Lensway Group AB

IMY-2022-1032IMY-2022-1032 Beslut efter tillsyn enligt

dataskyddsförordningen - Lensway Group AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Lensway Group AB vid hantering av begäran om radering som gjordes den 20 februari 2020 av klaganden i klagomål 1, och den 25 juni 2020 av klaganden i klagomål 2, har behandlat personuppgifter i strid med:

• artikel 12.6 i dataskyddsförordningen genom att begära kopia av identitetshandling och signatur när detta inte varit nödvändigt för att bekräfta de klagandes identiteter samt • artikel 12.2 i dataskyddsförordningen genom att kräva att klagandena vid begäran om radering ska skicka in uppgifter för att bekräfta sina identiteter via postgång vilket inte underlättat klagandenas utövande av sin rätt till radering.

Integritetsskyddsmyndigheten ger Lensway Group AB en reprimand enligt artikel 58.2 b i dataskyddsförordningen för överträdelse av artiklarna 12.2 och 12.6 i dataskyddsförordningen.

Redogörelse för tillsynsärendet

Handläggning

Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande Lensway Group AB (bolaget) med anledning av två klagomål, i huvudsak för att utreda om Lensway Group AB har tagit emot och hanterat klagandenas begäran om radering på ett korrekt sätt enligt artiklarna 12 och 17 i dataskyddsförordningen. Klagomålen har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 i dataskyddsförordningen. Överlämningen har skett från tillsynsmyndigheterna i det land där klagandena har lämnat in sina klagomål (Finland och Danmark) i enlighet med förordningens bestämmelser om samarbete vid gränsöverskridande behandling.

Handläggningen vid IMY har skett genom skriftväxling. Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Danmark, Norge och Finland.

Klagomålen

I klagomålen anförs i huvudsak följande.

Klagomål 1 (Klagomål från Finland med nationellt diarienummer 1576/153/2020)

Klaganden har varit i kontakt med bolaget den 20 februari 2020 och begärt radering. Bolaget har svarat klaganden att han behöver skicka sin postadress till dem så att de kan skicka handlingar rörande hans begäran till honom. Dessa handlingar skulle klaganden signera och skicka tillbaka. Vidare har bolaget begärt att klaganden ska verifiera sin identitet genom att skicka en kopia på sin identitetshandling via e-post. Av säkerhetsskäl har inte klaganden varit villig att inkomma med det som begärts av honom.

Klagomål 2 (Klagomål från Danmark med nationellt diarienummer 2020-31-3616)

Klaganden har begärt radering av sin information på lensway.dk. För att tillmötesgå begäran har bolaget begärt att han ska uppge sitt socialförsäkringsnummer och inkomma med en kopia på sin identitetshandling. Bolaget kan dock inte berätta för klaganden varför de behöver denna information utöver att de behöver den för att kunna bekräfta hans identitet. Klaganden ifrågasätter att bolaget behöver samla in personuppgifter för att radera personuppgifter. Klaganden föreslog att bolaget istället kunde bekräfta hans identitet genom att skicka ett e-postmeddelande till adressen som fanns registrerad på honom men de vägrade.

Vad bolaget har uppgett

Bolaget har i yttrande från den 20 april, den 12 maj och den 11 augusti 2022 i huvudsak uppgett följande. Bolaget är personuppgiftsansvarig för de behandlingar som klagomålen gäller.

Klagomål 1

Bolaget har mottagit klagandens begäran om radering men klaganden har inte fullföljt bolagets vid tiden gällande verifieringsprocess. Bolaget har begärt att klaganden ska skicka in en kopia av sin identitetshandling. Det är det enda sättet som bolaget hittills har kunnat säkerställa kundens identitet på. Kopian skulle skickas via ordinarie postgång. Bolaget har även begärt att klaganden ska skicka in en undertecknad begäran om radering. Bolaget har hittills inte kunnat ta emot dessa uppgifter digitalt. För att säkerställa att de mottagit underlag i original har de bett klaganden skicka in detta via ordinarie postgång.

Klagomål 2

Bolaget har mottagit begäran om radering den 25 juni 2020 men klaganden har inte fullföljt bolagets vid tiden gällande verifieringsprocess. Det stämmer att bolaget efterfrågat klagandens socialförsäkringsnummer i det skriftliga underlaget men det har varit frivilligt att uppge denna uppgift. Som tillägg till uppgifterna i det skriftliga underlaget har bolaget begärt att klaganden ska skicka in en kopia av sin identitetshandling. Bolaget har hittills inte kunnat identifiera klaganden på något annat

sätt. Klaganden har ombetts att skicka in uppgifterna via ordinarie postgång i syfte att säkerställa att bolaget mottagit underlag i original.

