Klarna Bank AB, rättelse av felaktiga uppgifter

IMY-2023-8336 Beslut efter tillsyn enligt

dataskyddsförordningen – Klarna Bank AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att utredningen i ärendet visar att Klarna Bank AB har behandlat personuppgifter i strid med:

• artikel 12.2 i dataskyddsförordningen genom att inte ha underlättat klagandens utövande av sin rätt till rättelse enligt artikel 16 i enlighet med sin begäran av den 8 juni 2020.

• artikel 16 genom att inte möjliggöra för klaganden att ändra sin e-postadress i enlighet med sin begäran av den 8 juni 2020.

Integritetsskyddsmyndigheten ger Klarna Bank AB en reprimand enligt artikel 58.2 b i dataskyddsförordningen för överträdelse av artiklarna 12.2 och 16 i dataskyddsförordningen.

Redogörelse för tillsynsärendet

Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande Klarna Bank AB (Klarna eller bolaget) med anledning av ett klagomål. Klagomålet har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 i dataskyddsförordningen. Överlämnandet har skett från tillsynsmyndigheten i det land där klaganden har lämnat in sitt klagomål (Tyskland) i enlighet med förordningens bestämmelser om samarbete vid gränsöverskridande behandling.

Utredningen i ärendet har genomförts genom skriftväxling. Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Österrike, Ungern, Danmark, Tyskland, Norge, Finland, Italien, Nederländerna, Polen, Irland, Frankrike, Estland och Spanien.

Klagomålet

Klaganden har i huvudsak uppgett följande. Klaganden har ett Klarnakort och har begärt rättelse av den e-postadress som är kopplad till kortet. Klarna har i sin återkoppling till klaganden uppgett att det inte är tekniskt möjligt att ändra epostadressen som är kopplad till klagandens kort och att klaganden därför behöver beställa ett nytt kort för att få sin e-postadress ändrad. Ett nytt Klarnakort skulle dock påverka klagandens kreditvärdighet.

Vad Klarna Bank AB har uppgett

Klarna har i huvudsak uppgett följande. Klarna är personuppgiftsansvarig för den aktuella behandlingen. Begäran om rättelse inkom till Klarna den 8 juni 2020 samt den 16 juli 2020. Klarna har hanterat klagandens begäran som inkom den 8 juni genom att en kundtjänstmedarbetare informerat om att uppgifter kopplat till ett redan utfärdat kort inte går att ändra samt att klaganden därför behöver beställa ett nytt kort för att få sin e-postadress ändrad. Den kundtjänstmedarbetare som behandlat begäran som inkom den 16 juli 2020 har också informerat klaganden om att e-postadressen för alla öppna fakturor har ändrats.

Bolaget saknar möjligheter att kunna ändra uppgifter kopplat till ett kort som redan har utfärdats. Eftersom bolaget använder sig av e-postadressen som kundens kort är kopplat till som identifikationspunkt, och som en del av sin verifieringsprocess, innebär det i praktiken att ett nytt kort måste utfärdas för att e-postadressen ska kunna ändras.

Klarna Bank AB kan inte rätta e-postadressen som är kopplad till klagandens Klarnakort eftersom klaganden den 16 juli 2020 begärde radering av sina personuppgifter hos Klarna. Klaganden begärde vid samma tillfälle också makulering av sitt Klarnakort.

Motivering av beslutet

Tillämpliga bestämmelser m.m.

Enligt artikel 12.2 ska den personuppgiftsansvarige underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15-22.

Enligt artikel 16 i dataskyddsförordningen ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få felaktiga uppgifter som rör honom eller henne rättade. Rättelse av en personuppgift får anses innebära att den ursprungliga, felaktiga, personuppgiften ersätts med en personuppgift om de rätta förhållandena.

Artikel 25 i dataskyddsförordningen ställer krav på att den personuppgiftsansvariga, med beaktande av den senaste utvecklingen, genomförandekostnader och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska, både vid fastställandet av vilka medel behandlingen utförs med och vid själva behandlingen, genomföra lämpliga tekniska och organisatoriska åtgärder – såsom pseudonymisering – vilka är utformade för ett effektivt genomförande av dataskyddsprinciper – såsom uppgiftsminimering – och för integrering av de nödvändiga skyddsåtgärderna i behandlingen, så att kraven i denna förordning uppfylls och den registrerades rättigheter skyddas.

Enligt Artikel 5.1 d ska, vid behandling av personuppgifter, uppgifterna vara riktiga och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (principen om riktighet).

