Bonnier News AB – Beslut

1. Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Bonnier News AB (559080-0917) under perioden den 7 november 2019 till den 11 juni 2020 har behandlat personuppgifter utan att ha rättslig grund för det enligt artikel 6.1 i dataskyddsförordningen genom

a) att behandla personuppgifter i syfte att profilera de registrerade baserat på deras beteendedata i så kallade kompletterade beteendeprofiler och tillgängliggöra profilerna till anslutna bolag i syfte att visa anpassade annonser, b) att behandla personuppgifter i syfte att profilera de registrerade baserat på deras beteendedata i så kallade enkla beteendeprofiler och tillgängliggöra profilerna till anslutna bolag i syfte att visa anpassade annonser, c) att behandla personuppgifter genom att profilera de registrerade baserat på deras kompletterade kunddatabasprofiler i syfte att tillgängliggöra kontaktuppgifter till anslutna bolag för telefonförsäljning och postal marknadsföring.

Integritetsskyddsmyndigheten beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att Bonnier News AB ska betala en administrativ sanktionsavgift på 13 000 000 (tretton miljoner) kronor.

2. Redogörelse för tillsynsärendet

Integritetsskyddsmyndigheten (IMY) har i en tillsyn mot tidigare Bonnier Magazine and Brands AB numera Expressen Lifestyle (dnr DI-2019- 6523) uppmärksammat att Bonnier News AB tillsammans med andra bolag inom Bonnierkoncernen behandlar personuppgifter för bl.a. marknadsföringsändamål med stöd av den rättsliga grunden berättigat intresse enligt artikel 6.1 f i dataskyddsförordningen. IMY har inlett tillsyn mot Bonnier News AB i syfte att utreda om Bonnier News AB efterlever dataskyddsförordningens krav för den behandlingen av personuppgifter som sker för marknadsföringsändamål.

Inom ramen för denna tillsyn har Bonnier News AB fått yttra sig över sju klagomål ställda till IMY rörande olika marknadsföringsåtgärder som vidtagits av bolag inom Bonnierkoncernen. Bonnier News AB har yttrat sig över klagomålen och det har då framkommit att de vidtagna marknadsföringsåtgärderna inte har föranletts av uttag från de koncerngemensamma databaserna och inte heller skett under Bonnier News AB:s personuppgiftsansvar. Mot denna bakgrund finner IMY inte skäl att inom ramen för detta ärende utreda dessa klagomål vidare.

IMY har inom ramen för tillsynen granskat om Bonnier News AB har rättslig grund enligt artikel 6 i dataskyddsförordningen för den personuppgiftsbehandling som sker i de koncerngemensamma databaserna för marknadsföringsändamål. Tillsynen omfattar behandling av personuppgifter som sker genom att skapa profiler och tillgängliggörande av sådana uppgifter som sker för att användas av anslutna bolag för att visa anpassade annonser. Den omfattar också behandling av personuppgifter,

skapande av profiler och tillgängliggörande av uppgifter till anslutna bolag i syfte att användas av anslutna bolag vid telefonförsäljning och postal direktmarknadsföring. IMY har inte tagit ställning till om Bonnier News AB:s personuppgiftsbehandling i övrigt står i överensstämmelse med dataskyddsförordningen.

Tillsynsärendet inleddes med en inspektion den 7 november 2019. I samband med att IMY skickade inspektionsprotokollet till Bonnier News AB ställde IMY kompletterande frågor till bolaget den 20 december 2019. Bonnier lämnade synpunkter på inspektionsprotokollet samt inkom med svar på IMY:s frågor den 14 februari 2020. IMY ställde den 15 maj 2020 ytterligare kompletterande frågor till Bonnier News AB, vilka bolaget inkom med svar på den 11 juni 2020. Med anledning av att Bonnier News AB uppdaterat sin personuppgiftspolicy kom bolaget in med kompletterande information den 21 juli 2020.

Bonnier News AB har yttrat sig över IMY:s utkast till beslut den 13 april 2023.

Eftersom ärendet gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i artikel 56 och kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit myndigheterna i Danmark, Estland, Finland, Norge och Tyskland.

2.1 Beskrivning av den koncerngemensamma personuppgiftsbehandlingen

Följande har framkommit vid inspektionen och efterföljande skriftväxling. Inom Bonnierkoncernen finns ett samarbete mellan Bonnier News AB och ett antal anslutna bolag som ingår i koncernen (de anslutna bolagen). Vilka bolag som är anslutna förändras över tid. Vid tidpunkten för inspektionen var det 15 anslutna bolag vilket under våren 2020 sjönk till 8. Den behandling av personuppgifter som sker inom ramen för samarbetet är begränsad till att avse de anslutna bolagens kunder på den svenska marknaden. De anslutna bolagen samlar in personuppgifter från sina kunder och personer som besöker bolagens webbplatser. De insamlade uppgifterna överförs till två koncerngemensamma databaser, en kunddatabas (KDB) och en beteendedatabas (beteendedatabasen). I dessa databaser skapas profiler om enskilda personer. Till profilerna knyts även information hämtad från Bisnode Sverige AB.

Bonnier News AB har uppgett att man lagrar insamlade uppgifter i de koncerngemensamma databaserna för att använda för följande ändamål:

• Att upprätta ett för anslutna bolag gemensamt kundregister med god datakvalitet vilket innefattar att sammanställa kund- och användaruppgifter och att kontrollera att uppgifterna är korrekta, uppdaterade och ändamålsenliga • Att erbjuda de anslutna bolagens kunder ett enkelt sätt att tillvarata sina rättigheter och en möjlighet att ställa frågor om personuppgifter till den gemensamma kundtjänsten • Att tillgängliggöra personuppgifter till anslutna bolag i syfte att: • Använda andra anslutna bolags kontaktuppgifter för att kunna marknadsföra de anslutna bolagens egna produkter och tjänster genom postal direktmarknadsföring och telefonförsäljning.

• Visa anpassat innehåll och anpassade annonser i de anslutna bolagens digitala tjänster, baserat på kunders och användares kundprofil och beteende på de anslutna bolagens sajter. • Utföra analys av kunddata för att med hjälp av erhållen kundinsikt bedriva kundkommunikation, marknadsföring av sina egna produkter, tjänster och service. • Utföra analys av kunddata för att kunna förbättra och utveckla befintliga tjänster och produkter.

Den personuppgiftsbehandling som sker för ändamålet anpassning av anslutna bolags annonser baseras på uppgifter som sparas i beteendedatabasen. Den personuppgiftsbehandling som sker för att lämna ut personuppgifter till anslutna bolag för användning vid telefonförsäljning och postal direktmarknadsföring baseras på uppgifter i KDB.

2.1.1 Beskrivning av behandlingen av personuppgifter som finns i beteendedatabasen

Av utredningen i ärendet framgår följande.

De uppgifter som finns i beteendedatabasen behandlas i syfte att visa anpassat innehåll och anpassade annonser i de ansluta bolagens digitala tjänster.

I samband med att en enskild besöker ett anslutet bolags webbsida samlar det anslutna bolaget in information om den enskildes surfbeteende. Detta görs genom att det anslutna bolaget har placerat ett script på sin webbsida som begär att få spara en textfil (webbkaka) på besökarens dator, surfplatta eller mobiltelefon. Informationen i webbkakan kan användas för att följa användarens surfande på webbplatsen. De uppgifter (beteendedata) som samlas in när den enskilde surfar och sedan överförs till beteendedatabasen och tillförs den enskildes profil är:

• Uppgift om den besökta sidans URL (webbadress), dess kategori och en innehållstagg . • Uppgift om användarens enhetstyp som sidvisningen skedde i, browsertyp och den del av användarens IP-adress som avser land, • Uppgift om beteende i form av spenderad tid och tidpunkt för sidvisningen, • Uppgift om ett unikt slumpmässigt genererat webbkakevärde (nedan kallat webbkakeidentifierare), • Uppgift om sidvisningen skett i inloggat läge.

Bonnier News AB gallrar webbkakeidentifieraren efter 30 dagar och från och med dag 31 används inte längre den genererade beteendedatan för anpassning av annonser till enskilda personer.

Uppgifter i beteendedatabasen och i KDB kan i vissa fall knytas samman.

När uppgifterna i beteendedatabasen inte kan knytas samman med uppgifter i KDB består den registrerades beteendeprofil endast av de uppgifter som anges ovan, en profil som i detta beslut kommer benämnas enkel beteendeprofil.

I de fall uppgifter i beteendedatabasen och uppgifter i KDB kan knytas samman i beteendedatabasen tillförs uppgifter från KDB om inköpshistorik kön, ålder, hushållets bilägande och postnummer, samt statistiska variabler baserade på den enskildes bostadsområde såsom livsfas, köpkraft och boendeform till beteendedatabasen. Dessa profiler kommer fortsättningsvis i detta beslut benämnas kompletterad beteendeprofil.

Tillgängliggörandet till anslutna bolag sker genom ett sökverktyg kopplat till beteendedatabasen där det anslutna bolaget kan beställa ett segment av kunduppgifter utifrån sina valda variabler. En administratör granskar om beställningen uppfyller vissa inom samarbetet bestämda kriterier. Om så är fallet får det anslutna bolaget tillgång till en kod som gör det möjligt att rikta annonser mot användare som ingår i segmentet.

De anslutna bolagen kan enbart hämta ut uppgifter från beteendedatabasen baserat på beteendedata som samlats in från bolagets egna digitala tjänster. Det gäller oavsett om det rör sig om en enkel eller kompletterad beteendeprofil. När det gäller den kompletterade beteendeprofilen kan den dock innehålla inköpshistorik även från andra anslutna bolag. I KDB gallras uppgifter efter två år varför äldre uppgifter än så inte kan kopplas till beteendedatabasen eller lämnas ut till anslutna bolag.

2.1.2 Beskrivning av behandlingen av personuppgifter som finns lagrade i KDB

Av utredningen i ärendet framgår följande.

De uppgifter om enskilda som finns i KDB behandlas i syfte att användas för anslutna bolags marknadsföring av egna produkter och tjänster genom postal direktmarknadsföring och telefonförsäljning.

