Bonnier News AB – Reprimand mot Bonnier för bristande information

Datum: Tillsyn enligt dataskyddsförordningen – Expressen Lifestyle AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Expressen Lifestyle AB (556025-4525), har behandlat personuppgifter i strid med artikel 13.1 c i dataskyddsförordningen genom att ange felaktig rättslig grund för behandlingen av de registrerades personuppgifter under maj 2018 fram till den 4 juni 2019.

Integritetsskyddsmyndigheten ger Expressen Lifestyle AB en reprimand enligt artikel 58.2 b i dataskyddsförordningen för överträdelse av 13.1 c i dataskyddsförordningen.

Redogörelse för tillsynsärendet

Integritetsskyddsmyndigheten (IMY) inledde den 4 juni 2019 en tillsyn mot Bonnier Magazine and Brands AB. Tillsynen var inte föranledd av något klagomål utan syftade till att granska om de samtycken som inhämtas för att uppfylla skyldigheten att ha en rättslig grund enligt artikel 6.1 i dataskyddsförordningen levde upp till kraven i dataskyddsförordningen på frivillighet, information och tydlighet samt att den rättsliga grunden tydligt framgår. Bonnier Magazine and Brands AB hade vid tillsynens inledande en kryssruta på sin webbsida tillsammans med texten. ”Jag godkänner prenumerationsvillkoren. Därmed samtycker jag till personuppgiftsbehandling inom Bonnierkoncernen.”

I sitt yttrande till IMY har Bonnier Magazines and Brands uppgett att informationen i registreringsflödet i bolagets webbshop, Magasinshoppen, av misstag inte uppdaterats på samma vis som på övriga webbsidor. I och med dataskyddsförordningens ikraftträdande 2018 genomförde Bonnier Magazine and Brands AB ett omfattande arbete som bland annat innebar att bolaget omvärderade sin lagliga grund för behandling av personuppgifter. I stället för samtycke grundar Bonnier Magazine and Brands AB sin behandling av kunders personuppgifter huvudsakligen på de rättsliga grunderna i artikel 6.1 b i dataskyddsförordningen, avtal, eller i artikel 6.1 f i dataskyddsförordningen, berättigat intresse. I det normala registreringsflöde som används på Bonnier Magazine and Brands AB:s webbsidor ombeds kunden att godkänna prenumerationsvillkoren och bekräfta att hen har tagit del av Bonnier Magazine and Brands AB:s dataskyddspolicy. Bonnier Magazines and Brands AB har uppgett att man omedelbart när IMY inledde tillsynen vidtagit åtgärder för att uppdatera Magasinshoppen med korrekt information i registreringsflödet.

Bonnier Magazines and Brands AB har genom fusion upplösts den 1 juni 2022 och gått upp i Expressen Lifestyle AB (556025-4525).

Motivering av beslutet

Av 23 kap. 1 § aktiebolagslagen (2005:551) följer att en fusions verkningar innebär att samtliga tillgångar och skulder övertas av ett annat bolag vid fusionstidspunkten. Det övertagande bolaget är därför ansvarig för de förpliktelser som fanns i det bolag som tagits över. Mot bakgrund av detta gör IMY bedömningen att det övertagande bolaget efter fusionstidspunkten är part i IMY:s tillsynsärende och denna tillsyn riktar sig därför mot Expressen Lifestyle AB.

När en personuppgiftsansvarig samlar in personuppgifter från en registrerad ska information gällande den rättsliga grunden för behandlingen framgå, enligt artikel 13.1 c i dataskyddsförordningen. Den personuppgiftsansvariga ska enligt artikel 12.1 i dataskyddsförordningen vidta åtgärder för att till den registrerade tillhandahålla denna information i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användningen av ett klart och tydligt språk. IMY anser att texten bredvid kryssrutan på bolagets webbsida ”Jag godkänner prenumerationsvillkoren. Därmed samtycker jag till personuppgiftsbehandling inom Bonnierkoncernen”, ger den registrerade intryck av att bolagets rättsliga grund för behandling av personuppgifter är samtycke enligt artikel 6.1. a i dataskyddsförordningen. Den informationstext som fanns under länken med texten om prenumerationsvillkoren förstärker detta ytterligare genom formuleringen ”Vid beställning samtycker du till att dina personuppgifter inklusive e-postadress, mobiltelefonnummer för samtal och sms-meddelanden och eventuella andra digitala adresser, får lagras och användas inom Bonnier för digitala tjänster, marknadsföring, samt för statistik- och analysändamål.”. Vidare lämnas på samma ställe information om villkoren för samtycke inklusive rätten att återkalla samtycket.

Bolaget har uppgett att bolaget inte grundar sin behandling av kunders personuppgifter på samtycke utan huvudsakligen på de rättsliga grunderna avtal eller berättigat intresse enligt artikel 6.1 b och f i dataskyddsförordningen.

IMY konstaterar mot den bakgrunden att bolaget behandlat personuppgifter i strid med artikel 13.1 c i dataskyddsförordningen genom att ange felaktig rättslig grund för behandlingen av registrerades personuppgifter.

Val av ingripande

Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

IMY konstaterar följande relevanta omständigheter. Bonnier Magazines and Brands AB vidtog omedelbart åtgärder när IMY inledde sin tillsyn för att uppdatera

informationen i registreringsflödet på sin webbplats så att den registrerade därefter varken mötts av en samtyckesbegäran eller informationstext om samtycke. I stället ombeds den registrerade att godkänna prenumerationsvillkoren (dvs köpevillkoren) och bekräfta att hen tagit del av bolagets dataskyddspolicy. Webbsidan har inte varit den sida som de flesta av bolagets kunder tecknat sina prenumerationer genom. Användningen av webbshopen har därför varit begränsad varför endast 1372 kunder tecknat sina prenumerationer via denna webbsida under aktuell tidsperiod. Vidare var det ett misstag att webbsidan inte uppdaterades i samband med att bolaget såg över sina rutiner i samband med dataskyddsföreningens ikraftträdande. IMY bedömer att den aktuella bristen inte haft allvarliga konsekvenser för de registrerade. Mot denna bakgrund bedömer IMY att det är fråga om en sådan mindre överträdelse i den mening som avses i skäl 148 som medför att Expressen Lifestyle AB ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för den konstaterade bristen.

Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av juristen Ulrika Bergström.

Catharina Fernquist, 2023-06-26 (Det här är en elektronisk signatur)

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.