MAG Interactive AB

IMY-2022-9109IMY-2022-91 Beslut efter tillsyn enligt artikel 60 i

dataskyddsförordningen – MAG Interactive AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att MAG Interactive AB (556804-3524) vid hantering av begäran om radering som klaganden gjorde den 31 januari 2021 har behandlat personuppgifter i strid med:

- artikel 12.6 i dataskyddsförordningen genom att begära uppgifter i form av användarnamn på tre vänner samt tre motståndare i spelet QuizDuel när detta inte varit nödvändigt för att bekräfta den klagandens identitet samt - artikel 12.2 i dataskyddsförordningen genom att, efter att klaganden begärt radering per mejl, även kräva att klaganden ska logga in på spelet för att skicka sin begäran inifrån spelet vilket inte har underlättat klagandens utövande av sin rätt till radering.

Integritetsskyddsmyndigheten ger MAG Interactive AB en reprimand enligt artikel 58.2 b dataskyddsförordningen för den konstaterade överträdelsen.

Redogörelse för tillsynsärendet

Handläggning

Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande MAG Interactive AB (bolaget) med anledning av ett klagomål, i huvudsak för att utreda om bolaget har tagit emot och hanterat klagandens begäran om radering på ett korrekt sätt bl.a. om bolaget haft rimliga skäl att betvivla identiteten hos klaganden och i sådana fall om de uppgifter som begärts av klaganden har varit nödvändiga för att bekräfta klagandens identitet samt om bolaget har underlättat utövandet av klagandens rättigheter i tillräcklig utsträckning (artiklarna 11, 12 och 17 i dataskyddsförordningen).

Klagomålen har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 i dataskyddsförordningen. Överlämningen har skett från tillsynsmyndigheten

i det land där klaganden har lämnat in sitt klagomål (Frankrike) i enlighet med förordningens bestämmelser om samarbete vid gränsöverskridande behandling.

Handläggningen vid IMY har skett genom skriftväxling. Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Danmark, Frankrike, Irland, Norge, Polen, Tyskland och Österrike.

Klagomålet

I klagomålet anförs i huvudsak följande.

Den 31 januari 2021 har klaganden begärt radering av sina personuppgifter i spelet QuizDuel, ett spel som klaganden använt via sitt Facebook-konto. Bolaget har då begärt ytterligare uppgifter av klaganden i identifieringssyfte trots att klaganden i sin begäran om radering uppgett sitt Facebook-ID och sina mejldresser. Till klagomålet har klaganden bifogat mejlkorrespondens mellan klaganden och bolaget av vilken följande bl.a. framgår. Den 28 februari 2021 svarade bolaget klaganden att de inte har möjlighet att med hjälp av klagandens Facebook-ID lokalisera klagandens konto och att klaganden behöver öppna något av MAG Interactive-spelen för att göra en begäran. Klaganden har på detta svarat att hen inte längre har ett MAG Interactivekonto. Den 11 mars 2021 har bolaget bl.a. begärt följande information av klaganden i syfte att återställa klagandens konto och på så vis möjliggöra för klaganden att begära radering av sina personuppgifter: användarnamn, namn på tre vänner, namn på tre motståndare och en mejladress till vilken hen vill koppla kontot.

Vad bolaget har uppgett

Bolaget har i yttranden från den 4 och 7 november 2022 i huvudsak uppgett följande.

Beskrivning av händelseförloppet kring hanteringen av klagandens begäran om

radering

Den 31 januari 2021 kontaktade klaganden en av bolagets supportmejladresser och uppgav ett Facebook-ID och tre mejladresser och begärde att bli raderad. Vid denna tidpunkt, givet den information supporten fick, fick bolaget inga träffar vid en direkt slagning i bolagets system, varken på Facebook-ID eller på någon av de angivna mejladresserna. Bolagets support svarade den 1 februari 2021 med instruktioner för hur klaganden kan begära radering från spelet. Klaganden hörde av sig igen den 8 februari 2021 och sade att hen inte har spelet kvar men vill få bort sina uppgifter. Den 9 februari svarade bolagets support att det enklaste sättet är att ladda ner spelet igen och begära radering inifrån spelet. Den 12 februari 2021 svarade klaganden och meddelade att hen istället ville veta vilken information bolaget har om hen. Från denna tidpunkt hanterades ärendet av bolaget som en begäran om tillgång.