I samband med att en enskild gör ett köp eller tecknar en prenumeration samlar det anslutna bolag som har en avtalsrelation med kunden in uppgifter från denne. Vissa av dessa uppgifter överförs till KDB. I KDB knyts information samman till en profil. I KDB tilldelas kundprofilen ett KDB-ID. Om det anslutna bolagets kund redan finns registrerad i KDB uppdateras/kompletteras den befintliga kundprofilen med det nya engagemanget. Annars skapas en ny kundprofil med ett nytt KDB-ID. De uppgifter som lagras i KDB och som är insamlade från kundens kontakt med det anslutna bolaget är namn, adress, telefonnummer, personnummer, e-postadress samt uppgifter som är kopplade till kundens inköp, såsom produktkategori, varumärke, typ av paketering (om det är en digital eller traditionell vara och om det är en gratis- eller betalprodukt). I KDB finns även registrerat om kunden har invänt mot att uppgifter i KDB används för marknadsföring samt uppgift om kunden har registrerat sig i det så kallade NIX-registret. För följande kategorier av uppgifter finns begränsningar:

• Uppgift om e-postadress lämnas inte ut till anslutna bolag vid telefonförsäljning- och postal direktmarknadsföring. • Uppgift om personnummer används endast för att kontrollera om kunden har anmält sig för att motsätta sig marknadsföring i NIX-registret (NIX-spärr) samt för kontroll av att kunden inte är avliden. • Uppgift om personnummer görs inte tillgänglig för de anslutna bolagen.

I tillägg till de uppgifter som samlas in av de anslutna bolagen samlar Bonnier News AB in uppgifter från Bisnode Sverige AB i syfte att kontrollera och komplettera enskildas kontaktuppgifter, samt för att tillföra statistiska data såsom livsfas, köpkraft och boendeform. Vidare samlas uppgifter om bilinnehav och om avlidna personer in samt uppgift om ett så kallat GEDI-id (som är en unik identifierare i form av ett psedonymiserat ID).

Uppgifter i KDB och beteendedatabasen kan i vissa fall knytas samman även i KDB. Profilen utgör då vad som i detta beslut nedan kommer benämnas kompletterad kunddatabasprofil. Detta sker genom att en kund hos ett anslutet bolag besöker bolagets webbplats och loggar in på sitt konto hos bolaget. Den beteendedata som har samlats in om kunden och som är knuten till en webbkakeidentifierare kan då under vissa förutsättningar kopplas samman med kundens KDB–ID. I de fall kundens KDB- ID och webbkakevärdet kan kopplas samman kompletteras KDB-profilen med uppgifter insamlade de senaste 30 dagarna från beteendedatabasen. De uppgifter som hämtas är uppgifter om vilka webbplatser som kunden har besökt, vilken sektion på webbplatsen kunden besökt (så kallade innehållstaggar), samt vilken enhetstyp kunden surfat från. Bonnier News AB har begränsat vilken typ av innehållstaggar som andra bolag än det vars webbsida den enskilde surfat på kan basera sin profilering på för ändamålen telefonförsäljning och postal direktmarknadsföring.

När en person upphör att vara kund hos ett anslutet bolag notifieras KDB om att kundens engagemang upphört och kunden flaggas som passiv kund. Därefter raderas kundens uppgifter i KDB efter två år. Uppgifter inhämtade från beteendedatabasen gallras efter 30 dagar. Eventuell NIX-spärr aktiveras alltid vid tillgängliggörande av kontaktuppgifter i KDB till andra anslutna bolags kunder och kontaktuppgifter till egna kunder när dessa har varit passiva i 12 månader.

Uppgifter tillgängliggörs till anslutna bolag vid begäran genom en applikation i KDB. I KDB skapas en urvalsfil utifrån det anslutna bolagets angivna kriterier. Inom ramen för samarbetet tillämpas något som kallas ändamålsanpassade scheman. Dessa reglerar vilken information som lämnas ut från KDB. Vid utlämnandet lämnas enbart de datapunkter som definierats som nödvändiga för den marknadsföringskanal som angivits vid utlämnandet, alltså till exempel telefonnummer vid en telefonförsäljningkampanj och adress vid postal direktmarknadsföring. De datapunkter som segmenteringen baserats på, lämnas inte ut. Uppgifterna tillgängliggörs genom ett gränssnitt i KDB till det anslutna bolaget.

Det finns möjlighet för den registerade att begära radering från KDB. Den registerade har också rätt att invända mot att uppgifterna används för telefonförsäljning och postal direktmarknadsföring.

Bonnier News AB har uppgett att alla anslutna bolag är majoritetsägda av Bonnier Group AB och underställda Bonnierkoncernens ramverk för personuppgiftsbehandling samt att det endast gällande en liten del av de aktuella profilerna har kunnat göras en koppling till uppgifter i beteendedatabasen.

3. Motivering av beslutet

3.1 IMY:s behörighet

3.1.1 Aktuella omständigheter

En del av de personuppgifter som behandlas inom det koncerngemensamma samarbetet har samlats in genom att anslutna bolag har placerat en webbkaka på besökarens dator, surfplatta eller mobiltelefon. Bonnier News AB har uppgett att insamlingen görs genom anslutna bolags webbsidor. De anslutna bolagen överför därefter dessa uppgifter till beteendedatabasen och i vissa fall kopplas uppgifterna även samman med profilinformation i KDB. Bonnier News AB har uppgett att de skyldigheter som följde av bestämmelserna i lagen (2003:389) om elektronisk kommunikation och numera följer av lagen (2022:482) om elektronisk kommunikation (LEK), träffar anslutna bolag och inte Bonnier News AB eftersom det är de bolagen som ansvarar för själva insamlandet av uppgifterna.

3.1.2 Tillämpliga bestämmelser m.m.

Av artikel 95 i dataskyddsförordningen följer att dataskyddsförordningen inte ska innebära några ytterligare förpliktelser för fysiska eller juridiska personer som behandlar personuppgifter, för sådana områden som redan omfattas av skyldigheter enligt det så kallade eDataskyddsdirektivet . eDataskyddsdirektivet har genomförts i svensk rätt genom LEK, där bland annat insamling av uppgifter genom webbkakor regleras.

Enligt 9 kap. 28 § LEK får uppgifter lagras i eller hämtas från en abonnents eller användares terminalutrustning endast om abonnenten eller användaren får tillgång till information om ändamålet med behandlingen och samtycker till den. Vidare framgår att detta inte hindrar sådan lagring eller åtkomst som behövs för att överföra ett elektroniskt meddelande via ett elektroniskt kommunikationsnät eller som är nödvändig för att tillhandahålla en tjänst som användaren eller abonnenten uttryckligen har begärt. Före den 1 augusti 2022, då LEK trädde ikraft, ställdes motsvarande krav enligt 6 kap. 18 § lagen om (2003:389) om elektronisk kommunikation. Det är Postoch telestyrelsen (PTS) som är tillsynsmyndighet enligt LEK (1 kap 5 § förordningen [2022:511] om elektronisk kommunikation).

EDPB har yttrat sig över samspelet mellan eDataskyddsdirektivet och dataskyddsförordningen . Av yttrandet följer bl.a. att den nationella tillsynsmyndighet som utsetts enligt eDataskyddsdirektivet är ensamt behörig att övervaka efterlevnaden av direktivet. Däremot är tillsynsmyndigheten enligt dataskyddsförordningen behörig tillsynsmyndighet för den behandling som inte regleras särskilt i eDataskyddsdirektivet. Om endast en del av behandlingen faller under eDataskyddsdirektivet, begränsar inte detta dataskyddsmyndighetens befogenhet att pröva andra delar av behandlingen enligt dataskyddsförordningen.

Detta innebär bland annat att tillsynsmyndigheten enligt dataskyddsförordningen är behörig att bedöma lagligheten av den personuppgiftsbehandling som sker efter att uppgifterna hämtats från den enskildes terminalutrustning, t.ex. lagring av inhämtade

uppgifter och analys av sådana uppgifter i syften som rör beteendestyrd annonsering på nätet.

3.1.3 IMY:s bedömning

De uppgifter som tillförts beteendedatabasen har samlats in av de anslutna bolagen genom webbkakor. Den personuppgiftsbehandling som granskas i detta tillsynsärende är Bonnier News AB:s efterföljande behandling av personuppgifter i beteendedatabasen. Den behandlingen omfattas inte av regleringen i LEK eller den tidigare gällande regleringen i lagen om (2003:389) om elektronisk kommunikation. Det innebär att regleringen i dataskyddsförordningen är tillämplig på behandlingen och att IMY är behörig tillsynsmyndighet.

3.2 Bonnier News AB:s personuppgiftsansvar

3.2.1 Aktuella omständigheter samt Bonnier News AB:s inställning

Det är Bonnier News AB:s uppfattning att Bonnier News AB och respektive anslutet bolag har ett gemensamt personuppgiftsansvar för den behandling som sker i KDB och beteendedatabasen för de ändamål som angivits ovan såsom gemensamma. Vidare har Bonnier News AB uppgett att Bonnier News AB och anslutna bolag har en gemensam syn på ändamål och medel samt att Bonnier News AB har ingått s.k. Joint Data Controller Agreement med de anslutna bolagen i enlighet med artikel 26.2 i dataskyddsförordningen.

Bonnier News AB har uppgett att varje anslutet bolag har ett eget självständigt ("lokalt") personuppgiftsansvar för sin egen insamling av data. Bonnier News AB har vidare uppgett att det inte har något gemensamt personuppgiftsansvar för de personuppgiftsbehandlingar som utförs efter det att uppgifterna har lämnats ut till anslutna bolag från de gemensamma databaserna. Det är det anslutna bolaget som hämtat ut uppgifterna som är personuppgiftsansvarig för de behandlingar som detta bolag genomför efter uthämtandet.

3.2.2 Tillämpliga bestämmelser m.m.

Personuppgiftsansvarig är enligt artikel 4.7 i dataskyddsförordningen den som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Att ändamål och medel kan bestämmas av mer än en aktör innebär att flera aktörer kan vara personuppgiftsansvariga för samma behandling.

