Aller Media AB

IMY-2023-16452 Beslut efter tillsyn enligt

dataskyddsförordningen – Aller Media AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten (IMY) konstaterar att Aller Media AB (556002-8325) har brutit mot artikel 6.1 f i dataskyddsförordningen genom att behandla klagandens personuppgifter utan laglig grund.

IMY ger Aller Media AB en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen.

Redogörelse för tillsynsärendet

IMY har inlett tillsyn mot Aller Media AB (Aller eller bolaget) i syfte att utreda ett klagomål. Klagomålet är ett av flera klagomål som lämnats in till de europeiska dataskyddsmyndigheterna gällande kakor och kakbanners. Klagomålen rör i huvudsak designen av kakbanners, placering av kakor och efterföljande behandling av personuppgifter efter att kakorna blivit placerade på den klagandes webbläsare eller enhet. För att underlätta samarbetet kring dessa klagomål skapades en arbetsgrupp (Cookie Banner Taskforce) inom den Europeiska dataskyddstyrelsen (EDPB).

Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Österrike, Danmark och Italien.

Klaganden har uppgett i huvudsak följande. Aller har inte haft laglig grund att behandla klagandens personuppgifter genom användning av kakor på sin webbplats recept.se den 21 maj 2021. Det har varken funnits ett berättigat intresse eller ett giltigt samtycke. Genom att förstärka i kakbannern att det är samtycke som är den lagliga grunden har Aller fått registrerade att tro att man inte har ett val att invända enligt artikel 6.1. f. Det har inte gått att invända mot behandlingen i första lagret och det har inte funnits något annat enkelt sätt att utöva sin rätt att invända mot behandlingen. Det enda alternativet att invända på har varit gömt i bannern. Det har inte heller varit möjligt att neka kakor i första lagret och bolaget har därmed försvårat möjligheten att neka behandling av

personuppgifter. Designen av kakbannern har genom färgval, kontrast och länkar också varit vilseledande vilket inneburit att det inte gått att ge ett informerat och frivilligt samtycke i enlighet med dataskyddsförordningen. Detta strider även mot principen om öppenhet och information.

Aller har uppgett i huvudsak följande. Vid den angivna tidpunkten år 2021 använde Aller både berättigat intresse och samtycke som laglig grund, efter rekommendation från bolagets Consent Management Platform (CMP)-leverantör. Detta för att leva upp till både dataskyddsförordningens krav och för att efterleva branschorganisationen Interactive Advertising Bureaus (IAB) rekommendationer. Berättigat intresse behölls således men bolaget genomförde justeringar i enlighet med IAB:s krav samt en anpassning i texten genom att explicit nämna kravet på samtycke i kakbannern. Allers bedömning är att det åtminstone sedan 2023, enbart är samtycke som är den lagliga grunden. Aller har endast kvar två syften som alltid är aktiva och det är nödvändiga kakor och besökarens integritetsval.

Klaganden har fått möjlighet att yttra sig över Allers redogörelse och har då uppgett att de delar i klagomålet som avser möjligheten att neka kakor i första lagret, vilseledande länkdesign, vilseledande färg och kontrast på knappar samt att det inte varit lika lätt att återkalla som att lämna samtycke har blivit åtgärdade. Klaganden har även fört fram att Aller inte har rättslig grund att spara uppgifter om att besökare inte samtyckt och att bolaget delar denna information med andra bolag. Till stöd för detta har klaganden lämnat in skärmavbilder från Allers webbplats från 2024.

Ärendets avgränsning

Post- och telestyrelsen är ensam behörig tillsynsmyndighet över lagen (2022:482) om elektronisk kommunikation (LEK) som ställer upp särskilda krav för lagring av kakor i terminalutrustning eller insamlingen av uppgifter från sådan utrustning. Den personuppgiftsbehandling som sker efter insamling, till exempel analys eller profilering, träffas däremot av dataskyddsförordningens regler där IMY är behörig tillsynsmyndighet. IMY:s granskning har mot den bakgrunden avgränsats till den behandling av personuppgifter som skett efter att uppgifterna samlats in och de brister som görs gällande i klagomålet angående denna efterföljande behandling.