Den 13 februari 2021 svarade bolagets support att klaganden kan begära tillgång från spelet. Klaganden hörde av sig igen den 20 februari 2021 och hade problem att använda sitt Facebook-konto. Klaganden frågade igen om bolaget kan hitta hens konto med hens Facebook-ID. Den 23 februari 2021 svarade supporten att de inte hittar något konto med det Facebook-ID klaganden angivit men att hen borde kunna starta vilket som helst av bolagets spel och begära personuppgifterna inifrån ett spel.

Den 27 februari 2021 frågade klaganden om bolaget verkligen provat söka på hens Facebook-Id. Supporten svarade igen den 28 februari 2021 att de inte hittar hens konto på det Facebook-ID hen angett men att hen borde kunna starta vilket som helst

av deras spel och begära tillgång inifrån spelet. Den 4 mars 2021 svarade klaganden att hen spelat “QuizDuel” på Facebook och inte har ett konto hos MAG Interactive. Hen kan därför inte begära tillgång därifrån. Detta var antagligen ett missförstånd då spelet aldrig funnits på Facebook men hen kan ha loggat in via en Facebook-knapp ursprungligen vilket var möjligt för flera år sedan. Det var första gången klaganden nämnde vilket spel det gällde vilket gjorde det mycket lättare att leta efter hens uppgifter.

Den 11 mars 2021 svarade supporten att de inte hittar klagandens konto via hens Facebook-ID men att de ska försöka hjälpa hen komma in på sitt konto så att hen kan begära tillgång eller radera sitt konto. Supporten hade då troligtvis lyckats lokalisera ett konto kopplat till en av klagandens angivna mejladresser med hjälp av informationen om spelet. Supporten skickade då med de standardfrågor bolaget ställer när de ska hjälpa användare att komma in på sitt konto om de har glömt sina användaruppgifter. Klaganden svarade aldrig på det mejlet och när tillräckligt lång tid gått stängde bolaget ärendet.

Den 30 oktober 2022, efter att bolagets CTO fått ärendet, lokaliserade CTO ett konto som kunde ha koppling till klaganden och mejlade klaganden för att få bekräftelse på att kontot ska raderas. Den 6 november 2022 svarade klaganden och bekräftade att hen äger kontot och att kontot ska raderas. Den 7 november 2022 raderades klagandens konto och klaganden informerades om det.

Bolagets behandling av klagandens personuppgifter vid tidpunkten för klagandens

begäran

Vid tidpunkten för klagandens begäran om radering behandlade bolaget en mejladress som är knuten till klaganden samt troligtvis advertisingId/vendorId från hens telefon, klagandens användarnamn och lösenord. I övrigt behandlade bolaget inga andra av klagandens personuppgifter eftersom eventuell chatthistorik och ip-nummer är raderade sedan länge på grund av bolagets retention-policy.

Varför bolaget uppger sig ha haft rimliga skäl att betvivla identiteten hos klaganden

Klaganden angav i sin begäran om radering ett Facebook-ID och tre mejladresser och skrev att hen använt en av bolagets appar på Facebook.

Bolagets spel spelas på inte på Facebook utan på mobiltelefon och hen angav inte heller någon kringliggande information som t.ex. användarnamn, vilket spel det gällde eller ens att det var ett spel. Spelet som klaganden, enligt senare uppgift, hade spelat är så gammalt att man inte heller fick några träffar på de andra mejladresserna. Eftersom spelet som klagandens användarkonto är knutet till sedan länge dessutom är stängt gör det svårt att hitta enbart med mejladress. Mejladresser är publika och ett angivande av en mejladress är därför inget bevis på ägandeskap. Mejladressen som begäran kom ifrån var inte heller kopplad till något konto hos bolaget och inte heller det Facebook-ID som angavs. Vad avser de övriga två mejladresserna fanns inget bevis på att det är klagandens mejladresser.

