Spotify, rätten till tillgång

5.3 Brister i information enligt artikel 15.1 och 15.2 i dataskyddsförordningen

Integritetsskyddsmyndighetens beslut

Spotifys generella rutiner för hantering av begäran om tillgång

Integritetsskyddsmyndigheten konstaterar att Spotify AB (556703-7485) under perioden från och med den 16 november 2021 till och med den 16 maj 2022 i den information som ska lämnas enligt artikel 15.1 och 15.2 i dataskyddsförordningen inte lämnat tillräckligt tydlig information om

– ändamålen med behandlingen, – kategorier av personuppgifter som behandlingen gäller, – kategorier av mottagare av personuppgifterna, – de förutsedda perioder under vilka personuppgifter kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period, – varifrån personuppgifter kommer, – lämpliga skyddsåtgärder när personuppgifter överförs till tredjeland.

Integritetsskyddsmyndigheten konstaterar vidare att Spotify AB under perioden från och med den 11 juni 2019 till och med den 16 maj 2022 genom att som standard tillhandahålla beskrivningen av uppgifterna i de tekniska loggfilerna på engelska inte har uppfyllt kraven på att all kommunikation som lämnas till den registrerade enligt artikel 15 i dataskyddsförordningen ska vara tydlig och begriplig på sätt som anges i artikel 12.1 i dataskyddsförordningen.

Spotify AB har därmed behandlat personuppgifter i strid med artiklarna 12.1, 15.1 a-d, 15.1 g och 15.2 i dataskyddsförordningen.

Integritetsskyddsmyndigheten beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att Spotify AB för dessa brister ska betala en administrativ sanktionsavgift på 58 000 000 (femtioåttamiljoner) kronor.

Granskning av enskilda klagomål

Integritetsskyddsmyndigheten konstaterar avseende klagomål 1 att Spotify AB i sin hantering av klagandens begäran om tillgång som gjordes den 27 maj 2018 har behandlat personuppgifter i strid med – artikel 12.3 i dataskyddsförordningen, genom att kopian på personuppgifter har lämnats för sent, – artiklarna 12.1, 15.1 och 15.3 i dataskyddsförordningen, genom att i den kopia på personuppgifter som Spotify AB lämnat inte ha tillhandahållit samtliga klagandens personuppgifter i en begriplig form.

Integritetsskyddsmyndigheten konstaterar avseende klagomål 2 att Spotify AB i sin hantering av klagandens begäran om tillgång som gjordes den 10 oktober 2018 har behandlat personuppgifter i strid med

– artiklarna 15.1 och 15.3 i dataskyddsförordningen, genom att i den kopia på personuppgifter som Spotify AB lämnat inte ha gett tillgång till samtliga personuppgifter som Spotify AB behandlade om den klagande,

– artiklarna 15.1 a-h och 15.2 i dataskyddsförordningen, genom att inte ha tillhandhållit någon av den information som anges i dessa bestämmelser.

Integritetsskyddsmyndigheten ger Spotify AB en reprimand enligt artikel 58.2 b i dataskyddsförordningen för bristerna avseende klagomål 1 och 2.

Integritetsskyddsmyndigheten förelägger Spotify AB enligt artikel 58.2 c i dataskyddsförordningen att avseende klagomål 2 senast en månad efter att detta beslut vunnit laga kraft tillmötesgå klagandens begäran om tillgång genom att, med förbehåll för eventuellt tillämpliga undantag i artikel 15.4 i dataskyddsförordningen och 5 kap. dataskyddslagen , lämna klaganden tillgång till samtliga personuppgifter som Spotify behandlar om klaganden genom att förse den klagande med en kopia på personuppgifterna enligt 15.3 samt lämna information enligt artiklarna 15.1 a-h och 15.2.

1 Redogörelse för tillsynsärendet

Integritetsskyddsmyndigheten (IMY) har, mot bakgrund av att IMY tagit del av klagomål riktade mot Spotify AB (Spotify) gällande rätten till tillgång enligt artikel 15 i dataskyddsförordningen, inlett tillsyn mot Spotify i syfte att utreda om bolagets sätt att hantera registrerades begäran om tillgång är i enlighet med dataskyddsförordningens bestämmelser. IMY har inledningsvis granskat bolagets generella rutiner vid begäran om tillgång och inte vad som förevarit i de enskilda klagomålen. Granskningen har varit inriktad på huruvida bolagets processer och rutiner för att ge tillgång enligt artikel 15 på ett generellt plan möjliggör för registrerade att få tillgång till de personuppgifter bolaget behandlar om dem samt övrig information enligt bestämmelsen. Med registrerade avses i detta sammanhang de kunder som använder Spotifys tjänster och inte andra kategorier av registrerade, t.ex. anställda hos Spotify.

IMY har inom ramen för denna granskning inte kontrollerat vilka personuppgifter Spotify behandlar och om samtliga dessa ges ut vid varje enskild begäran. Exempelvis har någon jämförelse mellan Spotifys register över behandlingar enligt artikel 30 i dataskyddsförordningen och de personuppgifter som ingår i kopian på personuppgifter enligt artikel 15.3 i dataskyddsförordningen inte gjorts. IMY har inte heller inom ramen för denna tillsyn granskat huruvida Spotifys personuppgiftsbehandling i övrigt uppfyller dataskyddsförordningens bestämmelser, t.ex. avseende grundläggande principer och rättslig grund för behandlingen.

Tillsynsärendet inleddes med en tillsynsskrivelse den 11 juni 2019. Svar på tillsynsskrivelsen kom in den 31 juli 2019. Den 16 oktober 2019 skickades en begäran om komplettering i ärendet. Svar kom in den 15 november 2019. Spotify har därefter på eget initiativ inkommit med ytterligare kompletteringar den 25 augusti 2020 i syfte att informera IMY om uppdateringar avseende rutiner för hantering av begäran om tillgång.

Spotify är en organisation med verksamhet och användare i flera medlemsstater i EU. IMY har med hänsyn till att ärendet är gränsöverskridande tillämpat de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Samtliga dataskyddsmyndigheter i EU har varit berörda tillsynsmyndigheter i detta ärende. Med anledning av mekanismerna för samarbete och enhetlighet, och behovet av en harmoniserad klagomålshantering inom EU , utvidgade IMY i november 2020 den pågående generella tillsynen till att även omfatta vad som förevarit i tre enskilda klagomål, som också omfattar de klagomål som inledningsvis legat till grund för tillsynen av de generella rutinerna.

Den 5 november 2020 begärde IMY att Spotify skulle redogöra för sin inställning till de brister som görs gällande i klagomålen samt vilka åtgärder Spotify vidtagit för att svara på respektive begäran om tillgång. Spotify har svarat på IMY:s begäran den 18 december 2020. Spotify har därefter inkommit med kompletterande yttranden, den 15 april 2021 som svar på kompletterande frågor som IMY ställde den 24 mars 2021 samt den 31 augusti 2021 som svar på frågor som IMY ställde den 9 juli 2021.

Den 19 oktober 2021 skickades ytterligare en begäran om komplettering avseende Spotifys generella rutiner. Svar inkom den 12 november 2021. Den 8 juni samt den 17 oktober 2022 har Spotify på eget initiativ inkommit med ytterligare kompletteringar i syfte att informera IMY om uppdateringar avseende rutiner för hantering av begäran om tillgång.

Spotify har yttrat sig över IMY:s utkast till beslut den 20 december 2022. IMY har därefter berett övriga berörda tillsynsmyndigheter tillfälle att yttra sig i enlighet med artikel 60 i dataskyddsförordningen. Den franska dataskyddsmyndigeten har därvid uttryckt en relevant och motiverad invändning mot IMY:s utkast till beslut. Spotify har den 13 mars 2023 beretts tillfälle att yttra sig över invändningen samt IMY:s reviderade utkast till beslut. Spotifys svar inkom den 11 april 2023.

Tillsynsärendet omfattar mot bakgrund av det ovanstående dels en granskning av Spotifys generella rutiner för hantering av begäran om tillgång, dels en granskning av vad som förevarit i de tre klagomålen. De generella rutiner avseende tillhandahållandet av personuppgifter enligt artikel 15.1 och 15.3 i dataskyddsförordningen som granskats är de som varit gällande från det att IMY:s tillsyn inleddes den 11 juni 2019 fram till och med 16 maj 2022. Vad gäller den information enligt artikel 15.1 och 15.2 i dataskyddsförordningen som ska lämnas vid en begäran om tillgång har Spotify uppdaterat den ett flertal gånger sedan tillsynen inleddes. IMY har därför begränsat sin granskning till den information som var gällande under perioden från och med den 16 november 2021 till och med den 16 maj 2022.

2 Tillämpliga bestämmelser

Enligt artikel 15.1 i dataskyddsförordningen har den registrerade rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och information om

a) Ändamålen med behandlingen. b) De kategorier av personuppgifter som behandlingen gäller. c) De mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut, särskilt mottagare i tredjeländer och internationella organisationer. d) Om möjligt, den förutsedda period under vilken personuppgifterna kommer att lagras, eller om detta inte är möjligt, de kriterier som används för att fastställa denna period. e) Förekomsten av rätten att av den personuppgiftsansvarige begära rättelse eller radering av personuppgifterna eller begränsningar av behandling av personuppgifter som rör den registrerade eller att invända mot sådan behandling. f) Rätten att inge klagomål till en tillsynsmyndighet. g) Om personuppgifterna inte samlas in från den registrerade, all tillgänglig information om varifrån dessa uppgifter kommer. h) Förekomsten av automatiserat beslutsfattande inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull

information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.

I artikel 15.2 i dataskyddsförordningen anges att om personuppgifterna överförs till ett tredjeland eller till en internationell organisation, ska den registrerade ha rätt till information om de lämpliga skyddsåtgärder som i enlighet med artikel 46 har vidtagits vid överföringen.

Av artikel 15.3 i dataskyddsförordningen följer att den personuppgiftsansvarige ska förse den registrerade med en kopia av de personuppgifter som är under behandling. Vidare framgår att om begäran görs i elektronisk form ska informationen, om inte annat begärs, tillhandhållas i ett elektroniskt format som är allmänt använt.

I skäl 63 till dataskyddsförordningen anges, såvitt nu relevant, följande:

Den registrerade bör ha rätt att få tillgång till personuppgifter som insamlats om denne samt på enkelt sätt och med rimliga intervall kunna utöva denna rätt, för att vara medveten om att behandling sker och kunna kontrollera att den är laglig. (…) Alla registrerade bör därför ha rätt att få kännedom och underrättelse om framför allt för vilka ändamål personuppgifterna behandlas, om möjligt vilken tidsperiod behandlingen pågår, vilka som mottar personuppgifterna, bakomliggande logik i samband med automatisk behandling av personuppgifter och, åtminstone när behandlingen bygger på profilering, konsekvenserna av

sådan behandling. (…)

Av artikel 12.1 i dataskyddsförordningen följer därutöver att den personuppgiftsansvarige ska vidta lämpliga åtgärder för att all kommunikation som ges till den registrerade enligt artikel 15 ska vara i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av ett klart och tydligt språk.

Av artikel 12.2 i dataskyddsförordningen följer att den personuppgiftsansvarige ska underlätta utövandet av den registrerades rätt till tillgång enligt artikel 15.

