1(29)
Bonnier News AB
105 15 Stockholm
Diarienummer:
DI-2019-11737 Beslut efter tillsyn enligt
dataskyddsförordningen –Bonnier
Datum:
2023-06-26
News AB
Innehåll
1. Integritetsskyddsmyndighetens beslut ........................................................................3
2. Redogörelse för tillsynsärendet ..................................................................................3
2.1 Beskrivning av den koncerngemensamma personuppgiftsbehandlingen ......4
2.1.1 Beskrivning av behandlingen av personuppgifter som finns i
beteendedatabasen ..................................................................................5
2.1.2 Beskrivning av behandlingen av personuppgifter som finns lagrade
i KDB .........................................................................................................6
3. Motivering av beslutet .................................................................................................8
3.1 IMY:s behörighet ............................................................................................8
3.1.1 Aktuella omständigheter ...................................................................8
3.1.2 Tillämpliga bestämmelser m.m. .......................................................8
3.1.3 IMY:s bedömning .............................................................................9
3.2 Bonnier News AB:s personuppgiftsansvar.....................................................9
3.2.1 Aktuella omständigheter samt Bonnier News AB:s inställning .........9
3.2.2 Tillämpliga bestämmelser m.m. .......................................................9
3.2.3 IMY:s bedömning ...........................................................................10
3.3 Vilka uppgifter utgör personuppgifter? .........................................................10
3.3.1 Aktuella omständigheter samt Bonnier News AB:s inställning .......10
Postadress: 3.3.2 Tillämpliga bestämmelser och andra allmänna utgångspunkter ....10
Box 8114
3.3.3 IMY:s bedömning ........................................................................12
104 20 Stockholm
Webbplats: 3.4 Behandlingen utgör profilering .....................................................................13
www.imy.se 3.4.1 Tillämpliga bestämmelser ..............................................................13
E-post:
[email protected]
3.4.2 IMY:s bedömning ...........................................................................13
Telefon:
08-657 61 00
2
3.5 Rättslig grund för behandling i syfte att visa anpassade annonser utifrån
uppgifter i beteendedatabasen ..........................................................................13
3.5.1 Aktuella omständigheter samt Bonnier News AB:s inställning .......13
3.5.2 Tillämpliga bestämmelser m.m. .....................................................15
3.5.3 Utgångspunkter för IMY:s bedömning ............................................17
3.5.4 Berättigat intresse ..........................................................................19
3.5.5 Är behandlingen nödvändig för det berättigade intresset?.............19
3.5.6 Intresseavvägningen för behandling av personuppgifter i
kompletterade beteendeprofiler ..............................................................19
3.5.7 Intresseavvägning för behandling av personuppgifter i enkla
beteendeprofiler ......................................................................................21
3.6 Rättslig grund för behandling i syfte att tillgängliggöra kontaktuppgifter för
telefonförsäljning och postal direktmarknadsföring ............................................21
3.6.1 Tillämpliga bestämmelser m.m. .....................................................21
3.6.2 Aktuella omständigheter samt Bonnier News AB:s inställning .......22
3.6.3 IMY:s bedömning ...........................................................................24
3.6.4 Är Bonnier News AB:s intresse att profilera enskilda i syfte att
tillgängliggöra uppgifter till anslutna bolag att användas vid
telefonförsäljning och postal direktmarknadsföring berättigat? ...............24
3.6.5 Är behandlingen nödvändig för intresset att profilera enskilda i syfte
att tillgängliggöra uppgifter till bolag för att användas vid
telefonförsäljning och postal direktmarknadsföring? ...............................24
3.6.6 Intresseavvägning för behandling av personuppgifter i
kompletterade kunddatabasprofiler .........................................................24
3.6.7 Intresseavvägning för personuppgifter utan koppling till
beteendedatabasen ................................................................................25
3.7 Val av ingripande .........................................................................................26
3.7.1 Tillämpliga bestämmelser och andra allmänna utgångspunkter ....26
3.7.2 Samma eller sammankopplade uppgiftsbehandlingar ...................26
3.7.3 Sanktionsavgift ...............................................................................26
Bilaga ......................................................................................................28
Kopia till ...................................................................................................28
4. Hur man överklagar ..................................................................................................29
3
1. Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten konstaterar att Bonnier News AB (559080-0917) under
perioden den 7 november 2019 till den 11 juni 2020 har behandlat personuppgifter
utan att ha rättslig grund för det enligt artikel 6.1 i dataskyddsförordningen1 genom
a) att behandla personuppgifter i syfte att profilera de registrerade baserat på
deras beteendedata i så kallade kompletterade beteendeprofiler och
tillgängliggöra profilerna till anslutna bolag i syfte att visa anpassade
annonser,
b) att behandla personuppgifter i syfte att profilera de registrerade baserat på
deras beteendedata i så kallade enkla beteendeprofiler och tillgängliggöra
profilerna till anslutna bolag i syfte att visa anpassade annonser,
c) att behandla personuppgifter genom att profilera de registrerade baserat på
deras kompletterade kunddatabasprofiler i syfte att tillgängliggöra
kontaktuppgifter till anslutna bolag för telefonförsäljning och postal
marknadsföring.
Integritetsskyddsmyndigheten beslutar med stöd av artiklarna 58.2 och 83 i
dataskyddsförordningen att Bonnier News AB ska betala en administrativ
sanktionsavgift på 13 000 000 (tretton miljoner) kronor.
2. Redogörelse för tillsynsärendet
Integritetsskyddsmyndigheten (IMY) har i en tillsyn mot tidigare Bonnier Magazine and
Brands AB numera Expressen Lifestyle (dnr DI-2019- 6523) uppmärksammat att
Bonnier News AB tillsammans med andra bolag inom Bonnierkoncernen behandlar
personuppgifter för bl.a. marknadsföringsändamål med stöd av den rättsliga grunden
berättigat intresse enligt artikel 6.1 f i dataskyddsförordningen. IMY har inlett tillsyn mot
Bonnier News AB i syfte att utreda om Bonnier News AB efterlever
dataskyddsförordningens krav för den behandlingen av personuppgifter som sker för
marknadsföringsändamål.
Inom ramen för denna tillsyn har Bonnier News AB fått yttra sig över sju klagomål
ställda till IMY rörande olika marknadsföringsåtgärder som vidtagits av bolag inom
Bonnierkoncernen.2 Bonnier News AB har yttrat sig över klagomålen och det har då
framkommit att de vidtagna marknadsföringsåtgärderna inte har föranletts av uttag från
de koncerngemensamma databaserna och inte heller skett under Bonnier News AB:s
personuppgiftsansvar. Mot denna bakgrund finner IMY inte skäl att inom ramen för
detta ärende utreda dessa klagomål vidare.
IMY har inom ramen för tillsynen granskat om Bonnier News AB har rättslig grund
enligt artikel 6 i dataskyddsförordningen för den personuppgiftsbehandling som sker i
de koncerngemensamma databaserna för marknadsföringsändamål. Tillsynen
omfattar behandling av personuppgifter som sker genom att skapa profiler och
tillgängliggörande av sådana uppgifter som sker för att användas av anslutna bolag för
att visa anpassade annonser. Den omfattar också behandling av personuppgifter,
1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med
avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av
direktiv 95/46/EG (allmän dataskyddsförordning).
2 DI-2018-22602, DI-2019-10121, DI-2019-10513, DI-2019-11057, DI-2019-7484, DI-2019-8104 och DI-2019-9556
4
skapande av profiler och tillgängliggörande av uppgifter till anslutna bolag i syfte att
användas av anslutna bolag vid telefonförsäljning och postal direktmarknadsföring.
IMY har inte tagit ställning till om Bonnier News AB:s personuppgiftsbehandling i övrigt
står i överensstämmelse med dataskyddsförordningen.
Tillsynsärendet inleddes med en inspektion den 7 november 2019. I samband med att
IMY skickade inspektionsprotokollet till Bonnier News AB ställde IMY kompletterande
frågor till bolaget den 20 december 2019. Bonnier lämnade synpunkter på
inspektionsprotokollet samt inkom med svar på IMY:s frågor den 14 februari 2020. IMY
ställde den 15 maj 2020 ytterligare kompletterande frågor till Bonnier News AB, vilka
bolaget inkom med svar på den 11 juni 2020. Med anledning av att Bonnier News AB
uppdaterat sin personuppgiftspolicy kom bolaget in med kompletterande information
den 21 juli 2020.
Bonnier News AB har yttrat sig över IMY:s utkast till beslut den 13 april 2023.
Eftersom ärendet gäller gränsöverskridande behandling har IMY använt sig av de
mekanismer för samarbete och enhetlighet som finns i artikel 56 och kapitel VII i
dataskyddsförordningen. Berörda tillsynsmyndigheter har varit myndigheterna i
Danmark, Estland, Finland, Norge och Tyskland.
2.1 Beskrivning av den koncerngemensamma
personuppgiftsbehandlingen
Följande har framkommit vid inspektionen och efterföljande skriftväxling. Inom
Bonnierkoncernen finns ett samarbete mellan Bonnier News AB och ett antal anslutna
bolag som ingår i koncernen (de anslutna bolagen). Vilka bolag som är anslutna
förändras över tid. Vid tidpunkten för inspektionen var det 15 anslutna bolag vilket
under våren 2020 sjönk till 8. Den behandling av personuppgifter som sker inom
ramen för samarbetet är begränsad till att avse de anslutna bolagens kunder på den
svenska marknaden. De anslutna bolagen samlar in personuppgifter från sina kunder
och personer som besöker bolagens webbplatser. De insamlade uppgifterna överförs
till två koncerngemensamma databaser, en kunddatabas (KDB) och en
beteendedatabas (beteendedatabasen). I dessa databaser skapas profiler om enskilda
personer. Till profilerna knyts även information hämtad från Bisnode Sverige AB.
Bonnier News AB har uppgett att man lagrar insamlade uppgifter i de
koncerngemensamma databaserna för att använda för följande ändamål:
• Att upprätta ett för anslutna bolag gemensamt kundregister med god
datakvalitet vilket innefattar att sammanställa kund- och
användaruppgifter och att kontrollera att uppgifterna är korrekta,
uppdaterade och ändamålsenliga
• Att erbjuda de anslutna bolagens kunder ett enkelt sätt att tillvarata sina
rättigheter och en möjlighet att ställa frågor om personuppgifter till den
gemensamma kundtjänsten
• Att tillgängliggöra personuppgifter till anslutna bolag i syfte att:
• Använda andra anslutna bolags kontaktuppgifter för att kunna
marknadsföra de anslutna bolagens egna produkter och tjänster
genom postal direktmarknadsföring och telefonförsäljning.
5
• Visa anpassat innehåll och anpassade annonser i de anslutna
bolagens digitala tjänster, baserat på kunders och användares
kundprofil och beteende på de anslutna bolagens sajter.
• Utföra analys av kunddata för att med hjälp av erhållen kundinsikt
bedriva kundkommunikation, marknadsföring av sina egna produkter,
tjänster och service.
• Utföra analys av kunddata för att kunna förbättra och utveckla befintliga
tjänster och produkter.
Den personuppgiftsbehandling som sker för ändamålet anpassning av anslutna bolags
annonser baseras på uppgifter som sparas i beteendedatabasen. Den
personuppgiftsbehandling som sker för att lämna ut personuppgifter till anslutna bolag
för användning vid telefonförsäljning och postal direktmarknadsföring baseras på
uppgifter i KDB.
2.1.1 Beskrivning av behandlingen av personuppgifter som finns i
beteendedatabasen
Av utredningen i ärendet framgår följande.
