text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 Lagen (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning.

text: Se skälen 75 och 76 i dataskyddsförordningen. 4 Se artikel 87 i dataskyddsförordningen och

text: 3 kap. 10 § dataskyddslagen

text: . 5 Se Datainspektionens rapport Anmälda personuppgiftsincidenter 2019 (rapport 2020:2).

titel: Beslut: Regionstyrelsen

nyckelord: Dataskydd Personuppgiftsincident

sanktionsavgift: 300 000 kronor och 1,6 miljoner kronor

slug: region-uppsala-personuppgiftsincidenter

title: Region Uppsala, personuppgiftsincidenter – Beslut: Regionstyrelsen

sammanfattning: IMY utfärdar två administrativa sanktionsavgifter, en på 300 000 kronor mot regionstyrelsen i Region Uppsala och en på 1,6 miljoner kronor mot sjukhusstyrelsen i Region Uppsala.

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten (IMY) konstaterar att Regionstyrelsen i Region Uppsala (regionstyrelsen) som personuppgiftsansvarig har, under tiden från den 25 maj 2018 till den 7 maj 2019, behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen . Det har skett genom att regionstyrelsen inom regionen skickat känsliga personuppgifter och personnummer via e-post. Överföringen av eposten var krypterad men inte informationen i e-postmeddelandena. Behandlingen har också skett i strid med Region Uppsalas egna riktlinjer. Det innebär att regionstyrelsen inte har vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen.

text: IMY beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen och

text: 6 kap. 2 § dataskyddslagen

text: att regionstyrelsen, för överträdelse av artikel 32.1 i dataskyddsförordningen, ska betala en administrativ sanktionsavgift på 300 000 (trehundratusen) kronor.

text: Redogörelse för tillsynsärendet

text: Utgångspunkten för tillsynen

text: IMY beslutade att inleda en tillsyn mot regionstyrelsen efter en anmälan om personuppgiftsincident från regionstyrelsen den 7 maj 2019.

text: IMY:s granskning omfattar två kategorier av personuppgiftsbehandlingar.

text: Den första kategorin avser e-postmeddelanden med patientuppgifter som skickades automatiserat till berörda vårdförvaltningar inom Region Uppsala för bland annat administration och kvalitetssäkring.

text: Den andra kategorin avser e-postmeddelanden med patientuppgifter som skickades manuellt till forskare och läkare inom Region Uppsala för bland annat forskning och kvalitetsuppföljning.

text: IMY har granskat om personuppgiftsbehandlingarna i e-posten uppfyller de krav på säkerhet som ställs i artikel 32 i dataskyddsförordningen.

text: Dataskyddsförordningen började tillämpas den 25 maj 2018. IMY:s tillsyn omfattar därför perioden från den 25 maj 2018 till den 7 maj 2019 (då anmälan kom in). IMY har inte granskat de åtgärder som regionstyrelsen har uppgett att den vidtagit efter den 7 maj 2019.

text: Uppgifter från regionstyrelsen

text: Regionstyrelsen har uppgett bland annat följande.

text: Den första kategorin av personuppgiftsbehandling – e-post som skickades automatiserat

text: Statistikdatabasen Cosmic Intelligence hämtade personuppgifter från huvudjournalsystemet Cosmic. Personuppgifterna hämtades sedan av Business Objects som lade informationen i en excelfil. Överföringarna skedde automatiskt varje månad. Business Objects skickade därefter excelfilerna till berörda vårdförvaltningar inom Region Uppsala, såsom Akademiska sjukhuset och Lasarettet i Enköping. Epostmeddelandena skickades automatiserat varje månad till Region Uppsalas epostdomäner. E-postmeddelandena skickades enbart till behöriga personer inom den förvaltning som var berörd inom Region Uppsala.

text: De aktuella excelfilerna kunde innehålla samtliga uppgifter från patientjournalen, förutom den löpande texten från patientjournalens fritextfält. Beroende på typ av rapport kunde även andra uppgifter ingå, såsom väntetider och patientkategori. Excelfilerna innehöll även uppgifter om personnummer, namn, vårdande enhet och kontaktdatum.

text: Cirka 25 e-postmeddelanden skickades varje månad till ett hundratal mottagare inom Akademiska sjukhusets verksamhetsområde. Hundratals sändare och mottagare inom Region Uppsala hade tillgång till personuppgifterna.

text: Det övergripande syftet med personuppgiftsbehandlingen har varit administration, exempelvis att korrigera fel i verksamheterna och att åtgärda dem. Dessutom har syftet varit att utveckla och säkra kvaliteten i verksamheten.

text: Personuppgiftsbehandlingen har pågått sedan 2015 och fram till regionstyrelsens anmälan om incidenten till IMY den 7 maj 2019. Behandlingen stoppades helt i samband med att incidenten upptäcktes.

text: Den andra kategorin av personuppgiftsbehandling – e-post som skickades manuellt

text: Statistikdatabasen Cosmic Intelligence hämtade personuppgifter från huvudjournalsystemet Cosmic. Utdatasystemet Diver hämtade sedan personuppgifter från Cosmic Intelligence samt de patientadministrativa systemen IMX och PAS. Uttag av personuppgifter gjordes sedan manuellt från Diver till excelfiler. De manuella uttagen gjordes av bland annat systemutvecklare och administratören på regionkontoret. Dessa excelfiler skickades sedan till läkare när de hade begärt uppgifter i kvalitetsuppföljningssyfte och till forskare när de hade begärt forskningsunderlag. E-postmeddelandena skickades enbart till mottagare som var anställda inom Region Uppsala, det vill säga endast till Region Uppsalas epostdomäner. Det innebär att e-postmeddelandena inte skickades till e-postadresser knutna till Uppsala universitet.

text: Excelfilerna kunde bland annat innehålla uppgifter om personnummer, diagnoskoder, kontaktdatum, verksamhetsområde, ålder, län, åtgärdskod och avdelning. Excelfilerna innehöll inte uppgifter om namn. Excelfilerna rörde enbart patienter som behandlades på Akademiska sjukhuset.

text: Cirka 200−250 e-postmeddelanden skickades per år. Hundratals sändare och mottagare inom Region Uppsala hade tillgång till personuppgifterna.

text: Personuppgifterna behandlades för administrativa syften och för att utveckla och säkra kvaliteten i verksamheten samt för forskningsändamål.

text: Personuppgiftsbehandlingen pågick från september 2014 till regionstyrelsens anmälan om incidenten till IMY den 7 maj 2019. Behandlingen stoppades helt i samband med att incidenten upptäcktes och ett arbete påbörjades för att ta fram en lösning för kryptering av e-post.

text: Information som rör båda personuppgiftsbehandlingarna

text: Personuppgiftsansvar

text: Regionstyrelsen är personuppgiftsansvarig för den personuppgiftsbehandling som rör sammanställning av data i Business Objects och för den behandling som sker vid automatisk överföring via e-post. Behandlingen sker på förvaltningen regionkontoret, som är placerad under nämnden regionstyrelsen. Denna bedömning görs mot bakgrund av att regionstyrelsen är en självständig förvaltningsmyndighet som bestämmer ändamål och medel med personuppgiftsbehandlingen.

text: Regionstyrelsen är även personuppgiftsansvarig för den behandling som sker i Diver och för den behandling som sker via den manuella överföringen via e-post.

text: Regionstyrelsen har bifogat dokumenten Reglemente för styrelser och nämnder i Region Uppsala samt Regionstyrelsens delegationsordning.