Enligt artikel 12.3 i dataskyddsförordningen ska den personuppgiftsansvarige på begäran, utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran, tillhandahålla den registrerade information om de åtgärder som vidtagits enligt artikel 15 i dataskyddsförordningen. Denna period får vid behov förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet inkomna begäranden. Den personuppgiftsansvarige ska underrätta den registrerade om en sådan förlängning inom en månad från det att begäran mottagits samt ange orsakerna till förseningen.

3 Spotifys generella rutiner för hantering av begäran om tillgång - Motivering av beslut

3.1 Information - artikel 15.1 a-h och 15.2 i dataskyddsförordningen

3.1.1 Vad som framkommit i ärendet

Spotify har sammanfattningsvis uppgett följande. Spotify tillhandahåller information i enlighet med artikel 15.1 a-h och 15.2 i dataskyddsförordningen via en onlinefunktion. Denna funktion finns tillgänglig på 21 olika språk och de som besöker sidan kommer

automatiskt att ges informationen på språk baserat på språkinställningar i deras webbläsare.

Registrerade som utövar sin rätt till tillgång informeras om funktionen på flera sätt. I varje kopia på personuppgifter, som tillhandahålls enligt artikel 15.3 i dataskyddsförordningen, inkluderas en länk till informationen. Informationen går även att hitta online, dels i listan med tillgängliga funktioner på bolagets sida för ”Integritet & Säkerhet” dels via svaret på frågan ”Var hittar jag information om Spotifys behandling av personuppgifter som Spotify är skyldig att tillhandahålla enligt artikel 15 i GDPR?” på bolagets sida för ”Personuppgiftsrättigheter och sekretessinställningar”.

I den information enligt artikel 15 i dataskyddsförordningen som Spotify lämnat under perioden från och med den 16 november 2021 till och med den 16 maj 2022, som IMY tagit del av, lämnade Spotify bland annat information om syfte med behandling (artikel 15.1 a), vilka kategorier av personuppgifter som behandlas (artikel 15.1 b), mottagare eller kategorier av mottagare (artikel 15.1 c) och personuppgifternas källa (artikel 15.1 g). Utöver det innehöll informationen enligt artikel 15 även information om internationella överföringar (artikel 15.2), kriterier för hur länge personuppgifterna sparas (artikel 15.1 d), vilka rättigheter den registrerade har (artikel 15.1 e), rätten att lämna in ett klagomål till dataskyddsmyndigheten (artikel 15.1 f), automatiserat beslutsfattande (artikel 15.1 h) och möjligheten att erhålla en kopia på personuppgifter.

I informationen enligt artikel 15 i dataskyddsförordningen informerade Spotify också om att behandlingen av personuppgifter beskrivs mer ingående i bolagets integritetspolicy, vilken också kunde nås genom en direktlänk. I integritetspolicyn finns bland annat beskrivningar av de kategorier av personuppgifter som Spotify behandlar.

Spotify har uppgett att alla frågor som inte besvaras av informationen enligt artikel 15 i dataskyddsförordningen eller som inte har förklarats för användaren på ett tillfredsställande sätt eskaleras skyndsamt till bolagets dataskyddsteam. På det sättet, uppger bolaget, får dataskyddsteamet kännedom om, och ges möjlighet att besvara, frågor om förtydliganden eller begäran om mer individualiserad information om personuppgiftsbehandlingen enligt artikel 15 i dataskyddsförordningen.

3.1.2 Integritetsskyddsmyndighetens bedömning

IMY konstaterar att Spotifys funktion för information enligt artikel 15 i dataskyddsförordningen under den period som är föremål för granskning fanns tillgänglig på flera olika sidor på Spotifys webbplats. Vidare inkluderades en länk till informationen i den ”Read me first”-fil som bifogades varje kopia på personuppgifter som tillhandahölls den registrerade i enlighet med artikel 15.3 i dataskyddsförordningen vid en begäran om tillgång. IMY bedömer med hänsyn till det ovanstående att Spotifys rutiner under den aktuella perioden var tillräckliga för att säkerställa att information enligt artikel 15 lämnades till den registrerade vid varje begäran om tillgång.

IMY konstaterar vidare att Spotifys information enligt artikel 15 i dataskyddsförordningen omfattade alla de punkter med information som enligt artikel 15.1 a-h och 15.2 i dataskyddsförordningen ska tillhandahållas den registrerade. För att informationen ska nå upp till de krav som ställs i dataskyddsförordningen måste

informationen dock också utformas på ett sådant sätt att syftet med rätten till tillgång uppfylls.

Syftet med rätten till tillgång är att den registrerade ska vara medveten om att behandling sker och kunna kontrollera att den är laglig, vilket framgår av skäl 63 till dataskyddsförordningen. En registrerad ska till exempel ha möjlighet att kontrollera vilka kategorier av uppgifter som behandlas om honom eller henne, för vilka ändamål och under hur lång tid. För att den registrerade ska kunna kontrollera om personuppgiftsbehandlingen är laglig måste han eller hon veta vilka behandlingar som är aktuella i hans eller hennes specifika fall. Informationen som lämnas måste härvid ges på ett sätt som uppfyller kraven på transparens i artikel 12.1 i dataskyddsförordningen.

Mot bakgrund av syftet med rätten till tillgång, finns det många gånger behov av att anpassa innehållet i informationen enligt artikel 15.1 och 15.2 i dataskyddsförordningen till den registrerade som har gjort begäran, till exempel beroende på vilka av den personuppgiftsansvariges tjänster som den registrerade har valt att använda. Det gäller dock inte alla delar av informationen. Medan rätten att inge klagomål till en tillsynsmyndighet (artikel 15.1 f i dataskyddsförordningen) inte förändras beroende på vem som begär tillgång, kan andra uppgifter variera beroende på vilken tjänst den registrerade använder, till exempel vilka kategorier av personuppgifter som behandlas, mottagare och varifrån personuppgifter samlats in. Detsamma gäller information om huruvida överföring skett till tredjeland och i så fall vilka lämpliga skyddsåtgärder som har vidtagits vid överföringen.

För att den registrerade ska ha möjlighet att kontrollera att behandlingen avseende honom eller henne är laglig krävs därför, i enlighet med vad som anförts ovan, att Spotify ska ha vidtagit åtgärder för att anpassa informationen till den registrerades specifika situation.

IMY konstaterar att den information som Spotify lämnat enligt artikel 15 i dataskyddsförordningen var generellt utformad. Samma information lämnades således oberoende av vem som begärt att få tillgång enligt artikel 15 i dataskyddsförordningen. Informationen anpassades således inte utifrån varje begäran om tillgång. Däremot beskrev Spotify när en viss information var aktuell för den registrerade, exempelvis ”Om du använder en tredjepartstjänst (…)”, ”Om du väljer att betala för en tjänst eller funktion via faktura (…)” och ” I de fall då du har gett oss tillåtelse (…)”. Det fanns därigenom vissa förutsättningar för den registrerade att avgöra vilken information som avsåg honom eller henne. Det fanns också en möjlighet för registrerade att vända sig till Spotify och begära mer individualiserad information liksom förtydliganden av den information som hade lämnats.

IMY anser att sådan generellt utformad information kan vara lämplig för standardiserade tjänster som innefattar personuppgiftsbehandling. För att de registrerade ska förstå hur deras personuppgifter behandlas måste det dock alltid vara möjligt att klart och enkelt utläsa vilken information som är tillämplig i vilka situationer utifrån den informationen som lämnas. Det innebär att möjligheten för de registrerade att vända sig till Spotify för att få mer individualiserad information liksom förtydliganden inte påverkar bedömningen av om informationen är tillräckligt tydlig i det här avseendet. Generellt utformad information får inte medföra några oklarheter gällande

huruvida den registrerade berörs av den aktuella informationen eller inte baserat på dennes individuella situation. IMY har därför att pröva om den information som Spotify lämnade levde upp till dessa krav.

Information om kategorier av personuppgifter, ändamål, mottagare och källa

Information om ändamål med behandlingen ska avse de ändamål för vilka den registrerades personuppgifter faktiskt behandlas, och får inte endast bestå av en uppräkning av olika ändamål utan att det klargörs vilka ändamål som är aktuella för den som begär tillgång. Vidare kan information om de kategorier av personuppgifter som behandlas behöva anpassas till omständigheterna för den registrerade som begär tillgång. När det gäller uppgift om mottagare eller kategorier av mottagare bör sådan information vara så specifik som möjligt. Den personuppgiftsansvarige bör normalt uppge till vilka faktiska mottagare som personuppgifterna har eller ska lämnats ut, om det inte är omöjligt på grund av att det till exempel ännu inte finns någon information om vilka mottagarna är. Därutöver ska all tillgänglig information lämnas om varifrån personuppgifterna kommer, om personuppgifterna inte samlats in från den registrerade.

Vad avser den information som Spotify lämnat om ändamål med behandlingen, mottagare av personuppgifter och källa från vilken uppgifterna samlades in konstaterar IMY att informationen var uppdelad utifrån olika kategorier av personuppgifter. Dessa kategorier av personuppgifter utgjordes av ”användardata”, ”användningsdata”, ”data om planverifiering”, ”röstdata”, ”betalnings‑ och köpdata” och ”tävlings‑, enkät‑ och lotteridata”. De kategorier av personuppgifter som angavs var allmänt hållna och innehöll i flera fall, till exempel avseende ”användardata” och ”användningsdata” ingen närmare beskrivning av vilka personuppgifter som kunde innefattas. IMY anser att det, särskilt i avsaknad av en tydlig beskrivning av de aktuella kategorierna, inte var möjligt för de registrerade att utifrån den lämnade informationen förstå vilka personuppgifter som innefattades i de olika kategorierna. Eftersom informationen om ändamål, mottagare och källa var indelad efter dessa kategorier av personuppgifter medför denna brist att det inte heller var möjligt för registrerade att enkelt förstå vilka personuppgifter som behandlades för vilka ändamål, vilka personuppgifter som hämtats från vilken källa eller vilka personuppgifter som lämnats till en viss mottagare eller kategori av mottagare. De registrerade har därmed inte haft möjlighet att utläsa på vilket sätt just deras personuppgifter behandlades.

IMY anser därför att Spotify inte lämnat tillräckligt tydlig information om ändamålen med behandlingen (artikel 15.1 a i dataskyddsförordningen), de kategorier av personuppgifter behandlingen gäller (artikel 15.1 b i dataskyddsförordningen), mottagare eller kategorier av mottagare (artikel 15.1 c i dataskyddsförordningen) eller källa från vilken uppgifterna samlades in (artikel 15.1 g i dataskyddsförordningen). Informationen var inte koncis, klar och tydlig samt inte heller lättillgänglig. Den uppfyllde därmed inte heller kraven i artikel 12.1 i dataskyddsförordningen.

Information om lagringsperiod

Information som lämnas om hur länge personuppgifter lagras ska vara tillräckligt specifik för att den registrerade ska förstå hur länge dennes personuppgifter kommer att lagras. Är det inte möjligt att ange tidpunkten för radering bör istället den relevanta

händelsen som påverkar bevarandet specificeras, till exempel utgången av en garantiperiod. Lagringsperioderna ska avse de personuppgifter som är kopplade till den registrerade som begär tillgång. Om dessa personuppgifter är föremål för olika lagringsperioder ska information om lagringsperioderna anges i förhållande till varje aktuell personuppgiftsbehandling och kategori av personuppgifter.

