Aldersverifikation og GDPR: hvilke data behøver webshoppen?

Webshoppen kan ofte træffe sin beslutning ud fra, om kunden opfylder den relevante minimumsalder. Det er ikke i sig selv nødvendigt at modtage en fuld fødselsdato eller en kopi af et identitetsdokument. EDPB beskriver netop et aldersresultat fra en tredjepart som en mulig måde at begrænse oplysningerne hos tjenesten på. Se EDPB’s principper for alderskontrol.

Det konkrete dataflow afhænger af løsningen. Skeln mellem det, MitID og de involverede leverandører behandler, det, integrationen returnerer, og det, webshoppen gemmer. Læs introduktionen til aldersverificering med MitID, hvis I først skal vælge integrationsvej.

Et resultat kan være en personoplysning, selv om det ikke indeholder navn eller CPR-nummer. Kan webshoppen knytte resultatet til en identificerbar kunde gennem en ordre, konto eller anden information, skal det vurderes i den sammenhæng. Datatilsynet forklarer dette i vejledningen om personoplysninger.

Beskriv derfor ikke et flow som anonymt alene, fordi svaret består af et resultat og en teknisk identifikator. Kortlæg også, hvilke andre oplysninger modtageren har adgang til.

Fastlæg, hvorfor hver behandling er nødvendig, og hvilket behandlingsgrundlag der gælder. Et krav om alderskontrol giver ikke automatisk grundlag for enhver ekstra oplysning eller senere anvendelse. Vurder grundlaget efter GDPR artikel 6 for den konkrete behandling.

Den dataansvarlige bestemmer formål og væsentlige hjælpemidler; en databehandler behandler oplysninger på den dataansvarliges vegne. Leverandørens rolle skal vurderes ud fra den faktiske opgave. Hvis der er en databehandlerkonstruktion, skal I have en databehandleraftale og følge op på den. Se Datatilsynets vejledning om rollefordeling.

Et teknisk svar, som bruges til at validere et køb, og dokumentation, som gemmes bagefter, har forskellige formål. Beskriv for hvert formål, hvilke oplysninger I behøver, hvem der har adgang, og hvornår oplysningerne slettes eller anonymiseres. Der er ikke én fælles slettefrist i GDPR for alle alderstjek; behovet skal vurderes konkret. Se Datatilsynets grundlæggende principper.

I UNQVerifys dokumentation returneres et signeret token, som skal valideres. Browserens visning af et godkendt resultat kan ikke erstatte kontrollen på serveren. Følg guiden til validering af resultatet. Dokumentationen beskriver den tekniske anvendelse; den fastlægger ikke i sig selv jeres opbevaringsgrundlag.

Som praktisk gennemgang: undersøg, om hele tokens bliver kopieret til ordrenoter, supporthenvendelser eller analyseværktøjer. Registrér fundene og vurder, om den enkelte kopi er nødvendig. Brug testidentiteter under gennemgangen.

Forklar ved alderstjekket, hvorfor kontrollen sker, og gør oplysninger om databehandlingen let tilgængelige. Kunden skal blandt andet kunne finde formål, behandlingsgrundlag, modtagere, opbevaring, rettigheder og kontaktoplysninger. Beskriv det faktiske flow i jeres egen webshop. Se Datatilsynets vejledning om oplysningspligt.

En kort forklaring ved knappen kan lede videre til den uddybende privatlivsinformation. Kundens godkendelse i MitID bør ikke beskrives som et generelt GDPR-samtykke til andre formål.

Denne gennemgang handler om persondata. Brug guiden til alderskontrol ved onlinesalg af alkohol eller guiden til tobak, nikotin og e-cigaretter til at afklare varekravene. Læs også, hvad der kendetegner et effektivt elektronisk alderskontrolsystem.

Når krav og dataflow er afklaret, kan I se løsningen til alkoholwebshops eller 18-årstjek til tobak og nikotin.