1(8)
Lensway Group AB
Diarienummer:
IMY-2022-1032 Beslut efter tillsyn enligt
dataskyddsförordningen - Lensway
Datum:
2023-01-19
Group AB
Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten konstaterar att Lensway Group AB vid hantering av
begäran om radering som gjordes den 20 februari 2020 av klaganden i klagomål 1,
och den 25 juni 2020 av klaganden i klagomål 2, har behandlat personuppgifter i strid
med:
• artikel 12.6 i dataskyddsförordningen1 genom att begära kopia av
identitetshandling och signatur när detta inte varit nödvändigt för att bekräfta
de klagandes identiteter samt
• artikel 12.2 i dataskyddsförordningen genom att kräva att klagandena vid
begäran om radering ska skicka in uppgifter för att bekräfta sina identiteter
via postgång vilket inte underlättat klagandenas utövande av sin rätt till
radering.
Integritetsskyddsmyndigheten ger Lensway Group AB en reprimand enligt artikel
58.2 b i dataskyddsförordningen för överträdelse av artiklarna 12.2 och 12.6 i
dataskyddsförordningen.
Redogörelse för tillsynsärendet
Handläggning
Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande Lensway Group AB
(bolaget) med anledning av två klagomål, i huvudsak för att utreda om Lensway Group
AB har tagit emot och hanterat klagandenas begäran om radering på ett korrekt sätt
enligt artiklarna 12 och 17 i dataskyddsförordningen. Klagomålen har lämnats över till
IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 i
Postadress: dataskyddsförordningen. Överlämningen har skett från tillsynsmyndigheterna i det land
Box 8114 där klagandena har lämnat in sina klagomål (Finland och Danmark) i enlighet med
104 20 Stockholm förordningens bestämmelser om samarbete vid gränsöverskridande behandling.
Webbplats:
www.imy.se
E-post:
[email protected] 1 EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING (EU) 2016/679 av den 27 april 2016 om skydd för
Telefon: fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om
08-657 61 00 upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1032 2(8)
Datum: 2023-01-19
Handläggningen vid IMY har skett genom skriftväxling. Mot bakgrund av att det gäller
gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete
och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda
tillsynsmyndigheter har varit dataskyddsmyndigheterna i Danmark, Norge och Finland.
Klagomålen
I klagomålen anförs i huvudsak följande.
Klagomål 1 (Klagomål från Finland med nationellt diarienummer 1576/153/2020)
Klaganden har varit i kontakt med bolaget den 20 februari 2020 och begärt radering.
Bolaget har svarat klaganden att han behöver skicka sin postadress till dem så att de
kan skicka handlingar rörande hans begäran till honom. Dessa handlingar skulle
klaganden signera och skicka tillbaka. Vidare har bolaget begärt att klaganden ska
verifiera sin identitet genom att skicka en kopia på sin identitetshandling via e-post. Av
säkerhetsskäl har inte klaganden varit villig att inkomma med det som begärts av
honom.
Klagomål 2 (Klagomål från Danmark med nationellt diarienummer 2020-31-3616)
Klaganden har begärt radering av sin information på lensway.dk. För att tillmötesgå
begäran har bolaget begärt att han ska uppge sitt socialförsäkringsnummer och
inkomma med en kopia på sin identitetshandling. Bolaget kan dock inte berätta för
klaganden varför de behöver denna information utöver att de behöver den för att
kunna bekräfta hans identitet. Klaganden ifrågasätter att bolaget behöver samla in
personuppgifter för att radera personuppgifter. Klaganden föreslog att bolaget istället
kunde bekräfta hans identitet genom att skicka ett e-postmeddelande till adressen som
fanns registrerad på honom men de vägrade.
Vad bolaget har uppgett
Bolaget har i yttrande från den 20 april, den 12 maj och den 11 augusti 2022 i
huvudsak uppgett följande. Bolaget är personuppgiftsansvarig för de behandlingar
som klagomålen gäller.
Klagomål 1
Bolaget har mottagit klagandens begäran om radering men klaganden har inte fullföljt
bolagets vid tiden gällande verifieringsprocess. Bolaget har begärt att klaganden ska
skicka in en kopia av sin identitetshandling. Det är det enda sättet som bolaget hittills
har kunnat säkerställa kundens identitet på. Kopian skulle skickas via ordinarie
postgång. Bolaget har även begärt att klaganden ska skicka in en undertecknad
begäran om radering. Bolaget har hittills inte kunnat ta emot dessa uppgifter digitalt.