Spotify lämnade information om lagringsperioder under rubriken ”Kriterier för kvarhållande av personuppgifter”. Informationen innehöll en generell information om för vilka ändamål personuppgifterna sparas samt kriterier som används för att fastställa lagringsperioderna. Bland annat angavs att personuppgifter som standard bevaras 90 dagar, såvida inte en längre period väljs på grund av ett legitimt affärsskäl. Vidare angavs bland annat att personuppgifter lagras under en lämplig period för att leverera en personlig tjänst över tid samt att streaminghistorik vanligtvis bevaras under ett kontos livstid.

Informationen om hur länge uppgifter bevaras var generellt utformad och, med undantag bland annat för informationen om streaminghistorik, inte tydligt kopplad till vilka kategorier av personuppgifter som avsågs med de olika lagringstiderna. De registrerade kunde därför svårligen utläsa vilka av deras personuppgifter som bevarades under vilken tidsperiod. De kriterier för fastställande av lagringsperioden som angavs i informationen var vidare i vissa fall mycket oprecisa. Det är till exempel svårt för en registrerad att förstå vad som innefattades i ”legitimt affärsskäl” och därmed i vilka situationer personuppgifter bevarades längre än 90 dagar eller vad det innebar att streaminghistorik ”vanligtvis” bevarades under ett kontos livstid.

IMY anser vid en samlad bedömning att den information som lämnats angående lagringsperioder inte uppfyllde kraven i artikel 15.1 d i dataskyddsförordningen dels då informationen i denna del var generellt utformad och saknade koppling till aktuell kategori av personuppgifter, dels då vissa av de kriterier som användes för att fastställa lagringsperioden var för oprecisa för att den registrerade skulle kunna förstå hur länge dennes personuppgifter lagrades. Informationen var inte koncis, klar och tydlig samt inte heller lättillgänglig. Den uppfyllde därmed inte heller kraven i artikel 12.1 i dataskyddsförordningen.

Information om tredjelandsöverföring

För att den registrerade ska kunna bedöma om en eventuell överföring av dennes personuppgifter till tredjeland är laglig måste den registrerade få meningsfull information som gör det möjligt att utläsa om dennes personuppgifter har överförts och i så fall vilka skyddsåtgärder som har använts. För att möjliggöra den registrerades kontroll av om hans eller hennes personuppgifter har behandlats lagligt bör det i normalfallet också framgå till vilka tredjeländer överföring har skett.

I den information som Spotify lämnade angående överföringar till tredjeland framgick under rubriken ”Internationella överföringar” att Spotify kan dela personuppgifter globalt med andra företag i Spotify Group, tjänsteleverantörer, partners osv. Vidare angavs att Spotify säkerställer att överföringen genomförs i enlighet med tillämpliga lagar om dataskydd och sekretess och att tekniska och organisatoriska åtgärder, och i synnerhet lämpliga skyddsåtgärder, tillämpas, t.ex. de standardavtalsklausuler som

godkänts av EU-kommissionen när personuppgifter överförs från Europeiska ekonomiska samarbetsområdet (EEA).

IMY konstaterar att den information som Spotify lämnade angående tredjelandsöverföringar var generellt utformad och inte kopplad till den registrerades egen situation. Det framgick därvid inte om den registrerades personuppgifter hade överförts till något tredjeland, och i så fall, vilka lämpliga skyddsåtgärder som hade vidtagits vid överföringen. Det framgick inte heller till vilka tredjeländer överföring hade skett. IMY bedömer därför att den information som lämnats angående tredjelandsöverföringar inte uppfyllde kraven i artikel 15.2 i dataskyddsförordningen. Informationen var inte koncis, klar och tydlig samt inte heller lättillgänglig. Den uppfyllde därmed inte heller kraven i artikel 12.1 i dataskyddsförordningen.

Sammanfattande bedömning av informationen enligt artikel 15.1 och 15.2 i dataskyddsförordningen

IMY finner sammanfattningsvis att den information som Spotify lämnat enligt artikel 15.1 och 15.2 i dataskyddsförordningen under perioden mellan den 16 november 2021 fram till och med den 16 maj 2022 har varit bristfällig i de ovan angivna avseendena. Spotify har därmed behandlat personuppgifter i strid med artiklarna 12.1, 15.1 a-d, 15.1 g och 15.2 i dataskyddsförordningen.

3.2 Rätten till tillgång till personuppgifter och kopia på personuppgifter under behandling – artikel 15.1 och 15.3 i dataskyddsförordningen

3.2.1 Vad som har framkommit i ärendet

Spotify har uppgett att deras svar på begäran om tillgång, med några få undantag, är utformade för att lämna ut samtliga personuppgifter som de behandlar avseende den registrerade. Bolaget har vidare redogjort för sina rutiner för att se till att samtliga personuppgifter lämnas ut, exempelvis vid nya eller uppdaterade personuppgiftsbehandlingar.

Kopian på personuppgifter som Spotify tillhandahåller enligt artikel 15.3 i dataskyddsförordningen kan ges genom tre olika svar, Typ 1, Typ 2 och Typ 3.

De personuppgifter som omfattas av Typ 1 är profilinformation och de personuppgifter som Spotify bedömt vara av störst intresse för de registrerade. I Typ 1 innefattas därför den registrerades spellistor, streaminghistorik och sökningar från det senaste året, objekt som sparats i den registrerades bibliotek, antalet följare den registrerade har, antalet användare den registrerade följer, namnen på artister den registrerade följer, användardata och betalningsinformation. För att ge den registrerade tillgång till Typ 1 information har bolaget infört en funktion som kallas ”ladda ned din data” på en webbsida för sekretessinställningar. Den webbsida genom vilken den registrerade kan få tillgång till dessa uppgifter är tillgänglig för samtliga kunder via deras Spotify-konto och tillhandahålls på samma språk som deras Spotify-tjänst. De registrerade får tillgång till Typ 1 informationen inom ca sju dagar. De registrerade kan också få tillgång till Typ 1 informationen genom att kontakta Spotifys kundtjänst.

Typ 2 informationen består av tekniska loggfiler som finns lagrade i Spotifys system kopplade till de registrerades användar-ID. För att få tillgång till Typ 2 informationen kan den registrerade skicka en begäran via Spotifys webbformulär för sekretessfrågor eller genom att kontakta kundservice eller Spotifys dataskyddsombud genom någon

annan kanal (e-post, Facebook, Twitter eller brev). Det tar cirka två till fyra veckor att sammanställa och lämna ut dessa personuppgifter.

Typ 3 information utgörs av den information som en registrerad särskilt begär och kan till exempel avse den registrerades lyssningshistorik vid ett visst datum, en utökad lyssningshistorik eller en förfrågan om ostrukturerade personuppgifter, till exempel en begäran om en viss e-postkorrespondens. Typ 3 information kan begäras på samma sätt som Typ 2 och en sådan begäran tar normalt mindre än 30 dagar att behandla. För det fall det tar längre tid att behandla begäran, till följd av begärans komplexitet, informeras den registrerade om förseningen.

Spotify har den 15 juni 2021 genomfört förändringar som innebär att alla Spotifyanvändare som begär en kopia på personuppgifter utöver vad som finns tillgängligt i “Ladda ned din data”-verktyget, eller som direkt begär en kopia på alla sina personuppgifter från Spotifys kundservice, får tillgång till utökad streaminghistorik såväl som teknisk logginformation i ett paket.

Spotify har uppgett att processens utformning och dess utveckling fram till idag är ett samlat resultat av gemensamma diskussioner, noggranna överväganden och analyser samt möten med berörda kundtjänst- och utvecklingsteam. Spotifys dataskyddsteam har lämnat råd beträffande legala krav och ”best practices” inom dataskydd och fortsätter kontinuerligt uppdatera dessa utifrån ett antal identifierade parametrar, omfattande bland annat relevant och aktuell lagstiftning, vägledningar, förmågan att snabbt besvara ett stort antal begäranden, användarvänlighet och kategorier av personuppgifter som behandlas.

Spotify har uppgett att de har över 232 miljoner aktiva användare per månad och att de under perioden den 25 maj 2018 till den 30 juni 2019 besvarat 753 575 begäranden om tillgång. Enligt Spotify har uppdelningen av uppgifter i tre olika typer gjort det möjligt att tillhandahålla ett snabbt och enkelt sätt för den registrerade att ladda ner de personuppgifter som troligen är mest relevanta för den registrerade och att generera svar i stor omfattning och med den snabbhet som krävs för att tillfredsställa majoriteten av de registrerade.

Spotify hänvisar vidare till uttalanden i EDPB:s riktlinjer om öppenhet om att det i dataskyddsförordningen finns en inneboende spänning mellan kraven att ge de registrerade omfattande information å ena sidan och att informationen ska ges i en koncis, klar och tydlig, begriplig och lätt tillgänglig form å andra sidan, att man måste bestämma hur man ska prioritera information som måste ges till de registrerade och vilka detaljnivåer och metoder som är lämpliga för att förmedla informationen samt att principen om öppenhet är en övergripande skyldighet. Spotify menar att dessa riktlinjer har relevans för utformningen av en koncis, öppen, lättförståelig och lättillgänglig process för registrerade att utöva sina rättigheter enligt artikel 15 i dataskyddsförordningen. Genom att ge tre lager av svar på begäran om tillgång till registrerade avser Spotify att balansera dataskyddsförordningens intressen på ett korrekt sätt till förmån för Spotifys registrerade. Spotifys mål är att ge korrekt information i enlighet med artikel 15 till samtliga registrerade vid rätt tidpunkt genom att lämna information i olika lager och på olika sätt.

Spotify har uppgett att bolaget informerade registrerade om att det var möjligt att begära tillgång till fler personuppgifter än de som omfattades av Typ 1 och Typ 2, samt

att denna information lämnades till registrerade innan de begärde tillgång till sina personuppgifter. Vidare har Spotify uppgett att det framgick att de registrerade kunde begära tillgång till fler personuppgifter än de som omfattades av Typ 1 genom att begära ett Typ 2-svar. Därutöver kunde registrerade kontakta Spotifys kundtjänst med särskilda förfrågningar (s.k. Typ 3 begäran). Informationen om detta lämnas på olika sätt, bland annat på webbsidan för ”Personuppgiftsrättigheter och sekretessinställningar” och på webbsidan där information enligt artikel 15 i dataskyddsförordningen finns publicerad. När en användare begär tillgång till de personuppgifter som omfattas av Typ 1 genom att gå in på ”Ladda ned din data” är det vidare enligt Spotify tydligt av sammanhanget att användare får tillgång till ett urval av sina personuppgifter och inte alla sina personuppgifter. På sidan ”Ladda ned din data” finns även en hänvisning till webbsidan ”Personuppgiftsrättigheter och sekretessinställningar”. Vid begäran enligt både Typ 1 och Typ 2 ges information enligt artikel 15 i dataskyddsförordningen vilken innehåller en heltäckande beskrivning av tillgänglig data. Informationskällorna förklarar även att användaren kan begära tillgång till sina personuppgifter via kundtjänst eller genom att kontakta Spotify via e-post. Om en användare kontaktar Spotifys kundtjänst för att utöva rätten till tillgång enligt artikel 15 i dataskyddsförordningen kan kundtjänst förklara samtliga tre typer av personuppgifter som finns tillgängliga samt informera användare om den ytterligare information som finns att tillgå. De registrerade informerades även om att de kunde begära tillgång till fler personuppgifter än vad de redan laddat ner på webbsidan ”Förstå mina data”.

