H&M Hennes & Mauritz

DI-2020-10545 Beslut efter tillsyn enligt

dataskyddsförordningen - H&M Hennes & Mauritz GBC AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att H&M Hennes & Mauritz GBC AB (556070-1715) har behandlat personuppgifter i strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen genom att

• avseende klagomål 1: inte utan onödigt dröjsmål upphöra med behandling av klagandens personuppgifter för direktmarknadsföringsändamål efter att klaganden invänt mot sådan behandling den 5 april 2019,

• avseende klagomål 2: inte utan onödigt dröjsmål upphöra med behandling av klagandens personuppgifter för direktmarknadsföringsändamål efter att klaganden invänt mot sådan behandling den 4 juli 2019,

• avseende klagomål 3: inte utan onödigt dröjsmål upphöra med behandling av klagandens personuppgifter för direktmarknadsföringsändamål efter att klaganden invänt mot sådan behandling den 3 september 2019,

• avseende klagomål 4: inte utan onödigt dröjsmål upphöra med behandling av klagandens personuppgifter för direktmarknadsföringsändamål efter att klaganden invänt mot sådan behandling den 31 juli 2018,

• avseende klagomål 5: inte utan onödigt dröjsmål upphöra med behandling av klagandens personuppgifter för direktmarknadsföringsändamål efter att klaganden invänt mot sådan behandling i juli 2018,

• avseende klagomål 6: inte utan onödigt dröjsmål upphöra med behandling av klagandens personuppgifter för direktmarknadsföringsändamål efter att klaganden invänt mot sådan behandling den 8 augusti 2019.

• avseende klagomål 1: under perioden 7 april 2019 till 2 augusti 2019 behandlat klagandens personuppgifter för direktmarknadsföringsändamål utan rättslig grund,

• avseende klagomål 2: under perioden 6 juli 2019 till 3 oktober 2019 behandlat klagandens personuppgifter för direktmarknadsföringsändamål utan rättslig grund,

• avseende klagomål 3: under perioden 5 september 2019 till 5 februari 2020 behandlat klagandens personuppgifter för direktmarknadsföringsändamål utan en rättslig grund,

• avseende klagomål 4: under perioden 2 augusti 2018 till 16 februari 2020 behandlat klagandens personuppgifter för direktmarknadsföringsändamål utan rättslig grund,

• avseende klagomål 5: under perioden augusti 2018 till 20 maj 2019 behandlat klagandens personuppgifter för direktmarknadsföringsändamål utan rättslig grund,

• avseende klagomål 6: under perioden 10 augusti 2019 till 15 september 2019 behandlat klagandens personuppgifter för direktmarknadsföringsändamål utan rättslig grund.

Integritetsskyddsmyndigheten konstaterar att H&M Hennes & Mauritz GBC AB, avseende klagomål 1 till 6, har behandlat personuppgifter i strid med artikel 12.2 i dataskyddsförordningen genom att inte säkerställa system och rutiner som i tillräcklig utsträckning underlättat för de klagande att utöva sin rätt till invändning mot direktmarknadsföring.

Integritetsskyddsmyndigheten beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att H&M Hennes & Mauritz GBC AB ska betala en administrativ sanktionsavgift på 350 000 (trehundrafemtiotusen) kronor för de konstaterade överträdelserna.

Redogörelse för tillsynsärendet

Handläggning

Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot H&M Hennes & Mauritz GBC AB (H&M eller bolaget) med anledning av sex klagomål. IMY:s granskning avser hanteringen av klagandenas invändningar mot direktmarknadsföring och den efterföljande personuppgiftsbehandlingen. Klagomålen har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 i dataskyddsförordningen. Överlämnandet har skett från tillsynsmyndigheterna i de länder (Polen, Italien och Storbritannien) där klagandena har lämnat in sina klagomål i enlighet med förordningens bestämmelser om samarbete vid gränsöverskridande behandling.

Handläggningen av tillsynsärendet har skett genom skriftväxling. Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Tyskland, Slovenien, Frankrike, Danmark. Spanien, Norge, Italien, Finland, Polen, Belgien, Portugal, Cypern, Estland och Nederländerna.

Eftersom klagomål 4 och 5 överlämnats från Storbritannien, som under handläggningen av tillsynsärendet lämnat unionssamarbetet, har IMY varit i kontakt med Storbritanniens tillsynsmyndighet (ICO) för att säkerhetsställa att en ne bis in idem situation undviks. ICO har ingen information om att de vidtagit några korrigerande åtgärder avseende klagomålen. Det noteras att ICO:s lagringstid för klagomål är två år och att de därför inte har sparat någon information om klagomålen. IMY noterar vidare att tillsynsobjektet vid kommunicering med IMY inte påtalat att några sådana åtgärder ska ha vidtagits av ICO. Det framgår av artikel 3 i dataskyddsförordningen att bestämmelserna i förordningen gäller för all personuppgiftsbehandling som sker inom ramen för den verksamhet som bedrivs av den personuppgiftsansvariges verksamhetsställe inom union, oavsett om behandlingen utförts inom union eller inte. IMY bedömer således att det inte föreligger något hinder för att klagomål 4 och 5 inkluderas i IMY:s granskning.

Allmänt om vad klagandena och H&M har uppgett

Enligt klagomålen har klagandena mottagit oönskade nyhetsbrev från bolaget trots att de har invänt mot att få sina personuppgifter behandlade för direktmarknadsföringsändamål.

Bolaget har uppgett att det är personuppgiftsansvarig för den personuppgiftsbehandling som tillsynen omfattar.