Integritetsskyddsmyndighetens bedömning

När klaganden den 8 juni 2020 begärde att få sin e-postadress rättad uppgav bolaget att det inte finns någon teknisk möjlighet att vidta rättelse av uppgiften och uppmanade därför klaganden att beställa ett nytt Klarnakort. Enligt Klarna beror detta på att e-postadressen som kundens kort är kopplat till används som identifikationspunkt, och som en del av Klarnas verifieringsprocess. Detta gör att det enda sättet att kunna ändra eller få sin e-postadress rättad är att ett nytt kort beställs och utfärdas.

Enligt artikel 16 har den registrerade rätt att av den personuppgiftsansvarige få felaktiga personuppgifter rättade. Det är den personuppgiftsansvarige som ska vidta åtgärder för att rätta felaktiga uppgifter när den registrerade begär det, inte den registrerade (jfr principen om riktighet i artikel 5.1 d som innebär att den personuppgiftsansvarige även har en skyldighet att på eget initiativ rätta felaktiga uppgifter). Vad som utgör en felaktig personuppgift och huruvida en personuppgift ska rättas eller inte, ska bedömas och avgöras i förhållande till de ändamål för vilka personuppgifterna behandlas. Om kontaktuppgifter används för exempelvis kommunikation är det nödvändigt med hänsyn till ändamålet för behandlingen av uppgifterna att dessa är uppdaterade. Att begära att den registrerade ska beställa ett nytt Klarna-kort för att få sin e-postadress rättad var inte ett godtagbart sätt för bolaget att fullgöra sina förpliktelser enligt artikel 16. IMY konstaterar därmed att Klarna Bank AB brutit mot artikel 16 i dataskyddsförordningen genom att inte rätta den klagandes personuppgifter.

Enligt artikel 12.2 i dataskyddsförordningen har den personuppgiftsansvarige en skyldighet att underlätta utövandet av bl.a. den registrerades rätt till rättelse enligt artikel 16. Innebörden av denna skyldighet utvecklas i skäl 59 där det bl.a. anges att det bör fastställas förfaranden som gör det lättare för registrerade att utöva sina rättigheter, inklusive mekanismer för att begära och i förekommande fall erhålla rättelse. Artikel 12.2 innefattar således en skyldighet för den personuppgiftsansvarige att proaktivt utforma lösningar som gör det lätt för den registrerade att utöva sina rättigheter. Den lösning som bolaget har erbjudit har inte möjliggjort för den registrerade att få sin e-postadress rättad i och med lösningen som bolaget har erbjudit, d.v.s. att klaganden ska beställa ett nytt kort.

IMY anser, i ljuset av artikel 5.1 d och artikel 25 i dataskyddsförordningen, att lösningen som bolaget har erbjudit d.v.s. att klaganden ska beställa ett nytt Klarnakort, har försvårat för klaganden att utöva sin rätt till rättelse. Att underlätta för den registrerade handlar om att ha enkla och tydliga kommunikationssätt för att utöva sina rättigheter. Genom att hänvisa klaganden till att beställa ett nytt kort mot bakgrund av hur bolagets system är utformat, har bolaget inte möjliggjort utövandet av klagandens rättighet. Bolaget kan inte frångå sina skyldigheter enligt dataskyddsförordningen genom utformningen av sina egna system. Tvärtom ställer förordningen, som framgår ovan, krav på att den personuppgiftsansvarige ska underlätta utövandet av den registrerades rättigheter. Bolagets motivering, d.v.s. att det inte är möjligt att vidta rättelse av tekniska skäl, får anses strida mot detta.

IMY konstaterar därmed att Klarna Bank AB brutit mot artikel 12.2 i dataskyddsförordningen genom att inte ha underlättat klagandens utövande av sin rättighet enligt artikel 16 att få sin e-postadress rättad.

Val av ingripande

Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

IMY konstaterar följande relevanta omständigheter. Klarna har överträtt artikel 16 och artikel 12.2 i dataskyddsförordningen genom att inte ha efterlevt eller underlättat klagandens begäran om rättelse enligt artikel 16. Denna tillsyn har endast avsett en persons uppgifter. Klarna har också återkopplat till klaganden och motiverat varför det inte är möjligt för bolaget att vidta rättelse av e-postadressen. Vidare har Klarna erbjudit klaganden ett alternativ för att få sin e-postadress rättad. Klarna kan därför inte anses ha haft för avsikt att förvägra klaganden rättelsen av dennes e-postadress.

Mot denna bakgrund bedömer IMY att det är fråga om en sådan mindre överträdelse i den mening som avses i skäl 148 dataskyddsförordningen som medför att Klarna Bank AB ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna.

Detta beslut har fattats av enhetschefen Albin Brunskog efter föredragning av juristen Sadia Dost.

Albin Brunskog, 2024-01-09 (Det här är en elektronisk signatur)

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.