Spotify har vidare under ärendets handläggning uppdaterat den information som riktar sig till de registrerade i syfte att göra det mer transparent för registrerade att det finns mer att begära än vad som finns tillgängligt i ”Ladda ned din data”-verktyget.

Avseende informationens tydlighet har Spotify uppgett i huvudsak följande. Vid utformningen av formatet för svar på begäran om tillgång fokuserade bolaget på att tillhandahålla all information på ett sätt som gör den relevant, transparent och till hjälp för de registrerade. Bolaget tog fram en rutin för att säkerställa att beskrivningarna av personuppgifterna är korrekta och kompletta vilket innefattade omfattande insatser för att översätta teknisk information till ett enkelt språk som kan förstås av en genomsnittlig kund, dock utan att ta bort sådana detaljer som krävs för transparens. För att underlätta förståelsen gör Spotify bland annat följande.

– Vid nedladdning av Typ 1 information får den registrerade också en så kallad ”Read Me First”- fil. I ”Read Me First”-filen finns en länk till webbsidan ”Förstå mina data”, där formatet och personuppgifterna som inkluderas i Typ 1 beskrivs. Denna sida har under ärendets handläggning uppdaterats för att nu även inkludera en generell beskrivning av uppgifterna i de tekniska loggfilerna och den utökade streaminghistoriken. De länkade sidorna visas automatiskt på kundens önskade språk baserat på språkinställningen i kundens webbläsare. – I Typ 2 informationen, som består av tekniska loggfiler , finns en del information som är mycket teknisk till sin natur. För att hjälpa registrerade att förstå formateringen av personuppgifterna tillhandahåller Spotify en detaljerad beskrivning av personuppgifterna i en särskild fil i samband med att uppgifterna lämnas ut (i en “Read Me First”-fil för Typ 2 begäran). Denna beskrivning tillhandahålls som standard på engelska. Spotify svarar också på kunders frågor om betydelsen av de personuppgifter som lämnats, som en del av sin process för registrerades begäran om tillgång. Spotify uppdaterar vidare kontinuerligt både

formatet för tekniska loggfiler hänförliga till kundens användar-ID (Typ 2) och motsvarande information i Typ 2 “Read Me First”-filen för att öka öppenheten baserat på de frågor som ställs. – Såvitt gäller särskilda förfrågningar (Typ 3), när de personuppgifter som tillhandahålls kan kräva förklaringar, kan Spotify vid behov lämna informationen i ett e-postmeddelande till den registrerade tillsammans med kopian på personuppgifterna.

Spotify har uppgett följande som bakgrund till att beskrivningen av Typ 2-uppgifterna som standard lämnas på engelska. För att säkerställa att informationen som bolaget tillhandahåller de registrerade är korrekt översatt till deras lokala språk skickas de filer som ska översättas på manuell översättning till professionella översättare. Mot bakgrund av att tekniska loggdata ändras mer dynamiskt över tid än andra personuppgifter som samlas in skulle bolaget behöva skicka den omfattande ”Read me First”-filen på översättning flera gånger i månaden. Detta skulle vara oproportionerligt och orimligt att göra för alla lokala språk med tanke på den extra tid, resurser och administration det skulle innebära. Vidare har många av de ord som förekommer i den tekniska loggdatan inte typiskt sett någon översättning eftersom de ofta speglar tekniska koncept som framför allt kommuniceras på engelska och vanligtvis inte översätts till lokala språk. Bolaget hjälper dock till med att översätta informationen till lokalt språk om en användare begär det i den utsträckning de tekniska termerna är möjliga att översätta. Spotify har vidare uppgett att de har besvarat ungefär 340 000 begäranden om att få ta del av tekniska loggfiler. Av dessa begäranden är det endast två registrerade som har vänt sig till bolaget och begärt en översättning av beskrivningen till sitt lokala språk. Spotify menar vidare att översättning av de tekniska loggfilerna utan begäran skulle innebära att alla registrerade skulle behöva vänta längre på att få sin rätt till tillgång av de tekniska loggfilerna tillgodosedd.

Avseende vilket format som används har Spotify uppgett att personuppgifterna tillhandahålls i JSON-format som enligt bolaget är ett strukturerat och allmänt använt format som kan förstås av både datorer och människor. Uppgifter som tillhandahålls till följd av en Typ 3 begäran tillhandahålls dock i det format som behövs för att besvara begäran.

Spotify har vidare den 17 oktober 2022 informerat IMY om att bolaget sedan den tidpunkten möjliggjort för registrerade att begära tillgång till kontodata, utökad streaminghistorik och teknisk logginformation direkt genom ”Ladda ned din data”verktyget, dvs. utan att kontakta kundtjänst. Dessa rutiner omfattas inte av IMY:s granskning då uppdateringen har skett efter den 16 maj 2022.

3.2.2 Integritetsskyddsmyndighetens bedömning

Den registrerade har enligt artikel 15.1 i dataskyddsförordningen rätt att få bekräftelse på om den personuppgiftsansvarige behandlar personuppgifter som rör honom eller henne och i så fall få tillgång till personuppgifterna. Den personuppgiftsansvarige har, enligt artikel 15.3, en skyldighet att förse den registrerade med en kopia av de personuppgifter som är under behandling. Rätten till tillgång är densamma oberoende av vem den personuppgiftsansvarige är men sättet att hantera en begäran om tillgång kan variera, bland annat beroende på omfattningen av de personuppgifter som behandlas och antalet registrerade. Enligt artikel 12.2 i dataskyddsförordningen har den personuppgiftsansvarige en skyldighet att underlätta för den registrerade att utöva sina rättigheter.

Syftet med rätten till tillgång är att den registrerade ska bli medveten om den behandling som sker och kunna kontrollera att den är laglig. Den personuppgiftsansvarige måste därför säkerställa att den kopia på personuppgifter som tillhandhålls innehåller alla de personuppgifter som behandlas om den registrerade och är utformad på ett sätt som är begripligt för den registrerade. Tillgång till personuppgifterna måste härvid ges på ett sätt som uppfyller kraven på transparens i artikel 12.1 i dataskyddsförordningen.

De krav som ställs på utformningen och innehållet i kopian innebär att de personuppgiftsansvariga som behandlar en stor mängd uppgifter eller uppgifter som är särskilt svåra att förstå, kan behöva vidta särskilda åtgärder när informationen presenteras för de registrerade.

Spotify, vars personuppgiftsbehandling är både omfattande och komplex, har tagit fram särskilda rutiner för att hantera begäranden om tillgång. Frågan är om dessa rutiner möjliggör för bolaget att ge tillgång till de personuppgifter de behandlar på ett sätt som tillgodoser den registrerades rätt till tillgång.

Uppdelning av kopian på personuppgifter i olika lager

Spotify delar upp kopian på personuppgifter i olika lager, Typ 1, Typ 2 och Typ 3.

IMY anser att det inte finns något hinder mot att dela upp kopian på personuppgifter så länge rätten till tillgång tillgodoses. Det kan i vissa situationer tvärtom underlätta för den registrerade att ta till sig informationen om den presenteras uppdelat, i vart fall när det är fråga om en omfattande mängd information. Tillhandahållandet av kopian på personuppgifter i olika lager får dock varken inskränka rätten till tillgång eller försvåra utövandet av den. Den personuppgiftsansvarige måste därför särskilt beakta detta vid bedömningen av om det är en lämplig åtgärd att dela upp kopian på personuppgifter.

En registrerad som vänder sig till en personuppgiftsansvarig för att begära tillgång till sina personuppgifter saknar i normalfallet vetskap om vilka personuppgifter som faktiskt behandlas. Att införskaffa denna kunskap är istället ofta själva syftet med begäran. Om den personuppgiftsansvarige i denna situation endast tillhandahåller den registrerade med ett urval av dennes personuppgifter riskerar den registrerade att förledas att tro att den kopia som tillhandahållits är fullständig.

Av denna anledning anser IMY att den personuppgiftsansvarige, i den kanal denne har upprättat för att den registrerade ska kunna begära tillgång, måste vara tydlig med att kopian på personuppgifterna är uppdelad i olika lager. Det ska också vara tydligt för den registrerade vilken information som finns i de olika lagren och på vilket sätt den registrerade kan få tillgång till dessa.

I den redogörelse Spotify har lämnat framgår att den registrerade, i flera olika kanaler, får information om att tillgång till olika personuppgifter kan begäras på olika sätt. Genom dessa kanaler framgår att tillgång till ”dina mest relevanta personuppgifter” kan fås genom funktionen ”ladda ned din data” samt att tillgång till teknisk logginformation, utökad streaminghistorik eller svar på andra särskilda dataskyddsförfrågningar kan fås efter begäran via e-post eller kundtjänst. IMY kan, av de i redogörelsen redovisade exemplen, konstatera att informationen som lämnas till de registrerade även innehåller

en övergripande uppräkning av vilka personuppgifter som de olika typerna av begäranden omfattar.

IMY bedömer att den information Spotify lämnat i detta avseende, under den period som granskningen av de generella rutiner avser, är tillräckligt tydlig för att den registrerade ska förstå hur kopian är uppdelad, däribland vilka uppgifter som finns i de olika lagren, och hur de olika lagren ska begäras.

Att sätta upp särskilda förutsättningar för utövandet av rätten till tillgång utan stöd i dataskyddsförordningen riskerar att medföra att den registrerade otillbörligen hindras i sitt utövande av rättigheten. Det kan med andra ord upplevas onödigt krångligt att utöva rättigheten vilket i sin tur kan medföra att den registrerade avstår från att begära ut alla uppgifter som den registrerade har rätt till. Det finns skäl att understryka att den personuppgiftsansvarige, enligt artikel 12.2 i dataskyddsförordningen, har en skyldighet att underlätta utövandet av den registrerades rättigheter. För att tillhandahållandet av kopian av personuppgifter i olika lager inte ska medföra att rättigheten inskränks eller att utövandet av rättigheten försvåras anser därför IMY att det inte kan krävas att den registrerade återkommer till den personuppgiftsansvarige vid ett flertal tillfällen för att få tillgång till samtliga personuppgifter. Det får inte heller vara komplicerat att begära tillgång till de olika lagren. IMY anser därför att den registrerade ska ha möjlighet att begära tillgång till samtliga lager från början och att det ska vara enkelt att få tillgång till dessa. En annan sak är att den registrerade, med vetskapen om hur uppgifterna är uppdelade, ändå kan välja att endast begära tillgång till ett eller flera lager.

Av Spotifys redogörelse framgår att den registrerade kan begära tillgång till de olika lagren på olika sätt. Det krävs inte att den registrerade återkommer till Spotify för att ta del av de olika lagren. Däremot kan den registrerade behöva vidta flera åtgärder för att få tillgång till flera lager, t.ex. genom att både ladda ned Typ 1-information genom funktionen ”ladda ned din data” och genom att begära tillgång till Typ 2- och Typ 3information genom kundtjänst. Om den registrerade vänder sig direkt till kundtjänst med sin begäran kan den registrerade begära tillgång till samtliga personuppgifterna på en och samma gång.

