text: H&M Hennes & Mauritz GBC AB Mäster Samuelsgatan 46A 10638 Stockholm

text: Integritetsskyddsmyndigheten konstaterar att H&M Hennes & Mauritz GBC AB har behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen genom att

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: Information Comissioner’s Office

text: EDPB Guidelines 04/2022 on the calculation of administrative fines under the GDPR (slutligt antagna den 24 maj 2023). 4 Se Dom i Akzo Nobel,

text: , EU:C:2017:314, punkt. 48

nyckelord:
Dataskydd
Dina rättigheter
Internet och appar

amne: Registrerades rättigheter

korrigerandeAtgard: Sanktionsavgift på 350 000 kronor

lagakraft: Ja

lagrum: Artiklarna 12.2, 12.3 och 21.3 och 58.2 i dataskyddsförordningen, GDPR

nyckelord: Underlätta utövandet, Onödigt dröjsmål, Invändning - mot direkt marknadsföring, Administrativ sanktionsavgift

overklagan: Nej

rubrik: Rätten att tacka nej till direktmarknadsföring

sammanfattning: Kunder till H&M försökte tacka nej till nyhetsbrev från bolaget, utan framgång. Efter klagomål till dataskyddsmyndigheterna i Polen, Italien och Storbritannien har IMY granskat ärendena, eftersom H&M har sitt huvudkontor i Sverige. IMY bedömer att bolaget för det första brutit mot rätten att invända mot direktmarknadsföring. Eftersom invändningen inte tagits omhand i tid har bolaget även överskridit den tidsfrist som stadgas i förordningen. Genom att fortsätta med utskicken efter att kunder har försökt tacka nej har H&M också överträtt förordningen genom att behandla personuppgifter utan lagstöd. För det fjärde har bolaget inte haft tillräckliga system och rutiner för att underlätta för de som klagat att utöva sin rätt att kunna invända mot direktmarknadsföring, vilket också är en skyldighet som följer av dataskyddsförordningen. IMY konstaterade därmed i beslutet att H&M, genom att göra det onödigt svårt för kunderna att slippa reklam, har brutit mot fyra olika bestämmelser i dataskyddsförordningen. Bland annat eftersom överträdelsen rört mindre känsliga uppgifter och bolaget vidtagit åtgärder för att komma tillrätta med problemen, stannade IMY vid en sanktionsavgift om 350 000 kronor, vilket är lågt i förhållande till bolagets omsättning. Beslutet har inte överklagats. Läs tillsynsbeslutet

sanktionsavgift: 350 000 kronor

slug: hm-hennes--mauritz

title: H&M Hennes & Mauritz

sammanfattning: IMY beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att H&M Hennes & Mauritz GBC AB ska betala en administrativ sanktionsavgift på 350 000 (trehundrafemtiotusen) kronor för de konstaterade överträdelserna.

text: DI-2020-10545 Beslut efter tillsyn enligt

text: dataskyddsförordningen - H&M Hennes & Mauritz GBC AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att H&M Hennes & Mauritz GBC AB (556070-1715) har behandlat personuppgifter i strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen genom att

text: • avseende klagomål 1: inte utan onödigt dröjsmål upphöra med behandling av klagandens personuppgifter för direktmarknadsföringsändamål efter att klaganden invänt mot sådan behandling den 5 april 2019,

text: • avseende klagomål 2: inte utan onödigt dröjsmål upphöra med behandling av klagandens personuppgifter för direktmarknadsföringsändamål efter att klaganden invänt mot sådan behandling den 4 juli 2019,

text: • avseende klagomål 3: inte utan onödigt dröjsmål upphöra med behandling av klagandens personuppgifter för direktmarknadsföringsändamål efter att klaganden invänt mot sådan behandling den 3 september 2019,

text: • avseende klagomål 4: inte utan onödigt dröjsmål upphöra med behandling av klagandens personuppgifter för direktmarknadsföringsändamål efter att klaganden invänt mot sådan behandling den 31 juli 2018,

text: • avseende klagomål 5: inte utan onödigt dröjsmål upphöra med behandling av klagandens personuppgifter för direktmarknadsföringsändamål efter att klaganden invänt mot sådan behandling i juli 2018,

text: • avseende klagomål 6: inte utan onödigt dröjsmål upphöra med behandling av klagandens personuppgifter för direktmarknadsföringsändamål efter att klaganden invänt mot sådan behandling den 8 augusti 2019.

text: • avseende klagomål 1: under perioden 7 april 2019 till 2 augusti 2019 behandlat klagandens personuppgifter för direktmarknadsföringsändamål utan rättslig grund,

text: • avseende klagomål 2: under perioden 6 juli 2019 till 3 oktober 2019 behandlat klagandens personuppgifter för direktmarknadsföringsändamål utan rättslig grund,

text: • avseende klagomål 3: under perioden 5 september 2019 till 5 februari 2020 behandlat klagandens personuppgifter för direktmarknadsföringsändamål utan en rättslig grund,

text: • avseende klagomål 4: under perioden 2 augusti 2018 till 16 februari 2020 behandlat klagandens personuppgifter för direktmarknadsföringsändamål utan rättslig grund,

text: • avseende klagomål 5: under perioden augusti 2018 till 20 maj 2019 behandlat klagandens personuppgifter för direktmarknadsföringsändamål utan rättslig grund,

text: • avseende klagomål 6: under perioden 10 augusti 2019 till 15 september 2019 behandlat klagandens personuppgifter för direktmarknadsföringsändamål utan rättslig grund.

text: Integritetsskyddsmyndigheten konstaterar att H&M Hennes & Mauritz GBC AB, avseende klagomål 1 till 6, har behandlat personuppgifter i strid med artikel 12.2 i dataskyddsförordningen genom att inte säkerställa system och rutiner som i tillräcklig utsträckning underlättat för de klagande att utöva sin rätt till invändning mot direktmarknadsföring.

text: Integritetsskyddsmyndigheten beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att H&M Hennes & Mauritz GBC AB ska betala en administrativ sanktionsavgift på 350 000 (trehundrafemtiotusen) kronor för de konstaterade överträdelserna.

text: Redogörelse för tillsynsärendet

text: Handläggning

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot H&M Hennes & Mauritz GBC AB (H&M eller bolaget) med anledning av sex klagomål. IMY:s granskning avser hanteringen av klagandenas invändningar mot direktmarknadsföring och den efterföljande personuppgiftsbehandlingen. Klagomålen har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 i dataskyddsförordningen. Överlämnandet har skett från tillsynsmyndigheterna i de länder (Polen, Italien och Storbritannien) där klagandena har lämnat in sina klagomål i enlighet med förordningens bestämmelser om samarbete vid gränsöverskridande behandling.

text: Handläggningen av tillsynsärendet har skett genom skriftväxling. Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Tyskland, Slovenien, Frankrike, Danmark. Spanien, Norge, Italien, Finland, Polen, Belgien, Portugal, Cypern, Estland och Nederländerna.

text: Eftersom klagomål 4 och 5 överlämnats från Storbritannien, som under handläggningen av tillsynsärendet lämnat unionssamarbetet, har IMY varit i kontakt med Storbritanniens tillsynsmyndighet (ICO) för att säkerhetsställa att en ne bis in idem situation undviks. ICO har ingen information om att de vidtagit några korrigerande åtgärder avseende klagomålen. Det noteras att ICO:s lagringstid för klagomål är två år och att de därför inte har sparat någon information om klagomålen. IMY noterar vidare att tillsynsobjektet vid kommunicering med IMY inte påtalat att några sådana åtgärder ska ha vidtagits av ICO. Det framgår av artikel 3 i dataskyddsförordningen att bestämmelserna i förordningen gäller för all personuppgiftsbehandling som sker inom ramen för den verksamhet som bedrivs av den personuppgiftsansvariges verksamhetsställe inom union, oavsett om behandlingen utförts inom union eller inte. IMY bedömer således att det inte föreligger något hinder för att klagomål 4 och 5 inkluderas i IMY:s granskning.

text: Allmänt om vad klagandena och H&M har uppgett

text: Enligt klagomålen har klagandena mottagit oönskade nyhetsbrev från bolaget trots att de har invänt mot att få sina personuppgifter behandlade för direktmarknadsföringsändamål.

text: Bolaget har uppgett att det är personuppgiftsansvarig för den personuppgiftsbehandling som tillsynen omfattar.

text: Bolaget erbjuder sina kunder tre olika tillvägagångsätt för att motsätta sig marknadsföring via nyhetsbrev. Kunderna kan ändra sin prenumerationsstatus under sina kontoinställningar, avregistrera sig från prenumerationer via en länk som finns i varje utskick av nyhetsbrev eller kontakta bolagets kundtjänst. Bolaget hanterar ett mycket stort antal prenumeranter årligen och det är endast i en mycket liten del av avregistreringsärenden det uppstår någon form av problem.

text: Bolaget bekräftar att det har mottagit klagandenas invändningar i samtliga klagomål. Bolaget har dock inte kvar någon dokumenterad korrespondens med klagandena då lagringstiden för kommunikation med kundtjänst har passerat. Bolaget avser att se över sin lagringstid vid kommunikation med kundtjänst för ändamålet att kunna visa vilka åtgärder som vidtagits för att tillmötesgå registrerades rättigheter.

text: Nedan följer en redogörelse över vad klagandena och bolaget har anfört i förhållande till respektive klagomål.

text: Klagomål 1 (från Polen med nationellt referensnummer: ZSPR.440.1340.2019)

text: I klagomålet görs gällande att klaganden framställde sin invändning mot att få direktmarknadsföring genom att fylla i bolagets formulär via kontoinställningar, samt genom att kontakta kundtjänst vid upprepade tillfällen, utan framgång. Klaganden har kontaktat såväl den polska (obslugaklienta.pl@hm.com) som den brittiska (customerservice.UK@hm.com) kundtjänsten. Enligt den till klagomålet bifogade epostkorrespondensen informerade bolaget klaganden den 8 april 2019 att hen inte skulle motta några fler nyhetsbrev. Klaganden har inkommit med underlag på att bolaget skickat nyhetsbrev fram till och med den 1 augusti 2019.

text: Bolaget har i sitt svar anfört att det avslutade klagandens prenumeration från bolagets allmänna nyhetsbrev den 5 april 2019 men av misstag (och i strid med bolagets interna instruktioner) avregistrerades klaganden endast från det allmänna nyhetsbrevet och inte från det nyhetsbrev som är kopplat till kundklubben. Den 2

text: augusti 2019 avslutades även nyhetsbrev kopplade till kundklubben och klaganden har därefter inte fått någon marknadsföring. Bolaget har medgett att det inte hanterat begäran i enlighet med sina rutiner men uppgett att misstaget inte kan inträffa igen eftersom det inte längre är tekniskt möjligt för kundtjänst att avregistrera en kund från endast en typ av nyhetsbrev.

