1(30)
Spotify AB
Regeringsgatan 19
11153 Stockholm
Diarienummer:
DI-2019-6696 Beslut efter tillsyn enligt
dataskyddsförordningen – Spotify AB
Datum:
2023-06-12
Innehållsförteckning
Integritetsskyddsmyndighetens beslut ............................................................................3
Spotifys generella rutiner för hantering av begäran om tillgång...........................3
Granskning av enskilda klagomål ........................................................................3
1 Redogörelse för tillsynsärendet ...................................................................................5
2 Tillämpliga bestämmelser ............................................................................................6
3 Spotifys generella rutiner för hantering av begäran om tillgång - Motivering av beslut
........................................................................................................................................7
3.1 Information - artikel 15.1 a-h och 15.2 i dataskyddsförordningen ..................7
3.1.1 Vad som framkommit i ärendet ........................................................7
3.1.2 Integritetsskyddsmyndighetens bedömning .....................................8
3.2 Rätten till tillgång till personuppgifter och kopia på personuppgifter under
behandling – artikel 15.1 och 15.3 i dataskyddsförordningen ............................12
3.2.1 Vad som har framkommit i ärendet ................................................12
3.2.2 Integritetsskyddsmyndighetens bedömning ...................................15
4 Granskning av enskilda klagomål - Motivering av beslut ...........................................20
4.1 Klagomål 1 (från Nederländerna med nationellt referensnummer z2018-
28415) ................................................................................................................20
4.1.1 Bakgrund ........................................................................................20
4.1.2 Vad som har framkommit i ärendet ................................................20
4.1.3 Integritetsskyddsmyndighetens bedömning ...................................22
Postadress:
4.2 Klagomål 2 (från Österrike med nationellt referensnummer D130.198) ......23
Box 8114
104 20 Stockholm 4.2.1 Bakgrund ........................................................................................23
Webbplats:
4.2.2 Vad som har framkommit i ärendet ................................................23
www.imy.se
E-post: 4.2.3 Integritetsskyddsmyndighetens bedömning ...................................24
[email protected]
4.3 Klagomål 3 (från Danmark med nationellt referensnummer 2018-31-1198)26
Telefon:
08-657 61 00 5 Val av ingripande .......................................................................................................26
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 2(30)
Datum: 2023-06-12
5.1 Tillämpliga bestämmelser ............................................................................26
5.2 Samma eller sammankopplade uppgiftsbehandlingar .................................27
5.3 Brister i information enligt artikel 15.1 och 15.2 i dataskyddsförordningen
och i beskrivningen av uppgifterna i de tekniska loggfilerna ..............................27
5.4 Överträdelser avseende klagomål 1 och 2 ..................................................29
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 3(30)
Datum: 2023-06-12
Integritetsskyddsmyndighetens beslut
Spotifys generella rutiner för hantering av begäran om tillgång
Integritetsskyddsmyndigheten konstaterar att Spotify AB (556703-7485) under
perioden från och med den 16 november 2021 till och med den 16 maj 2022 i den
information som ska lämnas enligt artikel 15.1 och 15.2 i dataskyddsförordningen1 inte
lämnat tillräckligt tydlig information om
– ändamålen med behandlingen,
– kategorier av personuppgifter som behandlingen gäller,
– kategorier av mottagare av personuppgifterna,
– de förutsedda perioder under vilka personuppgifter kommer att lagras eller, om
detta inte är möjligt, de kriterier som används för att fastställa denna period,
– varifrån personuppgifter kommer,
– lämpliga skyddsåtgärder när personuppgifter överförs till tredjeland.
Integritetsskyddsmyndigheten konstaterar vidare att Spotify AB under perioden från
och med den 11 juni 2019 till och med den 16 maj 2022 genom att som standard
tillhandahålla beskrivningen av uppgifterna i de tekniska loggfilerna på engelska inte
har uppfyllt kraven på att all kommunikation som lämnas till den registrerade enligt
artikel 15 i dataskyddsförordningen ska vara tydlig och begriplig på sätt som anges i
artikel 12.1 i dataskyddsförordningen.
Spotify AB har därmed behandlat personuppgifter i strid med artiklarna 12.1, 15.1 a-d,
15.1 g och 15.2 i dataskyddsförordningen.
Integritetsskyddsmyndigheten beslutar med stöd av artiklarna 58.2 och 83 i
dataskyddsförordningen att Spotify AB för dessa brister ska betala en administrativ
sanktionsavgift på 58 000 000 (femtioåttamiljoner) kronor.
Granskning av enskilda klagomål
Integritetsskyddsmyndigheten konstaterar avseende klagomål 1 att Spotify AB i sin
hantering av klagandens begäran om tillgång som gjordes den 27 maj 2018 har
behandlat personuppgifter i strid med
– artikel 12.3 i dataskyddsförordningen, genom att kopian på personuppgifter har
lämnats för sent,
– artiklarna 12.1, 15.1 och 15.3 i dataskyddsförordningen, genom att i den kopia på
personuppgifter som Spotify AB lämnat inte ha tillhandahållit samtliga klagandens
personuppgifter i en begriplig form.