IMY anser att den omständigheten att den registrerade måste vidta olika åtgärder för att begära de olika lagren av uppgifter kan medföra viss olägenhet. Den registrerade har dock möjlighet att vidta samtliga dessa handlingar vid ett och samma tillfälle. Samtliga åtgärder kan dessutom på ett enkelt sätt vidtas via Spotifys webbplats. Vid en samlad bedömning anser IMY att Spotifys rutiner möjliggör för den registrerade att begära tillgång till samtliga sina personuppgifter på ett tillräckligt enkelt sätt.

Utformningen av kopian och format på kopian

Av artikel 12.1 i dataskyddsförordningen följer att den information som lämnas enligt artikel 15 i dataskyddsförordningen måste ges i en koncis, klar och tydlig, begriplig och lätt tillgänglig form med användning av ett klart och tydligt språk. Vilka krav som ska ställas på tydlighet i det enskilda fallet måste bedömas mot bakgrund av syftet med rätten till tillgång, dvs. att den registrerade ska bli medveten om den behandling som sker och kunna kontrollera att behandlingen är laglig.

Flertalet av de uppgifter som Spotify behandlar, särskilt när det kommer till uppgifter i de tekniska loggfilerna, är till sin natur väldigt tekniska då de innehåller bl.a. koder och siffror. Sådana uppgifter kan för en genomsnittlig registrerad vara svåra att förstå. Att lämna sådana uppgifter utan närmare förklaring skulle enligt IMY inte leva upp till kraven på tydlighet, sett till syftet med rättigheten. Eftersom de uppgifter som ska tillhandahållas enligt artikel 15.1 i dataskyddsförordningen och omfattas av en kopia enligt artikel 15.3 i dataskyddsförordningen ska vara de personuppgifter som behandlas är det dock inte tillåtet för den personuppgiftsansvarige att ändra svårbegripliga personuppgifter för att underlätta förståelsen. Sådana uppgifter kan istället behöva förklaras.

Spotify lämnar tillsammans med kopian av personuppgifter ytterligare beskrivningar för att göra uppgifterna i de olika lagren begripliga för den registrerade. Spotify svarar också på registrerades frågor om betydelsen av de personuppgifter som lämnats och uppdaterar sina generella rutiner och beskrivningar baserat på de frågor som ställs.

IMY anser att uppgifter i de tekniska loggfilerna som Spotify lämnar kan vara komplicerade att begripa, trots de beskrivningar som Spotify tillhandahåller. IMY anser dock att Spotify genom att tillhandahålla dessa beskrivningar möjliggör för den registrerade, om än med viss arbetsinsats, att tillgodogöra sig informationen. Att det trots beskrivningar kan krävas viss ansträngning av den registrerade för att förstå vissa särskilt komplicerade uppgifter är en naturlig följd av dessa uppgifters karaktär.

Spotify tillhandahåller som standard endast den detaljerade beskrivningen av uppgifterna i de tekniska loggfilerna på engelska. Varken artikel 12.1 eller artikel 15 i dataskyddsförordningen innehåller något uttryckligt krav på vilket språk personuppgifter, eller beskrivningen av dessa, ska tillhandahållas den registrerade. IMY anser dock att det följer av syftet med rätten till tillgång samt kraven på tydlighet i artikel 12.1 att de registrerade ska kunna få informationen på ett språk de behärskar, i vart fall när den personuppgiftsansvarige riktar sin verksamhet till länder där detta utgör ett officiellt språk. Detta innebär att den personuppgiftsansvarige måste vidta tillräckliga åtgärder för att säkerställa att den registrerade förstår informationen.

Spotify tillhandahåller den övervägande andelen av information som lämnas till registrerade enligt artikel 15 i dataskyddsförordningen, inklusive en generell beskrivning av vad de tekniska loggfilerna kan omfatta, baserat på språkinställningarna i den enskildes webbinställningar, dvs. det lokala språket. Vidare lämnar Spotify tydlig information, på det lokala språket, om möjligheten att begära översättning av beskrivningen av de tekniska loggfilerna i den ”Read Me First”-fil som lämnas vid varje begäran om tillgång. Denna information lämnas också på det lokala språket på webbsidan ”Förstå mina data”. Spotify har därmed vidtagit omfattande åtgärder för att tillhandhålla information på ett språk som den registrerade ska kunna begripa. Spotify har dock redogjort för betydande svårigheter att översätta beskrivningen av uppgifterna i de tekniska loggfilerna till samtliga lokala språk i de länder till vilka de riktar sin verksamhet. Svårigheterna har sin grund i de ständiga förändringarna av uppgifterna i de tekniska loggfilerna och det faktum att många tekniska begrepp svårligen kan översättas från engelska.

IMY noterar dock att Spotify har uppgett att de på begäran från en registrerad har möjlighet att översätta beskrivningen av uppgifterna i de tekniska loggfilerna till ett lokalt språk i den utsträckning de tekniska termerna är möjliga att översätta. Eftersom en översättning därför i praktiken är möjlig anser IMY att en sådan översättning bör kunna tillhandahållas även innan en begäran om översättning har gjorts från en registrerad. Spotifys angivna svårigheter att översätta beskrivningen, däribland att översättning kan behöva göras vid flera tillfällen varje månad och de ytterligare resurser detta kräver, kan inte heller motivera att beskrivningen som standard lämnas på engelska. Med beaktande av syftet med rätten till tillgång är det avgörande att den registrerade förstår vilka av dennes personuppgifter som har behandlats i de tekniska loggfilerna vilket förutsätter en begriplig beskrivning av dess innehåll. IMY anser därför att Spotify borde ha tillhandahållit beskrivningen på lokalt språk redan i samband med att de tekniska loggfilerna lämnades till den registrerade, åtminstone i den utsträckning det var nödvändigt för att förstå uppgifterna i de tekniska loggfilerna.

Mot denna bakgrund anser IMY att Spotify inte har vidtagit tillräckliga åtgärder för att säkerställa att den registrerade förstår beskrivningen av uppgifterna i de tekniska loggfilerna när denna information som standard endast lämnas på engelska. Den information som Spotify lämnar i denna del levde därför inte upp till kraven på att all kommunikation som lämnas till den registrerade enligt artikel 15 i dataskyddsförordningen ska vara tydlig och begriplig på sätt som anges i artikel 12.1 i dataskyddsförordningen. Det faktum att en registrerad har möjlighet att återkomma till Spotify för att begära en översättning läker inte denna brist.

Av artikel 15.3 i dataskyddsförordningen följer att en registrerad som gör en begäran om tillgång i elektronisk form ska få informationen i ett elektroniskt format som är allmänt använt, om den registrerade inte begär något annat. Spotify lämnar uppgifterna i JSON-format. I riktlinjerna om rätten till dataportabilitet ges JSON-format som ett exempel på ett allmänt använt öppet format.

IMY konstaterar att vilka krav som ställs på format är olika för rätten till dataportabilitet och rätten till tillgång då dataportabilitet enligt artikel 20.1 i dataskyddsförordningen även kräver att uppgifterna ska tillhandahållas i ett strukturerat och maskinläsbart format. Sett till syftet med rätten till tillgång krävs enligt IMY att det format i vilket uppgifterna tillhandahålls enligt artikel 15 i dataskyddsförordningen måste vara möjligt att läsa för en fysisk person. Det finns dock inget som hindrar att formatet även är maskinläsbart. Ett sådant format kan i många fall förenkla för den registrerade att själv göra olika sammanställningar eller utsökningar för att underlätta förståelsen. IMY anser att JSON-format, som kan läsas av både datorer och fysiska personer, i dagsläget är ett sådant elektroniskt allmänt använt format som avses i artikel 15.3 i dataskyddsförordningen.

Sammanfattande bedömning avseende rätten till tillgång till personuppgifter och kopia på personuppgifter under behandling – artikel 15.1 och 15.3 i dataskyddsförordningen

IMY finner sammanfattningsvis att Spotifys sätt att dela upp kopian på personuppgifter i olika lager inte försvårar utövandet av de registrerades rättigheter och därmed är förenligt med artikel 12.2 i dataskyddsförordningen samt att utformningen och formatet på kopian av personuppgifter i stort uppfyller kraven på transparens i artikel 12.1 i dataskyddsförordningen.

IMY finner dock att den beskrivning av uppgifterna i de tekniska loggfilerna som Spotify lämnat under perioden från och med den 11 juni 2019 till och med den 16 maj 2022 inte har uppfyllt kraven i artikel 12.1 i dataskyddsförordningen då denna information som standard endast har tillhandahållits på engelska. Spotify har därmed i detta avseende behandlat personuppgifter i strid med artikel 12.1 i dataskyddsförordningen under den aktuella tidsperioden.

4 Granskning av enskilda klagomål - Motivering av beslut

4.1 Klagomål 1 (från Nederländerna med nationellt referensnummer z2018-28415)

4.1.1 Bakgrund

Klaganden har sammanfattningsvis gjort gällande att Spotify med anledning av hans begäran om tillgång som gjordes den 27 maj 2018 inte har gett tillgång till alla hans personuppgifter inom den tid som föreskrivs i artikel 12.3 i dataskyddsförordningen samt att, när han väl har fått tillgång till alla personuppgifter, har dessa inte tillhandahållits i en begriplig form på sätt som föreskrivs i artikel 12.1 i dataskyddsförordningen.

4.1.2 Vad som har framkommit i ärendet

Spotify tillhandahåller tre typer av svar för att säkerställa ett lämpligt och fullständigt svar på sina användares förfrågningar enligt artikel 15 i dataskyddsförordningen. Spotify har uppgett att information om alla tre typer av svar (Typ 1, Typ 2 och Typ 3) samt information om hur man kunde begära tillgång till dem fanns tillgänglig vid tidpunkten för klagandens begäran. I samband med att en användare valde att ladda ner sin data (Typ 1), framgick av beskrivning och instruktioner i direkt anslutning till verktyget för nedladdning att detta bara var ett bekvämt sätt att få en kopia av "de flesta" personuppgifter från dennes konto och vilka kategorier av personuppgifter som var tillgängliga via verktyget. Utifrån sammanhanget var det därför tillräckligt tydligt att andra personuppgifter också fanns tillgängliga. Klaganden hade också möjlighet att kontakta kundtjänst via ett flertal kanaler och begära ytterligare personuppgifter. Klaganden hade också haft möjlighet att vända sig till kundtjänst och direkt begära tillgång till samtliga sina personuppgifter.

Spotify anser att processen vid den tidpunkten var tillräckligt transparent för att användare skulle kunna förstå samt begära ytterligare tillgängliga uppgifter utöver de som ingick i verktyget ”Ladda ned din data”. Många andra användare begärde också såväl Typ 2- som Typ 3-uppgifter vid den tidpunkten. Klaganden lyckades även begära och få tillgång till både Typ 1 och Typ 2-information. Spotify har därefter gjort flertalet förbättringar i sina processer för att säkerställa att användare inte kan missa att alla tre typer av information finns och hur man enkelt kan begära tillgång till den informationen.

Spotify har uppgett att vad gäller tillhandhållandet av klagandens personuppgifter, så tillhandahölls samtliga efterfrågade personuppgifter inom den tidsram som anges i artikel 12.3 i dataskyddsförordningen. ”Ladda ned din data” (Typ 1) efterfrågades av klaganden den 27 maj 2018. Uppgifterna gjordes tillgängliga och laddades ner av klaganden den 28 maj 2018. En svarstid om en dag överensstämmer med Spotifys mål att snabbt tillhandahålla den mest relevanta informationen till användare genom deras automatiska verktyg.