Bolaget erbjuder sina kunder tre olika tillvägagångsätt för att motsätta sig marknadsföring via nyhetsbrev. Kunderna kan ändra sin prenumerationsstatus under sina kontoinställningar, avregistrera sig från prenumerationer via en länk som finns i varje utskick av nyhetsbrev eller kontakta bolagets kundtjänst. Bolaget hanterar ett mycket stort antal prenumeranter årligen och det är endast i en mycket liten del av avregistreringsärenden det uppstår någon form av problem.

Bolaget bekräftar att det har mottagit klagandenas invändningar i samtliga klagomål. Bolaget har dock inte kvar någon dokumenterad korrespondens med klagandena då lagringstiden för kommunikation med kundtjänst har passerat. Bolaget avser att se över sin lagringstid vid kommunikation med kundtjänst för ändamålet att kunna visa vilka åtgärder som vidtagits för att tillmötesgå registrerades rättigheter.

Nedan följer en redogörelse över vad klagandena och bolaget har anfört i förhållande till respektive klagomål.

Klagomål 1 (från Polen med nationellt referensnummer: ZSPR.440.1340.2019)

I klagomålet görs gällande att klaganden framställde sin invändning mot att få direktmarknadsföring genom att fylla i bolagets formulär via kontoinställningar, samt genom att kontakta kundtjänst vid upprepade tillfällen, utan framgång. Klaganden har kontaktat såväl den polska (obslugaklienta.pl@hm.com) som den brittiska (customerservice.UK@hm.com) kundtjänsten. Enligt den till klagomålet bifogade epostkorrespondensen informerade bolaget klaganden den 8 april 2019 att hen inte skulle motta några fler nyhetsbrev. Klaganden har inkommit med underlag på att bolaget skickat nyhetsbrev fram till och med den 1 augusti 2019.

Bolaget har i sitt svar anfört att det avslutade klagandens prenumeration från bolagets allmänna nyhetsbrev den 5 april 2019 men av misstag (och i strid med bolagets interna instruktioner) avregistrerades klaganden endast från det allmänna nyhetsbrevet och inte från det nyhetsbrev som är kopplat till kundklubben. Den 2

augusti 2019 avslutades även nyhetsbrev kopplade till kundklubben och klaganden har därefter inte fått någon marknadsföring. Bolaget har medgett att det inte hanterat begäran i enlighet med sina rutiner men uppgett att misstaget inte kan inträffa igen eftersom det inte längre är tekniskt möjligt för kundtjänst att avregistrera en kund från endast en typ av nyhetsbrev.

Klagomål 2 (från Italien med nationellt referensnummer: 142785)

I klagomålet görs gällande att klaganden framställde sin invändning mot att få direktmarknadsföring genom att använda avprenumerationslänken i utskicket av nyhetsbrevet, samt genom att kontakta kundtjänst vid tre tillfällen utan framgång. I e-post till bolaget den 4 juli 2019 uppger klaganden att hen försökt använda avprenumerationslänken ett tiotal gånger. Klaganden har varit i kontakt med den italienska kundtjänsten via servizioclienti.it@hm.com. Bolaget informerade klaganden den 4 juli 2019 att kundtjänst hade skickat ärendet vidare till behörig avdelning och att det kunde ta lite tid innan klagandens begäran helt tillgodosetts. Klaganden har därefter fortsatt ta emot nyhetsbrev fram till och med den 3 oktober 2019.

Bolaget har i sitt svar anfört att det avslutade klagandens prenumeration från bolagets allmänna nyhetsbrev den 4 juli 2019. Av misstag (och i strid med bolagets interna instruktioner) avregistrerades klaganden endast från det allmänna nyhetsbrevet och inte från det nyhetsbrev som är kopplat till kundklubben. Den 2 oktober 2019 avslutades även nyhetsbrev kopplade till kundklubben och klaganden har efter den 3 oktober 2019 inte fått någon marknadsföring. Bolaget har medgett att det inte har hanterat begäran i enlighet med sina rutiner men att misstaget inte kan inträffa igen eftersom det inte längre är tekniskt möjligt för kundtjänst att avregistrera en kund från endast en typ av nyhetsbrev.

Klagomål 3 (från Italien med nationellt referensnummer: 146896)

Av bifogad e-postkorrespondens till klagomålet framgår att klaganden kontaktade bolaget den 3 september 2019 för att invända mot direktmarknadsföring. Samma dag mottog klaganden e-post från bolaget med information om att avprenumerationen utförts. Den 7 september 2019 kontaktade klaganden bolaget på nytt via e-post och påtalade att hen fortfarande fick oönskad e-post. Klaganden fick svar från bolaget samma dag med instruktioner om att ändra inställningar under ”mina sidor” samt att använda avprenumerationslänken längst ned i bolagets marknadsföringsutskick. Klaganden svarade att hen redan vidtagit de föreslagna åtgärderna ett tiotal gånger. Klaganden har varit i kontakt med den italienska kundtjänsten via servizioclienti.it@hm.com.

Bolaget har i sitt svar anfört att det avslutade klagandens prenumeration från bolagets allmänna nyhetsbrev den 3 september 2019. Av misstag (och i strid med bolagets interna instruktioner) avregistrerades klaganden endast från det allmänna nyhetsbrevet och inte från det nyhetsbrev som är kopplat till kundklubben. Den 5 februari 2020 avslutades även nyhetsbrev kopplade till kundklubben och klaganden har därefter inte fått någon marknadsföring. Bolaget har medgett att det inte hanterat begäran i enlighet med sina rutiner men uppgett att misstaget inte kan inträffa igen eftersom det inte längre är tekniskt möjligt för kundtjänst att avregistrera en kund från endast en typ av nyhetsbrev.