Integritetsskyddsmyndigheten konstaterar avseende klagomål 2 att Spotify AB i sin
hantering av klagandens begäran om tillgång som gjordes den 10 oktober 2018 har
behandlat personuppgifter i strid med
– artiklarna 15.1 och 15.3 i dataskyddsförordningen, genom att i den kopia på
personuppgifter som Spotify AB lämnat inte ha gett tillgång till samtliga
personuppgifter som Spotify AB behandlade om den klagande,
1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med
avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av
direktiv 95/46/EG (allmän dataskyddsförordning).
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 4(30)
Datum: 2023-06-12
– artiklarna 15.1 a-h och 15.2 i dataskyddsförordningen, genom att inte ha
tillhandhållit någon av den information som anges i dessa bestämmelser.
Integritetsskyddsmyndigheten ger Spotify AB en reprimand enligt artikel 58.2 b i
dataskyddsförordningen för bristerna avseende klagomål 1 och 2.
Integritetsskyddsmyndigheten förelägger Spotify AB enligt artikel 58.2
c i dataskyddsförordningen att avseende klagomål 2 senast en månad efter att detta
beslut vunnit laga kraft tillmötesgå klagandens2 begäran om tillgång genom att, med
förbehåll för eventuellt tillämpliga undantag i artikel 15.4 i dataskyddsförordningen och
5 kap. dataskyddslagen3, lämna klaganden tillgång till samtliga personuppgifter som
Spotify behandlar om klaganden genom att förse den klagande med en kopia på
personuppgifterna enligt 15.3 samt lämna information enligt artiklarna 15.1 a-h och
15.2.
2 Klagandens identifieringsuppgifter framgår av bilaga 1
3 Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 5(30)
Datum: 2023-06-12
1 Redogörelse för tillsynsärendet
Integritetsskyddsmyndigheten (IMY) har, mot bakgrund av att IMY tagit del av
klagomål riktade mot Spotify AB (Spotify) gällande rätten till tillgång enligt artikel 15 i
dataskyddsförordningen, inlett tillsyn mot Spotify i syfte att utreda om bolagets sätt att
hantera registrerades begäran om tillgång är i enlighet med dataskyddsförordningens
bestämmelser. IMY har inledningsvis granskat bolagets generella rutiner vid begäran
om tillgång och inte vad som förevarit i de enskilda klagomålen. Granskningen har
varit inriktad på huruvida bolagets processer och rutiner för att ge tillgång enligt artikel
15 på ett generellt plan möjliggör för registrerade att få tillgång till de personuppgifter
bolaget behandlar om dem samt övrig information enligt bestämmelsen. Med
registrerade avses i detta sammanhang de kunder som använder Spotifys tjänster och
inte andra kategorier av registrerade, t.ex. anställda hos Spotify.
IMY har inom ramen för denna granskning inte kontrollerat vilka personuppgifter
Spotify behandlar och om samtliga dessa ges ut vid varje enskild begäran. Exempelvis
har någon jämförelse mellan Spotifys register över behandlingar enligt artikel 30 i
dataskyddsförordningen och de personuppgifter som ingår i kopian på personuppgifter
enligt artikel 15.3 i dataskyddsförordningen inte gjorts. IMY har inte heller inom ramen
för denna tillsyn granskat huruvida Spotifys personuppgiftsbehandling i övrigt uppfyller
dataskyddsförordningens bestämmelser, t.ex. avseende grundläggande principer och
rättslig grund för behandlingen.
Tillsynsärendet inleddes med en tillsynsskrivelse den 11 juni 2019. Svar på
tillsynsskrivelsen kom in den 31 juli 2019. Den 16 oktober 2019 skickades en begäran
om komplettering i ärendet. Svar kom in den 15 november 2019. Spotify har därefter
på eget initiativ inkommit med ytterligare kompletteringar den 25 augusti 2020 i syfte
att informera IMY om uppdateringar avseende rutiner för hantering av begäran om
tillgång.
Spotify är en organisation med verksamhet och användare i flera medlemsstater i EU.
IMY har med hänsyn till att ärendet är gränsöverskridande tillämpat de mekanismer för
samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Samtliga
dataskyddsmyndigheter i EU har varit berörda tillsynsmyndigheter i detta ärende. Med
anledning av mekanismerna för samarbete och enhetlighet, och behovet av en
harmoniserad klagomålshantering inom EU4, utvidgade IMY i november 2020 den
pågående generella tillsynen till att även omfatta vad som förevarit i tre enskilda
klagomål, som också omfattar de klagomål som inledningsvis legat till grund för
tillsynen av de generella rutinerna.
Den 5 november 2020 begärde IMY att Spotify skulle redogöra för sin inställning till de
brister som görs gällande i klagomålen samt vilka åtgärder Spotify vidtagit för att svara
på respektive begäran om tillgång. Spotify har svarat på IMY:s begäran den 18
december 2020. Spotify har därefter inkommit med kompletterande yttranden, den 15
april 2021 som svar på kompletterande frågor som IMY ställde den 24 mars 2021 samt
den 31 augusti 2021 som svar på frågor som IMY ställde den 9 juli 2021.