Tekniska loggfiler (Typ 2) efterfrågades av klaganden via e-post den 11 juni 2018. I Spotifys svar den 6 juli 2018 informerade Spotify klaganden att tillhandahållandet av personuppgifterna skulle ta lite längre tid än förväntat på grund av det höga antalet förfrågningar och komplexiteten i att sammanställa sådan teknisk information. Informationen gjordes tillgänglig för nedladdning den 17 juli 2018. Även efter att ha informerat klaganden om anledningen till att svaret skulle dröja, förflöt endast 36 kalenderdagar (26 arbetsdagar) mellan klagandens förfrågan och erhållandet av svar.

Vad gäller klagandens klagomål rörande formatet på personuppgifterna har Spotify uppgett att Typ 2-uppgifter innehåller ett stort antal filer med tekniska logguppgifter. Vilka uppgifter som behandlas kan skilja sig avsevärt för olika användare baserat på vilken typ av Spotify-serviceplan de har (t.ex. Free, Premium, Familj), funktioner och den specifika användarens aktivitet, samt variationer i den vanliga interna behandlingen och felloggningen av själva Spotify-programvaran. Det är en utmaning att hitta ett sätt att förklara den här typen av teknisk information på ett sätt som den genomsnittlige Spotify-användaren kan förstå.

Vid tidpunkten för klagandens begäran tillhandahöll Spotify informationen i ett JSONformat. Spotify tillhandahöll dock inte någon kompletterande dokumentation för att ytterligare förtydliga vilka typer av uppgifter som ingick och hur dessa skulle tolkas (utöver den information som framgår av JSON datafälten i sig). Sedan 2019 tillhandhåller Spotify emellertid en kompletterande ”Read Me First”-fil vid leverans av alla Typ 2-uppgifter, som ytterligare beskriver informationen som ingår i varje fil och datafält. Med tanke på komplexiteten och volymen av de tekniska loggfilerna krävde framtagandet av ”Read Me First”-filen mycket arbete, och Spotify hade ännu inte slutfört denna process vid tidpunkten för klagandens ursprungliga begäran om tillgång.

Det var ett misstag att klaganden tillhandahölls vissa av de tekniska loggfilerna i krypterat format. Spotify lagrar uppgifter i sina system i krypterat format för att förstärka integriteten och säkerheten i samband med bolagets egna interna behandling av personuppgifter. Det var inte Spotifys avsikt att undanhålla klagandens personuppgifter från honom. Även om de flesta krypterade uppgifterna avkrypterades innan de inkluderades i klagandens tekniska loggfiler, var några av fälten inte avkrypterade. Den typen av problem åtgärdades vid upptäckten av detta, och numera tillhandhålls alltid efterfrågade personuppgifter okrypterade.

Spotify vill uppmärksamma IMY på att klaganden efterfrågade sina personuppgifter igen i juli 2020. Denna begäran kom efter hans klagomål till IMY och de förbättringar som beskrivits ovan. Klaganden mottog sina personuppgifter avsevärt snabbare än inom 30 dagar. Klaganden begärde ”Ladda ned din data” (Typ 1) den 28 juli 2020. Spotify tillhandhöll personuppgifterna tre kalenderdagar senare, den 31 juli 2020. Klaganden efterfrågade också sina tekniska loggfiler (Typ 2) den 3 augusti 2020 och laddade ner personuppgifterna när de var tillgängliga 15 dagar senare, den 18 augusti 2020. Båda dessa förfrågningar besvarades inom sammanlagt 18 dagar av Spotify och klaganden kunde motta alla sina personuppgifter inom totalt 21 kalenderdagar. Denna tidsram är representativ för Spotifys hantering av dessa typer av förfrågningar från användare. All teknisk information som klaganden erhöll den 18 augusti 2020 var okrypterad. Klaganden ska också ha mottagit en ”Read Me First”-fil som fält för fält förklarat de tillhandahållna uppgifterna. I och med fullgörandet av klagandens senaste förfrågan hoppas Spotify att samtliga klagandens frågor gällande artiklarna 12.1 och 12.3 i dataskyddsförordningen som han tog upp i sitt klagomål har blivit besvarade.

4.1.3 Integritetsskyddsmyndighetens bedömning

Som IMY konstaterar vid bedömningen av bolagets generella rutiner, avsnitt 3.2.2 i detta beslut, är det möjligt att dela upp kopian på personuppgifter i olika lager förutsatt att den registrerade fått tillräcklig information bland annat om hur kopian på personuppgifter är uppdelad och hur tillgång till de olika lagren kan begäras.

Att klaganden gör gällande att hans personuppgifter inte lämnats i rätt tid visar att klaganden måste ha ansett att hans initiala begäran som skickades den 27 maj 2018 avsåg samtliga personuppgifter som Spotify behandlade om honom. Av uppgifter som klaganden lämnat framgår vidare att han kontaktat Spotify eftersom han själv uppmärksammat att den kopia på personuppgifter han erhöll den 28 maj 2018 inte var fullständig. Det faktum att han kontaktade Spotify var alltså en följd av de slutsatser klaganden själv dragit utifrån den kopia på personuppgifter han erhållit och inte på grund av att klaganden förstått Spotifys uppdelning av kopian på personuppgifter och hur tillgång till ytterligare uppgifter kunde begäras. Dessa omständigheter talar enligt IMY för att den information som Spotify lämnande vid tidpunkten för klagandens begäran angående uppdelningen av kopian på personuppgifter inte varit tillräckligt tydlig.

IMY anser vidare vid en bedömning av den information som Spotify lämnade i beskrivning och instruktioner i samband med att klaganden gjorde sin Typ 1-begäran den 27 maj 2018 att den informationen inte ensamt var tillräckligt tydlig för att klaganden borde ha förstått att det endast var en delmängd av personuppgifterna som omfattades av begäran. Vid tidpunkten för klagandens begäran saknades också den information som idag finns tillgänglig på Spotifys webbplats, bland annat på webbsidan för ”Personuppgiftsrättigheter och sekretessinställningar”, där det framgår vilka personuppgifter som ges i de olika svaren, och hur tillgång till dessa kan begäras. IMY anser vidare att det Spotify anfört om att klaganden kunde vända sig till kundtjänst och begära ytterligare uppgifter saknar betydelse då ett sådant agerande förutsätter att den klagande skulle ha förstått att det fanns ytterligare personuppgifter som kunde lämnas ut.

Med hänsyn till ovanstående bedömer IMY att Spotify, vid tidpunkten för klagandens begäran om tillgång, inte lämnade tillräckligt tydlig information för att klaganden skulle förstå att kopian på personuppgifter var uppdelad. Att det finns tillräcklig information för att en registrerad ska förstå att dennes begäran endast avser ett urval av de personuppgifter som behandlas är en förutsättning för att den personuppgiftsansvarige ska kunna begränsa utlämnandet till dessa personuppgifter. I det fall det är oklart om begäran endast avser ett urval av personuppgifterna bör alltså den personuppgiftsansvarige utgå från att den registrerade vill ha tillgång till samtliga sina personuppgifter. Spotify borde därför, då informationen i detta avseende var bristfällig vid tidpunkten för klagandens begäran, ha lämnat ut samtliga personuppgifter som de behandlade om klaganden i samband med hans begäran om tillgång som gjordes den 27 maj 2018. Den tid inom vilken Spotify hade att lämna kopian på samtliga personuppgifter ska därför beräknas från denna tidpunkt. Spotify skulle, enligt artikel 12.3 i dataskyddsförordningen, ha lämnat en fullständig kopia på klagandens personuppgifter eller meddelat klaganden om en förlängning av tidsperioden senast den 27 juni 2018. Spotify meddelade först den 6 juli 2018 klaganden om en förlängning av tidsperioden. Kopian på de ytterligare personuppgifterna lämnades den 17 juli 2018. IMY konstaterar att Spotify inte meddelat förlängningen inom den tid som föreskrivs i artikel 12.3 i dataskyddsförordningen. Spotify har därför lämnat kopian på klagandens personuppgifter för sent.

Av klagandens uppgifter, som bekräftats av Spotify, framgår att de ytterligare personuppgifter han fick tillgång till den 17 juli 2018 varit svåra att förstå samt, i vissa fall, krypterade.

Som IMY konstaterar under avsnitt 3.2.2 krävs det att den personuppgiftsansvarige förklarar särskilt svårbegripliga personuppgifter för att syftet med rätten till tillgång ska anses uppfyllt. IMY konstaterar att Spotify inte levt upp till sina skyldigheter i klagandens fall då de inte har lämnat en förklaring till de särskilt svårbegripliga uppgifter de tillhandahållit i kopian samt då de har lämnat ut vissa uppgifter krypterade.

IMY konstaterar med hänsyn till det ovanstående att Spotify i sin hantering av klagandens begäran om tillgång som gjordes den 27 maj 2018 har behandlat personuppgifter i strid med artikel 12.3 i dataskyddsförordningen, genom att kopian på personuppgifter har lämnats för sent, samt i strid med artiklarna 12.1, 15.1 och 15.3 i dataskyddsförordningen, genom att inte ha tillhandahållit samtliga klagandens personuppgifter i en begriplig form.

4.2 Klagomål 2 (från Österrike med nationellt referensnummer D130.198)

4.2.1 Bakgrund

Klaganden har gjort gällande att Spotify med anledning av hans begäran om tillgång som gjordes den 10 oktober 2018 inte har tillhandahållit alla de personuppgifter som Spotify behandlar om klaganden, att Spotify inte har tillhandahållit någon av den information om behandlingen av klagandens personuppgifter som krävs enligt artikel 15.1 a–h och 15.2 i dataskyddsförordningen samt att Spotify inte har tillhandahållit personuppgifterna i en begriplig form på sätt som föreskrivs i artikel 12.1 i dataskyddsförordningen. Klaganden har därvid bland annat angett att uppgifterna har tillhandhållits i ett format som endast är maskinläsbart och inte begripligt för fysiska personer.

4.2.2 Vad som har framkommit i ärendet

Spotify har uppgett att klaganden begärde tillgång till ”Ladda ned din data” (Typ 1) den 10 oktober 2018. Uppgifterna gjordes tillgängliga och laddades ner av klaganden den 18 oktober 2018. Klaganden kontaktade därefter aldrig Spotify igen för att föra fram de synpunkter som lyfts i hans klagomål till IMY. Han begärde heller inte att få tillgång till ytterligare information utöver den som gjorts tillgänglig genom ”Ladda ned din data”verktyget.

Spotify tillhandahåller tre typer av svar för att säkerställa ett lämpligt och fullständigt svar på sina användares förfrågningar enligt artikel 15 i dataskyddsförordningen. Spotify har uppgett att information om alla tre typer av svar (Typ 1, Typ 2 och Typ 3), samt information om hur man kunde begära tillgång till dem fanns tillgänglig vid tidpunkten för klagandens begäran. I samband med att en användare valde att ladda ner sin data (Typ 1), framgick av beskrivning och instruktioner i direkt anslutning till verktyget att detta bara var ett bekvämt sätt att få en kopia av "de flesta" personuppgifter från dennes konto och vilka kategorier av personuppgifter som var tillgängliga via verktyget. Utifrån sammanhanget var det därför tillräckligt tydligt att andra personuppgifter också fanns tillgängliga. Klaganden hade också möjlighet att kontakta kundtjänst via ett flertal kanaler och begära ytterligare personuppgifter.

