text: MAG Interactive AB

text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om 08-657 61 00 upphävande av direktiv

text: (allmän dataskyddsförordning).

text: EPPB, Guidelines 01/2022 on data subject rigts – Right of access, Version 2.0 (EDPB:s

text: Riktlinjer 01/2022

text: om rätten till tillgång), slutligt antagna den 28 mars 2023. 3 IMY:s översättning, original: The EDPB encourages controllers to provide the most appropriate and user-friendly communication channels, in line with Art. 12(2) and Art. 25 GDPR, to enable the data subject to make an effective request. Nevertheless, if a data subject makes a request using a communication channel provided by the controller28, which is different from the one indicated as the preferable one, such request shall be, in general, considered effective and the controller should handle such a request accordingly (see the examples below). The controllers should undertake all reasonable efforts to make sure that the

text: exercise of data subject rights is facilitated (for example, when a data subject sends an access request to an employee who is on leave, an automatic message informing the data subject about an alternative communication channel for this request could be a reasonable effort). 4 IMY:s översättning, original: In cases where the controller requests or is provided by the data subject with additional information necessary to confirm the identity of the data subject, the controller shall, each time, assess what information will allow it to confirm the data subject’s identity and possibly ask additional questions to the requesting person or request the data subject to present some additional identification elements, if it is proportionate (see section 3.3). 5 IMY:s översättning, original: In order to allow the data subject to provide the additional information required to identify his or her data, the controller should inform the data subject of the nature of the additional information required to allow identification. Such additional information should not be more than the information initially needed for the authentication of the data subject. In general, the fact that the controller may request additional information to assess the data subject’s identity cannot lead to excessive demands and to the collection of personal data which are not relevant or necessary to strengthen the link between the individual and the personal data requested. 6 IMY:s översättning, original: As indicated above, if the controller has reasonable grounds for doubting the identity of the requesting person, it may request additional information to confirm the data subject’s identity. However, the controller must at the same time ensure that it does not collect more personal data than is necessary to enable authentication of the requesting person. Therefore, the controller shall carry out a proportionality assessment, which must take into account the type of personal data being processed (e.g. special categories of data or not), the nature of the request, the context within which the request is being made, as well as any damage that could result from improper disclosure. When assessing proportionality, it should be remembered to avoid excessive data collection while ensuring an adequate level of processing security.

text: IMY:s översättning, original: The use of self-service tools should never limit the scope of personal data received. If not possible to give all the information under Art. 15 through the self-service tool, the remaining information needs to be provided in a different manner. The controller may indeed encourage the data subject to use a self-service tool that the controller has set in place for handling access requests. However, it should be noted that the controller must also handle access requests that are not sent through the established channel of communication.

nyckelord:
Dataskydd
Dina rättigheter
Internet och appar

amne: Registrerades rättigheter

korrigerandeAtgard: Reprimand

lagakraft: Nej

lagrum: Artiklarna 11.2, 12.2, 12.6, 17.1 och 58.2 b i dataskyddsförordningen, GDPR

nyckelord: Inte i stånd att identifiera, Underlätta utövandet, Rimliga skäl att betvivla identitet, Grunder för radering, Reprimand, Speltjänster

rubrik: Proportionalitetsbedömning vid insamling av information i samband med begäran om radering

sammanfattning: En privatperson begärde via mejl att ett bolag som tillhandahåller mobilspel skulle radera hens personuppgifter. Bolaget hade rimliga skäl att tvivla på identiteten hos privatpersonen. Bolaget begärde därför i identifieringssyfte att privatpersonen skulle lämna information som bland annat avsåg andra spelares användarnamn. Bolaget krävde också att privatpersonen skulle begära radering när hen var inloggad i ett spel. I beslutet konstaterade IMY att den personuppgiftsansvarige inte ska samla in fler personuppgifter än vad som är nödvändigt för att bekräfta den registrerades identitet, samt att den personuppgiftsansvarige ska genomföra en proportionalitetsbedömning och kunna motivera den verifieringsmetod som används. IMY bedömde att det inte var nödvändigt eller proportionerligt att begära in de aktuella uppgifterna. IMY bedömde även att bolaget genom att kräva att begäran skickades inifrån ett spel inte har underlättat utövandet av rätten till radering. Läs tillsynsbeslutet

title: MAG Interactive AB

sammanfattning: Integritetsskyddsmyndigheten ger MAG Interactive AB en reprimand enligt artikel 58.2 b dataskyddsförordningen för överträdelse av artiklarna 12.6 och 12.2 i dataskyddsförordningen.

text: IMY-2022-9109IMY-2022-91 Beslut efter tillsyn enligt artikel 60 i

text: dataskyddsförordningen – MAG Interactive AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att MAG Interactive AB (556804-3524) vid hantering av begäran om radering som klaganden gjorde den 31 januari 2021 har behandlat personuppgifter i strid med:

text: - artikel 12.6 i dataskyddsförordningen genom att begära uppgifter i form av användarnamn på tre vänner samt tre motståndare i spelet QuizDuel när detta inte varit nödvändigt för att bekräfta den klagandens identitet samt - artikel 12.2 i dataskyddsförordningen genom att, efter att klaganden begärt radering per mejl, även kräva att klaganden ska logga in på spelet för att skicka sin begäran inifrån spelet vilket inte har underlättat klagandens utövande av sin rätt till radering.

text: Integritetsskyddsmyndigheten ger MAG Interactive AB en reprimand enligt artikel 58.2 b dataskyddsförordningen för den konstaterade överträdelsen.

text: Redogörelse för tillsynsärendet

text: Handläggning

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande MAG Interactive AB (bolaget) med anledning av ett klagomål, i huvudsak för att utreda om bolaget har tagit emot och hanterat klagandens begäran om radering på ett korrekt sätt bl.a. om bolaget haft rimliga skäl att betvivla identiteten hos klaganden och i sådana fall om de uppgifter som begärts av klaganden har varit nödvändiga för att bekräfta klagandens identitet samt om bolaget har underlättat utövandet av klagandens rättigheter i tillräcklig utsträckning (artiklarna 11, 12 och 17 i dataskyddsförordningen).

text: Klagomålen har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 i dataskyddsförordningen. Överlämningen har skett från tillsynsmyndigheten

text: i det land där klaganden har lämnat in sitt klagomål (Frankrike) i enlighet med förordningens bestämmelser om samarbete vid gränsöverskridande behandling.

text: Handläggningen vid IMY har skett genom skriftväxling. Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Danmark, Frankrike, Irland, Norge, Polen, Tyskland och Österrike.

text: Klagomålet

text: I klagomålet anförs i huvudsak följande.

text: Den 31 januari 2021 har klaganden begärt radering av sina personuppgifter i spelet QuizDuel, ett spel som klaganden använt via sitt Facebook-konto. Bolaget har då begärt ytterligare uppgifter av klaganden i identifieringssyfte trots att klaganden i sin begäran om radering uppgett sitt Facebook-ID och sina mejldresser. Till klagomålet har klaganden bifogat mejlkorrespondens mellan klaganden och bolaget av vilken följande bl.a. framgår. Den 28 februari 2021 svarade bolaget klaganden att de inte har möjlighet att med hjälp av klagandens Facebook-ID lokalisera klagandens konto och att klaganden behöver öppna något av MAG Interactive-spelen för att göra en begäran. Klaganden har på detta svarat att hen inte längre har ett MAG Interactivekonto. Den 11 mars 2021 har bolaget bl.a. begärt följande information av klaganden i syfte att återställa klagandens konto och på så vis möjliggöra för klaganden att begära radering av sina personuppgifter: användarnamn, namn på tre vänner, namn på tre motståndare och en mejladress till vilken hen vill koppla kontot.

text: Vad bolaget har uppgett

text: Bolaget har i yttranden från den 4 och 7 november 2022 i huvudsak uppgett följande.

text: Beskrivning av händelseförloppet kring hanteringen av klagandens begäran om

text: radering

text: Den 31 januari 2021 kontaktade klaganden en av bolagets supportmejladresser och uppgav ett Facebook-ID och tre mejladresser och begärde att bli raderad. Vid denna tidpunkt, givet den information supporten fick, fick bolaget inga träffar vid en direkt slagning i bolagets system, varken på Facebook-ID eller på någon av de angivna mejladresserna. Bolagets support svarade den 1 februari 2021 med instruktioner för hur klaganden kan begära radering från spelet. Klaganden hörde av sig igen den 8 februari 2021 och sade att hen inte har spelet kvar men vill få bort sina uppgifter. Den 9 februari svarade bolagets support att det enklaste sättet är att ladda ner spelet igen och begära radering inifrån spelet. Den 12 februari 2021 svarade klaganden och meddelade att hen istället ville veta vilken information bolaget har om hen. Från denna tidpunkt hanterades ärendet av bolaget som en begäran om tillgång.

text: Den 13 februari 2021 svarade bolagets support att klaganden kan begära tillgång från spelet. Klaganden hörde av sig igen den 20 februari 2021 och hade problem att använda sitt Facebook-konto. Klaganden frågade igen om bolaget kan hitta hens konto med hens Facebook-ID. Den 23 februari 2021 svarade supporten att de inte hittar något konto med det Facebook-ID klaganden angivit men att hen borde kunna starta vilket som helst av bolagets spel och begära personuppgifterna inifrån ett spel.

text: Den 27 februari 2021 frågade klaganden om bolaget verkligen provat söka på hens Facebook-Id. Supporten svarade igen den 28 februari 2021 att de inte hittar hens konto på det Facebook-ID hen angett men att hen borde kunna starta vilket som helst

text: av deras spel och begära tillgång inifrån spelet. Den 4 mars 2021 svarade klaganden att hen spelat “QuizDuel” på Facebook och inte har ett konto hos MAG Interactive. Hen kan därför inte begära tillgång därifrån. Detta var antagligen ett missförstånd då spelet aldrig funnits på Facebook men hen kan ha loggat in via en Facebook-knapp ursprungligen vilket var möjligt för flera år sedan. Det var första gången klaganden nämnde vilket spel det gällde vilket gjorde det mycket lättare att leta efter hens uppgifter.