4 Under 2020 arbetade dataskyddsmyndigheterna gemensamt för att fastställa gemensamma arbetssätt med
hanteringen av klagomål, vilket resulterade i en intern vägledning som fastställdes i februari 2021. Från att
myndigheten tidigare använt klagomål för att identifiera återkommande mönster och risker, men som huvudregel
avsluta klagomålen med ett standardsvar, gör IMY nu en individuell bedömning av varje klagomål. Internal EDPB
Document 02/2021 on SA:s duties in relation to alleged GDPR infringements, antagen 2 februari 2021.
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 6(30)
Datum: 2023-06-12
Den 19 oktober 2021 skickades ytterligare en begäran om komplettering avseende
Spotifys generella rutiner. Svar inkom den 12 november 2021. Den 8 juni samt den 17
oktober 2022 har Spotify på eget initiativ inkommit med ytterligare kompletteringar i
syfte att informera IMY om uppdateringar avseende rutiner för hantering av begäran
om tillgång.
Spotify har yttrat sig över IMY:s utkast till beslut den 20 december 2022. IMY har
därefter berett övriga berörda tillsynsmyndigheter tillfälle att yttra sig i enlighet med
artikel 60 i dataskyddsförordningen. Den franska dataskyddsmyndigeten har därvid
uttryckt en relevant och motiverad invändning mot IMY:s utkast till beslut. Spotify har
den 13 mars 2023 beretts tillfälle att yttra sig över invändningen samt IMY:s reviderade
utkast till beslut. Spotifys svar inkom den 11 april 2023.
Tillsynsärendet omfattar mot bakgrund av det ovanstående dels en granskning av
Spotifys generella rutiner för hantering av begäran om tillgång, dels en granskning av
vad som förevarit i de tre klagomålen. De generella rutiner avseende tillhandahållandet
av personuppgifter enligt artikel 15.1 och 15.3 i dataskyddsförordningen som
granskats är de som varit gällande från det att IMY:s tillsyn inleddes den 11 juni 2019
fram till och med 16 maj 2022. Vad gäller den information enligt artikel 15.1 och 15.2 i
dataskyddsförordningen som ska lämnas vid en begäran om tillgång har Spotify
uppdaterat den ett flertal gånger sedan tillsynen inleddes. IMY har därför begränsat sin
granskning till den information som var gällande under perioden från och med den 16
november 2021 till och med den 16 maj 2022.5
2 Tillämpliga bestämmelser
Enligt artikel 15.1 i dataskyddsförordningen har den registrerade rätt att av den
personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom
eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och
information om
a) Ändamålen med behandlingen.
b) De kategorier av personuppgifter som behandlingen gäller.
c) De mottagare eller kategorier av mottagare till vilka personuppgifterna har
lämnats eller ska lämnas ut, särskilt mottagare i tredjeländer och internationella
organisationer.
d) Om möjligt, den förutsedda period under vilken personuppgifterna kommer att
lagras, eller om detta inte är möjligt, de kriterier som används för att fastställa
denna period.
e) Förekomsten av rätten att av den personuppgiftsansvarige begära rättelse eller
radering av personuppgifterna eller begränsningar av behandling av
personuppgifter som rör den registrerade eller att invända mot sådan
behandling.
f) Rätten att inge klagomål till en tillsynsmyndighet.
g) Om personuppgifterna inte samlas in från den registrerade, all tillgänglig
information om varifrån dessa uppgifter kommer.
h) Förekomsten av automatiserat beslutsfattande inbegripet profilering enligt
artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull
5 Se Spotifys information enligt artikel 15 i dataskyddsförordningen i bilaga 2. Av informationen, vilken skrevs ut av
IMY den 16 maj 2022, framgår att aktuell webbsida uppdaterades senast den 16 november 2021. Tidsperioden för
granskningen är därför satt till perioden från och med den 16 november 2021 till och med den 16 maj 2022.
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 7(30)
Datum: 2023-06-12
information om logiken bakom samt betydelsen och de förutsedda följderna av
sådan behandling för den registrerade.
I artikel 15.2 i dataskyddsförordningen anges att om personuppgifterna överförs till ett
tredjeland eller till en internationell organisation, ska den registrerade ha rätt till
information om de lämpliga skyddsåtgärder som i enlighet med artikel 46 har vidtagits
vid överföringen.
Av artikel 15.3 i dataskyddsförordningen följer att den personuppgiftsansvarige ska
förse den registrerade med en kopia av de personuppgifter som är under behandling.
Vidare framgår att om begäran görs i elektronisk form ska informationen, om inte
annat begärs, tillhandhållas i ett elektroniskt format som är allmänt använt.