En behandling är enligt artikel 4.2 i dataskyddsförordningen en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter.

EU-domstolen har i målet Fashion-ID konstaterat att en webbplatsinnehavare som använder insticksprogram från sociala nätverk på sin webbplats kan bli gemensamt personuppgiftsansvarig med det sociala nätverket. Detta gäller för den insamling samt det utlämnande genom översändande av webbplatsbesökarnas personuppgifter som sker med hjälp av det sociala nätverkets insticksprogram. Domstolen uttalade även att respektive part bara är ansvarig för de delar av behandlingskedjan som den faktiskt bestämt ändamål och medel för.

I målet Wirtschaftsakademie uttalade EU-domstolen att ett gemensamt ansvar för en behandling inte nödvändigtvis innebär att de olika aktörer som är involverade i behandlingen av personuppgifter har samma ansvar. Dessa aktörer kan tvärtom involveras i olika skeden av behandlingen av personuppgifter i olika grad, och var och ens ansvarsnivå måste bedömas med hänsyn till alla relevanta omständigheter i det enskilda fallet.

3.2.3 IMY:s bedömning

Bonnier News AB tillhandahåller två databaser, KDB och beteendedatabasen, där uppgifter från anslutna bolag sammanförs till profiler över enskilda. Under de förutsättningar som Bonnier News AB och bolagen bestämt görs uppgifterna tillgängliga för Bonnier News AB och respektive anslutet bolag.

IMY konstaterar att, utöver att ställa databaserna till de anslutna bolagens förfogande, har Bonnier News AB tillsammans med bolagen satt upp ramarna för behandlingen på olika sätt.

IMY gör därför bedömningen att Bonnier News AB är gemensamt personuppgiftsansvarig med de anslutna bolagen för den del av personuppgiftsbehandlingen som sker för de gemensamma ändamålen att tillgängliggöra personuppgifter, genom profilering av enskildas uppgifter, till anslutna bolag för att visa anpassade annonser och för användning vid telefonförsäljning och postal direktmarknadsföring. Detta inkluderar insamling av uppgifter till databaserna, lagringen i databaserna och profileringen, inhämtande av ytterligare uppgifter från Bisnode Sverige AB, den hopkoppling som sker mellan beteendedatabasen och KDB samt den överföring av uppgifter som sker databaserna emellan. Vidare är Bonnier News AB gemensamt personuppgiftsansvarigt med de anslutna bolagen för de åtgärder som sker inför och vid ett utlämnande till ett anslutet bolag.

3.3 Vilka uppgifter utgör personuppgifter?

3.3.1 Aktuella omständigheter samt Bonnier News AB:s inställning

Under avsnittet ”Beskrivning av den koncerngemensamma personuppgiftsbehandlingen” framgår att en mängd uppgifter som samlats in från enskilda behandlas i KDB och den gemensamma beteendedatabasen. Bonnier News AB anser att det som i detta beslut benämns kompletterad beteendeprofil utgör personuppgifter. Däremot utgör uppgifter i beteendedatabasen – som inte kan kopplas samman med uppgifter i KDB – enligt Bonnier News AB anonyma beteendedata. Detta eftersom de inte kan kopplas till en person varken via KDB-ID, kund-ID, IP-adress eller någon annan identifierare för en person. Bonnier News AB anser således att de beteendeprofiler som i detta beslut benämns enkel beteendeprofil inte utgör personuppgifter. Den segmentering som görs på dessa enkla profiler är, enligt Bonnier News AB, endast baserad på det anslutna bolagets egna insamlade information i beteendedatabasen (ett bolag kan t.ex. välja att sportrelaterat innehåll och annonser ska anpassas efter de uppgifter som registrerats via en webbkaka under de senaste 30 dagarna).

3.3.2 Tillämpliga bestämmelser och andra allmänna utgångspunkter

En personuppgift är enligt artikel 4.1 i dataskyddsförordningen varje upplysning som avser en identifierad eller identifierbar fysisk person (dvs. den registrerade). Av samma bestämmelse framgår att en identifierbar fysisk person är en person som direkt eller

indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online-identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

Enligt skäl 26 till dataskyddsförordningen bör principerna för dataskyddet gälla all information som rör en identifierad eller identifierbar fysisk person. Personuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör anses som uppgifter om en identifierbar fysisk person. För att avgöra om en fysisk person är identifierbar bör man beakta alla hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller av en annan person, rimligen kan komma att användas för att direkt eller indirekt identifiera den fysiska personen. För att fastställa om hjälpmedel med rimlig sannolikhet kan komma att användas för att identifiera den fysiska personen bör man beakta samtliga objektiva faktorer, såsom kostnader och tidsåtgång för identifiering, med beaktande av såväl tillgänglig teknik vid tidpunkten för behandlingen som den tekniska utvecklingen. Principerna för dataskyddet bör enligt skäl 26 inte gälla för anonym information som inte hänför sig till en identifierad eller identifierbar fysisk person, eller för personuppgifter som anonymiserats på ett sådant sätt att den registrerade inte längre är identifierbar. Förordningen berör därför inte behandling av sådan anonym information, vilket inbegriper information för statistiska ändamål eller forskningsändamål.

Enligt skäl 30 till dataskyddsförordningen kan fysiska personer knytas till nätidentifierare som lämnas av deras utrustning, applikationer, verktyg och protokoll, t.ex. IP-adresser, kakor eller andra identifierare, som radiofrekvensetiketter. Detta kan efterlämna spår som, särskilt i kombination med unika identifierare och andra uppgifter som tas emot av servrarna, kan användas för att skapa profiler för fysiska personer och identifiera dem.

Av ett yttrande från Artikel 29-gruppen , som innehåller en analys av personuppgiftsbegreppet, framgår att en fysisk person i en grupp anses ”identifierad” när han eller hon på något sätt kan ”särskiljas” från andra personer. Europeiska dataskyddsstyrelsen (EDPB), har i sina riktlinjer om riktad reklam i sociala medier konstaterat att även personer som använder en sociala medietjänst utan att ha skapat ett konto eller en profil hos den sociala medietjänsten kan utgöra registrerade i den mening som avses i artikel 4.1 i dataskyddsförordningen om personen är direkt eller indirekt identifierad eller identifierbar. EDPB har därvid hänvisat till begreppet ”utgallring” i skäl 26 till dataskyddsförordningen och till det ovan nämnda yttrandet från Artikel 29-gruppen.

I Artikel 29-gruppens yttrande gällande beteendebaserad reklam på internet utvecklas ytterligare vad det innebär att vara identifierbar:

Artikel 29-gruppen konstaterar att beteendebaserad reklam ofta leder till behandling av personuppgifter. Beteendebaserad reklam innefattar normalt insamling av IP-adresser och behandling av unika identifierare (genom webbkakan). Användningen av sådana funktioner med en unik identifierare gör det

möjligt att spåra användare av en viss dator även om dynamiska IP-adresser används. Med andra ord gör sådana funktioner det möjligt att ”peka ut” enskilda registrerade, även om deras namn inte är kända. Dessutom relaterar informationen som samlas in vid beteendebaserad reklam till (det vill säga handlar om) en persons egenskaper eller beteende och används för att påverka denna specifika person. Detta synsätt förstärks ytterligare om man räknar med möjligheten att profiler när som helst kan länkas till direkt identifierbar information som tillhandahålls av den registrerade, exempelvis information som anges vid registrering på en webbplats. Andra scenarier som kan leda till identifierbarhet är sammanslagningar, dataförluster och den växande tillgängligheten på Internet till personuppgifter kopplade till IP-adresser.

3.3.3 IMY:s bedömning

IMY konstaterar inledningsvis att de kompletterade beteendeprofilerna (dvs. beteendeprofiler med koppling till KDB) innehåller uppgifter som avser identifierade eller identifierbara fysiska personer. De kompletterande beteendeprofilerna är således personuppgifter.

När det gäller de enkla beteendeprofilerna (dvs. beteendeprofiler utan koppling till KDB) gör IMY följande bedömning.

För att en uppgift ska kvalificeras som en personuppgift krävs för det första att uppgiften avser en fysisk person. Detta krav är uppfyllt avseende enkla beteendeprofiler eftersom uppgifterna beskriver hur den enskilde surfat med ett antal olika parametrar.

Vidare krävs att den fysiska personen är identifierad eller identifierbar. Av artikel 4.1 i dataskyddsförordningen framgår att det räcker att en person kan identifieras indirekt. I bestämmelsen anges vidare att identifiering kan ske med hänvisning till en onlineidentifikator. I skäl 30 till förordningen anges kakor (”cookie identifiers” i den engelska språkversionen) som ett exempel på nätidentifierare. Identifiering i den mening som avses i artikel 4.1 kan således ske med hjälp av sådana unika webbkakevärden som används i beteendedatabasen.

IMY konstaterar vidare att det framgår av skäl 26 till dataskyddsförordningen att utgallring är ett sätt att identifiera en person. Detta innebär att en person kan identifieras genom att särskiljas från andra personer. Det krävs således inte att personen pekas ut med namn eller personnummer. Ett sådant särskiljande eller utgallring sker när den information som behandlas gör att det är möjligt att peka ut, dra slutsatser om eller vidta specifika åtgärder i förhållande till en användare. I beteendedatabasen knyts informationen samman med en unik identifierare, ett unikt webbkakevärde, som är kopplat till en specifik webbläsare eller app, som i sin tur är kopplad till en enhet såsom en dator eller telefon. Ett av syftena med behandlingen av uppgifterna är att på grundval av användarens beteende rikta marknadsföring till en användare grundad på just den användarens tidigare beteende i en identifierad webbläsare eller app. Syftet med behandlingen är således att dra slutsatser om den enskilde genom att skapa en profil och utifrån denna påverka den enskilde. IMY konstaterar således att även de enkla beteendeprofiler som inte kopplas samman med KDB innebär att enskilda är identifierbara.

IMY gör mot denna bakgrund bedömningen att de enkla beteendeprofilerna utgör personuppgifter.