text: Styrdokument

text: Enligt Region Uppsalas styrdokument om hantering av post och e-post får känsliga personuppgifter inte kommuniceras via e-post.

text: Kategorier av registrerade

text: Kategorier av registrerade är anställda, patienter, barn och personer med skyddad identitet. Vad gäller anställda förekommer uppgifter om dem endast i sändande och mottagande e-postadresser.

text: Personuppgiftsbehandlingarna rör sammantaget mellan 100 000 och 500 000 individer för perioden 2015−2019.

text: Kategorier av användare

text: De kategorier av användare som har tillgång till personuppgifterna är administrativ personal med access till källsystem och lagringsytor.

text: Kryptering

text: Transporten (överföringen) av e-posten inom regionen var krypterad men informationen i excelfilerna var inte skyddad genom kryptering.

text: Transporten av e-posten skickades krypterad med det kryptografiska kommunikationsprotokollet TLS1.2 till mottagare inom Region Uppsala. Regionstyrelsen använde i den första personuppgiftsbehandlingen en lokal epostserver vid transporten av e-posten mellan Business Objects och mottagare inom regionen. I den andra behandlingen använde regionstyrelsen Microsofts Outlook för eposten.

text: Det saknades tekniska skyddsåtgärder för att förhindra läsning och ändring av informationen i excelfilerna. Det saknades också skyddsåtgärder för att förhindra att obehöriga tog del av informationen.

text: Motivering av beslutet

text: Gällande regler

text: Den personuppgiftsansvariges ansvar

text: Den som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter är personuppgiftsansvarig. Det framgår av artikel 4.7 i dataskyddsförordningen.

text: Den personuppgiftsansvarige ansvarar för och ska kunna visa att de grundläggande principerna i artikel 5 i dataskyddsförordningen följs (artikel 5.2 i förordningen).

text: Den personuppgiftsansvarige ansvarar för att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Åtgärderna ska genomföras med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers fri- och rättigheter. Åtgärderna ska ses över och uppdateras vid behov. Det framgår av artikel 24.1 i dataskyddsförordningen.

text: Kravet på säkerhet vid behandling av personuppgifter m.m.

text: Uppgifter om hälsa utgör så kallade känsliga personuppgifter. Det är förbjudet att behandla sådana personuppgifter enligt artikel 9.1 i dataskyddsförordningen, såvida behandlingen inte omfattas av något av undantagen i artikel 9.2 i förordningen.

text: Av artikel 32 i dataskyddsförordningen följer att den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Det ska ske med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter.

text: Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Det framgår av artikel 32.2 i dataskyddsförordningen.

text: I skäl 75 i dataskyddsförordningen anges faktorer som ska beaktas vid bedömningen av risken för fysiska personers rättigheter och friheter. Bland annat nämns förlust av konfidentialitet när det gäller personuppgifter som omfattas av tystnadsplikt samt om behandlingen avser uppgifter om hälsa eller sexualliv. Vidare ska beaktas om behandlingen gäller personuppgifter om sårbara fysiska personer, framförallt barn, eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort antal registrerade.

text: Även skälen 39 och 83 ger vägledning om den närmare innebörden av dataskyddsförordningens krav på säkerhet vid behandling av personuppgifter.

text: IMY:s bedömning

text: Personuppgiftsansvar

text: Regionstyrelsen har uppgett att den är personuppgiftsansvarig för de epostöverföringar som beskrivs i ärendet, vilket stöds av utredningen i ärendet. IMY bedömer därför att regionstyrelsen är personuppgiftsansvarig för de aktuella behandlingarna.

text: Känsliga personuppgifter har skickats okrypterat inom regionen

text: Regionstyrelsen har skickat excelfiler med patientuppgifter inom regionen via e-post. När det gäller den första kategorin av personuppgiftsbehandling skickades cirka 25 epostmeddelanden automatiskt varje månad och när det gäller den andra kategorin skickades cirka 200-250 e-postmeddelanden manuellt per år. Överföringen av eposten inom regionen var krypterad men inte informationen i excelfilerna.

text: Regionstyrelsen har uppgett att känsliga personuppgifter inte får kommuniceras via epost enligt Region Uppsalas styrdokument om hantering av post och e-post.

text: Som personuppgiftsansvarig ska regionstyrelsen vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till riskerna (artikel 32 i dataskyddsförordningen). Personuppgifterna som behandlas måste till exempel skyddas mot obehörigt röjande eller obehörig åtkomst.

text: Vad som är lämplig säkerhetsnivå varierar i förhållande till bland annat de risker för fysiska personers rättigheter och friheter som behandlingen medför samt behandlingens art, omfattning, sammanhang och ändamål. Vid bedömningen måste det exempelvis beaktas vad det är för typ av personuppgifter som behandlas, till exempel om det är fråga om uppgifter om hälsa.

text: De aktuella excelfilerna innehöll personuppgifter om hälsa som är känsliga personuppgifter. Behandling av känsliga personuppgifter kan innebära betydande risker för den personliga integriteten. Dessutom innehöll excelfilerna personnummer som anses vara särskilt skyddsvärda personuppgifter . Uppgifterna i epostmeddelandena var därför av en sådan art att de krävde ett starkt skydd.

text: Överföringen av e-posten från regionstyrelsen var krypterad men inte informationen i e-postmeddelandena. Det innebar att informationen i excelfilerna inte kunde avlyssnas (läsas) under själva överföringen. Däremot kunde informationen läsas i klartext av såväl behöriga som obehöriga mottagare efter överföringen. Vid en automatiserad överföring finns en viss risk för att uppgifter kommer i orätta händer ifall systemet skulle uppdateras felaktigt. Vid en manuell överföring av personuppgifter finns en ännu högre risk för att uppgifterna kommer i orätta händer jämfört med en automatiserad överföring. Detta eftersom personen som skickar uppgifterna skulle kunna skriva en felaktig mottagaradress . Enligt IMY:s bedömning borde regionstyrelsen ha vidtagit tekniska åtgärder, till exempel i form av kryptering, för att skydda informationen i de automatiserade och de manuella e-postmeddelandena mot obehörigt röjande eller obehörig åtkomst och därigenom säkerställa en lämplig skyddsnivå.

text: Enligt regionstyrelsen anges i Region Uppsalas styrdokument om hantering av post och e-post att känsliga personuppgifter inte får kommuniceras via e-post.

text: Regionstyrelsen har således identifierat de risker som behandlingen av känsliga personuppgifter i e-post medför men inte vidtagit tillräckliga åtgärder för att följa riktlinjerna. IMY finner därmed att regionstyrelsen inte har vidtagit de lämpliga organisatoriska åtgärder som krävs för att säkerställa behandlingens säkerhet.

text: Sammantaget finner IMY att regionstyrelsen inte vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Regionstyrelsen har därför behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen.

text: Val av ingripande

text: Rättslig reglering

text: IMY har vid överträdelser av dataskyddsförordningen ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 a–j i dataskyddsförordningen, bland annat reprimand, föreläggande och sanktionsavgifter.

text: IMY ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2 i dataskyddsförordningen, beroende på omständigheterna i varje enskilt fall.

text: Medlemsstaterna får fastställa regler för om och i vilken utsträckning administrativa sanktionsavgifter kan påföras offentliga myndigheter. Det framgår av artikel 83.7 i förordningen. Sverige har i enlighet med detta beslutat att tillsynsmyndigheten ska få ta ut sanktionsavgifter av myndigheter. För överträdelser av bland annat artikel 32 ska avgiften uppgå till högst 5 000 000 kronor. Det framgår av

text: 6 kap. 2 § dataskyddslagen

text: samt artikel 83.4 i dataskyddsförordningen.