I skäl 63 till dataskyddsförordningen anges, såvitt nu relevant, följande:
Den registrerade bör ha rätt att få tillgång till personuppgifter som insamlats om
denne samt på enkelt sätt och med rimliga intervall kunna utöva denna rätt, för
att vara medveten om att behandling sker och kunna kontrollera att den är
laglig. (…) Alla registrerade bör därför ha rätt att få kännedom och underrättelse
om framför allt för vilka ändamål personuppgifterna behandlas, om möjligt vilken
tidsperiod behandlingen pågår, vilka som mottar personuppgifterna,
bakomliggande logik i samband med automatisk behandling av personuppgifter
och, åtminstone när behandlingen bygger på profilering, konsekvenserna av
sådan behandling. (…)
Av artikel 12.1 i dataskyddsförordningen följer därutöver att den
personuppgiftsansvarige ska vidta lämpliga åtgärder för att all kommunikation som ges
till den registrerade enligt artikel 15 ska vara i en koncis, klar och tydlig, begriplig och
lätt tillgänglig form, med användning av ett klart och tydligt språk.
Av artikel 12.2 i dataskyddsförordningen följer att den personuppgiftsansvarige ska
underlätta utövandet av den registrerades rätt till tillgång enligt artikel 15.
Enligt artikel 12.3 i dataskyddsförordningen ska den personuppgiftsansvarige på
begäran, utan onödigt dröjsmål och under alla omständigheter senast en månad efter
att ha mottagit begäran, tillhandahålla den registrerade information om de åtgärder
som vidtagits enligt artikel 15 i dataskyddsförordningen. Denna period får vid behov
förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är
och antalet inkomna begäranden. Den personuppgiftsansvarige ska underrätta den
registrerade om en sådan förlängning inom en månad från det att begäran mottagits
samt ange orsakerna till förseningen.
3 Spotifys generella rutiner för hantering av
begäran om tillgång - Motivering av beslut
3.1 Information - artikel 15.1 a-h och 15.2 i
dataskyddsförordningen
3.1.1 Vad som framkommit i ärendet
Spotify har sammanfattningsvis uppgett följande. Spotify tillhandahåller information i
enlighet med artikel 15.1 a-h och 15.2 i dataskyddsförordningen via en onlinefunktion.
Denna funktion finns tillgänglig på 21 olika språk och de som besöker sidan kommer
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 8(30)
Datum: 2023-06-12
automatiskt att ges informationen på språk baserat på språkinställningar i deras
webbläsare.
Registrerade som utövar sin rätt till tillgång informeras om funktionen på flera sätt. I
varje kopia på personuppgifter, som tillhandahålls enligt artikel 15.3 i
dataskyddsförordningen, inkluderas en länk till informationen. Informationen går även
att hitta online, dels i listan med tillgängliga funktioner på bolagets sida för ”Integritet &
Säkerhet” dels via svaret på frågan ”Var hittar jag information om Spotifys behandling
av personuppgifter som Spotify är skyldig att tillhandahålla enligt artikel 15 i GDPR?”
på bolagets sida för ”Personuppgiftsrättigheter och sekretessinställningar”.
I den information6 enligt artikel 15 i dataskyddsförordningen som Spotify lämnat under
perioden från och med den 16 november 2021 till och med den 16 maj 2022, som IMY
tagit del av, lämnade Spotify bland annat information om syfte med behandling (artikel
15.1 a), vilka kategorier av personuppgifter som behandlas (artikel 15.1 b), mottagare
eller kategorier av mottagare (artikel 15.1 c) och personuppgifternas källa (artikel 15.1
g). Utöver det innehöll informationen enligt artikel 15 även information om
internationella överföringar (artikel 15.2), kriterier för hur länge personuppgifterna
sparas (artikel 15.1 d), vilka rättigheter den registrerade har (artikel 15.1 e), rätten att
lämna in ett klagomål till dataskyddsmyndigheten (artikel 15.1 f), automatiserat
beslutsfattande (artikel 15.1 h) och möjligheten att erhålla en kopia på personuppgifter.
I informationen enligt artikel 15 i dataskyddsförordningen informerade Spotify också
om att behandlingen av personuppgifter beskrivs mer ingående i bolagets
integritetspolicy, vilken också kunde nås genom en direktlänk. I integritetspolicyn finns
bland annat beskrivningar av de kategorier av personuppgifter som Spotify behandlar.
Spotify har uppgett att alla frågor som inte besvaras av informationen enligt artikel 15 i
dataskyddsförordningen eller som inte har förklarats för användaren på ett
tillfredsställande sätt eskaleras skyndsamt till bolagets dataskyddsteam. På det sättet,
uppger bolaget, får dataskyddsteamet kännedom om, och ges möjlighet att besvara,
frågor om förtydliganden eller begäran om mer individualiserad information om
personuppgiftsbehandlingen enligt artikel 15 i dataskyddsförordningen.
3.1.2 Integritetsskyddsmyndighetens bedömning
IMY konstaterar att Spotifys funktion för information enligt artikel 15 i
dataskyddsförordningen under den period som är föremål för granskning fanns
tillgänglig på flera olika sidor på Spotifys webbplats. Vidare inkluderades en länk till
informationen i den ”Read me first”-fil som bifogades varje kopia på personuppgifter
som tillhandahölls den registrerade i enlighet med artikel 15.3 i
dataskyddsförordningen vid en begäran om tillgång. IMY bedömer med hänsyn till det
ovanstående att Spotifys rutiner under den aktuella perioden var tillräckliga för att
säkerställa att information enligt artikel 15 lämnades till den registrerade vid varje
begäran om tillgång.