Klagomål 4 (från Storbritannien med nationellt diarienummer: RFA0782737)

I klagomålet görs gällande att klaganden framställde sin invändning mot att få direktmarknadsföring genom att upprepade gånger använda avprenumerationslänken i utskicket av nyhetsbrevet, genom att ringa till kundtjänst samt genom att kontakta bolaget via e-post vid åtminstone två tillfällen. Klaganden har varit i kontakt med kundtjänsten via e-postadressen customerservice@arket.com. Till klagomålet har klaganden bifogat e-postkorrespondens med bolaget samt ett meddelande från bolaget den 26 juli 2018 om att ett avprenumerationsförsök misslyckats. Klaganden uppgav i sitt ursprungliga klagomål till den brittiska tillsynsmyndigheten att hen kontaktade H&M den 31 juli 2018. Klagandens har bifogat ett e-postmeddelande från Arkets kundtjänst från den 31 juli 2018 som innehåller instruktioner om vilka ytterligare åtgärder klaganden kan vidta för att invända mot direktmarknadsföring. Klaganden har även bifogat e-postkorrespondens från den 14, 15, 17 och 18 augusti 2018. Bolaget informerade klaganden den 18 augusti 2018 att kundtjänst skickat ärendet vidare till behörig avdelning och att det kunde ta 3-4 arbetsdagar innan klagandens begäran helt tillgodosetts. Klaganden har därefter fortsatt ta emot nyhetsbrev, bland annat den 2 september 2018 enligt en till klagomålet bifogad kopia på marknadsföringsutskick.

Bolaget har i sitt svar uppgett att det har begränsad information om ärendet. Av bolagets kundsystem framgår att klaganden tog emot nyhetsbrev fram till och med den 16 februari 2020. Bolaget har därefter inte skickat några nyhetsbrev till klaganden.

Klagomål 5 (från Storbritannien med nationellt diarienummer: RFA0768679)

I klagomålet görs gällande att klaganden framställde sin invändning mot att få direktmarknadsföring genom att använda avprenumerationslänken fem gånger utan framgång. Av klagomålet framgår inte ett exakt datum för när klaganden invände. Den klagande vände sig dock till den brittiska dataskyddsmyndigheten med ett klagomål och uppgav då att hen försökt avprenumerera från bolagets nyhetsbrev fem gånger under den förevarande fyraveckorsperioden. Klaganden bifogade också bolagets senaste marknadsföringsutskick som är daterat den 18 juli 2018.

Bolaget har i sitt svar uppgett att den brittiska dataskyddsmyndigheten (ICO) kontaktade bolaget angående detta ärende den 20 maj 2019. Samma dag avregistrerade bolaget klaganden från nyhetsbrevet. Klaganden har därefter inte mottagit några nyhetsbrev. Den 29 maj 2019 informerade ICO bolaget att klaganden erhållit information om att hens begäran är hanterad. Bolaget uppger slutligen att klagomålet tyder på att bolaget svarat klaganden vid flera tillfällen.

Klagomål 6 (från Polen med nationellt diarienummer: ZSPR.440.1662.2019)

I klagomålet görs gällande att klaganden framställde sin invändning mot att få direktmarknadsföring genom att många gånger använda avprenumerationslänken i utskicket av nyhetsbrevet, samt genom att minst två gånger kontakta bolaget via epost och genom att fylla i bolagets formulär via kontoinställningar, utan framgång. Klaganden har kontaktat den polska kundtjänsten via obslugaklienta.pl@hm.com. Bolaget informerade klaganden den 8 augusti 2019 att hen blivit avregistrerad från nyhetsbrev men att det kan ta upp till 30 dagar innan klagandens begäran

tillgodosetts. Klaganden har till klagomålet bifogat ett utdrag av ett nyhetsbrev som skickades till klagandens e-postadress den 15 september 2019.

Bolaget har i sitt svar uppgett att det saknar information om ärendet eftersom klaganden begärt att få samtliga personuppgifter raderade.

Vad H&M har uppgett om vidtagna åtgärder

Bolaget hanterar ett mycket stort antal prenumeranter årligen. Bolagets bedömning är att det endast i en liten del av de ärenden där en prenumerant ber om att avregistreras från vidare utskick uppstår någon form av problem.

I oktober 2019 tillsatte bolaget en särskild arbetsgrupp bestående av personer från olika verksamhetsområden och kompetenser, t.ex. inom IT-utveckling, dataskydd och marknadsföring. Syftet var att lägga ytterligare resurser och mer fokus på att effektivt kunna lösa situationer där ett fåtal avprenumerationer stött på hinder.

Under det kontinuerliga förvaltnings- och förbättringsarbete som bedrivs i dessa frågor har bolaget identifierat flera orsaker som åtgärdats genom:

• buggfixar kopplade till kundtjänstens manuella förändringar av en kunds prenumerationsstatus, • buggfixar kopplade till prenumerationsstatus hos en medlem/kontohavares kontoinställningar samt • justering av rutiner, arbetssätt och ytterligare utbildning av kundtjänstpersonal.

Bolaget uppger vidare att det är flera system som är involverade i utskicken av nyhetsbrev. För att ytterligare minska risken för konsekvenser av buggar i de tekniska systemen implementerade bolaget i maj 2020 en manuell rutin för att säkerställa att uppdateringen sker i samtliga system. Detta gjorde det möjligt att proaktivt korrigera prenumerationsstatusen i kommunicerande system och undvika felaktiga utskick av nyhetsbrev. Denna manuella rutin automatiserades i juli 2020.

Den 8 december 2020 implementerade bolaget en teknisk lösning som säkerställer att samtliga involverade system får uppdaterad information i samband med att en kund avprenumererar sig oavsett tidigare status.

