Klarna Bank AB, gällande krav på identifiering

IMY-2022-7128 Tillsyn enligt dataskyddsförordningen

Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen , vanligtvis förkortad GDPR. IMY har beslutat att granska er personuppgiftsbehandling och har därför inlett ett tillsynsärende.

Varför granskar IMY er verksamhet?

IMY har fått in flera klagomål mot er verksamhet (se bilaga 1). Tillsynen avser 29 av dessa klagomål. Klagomålen har inkommit direkt till IMY eller lämnats över till oss, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 i dataskyddsförordningen. Överlämningen har skett från tillsynsmyndigheterna i Tyskland och Österrike där klagandena har lämnat in sina klagomål i enlighet med förordningens bestämmelser om samarbete i gränsöverskridande ärenden.

De klagande har i huvudsak uppgett att de begärt tillgång till respektive radering av sina personuppgifter. I något fall har klaganden begärt rättelse av sina personuppgifter. I ett annat fall har klaganden, i samband med sin begäran om tillgång, även invänt mot behandling för direktmarknadsföring. I vissa av klagomålen har klagandena, i samband med sina begäranden, gjort gällande att det endast är möjligt att skicka in uppgifterna via okrypterad e-post.

Klarna Bank AB (Klarna) har i samtliga fall svarat att de behöver ytterligare information för att hantera de klagandes begäranden. I klagomålen uppges att Klarna har begärt in nedanstående uppgifter för att hantera de klagandes begäranden:

• För- och efternamn • Födelsedatum • E-postadress • Adress • Fakturanummer, exakt fakturabelopp och • Namn på ett företag klaganden gjort ett inköp från.

I de fall de klagande har begärt tillgång till sina personuppgifter har Klarna även uppgett att de behöver ett telefonnummer för att säkert kunna skicka de begärda

uppgifterna.

De klagande har i huvudsak framfört att kraven på identifiering som Klarna uppställt inte är rimliga och att de inte är villiga att inkomma med fler personuppgifter än som faktiskt behövs.

De bestämmelser som utredningen omfattar är nedanstående artiklar:

• om den personuppgiftsansvarige har uppfyllt sin skyldighet att underlätta för klaganden att utöva sina rättigheter (artikel 12.2 i dataskyddsförordningen) • om klagandens begäran/begäranden har hanterats utan onödigt dröjsmål (artikel 12.3 och artikel 12.4 i dataskyddsförordningen) och • om den information Klarna begärt av klaganden varit nödvändig för att bekräfta sin identitet (artikel 12.6 i dataskyddsförordningen)

IMY kan även komma att utreda om behandlingen uppfyller kraven på uppgiftsminimering (artikel 5.1c i dataskyddsförordningen).

IMY avser även att i vissa klagomål utreda om Klarna:

• upphört att behandla klagandens personuppgifter för direktmarknadsföring efter invändning mot sådan behandling i klagomål nr. 2 och 24 (artikel 21.3 i dataskyddsförordningen) • vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken vid hantering av epostkorrespondens när klagandena utövat sina rättigheter enligt dataskyddsförordningen (artikel 32 i dataskyddsförordningen)

Våra frågor

IMY vill att ni svarar på följande frågor:

1. Är ni personuppgiftsansvarig för den personuppgiftsbehandling som klagomålen gäller? - Om ni anser att ni inte är personuppgiftsansvarig överhuvudtaget eller i någon del, uppge vem den personuppgiftsansvarige är samt varför ni anser det.

Om ni anser att ni är personuppgiftsansvarig för personuppgiftsbehandlingen som anges i klagomålen vänligen svara på följande frågor.

2. Vilket är ert organisationsnummer?

Svara på följande frågor för varje klagomål enskilt:

3. Redogör för vilken begäran/vilka begäranden enligt klagomålet som ni har mottagit från klaganden och vid vilket/vilka datum.

4. Har ni hanterat klagandens begäran/begäranden? - Om ja, ange vilka åtgärder ni har vidtagit, datum för varje åtgärd för varje enskild begäran och om ni informerat klaganden om vilka åtgärder ni har vidtagit.

5. Har ni hanterat respektive begäran inom tidsfristen i artikel 12.3? Ange hur ni har resonerat och vilken information klaganden har fått enligt artiklarna 12.3 respektive 12.4 och vid vilka datum.

6. Har ni haft anledning att betvivla klagandens identitet när han eller hon framfört sin begäran/sina begäranden? Om ja, redogör för vilken bedömning som ni har gjort utifrån de personuppgifter ni fått när begäran/begärandena framställdes.

7. Ange vilka uppgifter ni har krävt för att hantera respektive begäran.

a. Förklara varför varje uppgift har varit nödvändig för att bekräfta klagandens identitet. b. Ange vilka av dessa uppgifter som ni samlade in när kundförhållandet etablerades och vilka som är nya.

