Spotify AB, rättelse och tillgång

DI-2020-10533 Beslut efter tillsyn enligt

dataskyddsförordningen – Spotify AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Spotify AB har behandlat personuppgifter i strid med

 artikel 12.3 och 15 i dataskyddsförordningen genom att inte utan onödigt dröjsmål ha gett klaganden tillgång till sina personuppgifter i enlighet med klagandens begäran av den 26 december 2018 först den 3 juni 2021,

 artikel 12.2 i dataskyddsförordningen genom att inte ha underlättat klagandens utövande av sin rättighet enligt artikel 16 att få sin uppgift om hemadress rättad i enlighet med sin begäran av den 25 december 2018 och istället hänvisat klaganden till att skapa ett nytt konto på bolagets musiktjänst, och

 artikel 12.3 och 16 i dataskyddsförordningen genom att inte utan onödigt dröjsmål tillgodosett klagandens begäran om rättelse av sin hemadress av den 25 december 2018 genom att rättelse skedde först den 17 oktober 2019.

Integritetsskyddsmyndigheten ger Spotify AB en reprimand enligt artikel 58.2 b i dataskyddsförordningen för överträdelse av artikel 12.2, 12.3, 15 och 16.

Redogörelse för tillsynsärendet

Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande Spotify AB (Spotify eller bolaget) med anledning av ett klagomål. Klagomålet har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 i dataskyddsförordningen, från tillsynsmyndigheten i det land där klaganden har lämnat in sitt klagomål (Tyskland). Överlämnandet har skett i enlighet med förordningens bestämmelser om samarbete vid gränsöverskridande behandling.

och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Belgien, Irland,

Nederländerna, Tyskland, Danmark, Italien, Cypern, Portugal, Frankrike, Österrike, Finland, Norge, Luxemburg, Slovakien, Ungern, Spanien och Polen.

Klagomålet

I klagomålet anförs i huvudsak följande. Klaganden har nekats att ändra sin adress för sitt konto på bolagets musiktjänst. Bolagets kundtjänst har uppgett att det inte är möjligt att ändra adresser för konton och att lösningen är att ta bort kontot och öppna ett nytt konto. Klaganden har begärt att få sina uppgifter rättade och anser att det inte borde vara nödvändigt att avsluta sitt konto och öppna ett nytt för att få till stånd rättelse. Vidare har klaganden begärt tillgång till sina personuppgifter. Ingen av begärandena har tillmötesgåtts.

Vad Spotify har uppgett

Spotify har i huvudsak uppgett följande.

Spotify mottog en begäran från klaganden om att uppdatera klagandens hemadress den 25 december 2018. Begäran besvarades den 26 december 2018. Bolaget informerade då klaganden om att uppdatering av adress på det redan existerande kontot (Familjekonto) inte var tekniskt genomförbar, men att ett nytt konto med den korrekta adressen skulle kunna skapas för att lösa problemet. Spotify skulle då ha skapat ett nytt konto kostnadsfritt, och Spotifys kundtjänstteam skulle ha överfört allt innehåll, såsom spellistor, följare och kontoinformation till det nya kontot. Denna lösning avvisades dock av klaganden.

Sedan dess har Spotify utvecklat en ny version av Familjekonton, som tillåter användaren att ändra sin egen adress, istället för att blanda in kundtjänst och överföra kontot. Klaganden blev överflyttad till den nya versionen, i vilken adressen kan ändras av användaren i kontoinställningarna, den 18 september 2019, varpå klaganden uppdaterade till sin nya adress den 17 oktober 2019.

Spotify anser att bolaget tog de nödvändiga stegen för att tillfredsställa klagandens förfrågan den 26 och 27 december 2018, genom att förklara att det inte var tekniskt möjligt i den versionen av Familjekonto som fanns vid den tidpunkten och istället erbjöd en alternativ lösning på problemet.

Spotify mottog klagandens begäran om utövande av rätt till tillgång den 26 december 2018. Spotifys kundtjänst svarade klaganden den 26 december 2018 och hänvisade klaganden till Spotifys Sekretesscenter. Det är en online-tjänst, som tillhandahåller standardinformation om Spotifys personuppgiftsbehandling och hur enskilda kan utöva sina dataskyddsrättigheter, med en länk till ”Ladda ned dina data”-verktyget. Spotifys uppgifter visar dock att klaganden inte använde ”Ladda ned dina data”-verktyget eller framförde vidare önskemål om att få tillgång till sina personuppgifter.

Enligt Spotifys standardprocess skulle kundtjänstrådgivaren direkt ha behandlat klagandens förfrågan om rätt till tillgång istället för att hänvisa klaganden till bolagets sekretesscenter. Vid granskning av korrespondensen med klaganden verkar det som att kundtjänstrådgivaren främst var fokuserad på att besvara klagandens förfrågan om rättelse och inte uppmärksammade att det även var en begäran om tillgång och besvarade därför inte begäran om tillgång i enlighet med bolagets standardprocess. Som del av bolagets interna dataskyddsprogram utbildas regelbundet kundtjänst i hur de kan identifiera och på ett lämpligt sätt agera och eskalera förfrågningar från registrerade. I detta fall gjorde kundtjänstrådgivaren ett misstag.

