Klarna Bank AB, begäran om tillgång

DI-2020-10518 Beslut efter tillsyn enligt

dataskyddsförordningen – Klarna Bank AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Klarna Bank AB behandlat personuppgifter i strid med artikel 12.3 i dataskyddsförordningen genom att

 avseende klagomål 1: inte utan onödigt dröjsmål, enligt begäran av den 5 januari 2019, ge klaganden tillgång till sina personuppgifter i enlighet med artikel 15.

Integritetsskyddsmyndigheten ger Klarna Bank en reprimand enligt artikel 58.2 b i dataskyddsförordningen.

Redogörelse för tillsynsärendet

Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande Klarna Bank AB (bolaget) med anledning av två klagomål. Respektive klagomål har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet för bolagets verksamhet enligt artikel 56 i dataskyddsförordningen, från tillsynsmyndigheten i det land där klaganden har lämnat in sitt klagomål (Österrike och Tyskland) i enlighet med förordningens bestämmelser om samarbete i gränsöverskridande ärenden.

De klagande har angett att de begärt tillgång till sina personuppgifter enligt artikel 15 i dataskyddsförordningen. IMY har med anledning av klagomålen inlett tillsyn i syfte att utreda huruvida de klagandes begäranden om tillgång enligt artikel 15 tillmötesgåtts samt om det gjorts inom angiven tidsfrist i artikel 12.3.

Klarna Bank AB uppger att de är personuppgiftsansvariga för den personuppgiftsbehandling som klagomålen gäller. Bolaget anger också att de hanterar ett stort antal förfrågningar i enlighet med dataskyddsförordningen. Klagomål 1 (Bilaga 1 från Österrike med nationellt referensnummer: D130.247)

Beträffande det första klagomålet uppger bolaget att klagandens begäran om tillgång inkom till bolaget via e-post den 5, 10 och 29 januari 2019. Eftersom begäran inkom till en annan e-postadress än den som bolaget hänvisar till för dataskyddsfrågor behandlades begäran inte i enlighet med bolagets interna handläggningsrutiner. Det föranledde en längre handläggningstid och att information samt en kopia på klagandens personuppgifter enligt artikel 15 skickades först den 18 juni 2019. Bolaget har skyndsamt besvarat klagandens följdfrågor om bolagets personuppgiftsbehandling vilket klaganden varit nöjd med.

Klagomål 2 (Bilaga 2 från Tyskland med nationellt referensnummer: LDA-1085.1-

13373/19-F)

Beträffande det andra klagomålet uppger bolaget att klagandens begäran om tillgång inkom till bolagets chatt den 28 oktober 2019. Den klagande upprepade sin begäran via e-post den 30 oktober 2019. Bolaget kontaktade den klagande den 6 november 2019 för att begära in ytterligare upplysningar. Dessa tillhandahölls samma dag. Den 11 november 2019 skickade bolaget ut information och en kopia på personuppgifterna till den klagande enligt artikel 15, det vill säga inom 14 dagar från att bolaget mottog begäran. Den 14 november 2019 skickade bolaget mer utförlig information om bolagets automatiska beslutsfattande vid köp. Klaganden kontaktade åter bolaget den 13 december 2019 med anledning av att hen inte mottagit bolagets utskick. Bolaget efterfrågade en ny adress den 7 januari 2020 och har inte erhållit något svar.

Handläggningen har skett genom skriftväxling. Mot bakgrund av att det gäller två gränsöverskridande klagomål har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Österrike, Tyskland, Tjeckien, Danmark och Norge.

Motivering av beslut

Tillämpliga bestämmelser

Den personuppgiftsansvariga är skyldig att, till var och en som begär det, lämna besked om personuppgifter som rör den sökande behandlas eller inte. Behandlas sådana uppgifter ska den personuppgiftsansvariga, i enlighet med artikel 15 i dataskyddsförordningen, lämna den sökande kompletterande information samt en kopia på de personuppgifter som den personuppgiftsansvariga behandlar.

Enligt artikel 12.3 ska en begäran om tillgång hanteras utan onödigt dröjsmål och under alla omständigheter senast en månad efter att begäran mottagits. Tidsfristen om en månad får förlängas med ytterligare två månader om begäran är särskilt komplicerad eller antalet inkomna begäranden är högt.

Om tidsfristen om en månad förlängs, ska den personuppgiftsansvariga underrätta den registrerade om förlängningen. Underrättandet av förlängningen av tidsfristen ska ske inom en månad från det att begäran mottogs. Den personuppgiftsansvariga ska också ange orsakerna till förseningen.

Enligt artikel 12.6 får den personuppgiftsansvariga, om denne har rimliga skäl att betvivla identiteten hos den fysiska person som lämnar in en begäran enligt artikel 15, begära att ytterligare information som är nödvändig för att bekräfta den registrerades identitet tillhandahålls.

IMY:s bedömning

Har det skett en överträdelse av dataskyddsförordningen?

Klagomål 1 (Bilaga 1 från Österrike med nationellt referensnummer: D130.247)

Beträffande det första klagomålet konstaterar IMY att den klagande, i enlighet med artikel 15 i dataskyddsförordningen, försetts med information och en kopia på de personuppgifter som behandlas. Rätten till tillgång tillgodosågs dock först efter mer än fem månader från det att den första begäran lämnats in. Begäran har därmed inte hanterats utan onödigt dröjsmål och inom den stipulerade tidsfristen i artikel 12.3 och den klagande har inte heller informerats om förseningen.

Vad bolaget anfört om att de hanterar en stor mängd förfrågningsärenden enligt dataskyddsförordningen och att följdfrågor besvaras skyndsamt föranleder ingen annan bedömning gällande förseningen och att det därmed varit fråga om en överträdelse av artikel 12.3 avseende klagomål 1.

Klagomål 2 (Bilaga 2 från Tyskland med nationellt referensnummer: LDA-1085.1-

13373/19-F)

Beträffande det andra klagomålet konstaterar IMY att den klagande, i enlighet med artikel 15, försetts med information samt en kopia på de personuppgifter som behandlas. Uppgifterna lämnades utan onödigt dröjsmål. Efter att den klagande påpekat att hen inte erhållit utskicket begärde bolaget in alternativa kontaktuppgifter. IMY anser mot denna bakgrund att bolaget inte har varit skyldigt att vidta några ytterligare åtgärder med anledning av den begäran.

Val av ingripande

Av artikel 58.2 i och artikel 83.2 framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

IMY finner vid en samlad bedömning av omständigheterna att det, avseende klagomål 1, är fråga om en mindre överträdelse i den mening som avses i skäl 148 och att Klarna Bank AB därför ska ges en reprimand enligt artikel 58.2 b för den konstaterade överträdelsen.

_________________

Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av juristen Murat Vrana.

Catharina Fernquist, 2021-03-31 (Det här är en elektronisk signatur)

Kopia till

Dataskyddsombudet, filip.johnssen@klarna.com

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.