text: Den 11 mars 2021 svarade supporten att de inte hittar klagandens konto via hens Facebook-ID men att de ska försöka hjälpa hen komma in på sitt konto så att hen kan begära tillgång eller radera sitt konto. Supporten hade då troligtvis lyckats lokalisera ett konto kopplat till en av klagandens angivna mejladresser med hjälp av informationen om spelet. Supporten skickade då med de standardfrågor bolaget ställer när de ska hjälpa användare att komma in på sitt konto om de har glömt sina användaruppgifter. Klaganden svarade aldrig på det mejlet och när tillräckligt lång tid gått stängde bolaget ärendet.

text: Den 30 oktober 2022, efter att bolagets CTO fått ärendet, lokaliserade CTO ett konto som kunde ha koppling till klaganden och mejlade klaganden för att få bekräftelse på att kontot ska raderas. Den 6 november 2022 svarade klaganden och bekräftade att hen äger kontot och att kontot ska raderas. Den 7 november 2022 raderades klagandens konto och klaganden informerades om det.

text: Bolagets behandling av klagandens personuppgifter vid tidpunkten för klagandens

text: begäran

text: Vid tidpunkten för klagandens begäran om radering behandlade bolaget en mejladress som är knuten till klaganden samt troligtvis advertisingId/vendorId från hens telefon, klagandens användarnamn och lösenord. I övrigt behandlade bolaget inga andra av klagandens personuppgifter eftersom eventuell chatthistorik och ip-nummer är raderade sedan länge på grund av bolagets retention-policy.

text: Varför bolaget uppger sig ha haft rimliga skäl att betvivla identiteten hos klaganden

text: Klaganden angav i sin begäran om radering ett Facebook-ID och tre mejladresser och skrev att hen använt en av bolagets appar på Facebook.

text: Bolagets spel spelas på inte på Facebook utan på mobiltelefon och hen angav inte heller någon kringliggande information som t.ex. användarnamn, vilket spel det gällde eller ens att det var ett spel. Spelet som klaganden, enligt senare uppgift, hade spelat är så gammalt att man inte heller fick några träffar på de andra mejladresserna. Eftersom spelet som klagandens användarkonto är knutet till sedan länge dessutom är stängt gör det svårt att hitta enbart med mejladress. Mejladresser är publika och ett angivande av en mejladress är därför inget bevis på ägandeskap. Mejladressen som begäran kom ifrån var inte heller kopplad till något konto hos bolaget och inte heller det Facebook-ID som angavs. Vad avser de övriga två mejladresserna fanns inget bevis på att det är klagandens mejladresser.

text: Facebook-ID klaganden angav är inte registrerat hos bolaget. Facebook har sedan många år slutat använda globala användarnummer av integritetsskäl. I tjänsten som bolaget stängt av för många år sedan där man kunde logga in via sitt Facebook-konto ser bolaget inte samma nummer som klaganden anger. Kundnumret bolaget fick från

text: Facebook är enbart kopplat till bolaget och går inte för bolaget att knyta till en persons Facebook-konto.

text: Givet kunskapen om vilket spel det rörde sig om som bolaget fick så småningom, hade det gått att hitta kontot som den ena mejladressen var kopplad till. Bolaget hade då kunnat skicka ett mejl till den mejladressen i syfte att bekräfta klagandens identitet. Det hade dock inte spelat någon roll i detta fall då ärendet den 13 februari 2021 ändrades till en begäran om tillgång.

text: Hur klaganden skulle gå tillväga för att begära radering och senare tillgång

text: Supporten föreslog initialt att klaganden skulle begära radering direkt från spelet eftersom det är det enklaste och säkraste sättet. Det normala är att användarna har spelet kvar på telefonen. Dessutom hjälper bolagets spel vid en ominstallation användaren att komma tillbaka till rätt konto. När supporten har svårt att hitta ett konto med användarens uppgifter är det därför rimligt att de föreslår en ominstallation för att komma till rätt konto. Supporten kan även radera information direkt om ägande till informationen kan styrkas. I det aktuella fallet övergick ärendet till en begäran om tillgång och då vill bolaget normalt att användaren ska vara inloggad på sitt konto. Bolaget har uppgett att precis som för begäran av radering krävs det bevis på ägandeskap till kontot för att begära tillgång, detta av integritetsskäl samt i enlighet med dataskyddsförordningen. Då användaruppgifter kan innehålla chattloggar är hanteringen av begäran om tillgång lite mer strikt än vid hantering av en begäran om radering av användaruppgifter. Bolaget kräver därför att begäran ska ske inifrån spelarens konto.

text: Uppgifter som har efterfrågats i syfte att bekräfta identiteten

text: Spelet som klaganden hade spelat var ett spel med användarkonton. I spel med användarkonton finns ofta chattar för att spelare ska kunna prata med varandra. Av integritetsskäl är det av vikt att vem som helst inte kan läsa någon annans chattar. Kontona är därför lösenordskyddade. Användarna kan ange en mejladress för lösenordsåterställning men alla användare gör inte det eller så har de bytt mejladress.

text: En fråga alla onlinetjänster brottas med är hur man hanterar de fall där användare glömt inloggningsuppgifterna och det inte går att återställa kontot via mejl. En del använder säkerhetsfrågor, där användarna får fylla i namnet på sitt första husdjur eller liknande. I bolagets fall är det lite mer komplicerat då bolaget dels inte vill be användarna om mer information än absolut nödvändigt, dels har spelet som det aktuella fallet handlade om en användarbas uppbyggd sedan 2012 med 100 miljoner användare som inte matat in någon sådan information. När användare har glömt inloggningsuppgifterna och kontot inte går att återställa via mejl löser bolaget det genom att spelen använder sig av information på telefonen och operativsystemet för att hjälpa användarna tillbaka till kontot vilket är anledningen till att supporten ibland ber användarna att installera spelet vilket också framgår att supporten gjort i detta fall.

text: När det inte fungerar eller som i detta fall när användaren inte vill ber supporten som en sista utväg om information som spelaren borde känna till och som borde vara lätt för en användare att komma ihåg men som är svår för andra att känna till. Denna information begärs för att bolaget ska kunna säkerställa att det är kontoinnehavaren som de ger åtkomst till kontot åt. De uppgifter som supporten i sådana fall efterfrågar är följande:

text: - Den registrerades användarnamn. En uppgift som antas vara enkel för de flesta att svara på. Det är dock också en uppgift som är relativt lätt för andra att ta reda på.

text: - Användarnamn på tre av den registrerades vänner i spelet. De flesta som spelar detta spel har några vänner de spelat i åratal med. Den uppgiften bör också vara lätt att svara på.

text: - Användarnamn på tre av den registrerades motståndare i spelet. Denna uppgift är ofta lite svårare att tillhandahålla men för användare som mest spelar mot slumpvisa spelare och inte lägger till vänner är det en nödvändig uppgift.

text: Supporten frågade också efter vilken mejladress användaren ville koppla kontot till. Detta för att klaganden ska kunna logga in och begära sina användaruppgifter inifrån spelet.

text: Uppgifterna ska normalt tillhandahållas per mejl i den pågående supportdialogen. Det är inte ett krav att man har rätt på alla frågor utan det görs en bedömning baserat på hur rätt/fel svaret är. Bolaget frågar inte heller om personligt identifierbar information utan enbart om användarnamn som normalt är anonyma/pseudonyma och som redan finns i bolagets register. Den enda uppgiften som är personligt identifierbar information är den mejladress användaren vill koppla till kontot. Om användaren kan svara så bra att bolaget bedömer att användaren faktiskt äger kontot, sätter supporten mejladressen för återställning. Användaren kan då sätta ett nytt lösenord och logga in.

text: Bolaget arbetar kontinuerligt på att förbättra sina supportverktyg och kommer inom kort släppa en ny version där just detta scenario kan hanteras och som ska göra det lättare för supporten att hitta användare även med mycket begränsad information. Supporten har instruktioner att ta bort användarens konto direkt om mejladressen på kontot överensstämmer med användarens mejladress och i annat fall hjälpa användaren ta bort kontot via spelet. I detta fall kan man tänka sig en tredje lösning, att bolaget mejlar ut en länk till det kopplade kontot och att användaren bekräftar borttagning via länken för att verifiera sin identitet. En sådan möjlighet avser bolaget lägga till.

text: Klagandens konto har raderats

text: Klagandens begäran om radering är numera tillgodosedd. Bolaget har mejlat klaganden den 30 oktober 2022 både på den mejladress hen använt i supportärendet och den mejladress de fick träff på vid sökning. Bolagets CTO har bett klaganden att svara från den mejladressen. Svar inkom från klaganden den 6 november 2022 med en bekräftelse om att klaganden äger kontot. Bolagets CTO har därefter raderat klagandens konto och informerat klaganden om detta.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: Enligt artikel 17.1 ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om någon av de förutsättningar som räknas upp i artikeln föreligger, till exempel om uppgifterna inte

text: längre är nödvändiga för de ändamål för vilka de har samlats in eller om samtycke för behandling återkallas.

text: I artikel 11.1 anges att om de ändamål för vilka den personuppgiftsansvarige behandlar personuppgifter inte kräver eller inte längre kräver att den registrerade identifieras av den personuppgiftsansvarige, ska den personuppgiftsansvarige inte vara tvungen att bevara, förvärva eller behandla ytterligare information för att identifiera den registrerade endast i syfte att följa denna förordning.