Spotify anser att processen vid den tidpunkten var tillräckligt transparent för att användare skulle kunna förstå samt begära ytterligare tillgängliga uppgifter utöver de

som ingick i verktyget ”Ladda ned din data”. Många andra användare begärde också såväl Typ 2- som Typ 3-uppgifter vid den tidpunkten. Spotify har därefter gjort flertalet förbättringar i sina processer för att säkerställa att användare inte kan missa att alla tre typer av information finns och hur man enkelt kan begära tillgång till den informationen.

Vid tidpunkten för klagandens begäran hade den specifika webbsidan med information enligt artikel 15.1 a-h och 15.2 i dataskyddsförordningen ännu inte skapats och sådan information inkluderades inte heller automatiskt i svaret på begäran om tillgång. Spotify bekräftar att klaganden inte fick denna information tillsammans med sitt Typ 1svar i oktober 2018. Spotify noterar att även om klaganden inte mottog den specifika informationen enligt artikel 15 i samband med sin begäran var informationen tillgänglig för klaganden i Spotifys integritetspolicy.

Spotify har vidare uppgett att bolaget hade processer på plats för att tillhandahålla ytterligare information och vidta åtgärder i det fall deras svar inte skulle anses vara tillräckligt för att fullt ut besvara en registrerads begäran om tillgång. Om klaganden hade kontaktat privacy@spotify.com eller Spotifys kundtjänstteam angående sina frågor hade de gärna tillhandhållit ytterligare personuppgifter och annan information enligt artikel 15 i dataskyddsförordningen som han efterfrågade.

Det stämmer att klagandens ”Ladda ned din data”-uppgifter tillhandahölls i JSONformat. JSON är ett rekommenderat standardformat som kan förstås av både människor och datorer. Informationen i ”Ladda ned din data” (Typ 1) är till stor del självförklarande baserat på filens och fältens namn. Numera tillhandahåller Spotify emellertid också en detaljerad beskrivning av uppgifterna på informationswebbsidan, ”Förstå min data”.

4.2.3 Integritetsskyddsmyndighetens bedömning

Som IMY konstaterar vid bedömningen av bolagets generella rutiner, avsnitt 3.2.2 i detta beslut, är det möjligt att dela upp kopian på personuppgifter i olika lager förutsatt att den registrerade fått tillräcklig information bland annat om hur kopian på personuppgifter är uppdelad och hur tillgång till de olika lagren kan begäras.

Klaganden har, som IMY förstår det, velat få tillgång till samtliga de uppgifter som Spotify behandlar om honom. Klaganden har dock endast begärt tillgång till Typ 1uppgifterna och har inte heller återkommit till Spotify för ytterligare information. Klagandens agerande talar enligt IMY för att den information som Spotify lämnande vid tidpunkten för klagandens begäran angående uppdelningen av kopian på personuppgifter och hur tillgång till de olika lagren kunde begäras inte varit tillräckligt tydlig för att klaganden skulle förstå hur han skulle få tillgång till samtliga uppgifter.

IMY anser vidare vid en bedömning av den information som Spotify lämnade i beskrivning och instruktioner i samband med att klaganden gjorde sin Typ 1-begäran den 10 oktober 2018 att den informationen inte ensamt var tillräckligt tydlig för att klaganden borde ha förstått att det endast var en delmängd av personuppgifterna som omfattades av begäran. Vid tidpunkten för klagandens begäran saknades också den information som idag finns tillgänglig på Spotifys webbplats, bland annat på webbsidan för ”Personuppgiftsrättigheter och sekretessinställningar”, där det framgår vilka personuppgifter som ges i de olika svaren, och hur tillgång till dessa kan begäras. IMY anser vidare att det Spotify anfört om att klaganden kunde vända sig till kundtjänst och begära ytterligare uppgifter saknar betydelse då ett sådant agerande förutsätter att

klaganden skulle ha förstått att det fanns ytterligare personuppgifter som kunde lämnas ut.

Med hänsyn till ovanstående bedömer IMY att Spotify, vid tidpunkten för klagandens begäran om tillgång, inte lämnade tillräckligt tydlig information för att klaganden skulle förstå att kopian på personuppgifter var uppdelad. Att det finns tillräcklig information för att en registrerad ska förstå att dennes begäran endast avser ett urval av de personuppgifter som behandlas är en förutsättning för att den personuppgiftsansvarige ska kunna begränsa utlämnandet till dessa personuppgifter. I det fall det är oklart om begäran endast avser ett urval av personuppgifterna bör alltså den personuppgiftsansvarige utgå från att den registrerade vill ha tillgång till samtliga sina personuppgifter. Spotify borde därför, då informationen i detta avseende var bristfällig vid tidpunkten för klagandens begäran, ha lämnat ut samtliga personuppgifter som de behandlade om klaganden. IMY konstaterar att Spotify inte har lämnat ut samtliga personuppgifter som de behandlade om klaganden. Spotify har därför inte uppfyllt kraven i artiklarna 15.1 och 15.3 i dataskyddsförordningen att ge den registrerade tillgång till sina personuppgifter då bolaget inte har försett den registrerade med en fullständig kopia av de personuppgifter som var under behandling.

Klaganden har vidare uppgett att de personuppgifter han har fått tillgång till var svåra att förstå. Av Spotifys svar framgår att det vid tidpunkten för klagandens begäran saknades en beskrivning av de uppgifter som tillhandahölls klaganden (Typ 1). IMY bedömer dock att de uppgifter som tillhandahålls enligt en Typ 1-begäran är tillräckligt tydliga för att den genomsnittlige användaren ska kunna förstå uppgifterna och att dessa därmed inte kräver någon ytterligare förklaring. IMY anser därför att de personuppgifter som lämnats har varit tillräckligt tydliga för att uppfylla kraven enligt artikel 12.1 i dataskyddsförordningen, dvs. att den information som lämnas enligt artikel 15 i dataskyddsförordningen ska ges i en koncis, klar och tydlig, begriplig och lätt tillgänglig form med användning av ett klart och tydligt språk. Någon brist har därför inte förelegat avseende hur tydliga de personuppgifter som tillhandahölls klaganden var. IMY ser dock positivt på de förbättringar som Spotify har genomfört efter denna tidpunkt, vilka ytterligare kan öka förståelsen av de personuppgifter som tillhandahålls i Typ 1-svar.

Klaganden har därutöver anfört att hans personuppgifter tillhandhölls i ett format som endast var maskinläsbart och inte begripligt för fysiska personer. Spotify har uppgett att uppgifterna tillhandhölls i JSON-format. IMY anser, vilket också framgår ovan under 3.2.2, att JSON-format, som kan läsas av både datorer och fysiska personer, i dagsläget är ett sådant elektroniskt allmänt använt format som avses i artikel 15.3 i dataskyddsförordningen. IMY anser därför att det inte förelegat någon brist avseende i vilket format uppgifterna tillhandahölls den klagande.

Klaganden har slutligen gjort gällande att han inte fått information enligt artikel 15.1 a-h och 15.2 i dataskyddsförordningen. Spotify har bekräftat att klaganden inte fick denna information tillsammans med svaret på begäran som lämnades i oktober 2018. Spotify har därmed inte uppfyllt sin skyldighet att, i samband med klagandens begäran om tillgång, lämna information enligt artikel 15.1 a-h och 15.2. Det faktum att information vid tidpunkten för klagandens begäran fanns tillgänglig i bolagets integritetspolicy läker inte denna brist.

IMY konstaterar sammanfattningsvis att Spotify i sin hantering av klagandens begäran om tillgång som gjordes den 10 oktober 2018 har behandlat personuppgifter i strid med artikel 15.1 och 15.3 i dataskyddsförordningen, genom att inte ha gett tillgång till

samtliga personuppgifter som Spotify behandlade om den klagande samt i strid med artikel 15.1 a-h och 15.2 i dataskyddsförordningen, genom att inte ha tillhandhållit någon av den information som anges i dessa bestämmelser.

4.3 Klagomål 3 (från Danmark med nationellt referensnummer 2018-31-1198)

Klaganden har gjort gällande att Spotify inte har besvarat klagandens begäran om tillgång enligt artikel 15 i dataskyddsförordningen som gjordes den 12 november 2018.

Utredningen i ärendet har inte visat att Spotify brustit i sin hantering av klagandens begäran om tillgång, vilket medför att det aktuella klagomålet ska avslås. Den mottagande tillsynsmyndigheten, dvs. den danska dataskyddsmyndigheten, ska därför anta beslutet avseende detta klagomål enligt artikel 60.8 i dataskyddsförordningen. Motiveringen till beslutet i denna del redovisas således i ett separat beslut från den danska dataskyddsmyndigeten.

5 Val av ingripande

5.1 Tillämpliga bestämmelser

IMY har vid överträdelser av dataskyddsförordningen ett antal korrigerande befogenheter, bland annat reprimand, föreläggande och sanktionsavgifter. Det följer av artikel 58.2 a–j i dataskyddsförordningen.

IMY ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2 i dataskyddsförordningen, beroende på omständigheterna i varje enskilt fall.

Om en personuppgiftsansvarig eller ett personuppgiftsbiträde, med avseende på en och samma eller sammankopplade uppgiftsbehandlingar, uppsåtligen eller av oaktsamhet överträder flera av bestämmelserna i denna förordning får den administrativa sanktionsavgiftens totala belopp inte överstiga det belopp som fastställs för den allvarligaste överträdelsen. Det framgår av artikel 83.3 i dataskyddsförordningen.

Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen.

I artikel 83.2 i dataskyddsförordningen anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras, men också vad som ska påverka sanktionsavgiftens storlek.

EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer för beräkning av sanktionsavgifter.

5.2 Samma eller sammankopplade uppgiftsbehandlingar

Som konstaterats ovan har IMY, vid den granskning som myndigheten gjort av Spotifys generella processer och rutiner för att ge tillgång enligt artikel 15 i dataskyddsförordningen, funnit brister i den information som lämnats enligt artikel 15.1 a–h och 15.2 i dataskyddsförordningen samt i den beskrivning av uppgifterna i de tekniska loggfilerna som Spotify lämnat. Spotify har vidare brustit i sin hantering av begäran om tillgång avseende två av de klagomål IMY har granskat, klagomål 1 och klagomål 2.

Överträdelserna avseende de generella rutinerna hänför sig, avseende informationen enligt artikel 15.1 a-h och 15.2 i dataskyddsförordningen, till perioden från och med den 16 november 2021 till och med den 16 maj 2022 samt, avseende beskrivningen av uppgifterna i de tekniska loggfilerna, till perioden från och med den 11 juni 2019 till och med den 16 maj 2022. Begäran om tillgång som omfattas av de enskilda klagomålen gjordes den 27 maj 2018 respektive den 10 oktober 2018. IMY bedömer bland annat mot denna bakgrund att överträdelserna hänförliga till de generella rutinerna och överträdelserna avseende de två klagomålen inte utgör samma eller sammankopplade behandlingar på sätt som avses i artikel 83.3 i dataskyddsförordningen.

IMY anser dock att Spotifys tillhandahållande av information som omfattas av artikel 15.1 och 15.2 i dataskyddsförordningen samt tillhandahållandet av beskrivningen av uppgifterna i de tekniska loggfilerna är sammankopplade med varandra. Den bedömningen görs bland annat mot bakgrund av att de konstaterade bristerna i dessa delar rör kraven på transparens i den information som Spotify lämnat till de registrerade enligt artikel 15 i dataskyddsförordningen under en delvis sammanfallande tidsperiod. Vidare bedöms klagomålen vara sammankopplade med varandra.