text: I artikel 83.2 i dataskyddsförordningen anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras, men också vid bestämmandet av sanktionsavgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b i förordningen. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: Påförande av sanktionsavgift

text: IMY har ovan bedömt att regionstyrelsen har överträtt artikel 32.1 i dataskyddsförordningen. Överträdelser av den bestämmelsen kan, som framgår ovan, föranleda sanktionsavgifter.

text: Överträdelserna har skett genom att regionstyrelsen har skickat en stor mängd okrypterade patientuppgifter inom regionen genom krypterad e-post. Personuppgifterna i e-posten var bland annat känsliga personuppgifter och personnummer, vilket innebar en hög risk för de registrerades fri- och rättigheter. Behandlingarna har skett systematiskt och under en längre tid. Behandlingarna har också skett i strid med Region Uppsalas egna riktlinjer. Dessa faktorer innebär sammantaget att en sanktionsavgift bör påföras.

text: IMY konstaterar att den manuella respektive den automatiska överföringen av e-post utgör sammankopplade uppgiftsbehandlingar enligt artikel 83.3 i dataskyddsförordningen. Detta eftersom behandlingarna rör patientuppgifter som hämtades från huvudjournalsystemet Cosmic för liknande ändamål såsom administration och kvalitetssäkring. Dessutom är det frågan om överträdelse av samma bestämmelse det vill säga artikel 32.1 i förordningen.

text: Vid bestämmande av sanktionsavgiftens storlek ska IMY beakta både försvårande och förmildrande omständigheter samt att den administrativa sanktionsavgiften ska vara effektiv, proportionell och avskräckande.

text: Det är försvårande att personuppgiftsbehandlingarna har pågått under en längre tid, det vill säga under den granskade perioden från den 25 maj 2018 till den 7 maj 2019, och att de har skett systematiskt. Det är även försvårande att behandlingarna omfattat en stor mängd hälsouppgifter som obehöriga kunnat få åtkomst till efter överföringen. När det gäller den första kategorin av personuppgiftsbehandling, har det rört sig om cirka 25 e-postmeddelanden per månad som obehöriga har kunnat få åtkomst till och när det gäller den andra kategorin har det rört sig om cirka 200−250 epostmeddelanden per år. Regionstyrelsen uppskattar att personuppgiftsbehandlingarna sammantaget har rört mellan 100 000 och 500 000 individer för perioden 2015−2019. Det är således frågan om ett stort antal registrerade under ett år. Genom de uppgifter som behandlas kan de registrerade identifieras direkt genom till exempel namn, personnummer och uppgifter om hälsa. IMY anser därför att uppgifternas karaktär, omfattning och de registrerades beroendeställning ger regionstyrelsen ett särskilt ansvar att säkerställa ett lämpligt skydd för personuppgifterna, vilket inte skett.

text: Det är vidare försvårande att behandlingarna skett i strid med Region Uppsalas egna riktlinjer om att känsliga personuppgifter inte ska skickas via e-post.

text: Som förmildrande omständigheter beaktar IMY att överföringen av e-posten var krypterad och att e-posten skickades internt inom regionen. Det innebär att regionstyrelsen har vidtagit vissa åtgärder i syfte att efterleva kraven och minska riskerna med behandlingarna. IMY beaktar också att regionstyrelsen stoppade behandlingarna i samband med anmälan om personuppgiftsincident till IMY den 7 maj 2019.

text: IMY bestämmer utifrån en samlad bedömning att regionstyrelsen ska betala en administrativ sanktionsavgift på 300 000 (trehundratusen) kronor.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Linda Hamidi. Vid den slutliga handläggningen har även rättschefen David Törngren, enhetschefen Malin Blixt och it-säkerhetsspecialisten Ulrika Sundling medverkat.

text: Lena Lindgren Schelin, 2022-01-26 (Det här är en elektronisk signatur)

text: Bilaga

text: Kopia till

text: Dataskyddsombudet.

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

type: avgorande


text: Klarna Bank AB Sveavägen 46 113 35 Stockholm dataprotectionofficer@klarna.com

text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om 08-657 61 00 upphävande av direktiv

text: (allmän dataskyddsförordning).

sprak: sv

titel: Beslut

nyckelord:
Dataskydd
Dina rättigheter

publisher: Integritetsskyddsmyndigheten

slug: klarna

title: Klarna Bank AB, begäran om tillgång

org: imy

sammanfattning: Vi har granskat behandlingen av personuppgifter och fattat ett beslut.

text: DI-2020-10518 Beslut efter tillsyn enligt

type: stycke

text: dataskyddsförordningen – Klarna Bank AB

type: rubrik

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Klarna Bank AB behandlat personuppgifter i strid med artikel 12.3 i dataskyddsförordningen genom att

text:  avseende klagomål 1: inte utan onödigt dröjsmål, enligt begäran av den 5 januari 2019, ge klaganden tillgång till sina personuppgifter i enlighet med artikel 15.

text: Integritetsskyddsmyndigheten ger Klarna Bank en reprimand enligt artikel 58.2 b i dataskyddsförordningen.

text: Redogörelse för tillsynsärendet

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande Klarna Bank AB (bolaget) med anledning av två klagomål. Respektive klagomål har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet för bolagets verksamhet enligt artikel 56 i dataskyddsförordningen, från tillsynsmyndigheten i det land där klaganden har lämnat in sitt klagomål (Österrike och Tyskland) i enlighet med förordningens bestämmelser om samarbete i gränsöverskridande ärenden.

text: De klagande har angett att de begärt tillgång till sina personuppgifter enligt artikel 15 i dataskyddsförordningen. IMY har med anledning av klagomålen inlett tillsyn i syfte att utreda huruvida de klagandes begäranden om tillgång enligt artikel 15 tillmötesgåtts samt om det gjorts inom angiven tidsfrist i artikel 12.3.

text: Klarna Bank AB uppger att de är personuppgiftsansvariga för den personuppgiftsbehandling som klagomålen gäller. Bolaget anger också att de hanterar ett stort antal förfrågningar i enlighet med dataskyddsförordningen. Klagomål 1 (Bilaga 1 från Österrike med nationellt referensnummer: D130.247)

text: Beträffande det första klagomålet uppger bolaget att klagandens begäran om tillgång inkom till bolaget via e-post den 5, 10 och 29 januari 2019. Eftersom begäran inkom till en annan e-postadress än den som bolaget hänvisar till för dataskyddsfrågor behandlades begäran inte i enlighet med bolagets interna handläggningsrutiner. Det föranledde en längre handläggningstid och att information samt en kopia på klagandens personuppgifter enligt artikel 15 skickades först den 18 juni 2019. Bolaget har skyndsamt besvarat klagandens följdfrågor om bolagets personuppgiftsbehandling vilket klaganden varit nöjd med.