3.4 Behandlingen utgör profilering

3.4.1 Tillämpliga bestämmelser

Profilering definieras i artikel 4.4 i dataskyddsförordningen som varje form av automatisk behandling av personuppgifter som består i att personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar.

3.4.2 IMY:s bedömning

IMY konstaterar att både den behandling av personuppgifter som baseras på enkla beteendeprofiler och kompletterade beteendeprofiler som sker för ändamålet att tillgängliggöra uppgifterna för anslutna bolag i syfte att visa anpassade annonser innefattar profilering av registrerade enligt definitionen i artikel 4.4 i dataskyddsförordningen. Detta eftersom det är fråga om automatisk behandling av personuppgifter som syftar till att kategorisera de registrerades utifrån deras tidigare beteendemönster vilket i sin tur gör det möjligt att bedöma vissa av deras personliga egenskaper.

IMY konstaterar vidare att den behandling av personuppgifter som sker i syfte att tillgängliggöra kontaktuppgifter för telefonförsäljning och postal direktmarknadsföring innefattar profilering av registrerade enligt definitionen i artikel 4.4 i dataskyddsförordningen. Detta eftersom det är fråga om automatisk behandling av personuppgifter i syfte att kategorisera de registrerades utifrån deras köphistorik och i vissa fall även beteendemönster.

3.5 Rättslig grund för behandling i syfte att visa anpassade annonser utifrån uppgifter i beteendedatabasen

3.5.1 Aktuella omständigheter samt Bonnier News AB:s inställning

Bonnier News AB har uppgett att man inom koncernen samordnat sina aktiviteter för att uppnå ett bättre dataunderlag och göra det möjligt att behandla kundernas och användarnas personuppgifter för angivna ändamål på ett kostnadseffektivt och integritetsvänligt sätt. Bonnier News AB använder sin profilering av enskilda för att tillgängliggöra uppgifter till anslutna bolag i syfte att visa anpassade annonser dels på insamlade beteendedata som inte kan kopplas till KDB, dels på beteendedata där en sådan koppling kan göras och där ytterligare personuppgifter tillförts den registrerades profil. Bonnier News AB stödjer sin behandling att tillgängliggöra uppgifter till anslutna bolag i syfte att visa anpassade annonser på den rättsliga grunden i artikel 6.1 f i dataskyddsförordningen.

Berättigat intresse

Bonnier News AB har uppgett följande.

Bolaget har ett berättigat intresse som består i ett behov att förstå sina kunders och användares önskemål och behov för att kunna uppnå relevans i innehåll och annonsering som riktas mot kunder och användare och därigenom kunna erbjuda konkurrenskraftiga produkter/tjänster och attraktiva annonsytor. Många av de anslutna bolagen ägnar sig även åt journalistisk verksamhet. Publicisters verksamhetsmodell av

idag består av intäktströmmar från läsar- och annonsintäkter. Den koncerngemensamma personuppgiftsbehandlingen är viktig för finansieringen av bolagens journalistiska verksamhet. Bonnier News AB har även pekat på skyddet för mediernas frihet och mångfald i artikel 11 EU:s stadga om de grundläggande rättigheterna.

Nödvändig behandling

Bonnier News AB har uppgett att behandlingen av personuppgifter är nödvändig för att uppnå ändamålen att tillgängliggöra enskildas profiler till anslutna bolag för att visa anpassade annonser. Bolaget har tillsammans med de andra bolagen vidtagit åtgärder för att minimera antalet insamlade uppgifter och begränsat hur länge dessa uppgifter behandlas samt sett till att databaserna hålls separerade och att endast vissa uppgifter överförs däremellan.

Intresseavvägning

Bonnier News AB har uppgett följande.

Bonnier News AB:s intresse väger tyngre än den enskildes intresse av skydd för sina personuppgifter.

Behandling av personuppgifter för att visa anpassade annonser baserat på den enskildes profil är en grundförutsättning för att journalister och publicister ska kunna få intäkter och i förlängningen kunna bedriva journalistik.

Det finns möjlighet att invända mot profilering baserat på beteendedata. Enligt den information som enskilda får i Bonnier News AB:s personuppgiftspolicy kan den enskilde invända mot att information om hens beteende online behandlas i den gemensamma kunddatabasen. Det innebär att kopplingen mellan den enskildes kunduppgifter och dennes surfbeteende tas bort.

De registrerade har en direkt relation till ett eller flera anslutna bolag. Användarna/kunderna har antingen besökt ett anslutets bolags webbsida, köpt produkter av ett anslutets bolag eller ett aktivt digitalt abonnemang. Många av kunderna är prenumeranter som har en långvarig relation till det bolag som tillhandahåller tjänsten eller produkten och kan därför anses ha en större förväntan på att deras uppgifter behandlas. Många läsare har ett starkt engagemang knutet till sin preferens för nyhetsmedia. I viss utsträckning hör kundprofiler i KDB till styckeköp som litteratur-, tidnings- och varuköp. I dessa fall får relationen mellan kund och leverantör anses vara något mindre unik. Vidare är interaktionen frivillig, tydlig information lämnas och det finns alternativa produkter som fysiska tidningar som man kan ta del av helt anonymt.

Behandlingen har sannolikt inte någon negativ påverkan på den registrerades intresse. Enskildas interagerande med anslutna bolag är frivilligt och det är i deras intresse att bolagens tjänster är så relevanta som möjligt. Vidare har Bonnier News AB hänvisat till att Artikel 29-gruppen konstaterat att riktad marknadsföring baserad på enkla kundprofiler, såsom kön, ålder, bostadsort och breda intressen (t.ex. "mode") typiskt sett inte har någon betydande påverkan på individerna. Bonnier News AB har vidare vidtagit åtgärder för att säkerställa att ett minimum av uppgifter behandlas i förhållande till ändamålen samt för att reducera integritetsrisker i övrigt. Bland annat delas personuppgifterna inte med andra bolag än de anslutna bolagen inom koncernen och

samtliga dessa bolag är underställda Bonnierkoncernens ramverk för personuppgiftsbehandling.

Den aktuella behandlingen ligger inom de registrerades rimliga förväntningar på grund av att de individer som kommer i kontakt med bolagen gör detta av fri vilja i syfte att ta del av innehåll på webbsajter, köpa tjänster och/eller produkter och att de alltid har en kund-/användarrelation med ett eller flera bolag i koncernen. Bolagens personuppgiftspolicys innehåller tydlig information om hur kunders och användares personuppgifter behandlas och delas inom koncernen. Den behandling som utförs inom ramen för KDB och beteendedatabasen är tätt förknippad med bolagens tjänster och produkter vilket torde ha betydelse för konsumentens förväntansbild. Att många av bolagens produkter och tjänster är online och i många fall gratis eller annonsfinansierade torde medföra en särskild förväntan och acceptans för viss personuppgiftsbehandling för bl.a. anpassning av innehåll och annonsering. Idag är även många digitala produkter som konsumeras av en mycket stor del av konsumenterna i samhället anpassade efter individen och det är Bonnier News AB:s uppfattning att dagens konsumenter förväntar sig att de digitala produkter och tjänster som de konsumerar i viss mån kommer att vara anpassade efter individen.

3.5.2 Tillämpliga bestämmelser m.m.

Personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade, enligt artikel 5.1 a i dataskyddsförordningen. Att uppgifterna ska behandlas lagligt innebär bl.a. att minst ett av de villkor som anges i artikel 6.1 är uppfyllt.

Samtycke är, enligt artikel 6.1 a, en av de rättsliga grunder som en personuppgiftsansvarig kan stödja sin behandling av personuppgifter på. En annan rättslig grund är berättigat intresse enligt artikel 6.1 f , vilket förutsätter att tre kumulativa villkor är uppfyllda. Det måste (i) finnas ett berättigat intresse hos den personuppgiftsansvarige eller hos tredje man till vilket uppgifterna lämnas ut, (ii) behandlingen av personuppgifter ska vara nödvändig för det berättigade intresse som eftersträvas och (iii) den registrerades intresse av skydd för sina personuppgifter får inte väga tyngre.

I skäl 47 till dataskyddsförordningen anges att ett berättigat intresse till exempel kan finnas när det föreligger ett relevant och lämpligt förhållande mellan den registrerade och den personuppgiftsansvarige, till exempel om den registrerade är kund hos den personuppgiftsansvarige. Det anges att behandling av personuppgifter för direktmarknadsföring kan betraktas som ett berättigat intresse. Vidare anges att ett berättigat intresse kräver en noggrann bedömning, som inbegriper huruvida den registrerade vid tidpunkten och i samband med inhämtandet av personuppgifter rimligen kan förvänta sig att behandling för angivet ändamål kan komma att ske. Den registrerades intressen och grundläggande rättigheter skulle i synnerhet kunna väga tyngre om personuppgifter behandlas under omständigheter där den registrerade inte rimligen kan förvänta sig någon ytterligare behandling.

Enligt 9 kap. 28 § LEK, som genomför artikel 5.3 i eDataskyddsdirektivet i svensk rätt, får uppgifter lagras i eller hämtas från användares eller abonnenters terminalutrustning endast om abonnenten eller användaren får tillgång till information om ändamålet med behandlingen och samtycker till den. Detta hindrar inte sådan lagring eller åtkomst som behövs för att överföra ett elektroniskt meddelande via ett elektroniskt

kommunikationsnät eller som är nödvändig för att tillhandahålla en tjänst som användaren eller abonnenten uttryckligen har begärt. Motsvarande krav gällde tidigare enligt 6 kap.18 § lagen (2003:389) om elektronisk kommunikation.

Av EDPB:s riktlinjer om uppkopplade fordon framgår att uppgifter som samlats in på grundval av samtycke i enlighet med artikel 5.3 i eDataskyddsdirektivet eller omfattas av undantagen i artikel 5.3 i det direktivet endast kan vidarebehandlas för ett annat ändamål, om den personuppgiftsansvarige begär ytterligare samtycke eller har stöd i unionsrätten eller en medlemsstats lagstiftning. EDPB uttalar vidare att sådan vidarebehandling inte kan stödja sig på ett förenlighetstest enligt artikel 6.4 i dataskyddsförordningen eftersom det skulle undergräva skyddet i eDataskyddsdirektivet. Vidare uttalar EDPB att ett samtycke måste, när så krävs enligt eDataskyddsdirektivet, vara specifikt och informerat, vilket innebär att de registrerade måste vara medvetna om varje behandlingssyfte och ha rätt att vägra specifika syften. Om ytterligare behandling på grundval av ett förenlighetstest enligt artikel 6.4 i dataskyddsförordningen skulle vara möjlig skulle själva principen för samtyckeskraven i det nuvarande direktivet kringgås.