För att säkerställa att de mottagit underlag i original har de bett klaganden skicka in
detta via ordinarie postgång.
Klagomål 2
Bolaget har mottagit begäran om radering den 25 juni 2020 men klaganden har inte
fullföljt bolagets vid tiden gällande verifieringsprocess. Det stämmer att bolaget
efterfrågat klagandens socialförsäkringsnummer i det skriftliga underlaget men det har
varit frivilligt att uppge denna uppgift. Som tillägg till uppgifterna i det skriftliga
underlaget har bolaget begärt att klaganden ska skicka in en kopia av sin
identitetshandling. Bolaget har hittills inte kunnat identifiera klaganden på något annat
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1032 3(8)
Datum: 2023-01-19
sätt. Klaganden har ombetts att skicka in uppgifterna via ordinarie postgång i syfte att
säkerställa att bolaget mottagit underlag i original.
Vad avser båda klagomålen har bolaget uppgett följande
Vad avser den skriftliga begäran som båda klagandena skulle skicka in, uppger
bolaget följande gällande vilka personuppgifter som varit obligatoriska att uppge och
varför uppgifterna varit nödvändiga.
• Namn är en obligatorisk uppgift som begärs in för att för att bekräfta den
registrerades identitet.
• E-postadress är en obligatorisk uppgift som begärs in för att den används som
en unik identifikator av kunder i bolagets system.
• Signatur är en obligatorisk uppgift för att bolaget ska kunna försäkra sig om att
den registrerade läst igenom informationen och gett sitt godkännande.
Bolaget anför att de alltid bör säkerställa att det är rätt person som kontaktar dem då
det gäller begäranden om att utöva en rättighet enligt dataskyddsförordningen. Då
bolaget tidigare inte kunnat identifiera kunden på ett bra och säkert sätt när de
kontaktat bolaget via kundservice har den manuella processen via ordinarie postgång
varit den de använt sig av. På detta sätt har de fått till en tvåstegsverifiering.
Funktionalitet för att möjliggöra bekräftelse av kundens identitet via kundservice har
inte funnits på plats.
Kundförhållandet till bolaget kan etableras på två sätt, antingen genomför kunden ett
köp eller så loggar kunden in på Mina Sidor. När kunden skapar ett konto på Mina
Sidor anger kunden sin e-postadress och ett e-postmeddelande med bekräftelse
skickas till kunden. Kunden kan sedan via länken i e-postmeddelandet komma till en
webbsida där hen kopplar ett lösenord till e-postadressen. Kundkontot är därefter
skapat och bolaget får på detta sätt en tvåstegsverifiering. Klagandena har använt sig
av det andra sättet genom vilket kundförhållandet kan etableras på.
Klagandena har genomfört köp hos bolaget och de har då identifierats via bolagets
betaltjänst som tillhandahålls av Klarna. För de flesta betalalternativ kräver Klarna att
kunden verifierar sig via bankID. För vissa betalmetoder, exempelvis betalning med
kreditkort, kan kunden själv välja att inte behöva verifiera sig via bankID genom
Klarnas app.
Bolagets befintliga digitala kontaktväg är Mina Sidor. Det har dock inte funnits någon
funktionalitet för att hantera begäranden om att utöva en rättighet enligt
dataskyddsförordningen på Mina Sidor. Sedan april 2022 kan bolagets kunder numera
begära att bli raderade eller få en kopia av sina personuppgifter direkt via Mina Sidor.
Kundens identitet verifieras då via ordinarie inloggning.
Motivering av beslutet
Tillämpliga bestämmelser m.m.
Enligt artikel 17.1 ska den registrerade ha rätt att av den personuppgiftsansvarige utan
onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige
ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om någon av de
förutsättningar som räknas upp i artikeln föreligger, till exempel om uppgifterna inte
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1032 4(8)
Datum: 2023-01-19
längre är nödvändiga för de ändamål för vilka de har samlats in eller om samtycke för
behandling återkallas.
Enligt artikel 12.2 ska den personuppgiftsansvarige underlätta utövandet av den
registrerades rättigheter i enlighet med artiklarna 15–22.