text: Klagomål 2 (Bilaga 2 från Tyskland med nationellt referensnummer: LDA-1085.1-

text: Beträffande det andra klagomålet uppger bolaget att klagandens begäran om tillgång inkom till bolagets chatt den 28 oktober 2019. Den klagande upprepade sin begäran via e-post den 30 oktober 2019. Bolaget kontaktade den klagande den 6 november 2019 för att begära in ytterligare upplysningar. Dessa tillhandahölls samma dag. Den 11 november 2019 skickade bolaget ut information och en kopia på personuppgifterna till den klagande enligt artikel 15, det vill säga inom 14 dagar från att bolaget mottog begäran. Den 14 november 2019 skickade bolaget mer utförlig information om bolagets automatiska beslutsfattande vid köp. Klaganden kontaktade åter bolaget den 13 december 2019 med anledning av att hen inte mottagit bolagets utskick. Bolaget efterfrågade en ny adress den 7 januari 2020 och har inte erhållit något svar.

text: Handläggningen har skett genom skriftväxling. Mot bakgrund av att det gäller två gränsöverskridande klagomål har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Österrike, Tyskland, Tjeckien, Danmark och Norge.

text: Motivering av beslut

text: Tillämpliga bestämmelser

text: Den personuppgiftsansvariga är skyldig att, till var och en som begär det, lämna besked om personuppgifter som rör den sökande behandlas eller inte. Behandlas sådana uppgifter ska den personuppgiftsansvariga, i enlighet med artikel 15 i dataskyddsförordningen, lämna den sökande kompletterande information samt en kopia på de personuppgifter som den personuppgiftsansvariga behandlar.

text: Enligt artikel 12.3 ska en begäran om tillgång hanteras utan onödigt dröjsmål och under alla omständigheter senast en månad efter att begäran mottagits. Tidsfristen om en månad får förlängas med ytterligare två månader om begäran är särskilt komplicerad eller antalet inkomna begäranden är högt.

text: Om tidsfristen om en månad förlängs, ska den personuppgiftsansvariga underrätta den registrerade om förlängningen. Underrättandet av förlängningen av tidsfristen ska ske inom en månad från det att begäran mottogs. Den personuppgiftsansvariga ska också ange orsakerna till förseningen.

text: Enligt artikel 12.6 får den personuppgiftsansvariga, om denne har rimliga skäl att betvivla identiteten hos den fysiska person som lämnar in en begäran enligt artikel 15, begära att ytterligare information som är nödvändig för att bekräfta den registrerades identitet tillhandahålls.

text: IMY:s bedömning

text: Har det skett en överträdelse av dataskyddsförordningen?

text: Beträffande det första klagomålet konstaterar IMY att den klagande, i enlighet med artikel 15 i dataskyddsförordningen, försetts med information och en kopia på de personuppgifter som behandlas. Rätten till tillgång tillgodosågs dock först efter mer än fem månader från det att den första begäran lämnats in. Begäran har därmed inte hanterats utan onödigt dröjsmål och inom den stipulerade tidsfristen i artikel 12.3 och den klagande har inte heller informerats om förseningen.

text: Vad bolaget anfört om att de hanterar en stor mängd förfrågningsärenden enligt dataskyddsförordningen och att följdfrågor besvaras skyndsamt föranleder ingen annan bedömning gällande förseningen och att det därmed varit fråga om en överträdelse av artikel 12.3 avseende klagomål 1.

text: Beträffande det andra klagomålet konstaterar IMY att den klagande, i enlighet med artikel 15, försetts med information samt en kopia på de personuppgifter som behandlas. Uppgifterna lämnades utan onödigt dröjsmål. Efter att den klagande påpekat att hen inte erhållit utskicket begärde bolaget in alternativa kontaktuppgifter. IMY anser mot denna bakgrund att bolaget inte har varit skyldigt att vidta några ytterligare åtgärder med anledning av den begäran.

text: Val av ingripande

text: Av artikel 58.2 i och artikel 83.2 framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY finner vid en samlad bedömning av omständigheterna att det, avseende klagomål 1, är fråga om en mindre överträdelse i den mening som avses i skäl 148 och att Klarna Bank AB därför ska ges en reprimand enligt artikel 58.2 b för den konstaterade överträdelsen.

text: Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av juristen Murat Vrana.

text: Catharina Fernquist, 2021-03-31 (Det här är en elektronisk signatur)

text: Kopia till

text: Dataskyddsombudet, filip.johnssen@klarna.com

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.


text: Spotify AB Regeringsgatan 19 111 53 Stockholm

text: Handläggningen vid IMY har skett genom skriftväxling. Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete

text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om 08-657 61 00 upphävande av direktiv

text: (allmän dataskyddsförordning).

text: IMY:s beslut den 24 mars 2021, dnr DI-2020-10541.

nyckelord:
Dataskydd
Dina rättigheter
Tillsyn

slug: spotify-rattelse-och-tillgang

title: Spotify AB, rättelse och tillgång

sammanfattning: Kammarrätten avslår överklagandet, 7 juni 2024 i mål nr 2639-23.

text: DI-2020-10533 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Spotify AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Spotify AB har behandlat personuppgifter i strid med

text:  artikel 12.3 och 15 i dataskyddsförordningen genom att inte utan onödigt dröjsmål ha gett klaganden tillgång till sina personuppgifter i enlighet med klagandens begäran av den 26 december 2018 först den 3 juni 2021,

text:  artikel 12.2 i dataskyddsförordningen genom att inte ha underlättat klagandens utövande av sin rättighet enligt artikel 16 att få sin uppgift om hemadress rättad i enlighet med sin begäran av den 25 december 2018 och istället hänvisat klaganden till att skapa ett nytt konto på bolagets musiktjänst, och

text:  artikel 12.3 och 16 i dataskyddsförordningen genom att inte utan onödigt dröjsmål tillgodosett klagandens begäran om rättelse av sin hemadress av den 25 december 2018 genom att rättelse skedde först den 17 oktober 2019.

text: Integritetsskyddsmyndigheten ger Spotify AB en reprimand enligt artikel 58.2 b i dataskyddsförordningen för överträdelse av artikel 12.2, 12.3, 15 och 16.

text: Redogörelse för tillsynsärendet

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande Spotify AB (Spotify eller bolaget) med anledning av ett klagomål. Klagomålet har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 i dataskyddsförordningen, från tillsynsmyndigheten i det land där klaganden har lämnat in sitt klagomål (Tyskland). Överlämnandet har skett i enlighet med förordningens bestämmelser om samarbete vid gränsöverskridande behandling.

text: och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Belgien, Irland,

text: Nederländerna, Tyskland, Danmark, Italien, Cypern, Portugal, Frankrike, Österrike, Finland, Norge, Luxemburg, Slovakien, Ungern, Spanien och Polen.

text: Klagomålet

text: I klagomålet anförs i huvudsak följande. Klaganden har nekats att ändra sin adress för sitt konto på bolagets musiktjänst. Bolagets kundtjänst har uppgett att det inte är möjligt att ändra adresser för konton och att lösningen är att ta bort kontot och öppna ett nytt konto. Klaganden har begärt att få sina uppgifter rättade och anser att det inte borde vara nödvändigt att avsluta sitt konto och öppna ett nytt för att få till stånd rättelse. Vidare har klaganden begärt tillgång till sina personuppgifter. Ingen av begärandena har tillmötesgåtts.

text: Vad Spotify har uppgett

text: Spotify har i huvudsak uppgett följande.

text: Spotify mottog en begäran från klaganden om att uppdatera klagandens hemadress den 25 december 2018. Begäran besvarades den 26 december 2018. Bolaget informerade då klaganden om att uppdatering av adress på det redan existerande kontot (Familjekonto) inte var tekniskt genomförbar, men att ett nytt konto med den korrekta adressen skulle kunna skapas för att lösa problemet. Spotify skulle då ha skapat ett nytt konto kostnadsfritt, och Spotifys kundtjänstteam skulle ha överfört allt innehåll, såsom spellistor, följare och kontoinformation till det nya kontot. Denna lösning avvisades dock av klaganden.