I EDPB:s riktlinjer om riktad annonsering i sociala medier delas personuppgifter in i kategorierna uppgifter som den registrerade aktivt och medvetet tillhandahållit den personuppgiftsansvarige, observerade uppgifter som den registrerade tillhandahållit genom användning av tjänsten eller enheten och avledda och härledda uppgifter som skapats på grundval av de uppgifter som den registrerade tillhandahållit. Enligt EDPB är det två rättsliga grunder som kan komma ifråga för att behandla sådana uppgifter som den registrerade aktivt och medvetet tillhandahållit, nämligen samtycke enligt 6.1 a och berättigat intresse enligt 6.1 f i dataskyddsförordningen. När det gäller uppgifter som samlats in genom observerade uppgifter som den registrerade tillhandahållit genom användning av en tjänst eller enhet, inklusive sådan som samlats in genom kakor, uttalar EDPB att artikel 6.1 f inte kan utgöra en rättslig grund för sådan riktad annonsering där enskilda personer spåras på flera olika webbplatser och platser. Vidare uttalar EDPB att för sådan behandling är samtycke troligen den lämpligaste rättsliga grunden i artikel 6 i dataskyddsförordningen. I bedömningen ska man vidare ta hänsyn till att behandlingen inkluderar aktiviteter som lagstiftaren i EU har velat ge ytterligare skydd.

EDPB har i sina riktlinjer om samtycke uttalat att om de personuppgiftsansvariga väljer att åberopa samtycke för någon del av behandlingen måste de vara beredda att respektera detta val och stoppa denna del av behandlingen om en enskild person återkallar sitt samtycke. Det vore i grunden orättvist gentemot de registrerade att ge budskapet att uppgifterna kommer att behandlas baserat på samtycke samtidigt som man faktiskt hänvisar till en annan rättslig grund. Med andra ord får inte den personuppgiftsansvarige byta rättslig grund från samtycke till andra rättsliga grunder. EDPB uttalar vidare att det till exempel inte är tillåtet att retroaktivt använda berättigat intresse som grund för att motivera behandlingen, om det har uppstått problem med att erhålla giltigt samtycke. På grund av kravet att de personuppgiftsansvariga måste

ange rättslig grund när personuppgifterna inhämtas, måste de ha bestämt vilken den rättsliga grunden är innan de samlar in uppgifterna.

I ett yttrande från Artikel 29-gruppen om begreppet berättigat intresse i direktiv 95/46/EG framgår att vid genomförandet av intresseavvägningen bör hänsyn tas till vilken typ av intresse som anförs, vilken skada den personuppgiftsansvarige skulle träffas av om uppgifterna inte behandlades, arten av uppgifterna, hur personuppgifterna behandlas, de registrerades ställning respektive den personuppgiftsansvariges ställning, de registrerades rimliga förväntningar på vad som kommer att hända med deras uppgifter och konsekvenserna för de registrerade. Om det, efter att ovanstående faktorer analyserats, fortfarande är oklart hur denna avvägning utfaller kan utformningen av s.k. ytterligare skyddsåtgärder vara avgörande för utgången i intresseavvägningen.

I Artikel 29-gruppens riktlinjer om automatiserat individuellt beslutsfattande och profilering ges vägledning när profilering kan stödja sig på berättigat intressen enligt 6.1 f. Enligt riktlinjerna är följande faktorer relevanta:

• Hur detaljerad profilen är. • Hur omfattande profilen är. • Profileringens konsekvenser. • De skyddsåtgärder som är avsedda att säkerställa en rättvis, ickediskriminerande och korrekt profileringsprocess.

Artikel 29-gruppen har i flera yttranden upprepat sitt ställningstagande att det är svårt att stödja sig på artikel 6.1 f i dataskyddsförordningen för sådan profilering som sker för marknadsförings- eller reklamsyfte när enskilda personer spåras på flera olika webbplatser, platser, enheter, tjänster eller för datamäklarverksamhet.

3.5.3 Utgångspunkter för IMY:s bedömning

Bonnier News AB stödjer sin behandling av personuppgifter för ändamålet att tillgängliggöra enskildas profiler till anslutna bolag i syfte att visa anpassade annonser på den rättsliga grunden berättigat intresse enligt artikel 6.1 f i dataskyddsförordningen. Innan IMY prövar om den rättsliga grunden kan utgöra grund för Bonnier News AB:s behandling finner IMY anledning att gå in på hur behandlingen förhåller sig till vissa uttalanden som gjorts i EDPB:s riktlinjer.

Av EDPB:s riktlinjer om riktad annonsering i sociala medier framgår att när det gäller uppgifter som den registrerade aktivt och medvetet tillhandahållit så kan både samtycke och berättigat intresse utgöra en rättslig grund för behandlingen. Av riktlinjerna framgår dock att för sådan data som samlats in genom observation (exempelvis genom kakor) kan berättigat intresse inte fungera som en lämplig rättslig grund när den riktade annonseringen baseras på att enskilda spåras över flera webbplatser och platser.

IMY konstaterar att Bonnier News AB samlar in data till sin beteendedatabas från flera olika webbplatser men ett anslutet bolag kan enbart hämta ut uppgifter baserat på beteendedata som samlats in från bolagets egna digitala tjänster. Det gäller oavsett om det rör sig om en enkel eller kompletterad beteendeprofil.

I EDPB:s riktlinjer om uppkopplade fordon anges att uppgifter som samlats in på grundval av samtycke enligt 5.3 i eDataskyddsdirektivet endast kan vidarebehandlas för ett annat ändamål om den personuppgiftsansvarige begär ytterligare samtycke eller behandlingen har stöd i EU-rätt eller nationell reglering. Även avsnittet om interaktion mellan samtycke och andra rättsliga grunder i artikel 6 i EDPB:s riktlinjer om samtycke tar sikte på när den registrerade getts budskapet att de erhållit de rättigheter som ett samtycke medför och det orättvisa i att inte respektera dessa genom att hänvisa till en annan rättslig grund.

IMY konstaterar att situationen i ärendet i viss mån skiljer sig från den som beskrivs i dessa riktlinjer. I ärendet är det de anslutna bolagen som samlar in uppgifterna enligt 5.3 i eDataskyddsdirektivet och som således omfattas av kravet på samtycke i den bestämmelsen. De anslutna bolagen har att säkerställa att de har rättsligt stöd för sin behandling enligt eDataskyddsdirektivet och dataskyddsförordningen. De anslutna bolagens behandling av personuppgifter omfattas inte av denna tillsyn.

Det är således inte Bonnier News AB som samlar in uppgifterna med stöd av samtycke enligt de nationella bestämmelser som genomför artikel 5.3 i eDataskyddsdirektivet. Det är först när de anslutna bolagen för in personuppgifterna i beteendedatabasen och KDB som Bonnier News AB:s behandling inleds. Bonnier News AB byter således inte rättslig grund från samtycke till berättigat intresse.

IMY konstaterar samtidigt att Bonnier News AB ingår i samma koncern som de anslutna bolagen och att Bonnier News AB är gemensamt personuppgiftsansvarig med de anslutna bolagen för personuppgiftsbehandlingen i databaserna. Det förhållandet att koncerngemensamma databaser inrättats bör inte innebära att de registrerade får ett sämre skydd jämfört med om behandlingen skett hos det koncernbolag som samlade in personuppgifterna. Med andra ord bör inte Bonnier News AB ha större möjligheter att behandla personuppgifterna med stöd av den rättsliga grunden berättigat intresse än vad de anslutna bolagen har. Enligt IMY bör därför de ovan redovisade riktlinjerna ha betydelse för bedömningen av möjligheten att använda berättigat intresse som rättslig grund i ärendet.

Av det anförda kan slutsatsen dras att utrymmet med stöd av artikel 6.1 f i dataskyddsförordningen, att vidarebehandla uppgifter som samlats in med stöd av samtycke enligt LEK är mycket begränsat. Samtidigt kan konstateras att det i dataskyddsförordningen inte finns något förbud mot att använda artikel 6.1 f som rättslig grund för den aktuella formen av behandling. IMY går därför vidare och prövar om behandlingen har stöd i artikel 6.1 f i dataskyddsförordningen. IMY:s prövning av om Bonnier News AB har stöd för sin behandling i artikel 6.1 f i dataskyddsförordningen utgår från de tre villkor som ska vara uppfyllda enligt bestämmelsen:

(i) Finns det ett berättigat intresse hos den personuppgiftsansvarige eller hos tredje part till vilken uppgifterna lämnas ut? (ii) Är behandlingen av personuppgifter nödvändig för det berättigade intresse som eftersträvas?

(iii) Väger den registrerades intresse av skydd för sina personuppgifter tyngre?

IMY behandlar de två första stegen i intresseavvägningen gemensamt för de kompletterade och enkla beteendeprofilerna (avsnitt 3.5.3 och 3.5.4). Därefter behandlas det tredje och sista steget separat för de kompletterade beteendeprofilerna (avsnitt 3.5.5) och de enkla beteendeprofilerna (avsnitt 3.5.6).

3.5.4 Berättigat intresse

Bonnier News AB:s intresse att skapa profiler för att tillgängliggöra uppgifter för anslutna bolag för att visa anpassade annonser är av kommersiell karaktär. Att ett intresse är kommersiellt utesluter inte att intresset är berättigat utan avgörande för denna bedömning är om intresset är lagenligt, specifikt och utgör ett verkligt och faktiskt intresse.