Facebook-ID klaganden angav är inte registrerat hos bolaget. Facebook har sedan många år slutat använda globala användarnummer av integritetsskäl. I tjänsten som bolaget stängt av för många år sedan där man kunde logga in via sitt Facebook-konto ser bolaget inte samma nummer som klaganden anger. Kundnumret bolaget fick från

Facebook är enbart kopplat till bolaget och går inte för bolaget att knyta till en persons Facebook-konto.

Givet kunskapen om vilket spel det rörde sig om som bolaget fick så småningom, hade det gått att hitta kontot som den ena mejladressen var kopplad till. Bolaget hade då kunnat skicka ett mejl till den mejladressen i syfte att bekräfta klagandens identitet. Det hade dock inte spelat någon roll i detta fall då ärendet den 13 februari 2021 ändrades till en begäran om tillgång.

Hur klaganden skulle gå tillväga för att begära radering och senare tillgång

Supporten föreslog initialt att klaganden skulle begära radering direkt från spelet eftersom det är det enklaste och säkraste sättet. Det normala är att användarna har spelet kvar på telefonen. Dessutom hjälper bolagets spel vid en ominstallation användaren att komma tillbaka till rätt konto. När supporten har svårt att hitta ett konto med användarens uppgifter är det därför rimligt att de föreslår en ominstallation för att komma till rätt konto. Supporten kan även radera information direkt om ägande till informationen kan styrkas. I det aktuella fallet övergick ärendet till en begäran om tillgång och då vill bolaget normalt att användaren ska vara inloggad på sitt konto. Bolaget har uppgett att precis som för begäran av radering krävs det bevis på ägandeskap till kontot för att begära tillgång, detta av integritetsskäl samt i enlighet med dataskyddsförordningen. Då användaruppgifter kan innehålla chattloggar är hanteringen av begäran om tillgång lite mer strikt än vid hantering av en begäran om radering av användaruppgifter. Bolaget kräver därför att begäran ska ske inifrån spelarens konto.

Uppgifter som har efterfrågats i syfte att bekräfta identiteten

Spelet som klaganden hade spelat var ett spel med användarkonton. I spel med användarkonton finns ofta chattar för att spelare ska kunna prata med varandra. Av integritetsskäl är det av vikt att vem som helst inte kan läsa någon annans chattar. Kontona är därför lösenordskyddade. Användarna kan ange en mejladress för lösenordsåterställning men alla användare gör inte det eller så har de bytt mejladress.

En fråga alla onlinetjänster brottas med är hur man hanterar de fall där användare glömt inloggningsuppgifterna och det inte går att återställa kontot via mejl. En del använder säkerhetsfrågor, där användarna får fylla i namnet på sitt första husdjur eller liknande. I bolagets fall är det lite mer komplicerat då bolaget dels inte vill be användarna om mer information än absolut nödvändigt, dels har spelet som det aktuella fallet handlade om en användarbas uppbyggd sedan 2012 med 100 miljoner användare som inte matat in någon sådan information. När användare har glömt inloggningsuppgifterna och kontot inte går att återställa via mejl löser bolaget det genom att spelen använder sig av information på telefonen och operativsystemet för att hjälpa användarna tillbaka till kontot vilket är anledningen till att supporten ibland ber användarna att installera spelet vilket också framgår att supporten gjort i detta fall.

När det inte fungerar eller som i detta fall när användaren inte vill ber supporten som en sista utväg om information som spelaren borde känna till och som borde vara lätt för en användare att komma ihåg men som är svår för andra att känna till. Denna information begärs för att bolaget ska kunna säkerställa att det är kontoinnehavaren som de ger åtkomst till kontot åt. De uppgifter som supporten i sådana fall efterfrågar är följande:

- Den registrerades användarnamn. En uppgift som antas vara enkel för de flesta att svara på. Det är dock också en uppgift som är relativt lätt för andra att ta reda på.