Vad avser båda klagomålen har bolaget uppgett följande

Vad avser den skriftliga begäran som båda klagandena skulle skicka in, uppger bolaget följande gällande vilka personuppgifter som varit obligatoriska att uppge och varför uppgifterna varit nödvändiga.

• Namn är en obligatorisk uppgift som begärs in för att för att bekräfta den registrerades identitet. • E-postadress är en obligatorisk uppgift som begärs in för att den används som en unik identifikator av kunder i bolagets system. • Signatur är en obligatorisk uppgift för att bolaget ska kunna försäkra sig om att den registrerade läst igenom informationen och gett sitt godkännande.

Bolaget anför att de alltid bör säkerställa att det är rätt person som kontaktar dem då det gäller begäranden om att utöva en rättighet enligt dataskyddsförordningen. Då bolaget tidigare inte kunnat identifiera kunden på ett bra och säkert sätt när de kontaktat bolaget via kundservice har den manuella processen via ordinarie postgång varit den de använt sig av. På detta sätt har de fått till en tvåstegsverifiering. Funktionalitet för att möjliggöra bekräftelse av kundens identitet via kundservice har inte funnits på plats.

Kundförhållandet till bolaget kan etableras på två sätt, antingen genomför kunden ett köp eller så loggar kunden in på Mina Sidor. När kunden skapar ett konto på Mina Sidor anger kunden sin e-postadress och ett e-postmeddelande med bekräftelse skickas till kunden. Kunden kan sedan via länken i e-postmeddelandet komma till en webbsida där hen kopplar ett lösenord till e-postadressen. Kundkontot är därefter skapat och bolaget får på detta sätt en tvåstegsverifiering. Klagandena har använt sig av det andra sättet genom vilket kundförhållandet kan etableras på.

Klagandena har genomfört köp hos bolaget och de har då identifierats via bolagets betaltjänst som tillhandahålls av Klarna. För de flesta betalalternativ kräver Klarna att kunden verifierar sig via bankID. För vissa betalmetoder, exempelvis betalning med kreditkort, kan kunden själv välja att inte behöva verifiera sig via bankID genom Klarnas app.

Bolagets befintliga digitala kontaktväg är Mina Sidor. Det har dock inte funnits någon funktionalitet för att hantera begäranden om att utöva en rättighet enligt dataskyddsförordningen på Mina Sidor. Sedan april 2022 kan bolagets kunder numera begära att bli raderade eller få en kopia av sina personuppgifter direkt via Mina Sidor. Kundens identitet verifieras då via ordinarie inloggning.

Motivering av beslutet

Tillämpliga bestämmelser m.m.

Enligt artikel 17.1 ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om någon av de förutsättningar som räknas upp i artikeln föreligger, till exempel om uppgifterna inte

längre är nödvändiga för de ändamål för vilka de har samlats in eller om samtycke för behandling återkallas.

Enligt artikel 12.2 ska den personuppgiftsansvarige underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22.

I artikel 12.6 anges att utan att det påverkar tillämpningen av artikel 11 får den personuppgiftsansvarige, om denne har rimliga skäl att betvivla identiteten hos den fysiska person som lämnar in en begäran enligt artiklarna 15–21, begära att ytterligare information som är nödvändig för att bekräfta den registrerades identitet tillhandahålls.

I Europeiska dataskyddsstyrelsens (EDPB) Riktlinjer 01/2022 om tillgång anges bland annat följande.

65. Om den personuppgiftsansvarige begär ytterligare information som är nödvändig för att bekräfta den registrerades identitet ska den personuppgiftsansvarige varje gång bedöma vilken information som kommer att göra det möjligt för den personuppgiftsansvariga att bekräfta den registrerades identitet och eventuellt ställa ytterligare frågor till den begärande personen eller begära att den registrerade lägger fram ytterligare identifieringsuppgifter, om det är proportionerligt (se avsnitt 3.3). Sådan ytterligare information bör inte vara mer än den information som ursprungligen behövdes för att kontrollera den registrerades identitet (autentisering). I allmänhet kan det faktum att den personuppgiftsansvarige kan begära ytterligare information för att bedöma den registrerades identitet inte leda till alltför stora krav och till insamling av personuppgifter som inte är relevanta eller nödvändiga för att stärka kopplingen mellan den enskilde och de personuppgifter som begärs.