Klaganden har under handläggningen av ärendet uppgett att delarna om möjligheten att neka i första lagret, vilseledande länkdesign, vilseledande färg och kontrast på knappar samt att det inte varit lika lätt att återkalla som att lämna samtycke nu är åtgärdade. IMY finner därför inte anledning att utreda detta vidare.

IMY:s prövning gäller frågan om Aller har haft laglig grund att behandla klagandens personuppgifter genom användning av kakor på sin webbplats den 21 maj 2021. Klaganden har i samband med yttrandet över Allers redogörelse framfört nya invändningar mot Allers personuppgiftsbehandling som gäller utformningen av kakbannern under 2024. IMY bedömer att klagomålet är utrett i lämplig utsträckning utan att det utvidgas till att omfatta även dessa frågor och kommer därför inte att ta ställning till dessa i ärendet.

Motivering av beslutet

Tillämpliga bestämmelser m.m.

Enligt principen om ansvarsskyldighet ska den personuppgiftsansvarige kunna visa att behandlingen av personuppgifter utförs i enlighet med dataskyddsbestämmelserna.

Behandling av personuppgifter är endast laglig om något av de villkor som anges i artikel 6 i dataskyddsförordningen är uppfyllt. Berättigat intresse enligt 6.1 f är en av de lagliga grunderna som kan utgöra stöd för en personuppgiftsbehandling.

För att en behandling ska kunna stödja sig på intresseavvägning (även kallad berättigat intresse) enligt artikel 6.1 f i dataskyddsförordningen krävs att tre villkor är uppfyllda. För det första ska den personuppgiftsansvarige eller tredje part ha ett berättigat intresse. För det andra ska personuppgiftsbehandlingen vara nödvändig för att tillgodose det aktuella berättigade intresset. För det tredje krävs att de registrerades intressen eller grundläggande fri- och rättigheter inte väger tyngre än de berättigade intressena (intresseavvägning).

I skäl 47 framgår att ett berättigat intresse till exempel kan finnas när det föreligger ett relevant och lämpligt förhållande mellan den registrerade och den personuppgiftsansvarige, som att den registrerade är kund hos eller arbetar för den personuppgiftsansvarige. Ett berättigat intresse kräver under alla omständigheter en noggrann bedömning, som inbegriper huruvida den registrerade vid tidpunkten för inhämtandet av personuppgifter och i samband med detta rimligen kan förvänta sig att en uppgiftsbehandling för detta ändamål kan komma att ske. Den registrerades intressen och grundläggande rättigheter skulle i synnerhet kunna väga tyngre än den personuppgiftsansvariges intressen, om personuppgifter behandlas under omständigheter där den registrerade inte rimligen kan förvänta sig någon ytterligare behandling.

I EDPB:s riktlinjer för behandling av personuppgifter som grundar sig på artikel 6.1 f i dataskyddsförordningen anges att det krävs att tre kriterier är uppfyllda för att ett berättigat intresse ska anses föreligga. Intresset ska vara lagligt, vilket innebär att det inte får stå i strid med vare sig EU-rätt eller nationell rätt. Att ett intresse är kommersiellt utesluter inte att intresset är berättigat utan avgörande för denna bedömning är om intresset är lagenligt, specifikt och utgör ett verkligt och faktiskt intresse. Vidare ska intresset vara klart och tydligt formulerat och gälla ett faktiskt intresse som föreligger vid tidpunkten för behandlingen och inte är hypotetiskt.

Bedömning

Frågan i ärendet är om Aller kunnat stödja behandlingen av klagandens personuppgifter den 21 maj 2021 på artikel 6.1 f i dataskyddsförordningen.