- Användarnamn på tre av den registrerades vänner i spelet. De flesta som spelar detta spel har några vänner de spelat i åratal med. Den uppgiften bör också vara lätt att svara på.

- Användarnamn på tre av den registrerades motståndare i spelet. Denna uppgift är ofta lite svårare att tillhandahålla men för användare som mest spelar mot slumpvisa spelare och inte lägger till vänner är det en nödvändig uppgift.

Supporten frågade också efter vilken mejladress användaren ville koppla kontot till. Detta för att klaganden ska kunna logga in och begära sina användaruppgifter inifrån spelet.

Uppgifterna ska normalt tillhandahållas per mejl i den pågående supportdialogen. Det är inte ett krav att man har rätt på alla frågor utan det görs en bedömning baserat på hur rätt/fel svaret är. Bolaget frågar inte heller om personligt identifierbar information utan enbart om användarnamn som normalt är anonyma/pseudonyma och som redan finns i bolagets register. Den enda uppgiften som är personligt identifierbar information är den mejladress användaren vill koppla till kontot. Om användaren kan svara så bra att bolaget bedömer att användaren faktiskt äger kontot, sätter supporten mejladressen för återställning. Användaren kan då sätta ett nytt lösenord och logga in.

Bolaget arbetar kontinuerligt på att förbättra sina supportverktyg och kommer inom kort släppa en ny version där just detta scenario kan hanteras och som ska göra det lättare för supporten att hitta användare även med mycket begränsad information. Supporten har instruktioner att ta bort användarens konto direkt om mejladressen på kontot överensstämmer med användarens mejladress och i annat fall hjälpa användaren ta bort kontot via spelet. I detta fall kan man tänka sig en tredje lösning, att bolaget mejlar ut en länk till det kopplade kontot och att användaren bekräftar borttagning via länken för att verifiera sin identitet. En sådan möjlighet avser bolaget lägga till.

Klagandens konto har raderats

Klagandens begäran om radering är numera tillgodosedd. Bolaget har mejlat klaganden den 30 oktober 2022 både på den mejladress hen använt i supportärendet och den mejladress de fick träff på vid sökning. Bolagets CTO har bett klaganden att svara från den mejladressen. Svar inkom från klaganden den 6 november 2022 med en bekräftelse om att klaganden äger kontot. Bolagets CTO har därefter raderat klagandens konto och informerat klaganden om detta.

Motivering av beslutet

Tillämpliga bestämmelser m.m.

Enligt artikel 17.1 ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om någon av de förutsättningar som räknas upp i artikeln föreligger, till exempel om uppgifterna inte

längre är nödvändiga för de ändamål för vilka de har samlats in eller om samtycke för behandling återkallas.

I artikel 11.1 anges att om de ändamål för vilka den personuppgiftsansvarige behandlar personuppgifter inte kräver eller inte längre kräver att den registrerade identifieras av den personuppgiftsansvarige, ska den personuppgiftsansvarige inte vara tvungen att bevara, förvärva eller behandla ytterligare information för att identifiera den registrerade endast i syfte att följa denna förordning.

Enligt artikel 11.2 gäller att om den personuppgiftsansvarige, i de fall som avses i punkt 1 i denna artikel, kan visa att denne inte är i stånd att identifiera den registrerade, ska den personuppgiftsansvarige om möjligt informera den registrerade om detta. I sådana fall ska artiklarna 15–20 inte gälla, förutom när den registrerade för utövande av sina rättigheter i enlighet med dessa artiklar tillhandahåller ytterligare information som gör identifieringen möjlig.

I artikel 12.6 anges att utan att det påverkar tillämpningen av artikel 11 får den personuppgiftsansvarige, om denne har rimliga skäl att betvivla identiteten hos den fysiska person som lämnar in en begäran enligt artiklarna 15–21, begära att ytterligare information som är nödvändig för att bekräfta den registrerades identitet tillhandahålls.