8. Beskriv vilken kontaktväg eller vilka kontaktvägar klaganden kan använda för att bekräfta sin identitet och hur klaganden informerats om den möjligheten/dessa möjligheter.

9. Om e-post är den enda tillgängliga kontaktvägen, motivera ert krav på identifiering via e-post mot bakgrund av er skyldighet att underlätta för de registrerade att nyttja sina rättigheter enligt dataskyddsförordningen.

Okrypterad e-post

I vissa av klagomålen (se t.ex. klagomålen 1, 2 och 20) har klagandena gjort gällande att det endast är möjligt att skicka in uppgifterna via okrypterad e-post.

10. Av handlingarna i klagomål nr. 20 framgår att ni i ert svar till klaganden uppger att krypterad överföring inte är möjlig. Stämmer det att ni inte kan ta emot de begärda uppgifterna via krypterad e-post?

11. Hur skyddar ni de personuppgifter som enligt klagomålen begärs in via okrypterad e-post? Ange om och i så fall på vilket sätt ni bedömer att ni uppfyller kraven som ställs på lämpliga säkerhetsåtgärder enligt artikel 32 dataskyddsförordningen.

Direktmarknadsföring (klagomål nr. 2 och 24)

12. Har ni mottagit klagandens invändning mot att få sina personuppgifter behandlade för direktmarknadsföringsändamål? Om ja, ange datum.

13. Har ni hanterat klagandens begäran? Om ja, ange vilka åtgärder ni har vidtagit och datum för varje åtgärd.

14. Om ni inte har hanterat begäran inom tidsfristen i artikel 12.3 i dataskyddsförordningen, ange skälen för det och om ni har informerat klaganden inom en månad från det att begäran mottogs om orsakerna till förseningen.

15. Om ni inte har tillmötesgått klagandens begäran, har ni för avsikt att göra det? Om ja, ange hur ni har resonerat och datum för när begäran kommer att ha tillmötesgåtts. Om nej, ange hur ni har resonerat.

16. Har ni informerat klaganden om resultatet av klagandens begäran? Om ja, ange hur och datum.

Era svar

Svara skriftligt till IMY senast den 12 oktober 2022.

Era svar ska vara heltäckande och lämnas åtskilt för varje fråga, exempelvis genom att ni i er svarsskrivelse använder respektive fråga som rubrik och anger svar på frågan inunder. Om någon fråga inte är tillämplig anger ni det.

Förutsatt att svaret inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess, kan ni e-posta det till och referera till vårt diarienummer IMY-2022-7128.

Om ni utöver svaren på våra frågor vill hänvisa till ytterligare information eller handlingar så ange detta och vad ni vill visa med dem men skicka inte in handlingar som går utöver det angivna syftet med tillsynen.

Måste ni svara IMY?

IMY är tillsynsmyndighet enligt dataskyddsförordningen och det innebär att vi får begära att ni lämnar all information som vi behöver för att kunna fullgöra våra uppgifter som tillsynsmyndighet.

Gemensam ärendehandläggning med andra tillsynsmyndigheter

Mot bakgrund av att det gäller gränsöverskridande klagomål kommer IMY använda sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen.

Vad händer sen?

När IMY är färdig med granskningen kommer ni att få ett beslut. Av beslutet kommer det framgå om granskningen visar att ni brister i tillämpningen av reglerna gällande dataskydd. Vid brister kan IMY exempelvis påföra administrativa sanktionsavgifter enligt dataskyddsförordningen.

Kommunicering enligt 25 § förvaltningslagen

Innan IMY fattar ett beslut får ni ta del av det underlag som ligger till grund för beslutet och ni får också möjlighet att yttra er. Om IMY avser att påföra administrativ sanktionsavgift anger vi det i samband med kommuniceringen.

Om IMY inte konstaterar någon brist kan beslutet komma att fattas direkt. Detsamma gäller om IMY konstaterar en brist men ändå inte avser att påföra sanktionsavgifter och underlaget för beslutet är material som ni redan har del av, såsom yttranden från er och eventuellt klagomål som skickats till er.

Om ni har frågor om ärendet kontakta: Linnéa Sommar, telefon 08-515 154 33, linnea.sommar@imy.se Philippa Johanssen-Fritzin, telefon 08-515 154 29, philippa.johanssen.fritzin@imy.se

Med vänlig hälsning Linnéa Sommar, 2022-09-13 (Det här är en elektronisk signatur)

Bilaga:

1. Klagomål 1-29 (klagomål 11 sammanfattning) Klagomålen skickas även per post. Vad gäller klagomål 11 skickas det i dess helhet per post.

Kopia till:

Dataskyddsombudet

Information om IMY:s behandling av personuppgifter

https://