text: Sedan dess har Spotify utvecklat en ny version av Familjekonton, som tillåter användaren att ändra sin egen adress, istället för att blanda in kundtjänst och överföra kontot. Klaganden blev överflyttad till den nya versionen, i vilken adressen kan ändras av användaren i kontoinställningarna, den 18 september 2019, varpå klaganden uppdaterade till sin nya adress den 17 oktober 2019.

text: Spotify anser att bolaget tog de nödvändiga stegen för att tillfredsställa klagandens förfrågan den 26 och 27 december 2018, genom att förklara att det inte var tekniskt möjligt i den versionen av Familjekonto som fanns vid den tidpunkten och istället erbjöd en alternativ lösning på problemet.

text: Spotify mottog klagandens begäran om utövande av rätt till tillgång den 26 december 2018. Spotifys kundtjänst svarade klaganden den 26 december 2018 och hänvisade klaganden till Spotifys Sekretesscenter. Det är en online-tjänst, som tillhandahåller standardinformation om Spotifys personuppgiftsbehandling och hur enskilda kan utöva sina dataskyddsrättigheter, med en länk till ”Ladda ned dina data”-verktyget. Spotifys uppgifter visar dock att klaganden inte använde ”Ladda ned dina data”-verktyget eller framförde vidare önskemål om att få tillgång till sina personuppgifter.

text: Enligt Spotifys standardprocess skulle kundtjänstrådgivaren direkt ha behandlat klagandens förfrågan om rätt till tillgång istället för att hänvisa klaganden till bolagets sekretesscenter. Vid granskning av korrespondensen med klaganden verkar det som att kundtjänstrådgivaren främst var fokuserad på att besvara klagandens förfrågan om rättelse och inte uppmärksammade att det även var en begäran om tillgång och besvarade därför inte begäran om tillgång i enlighet med bolagets standardprocess. Som del av bolagets interna dataskyddsprogram utbildas regelbundet kundtjänst i hur de kan identifiera och på ett lämpligt sätt agera och eskalera förfrågningar från registrerade. I detta fall gjorde kundtjänstrådgivaren ett misstag.

text: På grund av det ovan beskrivna fick inte klaganden tillgång till sina personuppgifter enligt sin förfrågan den 26 december 2018.

text: Spotify kontaktade klaganden per e-post den 3 juni 2021 med anledning av dennes begäran om tillgång och informerade om att uppgifterna gjorts tillgängliga för nedladdning. Klaganden har dock inte laddat ned dem eller hörts av.

text: Motivering av beslut

text: Tillämpliga bestämmelser m.m.

text: Enligt artikel 12.2 i dataskyddsförordningen ska den personuppgiftsansvarige underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22. Enligt artikel 12.3 ska den enskildes begäran om att få utöva sina rättigheter hanteras utan onödigt dröjsmål och under alla omständigheter senast en månad efter att begäran mottagits. Tidsfristen om en månad får förlängas med ytterligare två månader om begäran är särskilt komplicerad eller antalet inkomna begäranden är högt.

text: Enligt artikel 15 ska den registrerade ha rätt att av den personuppgiftsansvarige få bekräftelse på om personuppgifter som rör honom eller henne håller på att behandlas. Behandlas sådana uppgifter ska den personuppgiftsansvariga lämna den sökande kompletterande information samt en kopia på de personuppgifter som den personuppgiftsansvariga behandlar.

text: Enligt artikel 16 ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Med beaktande av ändamålet med behandlingen, ska den registrerade ha rätt att komplettera ofullständiga personuppgifter, bland annat genom att tillhandahålla ett kompletterande utlåtande.

text: Integritetsskyddsmyndighetens bedömning

text: Spotify har inte hanterat klagandens begäran om tillgång i enlighet med dataskyddsförordningen

text: IMY anser att Spotify inte har hanterat klagandens begäran om tillgång av den 26 december 2018 i enlighet med dataskyddsförordningen. Det var inte tillräckligt att Spotify besvarade klagandens begäran genom att hänvisa till bolagets online-tjänst. Att Spotify först den 3 juni 2021 kontaktade klaganden och initierade processen för att lämna ut klagandens personuppgifter uppgifter kan inte anses vara att ha gett klaganden tillgång till uppgifterna utan onödigt dröjsmål i den mening som avses i dataskyddsförordningen. Vad Spotify anför om att det varit fråga om en engångsföreteelse som berott på ett förbiseende föranleder ingen annan bedömning.

text: Mot denna bakgrund konstaterar IMY att Spotify AB har behandlat personuppgifter i strid med artikel 12.3 och 15 i dataskyddsförordningen genom att inte utan onödigt dröjsmål ha gett klaganden tillgång till sina personuppgifter enligt klagandens begäran av den 26 december 2018 först den 3 juni 2021.

text: Spotify har inte hanterat klagandens begäran om rättelse utan onödigt dröjsmål och inte underlättat utövandet av klagandens rättighet att begära rättelse i enlighet med dataskyddsförordningen

text: När klaganden den 25 december 2018 begärde att få ändra sin hemadress hade bolaget enligt egna uppgifter ingen teknisk möjlighet att ändra uppgiften på annat sätt än att klaganden skapade ett nytt konto. IMY anser dock att den lösning som bolaget erbjöd, det vill säga att klaganden skulle skapa ett nytt konto dit bolaget skulle överföra klagandens uppgifter, inte var tillräcklig för att bolaget ska anses ha hanterat begäran om rättelse eller ha underlättat för klaganden att utöva sina rättigheter. Klagandens adress uppdaterades först den 17 oktober 2019 genom dennes egen försorg, efter att bolaget vidtagit åtgärder för att möjliggöra det den 18 september 2019.

text: IMY konstaterar därmed att Spotify AB har behandlat personuppgifter i strid med artikel 12.2 i dataskyddsförordningen genom att inte ha underlättat klagandens utövande av sin rättighet enligt artikel 16 att få sin uppgift om hemadress rättad och istället hänvisat klaganden till att skapa ett nytt konto på bolagets musiktjänst.

text: Vidare konstaterar IMY att Spotify AB har behandlat personuppgifter i strid med artikel 12.3 och 16 i dataskyddsförordningen genom att inte utan onödigt dröjsmål tillgodosett klagandens begäran om rättelse av sin hemadress av den 25 december 2018 genom att rättelse skedde först den 17 oktober 2019.

text: Val av ingripande

text: Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY konstaterar att överträdelserna drabbat en person, att det inte gällt känsliga uppgifter och att bolaget inte tidigare har konstaterats överträtt nämnda artiklar förutom artikel 12.4 den 8 juni 2018. Vidare har Spotify numera rättat uppgiften om klagandens hemadress, ändrat sitt förfarande för uppdatering av sådana uppgifter för att underlätta för de registrerade och på eget initiativ vidtagit åtgärder för att tillgodose klagandens begäran om tillgång. Mot denna bakgrund bedömer IMY att det är fråga om sådana mindre överträdelser i den mening som avses i skäl 148 som medför att Spotify AB ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna.

text: Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av juristen Olle Pettersson.

text: Catharina Fernquist, 2021-11-22 (Det här är en elektronisk signatur)

text: Kopia till

text: Dataskyddsombudet

text: Hur man överklagar

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: MAG Interactive AB Org.nr: 556804-3524 A 113 60 Stockholm

text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om 08-657 61 00 upphävande av direktiv

text: (allmän dataskyddsförordning).