Bolaget har också infört funktioner för systematisk flaggning när en prenumerant klickar på en avprenumerationslänk mer än en gång. Detta möjliggör att åtgärder kan vidtas för att utreda om det föreligger några problem med avprenumerationen.

Tidigare när en kund klickade på avprenumerations-länken sändes det en signal till ett av bolagens system som i sin tur kommunicerade med omkringliggande system. Sedan december 2020 sänds signalen direkt till det system som skickar ut nyhetsbreven. Enligt bolaget minskar det risken för att avprenumerationer inte går igenom.

Bolaget arbetar också med att implementera ett monitoreringssystem som ska kunna flagga om det uppstår några systematiska problem i samband med ett avprenumerationsärende.

Bolaget avser också att genomföra en översyn av prenumeranterna i bolagets kundklubb i syfte att säkerställa att samtliga prenumerationsstatusar är korrekta.

Motivering av beslutet

Tillämpliga bestämmelser

Enligt artikel 6 i dataskyddsförordningen krävs att den som behandlar personuppgifter har en rättslig grund för behandlingen, dvs. att åtminstone ett av villkoren i artikel 6.1 är uppfyllt.

Artikel 21 i dataskyddsförordningen föreskriver en rätt för den registrerade att göra invändningar mot behandling av personuppgifter som grundar sig på artikel 6.1 e eller 6.1 f i dataskyddsförordningen. Enligt artikel 21.2 ska den registrerade ha rätt att när som helst invända mot behandling av personuppgifter för direktmarknadsföringsändamål avseende honom eller henne. Av artikel 21.3 följer att om den registrerade invänder mot sådan behandling ska personuppgifterna inte längre behandlas för direktmarknadsföringsändamål.

Enligt artikel 12.3 i dataskyddsförordningen ska den personuppgiftsansvarige tillhandahålla den registrerade information om de åtgärder som vidtagits med anledning av en begäran enligt artikel 21 i dataskyddsförordningen utan onödigt dröjsmål och under alla omständigheter senast en månad efter att begäran mottagits. Tidsfristen om en månad får förlängas med ytterligare två månader om begäran är särskilt komplicerad eller antalet inkomna begäranden är högt.

Om tidsfristen om en månad förlängs, ska den personuppgiftsansvarige underrätta den registrerade om förlängningen. Underrättandet av förlängningen av tidsfristen ska ske inom en månad från det att begäran mottogs. Den personuppgiftsansvarige ska också ange orsakerna till förseningen.

Av artikel 12.2 i dataskyddsförordningen framgår att den personuppgiftsansvarige ska underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22.

Enligt skäl 59 till dataskyddsförordningen bör förfaranden fastställas som gör det lättare för registrerade att utöva sina rättigheter enligt denna förordning, inklusive mekanismer för att begära och i förekommande fall kostnadsfritt få tillgång till och erhålla rättelse eller radering av personuppgifter samt för att utöva rätten att göra invändningar. Den personuppgiftsansvarige bör också tillhandahålla hjälpmedel för elektroniskt ingivna framställningar, särskilt i fall då personuppgifter behandlas elektroniskt.

Integritetsskyddsmyndighetens bedömning

Har det skett en överträdelse av artikel 12.2 i dataskyddsförordningen?

IMY har att ta ställning till om H&M avseende de sex klagomålen i tillräcklig utsträckning underlättat för klagandena att utöva sin rätt till invändning i enlighet med dataskyddsförordningen. IMY utreder följaktligen inte bolagets nya rutiner som avser tiden efter att klagandenas begäranden redan hanterats av bolaget.

Enligt IMY följer det av artikel 12.2 och skäl 59 i dataskyddsförordningen att bolaget i detta fall haft en skyldighet att ha interna rutiner som gör att de registrerade kan utöva sina rättigheter på ett enkelt och ändamålsenligt sätt. Den skyldigheten förutsätter att den personuppgiftsansvarige regelbundet kontrollerar och säkerställer att de rutiner och system som används möjliggör för registrerade att enkelt kunna utöva sina rättigheter.

Bolaget har i sina yttranden till IMY redogjort för att det i systemet och i samband med hanteringen av klagandenas invändningar mot direktmarknadsföring varit möjligt att avprenumerera en registrerad från olika nyhetsbrev. Avseende klagomål 1-3 har bolaget kunnat konstatera att klagandena har avprenumererats från det allmänna nyhetsbrevet men däremot inte från det nyhetsbrev som varit kopplat till kundklubben. Avseende klagomål 4-6 saknar bolaget tillräcklig information. Bolaget har uppgett att det inte längre är möjligt för kundtjänst att endast avprenumerera på allmänna nyhetsbrev och att en motsvarade situation numera inte kan inträffa.

Vidare kan konstateras att klagandena i klagomål 2-6 uppgett att de ett flertal, i vissa fall upp till ett tiotal, gånger använt avprenumerationslänken som följer med nyhetsbrevet utan att nyhetsbreven upphört att komma. Det har rört sig om fem klagande, från tre olika länder, som vid upprepade tillfällen och utspritt i tid, använt sig av avprenumerationslänken utan att den fungerat. Bolaget har redogjort för ett flertal generella och omfattande tekniska åtgärder som vidtagits i syfte att minska risken för att avprenumerationer inte går igenom.

Klagandena i klagomål 1, 2, 3, 4 och 6 har, efter att ha konstaterat att länken för avprenumeration inte fungerat, kontaktat bolaget på olika sätt, bland annat med hjälp av formulär via kontoinställningar, via e-post samt genom kontaktformulär. Klagandena har vid olika tillfällen sammantaget under cirka ett års tid även kontaktat kundtjänsten i Italien, Polen och Storbritannien samt kundtjänsten för varumärket Arket utan att kundtjänsten på ett korrekt sätt kunnat uppfatta och hantera deras begäranden.