text: Enligt artikel 11.2 gäller att om den personuppgiftsansvarige, i de fall som avses i punkt 1 i denna artikel, kan visa att denne inte är i stånd att identifiera den registrerade, ska den personuppgiftsansvarige om möjligt informera den registrerade om detta. I sådana fall ska artiklarna 15–20 inte gälla, förutom när den registrerade för utövande av sina rättigheter i enlighet med dessa artiklar tillhandahåller ytterligare information som gör identifieringen möjlig.

text: I artikel 12.6 anges att utan att det påverkar tillämpningen av artikel 11 får den personuppgiftsansvarige, om denne har rimliga skäl att betvivla identiteten hos den fysiska person som lämnar in en begäran enligt artiklarna 15–21, begära att ytterligare information som är nödvändig för att bekräfta den registrerades identitet tillhandahålls.

text: Enligt artikel 12.2 ska den personuppgiftsansvarige underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22. I de fall som avses i artikel 11.2 får den personuppgiftsansvarige inte vägra att tillmötesgå den registrerades begäran om att utöva sina rättigheter enligt artiklarna 15–22, om inte den personuppgiftsansvarige visar att han eller hon inte är i stånd att identifiera den registrerade.

text: I Europeiska dataskyddsstyrelsens (EDPB)

text: Riktlinjer 01/2022

text: om tillgång anges bland annat följande.

text: 53. Europeiska dataskyddsstyrelsen uppmanar de personuppgiftsansvariga att tillhandahålla de lämpligaste och mest användarvänliga kommunikationskanalerna, i enlighet med artiklarna 12.2 och 25 i dataskyddsförordningen, så att den registrerade kan göra en effektiv begäran. Om den registrerade gör en begäran med hjälp av en kommunikationskanal som tillhandahålls av den personuppgiftsansvarige, som skiljer sig från den som anges som den som föredras, ska en sådan begäran i allmänhet anses vara effektiv och den personuppgiftsansvarige bör behandla en sådan begäran i enlighet med detta (se exemplen nedan). De personuppgiftsansvariga bör vidta alla rimliga åtgärder för att se till att utövandet av de registrerades rättigheter underlättas (om den registrerade till exempel skickar en begäran till en anställd som är ledig kan ett automatiskt meddelande om en alternativ kommunikationskanal för begäran till den registrerade vara en rimlig ansträngning).

text: 67. I de fall den personuppgiftsansvarige begär eller av den registrerade får ytterligare information som är nödvändig för att bekräfta den registrerades identitet ska den personuppgiftsansvarige varje gång bedöma vilken information som kommer att göra det möjligt för den att bekräfta den registrerades identitet och eventuellt ställa ytterligare frågor till den begärande personen eller begära att den registrerade lägger fram ytterligare identifieringsuppgifter, om det är proportionerligt (se avsnitt 3.3).

text: 68. För att låta den registrerade lämna den ytterligare information som krävs för att identifiera hans eller hennes personuppgifter, ska den personuppgiftsansvarige informera den registrerade om vilken typ av ytterligare information som krävs för att möjliggöra identifiering. Sådan ytterligare information bör inte vara mer än den information som ursprungligen behövdes för autentiseringen av den registrerade. I allmänhet kan det faktum att den personuppgiftsansvarige kan begära ytterligare information för att bedöma den registrerades identitet inte leda till alltför stora krav och till insamling av personuppgifter som inte är relevanta eller nödvändiga för att stärka kopplingen mellan den enskilde och de personuppgifter som begärs.

text: 70. Om den personuppgiftsansvarige har rimliga skäl att tvivla på den begärande personens identitet får den, såsom anges ovan, begära ytterligare information för att bekräfta den registrerades identitet. Den personuppgiftsansvarige måste dock samtidigt se till att den inte samlar in fler personuppgifter än vad som är nödvändigt för att möjliggöra autentisering av den begärande personen. Därför ska den personuppgiftsansvarige göra en proportionalitetsbedömning, som måste ta hänsyn till den typ av personuppgifter som behandlas (t.ex. särskilda kategorier av uppgifter eller inte), begärans art, det sammanhang i vilket begäran görs samt eventuell skada som kan uppstå till följd av otillbörligt utlämnande. Vid bedömningen av proportionaliteten bör man komma ihåg att undvika överdriven uppgiftsinsamling samtidigt som en lämplig nivå av säkerhet vid behandling säkerställs.

text: 138. Användningen av självbetjäningsverktyg bör aldrig begränsa omfattningen av mottagna personuppgifter. Om det inte är möjligt att lämna all information enligt artikel 15 genom självbetjäningsverktyget måste den återstående informationen tillhandahållas på ett annat sätt. Den personuppgiftsansvarige kan uppmuntra den registrerade att använda ett självbetjäningsverktyg som den personuppgiftsansvarige har inrättat för att hantera begäranden om tillgång. Det bör dock noteras att den personuppgiftsansvarige också måste hantera begäranden om tillgång som inte skickas via den etablerade kommunikationskanalen.

text: Integritetsskyddsmyndighetens bedömning

text: IMY har med utgångspunkt i det aktuella klagomålet i ärendet granskat bolagets agerande i detta enskilda fall.

text: Har bolaget varit i stånd att identifiera den klagande?

text: Bolaget har uppgett att utifrån informationen i klagandens begäran om radering den 31 januari 2021 var bolaget inte i stånd att identifiera den registrerade. Informationen som tillhandahölls av klaganden i begäran gav, enligt bolagets uppgifter, inga träffar vid en direkt slagning i bolagets system, varken på det Facebook-ID eller på någon av de mejladresser klaganden angett. Av bolagets yttrande framgår vidare att när bolaget den 4 mars 2021 fick information om vilket spel klagandens begäran avsåg kunde de hitta ett konto som en av klagandens uppgivna mejladresser var kopplat till. Mot bakgrund av detta konstaterar IMY att bolaget i vart fall den 4 mars 2021 kunde koppla klagandens begäran till ett användarkonto och identifiering av klaganden var därmed möjlig. IMY bedömer därmed att klaganden i enlighet med vad som föreskrivs i artikel 11.2 i dataskyddsförordningen tillhandahållit sådan ytterligare information som gör identifieringen möjlig. Bolaget har därmed inte visat att det inte var i stånd att identifiera den registrerade, och kunde därför inte heller vägra att tillmötesgå den registrerades begäran om att utöva sina rättigheter med stöd av artikel 12.2 i dataskyddsförordningen.

text: Har bolaget agerat i enlighet med 12.6 i dataskyddsförordningen när bolaget begärt in aktuella uppgifter av klaganden?

text: Har bolaget haft rimliga skäl att betvivla identiteten hos klaganden

text: Det är endast när den personuppgiftsansvarige har rimliga skäl att betvivla identiteten hos den som gjort begäran som ytterligare information för att bekräfta identiteten får begäras. Vad som utgör ”rimliga skäl” i artikel 12.6 i dataskyddsförordningen bör bedömas utifrån omständigheterna i det enskilda fallet. Bedömningen av om det finns rimliga skäl att i ett enskilt fall betvivla identiteten hos den som gör begäran görs normalt mot bakgrund av den information som lämnas i samband med begäran. Det gäller särskilt i situationer där den personuppgiftsansvarige saknar närmare kännedom om denna person. Att det krävs en individuell bedömning utesluter dock inte att det

text: fastställs rutiner för hur den personuppgiftsansvarige normalt sätt verifierar den registrerades identitet.

text: Av bilagan till klagomålet framgår det att klaganden uppgett följande uppgifter när hen begärt radering den 31 januari 2021: Facebook-ID och tre mejladresser samt en mejladress från vilket mejlet med begäran skickades.

text: Bolaget har uppgett att vid tidpunkten för klagandens begäran om radering behandlade de en mejladress som är knuten till klaganden samt förmodligen även advertisingId/vendorId från klagandens telefon, klagandens användarnamn och lösenord.

text: Bolaget har getts tillfälle att motivera vilken individuell bedömning gjorts utifrån klagandens situation om de ansett att de haft rimliga skäl att betvivla klagandens identitet när hen framfört sin begäran. Bolaget har i huvudsak uppgett följande. Bolagets spel spelas inte på Facebook utan på mobiltelefon varför Facebook-ID inte bidrog till verifiering av klagandens identitet. Mejladresser är publika och ett angivande av ett sådant är inget bevis på ägandeskap. Mejladressen som begäran kom från var inte heller kopplad till något konto hos bolaget och inte heller det Facebook-ID som angavs. Klaganden uppgav inte någon kringliggande information som t.ex. användarnamn, vilket spel det gäller eller ens att det rör sig om ett spel. Spelet som klaganden, enligt senare uppgift, hade spelat var så gammalt att bolaget inte heller fick några träffar på de andra mejladresserna som angetts i begäran. Med hjälp av informationen bolaget fick den 4 mars 2021 av klaganden om vilket spel det rört sig om hittade bolaget ett användarkonto kopplat till en av klagandens angivna mejladresser.

text: Mot bakgrund av vad bolaget anfört och de uppgifter klaganden lämnat i sin begäran om radering konstaterar IMY att bolaget haft rimliga skäl att betvivla identiteten hos klaganden. I bedömningen väger IMY även in det faktum att skyldigheten att säkerställa identiteten på den som gör en begäran även har till syfte att skydda registrerade mot att någon annan felaktigt gör begäranden i deras namn, vilket kan leda till negativa konsekvenser för den registrerade.

text: Har de uppgifter bolaget efterfrågat av klaganden varit nödvändiga för att bekräfta

text: hens identitet?

text: Även om den personuppgiftsansvarige har rimliga skäl att betvivla identiteten hos den registrerade ska den personuppgiftsansvarige inte samla in fler personuppgifter än vad som är nödvändigt för att möjliggöra identifiering av den begärande registrerade. Den personuppgiftsansvarige ska genomföra en proportionalitetsbedömning och kunna motivera den verifieringsmetod som används.