Bonnier News AB:s och anslutna bolags intresse är lagenligt, verkligt och faktiskt. IMY konstaterar därför att Bonnier News AB:s intresse att skapa profiler för tillgängliggörande samt de anslutna bolagens intresse att behandla personuppgifter för att visa anpassade annonser baserat på kunders och användares kundprofiler och beteendeprofiler är berättigat.

3.5.5 Är behandlingen nödvändig för det berättigade intresset?

Kravet på nödvändighet i artikel 6.1 f i dataskyddsförordningen ska prövas tillsammans med principen om uppgiftsminimering i artikel 5.1 c. Syftet med behandlingen är att tillgängliggöra uppgifter till anslutna bolag för att visa anpassade annonser baserat på enskildas profiler. I ärendet har framkommit att Bonnier News AB tillsammans med de anslutna bolagen har vidtagit åtgärder för att minimera antalet insamlade uppgifter och begränsa hur länge dessa uppgifter behandlas samt sett till att de databaser i vilka uppgifterna behandlas hålls separerade och att endast vissa uppgifter överförs däremellan. Mot den bakgrunden finner IMY att den behandling som beskrivs i detta beslut är nödvändig för det uppgivna ändamålet.

3.5.6 Intresseavvägningen för behandling av personuppgifter i kompletterade beteendeprofiler

Bonnier News AB:s intresse, att skapa profiler för att tillgängliggöra uppgifter för anslutna bolag för att visa anpassade annonser kan enligt bolaget gagna den enskilde antingen genom att högre intäkter möjliggör gratis eller billigare tjänster eller att den enskilde möts av erbjudanden som den är intresserad av. Bonnier News AB har vidare framhållit att många av de anslutna bolagen ägnar sig åt journalistisk verksamhet och att publicisters verksamhetsmodell av idag består av intäktsströmmar från läsar- och annonsintäkter och att den koncerngemensamma personuppgiftsbehandlingen är viktig för finansieringen av bolagens journalistiska verksamhet. Bolaget har mot den bakgrunden bedömt att dess intresse väger särskilt tungt.

Som IMY redan konstaterat är intresset att visa anpassade annonser berättigat i den mening som avses i artikel 6.1 f i dataskyddsförordningen. När det gäller frågan hur tungt detta intresse väger konstaterar IMY att intresset inte i sig är journalistiskt, utan av kommersiell natur. Genom profileringen skapas kunskap om kunder och potentiella kunder som möjliggör intäkter från anpassad annonsering. IMY bedömer att Bonnier

News AB:s och de anslutna bolagens kommersiella intresse inte väger så tungt som Bonnier News AB påstår.

När det gäller bedömningen av de registrerades intressen beaktar IMY följande.

Som konstateras ovan samlar Bonnier News AB in personuppgifter i beteendedatabasen som ursprungligen samlats in av de anslutna bolagen genom webbkakor. Det samtyckeskrav som gäller enligt 9 kap. 28 § LEK för den insamlingen ger ett starkt integritetsskydd och en möjlighet för de registrerade att kontrollera användningen av de insamlade uppgifterna. Detta skydd riskerar, som EDPB konstaterat i flera av sina riktlinjer, att undermineras om de insamlade personuppgifterna behandlas med stöd av andra rättsliga grunder, som exempelvis berättigat intresse enligt artikel 6.1 f i dataskyddsförordningen. Som IMY redan konstaterat bör inte Bonnier News AB ha större möjlighet än de anslutna bolagen att åberopa den rättsliga grunden berättigat intresse för behandlingen av de personuppgifter som de anslutna bolagen samlat in med hjälp av kakor. IMY anser därför att uppgifternas karaktär innebär att de registrerades intresse bör tillmätas stor tyngd vid intresseavvägningen.

Vidare bedömer IMY att utrymmet för att använda artikel 6.1 f i dataskyddsförordningen som rättslig grund för profilering baserat på observerad data är begränsat (jfr EDPB:s riktlinjer 8/2020 om riktad annonsering i sociala medier p. 77– 78). IMY konstaterar därför att även behandlingens karaktär innebär att de registrerades integritetsintresse väger tungt.

Bonnier News AB har framhållit att profilering och anpassade annonser kan gagna den registrerade genom att det möjliggör högre intäkter för de anslutna bolagen vilket i sin tur möjliggör för dessa att erbjuda gratis eller billigare tjänster. Det kan också gagna den registrerade genom att hen möts av erbjudanden som hen är intresserad av. IMY ifrågasätter inte att behandlingen till viss del kan gagna de registrerade men anser att det övergripande intresset av profileringen är att skapa så träffsäker annonsering som möjligt för att få kunder och potentiella kunder att köpa varor eller tjänster samt att få intäkter från sådan annonsering.

I de fall beteendedata kan kopplas till KDB i syfte att visa anpassade annonser (de så kallade kompletterade beteendeprofilerna) väger IMY in följande i sin bedömning. Uppgifter för profileringen samlas visserligen inte in från olika webbplatser, vilket enligt EDPB:s riktlinjer skulle göra att artikel 6.1 f i dataskyddsförordningen inte fungerar som en lämplig rättslig grund, men profileringen inkluderar i stället uppgifter som samlats in från andra sammanhang såsom tidigare gjorda köp, inhämtade demografiska uppgifter samt statistiska uppgifter. IMY anser att profileringen är omfattande till sin karaktär och att en sådan profilering inte är något en registrerad kan förvänta sig utan att ha samtyckt till sådan personuppgiftsbehandling.

IMY anser vid en sammanvägd bedömning att den registrerades integritetsintresse väger tyngre än Bonnier News AB:s och de anslutna bolagens intressen.

Mot den bakgrunden konstaterar IMY att Bonnier News AB har behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen i syfte att profilera de

registrerade baserat på deras beteendedata i en så kallad kompletterad beteendeprofil och tillgängliggöra profilerna till anslutna bolag i syfte att visa anpassade annonser.

3.5.7 Intresseavvägning för behandling av personuppgifter i enkla beteendeprofiler

Såsom IMY konstaterat ovan i avsnitt 3.5.4 är Bonnier News AB:s intresse, att skapa profiler för att tillgängliggöra uppgifter för anslutna bolag för att visa anpassade annonser är ett kommersiellt intresse som inte väger så tungt som Bonnier News AB påstår.

När det gäller bedömningen av de registrerades intressen beaktar IMY följande.

Bonnier News AB har vidtagit åtgärder för att minimera antalet insamlade uppgifter, infört integritetshöjande regler vid segmenteringen, infört gallringsregler och tillsett att uppgifter som samlas in från ett anslutet bolag endast kan användas av det bolaget. Profileringen sker således bara på ett bolags ”egna besökare”. Vidare informerar Bonnier News AB genom sin personuppgiftspolicy om den aktuella behandlingen.

Mot detta ska vägas att insamlingen och profileringen av enkla beteendeprofiler möjliggör en kartläggning av enskilda genom observerade data som innebär ett större integritetsintrång än när uppgifterna samlats in genom den registrerades aktiva medverkan. IMY anser att de registrerades integritetsintresse är starkt på grund av arten av uppgifterna (att insamlingen av uppgifterna ges ett särskilt skydd i LEK). Som IMY redan konstaterat bör inte Bonnier News AB ha större möjlighet än de anslutna bolagen att åberopa den rättsliga grunden berättigat intresse för behandlingen av de personuppgifter som de anslutna bolagen samlat in med hjälp av kakor. Vidare anser IMY att när enskildas surfbeteende övervakas för att visa anpassad reklam kan detta ge känslan för den registrerade av förlorad kontroll över sina uppgifter och känslan av att bli övervakad. Detta kan resultera i att enskilda påverkas i valet av vad de tar del av på en webbplats.

IMY anser vid en sammanvägd bedömning att den registrerades integritetsintresse väger tyngre än Bonnier News AB:s och anslutna bolags intressen även vid behandling av personuppgifter i enkla beteendeprofiler på grund av att detta möjliggör profilering av enskilda.

Mot den bakgrunden konstaterar IMY att Bonnier News AB har behandlat personuppgifter utan att ha rättslig grund för det enligt artikel 6.1 i dataskyddsförordningen i syfte att profilera de registrerade baserat på deras beteendedata i så kallade enkla beteendeprofiler och tillgängliggöra profilerna till anslutna bolag i syfte att visa anpassade annonser.

3.6 Rättslig grund för behandling i syfte att tillgängliggöra kontaktuppgifter för telefonförsäljning och postal direktmarknadsföring

3.6.1 Tillämpliga bestämmelser m.m.

För att kunna stödja sig på artikel 6.1 f i dataskyddsförordningen måste, som redovisats ovan, de tre villkoren som anges i artikeln vara uppfyllda. Det måste finnas ett berättigat intresse hos den personuppgiftsansvarige eller hos tredje man till vilket uppgifterna lämnas ut, behandlingen av personuppgifter ska vara nödvändig för det

berättigade intresse som eftersträvas och den registrerades intresse av skydd för sina personuppgifter får inte väga tyngre.

Artikel 29-gruppens och EDPB:s riktlinjer rörande profilering och tillämpningen av artikel 6 har redogjorts för i avsnitt 3.5.

3.6.2 Aktuella omständigheter samt Bonnier News AB:s inställning

Bonnier News AB har uppgett att man i koncernen har samordnat sina aktiviteter för att uppnå ett bättre dataunderlag och möjliggöra att behandla kundernas och användarnas personuppgifter för angivna ändamål på ett kostnadseffektivt och integritetsvänligt sätt. Bonnier News AB profilerar registrerade i syfte att tillgängliggöra uppgifterna för telefonförsäljning och postaI direktmarknadsföring. Den profilering som detta innebär baseras dels på uppgifter i KDB som samlats in från anslutna bolag vid köp och prenumerationer (s.k. kundengagemang), dels på uppgifter inhämtade från Bisnode Sverige AB samt, för en liten del av profilerna, uppgifter från beteendedatabasen. Bonnier News AB stödjer sin behandling på artikel 6.1 f i dataskyddsförordningen.

Berättigat intresse

Bonnier News AB har uppgett att de anslutna bolagen har ett berättigat intresse att marknadsföra sina produkter och tjänster på ett effektivt och integritetsvänligt sätt.