De uppgifter som finns i beteendedatabasen behandlas i syfte att visa anpassat
innehåll och anpassade annonser i de ansluta bolagens digitala tjänster.
I samband med att en enskild besöker ett anslutet bolags webbsida samlar det
anslutna bolaget in information om den enskildes surfbeteende. Detta görs genom att
det anslutna bolaget har placerat ett script på sin webbsida som begär att få spara en
textfil (webbkaka) på besökarens dator, surfplatta eller mobiltelefon. Informationen i
webbkakan kan användas för att följa användarens surfande på webbplatsen. De
uppgifter (beteendedata) som samlas in när den enskilde surfar och sedan överförs till
beteendedatabasen och tillförs den enskildes profil är:
• Uppgift om den besökta sidans URL (webbadress), dess kategori och en
innehållstagg3.
• Uppgift om användarens enhetstyp som sidvisningen skedde i,
browsertyp och den del av användarens IP-adress som avser land,
• Uppgift om beteende i form av spenderad tid och tidpunkt för
sidvisningen,
• Uppgift om ett unikt slumpmässigt genererat webbkakevärde (nedan
kallat webbkakeidentifierare),
• Uppgift om sidvisningen skett i inloggat läge.
Bonnier News AB gallrar webbkakeidentifieraren efter 30 dagar och från och med dag
31 används inte längre den genererade beteendedatan för anpassning av annonser till
enskilda personer.
Uppgifter i beteendedatabasen och i KDB kan i vissa fall knytas samman.
3 En innehållstagg är en beskrivning av innehållet som har konsumerats i de deltagande bolagens tjänster. Bonnier
News AB inhämtar två typer av taggar, fördefinierade enligt IAB:s (The Interactive Advertising Bureau) standard och
taggar som producerats av de anslutna bolagens redaktioner.
6
När uppgifterna i beteendedatabasen inte kan knytas samman med uppgifter i KDB
består den registrerades beteendeprofil endast av de uppgifter som anges ovan, en
profil som i detta beslut kommer benämnas enkel beteendeprofil.
I de fall uppgifter i beteendedatabasen och uppgifter i KDB kan knytas samman i
beteendedatabasen tillförs uppgifter från KDB om inköpshistorik kön, ålder, hushållets
bilägande och postnummer, samt statistiska variabler baserade på den enskildes
bostadsområde såsom livsfas, köpkraft och boendeform till beteendedatabasen.
Dessa profiler kommer fortsättningsvis i detta beslut benämnas kompletterad
beteendeprofil.
Tillgängliggörandet till anslutna bolag sker genom ett sökverktyg kopplat till
beteendedatabasen där det anslutna bolaget kan beställa ett segment av
kunduppgifter utifrån sina valda variabler. En administratör granskar om beställningen
uppfyller vissa inom samarbetet bestämda kriterier. Om så är fallet får det anslutna
bolaget tillgång till en kod som gör det möjligt att rikta annonser mot användare som
ingår i segmentet.
De anslutna bolagen kan enbart hämta ut uppgifter från beteendedatabasen baserat
på beteendedata som samlats in från bolagets egna digitala tjänster. Det gäller oavsett
om det rör sig om en enkel eller kompletterad beteendeprofil. När det gäller den
kompletterade beteendeprofilen kan den dock innehålla inköpshistorik även från andra
anslutna bolag. I KDB gallras uppgifter efter två år varför äldre uppgifter än så inte kan
kopplas till beteendedatabasen eller lämnas ut till anslutna bolag.
2.1.2 Beskrivning av behandlingen av personuppgifter som finns lagrade i KDB
Av utredningen i ärendet framgår följande.
De uppgifter om enskilda som finns i KDB behandlas i syfte att användas för anslutna
bolags marknadsföring av egna produkter och tjänster genom postal
direktmarknadsföring och telefonförsäljning.
I samband med att en enskild gör ett köp eller tecknar en prenumeration samlar det
anslutna bolag som har en avtalsrelation med kunden in uppgifter från denne. Vissa av
dessa uppgifter överförs till KDB. I KDB knyts information samman till en profil. I KDB
tilldelas kundprofilen ett KDB-ID. Om det anslutna bolagets kund redan finns
registrerad i KDB uppdateras/kompletteras den befintliga kundprofilen med det nya
engagemanget. Annars skapas en ny kundprofil med ett nytt KDB-ID. De uppgifter
som lagras i KDB och som är insamlade från kundens kontakt med det anslutna
bolaget är namn, adress, telefonnummer, personnummer, e-postadress samt uppgifter
som är kopplade till kundens inköp, såsom produktkategori, varumärke, typ av
paketering (om det är en digital eller traditionell vara och om det är en gratis- eller
betalprodukt). I KDB finns även registrerat om kunden har invänt mot att uppgifter i
KDB används för marknadsföring samt uppgift om kunden har registrerat sig i det så
kallade NIX-registret. För följande kategorier av uppgifter finns begränsningar:
• Uppgift om e-postadress lämnas inte ut till anslutna bolag vid
telefonförsäljning- och postal direktmarknadsföring.
• Uppgift om personnummer används endast för att kontrollera om kunden har
anmält sig för att motsätta sig marknadsföring i NIX-registret (NIX-spärr) samt
för kontroll av att kunden inte är avliden.
• Uppgift om personnummer görs inte tillgänglig för de anslutna bolagen.
7
I tillägg till de uppgifter som samlas in av de anslutna bolagen samlar Bonnier News
AB in uppgifter från Bisnode Sverige AB i syfte att kontrollera och komplettera
enskildas kontaktuppgifter, samt för att tillföra statistiska data såsom livsfas, köpkraft
och boendeform. Vidare samlas uppgifter om bilinnehav och om avlidna personer in
samt uppgift om ett så kallat GEDI-id (som är en unik identifierare i form av ett
psedonymiserat ID).
Uppgifter i KDB och beteendedatabasen kan i vissa fall knytas samman även i KDB.
Profilen utgör då vad som i detta beslut nedan kommer benämnas kompletterad
kunddatabasprofil. Detta sker genom att en kund hos ett anslutet bolag besöker
bolagets webbplats och loggar in på sitt konto hos bolaget. Den beteendedata som har
samlats in om kunden och som är knuten till en webbkakeidentifierare kan då under
vissa förutsättningar kopplas samman med kundens KDB–ID. I de fall kundens KDB-
ID och webbkakevärdet kan kopplas samman kompletteras KDB-profilen med
uppgifter insamlade de senaste 30 dagarna från beteendedatabasen. De uppgifter
som hämtas är uppgifter om vilka webbplatser som kunden har besökt, vilken sektion
på webbplatsen kunden besökt (så kallade innehållstaggar), samt vilken enhetstyp
kunden surfat från. Bonnier News AB har begränsat vilken typ av innehållstaggar som
andra bolag än det vars webbsida den enskilde surfat på kan basera sin profilering på
för ändamålen telefonförsäljning och postal direktmarknadsföring.4
När en person upphör att vara kund hos ett anslutet bolag notifieras KDB om att
kundens engagemang upphört och kunden flaggas som passiv kund. Därefter raderas
kundens uppgifter i KDB efter två år. Uppgifter inhämtade från beteendedatabasen
gallras efter 30 dagar. Eventuell NIX-spärr aktiveras alltid vid tillgängliggörande av
kontaktuppgifter i KDB till andra anslutna bolags kunder och kontaktuppgifter till egna
kunder när dessa har varit passiva i 12 månader.
Uppgifter tillgängliggörs till anslutna bolag vid begäran genom en applikation i KDB. I
KDB skapas en urvalsfil utifrån det anslutna bolagets angivna kriterier. Inom ramen för
samarbetet tillämpas något som kallas ändamålsanpassade scheman. Dessa reglerar
vilken information som lämnas ut från KDB. Vid utlämnandet lämnas enbart de
datapunkter som definierats som nödvändiga för den marknadsföringskanal som
angivits vid utlämnandet, alltså till exempel telefonnummer vid en telefonförsäljning-
kampanj och adress vid postal direktmarknadsföring. De datapunkter som
segmenteringen baserats på, lämnas inte ut. Uppgifterna tillgängliggörs genom ett
gränssnitt i KDB till det anslutna bolaget.
Det finns möjlighet för den registerade att begära radering från KDB. Den registerade
har också rätt att invända mot att uppgifterna används för telefonförsäljning och postal
direktmarknadsföring.
Bonnier News AB har uppgett att alla anslutna bolag är majoritetsägda av Bonnier
Group AB och underställda Bonnierkoncernens ramverk för personuppgiftsbehandling
samt att det endast gällande en liten del av de aktuella profilerna har kunnat göras en
koppling till uppgifter i beteendedatabasen.
4 Det är endast taggar som kategoriserats med IAB:s taxonomi som inhämtas.
8
3. Motivering av beslutet
3.1 IMY:s behörighet
3.1.1 Aktuella omständigheter
En del av de personuppgifter som behandlas inom det koncerngemensamma
samarbetet har samlats in genom att anslutna bolag har placerat en webbkaka på
besökarens dator, surfplatta eller mobiltelefon. Bonnier News AB har uppgett att
insamlingen görs genom anslutna bolags webbsidor. De anslutna bolagen överför
därefter dessa uppgifter till beteendedatabasen och i vissa fall kopplas uppgifterna
även samman med profilinformation i KDB. Bonnier News AB har uppgett att de
skyldigheter som följde av bestämmelserna i lagen (2003:389) om elektronisk
kommunikation och numera följer av lagen (2022:482) om elektronisk kommunikation
(LEK), träffar anslutna bolag och inte Bonnier News AB eftersom det är de bolagen
som ansvarar för själva insamlandet av uppgifterna.
3.1.2 Tillämpliga bestämmelser m.m.
Av artikel 95 i dataskyddsförordningen följer att dataskyddsförordningen inte ska
innebära några ytterligare förpliktelser för fysiska eller juridiska personer som
behandlar personuppgifter, för sådana områden som redan omfattas av skyldigheter
enligt det så kallade eDataskyddsdirektivet5. eDataskyddsdirektivet har genomförts i
svensk rätt genom LEK, där bland annat insamling av uppgifter genom webbkakor
regleras.
Enligt 9 kap. 28 § LEK får uppgifter lagras i eller hämtas från en abonnents eller
användares terminalutrustning endast om abonnenten eller användaren får tillgång till
information om ändamålet med behandlingen och samtycker till den. Vidare framgår
att detta inte hindrar sådan lagring eller åtkomst som behövs för att överföra ett
elektroniskt meddelande via ett elektroniskt kommunikationsnät eller som är nödvändig
för att tillhandahålla en tjänst som användaren eller abonnenten uttryckligen har
begärt. Före den 1 augusti 2022, då LEK trädde ikraft, ställdes motsvarande krav
enligt 6 kap. 18 § lagen om (2003:389) om elektronisk kommunikation. Det är Post-
och telestyrelsen (PTS) som är tillsynsmyndighet enligt LEK (1 kap 5 § förordningen
[2022:511] om elektronisk kommunikation).
EDPB har yttrat sig över samspelet mellan eDataskyddsdirektivet och
dataskyddsförordningen6. Av yttrandet följer bl.a. att den nationella tillsynsmyndighet
som utsetts enligt eDataskyddsdirektivet är ensamt behörig att övervaka efterlevnaden
av direktivet. Däremot är tillsynsmyndigheten enligt dataskyddsförordningen behörig
tillsynsmyndighet för den behandling som inte regleras särskilt i eDataskyddsdirektivet.