Mot bakgrund av att bolaget redan i juni 2018 uppmärksammats på brister avseende bland annat avprenumerationsfunktionen bedömer IMY att bolaget dröjt alltför länge (till oktober 2019) med att åtgärda de brister som förelegat.

Vid en bedömning av de omständigheter som anges ovan finner IMY att det med avseende på de sex klagomålen förelegat brister i den interna processen för hantering av invändningar enligt artikel 21.2 i dataskyddsförordningen som fått till följd att klagandena inte på ett enkelt sätt kunnat ta tillvara och utöva sina rättigheter enligt förordningen. Bolaget har därmed överträtt artikel 12.2 i dataskyddsförordningen.

Rätt att göra invändningar – har det skett en överträdelse av artiklarna 21.3, 12.3 och 6.1. dataskyddsförordningen?

Allmänna utgångspunkter

Om en registrerad invänder mot direktmarknadsföring enligt artikel 21.2 i dataskyddsförordningen ska, enligt artikel 21.3, personuppgifter inte längre behandlas för sådana ändamål. I enlighet med artikel 12.3 i dataskyddsförordningen ska den personuppgiftsansvarige, utan onödigt dröjsmål och senast inom en månad efter att begäran mottagits, vidta åtgärder med anledning av begäran samt lämna information om de vidtagna åtgärderna. En begäran om invändning mot direktmarknadsföring enligt artikel 21.3 som inte tillgodoses utan onödigt dröjsmål utgör därför en överträdelse av både artikel 21.3 och 12.3.

Efter en invändning är fortsatt behandling av den registrerades personuppgifter inte längre tillåten för direktmarknadsföringsändamål. IMY konstaterar att det mot bakgrund av detta förbud inte heller kan föreligga någon rättslig grund enligt artikel 6.1 i dataskyddsförordningen för sådan behandling. Fortsatt behandling för marknadsföringsändamål, efter det att en invändning enligt artikel 21.3 tagits emot och bort hanterats av den personuppgiftsansvarige, utgör därmed även en överträdelse av

artikel 6.1. För att avgöra när bolaget inte längre haft en rättslig grund för behandlingen måste det bedömas när en invändning senast borde ha hanterats.

Eftersom rätten att invända mot direktmarknadsföring enligt artikel 21.2 i dataskyddsförordningen är ovillkorlig finns det inget utrymme för individuell prövning av om en sådan invändning ska godtas. Hanteringen av invändningar mot direktmarknadsföring bör därför vara en rutinåtgärd för den personuppgiftsansvarige och ske skyndsamt.

I dataskyddsförordningen betonas vikten av att på ett korrekt sätt utvärdera och minska eventuella risker för enskildas rättigheter och friheter till följd av en behandling av personuppgifter. Ett exempel på en risk för enskilda är att marknadsföring kan ha till syfte att påverka registrerades val och köpvanor och det är därför av vikt att H&M som en stor aktör, har fungerande rutiner och processer på plats för att hantera registrerades begäranden om invändning skyndsamt.

H&M har ett automatiserat system som har till syfte att på ett enkelt sätt fånga upp en registrerads viljeyttring att invända mot direktmarknadsföring och också på ett enkelt och snabbt sätt kunna avbryta utskick för direktmarknadsföringsändamål. Samtliga klagandenas viljeyttringar att invända mot direktmarknadsföring har trots detta behövt framföras upprepade gånger. I klagomål 1, 2, 3, 4 och 6 har klagandenas invändningar dessutom behövt framföras genom olika kontaktvägar hos bolaget, antingen genom att använda H&M:s avprenumerationslänk eller genom att kontakta bolaget på olika sätt eller en kombination av dessa.

Det är särskilt angeläget från bolagets sida att agera snabbt vid indikationer på att klagandena inte kunnat utöva sin rätt till invändning eftersom att det skulle kunna innebära, och i de sex enskilda fallen har inneburit, att klaganden trots tidigare invändningar, tagit emot marknadsföringsutskick mot sin vilja.

Med beaktande av vad som ovan anförts bedömer IMY att den tid inom vilken bolaget borde ha agerat i dessa sex enskilda fall var mycket kort. Hur lång denna tid bör vara måste bedömas med hänsyn till omständigheterna i det enskilda fallet och kan variera exempelvis beroende på om avregistreringen sker automatiskt eller manuellt. Mot bakgrund av omständigheterna i det här ärendet bedömer IMY att två dagar var en rimlig tid för bolaget att hantera begäran om invändning i de sex aktuella fallen.

Utgångspunkt i respektive klagomål

Klagomål 1 (från Polen med nationellt referensnummer: ZSPR.440.1340.2019)

Klaganden anger inte exakt vilket datum hen första gången invände mot direktmarknadsföring till bolaget genom att fylla i bolagets formulär via kontoinställningar. Klaganden har dock bifogat e-postkorrespondens med bolaget av vilken framgår att bolaget informerade klaganden den 8 april 2019 att hen inte skulle motta några fler nyhetsbrev.

Bolaget kan inte bekräfta datumet för klagandens invändning då kundtjänstens korrespondens med klaganden gallrats.

Av utredningen är det inte möjligt att fastslå exakt datum för när klaganden först invände mot direktmarknadsföring. Utredningen visar dock att klaganden i vart fall

invänt mot direktmarknadsföring den 5 april 2019 eftersom bolaget i sitt svar anfört att det avlutade klagandens prenumeration från bolagets allmänna nyhetsbrev den dagen.

