortmyndighed for bl.a. værgemålsloven, omkring børns adgang til at indgå
aftaler, herunder acceptere sociale mediers servicevilkår.
Uanset hvilken aldersgrænse et socialt medie (lovligt) måtte have valgt, skal mediet – også
som følge af databeskyttelsesforordningens artikel 25 om databeskyttelse gennem design og
databeskyttelse gennem standardindstillinger – indføre passende foranstaltninger for at sikre,
at den valgte grænse overholdes, f.eks. relevante aldersverifikationsmekanismer.
Det bemærkes i den forbindelse, at der i forhold til spørgsmålet om aldersverifikation pågår en
række aktiviteter herom både nationalt og i EU, herunder i regi af Det Europæiske Databeskyt-
telsesråd.
Datatilsynet forventer at offentliggøre dette brev på tilsynets hjemmeside.
Med venlig hilsen
Kenni Elm Olsen