Irettesettelse og pålegg om å endre rutiner til Mowi ASA
Aksjonærer skal informeres når personopplysningene samles inn fra en aksjeforvalter.
Datatilsynet har gitt en irettesettelse til sjømatselskapet Mowi ASA for å unnlate å oppgi all informasjon som kreves i henhold til personvernforordningen overfor selskapets aksjonærer. Det er snakk om personopplysninger som Mowi har samlet inn direkte fra selskapets aksjeforvaltere.
I tillegg pålegges Mowi å sørge for at informasjonsrutinene og dokumentasjonen er i samsvar med bestemmelsene i personvernforordningen, noe som inkluderer å gjøre endringer i personvernvernerklæringen.
- Viktig påminnelse om informasjonsplikt
I Norge og andre europeiske land kan man kjøpe aksjer i børsnoterte selskap via banken som opptrer som forvalter av aksjeposten. Dette innebærer at selskapet ikke nødvendigvis vet hvem dets aksjonærer er. Allmennaksjeloven gir imidlertid selskapet rett til å få opplyst fra forvalteren hvem som er underliggende eier av de aksjene som forvalteroppdraget omfatter.
Når selskapet innhenter slik informasjon fra forvalteren, behandles det personopplysninger. Selskapet skal derfor gi de relevante aksjonærene all informasjonen som kreves i personvernforordningens artikkel 14. Mowi gjorde ikke dette.
- Denne saken er en viktig påminnelse om at informasjonspliktene i forordningen også gjelder når personopplysninger behandles i henhold til en juridisk rett slik som den som er gitt i allmennaksjeloven § 4-10. Det kan ikke forutsettes at en aksjonær som kjøper aksjer via banken sin er kjent med det faktum at dataene hans kan deles med selskapet han kjøpte aksjer i. Børsnoterte selskaper i Norge bør ta denne avgjørelsen til etterretning, sier juridisk seniorrådgiver Luca Tosoni i Datatilsynet.
Europeisk samarbeid
Mowi har hovedkontor i Norge, men har etableringer og aksjonærer i flere europeiske land. Datatilsynet har derfor behandlet saken i samarbeid med flere tilsynsmyndigheter i andre EØS-land, gjennom det såkalte one-stop-shop-mekanismen. Som ledende tilsynsmyndighet har Datatilsynet hatt hovedansvaret for å undersøke, behandle og fatte vedtak i saken.