Warner Music Sweden AB

IMY-2023-16448 Beslut efter tillsyn – Warner Music

Sweden AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten (IMY) konstaterar att Warner Music Sweden AB (Warner Music) (556055-2605) har behandlat klagandens personuppgifter i strid med artikel 6 och 7.3 i dataskyddsförordningen då bolaget inte lämnat tillräcklig information om rätten att återkalla samtycke.

IMY ger Warner Music en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen.

Redogörelse för tillsynsärendet

IMY har inlett tillsyn mot Warner Music i syfte att utreda ett klagomål. Klagomålet är ett av flera klagomål som lämnats in till de europeiska dataskyddsmyndigheterna gällande kakor och kakbanners. Klagomålen rör i huvudsak designen av kakbanners, placering av kakor och efterföljande behandling av personuppgifter efter att kakorna blivit placerade på den klagandes webbläsare eller enhet. För att underlätta samarbetet kring dessa klagomål skapades en arbetsgrupp (Cookie Banner Taskforce) inom den europeiska dataskyddstyrelsen.

Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Österrike och Italien.

Klaganden har uppgett i huvudsak följande. Warner Music har den 21 maj 2021 behandlat klagandens personuppgifter i strid med dataskyddsförordningen eftersom det inte funnits ett giltigt samtycke. Warner Music har inte haft ett framträdande alternativ att återkalla sitt samtycke, på samma sätt som det finns för att samtycka. Att inte ha ett alternativ att återkalla som är lika enkelt att hitta som kakbannern gör att det

inte är lika enkelt att återkalla samtycke som att lämna det. Warner Music:s information om att kakor används på webbplatsen (i en så kallad kakbanner) har bifogats klagomålet.

Warner Music har uppgett i huvudsak följande. Den lagliga grunden för den efterföljande behandlingen av personuppgifter som samlats in genom sättande av kakor är samtycke. Bolaget uppfyller villkoren på samtycke i artikel 7 i dataskyddsförordningen bland annat genom den information som lämnas i bolagets kakbanner på webbplatsen. Kakbannern innehåller information om användning av kakor och information om den behandling av personuppgifter som samlas in genom sättandet av kakor. Besökarna av hemsidan kan genom kakbannern göra tydliga val för att möjliggöra ett informerat och frivilligt val gällande behandlingen av personuppgifter. Besökare informeras även genom kakbannern om att de har valet att återkalla sitt samtycke när som helst. På kakbannern framgår att besökaren kan administrera sina valmöjligheter för kakor på bolagets hemsida genom att klicka på ”cookie inställningar”. Denna länk visas på samtliga sidor på webbplatsen.

Warner Music har vidare föreslagit ändringar i sin kakbanner, för att inkludera ordalydelsen ”du kan när som helst återkalla ditt samtycke”. Uppdateringarna skulle innebära att ordalydelsen förs in i både det första och andra lagret av bannern.

Ärendets avgränsning

Post- och telestyrelsen är ensam behörig tillsynsmyndighet över lagen (2022:482) om elektronisk kommunikation (LEK) som ställer upp särskilda krav för lagring av kakor i terminalutrustning eller insamlingen av uppgifter från sådan utrustning. Den personuppgiftsbehandling som sker efter insamling, till exempel analys eller profilering, träffas däremot av dataskyddsförordningens regler där IMY är behörig tillsynsmyndighet. IMY:s granskning har mot den bakgrunden avgränsats till den behandling av personuppgifter som skett efter att uppgifterna samlats in och de brister som görs gällande i klagomålet angående denna efterföljande behandling.

Motivering av beslutet

Tillämpliga bestämmelser m.m.

Behandling av personuppgifter är endast laglig om något av de villkor som anges i artikel 6 i dataskyddsförordningen är uppfyllt. Den lagliga grunden som är aktuell i ärendet är samtycke enligt artikel 6.1 a.

Samtycke definieras i artikel 4.11 dataskyddsförordningen som varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. För att ett samtycke ska vara giltigt krävs det att alla dessa krav är uppfyllda.

Att personuppgifter ska behandlas på ett öppet sätt i förhållande till den registrerade följer av öppenhetsprincipen i artikel 5.1 i förordningen. Det är i ljuset av denna princip som kravet på att ett samtycke ska vara informerat ska läsas.

Artikel 7.3 i dataskyddsförordningen föreskriver att det krävs att den registrerade ska ha rätt att när som helst återkalla sitt samtycke för att ett samtycke ska vara giltigt. Innan samtycke lämnas ska den registrerade informeras om detta. Det ska vara lika lätt att återkalla som att ge sitt samtycke.