text: Bolaget har uppgett att begäran ändrades till en begäran om tillgång den 4 mars 2021 och bolaget krävde då att begäran ska ske inifrån spelarens konto. Då användaruppgifter kan innehålla chattloggar är hanteringen av begäran om tillgång lite mer strikt än vid hantering av en begäran om radering av användaruppgifter har bolaget uppgett. Avseende nödvändigheten av den information de begärt av den klagande för att bekräfta dennes identitet har bolaget uppgett i huvudsak följande. Användarnamn efterfrågas då uppgiften antas vara enkel för de flesta att svara på. Det är dock en uppgift som är relativt lätt för andra att ta reda på. Användarnamn på tre vänner i spelet efterfrågas då de flesta som spelar detta spel har några vänner de spelat i åratal med. Den uppgiften bör därför vara lätt att svara på. Användarnamn på tre motståndare i spelet är svårare att tillhandahålla men för personer som mest spelar

text: mot slumpvisa spelare och inte lägger till vänner är det en nödvändig uppgift att begära in. Det är inte är ett krav att den begärande har rätt på alla frågor utan det görs en bedömning baserat på hur rätt eller fel svaret är.

text: IMY konstaterar att av det underlag bolaget har inkommit med, bestående av mejlkorrespondens mellan klaganden och bolaget, framgår att klaganden inte har frånfallit sin begäran om radering. Av mejlkorrespondensen, särskilt det mejl som skickades av MAG Support Team den 11 mars 2021, framgår vidare att de aktuella uppgifterna efterfrågades av bolaget för att klaganden skulle få åtkomst till kontot i syfte att begära radering. Bolagets påstående om att klagandens begäran om radering hade ändrats till att istället avse en begäran om tillgång, samt att de efterfrågade uppgifterna avsåg att identifiera klaganden endast vid en begäran om tillgång kan därför lämnas utan avseende. Bolaget har visserligen begärt fler uppgifter av klaganden i syfte att bekräfta klagandens identitet men IMY bedömer att det framgår att det alltjämt rör sig om en begäran om radering som klaganden vill ska bli tillgodosedd. Det framgår vidare att bolaget har efterfrågat de aktuella uppgifterna i samband med klagandens begäran om radering.

text: Vad avser de uppgifter som bolaget efterfrågat av klaganden, konstaterar IMY följande. Av EDPB:s riktlinjer om rätten till tillgång följer bl.a. att den personuppgiftsansvarige måste vid proportionalitetsbedömningen ta hänsyn till den typ av personuppgifter som behandlas (t.ex. särskilda kategorier av uppgifter eller inte), begärans art, det sammanhang i vilket begäran görs samt eventuell skada som kan uppstå till följd av otillbörligt utlämnande. Vid tidpunkten för klagandens begäran behandlade bolaget enbart en mejladress som är knuten till klaganden samt advertisingId/vendorId från hens telefon, klagandens användarnamn och lösenord. En felaktig radering av nämnda uppgifter skulle enligt IMY inte innebära några större nackdelar eller konsekvenser för klaganden. Kraven på identifiering kunde därmed ställas relativt lågt. Det har vidare framgått att korrekta svar på samtliga frågor inte krävdes samt att klagandens identitet senare gick att bekräfta genom en annan identifieringsmetod som krävde betydligt färre uppgifter. Bekräftelse på att det är klagandens användarkonto skickat från den till användarkontot kopplade mejladressen bedömdes vara tillräckligt för att bekräfta klagandens identitet och tillmötesgå begäran den 7 november 2022.

text: IMY bedömer därmed att med hänsyn till begärans art, den typ av personuppgifter som behandlades och den identifieringsmetod som senare användes, att uppgifterna i form av användarnamn på tre vänner och tre motståndare varken kan anses varit nödvändiga eller proportionerliga för att bekräfta identiteten hos klaganden i enlighet med artikel 12.6 i dataskyddsförordningen.

text: Har bolaget underlättat för klaganden att utöva sin rätt till radering enligt artikel 12.2 i dataskyddsförordningen?

text: Nästa fråga är om det har varit förenligt med artikel 12.2 i dataskyddsförordningen att kräva att klaganden loggar in på sitt konto och gör sin begäran inifrån spelet.

text: Bolaget har uppgett i huvudsak följande. Om användaren kan svara så bra att bolaget bedömer att användaren äger kontot sätter supporten mejladressen för återställning. Spelaren kan då bestämma ett nytt lösenord och logga in. Eftersom ärendet i det aktuella fallet hade övergått till en begäran om tillgång vill bolaget normalt att användaren ska vara inloggad på sitt konto för att utöva sin begäran.

text: Som IMY konstaterat i avsnittet ovan, framgår det av det underlag bolaget har inkommit med att klaganden inte har frånfallit sin begäran om radering samt att bolaget har efterfrågat de aktuella uppgifterna för att klaganden skulle få åtkomst till kontot i syfte att begära radering inifrån spelet.

text: Av EDPB:s riktlinjer om tillgång framgår bl.a. att den personuppgiftsansvarige kan uppmuntra den registrerade att använda ett självbetjäningsverktyg men att den personuppgiftsansvarige också måste hantera begäranden om tillgång som inte skickas via den etablerade kommunikationskanalen. Genom att kräva av klaganden vars begäran om radering tagits emot av bolaget att hen efter besvarandet av frågor som haft till syfte att bekräfta hens identitet, ska logga in på ett spel för att ur spelet skicka sin begäran har bolaget inte underlättat för den klagande att utöva sin rätt till radering. IMY bedömer därmed att bolaget därigenom agerat i strid med artikel 12.2 i dataskyddsförordningen.

text: Har klagandens begäran om radering enligt artikel 17 i dataskyddsförordningen tillmötesgåtts?

text: Av klagomålet framgår att klaganden begärde radering den 31 januari 2021 och att den vid tidpunkten för klagomålet inte har blivit tillgodosedd. Bolaget har uppgett att bolaget den 7 november 2022, efter mejlkorrespondens med klaganden den 30 oktober och den 6 november 2022, har raderat klagandens uppgifter och klaganden har informerats om detta. Då klagandens begäran om radering numera är tillgodosedd finns inte skäl att utreda ärendet vidare i den delen.

text: Val av ingripande

text: Av artiklarna 58.2 i och 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY konstaterar följande relevanta omständigheter. Den aktuella tillsynen omfattar MAG Interactive AB:s hantering av en enskild klagandes begäran om radering och de konstaterade överträdelserna ligger relativt långt tillbaka i tiden (2021). MAG Interactive AB har nu också tillgodosett klagandens begäran om radering fullt ut. Mot denna bakgrund finner IMY att det är fråga om sådana mindre överträdelser i den mening som avses i skäl 148 som innebär att MAG Interactive AB ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna. ______________________________________________

text: Detta beslut har fattats av den särskilda beslutsfattaren juristen Evelin Palmér efter föredragning av juristen Anna Mlynska.

text: Evelin Palmér, 2023-05-22 (Det här är en elektronisk signatur)

text: Hur man överklagar


text: SJ AB

text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för

text: fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 Klagandens personuppgifter framgår av bilaga 1. 3 Lagen (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning. 08-657 61 00

text: Jfr. Europeiska dataskyddsstyrelsens (EDPB:s) riktlinjer om rätten till tillgång – Guidelines 01/2022 on data subject rights – Right of access, version 2.0 (slutligt antagna den 28 mars 2023), punkt 159.

text: Jfr. Europeiska dataskyddsstyrelsens (EDPB:s) riktlinjer om rätten till tillgång – Guidelines 01/2022 on data subject rights – Right of access, version 2.0 (slutligt antagna den 28 mars 2023), punkt 10.

text: Jfr. Europeiska dataskyddsstyrelsens (EDPB:s) riktlinjer om rätten till tillgång – Guidelines 01/2022 on data subject rights – Right of access, version 2.0 (slutligt antagna den 28 mars 2023), punkt 125.

text: Jfr. Europeiska dataskyddsstyrelsens (EDPB:s) riktlinjer om rätten till tillgång – Guidelines 01/2022 on data subject rights – Right of access, version 2.0 (slutligt antagna den 28 mars 2023), punkt 144-146.

sprak: sv

titel: Beslut

nyckelord:
Dataskydd
Dina rättigheter

korrigerandeAtgard: Reprimand och föreläggande

lagakraft: Ja

lagrum: Artiklarna 12.3, 15.1 a-h, 15.2, 15.3, 58.2 b, 58.2 c i dataskyddsförordningen, GDPR

nyckelord: Onödigt dröjsmål, Rätt till viss information, Kopia av uppgifterna, Reprimand, Föreläggande, kunder

overklagan: Nej

rubrik: Privatpersons begäran om tillgång till sina personuppgifter

sammanfattning: IMY har granskat hur SJ AB har hanterat en privatpersons begäran om tillgång till sina personuppgifter. IMY har bedömt att bolaget inte har hanterat begäran utan onödigt dröjsmål, och senast inom en månad, efter att bolaget lyckats verifiera personens identitet. IMY ansåg vidare att SJ AB inte hade lämnat fullständig information om behandlingen och att den omständighet att informationen fanns tillgänglig på bolagets hemsida inte läkte den bristen. IMY konstaterade i beslutet att det inte finns något hinder mot att dela upp kopian på personuppgifter så länge rätten till tillgång tillgodoses. Det är dock viktigt att personen förstår vilka uppgifter som finns i de olika lagren, hur de kan begäras och att de kan begäras vid samma tidpunkt. IMY konstaterade också att en privatperson som i samband med en begäran lämnat vissa kontaktuppgifter också har anledning att tro att rätten till tillgång kommer att omfatta personuppgifter kopplade till dessa kontaktuppgifter. Om bolaget hade rimliga skäl att betvivla identiteten bakom kontaktuppgifterna skulle de ha efterfrågat mer information från personen. Läs tillsynsbeslutet

publisher: Integritetsskyddsmyndigheten

slug: sj-ab

title: SJ AB

org: imy

sammanfattning: Integritetsskyddsmyndigheten ger SJ AB en reprimand enligt artikel 58.2 b i dataskyddsförordningen för överträdelse av artiklarna 12.3, 15.1 a-h och 15.2 samt 15.3 i dataskyddsförordningen.