text: Klagomål 2 (från Italien med nationellt referensnummer: 142785)

text: I klagomålet görs gällande att klaganden framställde sin invändning mot att få direktmarknadsföring genom att använda avprenumerationslänken i utskicket av nyhetsbrevet, samt genom att kontakta kundtjänst vid tre tillfällen utan framgång. I e-post till bolaget den 4 juli 2019 uppger klaganden att hen försökt använda avprenumerationslänken ett tiotal gånger. Klaganden har varit i kontakt med den italienska kundtjänsten via servizioclienti.it@hm.com. Bolaget informerade klaganden den 4 juli 2019 att kundtjänst hade skickat ärendet vidare till behörig avdelning och att det kunde ta lite tid innan klagandens begäran helt tillgodosetts. Klaganden har därefter fortsatt ta emot nyhetsbrev fram till och med den 3 oktober 2019.

text: Bolaget har i sitt svar anfört att det avslutade klagandens prenumeration från bolagets allmänna nyhetsbrev den 4 juli 2019. Av misstag (och i strid med bolagets interna instruktioner) avregistrerades klaganden endast från det allmänna nyhetsbrevet och inte från det nyhetsbrev som är kopplat till kundklubben. Den 2 oktober 2019 avslutades även nyhetsbrev kopplade till kundklubben och klaganden har efter den 3 oktober 2019 inte fått någon marknadsföring. Bolaget har medgett att det inte har hanterat begäran i enlighet med sina rutiner men att misstaget inte kan inträffa igen eftersom det inte längre är tekniskt möjligt för kundtjänst att avregistrera en kund från endast en typ av nyhetsbrev.

text: Klagomål 3 (från Italien med nationellt referensnummer: 146896)

text: Av bifogad e-postkorrespondens till klagomålet framgår att klaganden kontaktade bolaget den 3 september 2019 för att invända mot direktmarknadsföring. Samma dag mottog klaganden e-post från bolaget med information om att avprenumerationen utförts. Den 7 september 2019 kontaktade klaganden bolaget på nytt via e-post och påtalade att hen fortfarande fick oönskad e-post. Klaganden fick svar från bolaget samma dag med instruktioner om att ändra inställningar under ”mina sidor” samt att använda avprenumerationslänken längst ned i bolagets marknadsföringsutskick. Klaganden svarade att hen redan vidtagit de föreslagna åtgärderna ett tiotal gånger. Klaganden har varit i kontakt med den italienska kundtjänsten via servizioclienti.it@hm.com.

text: Bolaget har i sitt svar anfört att det avslutade klagandens prenumeration från bolagets allmänna nyhetsbrev den 3 september 2019. Av misstag (och i strid med bolagets interna instruktioner) avregistrerades klaganden endast från det allmänna nyhetsbrevet och inte från det nyhetsbrev som är kopplat till kundklubben. Den 5 februari 2020 avslutades även nyhetsbrev kopplade till kundklubben och klaganden har därefter inte fått någon marknadsföring. Bolaget har medgett att det inte hanterat begäran i enlighet med sina rutiner men uppgett att misstaget inte kan inträffa igen eftersom det inte längre är tekniskt möjligt för kundtjänst att avregistrera en kund från endast en typ av nyhetsbrev.

text: Klagomål 4 (från Storbritannien med nationellt diarienummer: RFA0782737)

text: I klagomålet görs gällande att klaganden framställde sin invändning mot att få direktmarknadsföring genom att upprepade gånger använda avprenumerationslänken i utskicket av nyhetsbrevet, genom att ringa till kundtjänst samt genom att kontakta bolaget via e-post vid åtminstone två tillfällen. Klaganden har varit i kontakt med kundtjänsten via e-postadressen customerservice@arket.com. Till klagomålet har klaganden bifogat e-postkorrespondens med bolaget samt ett meddelande från bolaget den 26 juli 2018 om att ett avprenumerationsförsök misslyckats. Klaganden uppgav i sitt ursprungliga klagomål till den brittiska tillsynsmyndigheten att hen kontaktade H&M den 31 juli 2018. Klagandens har bifogat ett e-postmeddelande från Arkets kundtjänst från den 31 juli 2018 som innehåller instruktioner om vilka ytterligare åtgärder klaganden kan vidta för att invända mot direktmarknadsföring. Klaganden har även bifogat e-postkorrespondens från den 14, 15, 17 och 18 augusti 2018. Bolaget informerade klaganden den 18 augusti 2018 att kundtjänst skickat ärendet vidare till behörig avdelning och att det kunde ta 3-4 arbetsdagar innan klagandens begäran helt tillgodosetts. Klaganden har därefter fortsatt ta emot nyhetsbrev, bland annat den 2 september 2018 enligt en till klagomålet bifogad kopia på marknadsföringsutskick.

text: Bolaget har i sitt svar uppgett att det har begränsad information om ärendet. Av bolagets kundsystem framgår att klaganden tog emot nyhetsbrev fram till och med den 16 februari 2020. Bolaget har därefter inte skickat några nyhetsbrev till klaganden.

text: Klagomål 5 (från Storbritannien med nationellt diarienummer: RFA0768679)

text: I klagomålet görs gällande att klaganden framställde sin invändning mot att få direktmarknadsföring genom att använda avprenumerationslänken fem gånger utan framgång. Av klagomålet framgår inte ett exakt datum för när klaganden invände. Den klagande vände sig dock till den brittiska dataskyddsmyndigheten med ett klagomål och uppgav då att hen försökt avprenumerera från bolagets nyhetsbrev fem gånger under den förevarande fyraveckorsperioden. Klaganden bifogade också bolagets senaste marknadsföringsutskick som är daterat den 18 juli 2018.

text: Bolaget har i sitt svar uppgett att den brittiska dataskyddsmyndigheten (ICO) kontaktade bolaget angående detta ärende den 20 maj 2019. Samma dag avregistrerade bolaget klaganden från nyhetsbrevet. Klaganden har därefter inte mottagit några nyhetsbrev. Den 29 maj 2019 informerade ICO bolaget att klaganden erhållit information om att hens begäran är hanterad. Bolaget uppger slutligen att klagomålet tyder på att bolaget svarat klaganden vid flera tillfällen.

text: Klagomål 6 (från Polen med nationellt diarienummer: ZSPR.440.1662.2019)

text: I klagomålet görs gällande att klaganden framställde sin invändning mot att få direktmarknadsföring genom att många gånger använda avprenumerationslänken i utskicket av nyhetsbrevet, samt genom att minst två gånger kontakta bolaget via epost och genom att fylla i bolagets formulär via kontoinställningar, utan framgång. Klaganden har kontaktat den polska kundtjänsten via obslugaklienta.pl@hm.com. Bolaget informerade klaganden den 8 augusti 2019 att hen blivit avregistrerad från nyhetsbrev men att det kan ta upp till 30 dagar innan klagandens begäran

text: tillgodosetts. Klaganden har till klagomålet bifogat ett utdrag av ett nyhetsbrev som skickades till klagandens e-postadress den 15 september 2019.

text: Bolaget har i sitt svar uppgett att det saknar information om ärendet eftersom klaganden begärt att få samtliga personuppgifter raderade.

text: Vad H&M har uppgett om vidtagna åtgärder

text: Bolaget hanterar ett mycket stort antal prenumeranter årligen. Bolagets bedömning är att det endast i en liten del av de ärenden där en prenumerant ber om att avregistreras från vidare utskick uppstår någon form av problem.

text: I oktober 2019 tillsatte bolaget en särskild arbetsgrupp bestående av personer från olika verksamhetsområden och kompetenser, t.ex. inom IT-utveckling, dataskydd och marknadsföring. Syftet var att lägga ytterligare resurser och mer fokus på att effektivt kunna lösa situationer där ett fåtal avprenumerationer stött på hinder.

text: Under det kontinuerliga förvaltnings- och förbättringsarbete som bedrivs i dessa frågor har bolaget identifierat flera orsaker som åtgärdats genom:

text: • buggfixar kopplade till kundtjänstens manuella förändringar av en kunds prenumerationsstatus, • buggfixar kopplade till prenumerationsstatus hos en medlem/kontohavares kontoinställningar samt • justering av rutiner, arbetssätt och ytterligare utbildning av kundtjänstpersonal.

text: Bolaget uppger vidare att det är flera system som är involverade i utskicken av nyhetsbrev. För att ytterligare minska risken för konsekvenser av buggar i de tekniska systemen implementerade bolaget i maj 2020 en manuell rutin för att säkerställa att uppdateringen sker i samtliga system. Detta gjorde det möjligt att proaktivt korrigera prenumerationsstatusen i kommunicerande system och undvika felaktiga utskick av nyhetsbrev. Denna manuella rutin automatiserades i juli 2020.

text: Den 8 december 2020 implementerade bolaget en teknisk lösning som säkerställer att samtliga involverade system får uppdaterad information i samband med att en kund avprenumererar sig oavsett tidigare status.

text: Bolaget har också infört funktioner för systematisk flaggning när en prenumerant klickar på en avprenumerationslänk mer än en gång. Detta möjliggör att åtgärder kan vidtas för att utreda om det föreligger några problem med avprenumerationen.

text: Tidigare när en kund klickade på avprenumerations-länken sändes det en signal till ett av bolagens system som i sin tur kommunicerade med omkringliggande system. Sedan december 2020 sänds signalen direkt till det system som skickar ut nyhetsbreven. Enligt bolaget minskar det risken för att avprenumerationer inte går igenom.

text: Bolaget arbetar också med att implementera ett monitoreringssystem som ska kunna flagga om det uppstår några systematiska problem i samband med ett avprenumerationsärende.

text: Bolaget avser också att genomföra en översyn av prenumeranterna i bolagets kundklubb i syfte att säkerställa att samtliga prenumerationsstatusar är korrekta.

text: Motivering av beslutet

text: Tillämpliga bestämmelser

text: Enligt artikel 6 i dataskyddsförordningen krävs att den som behandlar personuppgifter har en rättslig grund för behandlingen, dvs. att åtminstone ett av villkoren i artikel 6.1 är uppfyllt.

text: Artikel 21 i dataskyddsförordningen föreskriver en rätt för den registrerade att göra invändningar mot behandling av personuppgifter som grundar sig på artikel 6.1 e eller 6.1 f i dataskyddsförordningen. Enligt artikel 21.2 ska den registrerade ha rätt att när som helst invända mot behandling av personuppgifter för direktmarknadsföringsändamål avseende honom eller henne. Av artikel 21.3 följer att om den registrerade invänder mot sådan behandling ska personuppgifterna inte längre behandlas för direktmarknadsföringsändamål.