Om endast en del av behandlingen faller under eDataskyddsdirektivet, begränsar inte
detta dataskyddsmyndighetens befogenhet att pröva andra delar av behandlingen
enligt dataskyddsförordningen.7
Detta innebär bland annat att tillsynsmyndigheten enligt dataskyddsförordningen är
behörig att bedöma lagligheten av den personuppgiftsbehandling som sker efter att
uppgifterna hämtats från den enskildes terminalutrustning, t.ex. lagring av inhämtade
5 Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och
integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation).
6 Yttrande 5/2019 om samspelet mellan direktivet om integritet och elektronisk kommunikation och den allmänna
dataskyddsförordningen, särskilt när det gäller dataskyddsmyndigheternas behörighet, uppgifter och befogenheter,
antaget den 12 mars 2019
7 Se punkterna 68 och 69 i yttrandet.
9
uppgifter och analys av sådana uppgifter i syften som rör beteendestyrd annonsering
på nätet.8
3.1.3 IMY:s bedömning
De uppgifter som tillförts beteendedatabasen har samlats in av de anslutna bolagen
genom webbkakor. Den personuppgiftsbehandling som granskas i detta tillsynsärende
är Bonnier News AB:s efterföljande behandling av personuppgifter i
beteendedatabasen. Den behandlingen omfattas inte av regleringen i LEK eller den
tidigare gällande regleringen i lagen om (2003:389) om elektronisk kommunikation.
Det innebär att regleringen i dataskyddsförordningen är tillämplig på behandlingen och
att IMY är behörig tillsynsmyndighet.
3.2 Bonnier News AB:s personuppgiftsansvar
3.2.1 Aktuella omständigheter samt Bonnier News AB:s inställning
Det är Bonnier News AB:s uppfattning att Bonnier News AB och respektive anslutet
bolag har ett gemensamt personuppgiftsansvar för den behandling som sker i KDB
och beteendedatabasen för de ändamål som angivits ovan såsom gemensamma.
Vidare har Bonnier News AB uppgett att Bonnier News AB och anslutna bolag har en
gemensam syn på ändamål och medel samt att Bonnier News AB har ingått s.k. Joint
Data Controller Agreement med de anslutna bolagen i enlighet med artikel 26.2 i
dataskyddsförordningen.
Bonnier News AB har uppgett att varje anslutet bolag har ett eget självständigt
("lokalt") personuppgiftsansvar för sin egen insamling av data. Bonnier News AB har
vidare uppgett att det inte har något gemensamt personuppgiftsansvar för de
personuppgiftsbehandlingar som utförs efter det att uppgifterna har lämnats ut till
anslutna bolag från de gemensamma databaserna. Det är det anslutna bolaget som
hämtat ut uppgifterna som är personuppgiftsansvarig för de behandlingar som detta
bolag genomför efter uthämtandet.
3.2.2 Tillämpliga bestämmelser m.m.
Personuppgiftsansvarig är enligt artikel 4.7 i dataskyddsförordningen den som ensamt
eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av
personuppgifter. Att ändamål och medel kan bestämmas av mer än en aktör innebär
att flera aktörer kan vara personuppgiftsansvariga för samma behandling.
En behandling är enligt artikel 4.2 i dataskyddsförordningen en åtgärd eller
kombination av åtgärder beträffande personuppgifter eller uppsättningar av
personuppgifter.
EU-domstolen har i målet Fashion-ID konstaterat att en webbplatsinnehavare som
använder insticksprogram från sociala nätverk på sin webbplats kan bli gemensamt
personuppgiftsansvarig med det sociala nätverket. Detta gäller för den insamling samt
det utlämnande genom översändande av webbplatsbesökarnas personuppgifter som
sker med hjälp av det sociala nätverkets insticksprogram. Domstolen uttalade även att
respektive part bara är ansvarig för de delar av behandlingskedjan som den faktiskt
bestämt ändamål och medel för.9
8 Se punkt 75 i yttrandet.
9 Se dom Fashion-ID, C-40/17, EU:C:2019:629, punkt 64-85
10
I målet Wirtschaftsakademie uttalade EU-domstolen att ett gemensamt ansvar för en
behandling inte nödvändigtvis innebär att de olika aktörer som är involverade i
behandlingen av personuppgifter har samma ansvar.10 Dessa aktörer kan tvärtom
involveras i olika skeden av behandlingen av personuppgifter i olika grad, och var och
ens ansvarsnivå måste bedömas med hänsyn till alla relevanta omständigheter i det
enskilda fallet.
3.2.3 IMY:s bedömning
Bonnier News AB tillhandahåller två databaser, KDB och beteendedatabasen, där
uppgifter från anslutna bolag sammanförs till profiler över enskilda. Under de
förutsättningar som Bonnier News AB och bolagen bestämt görs uppgifterna
tillgängliga för Bonnier News AB och respektive anslutet bolag.
IMY konstaterar att, utöver att ställa databaserna till de anslutna bolagens förfogande,
har Bonnier News AB tillsammans med bolagen satt upp ramarna för behandlingen på
olika sätt.
IMY gör därför bedömningen att Bonnier News AB är gemensamt
personuppgiftsansvarig med de anslutna bolagen för den del av
personuppgiftsbehandlingen som sker för de gemensamma ändamålen att
tillgängliggöra personuppgifter, genom profilering av enskildas uppgifter, till anslutna
bolag för att visa anpassade annonser och för användning vid telefonförsäljning och
postal direktmarknadsföring. Detta inkluderar insamling av uppgifter till databaserna,
lagringen i databaserna och profileringen, inhämtande av ytterligare uppgifter från
Bisnode Sverige AB, den hopkoppling som sker mellan beteendedatabasen och KDB
samt den överföring av uppgifter som sker databaserna emellan. Vidare är Bonnier
News AB gemensamt personuppgiftsansvarigt med de anslutna bolagen för de
åtgärder som sker inför och vid ett utlämnande till ett anslutet bolag.
3.3 Vilka uppgifter utgör personuppgifter?
3.3.1 Aktuella omständigheter samt Bonnier News AB:s inställning
Under avsnittet ”Beskrivning av den koncerngemensamma
personuppgiftsbehandlingen” framgår att en mängd uppgifter som samlats in från
enskilda behandlas i KDB och den gemensamma beteendedatabasen. Bonnier News
AB anser att det som i detta beslut benämns kompletterad beteendeprofil utgör
personuppgifter. Däremot utgör uppgifter i beteendedatabasen – som inte kan kopplas
samman med uppgifter i KDB – enligt Bonnier News AB anonyma beteendedata. Detta
eftersom de inte kan kopplas till en person varken via KDB-ID, kund-ID, IP-adress eller
någon annan identifierare för en person. Bonnier News AB anser således att de
beteendeprofiler som i detta beslut benämns enkel beteendeprofil inte utgör
personuppgifter. Den segmentering som görs på dessa enkla profiler är, enligt Bonnier
News AB, endast baserad på det anslutna bolagets egna insamlade information i
beteendedatabasen (ett bolag kan t.ex. välja att sportrelaterat innehåll och annonser
ska anpassas efter de uppgifter som registrerats via en webbkaka under de senaste
30 dagarna).
3.3.2 Tillämpliga bestämmelser och andra allmänna utgångspunkter
En personuppgift är enligt artikel 4.1 i dataskyddsförordningen varje upplysning som
avser en identifierad eller identifierbar fysisk person (dvs. den registrerade). Av samma
bestämmelse framgår att en identifierbar fysisk person är en person som direkt eller
10 Se dom Wirtschaftsakademie, C-210/16, EU:C:2018:388, punkt 43
11
indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett
identifikationsnummer, en lokaliseringsuppgift eller online-identifikatorer eller en eller
flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska,
genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.
Enligt skäl 26 till dataskyddsförordningen bör principerna för dataskyddet gälla all
information som rör en identifierad eller identifierbar fysisk person. Personuppgifter
som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom
att kompletterande uppgifter används bör anses som uppgifter om en identifierbar
fysisk person. För att avgöra om en fysisk person är identifierbar bör man beakta alla
hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller
av en annan person, rimligen kan komma att användas för att direkt eller indirekt
identifiera den fysiska personen. För att fastställa om hjälpmedel med rimlig
sannolikhet kan komma att användas för att identifiera den fysiska personen bör man
beakta samtliga objektiva faktorer, såsom kostnader och tidsåtgång för identifiering,
med beaktande av såväl tillgänglig teknik vid tidpunkten för behandlingen som den
tekniska utvecklingen. Principerna för dataskyddet bör enligt skäl 26 inte gälla för
anonym information som inte hänför sig till en identifierad eller identifierbar fysisk
person, eller för personuppgifter som anonymiserats på ett sådant sätt att den
registrerade inte längre är identifierbar. Förordningen berör därför inte behandling av
sådan anonym information, vilket inbegriper information för statistiska ändamål eller
forskningsändamål.
Enligt skäl 30 till dataskyddsförordningen kan fysiska personer knytas till
nätidentifierare som lämnas av deras utrustning, applikationer, verktyg och protokoll,
t.ex. IP-adresser, kakor eller andra identifierare, som radiofrekvensetiketter. Detta kan
efterlämna spår som, särskilt i kombination med unika identifierare och andra uppgifter
som tas emot av servrarna, kan användas för att skapa profiler för fysiska personer
och identifiera dem.
Av ett yttrande från Artikel 29-gruppen11, som innehåller en analys av
personuppgiftsbegreppet, framgår att en fysisk person i en grupp anses ”identifierad”
när han eller hon på något sätt kan ”särskiljas” från andra personer.12 Europeiska
dataskyddsstyrelsen (EDPB), har i sina riktlinjer om riktad reklam i sociala medier
konstaterat att även personer som använder en sociala medietjänst utan att ha skapat
ett konto eller en profil hos den sociala medietjänsten kan utgöra registrerade i den
mening som avses i artikel 4.1 i dataskyddsförordningen om personen är direkt eller
indirekt identifierad eller identifierbar.13 EDPB har därvid hänvisat till begreppet
”utgallring” i skäl 26 till dataskyddsförordningen och till det ovan nämnda yttrandet från
Artikel 29-gruppen.
I Artikel 29-gruppens yttrande gällande beteendebaserad reklam på internet utvecklas
ytterligare vad det innebär att vara identifierbar:
Artikel 29-gruppen konstaterar att beteendebaserad reklam ofta leder till
behandling av personuppgifter. Beteendebaserad reklam innefattar normalt
insamling av IP-adresser och behandling av unika identifierare (genom
webbkakan). Användningen av sådana funktioner med en unik identifierare gör det
11 Den s.k. artikel 29-gruppen var en rådgivande och oberoende arbetsgrupp bestående av representanter för
tillsynsmyndigheterna i EU och EES. , Gruppen hade till uppgift att genom bl.a. rekommendationer bidra till en
enhetlig tillämpning av dataskyddsdirektivet. Arbetsgruppen har den 25 maj 2018 ersatts av Europeiska
dataskyddsstyrelsen, EDPB.
12 Se WP 136. Artikel 29-gruppens yttrande 4/2007 om begreppet personuppgifter, antagna den 20 juni 2007, s 12 f
13 Se EDPB:s riktlinjer 8/2020 om riktad annonsering I sociala medier Version 2.0, antagna 13 April 2021, p 19
12
möjligt att spåra användare av en viss dator även om dynamiska IP-adresser
används. Med andra ord gör sådana funktioner det möjligt att ”peka ut” enskilda
registrerade, även om deras namn inte är kända. Dessutom relaterar informationen
som samlas in vid beteendebaserad reklam till (det vill säga handlar om) en
persons egenskaper eller beteende och används för att påverka denna specifika
person. Detta synsätt förstärks ytterligare om man räknar med möjligheten att
profiler när som helst kan länkas till direkt identifierbar information som
tillhandahålls av den registrerade, exempelvis information som anges vid
registrering på en webbplats. Andra scenarier som kan leda till identifierbarhet är
sammanslagningar, dataförluster och den växande tillgängligheten på Internet till
personuppgifter kopplade till IP-adresser.14
3.3.3 IMY:s bedömning
IMY konstaterar inledningsvis att de kompletterade beteendeprofilerna (dvs.
beteendeprofiler med koppling till KDB) innehåller uppgifter som avser identifierade
eller identifierbara fysiska personer. De kompletterande beteendeprofilerna är således
personuppgifter.