Efter att klaganden invänt mot behandling av sina personuppgifter för direktmarknadsföringsändamål i vart fall den 5 april 2019 har bolaget fortsatt skicka nyhetsbrev till klaganden till och med den 2 augusti 2019.

I det aktuella fallet har utskicken av direktmarknadsföring därmed fortsatt i ytterligare närmare fyra månader efter klagandens invändning. IMY finner att bolaget borde ha hanterat klagandens begäran om invändning inom i vart fall två dagar. Bolaget har därför inte hanterat klagandens invändning utan onödigt dröjsmål och således agerat i strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen.

Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som skett därefter. IMY konstaterar mot denna bakgrund att bolaget från den 7 april 2019 fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med artikel 6.1 dataskyddsförordningen.

Klagomål 2 (från Italien med nationellt referensnummer: 142785)

Klaganden anger inte exakt vilket datum hen första gången invände mot direktmarknadsföring till bolaget genom att använda avprenumerationslänken. Klaganden har dock bifogat e-postkorrespondens med bolaget från den 4 juli 2019 som visar att hen redan då hade försökt att använda avprenumerationslänken ett tiotal gånger.

Bolaget kan inte bekräfta datumet för klagandens invändning då kundtjänstens korrespondens med klaganden gallrats.

Av utredningen är det inte möjligt att fastslå exakt datum för när klaganden först invände mot direktmarknadsföring. Utredningen visar dock att klaganden i vart fall invänt mot direktmarknadsföring den 4 juli 2019 eftersom bolaget i sitt svar anfört att det avslutat klagandens prenumeration från bolagets allmänna nyhetsbrev den dagen.

Efter att klaganden invänt mot behandling av sina personuppgifter för direktmarknadsföringsändamål i var fall den 4 juli 2019 har bolaget fortsatt skicka nyhetsbrev till klaganden till och med den 3 oktober 2019.

I det aktuella fallet har utskicken av direktmarknadsföring således fortsatt i ytterligare närmare tre månader efter klagandens invändning. IMY finner att bolaget borde ha hanterat klagandens begäran om invändning i vart fall inom två dagar. Bolaget har därför inte hanterat klagandens invändning utan onödigt dröjsmål och således agerat i strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen.

Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som skett därefter. IMY konstaterar mot denna bakgrund att bolaget från den 6 juli 2019 fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med artikel 6.1 dataskyddsförordningen.

Klagomål 3 (från Italien med nationellt referensnummer: 146896)

Klaganden anger inte exakt vilket datum hen första gången invände mot direktmarknadsföring till bolaget genom att använda avprenumerationslänken. Klaganden har dock bifogat e-postkorrespondens med bolaget från den 3 september 2019 med en begäran om att invända mot direktmarknadsföring. Klaganden har också i efterföljande korrespondens anfört att hen redan använt avprenumerationslänken ett tiotal gånger.

Bolaget kan inte bekräfta datumet för klagandens invändning då kundtjänstens korrespondens med klaganden gallrats.

Av utredningen är det inte möjligt att fastslå exakt datum för när klaganden först invände mot direktmarknadsföring. Utredningen visar dock att klaganden i vart fall invänt mot direktmarknadsföring den 3 september 2019 då klaganden kontaktade bolaget via e-post.

Efter att klaganden invänt mot behandling av dennes personuppgifter för direktmarknadsföringsändamål i vart fall den 3 september 2019 har bolaget fortsatt skicka nyhetsbrev till klaganden till och med den 5 februari 2020.

I det aktuella fallet har utskicken av direktmarknadsföring följaktligen fortsatt i ytterligare fem månader efter klagandens invändning. IMY finner att bolaget borde ha hanterat klagandens begäran om invändning i vart fall inom två dagar. Bolaget har därför inte hanterat klagandens invändning utan onödigt dröjsmål och således agerat i strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen.

Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som skett därefter. IMY konstaterar mot denna bakgrund att bolaget från den 5 september 2019 fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med artikel 6.1 dataskyddsförordningen.

Klagomål 4 (från Storbritannien med nationellt diarienummer: RFA0782737)

Klaganden anger inte exakt vilket datum hen första gången invände mot direktmarknadsföring till bolaget genom att använda avprenumerationslänken. Klaganden har dock bifogat en kopia på ett meddelande till bolaget om att ett avprenumerationsförsök misslyckats den 26 juli 2019 samt e-postkorrespondens med bolaget från den 31 juli 2019 av vilken framgår att bolaget ger ytterligare instruktioner för vad som kan göras när avprenumerationslänken inte fungerar.

Bolaget kan inte bekräfta datumet för klagandens invändning då kundtjänstens korrespondens med klaganden gallrats.

Av utredningen är det inte möjligt att fastslå exakt datum för när klaganden först invände mot direktmarknadsföring. Utredningen visar dock att klaganden i vart fall invänt mot direktmarknadsföring den 31 juli 2018 då bolaget gett klaganden ytterligare instruktioner avseende avprenumerationen.

Efter att klaganden invänt mot behandling av dennes personuppgifter för direktmarknadsföringsändamål i vart fall den 31 juli 2018 har bolaget fortsatt skicka nyhetsbrev till klaganden till och med den 16 februari 2020.

I det aktuella fallet har utskicken av direktmarknadsföring därmed fortsatt i ytterligare 18 månader efter klagandens invändning. IMY finner att bolaget borde ha hanterat klagandens begäran om invändning i vart fall inom två dagar. Bolaget har därför inte hanterat klagandens invändning utan onödigt dröjsmål och således agerat i strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen.

Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som skett därefter. IMY konstaterar mot denna bakgrund att bolaget från den 2 augusti 2018 fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med artikel 6.1 dataskyddsförordningen.

Klagomål 5 (från Storbritannien med nationellt diarienummer: RFA0768679)

I sitt klagomål till ICO bifogade klaganden en kopia på det marknadsföringsutskick som hen mottagit från H&M den 18 juli 2018 och den klagande uppger att det var det senast mottagna utskicket. I klagomålet uppges också att den klagande under de fyra förevarande veckorna, innan klagomålet lämnades in, försökt avprenumerera från bolagets marknadsföringsutskick utan framgång. Det framgår inte av klagomålet när klaganden första gången invände mot direktmarknadsföring.

Bolaget har uppgett att de tagit emot klagandens invändningar men kan inte bekräfta datumet för när invändningarna gjordes. Bolaget noterar att klagomålet tyder på att bolaget svarat klaganden vid ett flertal gånger.

IMY bedömer att utredningen inte visat annat än att den klagande i vart fall under juli 2018, när hen lämnade in ett klagomål till den brittiska dataskyddsmyndigheten, har invänt mot bolagets direktmarknadsföring. Bedömningen görs särskilt mot bakgrund av de brister avseende uppdelning av nyhetsbrev som förelåg vid tiden för klagomålet och att klaganden anfört att hen försökt invända under en fyraveckorsperiod samt att bolaget uppgett att de tagit emot klagandens invändning. Den 20 maj 2019 avprenumererades klaganden från bolagets nyhetsbrev.

I det aktuella fallet har utskicken av direktmarknadsföring således fortsatt i ytterligare 9 månader efter klagandens invändning. IMY finner att bolaget borde ha hanterat klagandens begäran om invändning i vart fall inom två dagar. Bolaget har därför inte hanterat klagandens invändning utan onödigt dröjsmål och således agerat i strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen.

Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som skett därefter. IMY konstaterar mot denna bakgrund att bolaget från augusti 2018 fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med artikel 6.1 i dataskyddsförordningen.

Klagomål 6 (från Polen med nationellt diarienummer: ZSPR.440.1662.2019)

Klaganden anger inte exakt vilket datum hen första gången invände mot direktmarknadsföring till bolaget genom att använda avprenumerationslänken. Klaganden har dock bifogat e-postkorrespondens med bolaget från den 8 augusti 2019. Av korrespondensen framgår att klaganden erhåller nyhetsbrev trots att klaganden använt avprenumerationslänken många gånger.

Bolaget kan inte bekräfta datumet för klagandens invändning då kundtjänstens korrespondens med klaganden gallrats.

Av utredningen är det inte möjligt att fastslå exakt datum för när klaganden först invände mot direktmarknadsföring. Däremot visar underlaget att klaganden i vart fall invänt mot direktmarknadsföring den 8 augusti 2019 då klaganden mejlat bolaget.

Bolaget har uppgett att det saknar information om det aktuella klagomålet. Den klagande har dock till sitt klagomål bifogat en kopia på det utskick av direktmarknadsföring som hen erhöll den 15 september 2019. E-postutskicket är adresserat till den e-postadress som klaganden använder i såväl korrespondens med bolaget som med den polska dataskyddsmyndigheten. Det har inte framkommit omständigheter som föranleder IMY att ifrågasätta klagandens inlämnade underlag. Den klagande invände mot direktmarknadsföring i vart fall den 8 augusti 2019 och IMY:s bedömning är att bolaget har skickat nyhetsbrev till klaganden till och med den 15 september 2019. Bolaget har inte heller kunnat visa att de informerat klaganden om förseningen eller att förseningen skulle vara berättigad.

I det aktuella fallet har utskicken av direktmarknadsföring följaktligen fortsatt i ytterligare en månad och en vecka efter klagandens invändning. IMY finner att bolaget borde ha hanterat klagandens begäran om invändning i vart fall inom två dagar. Bolaget har därför inte hanterat klagandens invändning utan onödigt dröjsmål och således agerat i strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen.

Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som skett därefter. IMY konstaterar mot denna bakgrund att bolaget från den 10 augusti 2019 fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med artikel 6.1 dataskyddsförordningen.

Val av ingripande

Tillämpliga bestämmelser

Av artiklarna 58.2 i och 83.2 dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 till dataskyddsförordningen i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen. I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras och vid bedömningen av sanktionsavgiftens storlek.

Vid bedömningen av storleken på sanktionsavgiften ska bland annat hänsyn tas till artikel 83.2 a (överträdelsens karaktär, svårighetsgrad och varaktighet), c (de åtgärder som den personuppgiftsansvarige har vidtagit) och k (annan försvårande eller förmildrande faktor till exempel direkt eller indirekt ekonomisk vinst).

EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer för beräkning av sanktionsavgifter.

Enligt artikel 83.5 i dataskyddsförordningen kan vid överträdelser av artiklarna 6, 12 och 21 i dataskyddsförordningen administrativa sanktionsavgifter påföras på upp till 20 000 000 EUR eller, om det gäller företag, på upp till 4 procent av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst. Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag ska den definition av begreppet företag användas som EU-domstolen använder vid tillämpning av artiklarna 101 och 102 i EUF-fördraget (se skäl 150 i dataskyddsförordningen). Av domstolens praxis framgår att detta omfattar varje enhet som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering samt även om enheten i juridisk mening består av flera fysiska eller juridiska personer.

Sanktionsavgift

IMY har ovan bedömt att bolaget genom att fortsätta med direktmarknadsföringsutskick efter att de klagande invänt mot att deras personuppgifter behandlas för sådana ändamål har överträtt artiklarna 6.1, 12.2, 12.3 och 21.3 i dataskyddsförordningen.