[…]

73. Det bör betonas att användningen av en kopia av en identitetshandling som en del av autentiseringsprocessen utgör en risk för personuppgifternas säkerhet och kan leda till otillåten eller olaglig behandling, och därför bör den anses olämplig, såvida det inte är absolut nödvändigt, lämpligt och i enlighet med nationell lagstiftning. I sådana fall bör de personuppgiftsansvariga ha system som säkerställer en säkerhetsnivå som är lämplig för att minska de högre riskerna för den registrerades fri- och rättigheter att ta emot sådana uppgifter. Det är också viktigt att notera att identifiering med hjälp av ett identitetskort inte nödvändigtvis hjälper i onlinesammanhang (t.ex. vid användning av pseudonymer) om den berörda personen inte kan bidra med några andra bevis, t.ex. ytterligare egenskaper som matchar användarkontot.

Integritetsskyddsmyndighetens bedömning

IMY har med utgångspunkt i de aktuella klagomålen i ärendet granskat bolagets agerande i dessa två enskilda fall.

Har bolaget agerat i enlighet med 12.6 i dataskyddsförordningen när bolaget begärt in aktuella uppgifter av klagandena?

Har Lensway Group haft rimliga skäl att betvivla identiteten hos klagandena?

Det är endast när den personuppgiftsansvarige har rimliga skäl att betvivla identiteten hos den som gjort begäran som ytterligare information för att bekräfta identiteten får begäras. Vad som utgör ”rimliga skäl” i artikel 12.6 i dataskyddsförordningen bör bedömas utifrån omständigheterna i det enskilda fallet. Bedömningen av om det finns rimliga skäl att i ett enskilt fall betvivla identiteten hos den som gör begäran görs normalt mot bakgrund av den information som lämnas i samband med begäran. Det gäller särskilt i situationer där den personuppgiftsansvarige saknar närmare kännedom om denna person. Att det krävs en individuell bedömning utesluter dock inte att det fastställs rutiner för hur den personuppgiftsansvarige normalt sätt verifierar den registrerades identitet.

Bolaget har getts tillfälle att motivera vilken individuell bedömning gjorts utifrån klagandenas situation om de ansett att de haft rimliga skäl att betvivla identiteten hos klagandena när de framfört sina begäranden. Gällande båda klagandena har bolaget i huvudsak anfört följande. Bolaget bör alltid säkerställa att det är rätt person som kontaktar dem då det gäller begäranden om att utöva en rättighet enligt dataskyddsförordningen. Kunden har inte tidigare kunnat identifieras på ett bra och säkert sätt när de kontaktat bolaget via Kundservice. Funktionalitet för hantering av begäranden om att utöva en rättighet enligt dataskyddsförordningen har varken funnits hos Kundservice eller på Mina Sidor.

IMY konstaterar att det av utredningen i ärendet inte tydligt framgår vilka uppgifter som klagandena lämnade i samband med sin begäran och om det utifrån dessa funnits anledning för bolaget att betvivla deras identitet. IMY anser dock att det mot bakgrund av vad som framkommit i ärendet saknas anledning att ifrågasätta bolagets uppgift om att bolaget haft anledning att betvivla identiteten hos klagandena. I bedömningen väger IMY in det faktum att skyldigheten att säkerställa identiteten på den som gör en begäran även har till syfte att skydda registrerade mot att någon annan felaktigt gör begäranden i deras namn, vilket kan leda till negativa konsekvenser för den registrerade. Riskerna för dessa negativa konsekvenser vid falska begäranden är särskilt uppenbara när det rör sig om mer ingripande åtgärder, så som utövande av rätten till radering. IMY finner därför det inte visat annat än att bolaget i de aktuella fallen haft rimliga skäl att betvivla identiteten hos klagandena.

Har uppgifterna som Lensway Group begärt varit nödvändiga för att bekräfta

klagandenas identitet?

Även om den personuppgiftsansvarige har rimliga skäl att betvivla identiteten hos de klagande ska den personuppgiftsansvarige inte samla in fler personuppgifter än vad som är nödvändigt för att möjliggöra identifiering av den begärande registrerade.

Bolaget har i huvudsak uppgett följande avseende nödvändigheten av den information de begärt av båda klaganden. Kopia av identitetshandling har begärts då det var det enda sättet som bolaget hittills har kunnat säkerställa kundens identitet. I tillägg till kopia av identitetshandling skulle klagandena skicka in ett skriftligt underlag. De uppgifter som har begärts i det skriftliga underlaget och varför de varit nödvändiga, redogörs av bolaget i huvudsak enligt följande. Namnet har begärts för att bekräfta den registrerades identitet. E-postadressen har begärts för att den används som en unik identifikator av kunder i bolagets system. Signaturen har också begärts och är enligt bolaget en nödvändig uppgift för att bolaget ska kunna försäkra sig om att den registrerade läst igenom informationen och gett sitt godkännande till hanteringen av begäran.

