MAG Interactive AB

DI-2020-10538 Beslut efter tillsyn enligt

dataskyddsförordningen - MAG Interactive AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att MAG Interactive AB har behandlat personuppgifter i strid med artikel 12.3 dataskyddsförordningen genom att inte utan onödigt dröjsmål informerat klaganden om resultatet av klagandens begäran om radering enligt artikel 17 av den 29 maj 2019 först den 6 november 2020.

Ärendet avslutas utan åtgärd.

Redogörelse för tillsynsärendet

Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande MAG Interactive AB (bolaget) med anledning av ett klagomål. Klagomålet har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet för bolagets verksamhet enligt artikel 56 dataskyddsförordningen, från tillsynsmyndigheten i det land där klaganden har lämnat in sitt klagomål i enlighet med förordningens bestämmelser om samarbete i gränsöverskridande ärenden.

I klagomålet görs gällande att bolaget inte har hanterat klagandens begäran om radering av klagandens personuppgifter enligt artikel 17 dataskyddsförordningen.

MAG Interactive AB har i huvudsak uppgett följande. Bolaget mottog först en begäran om radering av klagandens konto på bolagets tjänster den 29 november 2018 (den första begäran). Eftersom begäran kom från en annan e-postadress än den som kopplats till kontot begärde bolaget att klaganden skulle återkomma med bevisning till styrkande av sin identitet, vilket klaganden inte gjorde. Den 29 maj 2019 inkom en ny begäran om radering av klagandens konto, men då per post och med erforderlig bevisning till styrkande av klagandens identitet (den andra begäran). Bolaget raderade klagandens uppgifter manuellt den 15 juni 2019 i enlighet med begäran, förutom de uppgifter som behövs för att visa att begäran har hanterats. På grund av förbiseende meddelades klaganden dock inte om resultatet av begäran i anslutningen till att

begäran åtgärdades. Det skedde istället först i anslutning till genomgång inför svar i detta tillsynsärende, det vill säga den 6 november 2020.

Handläggningen har skett genom skriftväxling. Mot bakgrund av att det gäller ett gränsöverskridande klagomål har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Norge, Irland, Frankrike, Österrike, Danmark, Polen och Tyskland.

Motivering av beslut

Tillämpliga bestämmelser

Enligt artikel 12.3 dataskyddsförordningen ska den personuppgiftsansvarige på begäran utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran tillhandahålla den registrerade information om de åtgärder som vidtagits enligt artikel 17. Denna period får vid behov förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet inkomna begäranden. Den personuppgiftsansvarige ska underrätta den registrerade om en sådan förlängning inom en månad från det att begäran mottagits samt ange orsakerna till förseningen.

Enligt artikel 12.6 får den personuppgiftsansvarige, om denne har rimliga skäl att betvivla identiteten hos den fysiska person som lämnar in en begäran enligt artikel 17, begära att ytterligare information som är nödvändig för att bekräfta den registrerades identitet tillhandahålls.

Enligt artikel 17.1 a ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om personuppgifterna inte längre är nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlats. Enligt artikel 17.3 b ska detta inte gälla i den utsträckning som behandlingen är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten.

Enligt artikel 57.1 f ska varje tillsynsmyndighet på sitt territorium ansvara för att behandla klagomål från en registrerad och där så är lämpligt undersöka den sakfråga som klagomålet gäller.

Integritetsskyddsmyndighetens bedömning

Beträffande den första begäran konstaterar IMY att MAG Interactive AB hade rimliga skäl att betvivla klagandens identitet och således fog för att begära att klaganden inkom med ytterligare bevisning, vilket klaganden inte gjorde. IMY anser mot denna bakgrund att bolaget inte har varit skyldig att vidta några ytterligare åtgärder med anledning av den begäran.

Beträffande den andra begäran konstaterar IMY att bolaget raderat klagandens uppgifter, förutom de uppgifter som krävs för att visa att begäran har hanterats, inom 16 dagar från att bolaget mottog begäran den 29 maj 2019. IMY anser att bolaget har raderat klagandens uppgifter utan onödigt dröjsmål i den mening som avses i artikel 17 dataskyddsförordningen. Vidare har bolaget haft fog för att behålla de uppgifter

som behövs för att kunna visa att begäran har hanterats i enlighet med dataskyddsförordningen.

Däremot informerade bolaget klaganden om resultatet av den andra begäran först den 6 november 2020. Eftersom den personuppgiftsansvarige enligt artikel 12.3 utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran, med ett här inte aktuellt undantag, ska informera den registrerade om de åtgärder som vidtagits enligt artikel 17 har MAG Interactive AB överträtt artikel 12.3 dataskyddsförordningen.

Bolaget har uppgett att anledningen till att klaganden inte informerades om resultatet av begäran var på grund av ett förbiseende. Enligt bolaget föranleddes detta främst av att begäran hanterades manuellt eftersom den inkom per post och att bolaget normalt hanterar begäranden i ett system där notifikationer om vidtagna åtgärder skickas automatiskt. Med anledning av det inträffande har bolaget angett att det kommer att se över sina rutiner så att det inträffade inte upprepas. Bolaget kommer bland annat sätta upp en separat logg för manuella ärenden för att säkerställa att alla steg följs, inklusive att användaren notifieras på det sätt som den har begärt.

IMY konstaterar att det naturligtvis är viktigt att den personuppgiftsansvarige meddelar den registrerade om vilka åtgärder som har vidtagits med anledning av dennes begäran, även i de fall då begäran tillmötesgås fullt ut i den mån som kan krävas.

Mot bakgrund av de omständigheter gällande överträdelsen som bolaget har lyft fram – och de åtgärder som bolaget angett att det vidtagit och kommer att vidta – anser dock IMY att sakfrågan i klagomålet är utredd i den omfattning som är lämpligt enligt artikel 57.1 f dataskyddsförordningen.

Mot denna bakgrund avslutas ärendet utan åtgärd.

Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av juristen Olle Pettersson.

Catharina Fernquist, 2021-01-22 (Det här är en elektronisk signatur)