1(6)
KLAGANDEN
Se bilaga
TILLSYNSOBJEKT
Aller Media AB
Diarienummer:
IMY-2023-16452 Beslut efter tillsyn enligt
Datum: dataskyddsförordningen – Aller Media
2025-04-28
AB
Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten (IMY) konstaterar att Aller Media AB (556002-8325) har
brutit mot artikel 6.1 f i dataskyddsförordningen1 genom att behandla klagandens
personuppgifter utan laglig grund.
IMY ger Aller Media AB en reprimand med stöd av artikel 58.2 b i
dataskyddsförordningen.
Redogörelse för tillsynsärendet
IMY har inlett tillsyn mot Aller Media AB (Aller eller bolaget) i syfte att utreda ett
klagomål. Klagomålet är ett av flera klagomål som lämnats in till de europeiska
dataskyddsmyndigheterna gällande kakor och kakbanners. Klagomålen rör i huvudsak
designen av kakbanners, placering av kakor och efterföljande behandling av
personuppgifter efter att kakorna blivit placerade på den klagandes webbläsare eller
enhet. För att underlätta samarbetet kring dessa klagomål skapades en arbetsgrupp
(Cookie Banner Taskforce) inom den Europeiska dataskyddstyrelsen (EDPB).
Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av
de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskydds-
förordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i
Österrike, Danmark och Italien.
Klaganden har uppgett i huvudsak följande. Aller har inte haft laglig grund att behandla
klagandens personuppgifter genom användning av kakor på sin webbplats recept.se
den 21 maj 2021. Det har varken funnits ett berättigat intresse eller ett giltigt samtycke.
Genom att förstärka i kakbannern att det är samtycke som är den lagliga grunden har
Postadress: Aller fått registrerade att tro att man inte har ett val att invända enligt artikel 6.1. f. Det
Box 8114 har inte gått att invända mot behandlingen i första lagret och det har inte funnits något
104 20 Stockholm annat enkelt sätt att utöva sin rätt att invända mot behandlingen. Det enda alternativet
Webbplats: att invända på har varit gömt i bannern. Det har inte heller varit möjligt att neka kakor i
www.imy.se första lagret och bolaget har därmed försvårat möjligheten att neka behandling av
E-post:
[email protected] 1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med
Telefon: avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av
08-657 61 00 direktiv 95/46/EG (allmän dataskyddsförordning).
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-16452 2(6)
Datum: 2025-04-28
personuppgifter. Designen av kakbannern har genom färgval, kontrast och länkar
också varit vilseledande vilket inneburit att det inte gått att ge ett informerat och frivilligt
samtycke i enlighet med dataskyddsförordningen. Detta strider även mot principen om
öppenhet och information.
Aller har uppgett i huvudsak följande. Vid den angivna tidpunkten år 2021 använde
Aller både berättigat intresse och samtycke som laglig grund, efter rekommendation
från bolagets Consent Management Platform (CMP)-leverantör. Detta för att leva upp
till både dataskyddsförordningens krav och för att efterleva branschorganisationen
Interactive Advertising Bureaus (IAB) rekommendationer. Berättigat intresse behölls
således men bolaget genomförde justeringar i enlighet med IAB:s krav samt en
anpassning i texten genom att explicit nämna kravet på samtycke i kakbannern. Allers
bedömning är att det åtminstone sedan 2023, enbart är samtycke som är den lagliga
grunden. Aller har endast kvar två syften som alltid är aktiva och det är nödvändiga
kakor och besökarens integritetsval.
Klaganden har fått möjlighet att yttra sig över Allers redogörelse och har då uppgett att
de delar i klagomålet som avser möjligheten att neka kakor i första lagret, vilseledande
länkdesign, vilseledande färg och kontrast på knappar samt att det inte varit lika lätt att
återkalla som att lämna samtycke har blivit åtgärdade. Klaganden har även fört fram
att Aller inte har rättslig grund att spara uppgifter om att besökare inte samtyckt och att
bolaget delar denna information med andra bolag. Till stöd för detta har klaganden
lämnat in skärmavbilder från Allers webbplats från 2024.
Ärendets avgränsning
Post- och telestyrelsen är ensam behörig tillsynsmyndighet över lagen (2022:482) om
elektronisk kommunikation (LEK) som ställer upp särskilda krav för lagring av kakor i
terminalutrustning eller insamlingen av uppgifter från sådan utrustning. Den
personuppgiftsbehandling som sker efter insamling, till exempel analys eller
profilering, träffas däremot av dataskyddsförordningens regler där IMY är behörig
tillsynsmyndighet. IMY:s granskning har mot den bakgrunden avgränsats till den
behandling av personuppgifter som skett efter att uppgifterna samlats in och de brister
som görs gällande i klagomålet angående denna efterföljande behandling.