När det gäller de enkla beteendeprofilerna (dvs. beteendeprofiler utan koppling till
KDB) gör IMY följande bedömning.
För att en uppgift ska kvalificeras som en personuppgift krävs för det första att
uppgiften avser en fysisk person. Detta krav är uppfyllt avseende enkla
beteendeprofiler eftersom uppgifterna beskriver hur den enskilde surfat med ett antal
olika parametrar.
Vidare krävs att den fysiska personen är identifierad eller identifierbar. Av artikel 4.1 i
dataskyddsförordningen framgår att det räcker att en person kan identifieras indirekt. I
bestämmelsen anges vidare att identifiering kan ske med hänvisning till en
onlineidentifikator. I skäl 30 till förordningen anges kakor (”cookie identifiers” i den
engelska språkversionen) som ett exempel på nätidentifierare. Identifiering i den
mening som avses i artikel 4.1 kan således ske med hjälp av sådana unika
webbkakevärden som används i beteendedatabasen.
IMY konstaterar vidare att det framgår av skäl 26 till dataskyddsförordningen att
utgallring är ett sätt att identifiera en person. Detta innebär att en person kan
identifieras genom att särskiljas från andra personer.15 Det krävs således inte att
personen pekas ut med namn eller personnummer. Ett sådant särskiljande eller
utgallring sker när den information som behandlas gör att det är möjligt att peka ut, dra
slutsatser om eller vidta specifika åtgärder i förhållande till en användare.
I beteendedatabasen knyts informationen samman med en unik identifierare, ett unikt
webbkakevärde, som är kopplat till en specifik webbläsare eller app, som i sin tur är
kopplad till en enhet såsom en dator eller telefon. Ett av syftena med behandlingen av
uppgifterna är att på grundval av användarens beteende rikta marknadsföring till en
användare grundad på just den användarens tidigare beteende i en identifierad
webbläsare eller app. Syftet med behandlingen är således att dra slutsatser om den
enskilde genom att skapa en profil och utifrån denna påverka den enskilde. IMY
konstaterar således att även de enkla beteendeprofiler som inte kopplas samman med
KDB innebär att enskilda är identifierbara.
14 Se WP 171, Artikel 29-gruppens yttrande 2/2010 om beteendebaserad reklam på Internet, antagna den 22 juni
2010, s. 9 f
15 Se WP 136. f Artikel 29-gruppens yttrande 4/2007 om begreppet personuppgifter, antagna den 20 juni 2007 s. 12
13
IMY gör mot denna bakgrund bedömningen att de enkla beteendeprofilerna utgör
personuppgifter.
3.4 Behandlingen utgör profilering
3.4.1 Tillämpliga bestämmelser
Profilering definieras i artikel 4.4 i dataskyddsförordningen som varje form av
automatisk behandling av personuppgifter som består i att personuppgifter används för
att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att
analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska
situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort
eller förflyttningar.
3.4.2 IMY:s bedömning
IMY konstaterar att både den behandling av personuppgifter som baseras på enkla
beteendeprofiler och kompletterade beteendeprofiler som sker för ändamålet att
tillgängliggöra uppgifterna för anslutna bolag i syfte att visa anpassade annonser
innefattar profilering av registrerade enligt definitionen i artikel 4.4 i
dataskyddsförordningen. Detta eftersom det är fråga om automatisk behandling av
personuppgifter som syftar till att kategorisera de registrerades utifrån deras tidigare
beteendemönster vilket i sin tur gör det möjligt att bedöma vissa av deras personliga
egenskaper.
IMY konstaterar vidare att den behandling av personuppgifter som sker i syfte att
tillgängliggöra kontaktuppgifter för telefonförsäljning och postal direktmarknadsföring
innefattar profilering av registrerade enligt definitionen i artikel 4.4 i
dataskyddsförordningen. Detta eftersom det är fråga om automatisk behandling av
personuppgifter i syfte att kategorisera de registrerades utifrån deras köphistorik och i
vissa fall även beteendemönster.
3.5 Rättslig grund för behandling i syfte att visa anpassade
annonser utifrån uppgifter i beteendedatabasen
3.5.1 Aktuella omständigheter samt Bonnier News AB:s inställning
Bonnier News AB har uppgett att man inom koncernen samordnat sina aktiviteter för
att uppnå ett bättre dataunderlag och göra det möjligt att behandla kundernas och
användarnas personuppgifter för angivna ändamål på ett kostnadseffektivt och
integritetsvänligt sätt. Bonnier News AB använder sin profilering av enskilda för att
tillgängliggöra uppgifter till anslutna bolag i syfte att visa anpassade annonser dels på
insamlade beteendedata som inte kan kopplas till KDB, dels på beteendedata där en
sådan koppling kan göras och där ytterligare personuppgifter tillförts den registrerades
profil. Bonnier News AB stödjer sin behandling att tillgängliggöra uppgifter till anslutna
bolag i syfte att visa anpassade annonser på den rättsliga grunden i artikel 6.1 f i
dataskyddsförordningen.
Berättigat intresse
Bonnier News AB har uppgett följande.
Bolaget har ett berättigat intresse som består i ett behov att förstå sina kunders och
användares önskemål och behov för att kunna uppnå relevans i innehåll och
annonsering som riktas mot kunder och användare och därigenom kunna erbjuda
konkurrenskraftiga produkter/tjänster och attraktiva annonsytor. Många av de anslutna
bolagen ägnar sig även åt journalistisk verksamhet. Publicisters verksamhetsmodell av
14
idag består av intäktströmmar från läsar- och annonsintäkter. Den
koncerngemensamma personuppgiftsbehandlingen är viktig för finansieringen av
bolagens journalistiska verksamhet. Bonnier News AB har även pekat på skyddet för
mediernas frihet och mångfald i artikel 11 EU:s stadga om de grundläggande
rättigheterna.
Nödvändig behandling
Bonnier News AB har uppgett att behandlingen av personuppgifter är nödvändig för att
uppnå ändamålen att tillgängliggöra enskildas profiler till anslutna bolag för att visa
anpassade annonser. Bolaget har tillsammans med de andra bolagen vidtagit åtgärder
för att minimera antalet insamlade uppgifter och begränsat hur länge dessa uppgifter
behandlas samt sett till att databaserna hålls separerade och att endast vissa uppgifter
överförs däremellan.
Intresseavvägning
Bonnier News AB har uppgett följande.
Bonnier News AB:s intresse väger tyngre än den enskildes intresse av skydd för sina
personuppgifter.
Behandling av personuppgifter för att visa anpassade annonser baserat på den
enskildes profil är en grundförutsättning för att journalister och publicister ska kunna få
intäkter och i förlängningen kunna bedriva journalistik.
Det finns möjlighet att invända mot profilering baserat på beteendedata. Enligt den
information som enskilda får i Bonnier News AB:s personuppgiftspolicy kan den
enskilde invända mot att information om hens beteende online behandlas i den
gemensamma kunddatabasen.16 Det innebär att kopplingen mellan den enskildes
kunduppgifter och dennes surfbeteende tas bort.
De registrerade har en direkt relation till ett eller flera anslutna bolag.
Användarna/kunderna har antingen besökt ett anslutets bolags webbsida, köpt
produkter av ett anslutets bolag eller ett aktivt digitalt abonnemang. Många av
kunderna är prenumeranter som har en långvarig relation till det bolag som
tillhandahåller tjänsten eller produkten och kan därför anses ha en större förväntan på
att deras uppgifter behandlas. Många läsare har ett starkt engagemang knutet till sin
preferens för nyhetsmedia. I viss utsträckning hör kundprofiler i KDB till styckeköp som
litteratur-, tidnings- och varuköp. I dessa fall får relationen mellan kund och leverantör
anses vara något mindre unik. Vidare är interaktionen frivillig, tydlig information lämnas
och det finns alternativa produkter som fysiska tidningar som man kan ta del av helt
anonymt.
Behandlingen har sannolikt inte någon negativ påverkan på den registrerades intresse.
Enskildas interagerande med anslutna bolag är frivilligt och det är i deras intresse att
bolagens tjänster är så relevanta som möjligt. Vidare har Bonnier News AB hänvisat till
att Artikel 29-gruppen konstaterat att riktad marknadsföring baserad på enkla
kundprofiler, såsom kön, ålder, bostadsort och breda intressen (t.ex. "mode") typiskt
sett inte har någon betydande påverkan på individerna. Bonnier News AB har vidare
vidtagit åtgärder för att säkerställa att ett minimum av uppgifter behandlas i förhållande
till ändamålen samt för att reducera integritetsrisker i övrigt. Bland annat delas
personuppgifterna inte med andra bolag än de anslutna bolagen inom koncernen och
16 Den version av Bonnier News AB:s personuppgiftspolicy som gavs in den 21 juli 2020, se under rubriken ”Hur du
kommer åt och kontrollerar dina personuppgifter”, aktbilaga 20.1.
15
samtliga dessa bolag är underställda Bonnierkoncernens ramverk för
personuppgiftsbehandling.17
Den aktuella behandlingen ligger inom de registrerades rimliga förväntningar på grund
av att de individer som kommer i kontakt med bolagen gör detta av fri vilja i syfte att ta
del av innehåll på webbsajter, köpa tjänster och/eller produkter och att de alltid har en
kund-/användarrelation med ett eller flera bolag i koncernen. Bolagens
personuppgiftspolicys innehåller tydlig information om hur kunders och användares
personuppgifter behandlas och delas inom koncernen. Den behandling som utförs
inom ramen för KDB och beteendedatabasen är tätt förknippad med bolagens tjänster
och produkter vilket torde ha betydelse för konsumentens förväntansbild. Att många av
bolagens produkter och tjänster är online och i många fall gratis eller
annonsfinansierade torde medföra en särskild förväntan och acceptans för viss
personuppgiftsbehandling för bl.a. anpassning av innehåll och annonsering. Idag är
även många digitala produkter som konsumeras av en mycket stor del av
konsumenterna i samhället anpassade efter individen och det är Bonnier News AB:s
uppfattning att dagens konsumenter förväntar sig att de digitala produkter och tjänster
som de konsumerar i viss mån kommer att vara anpassade efter individen.
3.5.2 Tillämpliga bestämmelser m.m.
Personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till
den registrerade, enligt artikel 5.1 a i dataskyddsförordningen. Att uppgifterna ska
behandlas lagligt innebär bl.a. att minst ett av de villkor som anges i artikel 6.1 är
uppfyllt.