Aller lämnar information om att kakor används på webbplatsen i en så kallad kakbanner som bland annat visas när användaren för första gången går in på webbplatsen. I det första lagret av kakbannern, som den såg ut vid tidpunkten för klagomålet, fanns en knapp för att samtycka och en länk för att visa syften. I informationstexten i första lagret angavs att man kan samtycka eller hantera sina val, inkluderat rätten att invända där berättigat intresse används. Möjligheten att invända fanns inte i första lagret av bannern. Det angavs vidare att bolaget behandlar data för att erbjuda användning av precis geodata, skapa personlig reklam och skapa en personlig profil. För att kunna neka all typ av behandling behövde en registrerad först neka samtycke och sedan gå vidare och hitta alternativet för att invända mot behandling för vissa ändamål.

Nedanstående bedömning utgår från denna kakbanner och bolagets dåvarande webbplats.

Aller har angett i sin kakbanner att bolaget har ett berättigat intresse av att behandla uppgifter för profilering och precis geodata. I sin kommunikation med IMY har bolaget inte argumenterat för att det faktiskt haft ett berättigat intresse att behandla uppgifterna. Aller har istället hänvisat till att deras CMP-leverantör rekommenderat bolaget att ha både samtycke och berättigat intresse som laglig grund för denna typ av personuppgiftsbehandling. Med hänsyn till ansvarsskyldigheten i dataskyddsförordningen anser IMY inte att en personuppgiftsansvarig kan frånsäga sig ansvaret att säkerställa att det finns en laglig grund för bolagets personuppgiftsbehandlingar genom att hänvisa till en leverantörs rekommendationer. IMY konstaterar därför att Aller är ansvarig för att se till att det finns en laglig grund vid behandling av personuppgifter hos bolaget.

IMY anser att kravet på samtycke för att samla in uppgifter via kakor ger ett särskilt starkt integritetsskydd och ger registrerade möjligheten att själva välja och kontrollera hur deras personuppgifter används. Om de insamlade uppgifterna i ett senare skede vidarebehandlas med berättigat intresse som rättslig grund riskerar detta särskilda integritetsskydd att urholkas. Detta särskilda integritetsskydd för den registrerade är därför något som bör tas i beaktande vid en intresseavvägning enligt artikel 6.1 f.

Under IMY:s utredning av ärendet har Aller inte tydligt fört fram vad deras berättigade intresse för den aktuella personuppgiftsbehandlingen var eller hur en intresseavvägning ska ha gjorts. IMY:s bedömning är att klaganden inte kan anses ha kunnat förvänta sig en sådan personuppgiftsbehandling endast genom ett besök av Allers webbplats. Vidare har klaganden endast kunnat invända mot behandling först efter att ha nekat samtycke i kakbannern. IMY:s bedömning är mot denna bakgrund att Aller inte har visat att bolaget kunnat stödja personuppgiftsbehandlingen på den rättsliga grunden berättigat intresse. Sammanfattningsvis har Aller brutit mot artikel 6.1 f i dataskyddsförordningen genom att behandla klagandens personuppgifter utan laglig grund.

Val av ingripande

Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktions-

avgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

IMY konstaterar följande relevanta omständigheter. Den aktuella tillsynen omfattar en granskning av om Aller haft laglig grund att behandla en enskild klagandens personuppgifter. IMY har bedömt att bolaget inte har haft laglig grund att behandla den klagandes personuppgifter. Aller har efter att IMY inledde tillsyn gjort vissa ändringar i sin kakbanner och anger numera att de har samtycke som laglig grund. Bolaget har inte tidigare konstaterats överträtt dataskyddsförordningen.

Vid en sammanvägd bedömning anser IMY att det är fråga om en sådan mindre överträdelse i den mening som avses i skäl 148 dataskyddsförordningen som medför att Aller Media AB ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för den konstaterade överträdelsen.

__________________________

Detta beslut har fattats av enhetschefen Albin Brunskog efter föredragning av juristen Michaela Prieto Ceric

Albin Brunskog

Bilaga

Klagandens personuppgifter

Kopia till

Dataskyddsombudet

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.