text: Enligt artikel 12.3 i dataskyddsförordningen ska den personuppgiftsansvarige tillhandahålla den registrerade information om de åtgärder som vidtagits med anledning av en begäran enligt artikel 21 i dataskyddsförordningen utan onödigt dröjsmål och under alla omständigheter senast en månad efter att begäran mottagits. Tidsfristen om en månad får förlängas med ytterligare två månader om begäran är särskilt komplicerad eller antalet inkomna begäranden är högt.

text: Om tidsfristen om en månad förlängs, ska den personuppgiftsansvarige underrätta den registrerade om förlängningen. Underrättandet av förlängningen av tidsfristen ska ske inom en månad från det att begäran mottogs. Den personuppgiftsansvarige ska också ange orsakerna till förseningen.

text: Av artikel 12.2 i dataskyddsförordningen framgår att den personuppgiftsansvarige ska underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22.

text: Enligt skäl 59 till dataskyddsförordningen bör förfaranden fastställas som gör det lättare för registrerade att utöva sina rättigheter enligt denna förordning, inklusive mekanismer för att begära och i förekommande fall kostnadsfritt få tillgång till och erhålla rättelse eller radering av personuppgifter samt för att utöva rätten att göra invändningar. Den personuppgiftsansvarige bör också tillhandahålla hjälpmedel för elektroniskt ingivna framställningar, särskilt i fall då personuppgifter behandlas elektroniskt.

text: Integritetsskyddsmyndighetens bedömning

text: Har det skett en överträdelse av artikel 12.2 i dataskyddsförordningen?

text: IMY har att ta ställning till om H&M avseende de sex klagomålen i tillräcklig utsträckning underlättat för klagandena att utöva sin rätt till invändning i enlighet med dataskyddsförordningen. IMY utreder följaktligen inte bolagets nya rutiner som avser tiden efter att klagandenas begäranden redan hanterats av bolaget.

text: Enligt IMY följer det av artikel 12.2 och skäl 59 i dataskyddsförordningen att bolaget i detta fall haft en skyldighet att ha interna rutiner som gör att de registrerade kan utöva sina rättigheter på ett enkelt och ändamålsenligt sätt. Den skyldigheten förutsätter att den personuppgiftsansvarige regelbundet kontrollerar och säkerställer att de rutiner och system som används möjliggör för registrerade att enkelt kunna utöva sina rättigheter.

text: Bolaget har i sina yttranden till IMY redogjort för att det i systemet och i samband med hanteringen av klagandenas invändningar mot direktmarknadsföring varit möjligt att avprenumerera en registrerad från olika nyhetsbrev. Avseende klagomål 1-3 har bolaget kunnat konstatera att klagandena har avprenumererats från det allmänna nyhetsbrevet men däremot inte från det nyhetsbrev som varit kopplat till kundklubben. Avseende klagomål 4-6 saknar bolaget tillräcklig information. Bolaget har uppgett att det inte längre är möjligt för kundtjänst att endast avprenumerera på allmänna nyhetsbrev och att en motsvarade situation numera inte kan inträffa.

text: Vidare kan konstateras att klagandena i klagomål 2-6 uppgett att de ett flertal, i vissa fall upp till ett tiotal, gånger använt avprenumerationslänken som följer med nyhetsbrevet utan att nyhetsbreven upphört att komma. Det har rört sig om fem klagande, från tre olika länder, som vid upprepade tillfällen och utspritt i tid, använt sig av avprenumerationslänken utan att den fungerat. Bolaget har redogjort för ett flertal generella och omfattande tekniska åtgärder som vidtagits i syfte att minska risken för att avprenumerationer inte går igenom.

text: Klagandena i klagomål 1, 2, 3, 4 och 6 har, efter att ha konstaterat att länken för avprenumeration inte fungerat, kontaktat bolaget på olika sätt, bland annat med hjälp av formulär via kontoinställningar, via e-post samt genom kontaktformulär. Klagandena har vid olika tillfällen sammantaget under cirka ett års tid även kontaktat kundtjänsten i Italien, Polen och Storbritannien samt kundtjänsten för varumärket Arket utan att kundtjänsten på ett korrekt sätt kunnat uppfatta och hantera deras begäranden.

text: Mot bakgrund av att bolaget redan i juni 2018 uppmärksammats på brister avseende bland annat avprenumerationsfunktionen bedömer IMY att bolaget dröjt alltför länge (till oktober 2019) med att åtgärda de brister som förelegat.

text: Vid en bedömning av de omständigheter som anges ovan finner IMY att det med avseende på de sex klagomålen förelegat brister i den interna processen för hantering av invändningar enligt artikel 21.2 i dataskyddsförordningen som fått till följd att klagandena inte på ett enkelt sätt kunnat ta tillvara och utöva sina rättigheter enligt förordningen. Bolaget har därmed överträtt artikel 12.2 i dataskyddsförordningen.

text: Rätt att göra invändningar – har det skett en överträdelse av artiklarna 21.3, 12.3 och 6.1. dataskyddsförordningen?

text: Allmänna utgångspunkter

text: Om en registrerad invänder mot direktmarknadsföring enligt artikel 21.2 i dataskyddsförordningen ska, enligt artikel 21.3, personuppgifter inte längre behandlas för sådana ändamål. I enlighet med artikel 12.3 i dataskyddsförordningen ska den personuppgiftsansvarige, utan onödigt dröjsmål och senast inom en månad efter att begäran mottagits, vidta åtgärder med anledning av begäran samt lämna information om de vidtagna åtgärderna. En begäran om invändning mot direktmarknadsföring enligt artikel 21.3 som inte tillgodoses utan onödigt dröjsmål utgör därför en överträdelse av både artikel 21.3 och 12.3.

text: Efter en invändning är fortsatt behandling av den registrerades personuppgifter inte längre tillåten för direktmarknadsföringsändamål. IMY konstaterar att det mot bakgrund av detta förbud inte heller kan föreligga någon rättslig grund enligt artikel 6.1 i dataskyddsförordningen för sådan behandling. Fortsatt behandling för marknadsföringsändamål, efter det att en invändning enligt artikel 21.3 tagits emot och bort hanterats av den personuppgiftsansvarige, utgör därmed även en överträdelse av

text: artikel 6.1. För att avgöra när bolaget inte längre haft en rättslig grund för behandlingen måste det bedömas när en invändning senast borde ha hanterats.

text: Eftersom rätten att invända mot direktmarknadsföring enligt artikel 21.2 i dataskyddsförordningen är ovillkorlig finns det inget utrymme för individuell prövning av om en sådan invändning ska godtas. Hanteringen av invändningar mot direktmarknadsföring bör därför vara en rutinåtgärd för den personuppgiftsansvarige och ske skyndsamt.

text: I dataskyddsförordningen betonas vikten av att på ett korrekt sätt utvärdera och minska eventuella risker för enskildas rättigheter och friheter till följd av en behandling av personuppgifter. Ett exempel på en risk för enskilda är att marknadsföring kan ha till syfte att påverka registrerades val och köpvanor och det är därför av vikt att H&M som en stor aktör, har fungerande rutiner och processer på plats för att hantera registrerades begäranden om invändning skyndsamt.

text: H&M har ett automatiserat system som har till syfte att på ett enkelt sätt fånga upp en registrerads viljeyttring att invända mot direktmarknadsföring och också på ett enkelt och snabbt sätt kunna avbryta utskick för direktmarknadsföringsändamål. Samtliga klagandenas viljeyttringar att invända mot direktmarknadsföring har trots detta behövt framföras upprepade gånger. I klagomål 1, 2, 3, 4 och 6 har klagandenas invändningar dessutom behövt framföras genom olika kontaktvägar hos bolaget, antingen genom att använda H&M:s avprenumerationslänk eller genom att kontakta bolaget på olika sätt eller en kombination av dessa.

text: Det är särskilt angeläget från bolagets sida att agera snabbt vid indikationer på att klagandena inte kunnat utöva sin rätt till invändning eftersom att det skulle kunna innebära, och i de sex enskilda fallen har inneburit, att klaganden trots tidigare invändningar, tagit emot marknadsföringsutskick mot sin vilja.

text: Med beaktande av vad som ovan anförts bedömer IMY att den tid inom vilken bolaget borde ha agerat i dessa sex enskilda fall var mycket kort. Hur lång denna tid bör vara måste bedömas med hänsyn till omständigheterna i det enskilda fallet och kan variera exempelvis beroende på om avregistreringen sker automatiskt eller manuellt. Mot bakgrund av omständigheterna i det här ärendet bedömer IMY att två dagar var en rimlig tid för bolaget att hantera begäran om invändning i de sex aktuella fallen.

text: Utgångspunkt i respektive klagomål

text: Klaganden anger inte exakt vilket datum hen första gången invände mot direktmarknadsföring till bolaget genom att fylla i bolagets formulär via kontoinställningar. Klaganden har dock bifogat e-postkorrespondens med bolaget av vilken framgår att bolaget informerade klaganden den 8 april 2019 att hen inte skulle motta några fler nyhetsbrev.

text: Bolaget kan inte bekräfta datumet för klagandens invändning då kundtjänstens korrespondens med klaganden gallrats.

text: Av utredningen är det inte möjligt att fastslå exakt datum för när klaganden först invände mot direktmarknadsföring. Utredningen visar dock att klaganden i vart fall

text: invänt mot direktmarknadsföring den 5 april 2019 eftersom bolaget i sitt svar anfört att det avlutade klagandens prenumeration från bolagets allmänna nyhetsbrev den dagen.

text: Efter att klaganden invänt mot behandling av sina personuppgifter för direktmarknadsföringsändamål i vart fall den 5 april 2019 har bolaget fortsatt skicka nyhetsbrev till klaganden till och med den 2 augusti 2019.

text: I det aktuella fallet har utskicken av direktmarknadsföring därmed fortsatt i ytterligare närmare fyra månader efter klagandens invändning. IMY finner att bolaget borde ha hanterat klagandens begäran om invändning inom i vart fall två dagar. Bolaget har därför inte hanterat klagandens invändning utan onödigt dröjsmål och således agerat i strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen.

text: Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som skett därefter. IMY konstaterar mot denna bakgrund att bolaget från den 7 april 2019 fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med artikel 6.1 dataskyddsförordningen.