sprak: en

titel: In English: Final Decision MAG Interactive AB

slug: mag-interactive-ab

title: MAG Interactive AB

text: DI-2020-10538 Beslut efter tillsyn enligt

text: dataskyddsförordningen - MAG Interactive AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att MAG Interactive AB har behandlat personuppgifter i strid med artikel 12.3 dataskyddsförordningen genom att inte utan onödigt dröjsmål informerat klaganden om resultatet av klagandens begäran om radering enligt artikel 17 av den 29 maj 2019 först den 6 november 2020.

text: Ärendet avslutas utan åtgärd.

text: Redogörelse för tillsynsärendet

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande MAG Interactive AB (bolaget) med anledning av ett klagomål. Klagomålet har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet för bolagets verksamhet enligt artikel 56 dataskyddsförordningen, från tillsynsmyndigheten i det land där klaganden har lämnat in sitt klagomål i enlighet med förordningens bestämmelser om samarbete i gränsöverskridande ärenden.

text: I klagomålet görs gällande att bolaget inte har hanterat klagandens begäran om radering av klagandens personuppgifter enligt artikel 17 dataskyddsförordningen.

text: MAG Interactive AB har i huvudsak uppgett följande. Bolaget mottog först en begäran om radering av klagandens konto på bolagets tjänster den 29 november 2018 (den första begäran). Eftersom begäran kom från en annan e-postadress än den som kopplats till kontot begärde bolaget att klaganden skulle återkomma med bevisning till styrkande av sin identitet, vilket klaganden inte gjorde. Den 29 maj 2019 inkom en ny begäran om radering av klagandens konto, men då per post och med erforderlig bevisning till styrkande av klagandens identitet (den andra begäran). Bolaget raderade klagandens uppgifter manuellt den 15 juni 2019 i enlighet med begäran, förutom de uppgifter som behövs för att visa att begäran har hanterats. På grund av förbiseende meddelades klaganden dock inte om resultatet av begäran i anslutningen till att

text: begäran åtgärdades. Det skedde istället först i anslutning till genomgång inför svar i detta tillsynsärende, det vill säga den 6 november 2020.

text: Handläggningen har skett genom skriftväxling. Mot bakgrund av att det gäller ett gränsöverskridande klagomål har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Norge, Irland, Frankrike, Österrike, Danmark, Polen och Tyskland.

text: Motivering av beslut

text: Tillämpliga bestämmelser

text: Enligt artikel 12.3 dataskyddsförordningen ska den personuppgiftsansvarige på begäran utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran tillhandahålla den registrerade information om de åtgärder som vidtagits enligt artikel 17. Denna period får vid behov förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet inkomna begäranden. Den personuppgiftsansvarige ska underrätta den registrerade om en sådan förlängning inom en månad från det att begäran mottagits samt ange orsakerna till förseningen.

text: Enligt artikel 12.6 får den personuppgiftsansvarige, om denne har rimliga skäl att betvivla identiteten hos den fysiska person som lämnar in en begäran enligt artikel 17, begära att ytterligare information som är nödvändig för att bekräfta den registrerades identitet tillhandahålls.

text: Enligt artikel 17.1 a ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om personuppgifterna inte längre är nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlats. Enligt artikel 17.3 b ska detta inte gälla i den utsträckning som behandlingen är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten.

text: Enligt artikel 57.1 f ska varje tillsynsmyndighet på sitt territorium ansvara för att behandla klagomål från en registrerad och där så är lämpligt undersöka den sakfråga som klagomålet gäller.

text: Integritetsskyddsmyndighetens bedömning

text: Beträffande den första begäran konstaterar IMY att MAG Interactive AB hade rimliga skäl att betvivla klagandens identitet och således fog för att begära att klaganden inkom med ytterligare bevisning, vilket klaganden inte gjorde. IMY anser mot denna bakgrund att bolaget inte har varit skyldig att vidta några ytterligare åtgärder med anledning av den begäran.

text: Beträffande den andra begäran konstaterar IMY att bolaget raderat klagandens uppgifter, förutom de uppgifter som krävs för att visa att begäran har hanterats, inom 16 dagar från att bolaget mottog begäran den 29 maj 2019. IMY anser att bolaget har raderat klagandens uppgifter utan onödigt dröjsmål i den mening som avses i artikel 17 dataskyddsförordningen. Vidare har bolaget haft fog för att behålla de uppgifter

text: som behövs för att kunna visa att begäran har hanterats i enlighet med dataskyddsförordningen.

text: Däremot informerade bolaget klaganden om resultatet av den andra begäran först den 6 november 2020. Eftersom den personuppgiftsansvarige enligt artikel 12.3 utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran, med ett här inte aktuellt undantag, ska informera den registrerade om de åtgärder som vidtagits enligt artikel 17 har MAG Interactive AB överträtt artikel 12.3 dataskyddsförordningen.

text: Bolaget har uppgett att anledningen till att klaganden inte informerades om resultatet av begäran var på grund av ett förbiseende. Enligt bolaget föranleddes detta främst av att begäran hanterades manuellt eftersom den inkom per post och att bolaget normalt hanterar begäranden i ett system där notifikationer om vidtagna åtgärder skickas automatiskt. Med anledning av det inträffande har bolaget angett att det kommer att se över sina rutiner så att det inträffade inte upprepas. Bolaget kommer bland annat sätta upp en separat logg för manuella ärenden för att säkerställa att alla steg följs, inklusive att användaren notifieras på det sätt som den har begärt.

text: IMY konstaterar att det naturligtvis är viktigt att den personuppgiftsansvarige meddelar den registrerade om vilka åtgärder som har vidtagits med anledning av dennes begäran, även i de fall då begäran tillmötesgås fullt ut i den mån som kan krävas.

text: Mot bakgrund av de omständigheter gällande överträdelsen som bolaget har lyft fram – och de åtgärder som bolaget angett att det vidtagit och kommer att vidta – anser dock IMY att sakfrågan i klagomålet är utredd i den omfattning som är lämpligt enligt artikel 57.1 f dataskyddsförordningen.

text: Mot denna bakgrund avslutas ärendet utan åtgärd.

text: Catharina Fernquist, 2021-01-22 (Det här är en elektronisk signatur)


text: Spotify AB Org.nr: 556703-7485 Regeringsgatan 19 111 53 Stockholm

text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om 08-657 61 00 upphävande av direktiv

text: (allmän dataskyddsförordning).

text: PCI DSS står för Payment Card Industry Data Security Standard och är en allmänt accepterad uppsättning riktlinjer och rutiner som syftar till att optimera säkerheten kring användningen av kredit- och bankkort.

titel: In English: Final decision Spotify AB

slug: spotify

title: Spotify AB

text: DI-2020-10541 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Spotify AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Spotify AB har behandlat personuppgifter i strid med

text:  artikel 12.4 dataskyddsförordningen genom att bolaget i sitt svar av den 8 juni 2018 på klagandens invändning mot behandlingen av den 24 maj 2018 enligt artikel 21 inte på ett klart och tydligt sätt har redogjort för vilka uppgifter som behandlas, att uppgifterna behandlas med stöd av ett berättigat intresse och vad det berättigade intresset är samt att svaret inte innehållit information om möjligheten att lämna in ett klagomål till tillsynsmyndigheten och begära rättslig prövning.