I artikel 12.6 anges att utan att det påverkar tillämpningen av artikel 11 får den
personuppgiftsansvarige, om denne har rimliga skäl att betvivla identiteten hos den
fysiska person som lämnar in en begäran enligt artiklarna 15–21, begära att ytterligare
information som är nödvändig för att bekräfta den registrerades identitet tillhandahålls.
I Europeiska dataskyddsstyrelsens (EDPB) Riktlinjer 01/2022 om tillgång2 anges bland
annat följande.
65. Om den personuppgiftsansvarige begär ytterligare information som är
nödvändig för att bekräfta den registrerades identitet ska den
personuppgiftsansvarige varje gång bedöma vilken information som kommer att
göra det möjligt för den personuppgiftsansvariga att bekräfta den registrerades
identitet och eventuellt ställa ytterligare frågor till den begärande personen eller
begära att den registrerade lägger fram ytterligare identifieringsuppgifter, om det är
proportionerligt (se avsnitt 3.3). Sådan ytterligare information bör inte vara mer än
den information som ursprungligen behövdes för att kontrollera den registrerades
identitet (autentisering). I allmänhet kan det faktum att den
personuppgiftsansvarige kan begära ytterligare information för att bedöma den
registrerades identitet inte leda till alltför stora krav och till insamling av
personuppgifter som inte är relevanta eller nödvändiga för att stärka kopplingen
mellan den enskilde och de personuppgifter som begärs.3
[…]
73. Det bör betonas att användningen av en kopia av en identitetshandling som en
del av autentiseringsprocessen utgör en risk för personuppgifternas säkerhet och
kan leda till otillåten eller olaglig behandling, och därför bör den anses olämplig,
såvida det inte är absolut nödvändigt, lämpligt och i enlighet med nationell
lagstiftning. I sådana fall bör de personuppgiftsansvariga ha system som
säkerställer en säkerhetsnivå som är lämplig för att minska de högre riskerna för
den registrerades fri- och rättigheter att ta emot sådana uppgifter. Det är också
viktigt att notera att identifiering med hjälp av ett identitetskort inte nödvändigtvis
hjälper i onlinesammanhang (t.ex. vid användning av pseudonymer) om den
berörda personen inte kan bidra med några andra bevis, t.ex. ytterligare
egenskaper som matchar användarkontot.4
2 EDPB, Guidelines 01/2022 on data subject rights - Right of access, Version 1.0 (EDPB:s Riktlinjer 01/2022 om
rätten till tillgång). Riktlinjerna har varit ute på publik konsultation och väntar på att bli slutligt antagna.
3 IMY:s översättning, original: In cases where the controller requests the provision of additional information necessary
to confirm the identity of the data subject, the controller shall each time assess what information will allow it to confirm
the data subject’s identity and possibly ask additional questions to the requesting person or request the data subject
to present some additional identification elements, if it is proportionate (see section 3.3). Such additional information
should not be more than the information initially needed for the verification of the data subject’s identity
(authentication). In general, the fact that the controller may request additional information to assess the data subject’s
identity cannot lead to excessive demands and to the collection of personal data which are not relevant or necessary
to strengthen the link between the individual and the personal data requested.
4 IMY:s översättning, original: It should be emphasised that using a copy of an identity document as a part of the
authentication process creates a risk for the security of personal data and may lead to unauthorised or unlawful
processing, and as such it should be considered inappropriate, unless it is strictly necessary, suitable, and in line with
national law. In such cases the controllers should have systems in place that ensure a level of security appropriate to
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1032 5(8)
Datum: 2023-01-19
Integritetsskyddsmyndighetens bedömning
IMY har med utgångspunkt i de aktuella klagomålen i ärendet granskat bolagets
agerande i dessa två enskilda fall.
Har bolaget agerat i enlighet med 12.6 i dataskyddsförordningen när bolaget
begärt in aktuella uppgifter av klagandena?
Har Lensway Group haft rimliga skäl att betvivla identiteten hos klagandena?
Det är endast när den personuppgiftsansvarige har rimliga skäl att betvivla identiteten
hos den som gjort begäran som ytterligare information för att bekräfta identiteten får
begäras. Vad som utgör ”rimliga skäl” i artikel 12.6 i dataskyddsförordningen bör
bedömas utifrån omständigheterna i det enskilda fallet. Bedömningen av om det finns
rimliga skäl att i ett enskilt fall betvivla identiteten hos den som gör begäran görs
normalt mot bakgrund av den information som lämnas i samband med begäran. Det
gäller särskilt i situationer där den personuppgiftsansvarige saknar närmare kännedom
om denna person. Att det krävs en individuell bedömning utesluter dock inte att det
fastställs rutiner för hur den personuppgiftsansvarige normalt sätt verifierar den
registrerades identitet.