text: Klaganden anger inte exakt vilket datum hen första gången invände mot direktmarknadsföring till bolaget genom att använda avprenumerationslänken. Klaganden har dock bifogat e-postkorrespondens med bolaget från den 4 juli 2019 som visar att hen redan då hade försökt att använda avprenumerationslänken ett tiotal gånger.

text: Av utredningen är det inte möjligt att fastslå exakt datum för när klaganden först invände mot direktmarknadsföring. Utredningen visar dock att klaganden i vart fall invänt mot direktmarknadsföring den 4 juli 2019 eftersom bolaget i sitt svar anfört att det avslutat klagandens prenumeration från bolagets allmänna nyhetsbrev den dagen.

text: Efter att klaganden invänt mot behandling av sina personuppgifter för direktmarknadsföringsändamål i var fall den 4 juli 2019 har bolaget fortsatt skicka nyhetsbrev till klaganden till och med den 3 oktober 2019.

text: I det aktuella fallet har utskicken av direktmarknadsföring således fortsatt i ytterligare närmare tre månader efter klagandens invändning. IMY finner att bolaget borde ha hanterat klagandens begäran om invändning i vart fall inom två dagar. Bolaget har därför inte hanterat klagandens invändning utan onödigt dröjsmål och således agerat i strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen.

text: Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som skett därefter. IMY konstaterar mot denna bakgrund att bolaget från den 6 juli 2019 fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med artikel 6.1 dataskyddsförordningen.

text: Klaganden anger inte exakt vilket datum hen första gången invände mot direktmarknadsföring till bolaget genom att använda avprenumerationslänken. Klaganden har dock bifogat e-postkorrespondens med bolaget från den 3 september 2019 med en begäran om att invända mot direktmarknadsföring. Klaganden har också i efterföljande korrespondens anfört att hen redan använt avprenumerationslänken ett tiotal gånger.

text: Av utredningen är det inte möjligt att fastslå exakt datum för när klaganden först invände mot direktmarknadsföring. Utredningen visar dock att klaganden i vart fall invänt mot direktmarknadsföring den 3 september 2019 då klaganden kontaktade bolaget via e-post.

text: Efter att klaganden invänt mot behandling av dennes personuppgifter för direktmarknadsföringsändamål i vart fall den 3 september 2019 har bolaget fortsatt skicka nyhetsbrev till klaganden till och med den 5 februari 2020.

text: I det aktuella fallet har utskicken av direktmarknadsföring följaktligen fortsatt i ytterligare fem månader efter klagandens invändning. IMY finner att bolaget borde ha hanterat klagandens begäran om invändning i vart fall inom två dagar. Bolaget har därför inte hanterat klagandens invändning utan onödigt dröjsmål och således agerat i strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen.

text: Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som skett därefter. IMY konstaterar mot denna bakgrund att bolaget från den 5 september 2019 fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med artikel 6.1 dataskyddsförordningen.

text: Klaganden anger inte exakt vilket datum hen första gången invände mot direktmarknadsföring till bolaget genom att använda avprenumerationslänken. Klaganden har dock bifogat en kopia på ett meddelande till bolaget om att ett avprenumerationsförsök misslyckats den 26 juli 2019 samt e-postkorrespondens med bolaget från den 31 juli 2019 av vilken framgår att bolaget ger ytterligare instruktioner för vad som kan göras när avprenumerationslänken inte fungerar.

text: Av utredningen är det inte möjligt att fastslå exakt datum för när klaganden först invände mot direktmarknadsföring. Utredningen visar dock att klaganden i vart fall invänt mot direktmarknadsföring den 31 juli 2018 då bolaget gett klaganden ytterligare instruktioner avseende avprenumerationen.

text: Efter att klaganden invänt mot behandling av dennes personuppgifter för direktmarknadsföringsändamål i vart fall den 31 juli 2018 har bolaget fortsatt skicka nyhetsbrev till klaganden till och med den 16 februari 2020.

text: I det aktuella fallet har utskicken av direktmarknadsföring därmed fortsatt i ytterligare 18 månader efter klagandens invändning. IMY finner att bolaget borde ha hanterat klagandens begäran om invändning i vart fall inom två dagar. Bolaget har därför inte hanterat klagandens invändning utan onödigt dröjsmål och således agerat i strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen.

text: Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som skett därefter. IMY konstaterar mot denna bakgrund att bolaget från den 2 augusti 2018 fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med artikel 6.1 dataskyddsförordningen.

text: I sitt klagomål till ICO bifogade klaganden en kopia på det marknadsföringsutskick som hen mottagit från H&M den 18 juli 2018 och den klagande uppger att det var det senast mottagna utskicket. I klagomålet uppges också att den klagande under de fyra förevarande veckorna, innan klagomålet lämnades in, försökt avprenumerera från bolagets marknadsföringsutskick utan framgång. Det framgår inte av klagomålet när klaganden första gången invände mot direktmarknadsföring.

text: Bolaget har uppgett att de tagit emot klagandens invändningar men kan inte bekräfta datumet för när invändningarna gjordes. Bolaget noterar att klagomålet tyder på att bolaget svarat klaganden vid ett flertal gånger.

text: IMY bedömer att utredningen inte visat annat än att den klagande i vart fall under juli 2018, när hen lämnade in ett klagomål till den brittiska dataskyddsmyndigheten, har invänt mot bolagets direktmarknadsföring. Bedömningen görs särskilt mot bakgrund av de brister avseende uppdelning av nyhetsbrev som förelåg vid tiden för klagomålet och att klaganden anfört att hen försökt invända under en fyraveckorsperiod samt att bolaget uppgett att de tagit emot klagandens invändning. Den 20 maj 2019 avprenumererades klaganden från bolagets nyhetsbrev.

text: I det aktuella fallet har utskicken av direktmarknadsföring således fortsatt i ytterligare 9 månader efter klagandens invändning. IMY finner att bolaget borde ha hanterat klagandens begäran om invändning i vart fall inom två dagar. Bolaget har därför inte hanterat klagandens invändning utan onödigt dröjsmål och således agerat i strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen.

text: Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som skett därefter. IMY konstaterar mot denna bakgrund att bolaget från augusti 2018 fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med artikel 6.1 i dataskyddsförordningen.

text: Klaganden anger inte exakt vilket datum hen första gången invände mot direktmarknadsföring till bolaget genom att använda avprenumerationslänken. Klaganden har dock bifogat e-postkorrespondens med bolaget från den 8 augusti 2019. Av korrespondensen framgår att klaganden erhåller nyhetsbrev trots att klaganden använt avprenumerationslänken många gånger.

text: Av utredningen är det inte möjligt att fastslå exakt datum för när klaganden först invände mot direktmarknadsföring. Däremot visar underlaget att klaganden i vart fall invänt mot direktmarknadsföring den 8 augusti 2019 då klaganden mejlat bolaget.

text: Bolaget har uppgett att det saknar information om det aktuella klagomålet. Den klagande har dock till sitt klagomål bifogat en kopia på det utskick av direktmarknadsföring som hen erhöll den 15 september 2019. E-postutskicket är adresserat till den e-postadress som klaganden använder i såväl korrespondens med bolaget som med den polska dataskyddsmyndigheten. Det har inte framkommit omständigheter som föranleder IMY att ifrågasätta klagandens inlämnade underlag. Den klagande invände mot direktmarknadsföring i vart fall den 8 augusti 2019 och IMY:s bedömning är att bolaget har skickat nyhetsbrev till klaganden till och med den 15 september 2019. Bolaget har inte heller kunnat visa att de informerat klaganden om förseningen eller att förseningen skulle vara berättigad.

text: I det aktuella fallet har utskicken av direktmarknadsföring följaktligen fortsatt i ytterligare en månad och en vecka efter klagandens invändning. IMY finner att bolaget borde ha hanterat klagandens begäran om invändning i vart fall inom två dagar. Bolaget har därför inte hanterat klagandens invändning utan onödigt dröjsmål och således agerat i strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen.

text: Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som skett därefter. IMY konstaterar mot denna bakgrund att bolaget från den 10 augusti 2019 fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med artikel 6.1 dataskyddsförordningen.

text: Val av ingripande

text: Tillämpliga bestämmelser

text: Av artiklarna 58.2 i och 83.2 dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 till dataskyddsförordningen i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen. I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras och vid bedömningen av sanktionsavgiftens storlek.

text: Vid bedömningen av storleken på sanktionsavgiften ska bland annat hänsyn tas till artikel 83.2 a (överträdelsens karaktär, svårighetsgrad och varaktighet), c (de åtgärder som den personuppgiftsansvarige har vidtagit) och k (annan försvårande eller förmildrande faktor till exempel direkt eller indirekt ekonomisk vinst).

text: EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer för beräkning av sanktionsavgifter.

text: Enligt artikel 83.5 i dataskyddsförordningen kan vid överträdelser av artiklarna 6, 12 och 21 i dataskyddsförordningen administrativa sanktionsavgifter påföras på upp till 20 000 000 EUR eller, om det gäller företag, på upp till 4 procent av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst. Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag ska den definition av begreppet företag användas som EU-domstolen använder vid tillämpning av artiklarna

text: och

text: i EUF-fördraget (se skäl 150 i dataskyddsförordningen). Av domstolens praxis framgår att detta omfattar varje enhet som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering samt även om enheten i juridisk mening består av flera fysiska eller juridiska personer.

text: Sanktionsavgift

text: IMY har ovan bedömt att bolaget genom att fortsätta med direktmarknadsföringsutskick efter att de klagande invänt mot att deras personuppgifter behandlas för sådana ändamål har överträtt artiklarna 6.1, 12.2, 12.3 och 21.3 i dataskyddsförordningen.

text: Mot bakgrund av att bolaget, i sex från varandra skilda fall, brustit i att på ett korrekt sätt hantera klagandens begäranden om invändning mot direktmarknadsföring samt att bolaget därtill fortsatt att behandla klagandenas personuppgifter för direktmarknadsföring i upp till 18 månader är det inte fråga om mindre överträdelser. IMY finner därmed inte att en reprimand är tillräcklig. Bolaget ska därför påföras en administrativ sanktionsavgift.

text: Samma eller sammankopplade uppgiftsbehandlingar

text: IMY har ovan konstaterat att bolaget avseende de sex klagomålen har agerat i strid med flera olika artiklar i dataskyddsförordningen. Överträdelserna har dock inneburit ett och samma agerande rörande respektive klagomål och utgör därmed endast en överträdelse per klagomål. Överträdelserna gällande de sex klagomålen i detta ärende är samtliga ett resultat av bolagets oförmåga att hantera klagandenas invändningar mot direktmarknadsföring på ett korrekt sätt. Bolagets agerande med anledning av de sex invändningarna som klagomålen rör, är därför att se som sex sammankopplade personuppgiftsbehandlingar. IMY bedömer således att de aktuella överträdelserna utgör sex stycken sammankopplade uppgiftsbehandlingar enligt artikel 83.3 i dataskyddsförordningen.