IMY konstaterar vidare att Spotifys information enligt artikel 15 i
dataskyddsförordningen omfattade alla de punkter med information som enligt artikel
15.1 a-h och 15.2 i dataskyddsförordningen ska tillhandahållas den registrerade. För
att informationen ska nå upp till de krav som ställs i dataskyddsförordningen måste
6 Se bilaga 2
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 9(30)
Datum: 2023-06-12
informationen dock också utformas på ett sådant sätt att syftet med rätten till tillgång
uppfylls.
Syftet med rätten till tillgång är att den registrerade ska vara medveten om att
behandling sker och kunna kontrollera att den är laglig, vilket framgår av skäl 63 till
dataskyddsförordningen. En registrerad ska till exempel ha möjlighet att kontrollera
vilka kategorier av uppgifter som behandlas om honom eller henne, för vilka ändamål
och under hur lång tid. För att den registrerade ska kunna kontrollera om
personuppgiftsbehandlingen är laglig måste han eller hon veta vilka behandlingar som
är aktuella i hans eller hennes specifika fall. Informationen som lämnas måste härvid
ges på ett sätt som uppfyller kraven på transparens i artikel 12.1 i
dataskyddsförordningen.
Mot bakgrund av syftet med rätten till tillgång, finns det många gånger behov av att
anpassa innehållet i informationen enligt artikel 15.1 och 15.2 i
dataskyddsförordningen till den registrerade som har gjort begäran, till exempel
beroende på vilka av den personuppgiftsansvariges tjänster som den registrerade har
valt att använda. Det gäller dock inte alla delar av informationen. Medan rätten att inge
klagomål till en tillsynsmyndighet (artikel 15.1 f i dataskyddsförordningen) inte
förändras beroende på vem som begär tillgång, kan andra uppgifter variera beroende
på vilken tjänst den registrerade använder, till exempel vilka kategorier av
personuppgifter som behandlas, mottagare och varifrån personuppgifter samlats in.
Detsamma gäller information om huruvida överföring skett till tredjeland och i så fall
vilka lämpliga skyddsåtgärder som har vidtagits vid överföringen.
För att den registrerade ska ha möjlighet att kontrollera att behandlingen avseende
honom eller henne är laglig krävs därför, i enlighet med vad som anförts ovan, att
Spotify ska ha vidtagit åtgärder för att anpassa informationen till den registrerades
specifika situation.7
IMY konstaterar att den information8 som Spotify lämnat enligt artikel 15 i
dataskyddsförordningen var generellt utformad. Samma information lämnades således
oberoende av vem som begärt att få tillgång enligt artikel 15 i dataskyddsförordningen.
Informationen anpassades således inte utifrån varje begäran om tillgång. Däremot
beskrev Spotify när en viss information var aktuell för den registrerade, exempelvis
”Om du använder en tredjepartstjänst (…)”, ”Om du väljer att betala för en tjänst eller
funktion via faktura (…)” och ” I de fall då du har gett oss tillåtelse (…)”. Det fanns
därigenom vissa förutsättningar för den registrerade att avgöra vilken information som
avsåg honom eller henne. Det fanns också en möjlighet för registrerade att vända sig
till Spotify och begära mer individualiserad information liksom förtydliganden av den
information som hade lämnats.
IMY anser att sådan generellt utformad information kan vara lämplig för
standardiserade tjänster som innefattar personuppgiftsbehandling. För att de
registrerade ska förstå hur deras personuppgifter behandlas måste det dock alltid vara
möjligt att klart och enkelt utläsa vilken information som är tillämplig i vilka situationer
utifrån den informationen som lämnas. Det innebär att möjligheten för de registrerade
att vända sig till Spotify för att få mer individualiserad information liksom förtydliganden
inte påverkar bedömningen av om informationen är tillräckligt tydlig i det här
avseendet. Generellt utformad information får inte medföra några oklarheter gällande
7 Jfr Europeiska dataskyddsstyrelsens (EDPB) riktlinjer om rätten till tillgång – Guidelines 01/2022 on data subject
rights – Right of access, version 2.0 (slutligt antagna den 28 mars 2023), punkt 113.
8 Se bilaga 2
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 10(30)
Datum: 2023-06-12
huruvida den registrerade berörs av den aktuella informationen eller inte baserat på
dennes individuella situation. IMY har därför att pröva om den information som Spotify
lämnade levde upp till dessa krav.