text: Integritetsskyddsmyndigheten ger Spotify AB en reprimand enligt artikel 58.2 b dataskyddsförordningen.

text: Redogörelse för tillsynsärendet

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande Spotify AB (Spotify eller bolaget) med anledning av ett klagomål. Klagomålet har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 dataskyddsförordningen. Överlämnandet har skett från tillsynsmyndigheten i det land där klaganden har lämnat in sitt klagomål (Danmark) i enlighet med förordningens bestämmelser om samarbete vid gränsöverskridande behandling.

text: I klagomålet anförs i huvudsak följande. Klaganden har tidigare haft ett konto och en betalprenumeration på bolagets musiktjänst. Klaganden har flera gånger begärt att bolaget ska radera hans kortuppgifter. Enligt bolaget har klaganden registrerat sig via PayPal och bolaget behandlar därför inte klagandens kortuppgifter. Klaganden ifrågasätter detta, eftersom klagandens son har nekats att registrera sig för en

text: kostnadsfri provperiod där klagandens kortuppgifter använts, med motiveringen att kortet redan har använts.

text: Spotify AB har i huvudsak uppgett följande.

text: Klaganden har begärt radering av sina kredit- eller betalkortsuppgifter. Spotify behandlar dock inte kortuppgifter när en användare betalar via PayPal, såsom klaganden gjort, utan behandlar istället unika identifierare för de betalkort eller ”instrument” (”unika betalningsinstrumentidentifierare”) som används av en kund vid registrering av kostnadsfria provperioder. Den rättsliga grunden för behandlingen är berättigade intressen. Att klaganden skrivit att han drar tillbaka sitt samtycke får tolkas som en invändning mot behandlingen. Den fortsatta behandlingen är inte föremål för rätten till radering eftersom Spotify har ett starkt, berättigat intresse att fortsätta behandlingen som väger tyngre än klagandens rättigheter och friheter.

text: För att registrera sig för en kostnadsfri provperiod måste potentiella kunder tillhandahålla Spotify betalkortsuppgifter som kommer användas för fakturering när den kostnadsfria provperioden har löpt ut. För att motverka missbruk av de kostnadsfria provperioder som bolaget erbjuder använder bolaget unika betalningsinstrumentidentifierare. Detta gör att samma betalningsinstrument inte kan användas flera gånger. Utan denna funktion skulle det vara enkelt för en kund att starta nya kostnadsfria Spotify-konton för ytterligare provperioder varje gång deras kostnadsfria provperiod löper ut, genom att variera uppgifter såsom e-postadress, och därmed bedrägligt utnyttja Spotify. Den unika betalningsinstrumentidentifieraren är en alfanumerisk kedja som genereras av Spotifys betalningsbehandlare PayPal. Den möjliggör den unika identifieringen av kreditkort, men den innehåller inte kreditkortsnumret eller andra kortdetaljer. Spotify kan inte genom betalningsinstrumentidentifieraren få tillgång till betalkortsuppgifter via baklängeskonstruktion (s.k. reverse engineering). Denna process är förenlig med PCI DSS .

text: Behandlingen är nödvändig för Spotify för att kunna motverka bedrägeri. Detta är både ett berättigat intresse för Spotify och bolagets breda kundbas, eftersom bolaget inte skulle kunna fortsätta erbjuda kostnadsfria provperioder av bolagets tjänst om bedrägerier inte kunde motverkas på det här sättet. Det ligger också i allmänhetens berättigade intresse.

text: Spotify har svarat på klagandens begäranden men inte raderat uppgifterna eftersom rätten till radering inte är tillämplig. Bolaget svarade den 7 december 2017 på klagandens ursprungliga begäran av den 6 december 2017 och den 8 juni 2018 på klagandens senaste begäran av den 24 maj 2018 och således inom tidsfristen i dataskyddsförordningen. Gällande klagandens skrivelse från den 15 mars 2018 tolkade bolaget inte det som en begäran om radering enligt dataskyddsförordningen, men besvarade skrivelsen den 4 maj 2018. Bolaget har i flera av dessa svar informerat klaganden om att bolaget inte lagrar hans betalkortsuppgifter och att bolaget inte kunde radera betalningsinstrumentreferensen som identifierar att hans kort redan har använts för att ta del av ett av bolagets erbjudanden eller tjänster.

text: Gällande vilken information som lämnades till klaganden den 8 juni 2018 med anledningen av dennes invändning anser Spotify att bolaget svarade på klagandens fråga genom att förklara att det inte lagrar några kortuppgifter utan endast använder en algoritm för att se om ett kreditkort har använts för att ta del av ett Spotify-erbjudande tidigare. Om bolaget hade haft anledning att tro att klaganden önskade mer detaljer om dessa kategorier av personuppgifter hade bolaget tillhandahållit det. När bolagets kundtjänstrådgivare kommunicerar med användare försöker bolaget alltid att tillhandahålla den information som användarna frågar efter i ett format som är relevant

text: för användarna och som även någon som inte känner till bestämmelserna i dataskyddsförordningen skulle förstå. Eftersom klaganden varken nämnde förordningen eller frågade efter den rättsliga grunden för behandlingen gick bolaget inte in på legala detaljer i sitt svar såsom bolagets intresseavvägning. Därtill hade bolaget i sin integritetspolicy kommunicerat till sina användare att det på förfrågan gärna tillhandahåller mer information om den intresseavvägning som bolaget har gjort för att förlita sig på berättigat intresse som legal grund och informerat om möjligheten att lämna in klagomål till tillsynsmyndigheterna. Vidare bör det beaktas att ärendet påbörjades mer än fem månader innan dataskyddsförordningen trädde i kraft och att den enda korrespondensen som ägt rum i tiden efter var bolagets svar två veckor därefter. Sedan dess har bolagets kundtjänstrådgivare genomgått ytterligare utbildning i hur de ska svara användare på ett klart och tydligt sätt, vilka frågor som ska betraktas som förfrågningar enligt dataskyddsförordningen samt vilka frågor som ska vidarebefordras till bolagets dataskyddsteam och dataskyddsombud. Slutligen ska det beaktas att bolaget får in över 11.000 kundtjänstärenden dagligen. Även om bolagets kundtjänst får kontinuerliga utbildningar i dataskydd kan den mänskliga faktorn ibland leda till att ett ärende besvaras som ett kundtjänstärende istället för ett svar på en förfrågan enligt dataskyddsförordningen som avses i artikel 12.4, särskilt när användaren inte nämner personuppgifter eller dataskyddsförordningen i sin kommunikation med bolaget.

text: Handläggningen har skett genom skriftväxling. Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Portugal, Belgien, Cypern, Österrike, Frankrike, Tyskland, Slovakien, Italien, Spanien, Danmark, Norge och Finland.

text: Motivering av beslut

text: Integritetsskyddsmyndighetens bedömning

text: Har bolaget haft rätt att fortsätta behandla klagandens uppgifter efter att klaganden invänt mot behandlingen?

text: Enligt artikel 17.1 c dataskyddsförordningen ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om den registrerade invänder mot behandlingen i enlighet med artikel 21.1 och det saknas berättigade skäl för behandlingen som väger tyngre. Enligt artikel 21.1 ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 f. Den personuppgiftsansvarige får inte längre behandla personuppgifterna såvida denne inte kan påvisa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter.