text: Bestämmande av sanktionsavgift

text: IMY bedömer att det företags omsättning som ska läggas till grund för beräkning av de administrativa sanktionsavgifter som bolaget kan åläggas är bolagets moderbolag H&M Hennes & Mauritz AB (556042-7220). Av H&M Hennes & Mauritz AB:s årsredovisning för år 2022 framgår att årsomsättningen år 2022 var ca 223 553 000 000 kronor. Eftersom IMY har konstaterat överträdelser av artikel 6.1 12 2, 12.3 och 21 så är det högsta sanktionsbelopp som kan fastställas i ärendet enligt

text: artikel 83.5 i dataskyddsförordningen fyra procent av detta belopp, det vill säga 8 942 120 000 kronor.

text: Vid bedömning av överträdelsernas allvarlighetsgrad har IMY beaktat följande omständigheter. Rätten till invändning är en central rättighet enligt dataskyddsförordningen och det ställs höga krav på personuppgiftsansvariga att införa system, processer och rutiner för att löpande kunna tillgodose registrerades rätt att invända på ett lämpligt sätt och i rätt tid. IMY noterar att överträdelsernas varaktighet varit lång, bolaget har uppmärksammats på bristerna från flera fristående klagande under perioden juni 2018 till september 2019. Bristen har berört registrerade i tre olika länder. Bolaget borde ha agerat avseende den påstådda bristen redan när det uppmärksammades på den i samband med det första klagomålet.

text: IMY kan dock konstatera att bolaget i samband med klagandenas invändningar har vidtagit åtgärder, om än otillräckliga, i syfte att avbryta utskick av det allmänna nyhetsbrevet. Överträdelserna har inte heller avsett känsliga personuppgifter och överträdelserna har konstaterats drabbat sex klagande. Två av klagomålen är dessutom hänförliga till en period i nära anslutning till dataskyddsförordningens ikraftträdande. IMY noterar också att bolaget årligen hanterar ett mycket stort antal prenumeranter och att det enligt bolagets egen uppgift endast i en liten del av dessa uppstår fel. Överträdelsernas karaktär har inneburit begränsade negativa effekter för de registrerade.

text: IMY bedömer mot bakgrund av ovanstående omständigheter att det sammantaget rör sig om överträdelser av låg allvarlighetsgrad. Utgångspunkten för beräkningen av sanktionsavgiften bör därför sättas lågt i förhållande till det aktuella maxbeloppet. Utöver bedömningen av överträdelsernas allvar ska IMY bedöma om det föreligger några försvårande eller förmildrande omständigheter som får betydelse för sanktionsavgiftens storlek.

text: IMY bedömer att det saknas ytterligare försvårande omständigheter, utöver de som beaktas vid bedömningen av allvarlighetsgraden ovan, som påverkar sanktionsavgiftens storlek. Som förmildrande omständighet lägger IMY särskild vikt vid att bolaget tillsatte en särskild arbetsgrupp i oktober 2019 i syfte att lägga ytterligare resurser och mer fokus på att effektivt kunna lösa situationer där avprenumerationer stötte på hinder. Arbetet har resulterat i att samtliga identifierade orsaker har åtgärdats genom bl.a. buggfixar, justering av rutiner, arbetssätt och utbildning av kundtjänstmedarbetare på bolaget. Eftersom det är ett flertal system som är involverade i utskick av nyhetsbrev implementerades även en manuell rutin i maj 2020 för att ytterligare minska risken för konsekvenser av buggar i de tekniska systemen och säkerställa att uppdateringen sker i samtliga system. Den manuella rutinen automatiserades i juli 2020.

text: Mot bakgrund av överträdelsernas karaktär och allvar, försvårande och förmildrande omständigheter samt det faktum att beslutet avser bolagets agerande i sex enskilda fall bestämmer IMY den administrativa sanktionsavgiften för H&M Hennes & Mauritz GBC AB till 350 000 kronor. IMY bedömer att detta belopp är effektivt, proportionerligt och avskräckande i det nu aktuella fallet.

text: Detta beslut har fattats av enhetschefen Albin Brunskog efter föredragning av juristen Johanna Rydh. Vid den slutliga handläggningen har även rättschefen David Törngren medverkat.

text: Albin Brunskog, 2023-10-17 (Det här är en elektronisk signatur)

text: Kopia till

text: Dataskyddsombudet

text: Hur man överklagar


text: CDON AB Södergatan 22, 6 tr, 211 34 Malmö

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: Sedan den 22 januari 2021 samlar CDON endast in födelsenummer (om den registrerade väljer att komplettera med den uppgiften i säkerhetsfråga 1) och inte det fulla personnumret (dnr DI-2020-10549-18 s.2). 3 Se EU-domstolens dom Valsts ieņēmumu dienests,

text: , EU:C:2022:124, punkt 50, med där angiven rättspraxis.

text: Se EU-domstolens dom Valsts ieņēmumu dienests,

text: , EU:C:2022:124, punkt 77 och 81. 5 Guidelines 01/2022 on data subject rights - Right of access Version 2.0 Adopted on 28 March 2023 (EDPB:s

text: Riktlinjer 01/2022

text: om rätten till tillgång). 6 EDPB: s

text: Riktlinjer 01/2022

text: , punkt 70, IMY:s översättning; original: ”As indicated above, if the controller has reasonable grounds for doubting the identity of the requesting person, it may request additional information to confirm the data subject’s identity. However, the controller must at the same time ensure that it does not collect more personal data than is necessary to enable authentication of the requesting person. Therefore, the controller shall carry out a proportionality assessment, which must take into account the type of personal data being processed (e.g. special categories of data or not), the nature of the request, the context within which the request is being made, as well as any damage that could result from improper disclosure. When assessing proportionality, it should be remembered to avoid excessive data collection while ensuring an adequate level of processing security.“

text: EDPB:s

text: Riktlinjer 01/2022

text: ,punkt 71, IMY:s översättning, original; “The controller should implement an authentication procedure in order to be certain of the identity of the persons requesting access to their data , and ensure security of the processing throughout the process of handling an access requests in accordance with Art. 32 GDPR, including for instance a secure channel for the data subjects to provide additional information. The method used for authentication should be relevant, appropriate, proportionate and respect the data minimisation principle. If the controller imposes measures aimed at authentifying the data subject which are burdensome, it needs to adequately justify this and ensure compliance with all fundamental principles, including data minimisation and the obligation to facilitate the exercise of data subjects’ rights (Art. 12(2) GDPR).

text: EDPB:s

text: Riktlinjer 01/2022

text: , General considerations on the assessment of the data subject’s request, sid.2-3.

sprak: sv

titel: Beslut

korrigerandeAtgard: Reprimand

lagrum: Artiklarna 5.1 c, 12.2 och 12.6 i dataskyddsförordningen, GDPR

nyckelord: Uppgiftsminimering, Underlätta utövandet, Rimliga skäl att betvivla identitet

rubrik: Proportionalitetsbedömning vid insamling av uppgifter i samband med begäran om radering

sammanfattning: CDON AB har haft en rutin för hanteringen av kunders begäran om radering som inneburit att de i identifieringssyfte begärt in många personuppgifter. Bolaget har inte kunnat visa att det har varit nödvändigt att begära in uppgifterna. Bolaget har genom sin hantering inte underlättat utövandet av kundernas rätt till radering. Den personuppgiftsansvarige får, i identifieringssyfte, begära in ytterligare information som är nödvändig om det finns rimliga skäl att tvivla på identiteten hos den registrerade. En proportionalitetsbedömning ska göras för att avgöra vilka uppgifter som är lämpliga att begära in. IMY har bedömt att den rutin som bolaget använder för identifiering vid begäran om radering inte är oproportionerlig. Bolaget har förändrat rutinen under tillsynens gång. En förutsättning är dock att bolaget endast begär in ytterligare uppgifter när det finns anledning att tvivla på kundens identitet, och då endast uppgifter som är nödvändiga för att identifiera kunden. Läs tillsynsbeslutet

publisher: Integritetsskyddsmyndigheten

slug: cdon-ab

title: CDON AB

org: imy

sammanfattning: IMY ger CDON AB en reprimand enligt artikel 58.2 b i dataskyddsförordningen för överträdelse av artiklarna 5.1 c, 12.6 och 12.2 i dataskyddsförordningen.

text: DI-2020-10549 Beslut efter tillsyn enligt

type: stycke

text: dataskyddsförordningen – CDON AB

type: rubrik

text: Integritetsskyddsmyndigheten beslut

text: Integritetsskyddsmyndigheten konstaterar att CDON AB har behandlat personuppgifter i strid med:

text: • artiklarna 5.1 c och 12.6 i dataskyddsförordningen genom att ha begärt in ytterligare information av klagandena i klagomål 1–3 och 6-7 när de begärt att få sina personuppgifter raderade, utan att behandlingen varit nödvändig för att bekräfta klagandenas identitet.

text: • artikel 12.2 i dataskyddsförordningen genom att använda sig av en betungande verifieringsmetod gentemot klagandena i klagomål 1–3 och 6-7. Bolaget har därmed inte i tillräcklig mån underlättat för klagandena att utöva sin rätt till radering enligt artikel 17 i dataskyddsförordningen.

text: Redogörelse för tillsynsärendet

text: Handläggningen

text: IMY har inlett tillsyn beträffande CDON AB (CDON eller bolaget) med anledning av sju klagomål. Klagomålen har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 i dataskyddsförordningen. Överlämningen har skett från tillsynsmyndigheten i de länder där klagandena har lämnat in sina klagomål (Finland och Danmark) i enlighet med förordningens bestämmelser om samarbete vid gränsöverskridande behandling.

text: Handläggningen vid IMY har skett genom skriftväxling. Mot bakgrund av att det gäller klagomål rörande gränsöverskridande behandling har IMY använt sig av de

text: mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Danmark, Norge och Finland.

text: Klagomålen

text: Sammanfattning av klagomålen

text: Sammanfattningsvis framgår följande av klagomålen. Klagandena har begärt att deras personuppgifter ska raderas. Bolaget har svarat att en begäran endast kan hanteras om den enskilde inkommer med uppgift om födelsedatum, adress, kundnummer, information om senaste inköp såsom ordernummer och information om betalsätt inklusive de fyra sista siffrorna i kreditkortsnumret vid kortbetalning. Flera av de klagande menar att deras inköp ligger så långt tillbaka i tiden att de inte kunnat återfinna alla de efterfrågade uppgifterna. Klagandena ifrågasätter att samtliga av de efterfrågade uppgifterna är nödvändiga för att bekräfta deras identitet och hantera deras begäranden.