Mot bakgrund av att bolaget, i sex från varandra skilda fall, brustit i att på ett korrekt sätt hantera klagandens begäranden om invändning mot direktmarknadsföring samt att bolaget därtill fortsatt att behandla klagandenas personuppgifter för direktmarknadsföring i upp till 18 månader är det inte fråga om mindre överträdelser. IMY finner därmed inte att en reprimand är tillräcklig. Bolaget ska därför påföras en administrativ sanktionsavgift.

Samma eller sammankopplade uppgiftsbehandlingar

IMY har ovan konstaterat att bolaget avseende de sex klagomålen har agerat i strid med flera olika artiklar i dataskyddsförordningen. Överträdelserna har dock inneburit ett och samma agerande rörande respektive klagomål och utgör därmed endast en överträdelse per klagomål. Överträdelserna gällande de sex klagomålen i detta ärende är samtliga ett resultat av bolagets oförmåga att hantera klagandenas invändningar mot direktmarknadsföring på ett korrekt sätt. Bolagets agerande med anledning av de sex invändningarna som klagomålen rör, är därför att se som sex sammankopplade personuppgiftsbehandlingar. IMY bedömer således att de aktuella överträdelserna utgör sex stycken sammankopplade uppgiftsbehandlingar enligt artikel 83.3 i dataskyddsförordningen.

Bestämmande av sanktionsavgift

IMY bedömer att det företags omsättning som ska läggas till grund för beräkning av de administrativa sanktionsavgifter som bolaget kan åläggas är bolagets moderbolag H&M Hennes & Mauritz AB (556042-7220). Av H&M Hennes & Mauritz AB:s årsredovisning för år 2022 framgår att årsomsättningen år 2022 var ca 223 553 000 000 kronor. Eftersom IMY har konstaterat överträdelser av artikel 6.1 12 2, 12.3 och 21 så är det högsta sanktionsbelopp som kan fastställas i ärendet enligt

artikel 83.5 i dataskyddsförordningen fyra procent av detta belopp, det vill säga 8 942 120 000 kronor.

Vid bedömning av överträdelsernas allvarlighetsgrad har IMY beaktat följande omständigheter. Rätten till invändning är en central rättighet enligt dataskyddsförordningen och det ställs höga krav på personuppgiftsansvariga att införa system, processer och rutiner för att löpande kunna tillgodose registrerades rätt att invända på ett lämpligt sätt och i rätt tid. IMY noterar att överträdelsernas varaktighet varit lång, bolaget har uppmärksammats på bristerna från flera fristående klagande under perioden juni 2018 till september 2019. Bristen har berört registrerade i tre olika länder. Bolaget borde ha agerat avseende den påstådda bristen redan när det uppmärksammades på den i samband med det första klagomålet.

IMY kan dock konstatera att bolaget i samband med klagandenas invändningar har vidtagit åtgärder, om än otillräckliga, i syfte att avbryta utskick av det allmänna nyhetsbrevet. Överträdelserna har inte heller avsett känsliga personuppgifter och överträdelserna har konstaterats drabbat sex klagande. Två av klagomålen är dessutom hänförliga till en period i nära anslutning till dataskyddsförordningens ikraftträdande. IMY noterar också att bolaget årligen hanterar ett mycket stort antal prenumeranter och att det enligt bolagets egen uppgift endast i en liten del av dessa uppstår fel. Överträdelsernas karaktär har inneburit begränsade negativa effekter för de registrerade.

IMY bedömer mot bakgrund av ovanstående omständigheter att det sammantaget rör sig om överträdelser av låg allvarlighetsgrad. Utgångspunkten för beräkningen av sanktionsavgiften bör därför sättas lågt i förhållande till det aktuella maxbeloppet. Utöver bedömningen av överträdelsernas allvar ska IMY bedöma om det föreligger några försvårande eller förmildrande omständigheter som får betydelse för sanktionsavgiftens storlek.

IMY bedömer att det saknas ytterligare försvårande omständigheter, utöver de som beaktas vid bedömningen av allvarlighetsgraden ovan, som påverkar sanktionsavgiftens storlek. Som förmildrande omständighet lägger IMY särskild vikt vid att bolaget tillsatte en särskild arbetsgrupp i oktober 2019 i syfte att lägga ytterligare resurser och mer fokus på att effektivt kunna lösa situationer där avprenumerationer stötte på hinder. Arbetet har resulterat i att samtliga identifierade orsaker har åtgärdats genom bl.a. buggfixar, justering av rutiner, arbetssätt och utbildning av kundtjänstmedarbetare på bolaget. Eftersom det är ett flertal system som är involverade i utskick av nyhetsbrev implementerades även en manuell rutin i maj 2020 för att ytterligare minska risken för konsekvenser av buggar i de tekniska systemen och säkerställa att uppdateringen sker i samtliga system. Den manuella rutinen automatiserades i juli 2020.

Mot bakgrund av överträdelsernas karaktär och allvar, försvårande och förmildrande omständigheter samt det faktum att beslutet avser bolagets agerande i sex enskilda fall bestämmer IMY den administrativa sanktionsavgiften för H&M Hennes & Mauritz GBC AB till 350 000 kronor. IMY bedömer att detta belopp är effektivt, proportionerligt och avskräckande i det nu aktuella fallet.

Detta beslut har fattats av enhetschefen Albin Brunskog efter föredragning av juristen Johanna Rydh. Vid den slutliga handläggningen har även rättschefen David Törngren medverkat.

Albin Brunskog, 2023-10-17 (Det här är en elektronisk signatur)

Kopia till

Dataskyddsombudet

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.