På grund av det ovan beskrivna fick inte klaganden tillgång till sina personuppgifter enligt sin förfrågan den 26 december 2018.

Spotify kontaktade klaganden per e-post den 3 juni 2021 med anledning av dennes begäran om tillgång och informerade om att uppgifterna gjorts tillgängliga för nedladdning. Klaganden har dock inte laddat ned dem eller hörts av.

Motivering av beslut

Tillämpliga bestämmelser m.m.

Enligt artikel 12.2 i dataskyddsförordningen ska den personuppgiftsansvarige underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22. Enligt artikel 12.3 ska den enskildes begäran om att få utöva sina rättigheter hanteras utan onödigt dröjsmål och under alla omständigheter senast en månad efter att begäran mottagits. Tidsfristen om en månad får förlängas med ytterligare två månader om begäran är särskilt komplicerad eller antalet inkomna begäranden är högt.

Enligt artikel 15 ska den registrerade ha rätt att av den personuppgiftsansvarige få bekräftelse på om personuppgifter som rör honom eller henne håller på att behandlas. Behandlas sådana uppgifter ska den personuppgiftsansvariga lämna den sökande kompletterande information samt en kopia på de personuppgifter som den personuppgiftsansvariga behandlar.

Enligt artikel 16 ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Med beaktande av ändamålet med behandlingen, ska den registrerade ha rätt att komplettera ofullständiga personuppgifter, bland annat genom att tillhandahålla ett kompletterande utlåtande.

Integritetsskyddsmyndighetens bedömning

Spotify har inte hanterat klagandens begäran om tillgång i enlighet med dataskyddsförordningen

IMY anser att Spotify inte har hanterat klagandens begäran om tillgång av den 26 december 2018 i enlighet med dataskyddsförordningen. Det var inte tillräckligt att Spotify besvarade klagandens begäran genom att hänvisa till bolagets online-tjänst. Att Spotify först den 3 juni 2021 kontaktade klaganden och initierade processen för att lämna ut klagandens personuppgifter uppgifter kan inte anses vara att ha gett klaganden tillgång till uppgifterna utan onödigt dröjsmål i den mening som avses i dataskyddsförordningen. Vad Spotify anför om att det varit fråga om en engångsföreteelse som berott på ett förbiseende föranleder ingen annan bedömning.

Mot denna bakgrund konstaterar IMY att Spotify AB har behandlat personuppgifter i strid med artikel 12.3 och 15 i dataskyddsförordningen genom att inte utan onödigt dröjsmål ha gett klaganden tillgång till sina personuppgifter enligt klagandens begäran av den 26 december 2018 först den 3 juni 2021.

Spotify har inte hanterat klagandens begäran om rättelse utan onödigt dröjsmål och inte underlättat utövandet av klagandens rättighet att begära rättelse i enlighet med dataskyddsförordningen

När klaganden den 25 december 2018 begärde att få ändra sin hemadress hade bolaget enligt egna uppgifter ingen teknisk möjlighet att ändra uppgiften på annat sätt än att klaganden skapade ett nytt konto. IMY anser dock att den lösning som bolaget erbjöd, det vill säga att klaganden skulle skapa ett nytt konto dit bolaget skulle överföra klagandens uppgifter, inte var tillräcklig för att bolaget ska anses ha hanterat begäran om rättelse eller ha underlättat för klaganden att utöva sina rättigheter. Klagandens adress uppdaterades först den 17 oktober 2019 genom dennes egen försorg, efter att bolaget vidtagit åtgärder för att möjliggöra det den 18 september 2019.

IMY konstaterar därmed att Spotify AB har behandlat personuppgifter i strid med artikel 12.2 i dataskyddsförordningen genom att inte ha underlättat klagandens utövande av sin rättighet enligt artikel 16 att få sin uppgift om hemadress rättad och istället hänvisat klaganden till att skapa ett nytt konto på bolagets musiktjänst.

Vidare konstaterar IMY att Spotify AB har behandlat personuppgifter i strid med artikel 12.3 och 16 i dataskyddsförordningen genom att inte utan onödigt dröjsmål tillgodosett klagandens begäran om rättelse av sin hemadress av den 25 december 2018 genom att rättelse skedde först den 17 oktober 2019.

Val av ingripande

Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

IMY konstaterar att överträdelserna drabbat en person, att det inte gällt känsliga uppgifter och att bolaget inte tidigare har konstaterats överträtt nämnda artiklar förutom artikel 12.4 den 8 juni 2018. Vidare har Spotify numera rättat uppgiften om klagandens hemadress, ändrat sitt förfarande för uppdatering av sådana uppgifter för att underlätta för de registrerade och på eget initiativ vidtagit åtgärder för att tillgodose klagandens begäran om tillgång. Mot denna bakgrund bedömer IMY att det är fråga om sådana mindre överträdelser i den mening som avses i skäl 148 som medför att Spotify AB ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna.

Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av juristen Olle Pettersson.

Catharina Fernquist, 2021-11-22 (Det här är en elektronisk signatur)

Kopia till

Dataskyddsombudet

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.