text: IMY-2022-9442 Beslut efter tillsyn enligt

type: stycke

text: dataskyddsförordningen – SJ AB

type: rubrik

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att SJ AB (556196-1599) i sin hantering av klagandens begäran om tillgång som gjordes den 9 februari 2022 har behandlat personuppgifter i strid med:

text: - artikel 12.3 i dataskyddsförordningen genom att inte utan onödigt dröjsmål ha tillgodosett klagandens rätt till tillgång enligt artikel 15 i dataskyddsförordningen, - artikel 15.1 a-h och 15.2 i dataskyddsförordningen, genom att inte ha tillhandahållit klaganden i egenskap av kund hos SJ all den information som anges i dessa bestämmelser och - artikel 15.3 i dataskyddsförordningen genom att i den kopia på personuppgifter som SJ AB lämnat inte ha gett tillgång till samtliga personuppgifter som SJ AB behandlar om klaganden.

text: Integritetsskyddsmyndigheten förelägger SJ AB enligt artikel 58.2 c i dataskyddsförordningen att tillmötesgå klagandens begäran om tillgång enligt artikel 15 i dataskyddsförordningen genom att, med förbehåll för eventuellt tillämpliga undantag i artikel 15.4 i dataskyddsförordningen och

text: 5 kap.

text: dataskyddslagen

text: , lämna klaganden tillgång till samtliga personuppgifter som SJ AB behandlar om klaganden genom att förse klaganden med en kopia på personuppgifterna enligt artikel 15.3 samt lämna information enligt artiklarna 15.1 a-h och 15.2. Åtgärderna ska vara genomförda senast två veckor efter att detta beslut vunnit laga kraft.

text: Redogörelse för tillsynsärendet

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot SJ AB (SJ) med anledning av klagomål rörande en begäran om tillgång enligt artikel 15 i dataskyddsförordningen.

text: Av klagomålen framgår i huvudsak följande. Klaganden har den 9 februari 2022 skickat en begäran om tillgång enligt artikel 15 i dataskyddsförordningen till SJ, både via bolagets portal med signering via bank-id och via e-post, utan att få svar. Klaganden begärde därför återigen tillgång enligt artikel 15 i dataskyddsförordningen. Klaganden gör gällande att den information hen sedan fick tillgång till var begränsad och bland annat saknat svar på klagandens frågor om vilka tredjeparter bolaget lämnat klagandes personuppgifter till.

text: SJ har i ett yttrande till IMY den 18 november 2022 i huvudsak uppgett följande. Klagandens initiala begäran om registerutdrag inkom via e-post den 9 februari 2022. SJ har på sin webbplats ett formulär för att ta hand om de registrerades rättigheter där begäran signeras med mobilt bank-id. Där finns också information om hur de registrerade ska gå tillväga för att få sina rättigheter tillgodosedda om mobilt bank-id saknas. Klaganden hade tekniska problem att använda mobilt bank-id och felsökning genomfördes. Inga störningar hos SJ kunde identifieras. Klaganden uppmanades att lämna information för manuell säker identifiering per telefon av SJ:s kundombudsman den 15 februari 2022. Efter viss ytterligare korrespondens mottog SJ den 19 april 2022 begäran om registerutdrag från klaganden med säker identifiering genom mobilt bank-id. Registerutdraget sammanställdes därefter och skickades i två omgångar. En del den 3 maj 2022 för hanteringen av personuppgifter i klagandens egenskap av tidigare anställd på SJ och en del den 18 maj 2022 för hantering av personuppgifter i klagandens egenskap av kund hos SJ.

text: I fråga om information enligt artikel 15.1 a-h och 15.2 i dataskyddsförordningen har SJ lämnat information om personuppgiftsbehandling av klaganden i egenskap av tidigare anställd. Av misstag bildades inte den fullständiga informationen om personuppgiftsbehandling av klaganden i egenskap av kund, utan endast en kortfattad version lämnades. Den fullständiga texten återfinns lättillgängligt på bolagets hemsida. SJ har konstaterat att informationen som lämnas i samband med registerutdrag, bland annat vad gäller överföring till tredjeland, har behov av förtydliganden.

text: I fråga om kopia på de personuppgifter som är under behandling enligt artikel 15.3 är SJ:s inställning att när registerutdraget lämnades ut i maj 2022 skedde det i enlighet med SJ:s då gällande och fastställda rutin och att klaganden gavs tillgång till samtliga personuppgifter som SJ behandlar. Med anledning av information från klaganden som framkommit i ett civilrättsligt tvistemål har SJ gjort ytterligare efterforskningar och konstaterat följande.

text: Vid tillfället ingick det inte i SJ:s rutin att genomsöka SJ:s e-postsystem. Som en följd därav har personuppgifter om klaganden i e-post som hanteras utanför kundtjänsten inte ingått i registerutdraget.

text: Vid sökning i systemet för kundärenden sökte SJ på klagandens e-postadress med gemener utan några resultat. Den del av registerutdraget som avsåg kundärenden blev därför tom och togs bort. Som en följd av detta har personuppgifter om klaganden i kundärenden inte ingått i registerutdraget. Vid de ytterligare efterforskningar som SJ vidtog med anledning av det civilrättsliga tvistemålet, sökte SJ på versaler i e-

text: postadressen och kunde hitta kundärendet som avsåg begäran om tillgång. SJ hade inte kännedom om att systemet var känsligt för gemener och versaler.

text: I den del i registerutdraget som avsåg kundärenden fanns även information om hur en registrerad skulle agera för det fall en registrerad önskade tillgång till epostmeddelanden som skickats mellan en registrerad och kundtjänst samt om man vill ta del av samtal som man haft med kundtjänst. Eftersom den delen togs bort fick klaganden inte del av denna information. SJ har konstaterat att den informationen också ska kompletteras med en upplysning om hur en registrerad ska agera om den önskar tillgång till personuppgifter som förekommer i chattar med SJ:s kundtjänst.

text: I fråga om uppgifter i resehistorik angav klaganden en e-postadress och ett telefonnummer i samband med att klaganden identifierade sig med mobilt bank-id på webbsidan. När begäran mottogs fick SJ fram, utifrån det personnummer som är kopplat till det aktuella bank-id, klagandens kundprofil hos SJ i egenskap av SJ Priomedlem. I kundprofilen är en annan e-postadress och ett annat telefonnummer registrerat än det som angavs i samband med begäran. Sökningen på personuppgifter i resehistorik gjordes endast på kontaktuppgifterna som fanns i SJ:s kundprofil. Det framgår av registerutdraget under rubriken köp- och resehistorik. Det innebär att resehistoriken i registerutdraget inte är fullständig då klaganden även har bokat resor med den e-postadress och det telefonnummer som angavs i samband med begäran om registerutdrag. Orsaken till denna rutin är att SJ inte har velat riskera att personuppgifter tillhörande någon annan registrerad än den med bank-id identifierade personen omfattas av utdraget.

text: I registerutdraget avseende uppgifter om klaganden i hens egenskap som anställd har det inte ingått uppgifter av mer teknisk karaktär som kan förekomma i loggar. Då uppgifterna är omfattande har klaganden informerats om detta i ett följebrev till registerutdraget och uppmanats att kontakta SJ med en begäran om att få tillgång till dessa uppgifter.

text: Personuppgifter hänförliga till klagandens anställning vid SJ har inhämtats från SJ:s digitala HR-system och omfattar klagandens anställning från och med år 2008 eftersom systemet hanterar anställningsdata från år 2008 och framåt. SJ har fysiska personalakter för både anställda och tidigare anställda förvarade hos ett personuppgiftsbiträde. Vid senare eftersökningar har SJ kunnat konstatera att det finns ytterligare information avseende klaganden hänförlig till tidigare anställningar före år 2008. SJ konstaterar att texten i registerutdraget ska kompletteras med information om att för det fall en registrerad som begär utdrag har varit anställd hos SJ före år 2008 önskar få del av dessa ska den registrerade uppge detta och äldre personalakter ska då rekvireras från personuppgiftsbiträdet.

text: SJ ser för närvarande över och uppdaterar rutinerna i förhållande till registerutdrag för att försäkra sig om att följa dataskyddsförordningen. För att SJ ska kunna lämna ut klagandens personuppgifter som kan förekomma i omfattande uppgiftssamlingar kan det vara nödvändigt att klaganden lämnar kompletterande information som gör identifiering av dennes personuppgifter möjlig och/eller att klagande specificerar sin begäran.

text: SJ avslutade ärendet avseende klagandens begäran den 18 maj 2022 efter att då ha gjort bedömningen att ett fullständigt registerutdrag hade lämnats ut i rätt tid. SJ har inte uppfattat det som en skyldighet enligt dataskyddsförordningen att i efterhand åtgärda brister i ett registerutdrag vilka har framkommit efter utlämnandet. SJ kommer

text: att hantera framtida begäranden om tillgång med beaktande av de brister som framkommit.

text: Motivering av beslutet

text: Tillämpliga bestämmelser

text: Den personuppgiftsansvariga är skyldig att, till var och en som begär det, lämna besked om personuppgifter som rör den sökande behandlas eller inte. Behandlas sådana uppgifter ska den personuppgiftsansvariga, i enlighet med artikel 15 i dataskyddsförordningen, lämna den registrerade kompletterande information om bland annat ändamålen med behandlingen och mottagare av uppgifterna samt en kopia på de personuppgifter som den personuppgiftsansvariga behandlar. Av artikel 15.1 och 15.2 följer vilken kompletterande information som ska lämnas till den registrerade. Enligt artikel 15.3 ska den personuppgiftsansvariga förse den registrerade med en kopia på de personuppgifter som är under behandling.