text: Vad klaganden och CDON har uppgett i respektive klagomål

text: Klagomål 1 (Finland med nationellt diarienummer 2529/182/2018) Klaganden har den 28 maj 2018 inkommit med en begäran om radering av sina personuppgifter. Bolaget har svarat att en begäran endast kan hanteras om den klaganden inkommer med födelsedatum, adress, kundnummer, ordernummer och beroende på betalningsmetod för senaste beställningen följande uppgift:

text: • om faktura: pris och referensnummer • om kortbetalning: de fyra sista siffrorna i kreditkortsnumret • om direktbetalning: referensnummer och kvitto

text: Klaganden uppger sammanfattningsvis att hon inte kan komma ihåg eller återfinna de av bolaget begärda uppgifterna eftersom beställningen gjordes för 5–10 år sedan.

text: Klagomål 2 (Finland med nationellt diarienummer 2537/154/2018) Klaganden har den 25 maj 2018 inkommit med en begäran om radering av sina kunduppgifter. Bolaget har svarat att det kräver uppgift om födelsedatum, kundnummer, ordernummer och betalningsmetod för den senaste beställningen. Klaganden anser att det är orimligt att behöva svara på dessa frågor för att kunna tillvarata sina rättigheter. Klaganden har inte kvar de av bolaget begärda uppgifterna och har använt den e-post vid begäran om radering som var kopplad till klagandens kundkonto.

text: Klagomål 3 (Finland med nationellt diarienummer 2648/182/2018) Klaganden har den 31 maj 2018 kontaktat den finska dataskyddsmyndigheten efter att ha begärt tillgång till och radering av sina uppgifter hos bolaget. Bolaget har den 29 maj 2018 som svar på klagandens begäran angett att för att kunna verifiera klaganden som kund behövs av säkerhetsskäl uppgift om klagandens adress, kundnummer, ordernummer från senaste beställningen och beroende på betalningsmetod för den senaste beställningen följande uppgift:

text: Klaganden anför att det var länge sedan klaganden köpte något från bolaget och att klaganden inte har kvar de uppgifter som bolaget kräver. Vidare uppges att bolaget inte verkar radera uppgifterna utan att få svar på sina detaljerade frågor vid en begäran om radering.

text: Klagomål 4 (Finland med nationellt diarienummer 2664/182/2018) Klaganden har den 31 maj 2018 vänt sig till den finska dataskyddsmyndigheten efter att ha begärt radering hos bolaget. Det var 5–10 år sedan klaganden beställde något från bolaget. För att få sina uppgifter raderade behöver klaganden tillhandahålla uppgifter från sitt köp som genomfördes för flera år sedan. Klaganden behöver även uppge personuppgifter som inte tidigare behövts för att genomföra ett köp. Bolaget har i sitt svar till klaganden informerat om att det finns en rätt att få tillgång till och att radera personuppgifter men att bolaget har rätt att bevara vissa personuppgifter för bokföringsändamål. För att tillmötesgå en begäran behöver bolaget av säkerhetsskäl få uppgift om klagandens födelsedatum, adress, kundnummer, ordernummer från senaste beställningen och beroende på betalningsmetod för den senaste beställningen följande uppgift:

text: Bolaget har uppgett att de inte kan verifiera vilket datum klagomålet inkom till bolaget eller vilket datum bolaget begärde kompletterande uppgifter från den klagande. Eftersom klaganden inte varit aktiv kund hos CDON under de två till fem senaste åren bekräftar CDON även att klagandenas personuppgifter gallrats från CDON:s system och att inga uppgifter om klaganden finns kvar.

text: Klagomål 5 (Finland med nationellt diarienummer 2478/153/2018) Klaganden har kontaktat den finska dataskyddsmyndigheten efter att ha begärt radering av sina uppgifter hos bolaget. Bolaget har informerat klaganden om att det finns en rätt att få tillgång till och att radera personuppgifter men att bolaget har rätt att bevara vissa personuppgifter för bokföringsändamål. För att tillmötesgå en begäran behöver bolaget av säkerhetsskäl få uppgift om klagandens födelsedatum, adress, kundnummer, ordernummer från senaste beställningen och beroende på betalningsmetod för den senaste beställningen följande uppgift:

text: Klaganden kommer inte ihåg när en beställning gjordes från bolaget och hur köpet betalades. Det är över ett år sedan något beställdes.

text: Klagomål 6 (Finland med nationellt diarienummer 2814/154/2018) Klaganden har vänt sig med ett klagomål till den finska dataskyddsmyndigheten efter en begäran om radering hos bolaget den 21 maj 2018. Klaganden uppger att bolaget gör det svårt att utöva rätten till radering genom att efterfråga information som man inte ska behöva spara som kund. Processen bidrar till att det tar lång tid att få personuppgifter raderade. Bolaget har i sitt svar till klaganden den 29 maj 2018 krävt information om födelsedatum, adress, kundnummer samt ett av följande:

text: • ordernummer från senaste beställningen, • beroende på betalningsmetod för den senaste beställningen följande uppgift: o om faktura: pris och referensnummer o om kortbetalning: de fyra sista siffrorna i kreditkortsnumret o om direktbetalning: referensnummer och kvitto

text: Klagomål 7 (Danmark med nationellt diarienummer 2018-31-0638) Klaganden uppger sig ha försökt radera sitt kundkonto online på cdon.dk genom att använda sig av en hyperlänk http://cdon.dk/. Bolaget har svarat klaganden den 29 maj 2018 och krävt information om födelsedatum, adress, kundnummer, ordernummer från senaste beställningen och betalningsmetod för den senaste beställningen inklusive de fyra sista siffrorna i kreditkortsnumret. Klaganden uppger bl.a. att bolaget kräver fler uppgifter vid utövandet av rätten till radering än vid skapandet av kundkontot. Klaganden har använt samma e-postadress vid begäran om radering som vid skapandet av kundkontot hos bolaget.

text: Vad CDON AB har uppgett i övrigt

text: CDON AB har i huvudsak uppgett följande.

text: Klagomålen

text: Av de inkomna klagomålen har CDON kunnat identifiera sex av sju klaganden mot upplysningar i sina system. Vad gäller dessa sex klagande konstaterar CDON att de är personuppgiftsansvarig för den behandling av personuppgifter som klagomålen avser. Vad avser det sjunde klagomålet (2478/153/2018) har bolaget uppgett att klaganden inte kunnat identifieras men att det är möjligt att den klagande har haft en kundrelation med CDON under en annan e-postadress än den som angivits i det klagomål som sänts till tillsynsmyndigheten.

text: I samband med att klagandena har begärt radering har de till CDON inkommit med namn och e-postadress. CDON har dock bedömt att endast dessa två uppgifter inte är tillräckliga för att säkerställa klagandenas identitet. CDON har, med stöd av artikel 12.6 i dataskyddsförordningen, därför begärt kompletterande uppgifter från samtliga klagande. Utöver namn och e-postadress har CDON begärt följande uppgifter för att säkerställa klagandenas identitet: • födelsedatum, • folkbokföringsadress, • kundnummer, • ordernummer för senaste order, och • betalsätt vid senaste order.

text: Därutöver har klagandena behövt lämna följande information om betalsätt:

text: • vid fakturaköp: pris samt referensnummer, • vid kortbetalning: kortets fyra sista siffror, • vid direktbetalning: referens- eller fakturanummer.

text: Befintliga rutiner

text: CDON ser i sammanhanget mycket allvarligt på de klagomål som inkommit gällande svårigheter för registrerade att utöva sina rättigheter enligt dataskyddsförordningen och har löpande arbetat med att förbättra sina rutiner för identifiering vid begäran om registerutdrag eller radering. Sedan 2018, då klagomålen inkom, har identifieringsprocessen granskats och förtydligats. Under årens gång har CDON arbetat för att förbättra hanteringen och säkerställa en enkel och säker process vid

text: förfrågningar om radering. Kunder som vill begära radering eller tillgång hänvisas till att kontakta bolaget på kunddata@cdon.com. I samband med att en registrerad kontaktar bolaget med en begäran om radering meddelar bolaget den registrerade att den registrerades e-post inom kort kommer att avregistreras från CDON:s nyhetsbrev (om sådan prenumeration är aktiverad). För att få sitt konto raderat efterfrågar i dagsläget CDON att kunden besvarar två säkerhetsfrågor (en vardera från kategori 1 respektive 2) för att CDON ska kunna säkerställa att den person som hör av sig är rätt registrerad. De registrerade får välja att besvara en fråga från respektive säkerhetskategori av frågor som CDON tillhandahåller. Detta innebär att de registrerade behöver besvara endast en av följande säkerhetsfrågor i kategori 1. Enligt kontrollfrågorna i kategori 1 ska kunder uppge födelsedatum , folkbokföringsadress eller kundnummer hos CDON.com. Därefter behöver de registrerade besvara endast en av följande säkerhetsfrågor i kategori 2. Kontrollfrågorna i kategori 2 är kopplade till senaste ordern där kunden antingen uppger ordernummer eller beroende på betalsätt anger en av följande uppgifter: vid faktura; summa samt OCR-nummer, vid kortbetalning: de fyra sista siffrorna på kortet och vid direktbetalning; transaktions-id eller faktura-id.

text: För det fall en kund inte vill eller kan besvara de säkerhetsfrågor som efterfrågas erbjuds den registrerade också möjligheten att kontakta kundtjänst för uppföljning och utredning av alternativa säkerhetsfrågor för att försöka hitta ett annat sätt att verifiera kundens identitet. CDON anser att det är nödvändigt med minst två ytterligare upplysningar utöver namn och e-postadress från kunder enligt bolagets nya rutin för att med tillräcklig säkerhet kunna verifiera att det är rätt person som framställer en begäran. CDON:s rutin för identifiering och verifiering av den registrerade innebär inte att ny information samlas in om den registrerade. CDON begär endast att få två olika uppgifter verifierade mot de uppgifter som CDON redan behandlar om den registrerade med laglig grund för att kunna verifiera den registrerades identitet.

text: Bolagets gallringsrutiner

text: CDON har redogjort för att de har en rutin för gallring av mejl och en annan rutin för gallring av personuppgifter. CDON:s rutin för gallring av mejl innebär att samtliga mejl inkomna till CDON:s kunddata-box dvs. kunddata@cdon.com, dit kunder blir hänvisade om de har önskemål om radering eller registerutdrag, gallras och raderas efter 14 månader från det datum då mejlen inkom till CDON. Gallring av kundprofiler på CDON sker för närvarande baserat på konsumenträttsliga förpliktelser i olika länder till exempel efter tre år i Sverige. CDON bekräftar därmed att samtliga klagandes personuppgifter raderats hos CDON.