Information om kategorier av personuppgifter, ändamål, mottagare och källa
Information om ändamål med behandlingen ska avse de ändamål för vilka den
registrerades personuppgifter faktiskt behandlas, och får inte endast bestå av en
uppräkning av olika ändamål utan att det klargörs vilka ändamål som är aktuella för
den som begär tillgång. Vidare kan information om de kategorier av personuppgifter
som behandlas behöva anpassas till omständigheterna för den registrerade som begär
tillgång. När det gäller uppgift om mottagare eller kategorier av mottagare bör sådan
information vara så specifik som möjligt. Den personuppgiftsansvarige bör normalt
uppge till vilka faktiska mottagare som personuppgifterna har eller ska lämnats ut, om
det inte är omöjligt på grund av att det till exempel ännu inte finns någon information
om vilka mottagarna är. Därutöver ska all tillgänglig information lämnas om varifrån
personuppgifterna kommer, om personuppgifterna inte samlats in från den
registrerade.9
Vad avser den information som Spotify lämnat om ändamål med behandlingen,
mottagare av personuppgifter och källa från vilken uppgifterna samlades in konstaterar
IMY att informationen var uppdelad utifrån olika kategorier av personuppgifter. Dessa
kategorier av personuppgifter utgjordes av ”användardata”, ”användningsdata”, ”data
om planverifiering”, ”röstdata”, ”betalnings‑ och köpdata” och ”tävlings‑, enkät‑ och
lotteridata”. De kategorier av personuppgifter som angavs var allmänt hållna och
innehöll i flera fall, till exempel avseende ”användardata” och ”användningsdata” ingen
närmare beskrivning av vilka personuppgifter som kunde innefattas. IMY anser att det,
särskilt i avsaknad av en tydlig beskrivning av de aktuella kategorierna, inte var möjligt
för de registrerade att utifrån den lämnade informationen förstå vilka personuppgifter
som innefattades i de olika kategorierna. Eftersom informationen om ändamål,
mottagare och källa var indelad efter dessa kategorier av personuppgifter medför
denna brist att det inte heller var möjligt för registrerade att enkelt förstå vilka
personuppgifter som behandlades för vilka ändamål, vilka personuppgifter som
hämtats från vilken källa eller vilka personuppgifter som lämnats till en viss mottagare
eller kategori av mottagare. De registrerade har därmed inte haft möjlighet att utläsa
på vilket sätt just deras personuppgifter behandlades.
IMY anser därför att Spotify inte lämnat tillräckligt tydlig information om ändamålen
med behandlingen (artikel 15.1 a i dataskyddsförordningen), de kategorier av
personuppgifter behandlingen gäller (artikel 15.1 b i dataskyddsförordningen),
mottagare eller kategorier av mottagare (artikel 15.1 c i dataskyddsförordningen) eller
källa från vilken uppgifterna samlades in (artikel 15.1 g i dataskyddsförordningen).
Informationen var inte koncis, klar och tydlig samt inte heller lättillgänglig. Den
uppfyllde därmed inte heller kraven i artikel 12.1 i dataskyddsförordningen.
Information om lagringsperiod
Information som lämnas om hur länge personuppgifter lagras ska vara tillräckligt
specifik för att den registrerade ska förstå hur länge dennes personuppgifter kommer
att lagras. Är det inte möjligt att ange tidpunkten för radering bör istället den relevanta
9 Jfr Europeiska dataskyddsstyrelsens (EDPB) riktlinjer om rätten till tillgång – Guidelines 01/2022 on data subject
rights – Right of access, version 2.0 (antagna den 28 mars 2023), punkt 114-120 och dom den 12 januari 2023 i EU-
domstolens mål C-154/21, Österreichische Post.
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 11(30)
Datum: 2023-06-12
händelsen som påverkar bevarandet specificeras, till exempel utgången av en
garantiperiod. Lagringsperioderna ska avse de personuppgifter som är kopplade till
den registrerade som begär tillgång. Om dessa personuppgifter är föremål för olika
lagringsperioder ska information om lagringsperioderna anges i förhållande till varje
aktuell personuppgiftsbehandling och kategori av personuppgifter.10
Spotify lämnade information om lagringsperioder under rubriken ”Kriterier för
kvarhållande av personuppgifter”. Informationen innehöll en generell information om
för vilka ändamål personuppgifterna sparas samt kriterier som används för att
fastställa lagringsperioderna. Bland annat angavs att personuppgifter som standard
bevaras 90 dagar, såvida inte en längre period väljs på grund av ett legitimt affärsskäl.
Vidare angavs bland annat att personuppgifter lagras under en lämplig period för att
leverera en personlig tjänst över tid samt att streaminghistorik vanligtvis bevaras under
ett kontos livstid.
Informationen om hur länge uppgifter bevaras var generellt utformad och, med
undantag bland annat för informationen om streaminghistorik, inte tydligt kopplad till
vilka kategorier av personuppgifter som avsågs med de olika lagringstiderna. De
registrerade kunde därför svårligen utläsa vilka av deras personuppgifter som
bevarades under vilken tidsperiod. De kriterier för fastställande av lagringsperioden
som angavs i informationen var vidare i vissa fall mycket oprecisa. Det är till exempel
svårt för en registrerad att förstå vad som innefattades i ”legitimt affärsskäl” och
därmed i vilka situationer personuppgifter bevarades längre än 90 dagar eller vad det
innebar att streaminghistorik ”vanligtvis” bevarades under ett kontos livstid.