Av skälen till dataskyddsförordningen framgår att fysiska personer bör göras medvetna om bland annat sina rättigheter i samband med behandlingen av personuppgifter och om hur de kan utöva sina rättigheter med avseende på behandlingen.

I den europeiska dataskyddsstyrelsens (EDPB:s) riktlinjer om samtycke anges att samtycke inte måste lämnas och återkallas genom en och samma handling, däremot ska det vara lika enkelt. När samtycke lämnas elektroniskt genom ett enda musklick, en svajp eller ett tangenttryck måste de registrerade i praktiken kunna återkalla samtycket lika lätt. Om samtycke erhålls genom ett tjänstespecifikt användargränssnitt (t.ex. via en webbplats eller en app), måste den registrerade utan tvivel kunna återkalla samtycket via samma elektroniska gränssnitt, eftersom det skulle kräva en omotiverad ansträngning att byta till ett annat gränssnitt enbart för att återkalla samtycket. Dessutom bör den registrerade kunna återkalla samtycket utan problem. Detta innebär bland annat att en personuppgiftsansvarig måste se till att det inte kostar något att återkalla samtycket och att det hela inte innebär att tjänsten försämras.

EDPB anser vidare att information om rätten att återkalla sitt samtycke är ett minimikrav för att samtycket ska anses vara informerat, och därmed vara ett giltigt samtycke. Denna information måste ges innan användaren lämnar sitt samtycke. Att lämna information om möjligheten att återkalla är nödvändigt för att användaren ska kunna utöva sin rätt att återkalla sitt samtycke. Om den personuppgiftsansvarige inte ger lättillgänglig information blir användarens samtycke en ogiltig grund för behandling. När personuppgiftsansvariga begär samtycke bör de se till att alltid använda ett klart och tydligt språk. Till exempel måste förklaringen om samtycke kallas så. Fraser som ”jag förstår att..” uppfyller inte kraven på ett tydligt språk.

Frågan i ärendet är om det funnits ett giltigt samtycke för att behandla klagandens personuppgifter via kakor.

Bedömning

Warner Music lämnar information om att kakor används på webbplatsen i en så kallad kakbanner som bland annat visas när användaren för första gången går in på webbplatsen. I det första lagret av kakbannern, som den såg ut vid tidpunkten för klagomålet, finns tre lika framstående val: ”Cookie inställningar”, ”Avvisa alla” och ”Acceptera alla cookies”. Nedanstående bedömning utgår från denna kakbanner och bolagets webbplats.

Klar och tydlig information om rätten att återkalla samtycke

IMY anser att den personuppgiftsansvarige måste lämna information om möjligheten att återkalla sitt samtycke för att uppfylla kravet på informerat samtycke. Att återkalla ett samtycke är en rättighet som varje registrerad har när samtycke använts som laglig grund. Det är därför nödvändigt att en användare får denna information innan samtycke lämnas. I EDPB:s riktlinjer anges att en personuppgiftsansvarig alltid bör använda ett klart och tydligt språk vid begäran om samtycke. IMY anser att kravet på klart och tydligt språk även bör gälla information om återkallande av samtycke. Detta innebär att det klart och tydligt ska framgå för den klagande att denne har rätt att återkalla sitt samtycke.

Varken i informationstexten på kakbannern eller på hemsidan i övrigt står det något om en användares rätt att när som helst återkalla sitt samtycke. Istället anges i informationstexten i kakbannern att ”Du kan administrera dina valmöjligheter för cookies på vår sajt nu eller senare genom att klicka på ”Cookie inställningar”. I ”Cookie inställningar” anges ”Uppdatera dina cookieinställningar närsomhelst genom att klicka på ”Cookie inställningar” på alla sidor, som då kommer att ta dig tillbaka till detta inställningscenter”.

Att endast ge information om möjligheten att administrera sina valmöjligheter för kakor eller att uppdatera inställningar är inte tillräckligt för att det ska anses stå klart för en användare att det finns en rätt att återkalla sitt samtycke.

IMY anser mot bakgrund av artikel 7.3 i dataskyddsförordningen, skäl 39 och EDPB:s riktlinjer om samtycke att Warner Music inte har informerat om den klagandens rätt att återkalla sitt samtycke på ett tillräckligt tydligt sätt för att denne ska kunna tillvara sina rättigheter. Den klagande kan därför inte anses ha lämnat ett informerat samtycke. Eftersom det inte funnits information om rätten att återkalla har det inte varit lika enkelt att lämna som att återkalla samtycke.