Vad avser huruvida klagandenas identitet har verifierats har bolaget uppgett att båda klaganden har genomfört köp där de har identifierats via bolagets betaltjänst som tillhandahålls av Klarna.

Av bolagets yttrande framgår att det inte krävts att bolaget själva verifierat klagandenas riktiga identitet när kundförhållandet etablerades d.v.s. vid köpet. IMY konstaterar att bolaget inte kan kräva mer personuppgifter när klaganden vill tillvarata sina rättigheter än vad som krävdes vid etablerandet av kundförhållandet. Kopia av identitetshandling och signatur är sådana uppgifter som bolaget inte begärt vid kundförhållandets etablerande i dessa två aktuella fall. Vidare beaktar IMY att enligt EDPB:s riktlinjer om rätten till tillgång bör användningen av kopia av identitetshandling som en del av autentiseringsprocessen anses olämplig, såvida det inte är absolut nödvändigt, lämpligt och i enlighet med nationell lagstiftning. IMY anser att kravet att förse den personuppgiftsansvarige med en kopia på sin identitetshandling är en ingripande åtgärd, som enbart är lämplig när den personuppgiftsansvarige tidigare har säkerställt den faktiska identiteten hos den registrerade och då alternativa mindre ingripande verifieringsmetoder är olämpliga. IMY bedömer att det inte framkommit några omständigheter som talar emot att andra, mindre ingripande, verifieringsmetoder hade kunnat användas i de aktuella fallen, till exempel inloggning via Mina Sidor eller kontrollfrågor. IMY konstaterar att det i ärendet därmed inte framkommit att begäran om kopian av identitetshandling eller signaturen skulle ha varit absolut nödvändig eller lämplig.

Mot bakgrund av detta bedömer IMY att kopian av identitetshandling samt signaturen därmed inte kan anses ha varit nödvändiga för att bekräfta identiteten hos klagandena i enlighet med artikel 12.6 i dataskyddsförordningen.

Har bolaget agerat i enlighet med 12.2 i dataskyddsförordningen när bolaget begärt att klagandena ska skicka uppgifterna per postgång?

Nästa fråga är om det har varit tillåtet att kräva att klagandena skulle skicka de begärda uppgifterna till bolaget via vanlig postgång.

Mot bakgrund av kraven om att underlätta utövandet av den registrerades rättigheter i artikel 12.2 i dataskyddsförordningen kan det endast i undantagsfall godtas att en personuppgiftsansvarig som enda kontaktväg hänvisar enskilda till vanlig postgång om de måste lämna in uppgifter för att deras identiteter ska kunna säkerställas, exempelvis om det är försvarbart med hänsyn till säkerhetsskäl. Utgångspunkten bör vara att alternativa sätt att skicka in begärda uppgifter ska erbjudas. Bolaget har i

denna del i huvudsak uppgett att de har krävt att uppgifterna ska skickas via ordinarie postgång för att säkerställa att de mottagit det skriftliga underlaget i original.

IMY bedömer att översändande av kopia på identitetshandling visserligen kan innebära särskilda risker vilket kan motivera att det ställs krav på att handlingen skickas per post. Detta under förutsättning att det är en nödvändig uppgift för att bekräfta identiteten hos den registrerade.

I de aktuella fallen bedömer IMY ovan att kopia av identitetshandling inte varit nödvändig för att bekräfta identiteten hos de klagande. Genom att kräva av klagandena att uppgifterna dessutom ska skickas via ordinarie postgång anser IMY att bolaget inte har underlättat för de klagande att utöva sin rätt till radering. IMY bedömer därmed att bolaget därigenom agerat i strid med artikel 12.2 i dataskyddsförordningen.

Val av ingripande

Av artiklarna 58.2 i och 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

IMY konstaterar följande relevanta omständigheter. Det har av utredningen i ärendet framkommit att kopia av identitetshandling samt signatur inte längre begärs av Lensway Group AB vid begäranden från registrerade om att få utöva sin rättighet till radering enligt dataskyddsförordningen. Vidare har de konstaterade överträdelserna inträffat relativt långt tillbaka i tiden (2020) och har drabbat två registrerade. Mot denna bakgrund finner IMY att det är fråga om en sådana mindre överträdelser i den mening som avses i skäl 148 som innebär att Lensway Group AB ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna.

__________________________________________________

Detta beslut har fattats av den särskilda beslutsfattaren juristen Evelin Palmér efter föredragning av juristen Anna Mlynska.

Evelin Palmér, 2023-01-19 (Det här är en elektronisk signatur)

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.