Samtycke är, enligt artikel 6.1 a, en av de rättsliga grunder som en
personuppgiftsansvarig kan stödja sin behandling av personuppgifter på. En annan
rättslig grund är berättigat intresse enligt artikel 6.1 f , vilket förutsätter att tre
kumulativa villkor är uppfyllda. Det måste (i) finnas ett berättigat intresse hos den
personuppgiftsansvarige eller hos tredje man till vilket uppgifterna lämnas ut, (ii)
behandlingen av personuppgifter ska vara nödvändig för det berättigade intresse som
eftersträvas och (iii) den registrerades intresse av skydd för sina personuppgifter får
inte väga tyngre.18
I skäl 47 till dataskyddsförordningen anges att ett berättigat intresse till exempel kan
finnas när det föreligger ett relevant och lämpligt förhållande mellan den registrerade
och den personuppgiftsansvarige, till exempel om den registrerade är kund hos den
personuppgiftsansvarige. Det anges att behandling av personuppgifter för
direktmarknadsföring kan betraktas som ett berättigat intresse. Vidare anges att ett
berättigat intresse kräver en noggrann bedömning, som inbegriper huruvida den
registrerade vid tidpunkten och i samband med inhämtandet av personuppgifter
rimligen kan förvänta sig att behandling för angivet ändamål kan komma att ske. Den
registrerades intressen och grundläggande rättigheter skulle i synnerhet kunna väga
tyngre om personuppgifter behandlas under omständigheter där den registrerade inte
rimligen kan förvänta sig någon ytterligare behandling.
Enligt 9 kap. 28 § LEK, som genomför artikel 5.3 i eDataskyddsdirektivet i svensk rätt,
får uppgifter lagras i eller hämtas från användares eller abonnenters terminalutrustning
endast om abonnenten eller användaren får tillgång till information om ändamålet med
behandlingen och samtycker till den. Detta hindrar inte sådan lagring eller åtkomst
som behövs för att överföra ett elektroniskt meddelande via ett elektroniskt
17 Ytterligare vidtagna åtgärder framgår av yttrande ingivet den 14 februari 2020 aktbilaga 13, i bilaga O
18 Se, Dom i Fashion ID, C-40/17,EU:C:2019:629, punkt. 95.
16
kommunikationsnät eller som är nödvändig för att tillhandahålla en tjänst som
användaren eller abonnenten uttryckligen har begärt. Motsvarande krav gällde tidigare
enligt 6 kap.18 § lagen (2003:389) om elektronisk kommunikation.
Av EDPB:s riktlinjer om uppkopplade fordon framgår att uppgifter som samlats in på
grundval av samtycke i enlighet med artikel 5.3 i eDataskyddsdirektivet eller omfattas
av undantagen i artikel 5.3 i det direktivet endast kan vidarebehandlas för ett annat
ändamål, om den personuppgiftsansvarige begär ytterligare samtycke eller har stöd i
unionsrätten eller en medlemsstats lagstiftning.19 EDPB uttalar vidare att sådan
vidarebehandling inte kan stödja sig på ett förenlighetstest enligt artikel 6.4 i
dataskyddsförordningen eftersom det skulle undergräva skyddet i
eDataskyddsdirektivet. Vidare uttalar EDPB att ett samtycke måste, när så krävs enligt
eDataskyddsdirektivet, vara specifikt och informerat, vilket innebär att de registrerade
måste vara medvetna om varje behandlingssyfte och ha rätt att vägra specifika syften.
Om ytterligare behandling på grundval av ett förenlighetstest enligt artikel 6.4 i
dataskyddsförordningen skulle vara möjlig skulle själva principen för samtyckeskraven
i det nuvarande direktivet kringgås.20
I EDPB:s riktlinjer om riktad annonsering i sociala medier delas personuppgifter in i
kategorierna uppgifter som den registrerade aktivt och medvetet tillhandahållit den
personuppgiftsansvarige, observerade uppgifter som den registrerade tillhandahållit
genom användning av tjänsten eller enheten och avledda och härledda uppgifter som
skapats på grundval av de uppgifter som den registrerade tillhandahållit.21 Enligt EDPB
är det två rättsliga grunder som kan komma ifråga för att behandla sådana uppgifter
som den registrerade aktivt och medvetet tillhandahållit, nämligen samtycke enligt 6.1
a och berättigat intresse enligt 6.1 f i dataskyddsförordningen. När det gäller uppgifter
som samlats in genom observerade uppgifter som den registrerade tillhandahållit
genom användning av en tjänst eller enhet, inklusive sådan som samlats in genom
kakor, uttalar EDPB att artikel 6.1 f inte kan utgöra en rättslig grund för sådan riktad
annonsering där enskilda personer spåras på flera olika webbplatser och platser.22
Vidare uttalar EDPB att för sådan behandling är samtycke troligen den lämpligaste
rättsliga grunden i artikel 6 i dataskyddsförordningen. I bedömningen ska man vidare
ta hänsyn till att behandlingen inkluderar aktiviteter som lagstiftaren i EU har velat ge
ytterligare skydd.23
EDPB har i sina riktlinjer om samtycke uttalat att om de personuppgiftsansvariga väljer
att åberopa samtycke för någon del av behandlingen måste de vara beredda att
respektera detta val och stoppa denna del av behandlingen om en enskild person
återkallar sitt samtycke. Det vore i grunden orättvist gentemot de registrerade att ge
budskapet att uppgifterna kommer att behandlas baserat på samtycke samtidigt som
man faktiskt hänvisar till en annan rättslig grund. Med andra ord får inte den
personuppgiftsansvarige byta rättslig grund från samtycke till andra rättsliga grunder.
EDPB uttalar vidare att det till exempel inte är tillåtet att retroaktivt använda berättigat
intresse som grund för att motivera behandlingen, om det har uppstått problem med att
erhålla giltigt samtycke. På grund av kravet att de personuppgiftsansvariga måste
19 Se Riktlinjer 01/2020 om behandling av personuppgifter i samband med uppkopplade fordon och
rörlighetsrelaterade applikationer, Version 2.0, Antagna den 9 mars 2021, punkt 53
20 Se föregående not
21 Se EDPB:s riktlinjer 8/2020 om riktad annonsering I sociala medier Version 2.0, antagna 13 April 2021, punkt 40
22 Se föregående not, punkt 77
23 Se föregående not punkt 78
17
ange rättslig grund när personuppgifterna inhämtas, måste de ha bestämt vilken den
rättsliga grunden är innan de samlar in uppgifterna.24
I ett yttrande från Artikel 29-gruppen om begreppet berättigat intresse i direktiv
95/46/EG framgår att vid genomförandet av intresseavvägningen bör hänsyn tas till
vilken typ av intresse som anförs, vilken skada den personuppgiftsansvarige skulle
träffas av om uppgifterna inte behandlades, arten av uppgifterna, hur
personuppgifterna behandlas, de registrerades ställning respektive den
personuppgiftsansvariges ställning, de registrerades rimliga förväntningar på vad som
kommer att hända med deras uppgifter och konsekvenserna för de registrerade. Om
det, efter att ovanstående faktorer analyserats, fortfarande är oklart hur denna
avvägning utfaller kan utformningen av s.k. ytterligare skyddsåtgärder vara avgörande
för utgången i intresseavvägningen.25
I Artikel 29-gruppens riktlinjer om automatiserat individuellt beslutsfattande och
profilering ges vägledning när profilering kan stödja sig på berättigat intressen enligt
6.1 f. Enligt riktlinjerna är följande faktorer relevanta:
• Hur detaljerad profilen är.
• Hur omfattande profilen är.
• Profileringens konsekvenser.
• De skyddsåtgärder som är avsedda att säkerställa en rättvis, icke-
diskriminerande och korrekt profileringsprocess.
Artikel 29-gruppen har i flera yttranden upprepat sitt ställningstagande att det är svårt
att stödja sig på artikel 6.1 f i dataskyddsförordningen för sådan profilering som sker
för marknadsförings- eller reklamsyfte när enskilda personer spåras på flera olika
webbplatser, platser, enheter, tjänster eller för datamäklarverksamhet.26
3.5.3 Utgångspunkter för IMY:s bedömning
Bonnier News AB stödjer sin behandling av personuppgifter för ändamålet att
tillgängliggöra enskildas profiler till anslutna bolag i syfte att visa anpassade annonser
på den rättsliga grunden berättigat intresse enligt artikel 6.1 f i
dataskyddsförordningen. Innan IMY prövar om den rättsliga grunden kan utgöra grund
för Bonnier News AB:s behandling finner IMY anledning att gå in på hur behandlingen
förhåller sig till vissa uttalanden som gjorts i EDPB:s riktlinjer.
Av EDPB:s riktlinjer om riktad annonsering i sociala medier framgår att när det gäller
uppgifter som den registrerade aktivt och medvetet tillhandahållit så kan både
samtycke och berättigat intresse utgöra en rättslig grund för behandlingen. Av
riktlinjerna framgår dock att för sådan data som samlats in genom observation
(exempelvis genom kakor) kan berättigat intresse inte fungera som en lämplig rättslig
grund när den riktade annonseringen baseras på att enskilda spåras över flera
webbplatser och platser.
24 Se EDPB:s Riktlinjer 05/2020 om samtycke enligt förordning (EU) 2016/679, Version 1.1, antagna den 4 maj 2020,
punkterna 122-123
25 Se Artikel 29-gruppens yttrande 6/2014 om begreppet den registeransvariges berättigade intressen i artikel 7 i
direktiv 95/46/EG
26 Se Artikel 29-gruppens yttrande Riktlinjer om automatiserat individuellt beslutsfattande och profilering enligt
förordning (EU) 2016/679, antagna den 3 oktober 2017, s.15 och Artikel 29-gruppens yttrande 6/2014 om begreppet
den registeransvariges berättigade intresse i artikel 7 i direktiv 95/46/EG, antagna den 9 april 2014, s. 47, och
exemplen på s. 59–60 samt EDPB:s riktlinjer 8/2020 om riktad annonsering i sociala medier Version 2.0, antagna 13
April 2021 p. 77
18
IMY konstaterar att Bonnier News AB samlar in data till sin beteendedatabas från flera
olika webbplatser men ett anslutet bolag kan enbart hämta ut uppgifter baserat på
beteendedata som samlats in från bolagets egna digitala tjänster. Det gäller oavsett
om det rör sig om en enkel eller kompletterad beteendeprofil.
I EDPB:s riktlinjer om uppkopplade fordon anges att uppgifter som samlats in på
grundval av samtycke enligt 5.3 i eDataskyddsdirektivet endast kan vidarebehandlas
för ett annat ändamål om den personuppgiftsansvarige begär ytterligare samtycke eller
behandlingen har stöd i EU-rätt eller nationell reglering. Även avsnittet om interaktion
mellan samtycke och andra rättsliga grunder i artikel 6 i EDPB:s riktlinjer om samtycke
tar sikte på när den registrerade getts budskapet att de erhållit de rättigheter som ett
samtycke medför och det orättvisa i att inte respektera dessa genom att hänvisa till en
annan rättslig grund.
IMY konstaterar att situationen i ärendet i viss mån skiljer sig från den som beskrivs i
dessa riktlinjer. I ärendet är det de anslutna bolagen som samlar in uppgifterna enligt
5.3 i eDataskyddsdirektivet och som således omfattas av kravet på samtycke i den
bestämmelsen. De anslutna bolagen har att säkerställa att de har rättsligt stöd för sin
behandling enligt eDataskyddsdirektivet och dataskyddsförordningen. De anslutna
bolagens behandling av personuppgifter omfattas inte av denna tillsyn.
Det är således inte Bonnier News AB som samlar in uppgifterna med stöd av
samtycke enligt de nationella bestämmelser som genomför artikel 5.3 i
eDataskyddsdirektivet. Det är först när de anslutna bolagen för in personuppgifterna i
beteendedatabasen och KDB som Bonnier News AB:s behandling inleds. Bonnier
News AB byter således inte rättslig grund från samtycke till berättigat intresse.