Enligt artikel 12.2 ska den personuppgiftsansvarige underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22. I de fall som avses i artikel 11.2 får den personuppgiftsansvarige inte vägra att tillmötesgå den registrerades begäran om att utöva sina rättigheter enligt artiklarna 15–22, om inte den personuppgiftsansvarige visar att han eller hon inte är i stånd att identifiera den registrerade.

I Europeiska dataskyddsstyrelsens (EDPB) Riktlinjer 01/2022 om tillgång anges bland annat följande.

53. Europeiska dataskyddsstyrelsen uppmanar de personuppgiftsansvariga att tillhandahålla de lämpligaste och mest användarvänliga kommunikationskanalerna, i enlighet med artiklarna 12.2 och 25 i dataskyddsförordningen, så att den registrerade kan göra en effektiv begäran. Om den registrerade gör en begäran med hjälp av en kommunikationskanal som tillhandahålls av den personuppgiftsansvarige, som skiljer sig från den som anges som den som föredras, ska en sådan begäran i allmänhet anses vara effektiv och den personuppgiftsansvarige bör behandla en sådan begäran i enlighet med detta (se exemplen nedan). De personuppgiftsansvariga bör vidta alla rimliga åtgärder för att se till att utövandet av de registrerades rättigheter underlättas (om den registrerade till exempel skickar en begäran till en anställd som är ledig kan ett automatiskt meddelande om en alternativ kommunikationskanal för begäran till den registrerade vara en rimlig ansträngning).

[…]

67. I de fall den personuppgiftsansvarige begär eller av den registrerade får ytterligare information som är nödvändig för att bekräfta den registrerades identitet ska den personuppgiftsansvarige varje gång bedöma vilken information som kommer att göra det möjligt för den att bekräfta den registrerades identitet och eventuellt ställa ytterligare frågor till den begärande personen eller begära att den registrerade lägger fram ytterligare identifieringsuppgifter, om det är proportionerligt (se avsnitt 3.3).

68. För att låta den registrerade lämna den ytterligare information som krävs för att identifiera hans eller hennes personuppgifter, ska den personuppgiftsansvarige informera den registrerade om vilken typ av ytterligare information som krävs för att möjliggöra identifiering. Sådan ytterligare information bör inte vara mer än den information som ursprungligen behövdes för autentiseringen av den registrerade. I allmänhet kan det faktum att den personuppgiftsansvarige kan begära ytterligare information för att bedöma den registrerades identitet inte leda till alltför stora krav och till insamling av personuppgifter som inte är relevanta eller nödvändiga för att stärka kopplingen mellan den enskilde och de personuppgifter som begärs.

[…]

70. Om den personuppgiftsansvarige har rimliga skäl att tvivla på den begärande personens identitet får den, såsom anges ovan, begära ytterligare information för att bekräfta den registrerades identitet. Den personuppgiftsansvarige måste dock samtidigt se till att den inte samlar in fler personuppgifter än vad som är nödvändigt för att möjliggöra autentisering av den begärande personen. Därför ska den personuppgiftsansvarige göra en proportionalitetsbedömning, som måste ta hänsyn till den typ av personuppgifter som behandlas (t.ex. särskilda kategorier av uppgifter eller inte), begärans art, det sammanhang i vilket begäran görs samt eventuell skada som kan uppstå till följd av otillbörligt utlämnande. Vid bedömningen av proportionaliteten bör man komma ihåg att undvika överdriven uppgiftsinsamling samtidigt som en lämplig nivå av säkerhet vid behandling säkerställs.

[…]

138. Användningen av självbetjäningsverktyg bör aldrig begränsa omfattningen av mottagna personuppgifter. Om det inte är möjligt att lämna all information enligt artikel 15 genom självbetjäningsverktyget måste den återstående informationen tillhandahållas på ett annat sätt. Den personuppgiftsansvarige kan uppmuntra den registrerade att använda ett självbetjäningsverktyg som den personuppgiftsansvarige har inrättat för att hantera begäranden om tillgång. Det bör dock noteras att den personuppgiftsansvarige också måste hantera begäranden om tillgång som inte skickas via den etablerade kommunikationskanalen.