text: I artikel 11.1 i dataskyddsförordningen anges att om de ändamål för vilka den personuppgiftsansvarige behandlar personuppgifter inte kräver eller inte längre kräver att den registrerade identifieras av den personuppgiftsansvarige, ska den personuppgiftsansvarige inte vara tvungen att bevara, förvärva eller behandla ytterligare information för att identifiera den registrerade endast i syfte att följa denna förordning.

text: Enligt artikel 11.2 i dataskyddsförordningen gäller att om den personuppgiftsansvarige, i de fall som avses i punkt 1 i denna artikel, kan visa att denne inte är i stånd att identifiera den registrerade, ska den personuppgiftsansvarige om möjligt informera den registrerade om detta. I sådana fall ska artiklarna 15–20 inte gälla, förutom när den registrerade för utövande av sina rättigheter i enlighet med dessa artiklar tillhandahåller ytterligare information som gör identifieringen möjlig.

text: Av artikel 12.2 i dataskyddsförordningen följer att den personuppgiftsansvarige ska underlätta utövandet av den registrerades rätt till tillgång enligt artikel 15.

text: I artikel 12.6 i dataskyddsförordningen anges att utan att det påverkar tillämpningen av artikel 11 får den personuppgiftsansvarige, om denne har rimliga skäl att betvivla identiteten hos den fysiska person som lämnar in en begäran enligt artiklarna 15–21, begära att ytterligare information som är nödvändig för att bekräfta den registrerades identitet tillhandahålls.

text: Av artikel 12.3 i dataskyddsförordningen framgår att den personuppgiftsansvarige på begäran, utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran, tillhandahålla den registrerade information om de åtgärder som vidtagits enligt artikel 15 i dataskyddsförordningen. Denna period får vid behov förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet inkomna begäranden.

text: Om tidsfristen om en månad förlängs, ska den personuppgiftsansvarige underrätta den registrerade om förlängningen inom en månad från det att begäran mottagits samt ange orsakerna till förseningen.

text: Integritetsskyddsmyndighetens bedömning

text: IMY har med utgångspunkt i de aktuella klagomålen i ärendet granskat bolagets agerande i det enskilda fallet och då avseende om bolaget har hanterat klagandens begäran om tillgång som gjordes den 9 februari 2022 i enlighet med artikel 12 och artikel 15 i dataskyddsförordningen. IMY har inte granskat SJ:s generella rutiner för hantering av begäran om tillgång enligt artikel 15 i dataskyddsförordningen.

text: Har bolaget hanterat klagandens begäran om tillgång i rätt tid enligt artikel 12.3 i dataskyddsförordningen?

text: En personuppgiftsansvarig ska enligt artikel 12.3 i dataskyddsförordningen hantera en begäran om tillgång enligt artikel 15 i dataskyddsförordningen utan onödigt dröjsmål och senast inom en månad från det att begäran togs emot. Av utredningen i ärendet framgår att SJ tog emot klagandens begäran om tillgång den 9 februari 2022. Tidsfristen börjar således löpa från det datumet. Av utredningen i ärendet framgår vidare att klaganden hade tekniska problem med att använda mobilt bank-id för verifiering av sin identitet varför SJ den 15 februari 2022, dvs. sex dagar efter det att klaganden inkommit med sin begäran, har vänt sig till klaganden med en begäran om ytterligare information för manuell säker identifiering för att på så sätt säkerställa att personuppgifter inte röjs till obehörig.

text: IMY bedömer att SJ utan onödigt dröjsmål vänt sig till klaganden med en begäran om ytterligare information för att verifiera klagandens identitet och att tidsfristen under sådana omständigheter därför tillfälligt stoppas till dess att den personuppgiftsansvarige fått den information som behövs för verifiering . Av utredningen i ärendet framgår att klaganden därefter, genom mobilt bank-id, verifierade sin identitet den 19 april 2022. Tidsfristen fortsätter därmed att löpa från den dagen.

text: Mot bakgrund av ovan angivna omständigheter konstaterar IMY att SJ, för att hålla sig inom den stipulerade tidsfristen om en månad, borde ha lämnat tillgång enligt artikel 15 i dataskyddsförordningen senast den 13 maj 2022. Av utredning i ärendet framgår att klaganden fått del av vissa uppgifter den 3 maj 2022 men att andra uppgifter lämnades först den 18 maj 2022. Det har i ärendet inte framkommit att SJ har underrättat klaganden om en förlängning av den stipulerade tidsfristen om en månad.

text: IMY finner därmed att SJ har behandlat klagandens personuppgifter i strid med artikel 12.3 i dataskyddsförordningen genom att inte utan onödigt dröjsmål, eller senast inom en månad, ha tillgodosett klagandes begäran om tillgång enligt artikel 15 i dataskyddsförordningen.

text: Har bolaget lämnat information i enlighet med artikel 15.1 a-h och 15.2 i dataskyddsförordningen?

text: Av utredningen i ärendet framgår att SJ behandlar personuppgifter om klaganden både i egenskap av kund hos SJ och i egenskap av tidigare anställd hos SJ.

text: SJ har uppgett att klaganden tillhandahållits information enligt artikel 15.1 a-h och 15.2 i dataskyddsförordningen kopplat till de personuppgifter SJ behandlar om den klagande i egenskap av tidigare anställd hos bolaget.

text: Av utredningen framgår däremot att klaganden i egenskap av kund hos SJ endast har fått tillgång till en kortfattad version av den kompletterande information som enligt artikel 15.1 a-h och 15.2 i dataskyddsförordningen ska lämnas till den registrerade vid en begäran om tillgång. Vad SJ har anfört om att fullständig information fanns tillgänglig på bolagets hemsida läker inte denna brist.

text: IMY konstaterar således att SJ i sin hantering av klagandens begäran om tillgång har behandlat personuppgifter i strid med artikel 15.1 a-h och 15.2 i dataskyddsförordningen genom att inte tillhandahålla klaganden all den information som anges i dessa bestämmelser.

text: Har bolaget gett tillgång till samtliga personuppgifter under behandling i enlighet med artikel 15.3 i dataskyddsförordningen?

text: Syftet med rätten till tillgång är att den registrerade ska bli medveten om den behandling som sker och kunna kontrollera att den är laglig. Den personuppgiftsansvarige måste därför säkerställa att den kopia på personuppgifter som tillhandhålls innehåller alla de personuppgifter som behandlas om den registrerade och är utformad på ett sätt som är begripligt för den registrerade.

text: Kopia på personuppgifter SJ behandlar om klaganden i egenskap av kund

text: SJ har uppgett att personuppgifter om klaganden i e-post som hanteras utanför kundtjänsten inte har ingått i den kopia på personuppgifter som lämnats till klaganden.

text: Vidare har SJ uppgett att personuppgifter om klaganden i SJ:s system för kundärenden inte heller ingått i den kopia på personuppgifter som lämnats till klaganden eftersom en sökning på klagandens e-postadress med gemener inte gav någon träff i systemet. SJ har därefter konstaterat att det vid tidpunkten för begäran fanns ett kundärende gällande klagandens begäran om tillgång, men att det inte upptäcktes eftersom SJ saknade kännedom om att systemet var känsligt för gemener och versaler. Som en följd av att sökningen på klagandens e-postadress inte gav någon träff och personuppgifter om klaganden i SJ:s system för kundärenden inte ingått i den kopia som lämnats till klaganden har klaganden inte heller informerats om hur hen kan få tillgång till de personuppgifter som inte som standard ingår i den kopia på personuppgifter som SJ tillhandahåller den registrerade, nämligen personuppgifter i e-postsystem i kundärenden och i samtal med kundservice. Klaganden har således inte heller tillhandahållits dessa personuppgifter i den kopia på personuppgifter som lämnats. Kopian på personuppgifter har inte heller omfattat personuppgifter i chattar med kundtjänst. SJ har inte heller lämnat någon information till klaganden om hur tillgång till dessa personuppgifter kan begäras.

text: I fråga om tillgång till personuppgifter i resehistorik har SJ uppgett att bolaget har som rutin att endast söka på den e-postadress och det telefonnummer som finns inlagt i kundprofilen som är kopplad till det bank-id som används vid begäran. Orsaken till denna rutin är enligt vad SJ uppgett att de inte har velat riskera att personuppgifter tillhörande någon annan registrerad än den med bank-id identifierade personen omfattas av utdraget.

text: Härvid gör IMY följande bedömning. En registrerad ska ges tillgång till all information som den personuppgiftsansvarige behandlar om hen. Det innebär bland annat att den

text: personuppgiftsansvarige ska söka efter personuppgifter om den registrerade i sina ITsystem. IMY anser att den personuppgiftsansvarige vid en sådan sökning bör använda all tillgänglig information om den registrerade som sannolikt kommer att resultera i träffar mot bakgrund av hur informationen har strukturerats i systemen. Om informationen har strukturerats utifrån direkta eller indirekta identifierare, till exempel kundnummer, användarnamn eller e-postadresser, bör den personuppgiftsansvariges sökning omfatta även dessa faktorer förutsatt att denne innehar uppgifter som gör det möjligt att koppla dessa identifierare till den registrerade, eller får den informationen från den registrerade.