IMY konstaterar samtidigt att Bonnier News AB ingår i samma koncern som de
anslutna bolagen och att Bonnier News AB är gemensamt personuppgiftsansvarig
med de anslutna bolagen för personuppgiftsbehandlingen i databaserna. Det
förhållandet att koncerngemensamma databaser inrättats bör inte innebära att de
registrerade får ett sämre skydd jämfört med om behandlingen skett hos det
koncernbolag som samlade in personuppgifterna. Med andra ord bör inte Bonnier
News AB ha större möjligheter att behandla personuppgifterna med stöd av den
rättsliga grunden berättigat intresse än vad de anslutna bolagen har. Enligt IMY bör
därför de ovan redovisade riktlinjerna ha betydelse för bedömningen av möjligheten att
använda berättigat intresse som rättslig grund i ärendet.
Av det anförda kan slutsatsen dras att utrymmet med stöd av artikel 6.1 f i
dataskyddsförordningen, att vidarebehandla uppgifter som samlats in med stöd av
samtycke enligt LEK är mycket begränsat. Samtidigt kan konstateras att det i
dataskyddsförordningen inte finns något förbud mot att använda artikel 6.1 f som
rättslig grund för den aktuella formen av behandling. IMY går därför vidare och prövar
om behandlingen har stöd i artikel 6.1 f i dataskyddsförordningen. IMY:s prövning av
om Bonnier News AB har stöd för sin behandling i artikel 6.1 f i
dataskyddsförordningen utgår från de tre villkor som ska vara uppfyllda enligt
bestämmelsen:
(i) Finns det ett berättigat intresse hos den personuppgiftsansvarige eller
hos tredje part till vilken uppgifterna lämnas ut?
(ii) Är behandlingen av personuppgifter nödvändig för det berättigade
intresse som eftersträvas?
19
(iii) Väger den registrerades intresse av skydd för sina personuppgifter
tyngre?
IMY behandlar de två första stegen i intresseavvägningen gemensamt för de
kompletterade och enkla beteendeprofilerna (avsnitt 3.5.3 och 3.5.4). Därefter
behandlas det tredje och sista steget separat för de kompletterade beteendeprofilerna
(avsnitt 3.5.5) och de enkla beteendeprofilerna (avsnitt 3.5.6).
3.5.4 Berättigat intresse
Bonnier News AB:s intresse att skapa profiler för att tillgängliggöra uppgifter för
anslutna bolag för att visa anpassade annonser är av kommersiell karaktär. Att ett
intresse är kommersiellt utesluter inte att intresset är berättigat utan avgörande för
denna bedömning är om intresset är lagenligt, specifikt och utgör ett verkligt och
faktiskt intresse.27
Bonnier News AB:s och anslutna bolags intresse är lagenligt, verkligt och faktiskt. IMY
konstaterar därför att Bonnier News AB:s intresse att skapa profiler för
tillgängliggörande samt de anslutna bolagens intresse att behandla personuppgifter för
att visa anpassade annonser baserat på kunders och användares kundprofiler och
beteendeprofiler är berättigat.
3.5.5 Är behandlingen nödvändig för det berättigade intresset?
Kravet på nödvändighet i artikel 6.1 f i dataskyddsförordningen ska prövas tillsammans
med principen om uppgiftsminimering i artikel 5.1 c.28 Syftet med behandlingen är att
tillgängliggöra uppgifter till anslutna bolag för att visa anpassade annonser baserat på
enskildas profiler. I ärendet har framkommit att Bonnier News AB tillsammans med de
anslutna bolagen har vidtagit åtgärder för att minimera antalet insamlade uppgifter och
begränsa hur länge dessa uppgifter behandlas samt sett till att de databaser i vilka
uppgifterna behandlas hålls separerade och att endast vissa uppgifter överförs
däremellan. Mot den bakgrunden finner IMY att den behandling som beskrivs i detta
beslut är nödvändig för det uppgivna ändamålet.
3.5.6 Intresseavvägningen för behandling av personuppgifter i kompletterade
beteendeprofiler
Bonnier News AB:s intresse, att skapa profiler för att tillgängliggöra uppgifter för
anslutna bolag för att visa anpassade annonser kan enligt bolaget gagna den enskilde
antingen genom att högre intäkter möjliggör gratis eller billigare tjänster eller att den
enskilde möts av erbjudanden som den är intresserad av. Bonnier News AB har vidare
framhållit att många av de anslutna bolagen ägnar sig åt journalistisk verksamhet och
att publicisters verksamhetsmodell av idag består av intäktsströmmar från läsar- och
annonsintäkter och att den koncerngemensamma personuppgiftsbehandlingen är
viktig för finansieringen av bolagens journalistiska verksamhet. Bolaget har mot den
bakgrunden bedömt att dess intresse väger särskilt tungt.
Som IMY redan konstaterat är intresset att visa anpassade annonser berättigat i den
mening som avses i artikel 6.1 f i dataskyddsförordningen. När det gäller frågan hur
tungt detta intresse väger konstaterar IMY att intresset inte i sig är journalistiskt, utan
av kommersiell natur. Genom profileringen skapas kunskap om kunder och potentiella
kunder som möjliggör intäkter från anpassad annonsering. IMY bedömer att Bonnier
27 Se Artikel 29-gruppens yttrande 6/2014 om begreppet den registeransvariges berättigade intressen i artikel 7 i
direktiv 95/46/EG
28 Se dom Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, EU:C:2019:1064, punkt 48
20
News AB:s och de anslutna bolagens kommersiella intresse inte väger så tungt som
Bonnier News AB påstår.
När det gäller bedömningen av de registrerades intressen beaktar IMY följande.
Som konstateras ovan samlar Bonnier News AB in personuppgifter i
beteendedatabasen som ursprungligen samlats in av de anslutna bolagen genom
webbkakor. Det samtyckeskrav som gäller enligt 9 kap. 28 § LEK29 för den
insamlingen ger ett starkt integritetsskydd och en möjlighet för de registrerade att
kontrollera användningen av de insamlade uppgifterna. Detta skydd riskerar, som
EDPB konstaterat i flera av sina riktlinjer, att undermineras om de insamlade
personuppgifterna behandlas med stöd av andra rättsliga grunder, som exempelvis
berättigat intresse enligt artikel 6.1 f i dataskyddsförordningen. Som IMY redan
konstaterat bör inte Bonnier News AB ha större möjlighet än de anslutna bolagen att
åberopa den rättsliga grunden berättigat intresse för behandlingen av de
personuppgifter som de anslutna bolagen samlat in med hjälp av kakor. IMY anser
därför att uppgifternas karaktär innebär att de registrerades intresse bör tillmätas stor
tyngd vid intresseavvägningen.
Vidare bedömer IMY att utrymmet för att använda artikel 6.1 f i
dataskyddsförordningen som rättslig grund för profilering baserat på observerad data
är begränsat (jfr EDPB:s riktlinjer 8/2020 om riktad annonsering i sociala medier p. 77–
78). IMY konstaterar därför att även behandlingens karaktär innebär att de
registrerades integritetsintresse väger tungt.
Bonnier News AB har framhållit att profilering och anpassade annonser kan gagna den
registrerade genom att det möjliggör högre intäkter för de anslutna bolagen vilket i sin
tur möjliggör för dessa att erbjuda gratis eller billigare tjänster. Det kan också gagna
den registrerade genom att hen möts av erbjudanden som hen är intresserad av. IMY
ifrågasätter inte att behandlingen till viss del kan gagna de registrerade men anser att
det övergripande intresset av profileringen är att skapa så träffsäker annonsering som
möjligt för att få kunder och potentiella kunder att köpa varor eller tjänster samt att få
intäkter från sådan annonsering.
I de fall beteendedata kan kopplas till KDB i syfte att visa anpassade annonser (de så
kallade kompletterade beteendeprofilerna) väger IMY in följande i sin bedömning.
Uppgifter för profileringen samlas visserligen inte in från olika webbplatser, vilket enligt
EDPB:s riktlinjer skulle göra att artikel 6.1 f i dataskyddsförordningen inte fungerar som
en lämplig rättslig grund, men profileringen inkluderar i stället uppgifter som samlats in
från andra sammanhang såsom tidigare gjorda köp, inhämtade demografiska uppgifter
samt statistiska uppgifter. IMY anser att profileringen är omfattande till sin karaktär och
att en sådan profilering inte är något en registrerad kan förvänta sig utan att ha
samtyckt till sådan personuppgiftsbehandling.
IMY anser vid en sammanvägd bedömning att den registrerades integritetsintresse
väger tyngre än Bonnier News AB:s och de anslutna bolagens intressen.
Mot den bakgrunden konstaterar IMY att Bonnier News AB har behandlat
personuppgifter i strid med artikel 6.1 i dataskyddsförordningen i syfte att profilera de
29 Vid den i ärendet aktuella tiden gällde samma krav enligt 6 kap. 18 § lagen (2003:389) om elektronisk
kommunikation.
21
registrerade baserat på deras beteendedata i en så kallad kompletterad beteendeprofil
och tillgängliggöra profilerna till anslutna bolag i syfte att visa anpassade annonser.
3.5.7 Intresseavvägning för behandling av personuppgifter i enkla
beteendeprofiler
Såsom IMY konstaterat ovan i avsnitt 3.5.4 är Bonnier News AB:s intresse, att skapa
profiler för att tillgängliggöra uppgifter för anslutna bolag för att visa anpassade
annonser är ett kommersiellt intresse som inte väger så tungt som Bonnier News AB
påstår.
När det gäller bedömningen av de registrerades intressen beaktar IMY följande.
Bonnier News AB har vidtagit åtgärder för att minimera antalet insamlade uppgifter,
infört integritetshöjande regler vid segmenteringen, infört gallringsregler och tillsett att
uppgifter som samlas in från ett anslutet bolag endast kan användas av det bolaget.
Profileringen sker således bara på ett bolags ”egna besökare”. Vidare informerar
Bonnier News AB genom sin personuppgiftspolicy om den aktuella behandlingen.
Mot detta ska vägas att insamlingen och profileringen av enkla beteendeprofiler
möjliggör en kartläggning av enskilda genom observerade data som innebär ett större
integritetsintrång än när uppgifterna samlats in genom den registrerades aktiva
medverkan. IMY anser att de registrerades integritetsintresse är starkt på grund av
arten av uppgifterna (att insamlingen av uppgifterna ges ett särskilt skydd i LEK). Som
IMY redan konstaterat bör inte Bonnier News AB ha större möjlighet än de anslutna
bolagen att åberopa den rättsliga grunden berättigat intresse för behandlingen av de
personuppgifter som de anslutna bolagen samlat in med hjälp av kakor. Vidare anser
IMY att när enskildas surfbeteende övervakas för att visa anpassad reklam kan detta
ge känslan för den registrerade av förlorad kontroll över sina uppgifter och känslan av
att bli övervakad. Detta kan resultera i att enskilda påverkas i valet av vad de tar del av
på en webbplats.
IMY anser vid en sammanvägd bedömning att den registrerades integritetsintresse
väger tyngre än Bonnier News AB:s och anslutna bolags intressen även vid
behandling av personuppgifter i enkla beteendeprofiler på grund av att detta möjliggör
profilering av enskilda.
Mot den bakgrunden konstaterar IMY att Bonnier News AB har behandlat
personuppgifter utan att ha rättslig grund för det enligt artikel 6.1 i
dataskyddsförordningen i syfte att profilera de registrerade baserat på deras
beteendedata i så kallade enkla beteendeprofiler och tillgängliggöra profilerna till
anslutna bolag i syfte att visa anpassade annonser.
3.6 Rättslig grund för behandling i syfte att tillgängliggöra
kontaktuppgifter för telefonförsäljning och postal
direktmarknadsföring
3.6.1 Tillämpliga bestämmelser m.m.
För att kunna stödja sig på artikel 6.1 f i dataskyddsförordningen måste, som
redovisats ovan, de tre villkoren som anges i artikeln vara uppfyllda. Det måste finnas
ett berättigat intresse hos den personuppgiftsansvarige eller hos tredje man till vilket
uppgifterna lämnas ut, behandlingen av personuppgifter ska vara nödvändig för det
22
berättigade intresse som eftersträvas och den registrerades intresse av skydd för sina
personuppgifter får inte väga tyngre.30
Artikel 29-gruppens och EDPB:s riktlinjer rörande profilering och tillämpningen av
artikel 6 har redogjorts för i avsnitt 3.5.