Klaganden har under handläggningen av ärendet uppgett att delarna om möjligheten
att neka i första lagret, vilseledande länkdesign, vilseledande färg och kontrast på
knappar samt att det inte varit lika lätt att återkalla som att lämna samtycke nu är
åtgärdade. IMY finner därför inte anledning att utreda detta vidare.
IMY:s prövning gäller frågan om Aller har haft laglig grund att behandla klagandens
personuppgifter genom användning av kakor på sin webbplats den 21 maj 2021.
Klaganden har i samband med yttrandet över Allers redogörelse framfört nya
invändningar mot Allers personuppgiftsbehandling som gäller utformningen av
kakbannern under 2024. IMY bedömer att klagomålet är utrett i lämplig utsträckning
utan att det utvidgas till att omfatta även dessa frågor och kommer därför inte att ta
ställning till dessa i ärendet.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-16452 3(6)
Datum: 2025-04-28
Motivering av beslutet
Tillämpliga bestämmelser m.m.
Enligt principen om ansvarsskyldighet ska den personuppgiftsansvarige kunna visa att
behandlingen av personuppgifter utförs i enlighet med dataskyddsbestämmelserna.2
Behandling av personuppgifter är endast laglig om något av de villkor som anges i
artikel 6 i dataskyddsförordningen är uppfyllt. Berättigat intresse enligt 6.1 f är en av de
lagliga grunderna som kan utgöra stöd för en personuppgiftsbehandling.
För att en behandling ska kunna stödja sig på intresseavvägning (även kallad
berättigat intresse) enligt artikel 6.1 f i dataskyddsförordningen krävs att tre villkor är
uppfyllda. För det första ska den personuppgiftsansvarige eller tredje part ha ett
berättigat intresse. För det andra ska personuppgiftsbehandlingen vara nödvändig för
att tillgodose det aktuella berättigade intresset. För det tredje krävs att de registrerades
intressen eller grundläggande fri- och rättigheter inte väger tyngre än de berättigade
intressena (intresseavvägning).3
I skäl 47 framgår att ett berättigat intresse till exempel kan finnas när det föreligger ett
relevant och lämpligt förhållande mellan den registrerade och den personuppgifts-
ansvarige, som att den registrerade är kund hos eller arbetar för den personuppgifts-
ansvarige. Ett berättigat intresse kräver under alla omständigheter en noggrann
bedömning, som inbegriper huruvida den registrerade vid tidpunkten för inhämtandet
av personuppgifter och i samband med detta rimligen kan förvänta sig att en
uppgiftsbehandling för detta ändamål kan komma att ske. Den registrerades intressen
och grundläggande rättigheter skulle i synnerhet kunna väga tyngre än den
personuppgiftsansvariges intressen, om personuppgifter behandlas under
omständigheter där den registrerade inte rimligen kan förvänta sig någon ytterligare
behandling.
I EDPB:s riktlinjer för behandling av personuppgifter som grundar sig på artikel 6.1 f i
dataskyddsförordningen anges att det krävs att tre kriterier är uppfyllda för att ett
berättigat intresse ska anses föreligga.4 Intresset ska vara lagligt, vilket innebär att det
inte får stå i strid med vare sig EU-rätt eller nationell rätt. Att ett intresse är
kommersiellt utesluter inte att intresset är berättigat utan avgörande för denna
bedömning är om intresset är lagenligt, specifikt och utgör ett verkligt och faktiskt
intresse.5 Vidare ska intresset vara klart och tydligt formulerat och gälla ett faktiskt
intresse som föreligger vid tidpunkten för behandlingen och inte är hypotetiskt.6
Bedömning
Frågan i ärendet är om Aller kunnat stödja behandlingen av klagandens
personuppgifter den 21 maj 2021 på artikel 6.1 f i dataskyddsförordningen.
2 Artiklarna 5.2 och 24 i dataskyddsförordningen.
3 Se EU-domstolens domar av den 4 maj 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punkt 28, av den
11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, EU:C:2019:1064, punkt 40, av den 17 juni
2021, M.I.C.M., C-597/19, EU:C:2020:1063, punkt 106 och av den 4 juli 2023, Meta Platforms m.fl., C-252/21,
EU:C:2023:537, punkt 106.