IMY anser vid en samlad bedömning att den information som lämnats angående
lagringsperioder inte uppfyllde kraven i artikel 15.1 d i dataskyddsförordningen dels då
informationen i denna del var generellt utformad och saknade koppling till aktuell
kategori av personuppgifter, dels då vissa av de kriterier som användes för att
fastställa lagringsperioden var för oprecisa för att den registrerade skulle kunna förstå
hur länge dennes personuppgifter lagrades. Informationen var inte koncis, klar och
tydlig samt inte heller lättillgänglig. Den uppfyllde därmed inte heller kraven i artikel
12.1 i dataskyddsförordningen.
Information om tredjelandsöverföring
För att den registrerade ska kunna bedöma om en eventuell överföring av dennes
personuppgifter till tredjeland är laglig måste den registrerade få meningsfull
information som gör det möjligt att utläsa om dennes personuppgifter har överförts och
i så fall vilka skyddsåtgärder som har använts. För att möjliggöra den registrerades
kontroll av om hans eller hennes personuppgifter har behandlats lagligt bör det i
normalfallet också framgå till vilka tredjeländer överföring har skett.11
I den information som Spotify lämnade angående överföringar till tredjeland framgick
under rubriken ”Internationella överföringar” att Spotify kan dela personuppgifter
globalt med andra företag i Spotify Group, tjänsteleverantörer, partners osv. Vidare
angavs att Spotify säkerställer att överföringen genomförs i enlighet med tillämpliga
lagar om dataskydd och sekretess och att tekniska och organisatoriska åtgärder, och i
synnerhet lämpliga skyddsåtgärder, tillämpas, t.ex. de standardavtalsklausuler som
10 Europeiska dataskyddsstyrelsens (EDPB) riktlinjer om rätten till tillgång – Guidelines 01/2022 on data subject rights
– Right of access, version 2.0 (slutligt antagna den 28 mars 2023), punkt 118.
11 Jfr Artikel 29-gruppens Riktlinjer om öppenhet enligt förordning (EU) 2016/679, WP260rev.01, som antagits av
Europeiska dataskyddsstyrelsen, s.40.
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 12(30)
Datum: 2023-06-12
godkänts av EU-kommissionen när personuppgifter överförs från Europeiska
ekonomiska samarbetsområdet (EEA).
IMY konstaterar att den information som Spotify lämnade angående
tredjelandsöverföringar var generellt utformad och inte kopplad till den registrerades
egen situation. Det framgick därvid inte om den registrerades personuppgifter hade
överförts till något tredjeland, och i så fall, vilka lämpliga skyddsåtgärder som hade
vidtagits vid överföringen. Det framgick inte heller till vilka tredjeländer överföring hade
skett. IMY bedömer därför att den information som lämnats angående
tredjelandsöverföringar inte uppfyllde kraven i artikel 15.2 i dataskyddsförordningen.
Informationen var inte koncis, klar och tydlig samt inte heller lättillgänglig. Den
uppfyllde därmed inte heller kraven i artikel 12.1 i dataskyddsförordningen.
Sammanfattande bedömning av informationen enligt artikel 15.1 och 15.2 i
dataskyddsförordningen
IMY finner sammanfattningsvis att den information som Spotify lämnat enligt artikel
15.1 och 15.2 i dataskyddsförordningen under perioden mellan den 16 november 2021
fram till och med den 16 maj 2022 har varit bristfällig i de ovan angivna avseendena.
Spotify har därmed behandlat personuppgifter i strid med artiklarna 12.1, 15.1 a-d,
15.1 g och 15.2 i dataskyddsförordningen.
3.2 Rätten till tillgång till personuppgifter och kopia på
personuppgifter under behandling – artikel 15.1 och 15.3 i
dataskyddsförordningen
3.2.1 Vad som har framkommit i ärendet
Spotify har uppgett att deras svar på begäran om tillgång, med några få undantag, är
utformade för att lämna ut samtliga personuppgifter som de behandlar avseende den
registrerade. Bolaget har vidare redogjort för sina rutiner för att se till att samtliga
personuppgifter lämnas ut, exempelvis vid nya eller uppdaterade
personuppgiftsbehandlingar.
Kopian på personuppgifter som Spotify tillhandahåller enligt artikel 15.3 i
dataskyddsförordningen kan ges genom tre olika svar, Typ 1, Typ 2 och Typ 3.
De personuppgifter som omfattas av Typ 1 är profilinformation och de personuppgifter
som Spotify bedömt vara av störst intresse för de registrerade. I Typ 1 innefattas
därför den registrerades spellistor, streaminghistorik och sökningar från det senaste
året, objekt som sparats i den registrerades bibliotek, antalet följare den registrerade
har, antalet användare den registrerade följer, namnen på artister den registrerade
följer, användardata och betalningsinformation. För att ge den registrerade tillgång till
Typ 1 information har bolaget infört en funktion som kallas ”ladda ned din data” på en
webbsida för sekretessinställningar. Den webbsida genom vilken den registrerade kan
få tillgång till dessa uppgifter är tillgänglig för samtliga kunder via deras Spotify-konto
och tillhandahålls på samma språk som deras Spotify-tjänst. De registrerade får
tillgång till Typ 1 informationen inom ca sju dagar. De registrerade kan också få
tillgång till Typ 1 informationen genom att kontakta Spotifys kundtjänst.
