Datatilsynet: Coop og Dagrofa brugte lokationsdata uden lovligt grundlag

Datatilsynet har afsluttet tilsyn med Coop- og Meny-indkøbsapps med alvorlig kritik af, hvordan Coop Danmark og Dagrofa håndterede kundernes lokationsdataDatatilsynet. I en nyhed dateret 10. november 2026 oplyser tilsynet, at det fandt, at begge virksomheder havde anvendt lokationsoplysninger fra kundernes mobiltelefoner til deres scan-og-betal-funktionerDatatilsynet uden et lovligt behandlingsgrundlagDatatilsynet: denne anvendelse krævede kundernes samtykkeDatatilsynet.

Begge virksomheder havde anvendt telefonernes indbyggede lokationsdata til at identificere, hvilken butik en kunde befandt sig i ved brug af scan-og-betal. Behandlingen var forholdsvis afgrænset — ingen løbende registrering eller sporing af kundernes bevægelser, kun oplysningen om den relevante butik blev anvendt. Datatilsynet vurderede ikke desto mindre brugen af telefonens lokationsdata som en indgribende behandling af personoplysninger, der kræver særlig beskyttelse. Coop havde henvist til opfyldelse af en kontraktDatatilsynet og Dagrofa til interesseafvejningsreglenDatatilsynet; tilsynet konkluderede, at ingen af grundlagene kunne bære behandlingenDatatilsynet, fordi den ikke var nødvendig for at tilbyde scan-og-betalDatatilsynet. Butikkerne kunne have identificeret den relevante butik på en mindre indgribende måde, eksempelvis ved at lade kunderne scanne en QR-kode ved butikkens indgang. Meny-appens scan-og-betal-funktion var allerede blevet udfaset i oktober 2025.

Coop fik yderligere alvorlig kritik for at anvende telefonens lokationsdata til markedsføringDatatilsynet — vise indhold og markedsføring med udgangspunkt i, hvilken butik kunden befandt sig i nærheden af, igen med henvisning til interesseafvejningsreglenDatatilsynet. Datatilsynet vejede beskyttelsen af kundernes lokationsoplysninger tungere end Coops markedsføringsinteresseDatatilsynet og lagde vægt på, at markedsføringen kunne ske mindre indgribende, eksempelvis ved at lade kunden vælge butik manuelt i appen. Denne behandling krævede ligeledes samtykkeDatatilsynet.

Begge virksomheder fik desuden kritik af deres samtykkeløsninger til markedsføring, af forskellige årsagerDatatilsynet. I Coop-appen var knappen »Accepter alle« fremhævet med rød farve, mens »Accepter valgte« var hvid — en udformning, som Datatilsynet fandt påvirkede brugerne til at acceptere alle cookiesDatatilsynet og begrænsede deres frie valgDatatilsynet. I Meny-appen skulle brugerne give ét samlet samtykke til flere forskellige markedsføringsformålDatatilsynet, herunder videregivelse af personoplysninger til samarbejdspartnereDatatilsynet, uden mulighed for at vælge de enkelte formål til eller fraDatatilsynet — og det fremgik ikke tydeligt af samtykketeksten, at oplysningerne blev videregivet til samarbejdspartnereDatatilsynet. Ingen af løsningerne levede op til kravene til et gyldigt samtykkeDatatilsynet: samtykke skal være en frivillig, specifik og informeret tilkendegivelse, givet til hvert formål, og design eller bundtning, der fjerner det reelle valg, består ikke den prøve.

Dagrofa fik desuden alvorlig kritik for indsamling af oplysninger om brugernes aktiviteter i Meny-appenDatatilsynet gennem cookies og lignende sporingsteknologier til statistik, forbedringer, fejlfinding og konkurrencer. Dagrofa havde henvist til interesseafvejningsreglenDatatilsynet, men Datatilsynet fandt, at sporing til formål, der gik videre end at sikre appens funktionalitet, krævede samtykkeDatatilsynet — navnlig fordi brugerne ikke med rimelighed kunne forventes at være bekendt med behandlingen på indsamlingstidspunktet. Begge virksomheder har taget kritikken til efterretningDatatilsynet og har sat konkrete tiltag i gang, og Datatilsynet har bedt hver af dem redegøre for de tiltag, der skal sikre, at deres behandling sker i overensstemmelse med databeskyttelsesreglerneDatatilsynet. Retsgrundlag: de kontrakt- og interesseafvejningsgrundlag, virksomhederne støttede sig på, er dem i databeskyttelsesforordningen (forordning (EU) 2016/679) artikel 6, stk. 1, litra b og f, og det gyldighedskrav til samtykke, Datatilsynet anvendte, er kravet i artikel 7.