3.6.2 Aktuella omständigheter samt Bonnier News AB:s inställning
Bonnier News AB har uppgett att man i koncernen har samordnat sina aktiviteter för
att uppnå ett bättre dataunderlag och möjliggöra att behandla kundernas och
användarnas personuppgifter för angivna ändamål på ett kostnadseffektivt och
integritetsvänligt sätt. Bonnier News AB profilerar registrerade i syfte att tillgängliggöra
uppgifterna för telefonförsäljning och postaI direktmarknadsföring. Den profilering som
detta innebär baseras dels på uppgifter i KDB som samlats in från anslutna bolag vid
köp och prenumerationer (s.k. kundengagemang), dels på uppgifter inhämtade från
Bisnode Sverige AB samt, för en liten del av profilerna, uppgifter från
beteendedatabasen. Bonnier News AB stödjer sin behandling på artikel 6.1 f i
dataskyddsförordningen.
Berättigat intresse
Bonnier News AB har uppgett att de anslutna bolagen har ett berättigat intresse att
marknadsföra sina produkter och tjänster på ett effektivt och integritetsvänligt sätt.
Nödvändig behandling
Bonnier News AB har uppgett att de tillsammans med de anslutna bolagen vidtagit
åtgärder för att minimera antalet insamlade uppgifter, hur länge dessa uppgifter
behandlas samt, i syfte att leva upp till dataminimeringsprincipen, hållit databaserna
separerade och endast överfört vissa uppgifter. Vidare har Bonnier News AB vidtagit
åtgärder så att inte fler uppgifter än vad som behövs lämnas ut till de anslutna
bolagen. Vid utlämnandet lämnas enbart de datapunkter som definierats som
nödvändiga för den marknadsföringskanal som angivits vid utlämnandet, alltså till
exempel telefonnummer vid en telefonförsäljningskampanj och adress vid postal
direktmarknadsföring. De datapunkter som segmenteringen baserats på, lämnas inte
ut.
Intresseavvägningen
Bonnier News AB har uppgett följande.
Bonnier News AB:s intresse att tillgängliggöra uppgifter för anslutna bolag baserat på
den registrerades profil för att användas vid telefonförsäljning och postal
direktmarknadsföring väger tyngre än den registrerades integritetsintresse.
Genom att nyttja koncernens befintliga resurser för telefonförsäljning och postal
direktmarknadsföring, istället för att köpa samma information/resurs från en extern
part, uppstår en kostnadsbesparing samtidigt som det möjliggör en mer kontrollerad
utnyttjandegrad av adresser och telefonnummer än vad som hade varit möjligt annars.
Behandlingen avser vidare att spara in inköpskostnader.
Bonnier News AB har tillsammans med de anslutna bolagen vidtagit åtgärder för att
minimera antalet insamlade uppgifter, begränsat hur länge dessa uppgifter behandlas
samt i syfte att leva upp till dataminimieringsprincipen, hållit databaserna separerade.
För ändamålen telefonförsäljning och postal direktmarknadsföring har Bonnier News
30 EU-domstolens dom Fashion ID, C-40/17, EU:C:2019:629, punkt. 95.
23
AB begränsat vilken typ av innehållstaggar som genererats av att den registrerade
surfat på andra bolags webbsidor.31 En koppling mellan databaserna har vidare kunnat
göras bara hos en liten andel av användarna.
Vidare tillämpas inom ramen för samarbetet något som kallas ändamålsanpassade
scheman. Dessa reglerar vilken information som lämnas ut från KDB. Vid utlämnandet
lämnas enbart de datapunkter som definierats som nödvändiga för den
marknadsföringskanal som angivits vid utlämnandet, till exempel telefonnummer vid en
telefonförsäljning-kampanj och adress vid postal direktmarknadsföring. De datapunkter
som segmenteringen baserats på, lämnas inte ut.
Det finns en särskild möjlighet för den registrerade att begära radering från den
gemensamma databasen. Den registrerade har även rätt att invända mot att
uppgifterna används för telefonförsäljning och postal direktmarknadsföring.
De registrerade har en direkt relation till ett eller flera anslutna bolag.
Användarna/kunderna har antingen besökt ett anslutets bolags webbsida, köpt
produkter av ett anslutet bolag eller har ett aktivt digitalt abonnemang. Många av
kunderna är prenumeranter som har en långvarig relation till det bolag som
tillhandahåller tjänsten eller produkten, och kan därför anses ha en större förväntan på
att deras uppgifter behandlas. Många läsare har ett starkt engagemang knutet till sin
preferens för nyhetsmedia. I viss utsträckning hör kundprofiler i KDB till styckeköp som
litteratur-, tidnings- och varuköp, där relationen mellan kund och leverantör får anses
något mindre unik. Vidare är interaktionen frivillig, tydlig information lämnas och det
finns alternativa produkter som fysiska tidningar som man kan ta del av helt anonymt.
Behandlingen har enligt Bonnier News AB sannolikt inte en negativ påverkan på den
registrerades intresse.
Den behandling som sker ligger inom de registrerades rimliga förväntningar på grund
av att de individer som kommer i kontakt med bolagen gör detta av fri vilja i syfte att ta
del av innehåll på webbsajter, köpa tjänster och/eller produkter och att de alltid har en
kund-/användarrelation med ett eller flera koncernbolag. Vidare innehåller bolagens
personuppgiftspolicys tydlig information om hur kunders och användares
personuppgifter behandlas och delas inom koncernen. Den behandling som utförs
inom ramen för KDB/beteendedatabasen är tätt förknippad med bolagens tjänster och
produkter vilket torde ha betydelse för konsumentens förväntansbild. Att en koncern av
effektivitetsskäl samordnar system och centrala funktioner samt delar viss data torde
inte heller vara oväntat för de registrerade. Kunder som inte anmält sig till NIX-registret
har en rimlig förväntan att deras kontaktuppgifter kan komma att användas för postal
direktmarknadsföring eller telefonförsäljning. Konsumenter är vana vid denna typ av
marknadsföring.
I den koncerngemensamma policyn ges information om direktmarknadsföring och
telefonförsäljning. Där framgår att adresser och telefonnummer kan användas av
Bonnierbolagen för direktmarknadsföring via post och telefonförsäljning. Det framgår
vidare att Bonnierbolagen kan välja segment som de tror är relevanta för den aktuella
kampanjen, t.ex. "män i åldersspannet 40-45 år som bor i Stockholm". Det framgår
också att Bonnierbolagen alltid respekterar NIX-spärrar och om någon har invänt mot
marknadsföringen.
31 Det är endast taggar som kategoriserats med IAB:s taxonomi som inhämtas.
24
3.6.3 IMY:s bedömning
IMY behandlar de två första stegen i intresseavvägningen gemensamt för de
kompletterade och enkla beteendeprofilerna (avsnitt 3.6.4 och 3.6.5). Därefter
behandlas det tredje och sista steget separat för de kompletterade beteendeprofilerna
(avsnitt 3.6.6) och de enkla beteendeprofilerna (avsnitt 3.6.7).
3.6.4 Är Bonnier News AB:s intresse att profilera enskilda i syfte att
tillgängliggöra uppgifter till anslutna bolag att användas vid telefonförsäljning
och postal direktmarknadsföring berättigat?
Bonnier News AB:s intresse att skapa profiler för att tillgängliggöra uppgifterna för
anslutna bolag för att användas vid telefonförsäljning och postal direktmarknadsföring
är av kommersiell natur. IMY bedömer att bolagens intresse är lagenligt, verkligt och
faktiskt hos Bonnier News AB och de anslutna bolagen som uppgifterna lämnas ut till.
Mot den bakgrunden bedömer IMY att bolagets intresse att skapa profiler för att
tillgängliggöra uppgifter till anslutna bolag i syfte att användas vid telefonförsäljning
och postal direktmarknadsföring är berättigat.
3.6.5 Är behandlingen nödvändig för intresset att profilera enskilda i syfte att
tillgängliggöra uppgifter till bolag för att användas vid telefonförsäljning och
postal direktmarknadsföring?
Kravet på nödvändighet i artikel 6.1 f i dataskyddsförordningen ska prövas tillsammans
med principen om uppgiftsminimering i artikel 5.32 Syftet med behandlingen är att
tillgängliggöra uppgifter till bolag för att användas vid telefonförsäljning och postal
direktmarknadsföring. I ärendet har framkommit att Bonnier News AB tillsammans med
de andra bolagen har vidtagit åtgärder för att minimera antalet insamlade uppgifter och
begränsa hur länge dessa uppgifter behandlas samt sett till att de databaser i vilka
uppgifterna behandlas hålls separerade och att endast vissa uppgifter överförs
däremellan. Vidare har bolaget tillsett att inte fler uppgifter än vad som behövs lämnas
ut till de anslutna bolagen för att användas vid telefonförsäljning och postal
direktmarknadsföring. Mot den bakgrunden finner IMY att behandlingen är nödvändig
för det berättigade ändamålet.
3.6.6 Intresseavvägning för behandling av personuppgifter i kompletterade
kunddatabasprofiler
Bonnier News AB har framhållit att de anslutna bolagen har ett intresse att marknadsföra
sina produkter och tjänster på ett effektivt och integritetsvänligt sätt. IMY konstaterar
dock att intresset att tillgängliggöra uppgifter för användning vid telefonförsäljning och
postal direktmarknadsföring är ett kommersiellt intresse som inte väger särdeles tungt.
När det gäller bedömningen av de registrerades intressen beaktar IMY följande.
Den profilering som görs på de kompletterade kunddatabasprofilerna innefattar
uppgifter som samlats in från anslutna bolag vid köp och prenumerationer (s.k.
kundengagemang), uppgifter inhämtande från Bisnode Sverige AB samt uppgifter från
beteendedatabasen (inklusive uppgifter som samlats in av de anslutna bolagen genom
kakor). IMY har redan ovan konstaterat att Bonnier News AB inte bör ha större
möjlighet än de anslutna bolagen att åberopa den rättsliga grunden berättigat intresse
vid behandling av personuppgifter som de anslutna bolagen samlat in med hjälp av
kakor. Den beteendedata som hämtas från beteendedatabasen om en registrerad till
KDB samlas dessutom in från olika bolags webbsidor. IMY anser att de registrerade
inte kan anses förvänta sig att deras beteendedata samlas in för marknadsföringssyfte
32 Se dom Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, EU:C:2019:1064, punkt 48
25
bara för att de besöker en webbsida. De kan inte heller anses förvänta sig att deras
beteendedata kombineras med uppgifter från en annan köpsituation eller inhämtade
uppgifter från andra register i syfte att kontaktas för telefonförsäljning eller postal
direktmarknadsföring. Detta förändras inte av den integritetshöjande åtgärden att de
anslutna bolagen som utför marknadsföringsåtgärden inte får tillgång till den
insamlade beteendedatan utan endast kontaktuppgifter.
Av EDPB:s riktlinjer framgår att utrymmet att använda berättigat intresse som rättslig
grund för profilering är beroende av hur detaljerad profilen är, hur omfattande profilen
är, profileringens konsekvenser och de skyddsåtgärder som är avsedda att säkerställa
en rättvis, icke-diskriminerande och korrekt profileringsprocess.