text: Motivering av beslut

text: Tillämpliga bestämmelser

text: För att personuppgiftbehandling ska vara förenlig med dataskyddsförordningen krävs bland annat att behandlingen uppfyller kraven gällande de principer om behandling av personuppgifter som anges i artikel 5 i dataskyddsförordningen, bland annat principen om uppgiftsminimering (artikel 5.1 c) och principen om ansvarsskyldighet (artikel 5.2).

text: Enligt artikel 5.1 c i dataskyddsförordningen ska personuppgifterna vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (principen om uppgiftsminimering).

text: I enlighet med den ansvarsprincip som stadgas i artikel 5.2 i dataskyddsförordningen måste den personuppgiftsansvarige kunna visa att punkt 1 i denna artikel efterlevs, dvs. har bevisbördan för detta.

text: Enligt artikel 11.2 i dataskyddsförordningen gäller att om den personuppgiftsansvarige, i de fall som avses i punkt 1 i denna artikel, kan visa att denne inte är i stånd att identifiera den registrerade, ska den personuppgiftsansvarige om möjligt informera den registrerade om detta. I sådana fall ska artiklarna 15–20 inte gälla, förutom när den registrerade för utövande av sina rättigheter i enlighet med dessa artiklar tillhandahåller ytterligare information som gör identifieringen möjlig.

text: Enligt artikel 12.2 i dataskyddsförordningen ska den personuppgiftsansvarige underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22. I de fall som avses i artikel 11.2 i dataskyddsförordningen får den personuppgiftsansvarige inte vägra att tillmötesgå den registrerades begäran om att utöva sina rättigheter enligt artiklarna 15–22, om inte den personuppgiftsansvarige visar att han eller hon inte är i stånd att identifiera den registrerade.

text: I artikel 12.6 i dataskyddsförordningen anges att utan att det påverkar tillämpningen av artikel 11 i dataskyddsförordningen får den personuppgiftsansvarige, om denne har rimliga skäl att betvivla identiteten hos den fysiska person som lämnar in en begäran enligt artiklarna 15–21, begära att ytterligare information som är nödvändig för att bekräfta den registrerades identitet tillhandahålls. I Europeiska dataskyddsstyrelsens (EDPB)

text: riktlinjer 01/2022

text: om rätten till tillgång framgår följande.

text: Om den personuppgiftsansvarige har rimliga skäl att tvivla på den begärande personens identitet får denne, såsom anges ovan, begära ytterligare information för att bekräfta den registrerades identitet. Den personuppgiftsansvarige måste dock samtidigt se till att den inte samlar in fler personuppgifter än vad som är nödvändigt för att möjliggöra identifiering av den begärande personen. Därför ska den personuppgiftsansvarige göra en proportionalitetsbedömning, som måste ta hänsyn till den typ av personuppgifter som behandlas (t.ex. särskilda kategorier av uppgifter eller inte), begärans art, det sammanhang i vilket begäran görs samt eventuell skada som kan uppstå till följd av otillbörligt utlämnande. Vid bedömningen av proportionaliteten bör överdriven uppgiftsinsamling undvikas samtidigt som en lämplig nivå av säkerhet vid behandling ska säkerställas.

text: Den personuppgiftsansvarige bör införa ett autentiseringsförfarande (kontroll av den registrerades identitet) för att vara säker på identiteten på de personer som begär tillgång till sina uppgifter, och säkerställa säkerheten vid behandlingen av en

text: begäran om tillgång i enlighet med artikel 32, till exempel en säker kanal för de registrerade att tillhandahålla ytterligare information. Den metod som används för autentisering bör vara relevant, lämplig, proportionerlig och respektera principen om uppgiftsminimering. Om den personuppgiftsansvarige inför åtgärder som syftar till att identifiera den registrerade som är betungande måste den på lämpligt sätt motivera detta och säkerställa efterlevnad av alla grundläggande principer, inbegripet uppgiftsminimering och skyldigheten att underlätta utövandet av de registrerades rättigheter (artikel 12.2 i dataskyddsförordningen).

text: Integritetsskyddsmyndigheten bedömning

text: Klagomålen

text: IMY ska enligt artikel 57.1 f i dataskyddsförordningen behandla klagomål och där så är lämpligt undersöka den sakfråga klagomålet gäller. Ärendet omfattar sju klagomål. IMY har begärt att CDON ska yttra sig över vilka uppgifter bolaget har begärt, nödvändigheten av varje enskild uppgift, datum för när begäran om radering mottogs i respektive klagomål, datum för när bolaget begärde kompletterande uppgifter för att bekräfta identiteten i respektive klagomål samt om klagandena kontaktat bolaget efter 25 maj 2018.

text: Av klagomål 4 (Finland med nationellt diarienummer 2664/182/2018) samt 5 (Finland med nationellt diarienummer 2478/153/2018) framgår inget datum för när klagandena gjort en begäran om radering hos bolaget eller när bolaget begärde den kompletterande informationen. Bolaget har uppgett att de har raderat klagandenas personuppgifter i de två enskilda klagomålen i enlighet med sin rutin och kan inte verifiera datum för när begäran i respektive klagomål mottogs eller hanterats. IMY finner inte skäl att betvivla att CDON har saknat möjlighet att hitta någon information om klaganden och deras begäranden om radering. Det har passerat flera år sedan klagomålen lämnades till den finska dataskyddsmyndigheten.

text: IMY konstaterar att det inte går att dra några säkra slutsatser av vad som har förevarit i de två klagandenas fall utifrån vad som har varit möjligt att utreda i klagomålen. Det har bland annat, särskilt mot bakgrund av att klagandenas begäranden är hänförliga till tiden i nära anslutning till att dataskyddsförordningen började tillämpas, inte varit möjligt att utreda om dessa två klagomål omfattas av dataskyddsförordningen. CDON har vidare bekräftat att inga personuppgifter om dessa två klaganden längre behandlas av bolaget. Mot denna bakgrund finner IMY att sakfrågan i de två klagomålen är utredd i den omfattning som är lämplig enligt artikel 57.1 f i dataskyddsförordningen. IMY finner därmed inte skäl att utreda dessa två klagomål vidare. IMY har följaktligen med utgångspunkt i de resterande fem aktuella klagomålen i ärendet dels granskat bolagets agerande i dessa enskilda fall, dels om bolagets nuvarande rutin är förenlig med dataskyddsförordningen.

text: Allmänna utgångpunkter

text: Det kan konstateras att den personuppgiftsansvarige, för att identifiera en registrerad, får begära ytterligare information som är nödvändig, om den personuppgiftsansvarige har rimliga skäl att betvivla identiteten hos den person som lämnar in en begäran.

text: Dataskyddsförordningen reglerar inte explicit vilka uppgifter som får efterfrågas eller hur den ytterligare informationen ska samlas in. Den personuppgiftsansvarige måste göra en proportionalitetsbedömning för att fastställa vad som är lämpligt med hänsyn till förordningens krav bland annat avseende säkerhet, men även mot bakgrund av kravet i artikel 12.2 i dataskyddsförordningen, enligt vilket den personuppgiftsansvarige ska underlätta utövandet av den registrerades rättigheter. Att slentrianmässigt kräva uppgifter för identifiering utan hänsyn till om uppgifterna är nödvändiga på så vis som beskrivs i artikel 12.6 i dataskyddsförordningen strider enligt IMY mot både denna bestämmelse och även mot principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

text: Som följer av ordalydelsen i dessa bestämmelser och som bekräftas av EDPB:s

text: riktlinje 01/2022

text: om rätten till tillgång ska den personuppgiftsansvarige genomföra en proportionalitetsbedömning och kunna motivera den verifieringsmetod som används. För att undvika överdriven uppgiftssamling måste en begäran om ytterligare information vara proportionell i förhållande till den typ av uppgifter som behandlas och den skada som kan uppstå. Även detta bekräftas av riktlinjerna.

text: Har det skett en överträdelse av dataskyddsförordningen avseende vad som framförts i klagomålen i detta ärende?

text: Frågan är om de uppgifter som bolaget krävt för att tillmötesgå begärandena i de enskilda fallen där dataskyddsförordningen är tillämplig (dvs. klagomål 1-3 och 6 -7) har varit nödvändiga för att identifiera respektive klaganden och därmed i enlighet med dataskyddsförordningen. De uppgifter som bolaget har krävt i de enskilda klagomålen, utöver namn och e-post, har varit födelsedatum, folkbokföringsadress, kundnummer, ordernummer och betalsätt vid senaste order, samt, beroende på betalsätt, pris samt referensnummer vid fakturabetalning, kortets fyra sista siffror vid kortbetalning, referens- eller fakturanummer vid direktbetalning.

text: Bolaget har getts tillfälle att motivera på vilket sätt respektive uppgift som begärts in varit nödvändig för att identifiera klagandena i de enskilda fallen. Bolaget har utan att närmare förklara nödvändigheten av respektive begärd uppgift svarat att det inte varit tillräckligt med namn och e-post för att identifiera klagandena och verifiera att det är rätt person som framställer en begäran. Enligt IMY ger bolagets redogörelse inte tillräckligt stöd för att slå fast att samtliga av de övriga aktuella uppgifterna varit nödvändiga för att identifiera de registrerade i enlighet med artikel 12.6 i dataskyddsförordningen och principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen. Det är CDON, i egenskap av personuppgiftsansvarig, som ska kunna visa att behandlingen utförs i enlighet med förordningen (artikel 5.2 i dataskyddsförordningen). IMY anser att CDON inte har gjort detta. IMY konstaterar därmed att CDON AB behandlat personuppgifter i strid med artikel 5.1 c och 12.6 i dataskyddsförordningen.

text: De klagande har i detta fall behövt inkomma med förhållandevis många personuppgifter för att kunna utöva sin rätt till radering bl.a. ordernummer och pris för senaste order samt referensnummer vid fakturaköp tillsammans med ytterligare

text: uppgifter. I något fall var det längesedan sedan klaganden handlat något hos CDON. Detta har inneburit att klagandena inte kunnat tillvarata sin rätt till radering enligt artikel 17 i dataskyddsförordningen utan att behöva anstränga sig för att leta efter i vissa fall gamla uppgifter och i varje fall många uppgifter. Genom att utan motivering använda sig av en sådan betungande verifieringsmetod vid begäran om radering har bolaget därmed inte underlättat utövande av de registrerades rättigheter på det sätt som krävs enligt artikel 12.2 i dataskyddsförordningen. CDON AB har därmed behandlat personuppgifter i strid med artikel 12.2 i dataskyddsförordningen.

