1(3)
Expressen Lifestyle AB
105 44 Stockholm
Diarienummer:
DI-2019-6523
Datum:
Tillsyn enligt dataskyddsförordningen
2023-06-26
– Expressen Lifestyle AB
Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten konstaterar att Expressen Lifestyle AB (556025-4525),
har behandlat personuppgifter i strid med artikel 13.1 c i dataskyddsförordningen
genom att ange felaktig rättslig grund för behandlingen av de registrerades
personuppgifter under maj 2018 fram till den 4 juni 2019.
Integritetsskyddsmyndigheten ger Expressen Lifestyle AB en reprimand enligt artikel
58.2 b i dataskyddsförordningen för överträdelse av 13.1 c i dataskyddsförordningen.
Redogörelse för tillsynsärendet
Integritetsskyddsmyndigheten (IMY) inledde den 4 juni 2019 en tillsyn mot Bonnier
Magazine and Brands AB. Tillsynen var inte föranledd av något klagomål utan syftade
till att granska om de samtycken som inhämtas för att uppfylla skyldigheten att ha en
rättslig grund enligt artikel 6.1 i dataskyddsförordningen levde upp till kraven i
dataskyddsförordningen på frivillighet, information och tydlighet samt att den rättsliga
grunden tydligt framgår. Bonnier Magazine and Brands AB hade vid tillsynens
inledande en kryssruta på sin webbsida tillsammans med texten. ”Jag godkänner
prenumerationsvillkoren. Därmed samtycker jag till personuppgiftsbehandling inom
Bonnierkoncernen.”
I sitt yttrande till IMY har Bonnier Magazines and Brands uppgett att informationen i
registreringsflödet i bolagets webbshop, Magasinshoppen, av misstag inte uppdaterats
på samma vis som på övriga webbsidor. I och med dataskyddsförordningens
ikraftträdande 2018 genomförde Bonnier Magazine and Brands AB ett omfattande
arbete som bland annat innebar att bolaget omvärderade sin lagliga grund för
behandling av personuppgifter. I stället för samtycke grundar Bonnier Magazine and
Brands AB sin behandling av kunders personuppgifter huvudsakligen på de rättsliga
Postadress: grunderna i artikel 6.1 b i dataskyddsförordningen, avtal, eller i artikel 6.1 f i
Box 8114 dataskyddsförordningen, berättigat intresse. I det normala registreringsflöde som
104 20 Stockholm används på Bonnier Magazine and Brands AB:s webbsidor ombeds kunden att
Webbplats: godkänna prenumerationsvillkoren och bekräfta att hen har tagit del av Bonnier
www.imy.se Magazine and Brands AB:s dataskyddspolicy. Bonnier Magazines and Brands AB har
E-post: uppgett att man omedelbart när IMY inledde tillsynen vidtagit åtgärder för att
[email protected] uppdatera Magasinshoppen med korrekt information i registreringsflödet.
Telefon:
08-657 61 00
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6523 2(3)
Datum: 2023-06-26
Bonnier Magazines and Brands AB har genom fusion upplösts den 1 juni 2022 och
gått upp i Expressen Lifestyle AB (556025-4525).
Motivering av beslutet
Av 23 kap. 1 § aktiebolagslagen (2005:551) följer att en fusions verkningar innebär att
samtliga tillgångar och skulder övertas av ett annat bolag vid fusionstidspunkten. Det
övertagande bolaget är därför ansvarig för de förpliktelser som fanns i det bolag som
tagits över. Mot bakgrund av detta gör IMY bedömningen att det övertagande bolaget
efter fusionstidspunkten är part i IMY:s tillsynsärende och denna tillsyn riktar sig därför
mot Expressen Lifestyle AB.
När en personuppgiftsansvarig samlar in personuppgifter från en registrerad ska
information gällande den rättsliga grunden för behandlingen framgå, enligt artikel 13.1
c i dataskyddsförordningen. Den personuppgiftsansvariga ska enligt artikel 12.1 i
dataskyddsförordningen vidta åtgärder för att till den registrerade tillhandahålla denna
information i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med
användningen av ett klart och tydligt språk. IMY anser att texten bredvid kryssrutan på
bolagets webbsida ”Jag godkänner prenumerationsvillkoren. Därmed samtycker jag till
personuppgiftsbehandling inom Bonnierkoncernen”, ger den registrerade intryck av att
bolagets rättsliga grund för behandling av personuppgifter är samtycke enligt artikel
6.1. a i dataskyddsförordningen. Den informationstext som fanns under länken med
texten om prenumerationsvillkoren förstärker detta ytterligare genom formuleringen
”Vid beställning samtycker du till att dina personuppgifter inklusive e-postadress,
mobiltelefonnummer för samtal och sms-meddelanden och eventuella andra digitala
adresser, får lagras och användas inom Bonnier för digitala tjänster, marknadsföring,
samt för statistik- och analysändamål.”. Vidare lämnas på samma ställe information
om villkoren för samtycke inklusive rätten att återkalla samtycket.
Bolaget har uppgett att bolaget inte grundar sin behandling av kunders personuppgifter
på samtycke utan huvudsakligen på de rättsliga grunderna avtal eller berättigat
intresse enligt artikel 6.1 b och f i dataskyddsförordningen.
IMY konstaterar mot den bakgrunden att bolaget behandlat personuppgifter i strid med
artikel 13.1 c i dataskyddsförordningen genom att ange felaktig rättslig grund för
behandlingen av registrerades personuppgifter.
Val av ingripande
Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har
befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83.
Beroende på omständigheterna i det enskilda fallet ska administrativa sanktions-
avgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som
till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer
som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid
bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY
enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en
reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande
omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet
samt tidigare överträdelser av relevans.
IMY konstaterar följande relevanta omständigheter. Bonnier Magazines and Brands
AB vidtog omedelbart åtgärder när IMY inledde sin tillsyn för att uppdatera
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6523 3(3)
Datum: 2023-06-26
informationen i registreringsflödet på sin webbplats så att den registrerade därefter
varken mötts av en samtyckesbegäran eller informationstext om samtycke. I stället
ombeds den registrerade att godkänna prenumerationsvillkoren (dvs köpevillkoren)
och bekräfta att hen tagit del av bolagets dataskyddspolicy. Webbsidan har inte varit
den sida som de flesta av bolagets kunder tecknat sina prenumerationer genom.
Användningen av webbshopen har därför varit begränsad varför endast 1372 kunder
tecknat sina prenumerationer via denna webbsida under aktuell tidsperiod. Vidare var
det ett misstag att webbsidan inte uppdaterades i samband med att bolaget såg över
sina rutiner i samband med dataskyddsföreningens ikraftträdande. IMY bedömer att
den aktuella bristen inte haft allvarliga konsekvenser för de registrerade. Mot denna
bakgrund bedömer IMY att det är fråga om en sådan mindre överträdelse i den mening
som avses i skäl 148 som medför att Expressen Lifestyle AB ska ges en reprimand
enligt artikel 58.2 b i dataskyddsförordningen för den konstaterade bristen.
Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av
juristen Ulrika Bergström.
Catharina Fernquist, 2023-06-26 (Det här är en elektronisk signatur)
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i
skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska
ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick
del av beslutet. Om överklagandet har kommit in i rätt tid sänder
Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för
prövning.
Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller
några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av
sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.