Nödvändig behandling

Bonnier News AB har uppgett att de tillsammans med de anslutna bolagen vidtagit åtgärder för att minimera antalet insamlade uppgifter, hur länge dessa uppgifter behandlas samt, i syfte att leva upp till dataminimeringsprincipen, hållit databaserna separerade och endast överfört vissa uppgifter. Vidare har Bonnier News AB vidtagit åtgärder så att inte fler uppgifter än vad som behövs lämnas ut till de anslutna bolagen. Vid utlämnandet lämnas enbart de datapunkter som definierats som nödvändiga för den marknadsföringskanal som angivits vid utlämnandet, alltså till exempel telefonnummer vid en telefonförsäljningskampanj och adress vid postal direktmarknadsföring. De datapunkter som segmenteringen baserats på, lämnas inte ut.

Intresseavvägningen

Bonnier News AB har uppgett följande.

Bonnier News AB:s intresse att tillgängliggöra uppgifter för anslutna bolag baserat på den registrerades profil för att användas vid telefonförsäljning och postal direktmarknadsföring väger tyngre än den registrerades integritetsintresse.

Genom att nyttja koncernens befintliga resurser för telefonförsäljning och postal direktmarknadsföring, istället för att köpa samma information/resurs från en extern part, uppstår en kostnadsbesparing samtidigt som det möjliggör en mer kontrollerad utnyttjandegrad av adresser och telefonnummer än vad som hade varit möjligt annars. Behandlingen avser vidare att spara in inköpskostnader.

Bonnier News AB har tillsammans med de anslutna bolagen vidtagit åtgärder för att minimera antalet insamlade uppgifter, begränsat hur länge dessa uppgifter behandlas samt i syfte att leva upp till dataminimieringsprincipen, hållit databaserna separerade. För ändamålen telefonförsäljning och postal direktmarknadsföring har Bonnier News

AB begränsat vilken typ av innehållstaggar som genererats av att den registrerade surfat på andra bolags webbsidor. En koppling mellan databaserna har vidare kunnat göras bara hos en liten andel av användarna.

Vidare tillämpas inom ramen för samarbetet något som kallas ändamålsanpassade scheman. Dessa reglerar vilken information som lämnas ut från KDB. Vid utlämnandet lämnas enbart de datapunkter som definierats som nödvändiga för den marknadsföringskanal som angivits vid utlämnandet, till exempel telefonnummer vid en telefonförsäljning-kampanj och adress vid postal direktmarknadsföring. De datapunkter som segmenteringen baserats på, lämnas inte ut.

Det finns en särskild möjlighet för den registrerade att begära radering från den gemensamma databasen. Den registrerade har även rätt att invända mot att uppgifterna används för telefonförsäljning och postal direktmarknadsföring.

De registrerade har en direkt relation till ett eller flera anslutna bolag. Användarna/kunderna har antingen besökt ett anslutets bolags webbsida, köpt produkter av ett anslutet bolag eller har ett aktivt digitalt abonnemang. Många av kunderna är prenumeranter som har en långvarig relation till det bolag som tillhandahåller tjänsten eller produkten, och kan därför anses ha en större förväntan på att deras uppgifter behandlas. Många läsare har ett starkt engagemang knutet till sin preferens för nyhetsmedia. I viss utsträckning hör kundprofiler i KDB till styckeköp som litteratur-, tidnings- och varuköp, där relationen mellan kund och leverantör får anses något mindre unik. Vidare är interaktionen frivillig, tydlig information lämnas och det finns alternativa produkter som fysiska tidningar som man kan ta del av helt anonymt.

Behandlingen har enligt Bonnier News AB sannolikt inte en negativ påverkan på den registrerades intresse.

Den behandling som sker ligger inom de registrerades rimliga förväntningar på grund av att de individer som kommer i kontakt med bolagen gör detta av fri vilja i syfte att ta del av innehåll på webbsajter, köpa tjänster och/eller produkter och att de alltid har en kund-/användarrelation med ett eller flera koncernbolag. Vidare innehåller bolagens personuppgiftspolicys tydlig information om hur kunders och användares personuppgifter behandlas och delas inom koncernen. Den behandling som utförs inom ramen för KDB/beteendedatabasen är tätt förknippad med bolagens tjänster och produkter vilket torde ha betydelse för konsumentens förväntansbild. Att en koncern av effektivitetsskäl samordnar system och centrala funktioner samt delar viss data torde inte heller vara oväntat för de registrerade. Kunder som inte anmält sig till NIX-registret har en rimlig förväntan att deras kontaktuppgifter kan komma att användas för postal direktmarknadsföring eller telefonförsäljning. Konsumenter är vana vid denna typ av marknadsföring.

I den koncerngemensamma policyn ges information om direktmarknadsföring och telefonförsäljning. Där framgår att adresser och telefonnummer kan användas av Bonnierbolagen för direktmarknadsföring via post och telefonförsäljning. Det framgår vidare att Bonnierbolagen kan välja segment som de tror är relevanta för den aktuella kampanjen, t.ex. "män i åldersspannet 40-45 år som bor i Stockholm". Det framgår också att Bonnierbolagen alltid respekterar NIX-spärrar och om någon har invänt mot marknadsföringen.

3.6.3 IMY:s bedömning

IMY behandlar de två första stegen i intresseavvägningen gemensamt för de kompletterade och enkla beteendeprofilerna (avsnitt 3.6.4 och 3.6.5). Därefter behandlas det tredje och sista steget separat för de kompletterade beteendeprofilerna (avsnitt 3.6.6) och de enkla beteendeprofilerna (avsnitt 3.6.7).

3.6.4 Är Bonnier News AB:s intresse att profilera enskilda i syfte att tillgängliggöra uppgifter till anslutna bolag att användas vid telefonförsäljning och postal direktmarknadsföring berättigat?

Bonnier News AB:s intresse att skapa profiler för att tillgängliggöra uppgifterna för anslutna bolag för att användas vid telefonförsäljning och postal direktmarknadsföring är av kommersiell natur. IMY bedömer att bolagens intresse är lagenligt, verkligt och faktiskt hos Bonnier News AB och de anslutna bolagen som uppgifterna lämnas ut till. Mot den bakgrunden bedömer IMY att bolagets intresse att skapa profiler för att tillgängliggöra uppgifter till anslutna bolag i syfte att användas vid telefonförsäljning och postal direktmarknadsföring är berättigat.

3.6.5 Är behandlingen nödvändig för intresset att profilera enskilda i syfte att tillgängliggöra uppgifter till bolag för att användas vid telefonförsäljning och postal direktmarknadsföring?

Kravet på nödvändighet i artikel 6.1 f i dataskyddsförordningen ska prövas tillsammans med principen om uppgiftsminimering i artikel 5. Syftet med behandlingen är att tillgängliggöra uppgifter till bolag för att användas vid telefonförsäljning och postal direktmarknadsföring. I ärendet har framkommit att Bonnier News AB tillsammans med de andra bolagen har vidtagit åtgärder för att minimera antalet insamlade uppgifter och begränsa hur länge dessa uppgifter behandlas samt sett till att de databaser i vilka uppgifterna behandlas hålls separerade och att endast vissa uppgifter överförs däremellan. Vidare har bolaget tillsett att inte fler uppgifter än vad som behövs lämnas ut till de anslutna bolagen för att användas vid telefonförsäljning och postal direktmarknadsföring. Mot den bakgrunden finner IMY att behandlingen är nödvändig för det berättigade ändamålet.

3.6.6 Intresseavvägning för behandling av personuppgifter i kompletterade kunddatabasprofiler

Bonnier News AB har framhållit att de anslutna bolagen har ett intresse att marknadsföra sina produkter och tjänster på ett effektivt och integritetsvänligt sätt. IMY konstaterar dock att intresset att tillgängliggöra uppgifter för användning vid telefonförsäljning och postal direktmarknadsföring är ett kommersiellt intresse som inte väger särdeles tungt.

När det gäller bedömningen av de registrerades intressen beaktar IMY följande.

Den profilering som görs på de kompletterade kunddatabasprofilerna innefattar uppgifter som samlats in från anslutna bolag vid köp och prenumerationer (s.k. kundengagemang), uppgifter inhämtande från Bisnode Sverige AB samt uppgifter från beteendedatabasen (inklusive uppgifter som samlats in av de anslutna bolagen genom kakor). IMY har redan ovan konstaterat att Bonnier News AB inte bör ha större möjlighet än de anslutna bolagen att åberopa den rättsliga grunden berättigat intresse vid behandling av personuppgifter som de anslutna bolagen samlat in med hjälp av kakor. Den beteendedata som hämtas från beteendedatabasen om en registrerad till KDB samlas dessutom in från olika bolags webbsidor. IMY anser att de registrerade inte kan anses förvänta sig att deras beteendedata samlas in för marknadsföringssyfte

bara för att de besöker en webbsida. De kan inte heller anses förvänta sig att deras beteendedata kombineras med uppgifter från en annan köpsituation eller inhämtade uppgifter från andra register i syfte att kontaktas för telefonförsäljning eller postal direktmarknadsföring. Detta förändras inte av den integritetshöjande åtgärden att de anslutna bolagen som utför marknadsföringsåtgärden inte får tillgång till den insamlade beteendedatan utan endast kontaktuppgifter.

Av EDPB:s riktlinjer framgår att utrymmet att använda berättigat intresse som rättslig grund för profilering är beroende av hur detaljerad profilen är, hur omfattande profilen är, profileringens konsekvenser och de skyddsåtgärder som är avsedda att säkerställa en rättvis, icke-diskriminerande och korrekt profileringsprocess.

IMY anser att de registrerades integritetsintresse är starkt på grund av arten av uppgifterna eftersom uppgifterna möjliggör kartläggning av enskildas beteende och insamlingen av uppgifterna ges ett särskilt skydd i LEK.

IMY konstaterar vidare att det rör sig om sådan profilering som avses i artikel 4.4 i dataskyddsförordningen samt att profileringen är omfattande då den ger en fördjupad bild av den registrerade. Det är dessutom fråga om uppgifter som samlats in från olika webbsidor kombinerat med uppgifter som hämtats in från kundengagemang och statistiska data från Bisnode Sverige AB. IMY konstaterar mot denna bakgrund att behandlingens karaktär innebär att de registrerades integritetsintresse väger tungt.