4 Se EDPB:s Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, version 1.0, punkt 17.
5 Se Se EU-domstolens dom den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22,
EU:C:2024:857, punkt 49
6 Se EU-domstolens dom C-708/18, punkt 44.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-16452 4(6)
Datum: 2025-04-28
Aller lämnar information om att kakor används på webbplatsen i en så kallad
kakbanner som bland annat visas när användaren för första gången går in på
webbplatsen. I det första lagret av kakbannern, som den såg ut vid tidpunkten för
klagomålet, fanns en knapp för att samtycka och en länk för att visa syften. I
informationstexten i första lagret angavs att man kan samtycka eller hantera sina val,
inkluderat rätten att invända där berättigat intresse används. Möjligheten att invända
fanns inte i första lagret av bannern. Det angavs vidare att bolaget behandlar data för
att erbjuda användning av precis geodata, skapa personlig reklam och skapa en
personlig profil. För att kunna neka all typ av behandling behövde en registrerad först
neka samtycke och sedan gå vidare och hitta alternativet för att invända mot
behandling för vissa ändamål.
Nedanstående bedömning utgår från denna kakbanner och bolagets dåvarande
webbplats.
Aller har angett i sin kakbanner att bolaget har ett berättigat intresse av att behandla
uppgifter för profilering och precis geodata. I sin kommunikation med IMY har bolaget
inte argumenterat för att det faktiskt haft ett berättigat intresse att behandla
uppgifterna. Aller har istället hänvisat till att deras CMP-leverantör rekommenderat
bolaget att ha både samtycke och berättigat intresse som laglig grund för denna typ av
personuppgiftsbehandling. Med hänsyn till ansvarsskyldigheten i dataskydds-
förordningen anser IMY inte att en personuppgiftsansvarig kan frånsäga sig ansvaret
att säkerställa att det finns en laglig grund för bolagets personuppgiftsbehandlingar
genom att hänvisa till en leverantörs rekommendationer. IMY konstaterar därför att
Aller är ansvarig för att se till att det finns en laglig grund vid behandling av
personuppgifter hos bolaget.
IMY anser att kravet på samtycke för att samla in uppgifter via kakor7 ger ett särskilt
starkt integritetsskydd och ger registrerade möjligheten att själva välja och kontrollera
hur deras personuppgifter används. Om de insamlade uppgifterna i ett senare skede
vidarebehandlas med berättigat intresse som rättslig grund riskerar detta särskilda
integritetsskydd att urholkas. Detta särskilda integritetsskydd för den registrerade är
därför något som bör tas i beaktande vid en intresseavvägning enligt artikel 6.1 f.
Under IMY:s utredning av ärendet har Aller inte tydligt fört fram vad deras berättigade
intresse för den aktuella personuppgiftsbehandlingen var eller hur en
intresseavvägning ska ha gjorts. IMY:s bedömning är att klaganden inte kan anses ha
kunnat förvänta sig en sådan personuppgiftsbehandling endast genom ett besök av
Allers webbplats. Vidare har klaganden endast kunnat invända mot behandling först
efter att ha nekat samtycke i kakbannern. IMY:s bedömning är mot denna bakgrund att
Aller inte har visat att bolaget kunnat stödja personuppgiftsbehandlingen på den
rättsliga grunden berättigat intresse. Sammanfattningsvis har Aller brutit mot artikel 6.1
f i dataskyddsförordningen genom att behandla klagandens personuppgifter utan laglig
grund.
Val av ingripande
Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har
befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83.
Beroende på omständigheterna i det enskilda fallet ska administrativa sanktions-
7 Artikel 5.3 Europaparlamentets och Rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av
personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk
kommunikation) samt 9 kap. 28 § lagen (2022:482) om elektronisk kommunikation.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-16452 5(6)
Datum: 2025-04-28
avgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som
till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer
som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid
bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY
enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en
reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande
omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet
samt tidigare överträdelser av relevans.
IMY konstaterar följande relevanta omständigheter. Den aktuella tillsynen omfattar en
granskning av om Aller haft laglig grund att behandla en enskild klagandens
personuppgifter. IMY har bedömt att bolaget inte har haft laglig grund att behandla den
klagandes personuppgifter. Aller har efter att IMY inledde tillsyn gjort vissa ändringar i
sin kakbanner och anger numera att de har samtycke som laglig grund. Bolaget har
inte tidigare konstaterats överträtt dataskyddsförordningen.
Vid en sammanvägd bedömning anser IMY att det är fråga om en sådan mindre
överträdelse i den mening som avses i skäl 148 dataskyddsförordningen som medför
att Aller Media AB ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen
för den konstaterade överträdelsen.
__________________________
Detta beslut har fattats av enhetschefen Albin Brunskog efter föredragning av juristen
Michaela Prieto Ceric
Albin Brunskog
Bilaga
Klagandens personuppgifter
Kopia till
Dataskyddsombudet
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-16452 6(6)
Datum: 2025-04-28
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni
överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY
inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder
det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då
beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare
till Förvaltningsrätten i Stockholm för prövning.
Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga
personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens
kontaktuppgifter framgår av beslutets första sida.