IMY anser att de registrerades integritetsintresse är starkt på grund av arten av
uppgifterna eftersom uppgifterna möjliggör kartläggning av enskildas beteende och
insamlingen av uppgifterna ges ett särskilt skydd i LEK.
IMY konstaterar vidare att det rör sig om sådan profilering som avses i artikel 4.4 i
dataskyddsförordningen samt att profileringen är omfattande då den ger en fördjupad
bild av den registrerade. Det är dessutom fråga om uppgifter som samlats in från olika
webbsidor kombinerat med uppgifter som hämtats in från kundengagemang och
statistiska data från Bisnode Sverige AB. IMY konstaterar mot denna bakgrund att
behandlingens karaktär innebär att de registrerades integritetsintresse väger tungt.
IMY anser vid en sammanvägd bedömning att den registrerades integritetsintresse
väger tyngre än Bonnier News AB:s och anslutna bolags intresse för den behandling
av personuppgifter som är baserad på så kallade kompletterad kunddatabasprofil och
som sker i syfte att tillgängliggöra kontaktuppgifter till anslutna bolag för
telefonförsäljning och postal marknadsföring.
Mot den bakgrunden konstaterar IMY att Bonnier News AB har behandlat
personuppgifter utan att ha rättslig grund för det enligt artikel 6.1 i
dataskyddsförordningen genom att profilera de registrerade baserat på deras
kompletterade kunddatabasprofiler i syfte att tillgängliggöra kontaktuppgifter till
anslutna bolag för telefonförsäljning och postal marknadsföring.
3.6.7 Intresseavvägning för personuppgifter utan koppling till
beteendedatabasen
Såsom IMY konstaterat ovan i avsnitt 3.6.6 är Bonnier News AB:s intresse främst ett
kommersiellt intresse som inte väger särdeles tungt.
När det gäller bedömningen av de registrerades intressen för sådan behandling som
saknar koppling till beteendedatabasen beaktar IMY följande. Bonnier News AB har
vidtagit åtgärder för att minimera antalet datapunkter både i förhållande till principerna
om uppgiftsminimering och lagringsminimering genom att inte dela uppgifter på
artikelnivå, utan endast på produktkategori, varumärke och typ av paketering.
Profileringen omfattar inte heller uppgifter som samlats in genom kakor. Av
utredningen har vidare framgått att den enskilde har haft möjlighet att invända före
behandlingen samt att Bonnier News AB respekterar de registrerades önskemål om att
slippa marknadsföring som har noterats i nationella spärrlistor eller hos den
personuppgiftsansvarige. IMY anser mot den bakgrunden att behandlingen ligger inom
ramen för vad enskilda rimligen kan förvänta sig på grund av den information som
lämnas och att uppgifter endast lämnas ut till anslutna bolag inom koncernen.
26
IMY anser vid en sammanvägd bedömning att de registrerades intressen eller
grundläggande rättigheter inte väger tyngre än Bonnier News AB:s och de anslutna
bolagens intressen för den aktuella behandlingen.
Mot den bakgrunden konstaterar IMY att Bonnier News AB har haft stöd för sin
behandling i artikel 6.1 f i dataskyddsförordningen.
3.7 Val av ingripande
3.7.1 Tillämpliga bestämmelser och andra allmänna utgångspunkter
IMY har vid överträdelser av dataskyddsförordningen ett antal korrigerande
befogenheter, bland annat reprimand, föreläggande och sanktionsavgifter. Det följer av
artikel 58.2 a–j i dataskyddsförordningen. IMY ska påföra sanktionsavgifter utöver eller
i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på
omständigheterna i varje enskilt fall.
Om en personuppgiftsansvarig eller ett personuppgiftsbiträde, med avseende på en
och samma eller sammankopplade uppgiftsbehandlingar, uppsåtligen eller av
oaktsamhet överträder flera av bestämmelserna i denna förordning får den
administrativa sanktionsavgiftens totala belopp inte överstiga det belopp som fastställs
för den allvarligaste överträdelsen. Det framgår av artikel 83.3 i
dataskyddsförordningen.
Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa
sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det
anges i artikel 83.1 i dataskyddsförordningen. I artikel 83.2 anges de faktorer som ska
beaktas för att bestämma om en administrativ sanktionsavgift ska påföras och vid
bedömningen av sanktionsavgiftens storlek.
EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt
dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer
för beräkning av sanktionsavgifter.33
Om det är fråga om en mindre överträdelse får IMY enligt skäl 148 till
dataskyddsförordningen istället för att påföra en sanktionsavgift utfärda en reprimand
enligt artikel 58.2 b.
3.7.2 Samma eller sammankopplade uppgiftsbehandlingar
IMY har ovan i tre fall bedömt att Bonnier News AB saknat stöd i artikel 6.1 i
dataskyddsförordningen för sin behandling av personuppgifter. IMY bedömer att dessa
behandlingar, som alla sker i bolagets databaser genom profilering i
marknadsföringssyfte, är sammankopplade med varandra på det sätt som avses i
artikel 83.3 i dataskyddsförordningen.
3.7.3 Sanktionsavgift
IMY har bedömt att Bonnier News AB har överträtt artikel 6.1 i dataskyddsförordningen
vid sin behandling av personuppgifter som sker i syfte att visa anpassade annonser
och att tillgängliggöra kontaktuppgifter till anslutna bolag för telefonförsäljning och
postal direktmarknadsföring. IMY anser inte att det är fråga om mindre överträdelser.
33 EDPB:s riktlinjer 8/2020 Guidelines 04/2022 on the calculation of administrative fines under the GDPR (antagna för
publik konsultation den 12 maj 2022).
27
Bonnier News AB ska därför påföras en administrativ sanktionsavgift för dessa
överträdelser.
IMY konstaterar att överträdelser av artikel 6.1 i dataskyddsförordningen omfattas av
artikel 83.5 vilket innebär att en sanktionsavgift på upp till tjugo miljoner EUR eller fyra
procent av den globala årsomsättningen under föregående budgetår, beroende på
vilket som är högst, kan påföras.
Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag
ska den definition av begreppet företag användas som EU-domstolen använder vid
tillämpning av artiklarna 101 och 102 i EUF-fördraget (se skäl 150 i
dataskyddsförordningen). Av domstolens praxis framgår att detta omfattar varje enhet
som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess
finansiering samt även om enheten i juridisk mening består av flera fysiska eller
juridiska personer.34
IMY bedömer att det företags omsättning som ska läggas till grund för beräkning av
den administrativa sanktionsavgift som Bonnier News AB kan åläggas är Bonnier
News AB:s moderbolag Albert Bonnier AB. Av inhämtade uppgifter framgår att Albert
Bonnier AB:s årsomsättning år 2021 var 23 299 000 000 kronor. Det högsta
sanktionsbelopp som kan fastställas i ärendet är fyra procent av detta belopp, det vill
säga cirka 931 960 000 kronor.
IMY bedömer att följande faktorer har betydelse för bedömningen av överträdelsens
allvarlighet.
Det har varit fråga om profilering av enskilda som skett i vinstsyfte både när
profileringen skett för att visa anpassade annonser och när den skett för att lämna ut
kontaktuppgifter för telefonförsäljning och postal marknadsföring.
Profileringen som skett för att visa anpassade annonser har i de fall uppgifter i
beteendedatabasen om enskildas surfbeteende har kunnat kopplas till KDB innefattat
surfhistorik, köphistorik samt demografiska och statistiska uppgifter. Det har varit fråga
om en överträdelse som pågått under en längre tid och rört ett stort antal registrerade
och omfattat en stor mängd personuppgifter. Uppgifterna som behandlas utgör dock,
såvitt framkommit, inte sådana särskilda kategorier av personuppgifter som anges i
artikel 9 i dataskyddsförordningen. IMY har i detta beslut bedömt att profileringen
genom kompletterande beteendeprofiler, varit omfattande till sin karaktär.
Även för den profilering av personuppgifter i KDB där koppling funnits till uppgifter i
beteendedatabasen, så kallade kompletterade kunddatabasprofiler har IMY gjort
bedömningen att profileringen varit omfattande till sin karaktär, eftersom den innehållit
uppgifter som samlats in om den enskildes surfbeteende inhämtade från flera
webbplatser kombinerade med uppgifter från gjorda köp (kundengagemang) samt
uppgifter inhämtade från Bisnode Sverige AB. IMY gör dock bedömningen att aktuell
personuppgiftsbehandling inte medför stora konsekvenser för de registrerade. Det rör
sig om påverkan som bedöms vara måttlig.
IMY anser i båda dessa fall att den profilering som skett där uppgifter kunnat kopplas
samman i de båda databaserna, kompletterande beteendeprofiler och de
kompletterande kunddatabasprofilena, har högre allvarlighetsgrad jämfört med den
34 Se Dom i Akzo Nobel, C-516/15, EU:C:2017:314, punkt. 48
28
överträdelse som rör den profilering som sker i de så kallade enkla beteendeprofilerna
för att visa anpassade annonser. IMY anser att den profilering som sker i de så kallade
enkla beteendeprofilerna för att visa anpassade annonser i och för sig är
sanktionsgrundande, men att den har en lägre allvarlighetsgrad än de överträdelser
där en koppling kunnat göras mellan de olika databaserna. Skälet till det är att det rör
sig om färre uppgifter om de registrerade och om indirekta personuppgifter. IMY väger
dock in att även denna överträdelse innefattar systematisk behandling som pågått
under en längre tid och rört ett stort antal registrerade.
De åtgärder som Bonnier vidtagit för att begränsa intrånget i de registrerades
personliga integritet, i form av satta lagringsfrister, att uppgifter inte registreras på
produktnivå, att inte fler uppgifter än nödvändigt lämnas ut till anslutna bolag, medför
enligt IMY att överträdelsernas allvarlighetsgrad minskas i betydande mån.
Personuppgifterna har heller inte lämnats ut utanför koncernen. IMY har
uppmärksammat att Bonnier News AB genomgående har vidtagit åtgärder för att
minska integritetsintrånget för de registrerade i sitt koncerngemensamma samarbete.
Även detta förhållande beaktas vid bedömningen av överträdelsernas allvar.
IMY bedömer mot bakgrund av ovanstående omständigheter att det sammantaget rör
sig om överträdelser av låg allvarlighetsgrad. Utgångspunkten för beräkningen av
sanktionsavgiften bör därför vara lågt i förhållande till det aktuella maxbeloppet.
Utöver bedömningen av överträdelsens allvar ska IMY bedöma om det föreligger
några försvårande eller förmildrande omständigheter som får betydelse för
sanktionsavgiftens storlek. IMY bedömer att det saknas ytterligare försvårande eller
förmildrande omständigheter, utöver de som beaktas vid bedömningen av
allvarlighetsgraden ovan, som påverkar sanktionsavgiftens storlek.
Mot bakgrund av överträdelsens allvar, försvårande och förmildrande omständigheter
och den höga omsättningen i förhållande till de konstaterade överträdelserna
bestämmer IMY den administrativa sanktionsavgiften för Bonnier News AB till
13 000 000 kronor. IMY bedömer att detta belopp är effektivt, proportionerligt och
avskräckande.
__________________________________________
Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning
av juristen Ulrika Bergström. Vid den slutliga handläggningen har även rättschefen
David Törngren och enhetschefen Catharina Fernquist deltagit.
Lena Lindgren Schelin, 2023-06-26 (Det här är en elektronisk signatur)
Bilaga
Information om betalning av sanktionsavgift
Kopia till
DSO
29
4. Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni
överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY
senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in
i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning. Ni kan e-
posta överklagandet till IMY om det inte innehåller några integritetskänsliga
personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens
kontaktuppgifter framgår av beslutets första sida.