IMY anser vid en sammanvägd bedömning att den registrerades integritetsintresse väger tyngre än Bonnier News AB:s och anslutna bolags intresse för den behandling av personuppgifter som är baserad på så kallade kompletterad kunddatabasprofil och som sker i syfte att tillgängliggöra kontaktuppgifter till anslutna bolag för telefonförsäljning och postal marknadsföring.

Mot den bakgrunden konstaterar IMY att Bonnier News AB har behandlat personuppgifter utan att ha rättslig grund för det enligt artikel 6.1 i dataskyddsförordningen genom att profilera de registrerade baserat på deras kompletterade kunddatabasprofiler i syfte att tillgängliggöra kontaktuppgifter till anslutna bolag för telefonförsäljning och postal marknadsföring.

3.6.7 Intresseavvägning för personuppgifter utan koppling till beteendedatabasen

Såsom IMY konstaterat ovan i avsnitt 3.6.6 är Bonnier News AB:s intresse främst ett kommersiellt intresse som inte väger särdeles tungt.

När det gäller bedömningen av de registrerades intressen för sådan behandling som saknar koppling till beteendedatabasen beaktar IMY följande. Bonnier News AB har vidtagit åtgärder för att minimera antalet datapunkter både i förhållande till principerna om uppgiftsminimering och lagringsminimering genom att inte dela uppgifter på artikelnivå, utan endast på produktkategori, varumärke och typ av paketering. Profileringen omfattar inte heller uppgifter som samlats in genom kakor. Av utredningen har vidare framgått att den enskilde har haft möjlighet att invända före behandlingen samt att Bonnier News AB respekterar de registrerades önskemål om att slippa marknadsföring som har noterats i nationella spärrlistor eller hos den personuppgiftsansvarige. IMY anser mot den bakgrunden att behandlingen ligger inom ramen för vad enskilda rimligen kan förvänta sig på grund av den information som lämnas och att uppgifter endast lämnas ut till anslutna bolag inom koncernen.

IMY anser vid en sammanvägd bedömning att de registrerades intressen eller grundläggande rättigheter inte väger tyngre än Bonnier News AB:s och de anslutna bolagens intressen för den aktuella behandlingen.

Mot den bakgrunden konstaterar IMY att Bonnier News AB har haft stöd för sin behandling i artikel 6.1 f i dataskyddsförordningen.

3.7 Val av ingripande

3.7.1 Tillämpliga bestämmelser och andra allmänna utgångspunkter

IMY har vid överträdelser av dataskyddsförordningen ett antal korrigerande befogenheter, bland annat reprimand, föreläggande och sanktionsavgifter. Det följer av artikel 58.2 a–j i dataskyddsförordningen. IMY ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall.

Om en personuppgiftsansvarig eller ett personuppgiftsbiträde, med avseende på en och samma eller sammankopplade uppgiftsbehandlingar, uppsåtligen eller av oaktsamhet överträder flera av bestämmelserna i denna förordning får den administrativa sanktionsavgiftens totala belopp inte överstiga det belopp som fastställs för den allvarligaste överträdelsen. Det framgår av artikel 83.3 i dataskyddsförordningen.

Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen. I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras och vid bedömningen av sanktionsavgiftens storlek.

EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer för beräkning av sanktionsavgifter.

Om det är fråga om en mindre överträdelse får IMY enligt skäl 148 till dataskyddsförordningen istället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b.

3.7.2 Samma eller sammankopplade uppgiftsbehandlingar

IMY har ovan i tre fall bedömt att Bonnier News AB saknat stöd i artikel 6.1 i dataskyddsförordningen för sin behandling av personuppgifter. IMY bedömer att dessa behandlingar, som alla sker i bolagets databaser genom profilering i marknadsföringssyfte, är sammankopplade med varandra på det sätt som avses i artikel 83.3 i dataskyddsförordningen.

3.7.3 Sanktionsavgift

IMY har bedömt att Bonnier News AB har överträtt artikel 6.1 i dataskyddsförordningen vid sin behandling av personuppgifter som sker i syfte att visa anpassade annonser och att tillgängliggöra kontaktuppgifter till anslutna bolag för telefonförsäljning och postal direktmarknadsföring. IMY anser inte att det är fråga om mindre överträdelser.

Bonnier News AB ska därför påföras en administrativ sanktionsavgift för dessa överträdelser.

IMY konstaterar att överträdelser av artikel 6.1 i dataskyddsförordningen omfattas av artikel 83.5 vilket innebär att en sanktionsavgift på upp till tjugo miljoner EUR eller fyra procent av den globala årsomsättningen under föregående budgetår, beroende på vilket som är högst, kan påföras.

Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag ska den definition av begreppet företag användas som EU-domstolen använder vid tillämpning av artiklarna 101 och 102 i EUF-fördraget (se skäl 150 i dataskyddsförordningen). Av domstolens praxis framgår att detta omfattar varje enhet som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering samt även om enheten i juridisk mening består av flera fysiska eller juridiska personer.

IMY bedömer att det företags omsättning som ska läggas till grund för beräkning av den administrativa sanktionsavgift som Bonnier News AB kan åläggas är Bonnier News AB:s moderbolag Albert Bonnier AB. Av inhämtade uppgifter framgår att Albert Bonnier AB:s årsomsättning år 2021 var 23 299 000 000 kronor. Det högsta sanktionsbelopp som kan fastställas i ärendet är fyra procent av detta belopp, det vill säga cirka 931 960 000 kronor.

IMY bedömer att följande faktorer har betydelse för bedömningen av överträdelsens allvarlighet.

Det har varit fråga om profilering av enskilda som skett i vinstsyfte både när profileringen skett för att visa anpassade annonser och när den skett för att lämna ut kontaktuppgifter för telefonförsäljning och postal marknadsföring.

Profileringen som skett för att visa anpassade annonser har i de fall uppgifter i beteendedatabasen om enskildas surfbeteende har kunnat kopplas till KDB innefattat surfhistorik, köphistorik samt demografiska och statistiska uppgifter. Det har varit fråga om en överträdelse som pågått under en längre tid och rört ett stort antal registrerade och omfattat en stor mängd personuppgifter. Uppgifterna som behandlas utgör dock, såvitt framkommit, inte sådana särskilda kategorier av personuppgifter som anges i artikel 9 i dataskyddsförordningen. IMY har i detta beslut bedömt att profileringen genom kompletterande beteendeprofiler, varit omfattande till sin karaktär.

Även för den profilering av personuppgifter i KDB där koppling funnits till uppgifter i beteendedatabasen, så kallade kompletterade kunddatabasprofiler har IMY gjort bedömningen att profileringen varit omfattande till sin karaktär, eftersom den innehållit uppgifter som samlats in om den enskildes surfbeteende inhämtade från flera webbplatser kombinerade med uppgifter från gjorda köp (kundengagemang) samt uppgifter inhämtade från Bisnode Sverige AB. IMY gör dock bedömningen att aktuell personuppgiftsbehandling inte medför stora konsekvenser för de registrerade. Det rör sig om påverkan som bedöms vara måttlig.

IMY anser i båda dessa fall att den profilering som skett där uppgifter kunnat kopplas samman i de båda databaserna, kompletterande beteendeprofiler och de kompletterande kunddatabasprofilena, har högre allvarlighetsgrad jämfört med den

överträdelse som rör den profilering som sker i de så kallade enkla beteendeprofilerna för att visa anpassade annonser. IMY anser att den profilering som sker i de så kallade enkla beteendeprofilerna för att visa anpassade annonser i och för sig är sanktionsgrundande, men att den har en lägre allvarlighetsgrad än de överträdelser där en koppling kunnat göras mellan de olika databaserna. Skälet till det är att det rör sig om färre uppgifter om de registrerade och om indirekta personuppgifter. IMY väger dock in att även denna överträdelse innefattar systematisk behandling som pågått under en längre tid och rört ett stort antal registrerade.

De åtgärder som Bonnier vidtagit för att begränsa intrånget i de registrerades personliga integritet, i form av satta lagringsfrister, att uppgifter inte registreras på produktnivå, att inte fler uppgifter än nödvändigt lämnas ut till anslutna bolag, medför enligt IMY att överträdelsernas allvarlighetsgrad minskas i betydande mån. Personuppgifterna har heller inte lämnats ut utanför koncernen. IMY har uppmärksammat att Bonnier News AB genomgående har vidtagit åtgärder för att minska integritetsintrånget för de registrerade i sitt koncerngemensamma samarbete. Även detta förhållande beaktas vid bedömningen av överträdelsernas allvar.

IMY bedömer mot bakgrund av ovanstående omständigheter att det sammantaget rör sig om överträdelser av låg allvarlighetsgrad. Utgångspunkten för beräkningen av sanktionsavgiften bör därför vara lågt i förhållande till det aktuella maxbeloppet.

Utöver bedömningen av överträdelsens allvar ska IMY bedöma om det föreligger några försvårande eller förmildrande omständigheter som får betydelse för sanktionsavgiftens storlek. IMY bedömer att det saknas ytterligare försvårande eller förmildrande omständigheter, utöver de som beaktas vid bedömningen av allvarlighetsgraden ovan, som påverkar sanktionsavgiftens storlek.

Mot bakgrund av överträdelsens allvar, försvårande och förmildrande omständigheter och den höga omsättningen i förhållande till de konstaterade överträdelserna bestämmer IMY den administrativa sanktionsavgiften för Bonnier News AB till 13 000 000 kronor. IMY bedömer att detta belopp är effektivt, proportionerligt och avskräckande.

__________________________________________

Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Ulrika Bergström. Vid den slutliga handläggningen har även rättschefen David Törngren och enhetschefen Catharina Fernquist deltagit.

Lena Lindgren Schelin, 2023-06-26 (Det här är en elektronisk signatur)

Bilaga

Information om betalning av sanktionsavgift

Kopia till

DSO

4. Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning. Ni kan eposta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.