text: Av uppgifter i ärendet framgår att klaganden vid begäran, i samband med att hen identifierade sig med mobilt bank-id, angav en annan e-postadress och telefonnummer än de som fanns i kundprofilen. IMY anser därvid att det ålegat SJ att söka efter personuppgifter i form av resehistorik kopplade till de uppgifter klaganden har lämnat, i det här fallet en e-postadress samt ett telefonnummer. För det fall att SJ, efter att ha fått fram personuppgifter i resehistorik vid en sådan sökning, skulle ha haft tvivel rörande personuppgifternas koppling till den klaganden eller haft rimliga skäl att betvivla identiteten hos klaganden, hade SJ i en sådan situation haft att efterfråga mer information från den klaganden. Det har inte framkommit av utredningen i ärendet att SJ gett klaganden möjlighet att inkomma med ytterligare information för att bekräfta identiteten bakom e-postadressen och telefonnumret. IMY konstaterar att SJ, genom att endast söka på personuppgifter i resehistorik kopplat till de kontaktuppgifter som fanns i kundprofilen trots information från den klaganden om annan e-postadress och annat telefonnummer, därmed inte har vidtagit tillräckliga åtgärder för att tillse att kopian på personuppgifter omfattade samtliga de personuppgifter som SJ behandlade om klaganden vid tidpunkten för begäran. Till följd av att SJ endast har sökt på den epostadress och det telefonnummer som fanns i klagandens kundprofil fick inte klaganden tillgång till samtliga hens personuppgifter i resehistoriken.

text: IMY konstaterar sammanfattningsvis och mot bakgrund av ovanstående att den kopia på personuppgifter som SJ behandlar om klaganden i egenskap av kund och som SJ har lämnat till klaganden inte omfattat samtliga personuppgifter som SJ behandlade om klaganden vid tidpunkten för begäran.

text: Kopia på personuppgifter SJ behandlar om klaganden i egenskap av tidigare anställd

text: I den kopia på personuppgifter som SJ behandlar om klaganden i egenskap av tidigare anställd hos SJ och som SJ har tillhandahållit klaganden har endast personuppgifter från SJ:s digitala HR-system – som hanterar anställningsdata från 2008 och framåt – ingått. SJ har fysiska personalakter för både anställda och tidigare anställda förvarade hos ett personuppgiftsbiträde och har konstaterat att det finns ytterligare information avseende klaganden hänförligt till tidigare anställningar före år 2008. Kopian på personuppgifter som tillhandahållits klaganden har inte omfattat personuppgifter hänförliga till klagandens anställningar före år 2008. SJ har inte heller lämnat någon information till klaganden om hur tillgång till dessa personuppgifter kan begäras.

text: I kopian på personuppgifter som SJ behandlar om klaganden i egenskap av tidigare anställd hos SJ har det inte ingått uppgifter av mer teknisk karaktär som kan förekomma i loggar, till exempel loggar vid inloggning i olika system. SJ har i yttrande

text: uppgett att klaganden i ett följebrev har informerats om det och hur denne kan begära tillgång till dessa uppgifter.

text: Härvid gör IMY följande bedömning. Utgångspunkten vid en begäran om tillgång är att den registrerade ska få tillgång till samtliga personuppgifter som den personuppgiftsansvarige behandlar om den som begär tillgång. IMY anser dock att det inte finns något hinder mot att dela upp kopian på personuppgifter så länge rätten till tillgång tillgodoses. En uppdelning av kopian på personuppgifter får således inte inskränka rätten till tillgång eller försvåra utövandet av den. Detta ställer krav på att den personuppgiftsansvarige lämnar tydlig information till den registrerade om att kopian på personuppgifter är uppdelad, vilken information som finns i de olika delarna samt på vilket sätt den registrerade kan få tillgång till dessa. För att uppdelningen av kopian på personuppgifter i olika delar inte ska inskränka rättigheten eller försvåra utövandet av den kan det inte heller krävas att den registrerade behöver återkomma till den personuppgiftsansvarige vid ett flertal tillfällen för att få tillgång till samtliga personuppgifter eller att det är komplicerat att begära tillgång till samtliga personuppgifter. IMY anser därför att den registrerade ska ha möjlighet att begära tillgång till samtliga delar från början och att det ska vara enkelt att få tillgång till dessa.

text: Att information om att kopian på personuppgifter är uppdelad ges från början är således en förutsättning för att den personuppgiftsansvarige ska kunna begränsa utlämnandet av de personuppgifter den personuppgiftsansvarige behandlar. IMY konstaterar att SJ har gett information om att det finns ytterligare uppgifter att ta del av först i samband med att de gett tillgång till andra personuppgifter som bolaget behandlade om klaganden i egenskap av tidigare anställd. Den klaganden har således inte från början haft möjlighet att begära tillgång till samtliga de personuppgifter som SJ behandlar om klaganden i egenskap av tidigare anställd och har också behövt återkomma till den personuppgiftsansvarige om klaganden velat få tillgång till ytterligare personuppgifter. Mot bakgrund av att SJ lämnade sådan information först i ett senare skede bedömer IMY att förutsättningarna för SJ att få begränsa utlämnandet av de personuppgifter som SJ behandlade om klaganden inte är uppfyllda varför SJ borde ha lämnat ut samtliga personuppgifter som bolaget behandlade om klaganden i egenskap av tidigare anställd, dvs. även uppgifterna av mer teknisk karaktär.

text: IMY finner sammanfattningsvis och mot bakgrund av ovanstående att den kopia på personuppgifter som SJ behandlar om klaganden i egenskap av tidigare anställd, och som SJ har lämnat till klaganden, inte omfattat samtliga personuppgifter som SJ behandlade om klaganden vid tidpunkten för begäran.

text: Sammanfattande bedömning

text: IMY finner sammanfattningsvis att det av utredningen i ärendet framgår att SJ har behandlat klagandens personuppgifter i strid med artikel 12.3 i dataskyddsförordningen genom att inte utan onödigt dröjsmål, eller senast inom en månad, ha hanterat klagandens begäran om tillgång enligt artikel 15 i dataskyddsförordningen. IMY har vidare funnit att SJ i sin hantering av klagandens begäran om tillgång har behandlat personuppgifter i strid med artikel 15.1 a-h och 15.2 i dataskyddsförordningen genom att inte tillhandahålla klaganden i egenskap av kund all den information som anges i dessa bestämmelser. IMY konstaterar också att SJ har behandlat klagandens personuppgifter i strid med artikel 15.3 i

text: dataskyddsförordningen genom att de kopior på personuppgifter som SJ behandlar om klaganden i egenskap av kund och tidigare anställd, och som SJ har lämnat till klaganden den 3 maj 2022 respektive 18 maj 2022 inte omfattat samtliga personuppgifter som SJ behandlade om klaganden vid tidpunkten för begäran.

text: Val av ingripande

text: Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY konstaterar följande relevanta omständigheter. Den aktuella tillsynen omfattar en granskning av hur SJ har hanterat en enskild klagandens begäran om tillgång. IMY har därvid konstaterat att SJ brustit i sina skyldigheter enligt rätten till tillgång i förhållande till den klaganden. SJ har dock vidtagit åtgärder, om än otillräckliga, i syfte att tillmötesgå klagandens begäran om tillgång. Även om klagandens rätt till tillgång inte har tillmötesgåtts fullt ut är de brister som har förlegat därför av mindre allvarlig karaktär än om begäran hade lämnats obesvarad. Vad gäller den konstaterade bristen enligt artikel 12.3 i dataskyddsförordningen har den föreskrivna tidsfristen om en månad endast överskridits med några dagar. SJ har vidare uppgett att de har vidtagit åtgärder genom att se över och uppdatera rutiner i förhållande till registerutdrag för att försäkra sig om att följa dataskyddsförordningen och att bolaget kommer att hantera framtida begäranden om registerutdrag med beaktan av de brister som framkommit i nu aktuellt ärende. Vidare har bolaget inte tidigare konstaterats överträtt dataskyddsförordningen.

text: Mot bakgrund av omständigheterna kring de konstaterade överträdelserna finner IMY att det är fråga om sådana mindre överträdelser i den mening som avses i skäl 148 och att SJ därför ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade bristerna.

text: Av utredningen i ärendet har det framkommit att klaganden inte har fått tillgång till fler personuppgifter eller mer information efter svaret på begäran om tillgång som lämnades den 18 maj 2022. IMY finner därför att det finns anledning att med stöd av artikel 58.2 c förelägga SJ att tillmötesgå klagandens begäran enligt artikel 15 i dataskyddsförordningen genom att, med förbehåll för eventuellt tillämpligt undantag i artikel 15.4 i dataskyddsförordningen och

text: 5 kap.

text: dataskyddslagen

text: , lämna klaganden tillgång till samtliga personuppgifter som SJ behandlar om klaganden genom att förse den klaganden med en kopia på samtliga personuppgifterna enligt artikel 15.3 i dataskyddsförordningen samt lämna fullständig information enligt artiklarna 15.1 a-h och 15.2 i dataskyddsförordningen. Åtgärderna ska vara genomförda senast två veckor efter att detta beslut vunnit laga kraft.

text: Detta beslut har fattats av den särskilda beslutsfattaren Karin Ekström efter föredragning av juristen Måns Lysén.

text: Karin Ekström, 2023-06-29 (Det här är en elektronisk signatur)

text: Bilaga

text: 1. Uppgifter om klaganden

text: Kopia till

text: 1. Dataskyddsombudet för SJ AB 2. Klaganden

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

type: avgorande


text: Hemköpskedjan AB

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 EDPB:s dokument om ram för samordnat genomförande enligt förordning 2016/679. Antaget den 20 oktober 2020. 3 EDPB:s rapport 2023 “Coordinated Enforcement Action, Designation and Position of Data Protection Officers”, 08-657 61 00 antagen den 16 januari 2024.

text: Artikel 29-gruppens riktlinjer om dataskyddsombud,

text: WP 243

text: rev. 01, senast granskade och antagna den 5 april 2017, sidan 19. 5 EU-domstolens dom den 9 februari 2023, X-FAB Dresden,

text: , EU:C:2023:79, punkterna 41–42 samt 46.

titel: Hemköp

nyckelord: Dataskydd Arbetsliv

amne: Dataskyddsombudets roll

korrigerandeAtgard: Region Västerbotten får en reprimand och ett föreläggande. Socialnämnden i Örebro får en reprimand. Ingen korrigerande åtgärd till övriga verksamheter.