Integritetsskyddsmyndighetens bedömning

IMY har med utgångspunkt i det aktuella klagomålet i ärendet granskat bolagets agerande i detta enskilda fall.

Har bolaget varit i stånd att identifiera den klagande?

Bolaget har uppgett att utifrån informationen i klagandens begäran om radering den 31 januari 2021 var bolaget inte i stånd att identifiera den registrerade. Informationen som tillhandahölls av klaganden i begäran gav, enligt bolagets uppgifter, inga träffar vid en direkt slagning i bolagets system, varken på det Facebook-ID eller på någon av de mejladresser klaganden angett. Av bolagets yttrande framgår vidare att när bolaget den 4 mars 2021 fick information om vilket spel klagandens begäran avsåg kunde de hitta ett konto som en av klagandens uppgivna mejladresser var kopplat till. Mot bakgrund av detta konstaterar IMY att bolaget i vart fall den 4 mars 2021 kunde koppla klagandens begäran till ett användarkonto och identifiering av klaganden var därmed möjlig. IMY bedömer därmed att klaganden i enlighet med vad som föreskrivs i artikel 11.2 i dataskyddsförordningen tillhandahållit sådan ytterligare information som gör identifieringen möjlig. Bolaget har därmed inte visat att det inte var i stånd att identifiera den registrerade, och kunde därför inte heller vägra att tillmötesgå den registrerades begäran om att utöva sina rättigheter med stöd av artikel 12.2 i dataskyddsförordningen.

Har bolaget agerat i enlighet med 12.6 i dataskyddsförordningen när bolaget begärt in aktuella uppgifter av klaganden?

Har bolaget haft rimliga skäl att betvivla identiteten hos klaganden

Det är endast när den personuppgiftsansvarige har rimliga skäl att betvivla identiteten hos den som gjort begäran som ytterligare information för att bekräfta identiteten får begäras. Vad som utgör ”rimliga skäl” i artikel 12.6 i dataskyddsförordningen bör bedömas utifrån omständigheterna i det enskilda fallet. Bedömningen av om det finns rimliga skäl att i ett enskilt fall betvivla identiteten hos den som gör begäran görs normalt mot bakgrund av den information som lämnas i samband med begäran. Det gäller särskilt i situationer där den personuppgiftsansvarige saknar närmare kännedom om denna person. Att det krävs en individuell bedömning utesluter dock inte att det

fastställs rutiner för hur den personuppgiftsansvarige normalt sätt verifierar den registrerades identitet.

Av bilagan till klagomålet framgår det att klaganden uppgett följande uppgifter när hen begärt radering den 31 januari 2021: Facebook-ID och tre mejladresser samt en mejladress från vilket mejlet med begäran skickades.

Bolaget har uppgett att vid tidpunkten för klagandens begäran om radering behandlade de en mejladress som är knuten till klaganden samt förmodligen även advertisingId/vendorId från klagandens telefon, klagandens användarnamn och lösenord.

Bolaget har getts tillfälle att motivera vilken individuell bedömning gjorts utifrån klagandens situation om de ansett att de haft rimliga skäl att betvivla klagandens identitet när hen framfört sin begäran. Bolaget har i huvudsak uppgett följande. Bolagets spel spelas inte på Facebook utan på mobiltelefon varför Facebook-ID inte bidrog till verifiering av klagandens identitet. Mejladresser är publika och ett angivande av ett sådant är inget bevis på ägandeskap. Mejladressen som begäran kom från var inte heller kopplad till något konto hos bolaget och inte heller det Facebook-ID som angavs. Klaganden uppgav inte någon kringliggande information som t.ex. användarnamn, vilket spel det gäller eller ens att det rör sig om ett spel. Spelet som klaganden, enligt senare uppgift, hade spelat var så gammalt att bolaget inte heller fick några träffar på de andra mejladresserna som angetts i begäran. Med hjälp av informationen bolaget fick den 4 mars 2021 av klaganden om vilket spel det rört sig om hittade bolaget ett användarkonto kopplat till en av klagandens angivna mejladresser.