text: Klagandens skrivelse av den 24 maj 2018 får förstås som en invändning mot behandlingen enligt artikel 21.1, av skäl som hänför sig till hans specifika situation på så sätt att den medför att kortnumret inte kan återanvändas för att registrera nya kostnadsfria provperioder på bolagets tjänster. Eftersom begäran inte hade hanterats innan dataskyddsförordningen började tillämpas den 25 maj 2018 så ska bolagets hantering av begäran bedömas enligt dataskyddsförordningen, det vill säga om

text: bolaget har påvisat avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter.

text: För att behandling ska kunna stödja sig på artikel 6.1 f krävs att samtliga tre villkor som föreskrivs där är uppfyllda, nämligen för det första att den personuppgiftsansvarige eller tredje part har ett berättigat intresse (berättigat intresse), för det andra att behandlingen är nödvändig för ändamål som rör det berättigade intresset (nödvändig) och för det tredje att inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter (intresseavvägning).

text: Bolaget har bland annat anfört att bolagets berättigade intresse med behandlingen är att motverka bedrägerier avseende kostnadsfria provperioder. I skäl 47 dataskyddsförordningen anges att sådan behandling av personuppgifter som är absolut nödvändig för att förhindra bedrägerier utgör ett berättigat intresse för berörd personuppgiftsansvarig. IMY anser därmed att bolaget har ett berättigat intresse.

text: Vidare anser IMY att behandlingen är absolut nödvändig för ändamål som rör det berättigade intresset. Av utredningen framgår nämligen att uppgifterna har minimerats i den mån det är möjligt för att bolaget ska kunna uppnå ändamålet som rör det berättigade intresset.

text: Vid den intresseavvägning som ska göras mellan bolagets berättigade intresse och klagandens intressen, rättigheter och friheter, konstaterar IMY att bolagets berättigade intresse väger tungt. Behandlingen framstår som något som klaganden rimligen kan förvänta sig vid registrering av en kostnadsfri provperiod och inte särskilt integritetskränkande. Uppgifterna i sig är inte heller att betrakta som integritetskänsliga. Vid en sammanvägd bedömning anser IMY att bolaget har visat avgörande berättigade skäl som väger tyngre än klagandens intresse av att hans kortuppgifter kan återanvändas för att registrera nya kostnadsfria provperioder på bolagets tjänster och att hans personuppgifter inte ska behandlas.

text: IMY anser mot bakgrund av de skäl som bolaget fört fram att bolaget har visat avgörande berättigade skäl som väger tyngre än klagandens intressen, friheter och rättigheter. Bolaget har därmed haft fog för att fortsätta behandla uppgifterna efter att klaganden har invänt mot behandlingen och klaganden har därför inte haft rätt till radering enligt artikel 17.1 c dataskyddsförordningen.

text: Har bolaget hanterat klagandens begäranden på ett formellt korrekt sätt enligt dataskyddsförordningen?

text: Enligt artikel 12.1 dataskyddsförordningen ska den personuppgiftsansvarige vidta lämpliga åtgärder för att till den registrerade tillhandahålla all kommunikation enligt artikel 17 och 21 vilken avser behandling i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, Enligt artikel 12.3 dataskyddsförordningen ska den personuppgiftsansvarige på begäran utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran tillhandahålla den registrerade information om de åtgärder som vidtagits enligt artikel 17 och 21. Enligt artikel 12.4 ska den personuppgiftsansvarige, om denne inte vidtar åtgärder på den registrerades begäran, utan dröjsmål och senast en månad efter att ha mottagit begäran informera den registrerade om orsaken till att åtgärder inte vidtagits och om möjligheten att lämna in ett klagomål till en tillsynsmyndighet och begära rättslig prövning. Enligt skäl 59 dataskyddsförordningen bör personuppgiftsansvariga utan onödigt dröjsmål och senast inom en månad vara

text: skyldiga att besvara registrerades önskemål och lämna en motivering, om de inte avser att uppfylla sådana önskemål.

text: I ärendet ska endast bedömas bolagets agerande under den tid som dataskyddsförordningen har varit tillämplig, det vill säga sedan den 25 maj 2018. Vid bedömningen av om bolaget uppfyllt sina informationsskyldigheter gentemot klaganden genom sitt svar den 8 juni 2018 ska dock de svar som bolaget tidigare lämnat till klaganden beaktas till bolagets fördel.

text: Bolaget har bland annat fört fram att anledningen till att bolaget i sitt svar till klaganden inte informerat om sin rättsliga grund för behandlingen, sin intresseavvägning eller möjligheten att klaga till tillsynsmyndigheter berott på att klaganden inte nämnt personuppgifter eller dataskyddsförordningen i sin kommunikation med bolaget och att klaganden kort där innan fått information om detta genom bolagets integritetspolicy som började gälla den 25 maj 2018. IMY konstaterar dock att klaganden uttryckligen angett att det gällt kreditkortsuppgifter och för vilka ändamål han menade att uppgifterna får behandlas, vilket svårligen kan förstås som annat än som personuppgifter och hänvisningar till dataskyddsreglerna. Som IMY ovan konstaterat och bolaget också själv angett ska klagandens begäran dessutom uppfattas som en invändning enligt artikel 21, vilket därmed har inneburit en skyldighet för bolaget att meddela ett för klaganden individualiserat beslut enligt dataskyddsförordningen. Eftersom bolagets beslut var negativt skulle bolagets svar enligt skäl 59 varit motiverat och enligt artikel 12.4 innehållit orsaken till detta och klagohänvisning, vilket det inte gjorde. Vad bolaget anfört om att information om detta framgått av bolagets integritetspolicy är inte tillräckligt. Detta eftersom det rört sig om ett individualiserat beslut och den enskilde inte kan förväntas ta del av en sådan policy i sin helhet för att dra slutsatser om vilken typ av beslut som bolaget därmed fattat, särskilt när bolaget varken angett vilken rättslig grund behandlingen baserats på eller att klagandens invändning hade avslagits.

text: Mot denna bakgrund finner IMY att bolagets svar av den 8 juni 2018 inte varit tillräckligt motiverat enligt artikel 12.4 eftersom bolaget inte på ett klart och tydligt sätt har redogjort för vilka uppgifter som behandlas, att uppgifterna behandlas med stöd av ett berättigat intresse och vad det berättigade intresset är samt att svaret inte innehållit information om möjligheten att lämna in ett klagomål till tillsynsmyndigheten och begära rättslig prövning. Spotify har därigenom behandlat personuppgifter i strid med artikel 12.4 dataskyddsförordningen.

text: Val av ingripande

text: Av artikel 58.2 i och artikel 83.2 dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: Bolaget har till sitt försvar i huvudsak anfört att det rör sig om en engångsföreteelse och att bolaget hanterar en stor mängd kundtjänstärenden. Vidare har sedan det inträffade bolagets kundtjänstrådgivare genomgått ytterligare utbildning i hur de ska svara användare på ett klart och tydligt sätt, vilka frågor som ska betraktas som förfrågningar enligt dataskyddsförordningen samt vilka frågor som ska vidarebefordras till bolagets dataskyddsteam och dataskyddsombud.

text: IMY finner vid en samlad bedömning av omständigheterna att det är fråga om en sådan mindre överträdelse i den mening som avses i skäl 148 och att Spotify AB därför ska ges en reprimand enligt artikel 58.2 b dataskyddsförordningen för den konstaterade överträdelsen.

text: Ärendet avslutas.

text: Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av juristen Olle Pettersson.

text: Catharina Fernquist, 2021-03-24 (Det här är en elektronisk signatur)

text: Kopia till

text: Dataskyddsombudet

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.