lagrum: Artikel 38.1–3 och 38.6 i dataskyddsförordningen

nyckelord: Dataskyddsombud – ställning

rubrik: Dataskyddsombudets ställning och risken för intressekonflikt

sammanfattning: IMY har granskat fem organisationer för att se om det föreligger intressekonflikt genom att dataskyddsombuden har andra uppdrag i verksamheten, exempelvis som informationssäkerhetschef eller Risk Manager. IMY har även kontrollerat ytterligare en verksamhet för att se om ombudet har den roll och de resurser som krävs. I ett av fallen bedömer IMY att det föreligger en intressekonflikt genom att dataskyddsombudet har uppdrag att som regionjurist ge råd i dataskyddsfrågor till verksamheten. Dataskyddsombudet tvingas därmed granska det dataskyddsarbete som utförts som rådgivare, vilket gör att ombudets oberoende kan ifrågasättas. I de övriga fallen bedömer IMY att det i det enskilda fallet inte råder någon intressekonflikt. I granskningen av ombudets roll och resurser konstateras att verksamheten bland annat inte säkerställt att dataskyddsombudet i god tid deltar i alla frågor som rör skyddet av personuppgifter eller att ombudet rapporterar direkt till den högsta förvaltningsnivå. Läs tillsynsbesluten

slug: dataskyddsombudens-roll-och-stallning

title: Dataskyddsombudens roll och ställning – Hemköp

sammanfattning: Integritetsskyddsmyndigheten (IMY) har granskat hur fem verksamheter med dataskyddsombud hanterar eventuella intressekonflikter för ombuden. Dessutom har ytterligare en verksamhet granskats för att kontrollera att ombudet har den roll och de resurser som krävs.

text: IMY-2023-11322 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Hemköpskedjan AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att utredningen i ärendet inte visar att Hemköpskedjan AB (556113-8826) har brustit i efterlevnaden av artikel 38.6 i dataskyddsförordningen .

text: Ärendet avslutas.

text: Redogörelse för tillsynsärendet

text: Bakgrund m.m.

text: Den europeiska dataskyddsstyrelsen (EDPB) har under 2023 genomfört en samordnad åtgärd med syftet att undersöka om dataskyddsombuden har den roll samt de resurser som förutsätts enligt artiklarna 37–39 i dataskyddsförordningen. Integritetsskyddsmyndigheten (IMY) har deltagit i den samordnade åtgärden och genomfört den i form av tillsyn mot ett femtiotal personuppgiftsansvariga. Det är mot denna bakgrund som IMY har inlett tillsyn mot Hemköpskedjan AB (Hemköp).

text: Tillsynen har inledningsvis inneburit att Hemköp har besvarat ett trettiotal frågor om bland annat dataskyddsombudets kvalifikationer, uppgifter och ställning. Frågorna har sin grund i ett frågeformulär som EDPB har skapat inom ramen för den samordnade åtgärden.

text: Målet med den samordnade åtgärden har varit att i bred mening underlätta gemensamma åtgärder på ett flexibelt men samordnat sätt, allt ifrån att öka den gemensamma medvetenheten och samla in information till att kontrollera verkställighet och utföra gemensamma utredningar. Detta möjliggör riktad uppföljning och åtgärder både på nationell nivå och genom EDPB. Resultatet från granskningen har samman- 3 ställts i en rapport från EDPB.

text: Av de tillsyner som IMY inlett inom ramen för den samordnade åtgärden har myndigheten gått vidare med ett mindre urval för att göra en fördjupad granskning av några frågeställningar. Denna tillsyn är ett av dessa ärenden där IMY sett anledning att ställa kompletterande frågor till Hemköp, såsom personuppgiftsansvarig, avseende artikel 38.6 i dataskyddsförordningen. Syftet har varit att utreda om det i strid med artikeln föreligger en intressekonflikt mellan rollen som dataskyddsombud och dataskyddsombudets övriga uppgifter och uppdrag inom organisationen. IMY har inte granskat huruvida Hemköp i övrigt uppfyller artiklarna 37-39 i dataskyddsförordningen utifrån tidigare lämnade svar.

text: Uppgifter från Hemköp

text: Hemköp har i huvudsak uppgett följande. Organisationens dataskyddsombud innehar även rollen som koncernens Risk Manager. Rollen innebär ett ansvar för koncernens övergripande riskhanteringsramverk, vilket närmare innebär att skriva styrande dokument, koordinera och samordna koncernbolagens riskrapportering. I arbetsuppgifterna ingår inte att identifiera eller hantera risker. Risk Manager har även andra ansvarsområden, t.ex. avseende processer för krishantering och kontinuitetsplanering. Ansvaret fungerar på samma sätt inom dessa områden, dvs. Risk Manager är ansvarig för att samordna koncernens arbete inom frågorna men har inget ansvar för att hantera riskerna inom områdena. Rollen som Risk Manager innebär inte att vara delaktig i att bestämma ändamål och medel för Hemköps personuppgiftsbehandlingar och denne ingår varken i företagsledningen eller i ledningsgruppen.

text: Vidare har Hemköp beskrivit att rollerna som dataskyddsombud och Risk Manager så som de tillämpas inom koncernen är lika varandra till karaktär men överlappar inte varandra, och leder inte till intressekonflikt, då rollerna går ut på att hålla ihop koncernens ramverk för hantering av olika typer av risker.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: Rollen som dataskyddsombud regleras i artiklarna 37–39 i dataskyddsförordningen. Dataskyddsombudet ska bland annat informera och ge råd inom organisationen om tillämplig dataskyddslagstiftning, övervaka organisationens efterlevnad av dataskyddslagstiftningen och interna styrdokument, ge råd om konsekvensbedömningar samt vara kontaktperson för tillsynsmyndigheten. Dataskyddsombudet ska vara oberoende och självständig i utförandet av sina arbetsuppgifter, vilket framgår av skäl 97.

text: Dataskyddsombudet får enligt artikel 38.6 i dataskyddsförordningen fullgöra andra uppgifter och uppdrag utöver rollen som dataskyddsombud. Den personuppgiftsansvarige eller personuppgiftsbiträdet ska se till att sådana uppgifter inte leder till en intressekonflikt.

text: Av artikel 29-gruppens riktlinjer om dataskyddsombud framgår följande om artikeln:

text: Kravet att det inte får föreligga intressekonflikter är nära kopplat till kravet att dataskyddsombuden ska kunna agera på ett oberoende sätt. Även om dataskyddsombud får ha andra funktioner, kan de anförtros andra uppgifter och uppdrag endast på villkor att de inte ger upphov till intressekonflikter. Detta innebär särskilt att dataskyddsombudet inte kan inneha en sådan tjänst inom

text: organisationen som innebär att han eller hon fastställer ändamålen med och medlen för behandlingen av personuppgifter. Detta måste avgöras från fall till fall beroende på hur organisationen är strukturerad.

text: Som en tumregel kan motstridiga befattningar inom organisationen vara befattningar i högsta ledningen (t.ex. verkställande direktör, högste verkställande beslutsfattare, finansdirektör, chefsläkare, marknadsföringschef, personalchef eller it-chef), men även andra funktioner lägre i organisationsstrukturen, om sådana befattningar eller funktioner innebär att dataskyddsombudet fastställer ändamålen med och medlen för behandlingen av personuppgifter.

text: EU-domstolen har i målet X-FAB Dresden förtydligat att dataskyddsombudet inte kan anförtros uppgifter och uppdrag som kan skada fullgörandet av de uppgifter som han eller hon utför i egenskap av dataskyddsombud. Detta eftersom artikel 38.6 i dataskyddsförordningen syftar till att bevara dataskyddsombudets funktionella oberoende och därmed säkerställa effektiviteten hos bestämmelserna i dataskyddsförordningen. Bedömningen av om ett visst uppdrag riskerar att leda till en intressekonflikt med uppdraget som dataskyddsombud ska göras utifrån relevanta omständigheter i det enskilda fallet, bland annat mot bakgrund av den personuppgiftsansvariges eller personuppgiftsbiträdes organisatoriska struktur och dess interna regler/policys.

text: Integritetsskyddsmyndighetens bedömning

text: Den fråga som IMY ska ta ställning till är om det föreligger en intressekonflikt i strid med dataskyddsförordningen genom att Hemköps dataskyddsombud även har rollen som koncernens Risk Manager.

text: Enligt vad som framgår ovan kan funktioner som innebär ledande befattningar typiskt sett ge upphov till intressekonflikt med rollen som dataskyddsombud, eftersom det ofta innebär att denne är delaktig i beslut rörande personuppgiftbehandlingar på ett sådant sätt att dataskyddsombudets oberoende kan ifrågasättas.

text: Hemköp har närmare beskrivet vad som ingår i rollen som Risk Manager. Av redogörelsen framgår att arbetsuppgifterna inte medför ett ansvar som leder till delaktighet i beslut rörande ändamål och medel för personuppgiftsbehandlingar. Inte heller framgår det av beskrivningen att uppgifterna innebär ett ansvar för att i övrigt, t.ex. genom råd eller stöd, hantera dataskyddsrättsliga frågor.

text: IMY finner mot den bakgrunden att utredningen i ärendet inte visar att det föreligger en intressekonflikt i strid med dataskyddsförordningen genom att inneha den beskrivna rollen vid sidan av uppdraget som dataskyddsombud.

text: Ärendet avslutas.

text: Detta beslut har fattats av enhetschefen Jonas Agnvall efter föredragning av juristen Lisa Zettervall. Vid den slutliga handläggningen har även den tillförordnade rättschefen Cecilia Agnehall deltagit.

text: Jonas Agnvall, 2024-06-27 (Det här är en elektronisk signatur)

text: Kopia till

text: Dataskyddsombudet

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.