Bolag inom Bonnierkoncernen har samlat in personuppgifter från kunder och webbesökare genom bland annat webbkakor. Uppgifterna har sedan förts över till koncerngemensamma databaser där profiler skapats om enskilda personer i marknadsföringssyfte. Behandlingen har bland annat omfattat uppgifter om hur internetvändare surfat på Bonnierkoncernens webbplatser samt uppgifter om köp som gjorts i olika koncernbolag. I vissa fall har dessa uppgifter samkörts med andra personuppgifter som köpts in externt.
Bonnier News AB har uppgett att personuppgiftsbehandlingen grundats på en intresseavvägning där bolaget bedömt att deras intressen väger tyngre än de registrerades intresse av skydd för sina personuppgifter.
Förvaltningsrätten anser dock att de registrerades integritetsintresse väger särskilt tungt i detta fall eftersom uppgifterna till stor del samlats in genom webbkakor på koncernbolagens webbplatser.
Det har även rört sig om en omfattande så kallad profilering som inte är något en registrerad kan förvänta sig utan att först ha lämnat sitt samtycke. De registrerade kan inte heller förvänta sig att deras beteendedata samlas in för att användas i marknadsföringssyfte bara för att de besöker en webbsida, eller att dessa uppgifter kommer att samköras med information från andra köpsituationer och information från externa källor.
- Det starka integritetsskydd som enligt lag finns för uppgifter insamlade via webbkakor riskerar att urholkas om personuppgifterna i ett senare skede kan vidarebehandlas utan samtycke. Sammantaget anser förvaltningsrätten att de registrerades integritetsintresse väger tyngre än bolagets berättigade intresse. Profileringen krävde därför samtycke och har därmed skett i strid med dataskyddsförordningen, säger rådmannen Karin Königsson.