IMY ska därför bestämma val av ingripande dels för de konstaterade bristerna i Spotifys information enligt artikel 15.1 och 15.2 i dataskyddsförordningen och i beskrivningen av uppgifterna i de tekniska loggfilerna dels för de konstaterande bristerna avseende de två klagomålen.

5.3 Brister i information enligt artikel 15.1 och 15.2 i dataskyddsförordningen och i beskrivningen av uppgifterna i de tekniska loggfilerna

IMY har bedömt att Spotify har överträtt artiklarna 12.1, 15.1 a-d, 15.1 g och 15.2 i dataskyddsförordningen. Mot bakgrund bland annat av att överträdelserna har kunnat påverka ett stort antal registrerade, att överträdelserna pågått under en längre tid och då bristerna i informationen försvårat för registrerade att ta tillvara sina övriga rättigheter enligt dataskyddsfördningen är det inte fråga om mindre överträdelser. Spotify ska därför påföras en sanktionsagift för överträdelserna i denna del.

IMY konstaterar att Spotify har överträtt artiklar som omfattas av artikel 83.5 i dataskyddsförordningen vilket innebär att en sanktionsavgift på upp till tjugo miljoner EUR eller fyra procent av den globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst, kan påföras.

Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag ska den definition av begreppet företag användas som EU-domstolen använder vid

tillämpning av artiklarna 101 och 102 i EUF-fördraget (se skäl 150 i dataskyddsförordningen). Av domstolens praxis framgår att detta omfattar varje enhet som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering samt även om enheten i juridisk mening består av flera fysiska eller juridiska personer.

IMY bedömer att det företags omsättning som ska läggas till grund för beräkning av de administrativa sanktionsavgifter som Spotify kan åläggas är Spotifys moderbolag Spotify Technology S.A. Av Spotify Technology S.A.:s årsredovisning för år 2022 framgår att årsomsättningen år 2022 var ca 132 000 000 000 kronor. Det högsta sanktionsbelopp som kan fastställas i ärendet är fyra procent av detta belopp, ca 5 280 000 000 kronor.

Vid bedömningen av överträdelsernas allvar tar IMY utöver vad som anges ovan, dvs. att överträdelserna har kunnat påverka ett stort antal registrerade, att överträdelserna pågått under en längre tid och att bristerna i informationen försvårat för registrerade att ta tillvara sina övriga rättigheter enligt dataskyddsfördningen, även hänsyn till följande. Överträdelserna har medfört en risk att syftet med rätten till tillgång förfelas då bristerna i den lämnade informationen gjort det svårt för registrerade att förstå vilka av deras personuppgifter som har behandlats och hur. Den registrerade har därmed inte heller haft möjlighet att kontrollera om behandlingen varit laglig. Spotifys personupgiftsbehandling omfattar vidare en stor mängd personuppgifter om varje registrerad och berör många registrerade i flera olika länder.

Uppgifterna som behandlas utgör dock, såvitt framkommit, inte sådana särskilda kategorier av personuppgifter som anges i artikel 9 i dataskyddsförordningen. Behandling av personuppgifter som sker inom ramen för ett kundförhållande vid tillhandahållandet av en musikstreamingtjänst får inte heller normalt sett stora konsekvenser för de registrerade. IMY har vidare, trots omfattningen av Spotifys personuppgiftsbehandling, endast mottagit ett fåtal klagomål gällande bolagets hantering av begäran om tillgång.

Av betydelse är också att Spotify har en utmaning i att lämna omfattande information om komplex personuppgiftsbehandling på ett sätt som är begripligt för de registrerade vilket medför svåra avvägningar för att bedöma hur informationen bäst ska presenteras. Spotify har lämnat viss information enligt alla punkter i artikel 15.1 och 15.2 i dataskyddsförordningen. Vidare har Spotify lämnat information om sin personuppgiftsbehandling på flera sidor på bolagets webbplats. Viss information om hur personuppgifterna behandlats har också gått att utläsa ur den kopia på personuppgifter enligt artikel 15.3 i dataskyddsförordningen som Spotify har tillhandahållit de registrerade som begärt tillgång och som IMY i stort har bedömt uppfylla kraven på tydlighet i artikel 12.1 i dataskyddsförordningen.

Av utredningen i ärendet framgår vidare att Spotify, på eget initiativ och innan aktuellt tillsynsärende inleddes, har vidtagit flertalet åtgärder och lagt omfattande arbete på att ta fram, utveckla och förbättra processer gällande begäran om tillgång som ska vara transparenta för de registrerade. Dessa processer och rutiner har sedan utvecklats och förbättrats kontinuerligt. Det talar enligt IMY för att Spotify har för avsikt att uppfylla rätten till tillgång på ett sätt som är transparent för de registrerade. Det har också fram till förra året, då EDPB antog riktlinjer om rätten till tillgång , saknats utförlig vägledning kring hur informationen ska lämnas och på vilken detaljnivå, bland annat

vad gäller graden av individualisering av den information som ska lämnas enligt artikel 15.1 och 15.2 i dataskyddsförordningen samt vilket språk som ska användas vid kommunikation enligt artikel 15 i dataskyddsförordningen.

Sammantaget bedömer IMY, mot bakgrund av de redovisade omständigheterna, att de aktuella överträdelserna är av låg allvarlighetsgrad. Utgångspunkten för beräkningen av sanktionsavgiften bör därför sättas relativt lågt i förhållande till det aktuella maxbeloppet. För att säkerställa en proportionell sanktionsavgift i det enskilda fallet finns även skäl att redan i detta skede ytterligare justera utgångspunkten för den fortsatta beräkningen nedåt med beaktande av den höga omsättning som ligger till grund för beräkningen av sanktionsavgiften.

Utöver bedömningen av överträdelsens allvar ska IMY bedöma om det föreligger några försvårande eller förmildrande omständigheter som får betydelse för sanktionsavgiftens storlek. De omständigheter som redan har beaktats vid bedömningen av överträdelsens allvar kan inte beaktas på nytt i detta skede av bedömningen.

IMY bedömer att det saknas ytterligare försvårande omständigheter som påverkar sanktionsavgiftens storlek. Som förmildrande omständighet lägger IMY särskild vikt vid möjligheten för de registrerade att kontakta Spotifys kundstjänst genom flera olika kanaler för att få ytterligare individualiserad information. Vidare har Spotify i juni 2022 informerat om att bolaget har gjort uppdateringar i informationen enligt artikel 15 bland annat för att den registrerade ska förstå den specifika personuppgiftsbehandling som är tillämplig på deras unika användande av Spotifytjänsten. Vad avser bristerna gällande Spotifys val av språk för beskrivningen av uppgifterna i de tekniska loggfilerna är det också av betydelse att registrerade har haft möjlighet att vända sig till Spotify för att få beskrivningen översatt eller förklarad på sitt lokala språk samt att Spotify gett tydlig information om denna möjlighet i den ”Read Me First” -fil som lämnats i samband med att uppgifterna tillhandahölls den registrerade.

Mot bakgrund av överträdelsernas allvar, försvårande och förmildrande omständigheter och den höga omsättningen i förhållande till de konstaterade överträdelserna bestämmer IMY den administrativa sanktionsavgiften för Spotify till 58 000 000 kronor. IMY har därvid bedömt att detta belopp, vilket motsvarar ungefär 1 procent av det högsta möjliga sanktionsbelopp som kan fastställas i ärendet, är effektivt, proportionerligt och avskräckande i det nu aktuella fallet.

5.4 Överträdelser avseende klagomål 1 och 2

IMY har konstaterat att Spotify brustit i sina skyldigheter i förhållande till klagandena i klagomål 1 och 2. IMY kan dock konstatera att klagandena i båda fallen har fått tillgång till en del av sina personuppgifter i rätt tid. Spotify har vidare, när klaganden i klagomål 1 kontaktat dem, varit behjälpliga med att lämna ytterligare information och svarat på frågor. Gällande klagomål 2 har Spotify inte gjorts medvetna om att klaganden ansett att hans begäran om tillgång inte tillgodosetts fullt ut. Klaganden har inte vänt sig till Spotify och framfört att han var missnöjd med bolagets hantering av hans begäran om tillgång varför Spotify har haft svårigheter att avhjälpa bristen.

IMY konstaterar att de nu aktuella överträdelserna inte omfattat känsliga personuppgifter. Spotify har vidare vidtagit åtgärder, om än otillräckliga, i syfte att tillmötesgå klagandenas begäranden. Även om klagandenas rätt till tillgång inte

tillmötesgåtts fullt ut är de brister som har förelegat därför av en mindre allvarlig karaktär än om begärandena hade lämnats obesvarade.

IMY finner vid en samlad bedömning att det, avseende överträdelserna i klagomål 1 och 2, är fråga om mindre överträdelser och att det därför finns anledning att avstå från att påföra Spotify en sanktionsavgift för de konstaterade överträdelserna i denna del. Spotify ska istället påföras en reprimand enligt artikel 58.2 b i dataskyddsförordningen.

Spotify har uppgett att bolaget gärna samarbetar med klagandena direkt för att säkerställa att det har tillhandahållit alla uppgifter och den information som klagandena söker samt att det har besvarat deras frågor.

Av uppgifter som framkommit i ärendet har klaganden i klagomål 1 vänt sig till Spotify på nytt i juli 2020 och därefter fått tillgång enligt artikel 15 i dataskyddsförordningen. Klaganden mottog samtliga sina personuppgifter, inklusive ett förklarande dokument om de personuppgifter som behandlades, inom 21 dagar. De personuppgifter som då lämnades var okrypterade. Då klaganden har fått sin begäran om tillgång tillgodosedd saknas det skäl att förelägga Spotify att på nytt ge tillgång enligt artikel 15.

Gällande klagomål 2 har det inte framkommit några uppgifter om att klaganden har fått tillgång till fler personuppgifter eller mer information efter svaret på begäran om tillgång i oktober 2018. Spotify ska därför, med stöd av artikel 58.2 c i dataskyddsförordningen, föreläggas att tillmötesgå klagandens begäran om tillgång enligt artikel 15 i dataskyddsförordningen genom att lämna klaganden tillgång till samtliga personuppgifter som Spotify behandlar om honom genom att förse honom med en kopia på personuppgifterna enligt artikel 15.3 i dataskyddsförordningen samt information enligt artikel 15.1 a-h och 15.2 i dataskyddsförordningen. Spotify har därvid att beakta de undantag från rätten till tillgång i artikel 15.4 i dataskyddsförordningen och 5 kap. dataskyddslagen som kan aktualiseras. IMY bedömer att tillgång ska lämnas inom en månad från det att detta beslut vunnit laga kraft.

_____________________________

Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristerna Karin Ekström och Evelin Palmér. Vid den slutliga handläggningen har även rättschefen David Törngren och enhetschefen Catharina Fernquist deltagit.

Lena Lindgren Schelin, 2023-06-12 (Det här är en elektronisk signatur)

Bilaga

Bilaga 1 – klagandens identifieringsuppgifter (klagomål 2)

Bilaga 2 – Spotifys information enligt artikel 15 i dataskyddsförordningen, den 16 november till och med den 16 maj 2022

Bilaga 3 – Information om betalning av sanktionsavgift