Bolaget har getts tillfälle att motivera vilken individuell bedömning gjorts utifrån
klagandenas situation om de ansett att de haft rimliga skäl att betvivla identiteten hos
klagandena när de framfört sina begäranden. Gällande båda klagandena har bolaget i
huvudsak anfört följande. Bolaget bör alltid säkerställa att det är rätt person som
kontaktar dem då det gäller begäranden om att utöva en rättighet enligt
dataskyddsförordningen. Kunden har inte tidigare kunnat identifieras på ett bra och
säkert sätt när de kontaktat bolaget via Kundservice. Funktionalitet för hantering av
begäranden om att utöva en rättighet enligt dataskyddsförordningen har varken funnits
hos Kundservice eller på Mina Sidor.
IMY konstaterar att det av utredningen i ärendet inte tydligt framgår vilka uppgifter som
klagandena lämnade i samband med sin begäran och om det utifrån dessa funnits
anledning för bolaget att betvivla deras identitet. IMY anser dock att det mot bakgrund
av vad som framkommit i ärendet saknas anledning att ifrågasätta bolagets uppgift om
att bolaget haft anledning att betvivla identiteten hos klagandena. I bedömningen
väger IMY in det faktum att skyldigheten att säkerställa identiteten på den som gör en
begäran även har till syfte att skydda registrerade mot att någon annan felaktigt gör
begäranden i deras namn, vilket kan leda till negativa konsekvenser för den
registrerade. Riskerna för dessa negativa konsekvenser vid falska begäranden är
särskilt uppenbara när det rör sig om mer ingripande åtgärder, så som utövande av
rätten till radering. IMY finner därför det inte visat annat än att bolaget i de aktuella
fallen haft rimliga skäl att betvivla identiteten hos klagandena.
Har uppgifterna som Lensway Group begärt varit nödvändiga för att bekräfta
klagandenas identitet?
Även om den personuppgiftsansvarige har rimliga skäl att betvivla identiteten hos de
klagande ska den personuppgiftsansvarige inte samla in fler personuppgifter än vad
som är nödvändigt för att möjliggöra identifiering av den begärande registrerade.
mitigate the higher risks for the rights and freedoms of the data subject to receive such data. It is also important to
note that identification by means of an identity card does not necessarily help in the online context (e.g. with the use
of pseudonyms) if the person concerned cannot contribute any other evidence, e.g. further characteristics matching to
the user account.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1032 6(8)
Datum: 2023-01-19
Bolaget har i huvudsak uppgett följande avseende nödvändigheten av den information
de begärt av båda klaganden. Kopia av identitetshandling har begärts då det var det
enda sättet som bolaget hittills har kunnat säkerställa kundens identitet. I tillägg till
kopia av identitetshandling skulle klagandena skicka in ett skriftligt underlag. De
uppgifter som har begärts i det skriftliga underlaget och varför de varit nödvändiga,
redogörs av bolaget i huvudsak enligt följande. Namnet har begärts för att bekräfta den
registrerades identitet. E-postadressen har begärts för att den används som en unik
identifikator av kunder i bolagets system. Signaturen har också begärts och är enligt
bolaget en nödvändig uppgift för att bolaget ska kunna försäkra sig om att den
registrerade läst igenom informationen och gett sitt godkännande till hanteringen av
begäran.
Vad avser huruvida klagandenas identitet har verifierats har bolaget uppgett att båda
klaganden har genomfört köp där de har identifierats via bolagets betaltjänst som
tillhandahålls av Klarna.
