Rebtel Networks AB

DI-2020-10561 Beslut efter tillsyn enligt

dataskyddsförordningen – Rebtel Networks AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Rebtel Networks AB har behandlat personuppgifter i strid med

 artikel 17 dataskyddsförordningen genom att inte utan onödigt dröjsmål först den 9 november 2020 radera de personuppgifter som klaganden begärt radering av den 18 september 2019.

 artikel 12.3 dataskyddsförordningen genom att ha lämnat felaktig information den 22 september 2019 om att klagandens uppgifter hade raderats med anledning av klagandens begäran av den 18 september 2019.

Integritetsskyddsmyndigheten ger Rebtel Networks AB en reprimand enligt artikel 58.2 b dataskyddsförordningen.

Redogörelse för tillsynsärendet

Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande Rebtel Networks AB (bolaget) med anledning av ett klagomål. Klagomålet har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 dataskyddsförordningen. Överlämnandet har skett från tillsynsmyndigheten i det land där klaganden har lämnat in sitt klagomål (Spanien) i enlighet med förordningens bestämmelser om samarbete vid gränsöverskridande behandling.

I klagomålet görs gällande att den klagande utan framgång har försökt förmå bolaget att sluta skicka icke-begärda e-postmeddelanden efter att hon tagit bort sitt konto. Hon har vid fyra tillfällen begärt borttagning och bolaget har varje gång bekräftat att hennes uppgifter har raderats och att hon inte skulle få fler meddelanden, men hon har därefter varje gång få ett nytt e-postmeddelande där hon ombetts lämna återkoppling om tjänsten. Hon har även försökt använda länken "avregistrera" som anges i varje e-

postmeddelande, men den har inte heller fungerat. Mot denna bakgrund anser hon att bolaget brutit mot sina skyldigheter enligt artikel 17 dataskyddsförordningen.

Rebtel Networks AB har i huvudsak uppgett följande.

Bolaget mottog en begäran om radering från klaganden den 18 september 2019. I efterhand kan dock konstateras att den inte hanterats som en begäran om radering enligt dataskyddsförordningen, även om vissa uppgifter raderades. Detta är anledningen till att ytterligare e-post i form av påminnelse om en enkät för kundundersökning har skickats till klaganden. Detta har skett under perioden fram till och med den 1 oktober 2019, det vill säga inte efter den tidsfrist om en månad som gäller enligt dataskyddsförordningen för att tillmötesgå en begäran om radering.

Kvarvarande uppgifter raderades den 9 november 2020, förutom sådana som är nödvändiga för att kunna hantera det aktuella tillsynsärendet. Bolaget informerade klaganden om detta den 20 november 2020.

Med anledning av detta tillsynsärende har bolaget vidtagit särskilda åtgärder för att förstärka sina fastslagna processer och rutiner för identifiering av en begäran enligt dataskyddsförordningen. Detta inkluderar framförallt att ytterligare utbildning av dess kundtjänstagenter. Bolaget har vidare förbättrat sina s.k. data triggers i sitt kundtjänstverktyg. Bolagets utredning av den klagandes ärende visade att det inte hade flaggats som ett ärende enligt dataskyddsförordningen då dataapplikationen inte uppfattat någon referens till dataskyddsförordningen på spanska.

Handläggningen har skett genom skriftväxling. Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Spanien, Tyskland, Norge, Italien och Frankrike.

Motivering av beslut

Tillämpliga bestämmelser

Enligt artikel 12.3 dataskyddsförordningen ska den personuppgiftsansvarige på begäran utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran tillhandahålla den registrerade information om de åtgärder som vidtagits enligt artikel 17. Denna period får vid behov förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet inkomna begäranden. Den personuppgiftsansvarige ska underrätta den registrerade om en sådan förlängning inom en månad från det att begäran mottagits samt ange orsakerna till förseningen.

Enligt artikel 17.1 a ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om personuppgifterna inte längre är nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlats. Enligt artikel 17.3 b ska detta inte gälla i den utsträckning som behandlingen är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten.

Integritetsskyddsmyndighetens bedömning

Har det skett en överträdelse av dataskyddsförordningen?

Bolaget har uppgett att anledningen till att klagandens begäran om radering av den 18 september 2019 hanterats först den 9 november 2020 beror på att bolaget inte uppfattat den som en begäran om radering.

Enligt IMY:s mening har det dock framgått klart och tydligt av begäran att den registrerade önskade utöva sin rätt till radering. Eftersom vissa uppgifter raderades först den 9 november 2020 har Rebtel Networks AB behandlat personuppgifter i strid med artikel 17 dataskyddsförordningen genom att inte utan onödigt dröjsmål först den 9 november 2020 radera de personuppgifter som klaganden begärt radering av den 18 september 2019. Bolaget har dock haft fog för att behålla de uppgifter som behövs för att kunna visa att begäran har hanterats i enlighet med dataskyddsförordningen.

Bolaget har anfört att inga ytterligare e-postutskick gjorts sedan den 2 oktober 2019 och att detta är inom den tidsfrist om en månad som följer av artikel 12.3 och 17 dataskyddsförordningen. Bolaget har dock felaktigt i sitt svar till klaganden den 22 september 2019 angett att uppgifterna hade raderats och att klaganden inte skulle få några fler utskick. Rebtel Networks AB har därigenom i strid med artikel 12.3 dataskyddsförordningen lämnat felaktig information om vilka åtgärder – att uppgifterna hade raderats – som har vidtagits med anledning av klagandens begäran.

Trots att bolaget, den 22 september 2019, meddelat den klagande att inga fler epostutskick om kundnöjdhet skulle ske har den klagande mottagit ytterligare fyra sådana utskick. De fyra utskicken gjordes den 22 och 25 september samt den 1 och 2 oktober 2019. IMY konstaterar dock att det rör sig om förhållandevis kort tid efter att begäran om radering framfördes och anser att det ligger inom ramen för den tid som bolaget haft på sig att vidta åtgärder om begäran hade hanterats på ett korrekt sätt.

Val av ingripande

Av artikel 58.2 i och artikel 83.2 framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

Bolaget har uppgett att anledningen till att klagandens begäran om radering inte hanterades korrekt huvudsakligen berott på ett misstag i bolagets kundtjänst och kundtjänstverktyg. Med anledning av det inträffande har bolaget angett att det vidtagit särskilda organisatoriska och tekniska åtgärder för att förstärka sina fastslagna processer och rutiner för identifiering av en begäran enligt dataskyddsförordningen.

IMY finner vid en samlad bedömning av omständigheterna att det är fråga om mindre överträdelser i den mening som avses i skäl 148 och att Rebtel Networks AB därför

ska ges en reprimand enligt artikel 58.2 b dataskyddsförordningen för de konstaterade överträdelserna.

Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av juristen Olle Pettersson. Catharina Fernquist, 2021-03-23 (Det här är en elektronisk signatur)

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.