Mot bakgrund av vad bolaget anfört och de uppgifter klaganden lämnat i sin begäran om radering konstaterar IMY att bolaget haft rimliga skäl att betvivla identiteten hos klaganden. I bedömningen väger IMY även in det faktum att skyldigheten att säkerställa identiteten på den som gör en begäran även har till syfte att skydda registrerade mot att någon annan felaktigt gör begäranden i deras namn, vilket kan leda till negativa konsekvenser för den registrerade.

Har de uppgifter bolaget efterfrågat av klaganden varit nödvändiga för att bekräfta

hens identitet?

Även om den personuppgiftsansvarige har rimliga skäl att betvivla identiteten hos den registrerade ska den personuppgiftsansvarige inte samla in fler personuppgifter än vad som är nödvändigt för att möjliggöra identifiering av den begärande registrerade. Den personuppgiftsansvarige ska genomföra en proportionalitetsbedömning och kunna motivera den verifieringsmetod som används.

Bolaget har uppgett att begäran ändrades till en begäran om tillgång den 4 mars 2021 och bolaget krävde då att begäran ska ske inifrån spelarens konto. Då användaruppgifter kan innehålla chattloggar är hanteringen av begäran om tillgång lite mer strikt än vid hantering av en begäran om radering av användaruppgifter har bolaget uppgett. Avseende nödvändigheten av den information de begärt av den klagande för att bekräfta dennes identitet har bolaget uppgett i huvudsak följande. Användarnamn efterfrågas då uppgiften antas vara enkel för de flesta att svara på. Det är dock en uppgift som är relativt lätt för andra att ta reda på. Användarnamn på tre vänner i spelet efterfrågas då de flesta som spelar detta spel har några vänner de spelat i åratal med. Den uppgiften bör därför vara lätt att svara på. Användarnamn på tre motståndare i spelet är svårare att tillhandahålla men för personer som mest spelar

mot slumpvisa spelare och inte lägger till vänner är det en nödvändig uppgift att begära in. Det är inte är ett krav att den begärande har rätt på alla frågor utan det görs en bedömning baserat på hur rätt eller fel svaret är.

IMY konstaterar att av det underlag bolaget har inkommit med, bestående av mejlkorrespondens mellan klaganden och bolaget, framgår att klaganden inte har frånfallit sin begäran om radering. Av mejlkorrespondensen, särskilt det mejl som skickades av MAG Support Team den 11 mars 2021, framgår vidare att de aktuella uppgifterna efterfrågades av bolaget för att klaganden skulle få åtkomst till kontot i syfte att begära radering. Bolagets påstående om att klagandens begäran om radering hade ändrats till att istället avse en begäran om tillgång, samt att de efterfrågade uppgifterna avsåg att identifiera klaganden endast vid en begäran om tillgång kan därför lämnas utan avseende. Bolaget har visserligen begärt fler uppgifter av klaganden i syfte att bekräfta klagandens identitet men IMY bedömer att det framgår att det alltjämt rör sig om en begäran om radering som klaganden vill ska bli tillgodosedd. Det framgår vidare att bolaget har efterfrågat de aktuella uppgifterna i samband med klagandens begäran om radering.

Vad avser de uppgifter som bolaget efterfrågat av klaganden, konstaterar IMY följande. Av EDPB:s riktlinjer om rätten till tillgång följer bl.a. att den personuppgiftsansvarige måste vid proportionalitetsbedömningen ta hänsyn till den typ av personuppgifter som behandlas (t.ex. särskilda kategorier av uppgifter eller inte), begärans art, det sammanhang i vilket begäran görs samt eventuell skada som kan uppstå till följd av otillbörligt utlämnande. Vid tidpunkten för klagandens begäran behandlade bolaget enbart en mejladress som är knuten till klaganden samt advertisingId/vendorId från hens telefon, klagandens användarnamn och lösenord. En felaktig radering av nämnda uppgifter skulle enligt IMY inte innebära några större nackdelar eller konsekvenser för klaganden. Kraven på identifiering kunde därmed ställas relativt lågt. Det har vidare framgått att korrekta svar på samtliga frågor inte krävdes samt att klagandens identitet senare gick att bekräfta genom en annan identifieringsmetod som krävde betydligt färre uppgifter. Bekräftelse på att det är klagandens användarkonto skickat från den till användarkontot kopplade mejladressen bedömdes vara tillräckligt för att bekräfta klagandens identitet och tillmötesgå begäran den 7 november 2022.