Av bolagets yttrande framgår att det inte krävts att bolaget själva verifierat
klagandenas riktiga identitet när kundförhållandet etablerades d.v.s. vid köpet. IMY
konstaterar att bolaget inte kan kräva mer personuppgifter när klaganden vill tillvarata
sina rättigheter än vad som krävdes vid etablerandet av kundförhållandet. Kopia av
identitetshandling och signatur är sådana uppgifter som bolaget inte begärt vid
kundförhållandets etablerande i dessa två aktuella fall. Vidare beaktar IMY att enligt
EDPB:s riktlinjer om rätten till tillgång bör användningen av kopia av identitetshandling
som en del av autentiseringsprocessen anses olämplig, såvida det inte är absolut
nödvändigt, lämpligt och i enlighet med nationell lagstiftning. IMY anser att kravet att
förse den personuppgiftsansvarige med en kopia på sin identitetshandling är en
ingripande åtgärd, som enbart är lämplig när den personuppgiftsansvarige tidigare har
säkerställt den faktiska identiteten hos den registrerade och då alternativa mindre
ingripande verifieringsmetoder är olämpliga. IMY bedömer att det inte framkommit
några omständigheter som talar emot att andra, mindre ingripande,
verifieringsmetoder hade kunnat användas i de aktuella fallen, till exempel inloggning
via Mina Sidor eller kontrollfrågor. IMY konstaterar att det i ärendet därmed inte
framkommit att begäran om kopian av identitetshandling eller signaturen skulle ha varit
absolut nödvändig eller lämplig.
Mot bakgrund av detta bedömer IMY att kopian av identitetshandling samt signaturen
därmed inte kan anses ha varit nödvändiga för att bekräfta identiteten hos klagandena
i enlighet med artikel 12.6 i dataskyddsförordningen.
Har bolaget agerat i enlighet med 12.2 i dataskyddsförordningen när bolaget
begärt att klagandena ska skicka uppgifterna per postgång?
Nästa fråga är om det har varit tillåtet att kräva att klagandena skulle skicka de
begärda uppgifterna till bolaget via vanlig postgång.
Mot bakgrund av kraven om att underlätta utövandet av den registrerades rättigheter i
artikel 12.2 i dataskyddsförordningen kan det endast i undantagsfall godtas att en
personuppgiftsansvarig som enda kontaktväg hänvisar enskilda till vanlig postgång om
de måste lämna in uppgifter för att deras identiteter ska kunna säkerställas,
exempelvis om det är försvarbart med hänsyn till säkerhetsskäl. Utgångspunkten bör
vara att alternativa sätt att skicka in begärda uppgifter ska erbjudas. Bolaget har i
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1032 7(8)
Datum: 2023-01-19
denna del i huvudsak uppgett att de har krävt att uppgifterna ska skickas via ordinarie
postgång för att säkerställa att de mottagit det skriftliga underlaget i original.
IMY bedömer att översändande av kopia på identitetshandling visserligen kan
innebära särskilda risker vilket kan motivera att det ställs krav på att handlingen
skickas per post. Detta under förutsättning att det är en nödvändig uppgift för att
bekräfta identiteten hos den registrerade.
I de aktuella fallen bedömer IMY ovan att kopia av identitetshandling inte varit
nödvändig för att bekräfta identiteten hos de klagande. Genom att kräva av
klagandena att uppgifterna dessutom ska skickas via ordinarie postgång anser IMY att
bolaget inte har underlättat för de klagande att utöva sin rätt till radering. IMY bedömer
därmed att bolaget därigenom agerat i strid med artikel 12.2 i dataskyddsförordningen.
Val av ingripande
Av artiklarna 58.2 i och 83.2 i dataskyddsförordningen framgår att IMY har befogenhet
att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på
omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras
utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel
förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska
beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid
bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY
enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en
reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande
omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet
samt tidigare överträdelser av relevans.
IMY konstaterar följande relevanta omständigheter. Det har av utredningen i ärendet
framkommit att kopia av identitetshandling samt signatur inte längre begärs av
Lensway Group AB vid begäranden från registrerade om att få utöva sin rättighet till
radering enligt dataskyddsförordningen. Vidare har de konstaterade överträdelserna
inträffat relativt långt tillbaka i tiden (2020) och har drabbat två registrerade. Mot denna
bakgrund finner IMY att det är fråga om en sådana mindre överträdelser i den mening
som avses i skäl 148 som innebär att Lensway Group AB ska ges en reprimand enligt
artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna.
__________________________________________________
Detta beslut har fattats av den särskilda beslutsfattaren juristen Evelin Palmér efter
föredragning av juristen Anna Mlynska.
Evelin Palmér, 2023-01-19 (Det här är en elektronisk signatur)
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1032 8(8)
Datum: 2023-01-19
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i
skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska
ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick
del av beslutet. Om överklagandet har kommit in i rätt tid sänder
Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för
prövning.
Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller
några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av
sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.