Jämförelse av förfarandena för att lämna respektive återkalla samtycke

Klaganden lyfter fram alternativet att ha en permanent hovrande ikon som är synlig på alla sidor på webbplatsen för att återkalla samtycke. IMY anser att en permanent hovrande ikon är ett alternativ som kan uppfylla villkoret på att det ska vara lika enkelt att återkalla som att lämna samtycke. Däremot anser inte IMY att dataskyddsförordningen innefattar ett krav på en viss specifik teknisk lösning som alla personuppgiftsansvariga måste använda för att uppfylla kravet i artikel 7.3. Bedömningen av om det är lika enkelt att återkalla som att lämna samtycke behöver göras i det enskilda fallet utifrån det aktuella förfarandet som används för att lämna ett samtycke. Denna bedömning är i linje med ”Cookie Banner taskforce report” och EDPB:s yttrande om giltigt samtycke.

Vid den aktuella perioden när en användare för första gången besökte Warner Music:s webbplats dykte kakbannern omedelbart upp. Där kunde användaren med endast ett knapptryck samtycka till användningen av samtliga (icke-nödvändiga) kakor. När en användare hade lämnat sitt samtycke i kakbannern försvann kakbannern. För att återkalla samtycket behövde den registrerade klicka på länken ”cookie inställningar” som låg längst ned i sidfoten. Vid klick på länken hamnade man i ett inställningscenter, i det andra lagret av vyn. I inställningscentret behövde den registrerade klicka ur de kategorier av kakor som denne tidigare samtyckt till och sedan bekräfta sina val. Vid en jämförelse med hur samtycken inhämtades på webbplatsen behövdes det alltså färre knapptryck för att lämna samtycke än att återkalla samtycke.

Sedan den aktuella perioden har Warner Music ändrat sitt inställningscenter som den registrerade kommer till efter att ha klickat på ”cookie inställningar”. Den registrerade behöver inte längre klicka ur de kategorier av kakor som denne samtyckt till utan kan direkt välja ”avvisa alla”. IMY anser att denna åtgärd underlättat för den registrerade att återkalla sitt samtycke. Till följd av denna förbättring anser IMY att bristen som fanns vid tidpunkten för klagomålet, i detta avseende, inte längre kvarstår. Länken ”cookie inställningar” är permanent tillgänglig på samtliga sidor på webbplatsen och

den registrerade kan återkalla sitt samtycke genom ett knapptryck efter att ha tryckt på länken. IMY:s bedömning är därför att denna brist har åtgärdats.

Sammanfattning

Warner Music har inte lämnat tillräckligt tydlig information om möjligheten att återkalla samtycke och den registrerade har därmed inte kunnat lämna ett informerat samtycke. Eftersom det inte funnits information om rätten att återkalla har det inte varit lika enkelt att återkalla som att samtycka på bolagets webbplats warnermusic.se. Det har därmed inte funnits ett giltigt samtycke och därför inte någon laglig grund att behandla klagandens personuppgifter. Warner Music har således behandlat klagandens personuppgifter i strid med artikel 6 och 7.3 i dataskyddsförordningen.

Val av ingripande

Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

IMY konstaterar följande relevanta omständigheter. IMY har bedömt att bolaget inte har haft laglig grund att behandla klagandes personuppgifter. Trots att Warner Music inte bedöms ha gjort återkallandet lika enkelt som lämnandet av samtycke så har det funnits en möjlighet att återkalla sitt samtycke via en permanent tillgänglig länk på hemsidan. Warner Music har lämnat viss information om att den registrerade kan ändra sina val, även om denna bedömts vara otillräcklig. Warner Music har därtill gjort vissa förbättringar efter klagomålet för att underlätta för registrerade att återkalla samtycke. Bolaget har inte tidigare konstaterats överträtt dataskyddsförordningen.

Eftersom Warner Music även har uppgett att de avser att lägga till klar och tydlig information om rätten att återkalla samtycket i sin kakbanner finner IMY inte anledning att förelägga bolaget att göra detta.

Vid en sammanvägd bedömning anser IMY att det är fråga om sådana mindre överträdelser i den mening som avses i skäl 148 dataskyddsförordningen som medför att Warner Music ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna.

_______________________

Detta beslut har fattats av enhetschefen Albin Brunskog efter föredragning av juristen Michaela Prieto Ceric.

Albin Brunskog

Bilaga

Klagandens personuppgifter

Kopia till

privacypolicy@wmg.com

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.