IMY bedömer därmed att med hänsyn till begärans art, den typ av personuppgifter som behandlades och den identifieringsmetod som senare användes, att uppgifterna i form av användarnamn på tre vänner och tre motståndare varken kan anses varit nödvändiga eller proportionerliga för att bekräfta identiteten hos klaganden i enlighet med artikel 12.6 i dataskyddsförordningen.

Har bolaget underlättat för klaganden att utöva sin rätt till radering enligt artikel 12.2 i dataskyddsförordningen?

Nästa fråga är om det har varit förenligt med artikel 12.2 i dataskyddsförordningen att kräva att klaganden loggar in på sitt konto och gör sin begäran inifrån spelet.

Bolaget har uppgett i huvudsak följande. Om användaren kan svara så bra att bolaget bedömer att användaren äger kontot sätter supporten mejladressen för återställning. Spelaren kan då bestämma ett nytt lösenord och logga in. Eftersom ärendet i det aktuella fallet hade övergått till en begäran om tillgång vill bolaget normalt att användaren ska vara inloggad på sitt konto för att utöva sin begäran.

Som IMY konstaterat i avsnittet ovan, framgår det av det underlag bolaget har inkommit med att klaganden inte har frånfallit sin begäran om radering samt att bolaget har efterfrågat de aktuella uppgifterna för att klaganden skulle få åtkomst till kontot i syfte att begära radering inifrån spelet.

Av EDPB:s riktlinjer om tillgång framgår bl.a. att den personuppgiftsansvarige kan uppmuntra den registrerade att använda ett självbetjäningsverktyg men att den personuppgiftsansvarige också måste hantera begäranden om tillgång som inte skickas via den etablerade kommunikationskanalen. Genom att kräva av klaganden vars begäran om radering tagits emot av bolaget att hen efter besvarandet av frågor som haft till syfte att bekräfta hens identitet, ska logga in på ett spel för att ur spelet skicka sin begäran har bolaget inte underlättat för den klagande att utöva sin rätt till radering. IMY bedömer därmed att bolaget därigenom agerat i strid med artikel 12.2 i dataskyddsförordningen.

Har klagandens begäran om radering enligt artikel 17 i dataskyddsförordningen tillmötesgåtts?

Av klagomålet framgår att klaganden begärde radering den 31 januari 2021 och att den vid tidpunkten för klagomålet inte har blivit tillgodosedd. Bolaget har uppgett att bolaget den 7 november 2022, efter mejlkorrespondens med klaganden den 30 oktober och den 6 november 2022, har raderat klagandens uppgifter och klaganden har informerats om detta. Då klagandens begäran om radering numera är tillgodosedd finns inte skäl att utreda ärendet vidare i den delen.

Val av ingripande

Av artiklarna 58.2 i och 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

IMY konstaterar följande relevanta omständigheter. Den aktuella tillsynen omfattar MAG Interactive AB:s hantering av en enskild klagandes begäran om radering och de konstaterade överträdelserna ligger relativt långt tillbaka i tiden (2021). MAG Interactive AB har nu också tillgodosett klagandens begäran om radering fullt ut. Mot denna bakgrund finner IMY att det är fråga om sådana mindre överträdelser i den mening som avses i skäl 148 som innebär att MAG Interactive AB ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna. ______________________________________________

Detta beslut har fattats av den särskilda beslutsfattaren juristen Evelin Palmér efter föredragning av juristen Anna Mlynska.

Evelin Palmér, 2023-05-22 (Det här är en elektronisk signatur)

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.