text: Är bolagets nuvarande rutin förenlig med dataskyddsförordningen?

text: Av utredningen framgår att bolaget kontinuerligt har sett över sina rutiner för hanteringen av förfrågningar om radering sedan 2018, då samtliga aktuella klagomål i ärendet inkom. De generella rutiner som granskats är de som varit gällande från 22 januari 2021 fram till och med dagen för IMY:s beslut i det aktuella ärendet.

text: För att säkerställa identiteten på den registrerade som begär radering behöver den registrerade numera besvara två frågor (en fråga i kategori 1 och en fråga i kategori 2) som exempelvis födelsedatum och ordernummer. I kategori 1 behöver registrerade sedan 22 januari 2021 inte uppge personnummer utan endast födelsedatum om den registrerade väljer att komplettera med den uppgiften. Det är inga nya personuppgifter som begärs för att bekräfta den registrerades identitet utan två olika uppgifter för att jämföra dem mot uppgifter som bolaget redan behandlar om den registrerade för att verifiera den registrerade. Att CDON verifierar den registrerades identitet innan radering av personuppgifter sker är även ett skydd för den registrerade som inte ska behöva få sina personuppgifter raderade av misstag. Bolaget erbjuder även en alternativ väg för den registrerade som inte kan eller vill besvara säkerhetsfrågorna nämligen att kontakta kundtjänsten för att hitta ett annat sätt att verifiera den registrerades identitet. För en kund som inte har gjort en beställning finns därmed alternativet att kontakta kundtjänsten istället.

text: Mot denna bakgrund finner IMY att CDON:s befintliga rutin inte är oproportionerlig och därmed inte i strid med dataskyddsförordningen under förutsättning att bolaget endast inhämtar de uppgifter som framgår av rutinen i situationer där det finns anledning att betvivla identiteten hos den registrerade och att då endast de uppgifter som är nödvändiga för att identifiera den registrerade begärs in.

text: Val av ingripande

text: Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2 i dataskyddsförordningen, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 i dataskyddsförordningen vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b i dataskyddsförordningen. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY konstaterar följande relevanta omständigheter. Den aktuella tillsynen omfattar CDON AB:s hantering av fem enskilda klagandens begäranden i den situation som klagomålen avser.

text: Bolaget har vidtagit åtgärder i syfte att underlätta för registrerade att utöva sina rättigheter i enlighet med dataskyddsförordningen och ändrat sina rutiner så att de är förenliga med dataskyddsförordningen. Vissa åtgärder hade vidtagits redan innan detta tillsynsärendet inleddes. Vidare inträffade de konstaterade överträdelserna relativt långt tillbaka i tiden. Bolaget har inte tidigare erhållit någon korrigerande åtgärd för överträdelse av dataskyddsbestämmelserna. Mot denna bakgrund finner IMY att det är fråga om en sådan mindre överträdelse i den mening som avses i skäl 148 och att CDON AB ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna.

text: Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av juristen Salli Fanaei.Catharina Fernquist, 2023-03-31 (Det här är en elektronisk

text: signatur)

text: Kopia till

text: Dataskyddsombudet

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

type: avgorande


text: Rebtel Networks AB Jakobsbergsgatan 16 111 44 Stockholm

text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om 08-657 61 00 upphävande av direktiv

text: (allmän dataskyddsförordning).

sprak: en

titel: In English: Final decision Rebtel Networks AB

nyckelord:
Dataskydd
Dina rättigheter

slug: rebtel-networks-ab

title: Rebtel Networks AB

sammanfattning: Vi har granskat behandlingen av personuppgifter och fattat ett beslut.

text: DI-2020-10561 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Rebtel Networks AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Rebtel Networks AB har behandlat personuppgifter i strid med

text:  artikel 17 dataskyddsförordningen genom att inte utan onödigt dröjsmål först den 9 november 2020 radera de personuppgifter som klaganden begärt radering av den 18 september 2019.

text:  artikel 12.3 dataskyddsförordningen genom att ha lämnat felaktig information den 22 september 2019 om att klagandens uppgifter hade raderats med anledning av klagandens begäran av den 18 september 2019.

text: Integritetsskyddsmyndigheten ger Rebtel Networks AB en reprimand enligt artikel 58.2 b dataskyddsförordningen.

text: Redogörelse för tillsynsärendet

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande Rebtel Networks AB (bolaget) med anledning av ett klagomål. Klagomålet har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 dataskyddsförordningen. Överlämnandet har skett från tillsynsmyndigheten i det land där klaganden har lämnat in sitt klagomål (Spanien) i enlighet med förordningens bestämmelser om samarbete vid gränsöverskridande behandling.

text: I klagomålet görs gällande att den klagande utan framgång har försökt förmå bolaget att sluta skicka icke-begärda e-postmeddelanden efter att hon tagit bort sitt konto. Hon har vid fyra tillfällen begärt borttagning och bolaget har varje gång bekräftat att hennes uppgifter har raderats och att hon inte skulle få fler meddelanden, men hon har därefter varje gång få ett nytt e-postmeddelande där hon ombetts lämna återkoppling om tjänsten. Hon har även försökt använda länken "avregistrera" som anges i varje e-

text: postmeddelande, men den har inte heller fungerat. Mot denna bakgrund anser hon att bolaget brutit mot sina skyldigheter enligt artikel 17 dataskyddsförordningen.

text: Rebtel Networks AB har i huvudsak uppgett följande.

text: Bolaget mottog en begäran om radering från klaganden den 18 september 2019. I efterhand kan dock konstateras att den inte hanterats som en begäran om radering enligt dataskyddsförordningen, även om vissa uppgifter raderades. Detta är anledningen till att ytterligare e-post i form av påminnelse om en enkät för kundundersökning har skickats till klaganden. Detta har skett under perioden fram till och med den 1 oktober 2019, det vill säga inte efter den tidsfrist om en månad som gäller enligt dataskyddsförordningen för att tillmötesgå en begäran om radering.

text: Kvarvarande uppgifter raderades den 9 november 2020, förutom sådana som är nödvändiga för att kunna hantera det aktuella tillsynsärendet. Bolaget informerade klaganden om detta den 20 november 2020.

text: Med anledning av detta tillsynsärende har bolaget vidtagit särskilda åtgärder för att förstärka sina fastslagna processer och rutiner för identifiering av en begäran enligt dataskyddsförordningen. Detta inkluderar framförallt att ytterligare utbildning av dess kundtjänstagenter. Bolaget har vidare förbättrat sina s.k. data triggers i sitt kundtjänstverktyg. Bolagets utredning av den klagandes ärende visade att det inte hade flaggats som ett ärende enligt dataskyddsförordningen då dataapplikationen inte uppfattat någon referens till dataskyddsförordningen på spanska.

text: Handläggningen har skett genom skriftväxling. Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Spanien, Tyskland, Norge, Italien och Frankrike.

text: Motivering av beslut

text: Tillämpliga bestämmelser

text: Enligt artikel 12.3 dataskyddsförordningen ska den personuppgiftsansvarige på begäran utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran tillhandahålla den registrerade information om de åtgärder som vidtagits enligt artikel 17. Denna period får vid behov förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet inkomna begäranden. Den personuppgiftsansvarige ska underrätta den registrerade om en sådan förlängning inom en månad från det att begäran mottagits samt ange orsakerna till förseningen.

text: Enligt artikel 17.1 a ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om personuppgifterna inte längre är nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlats. Enligt artikel 17.3 b ska detta inte gälla i den utsträckning som behandlingen är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten.

text: Integritetsskyddsmyndighetens bedömning

text: Har det skett en överträdelse av dataskyddsförordningen?

text: Bolaget har uppgett att anledningen till att klagandens begäran om radering av den 18 september 2019 hanterats först den 9 november 2020 beror på att bolaget inte uppfattat den som en begäran om radering.

text: Enligt IMY:s mening har det dock framgått klart och tydligt av begäran att den registrerade önskade utöva sin rätt till radering. Eftersom vissa uppgifter raderades först den 9 november 2020 har Rebtel Networks AB behandlat personuppgifter i strid med artikel 17 dataskyddsförordningen genom att inte utan onödigt dröjsmål först den 9 november 2020 radera de personuppgifter som klaganden begärt radering av den 18 september 2019. Bolaget har dock haft fog för att behålla de uppgifter som behövs för att kunna visa att begäran har hanterats i enlighet med dataskyddsförordningen.

text: Bolaget har anfört att inga ytterligare e-postutskick gjorts sedan den 2 oktober 2019 och att detta är inom den tidsfrist om en månad som följer av artikel 12.3 och 17 dataskyddsförordningen. Bolaget har dock felaktigt i sitt svar till klaganden den 22 september 2019 angett att uppgifterna hade raderats och att klaganden inte skulle få några fler utskick. Rebtel Networks AB har därigenom i strid med artikel 12.3 dataskyddsförordningen lämnat felaktig information om vilka åtgärder – att uppgifterna hade raderats – som har vidtagits med anledning av klagandens begäran.

text: Trots att bolaget, den 22 september 2019, meddelat den klagande att inga fler epostutskick om kundnöjdhet skulle ske har den klagande mottagit ytterligare fyra sådana utskick. De fyra utskicken gjordes den 22 och 25 september samt den 1 och 2 oktober 2019. IMY konstaterar dock att det rör sig om förhållandevis kort tid efter att begäran om radering framfördes och anser att det ligger inom ramen för den tid som bolaget haft på sig att vidta åtgärder om begäran hade hanterats på ett korrekt sätt.

text: Val av ingripande

text: Av artikel 58.2 i och artikel 83.2 framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: Bolaget har uppgett att anledningen till att klagandens begäran om radering inte hanterades korrekt huvudsakligen berott på ett misstag i bolagets kundtjänst och kundtjänstverktyg. Med anledning av det inträffande har bolaget angett att det vidtagit särskilda organisatoriska och tekniska åtgärder för att förstärka sina fastslagna processer och rutiner för identifiering av en begäran enligt dataskyddsförordningen.

text: IMY finner vid en samlad bedömning av omständigheterna att det är fråga om mindre överträdelser i den mening som avses i skäl 148 och att Rebtel Networks AB därför

text: ska ges en reprimand enligt artikel 58.2 b dataskyddsförordningen för de konstaterade överträdelserna.

text: Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av juristen Olle Pettersson. Catharina Fernquist, 2021-03-23 (Det här är en elektronisk signatur)

text: Hur man överklagar