Typ 2 informationen består av tekniska loggfiler som finns lagrade i Spotifys system
kopplade till de registrerades användar-ID. För att få tillgång till Typ 2 informationen
kan den registrerade skicka en begäran via Spotifys webbformulär för sekretessfrågor
eller genom att kontakta kundservice eller Spotifys dataskyddsombud genom någon
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 13(30)
Datum: 2023-06-12
annan kanal (e-post, Facebook, Twitter eller brev). Det tar cirka två till fyra veckor att
sammanställa och lämna ut dessa personuppgifter.
Typ 3 information utgörs av den information som en registrerad särskilt begär och kan
till exempel avse den registrerades lyssningshistorik vid ett visst datum, en utökad
lyssningshistorik eller en förfrågan om ostrukturerade personuppgifter, till exempel en
begäran om en viss e-postkorrespondens. Typ 3 information kan begäras på samma
sätt som Typ 2 och en sådan begäran tar normalt mindre än 30 dagar att behandla.
För det fall det tar längre tid att behandla begäran, till följd av begärans komplexitet,
informeras den registrerade om förseningen.
Spotify har den 15 juni 2021 genomfört förändringar som innebär att alla Spotify-
användare som begär en kopia på personuppgifter utöver vad som finns tillgängligt i
“Ladda ned din data”-verktyget, eller som direkt begär en kopia på alla sina
personuppgifter från Spotifys kundservice, får tillgång till utökad streaminghistorik
såväl som teknisk logginformation i ett paket.
Spotify har uppgett att processens utformning och dess utveckling fram till idag är ett
samlat resultat av gemensamma diskussioner, noggranna överväganden och analyser
samt möten med berörda kundtjänst- och utvecklingsteam. Spotifys dataskyddsteam
har lämnat råd beträffande legala krav och ”best practices” inom dataskydd och
fortsätter kontinuerligt uppdatera dessa utifrån ett antal identifierade parametrar,
omfattande bland annat relevant och aktuell lagstiftning, vägledningar, förmågan att
snabbt besvara ett stort antal begäranden, användarvänlighet och kategorier av
personuppgifter som behandlas.
Spotify har uppgett att de har över 232 miljoner aktiva användare per månad och att
de under perioden den 25 maj 2018 till den 30 juni 2019 besvarat 753 575 begäranden
om tillgång. Enligt Spotify har uppdelningen av uppgifter i tre olika typer gjort det
möjligt att tillhandahålla ett snabbt och enkelt sätt för den registrerade att ladda ner de
personuppgifter som troligen är mest relevanta för den registrerade och att generera
svar i stor omfattning och med den snabbhet som krävs för att tillfredsställa majoriteten
av de registrerade.
Spotify hänvisar vidare till uttalanden i EDPB:s riktlinjer om öppenhet12 om att det i
dataskyddsförordningen finns en inneboende spänning mellan kraven att ge de
registrerade omfattande information å ena sidan och att informationen ska ges i en
koncis, klar och tydlig, begriplig och lätt tillgänglig form å andra sidan, att man måste
bestämma hur man ska prioritera information som måste ges till de registrerade och
vilka detaljnivåer och metoder som är lämpliga för att förmedla informationen samt att
principen om öppenhet är en övergripande skyldighet. Spotify menar att dessa riktlinjer
har relevans för utformningen av en koncis, öppen, lättförståelig och lättillgänglig
process för registrerade att utöva sina rättigheter enligt artikel 15 i
dataskyddsförordningen. Genom att ge tre lager av svar på begäran om tillgång till
registrerade avser Spotify att balansera dataskyddsförordningens intressen på ett
korrekt sätt till förmån för Spotifys registrerade. Spotifys mål är att ge korrekt
information i enlighet med artikel 15 till samtliga registrerade vid rätt tidpunkt genom att
lämna information i olika lager och på olika sätt.
Spotify har uppgett att bolaget informerade registrerade om att det var möjligt att
begära tillgång till fler personuppgifter än de som omfattades av Typ 1 och Typ 2, samt
12 Artikel 29-gruppens Riktlinjer om öppenhet enligt förordning (EU) 2016/679, WP260rev.01, som antagits av
Europeiska dataskyddsstyrelsen, punkt 1 och punkt 34.
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 14(30)
Datum: 2023-06-12
att denna information lämnades till registrerade innan de begärde tillgång till sina
personuppgifter. Vidare har Spotify uppgett att det framgick att de registrerade kunde
begära tillgång till fler personuppgifter än de som omfattades av Typ 1 genom att
begära ett Typ 2-svar. Därutöver kunde registrerade kontakta Spotifys kundtjänst med
särskilda förfrågningar (s.k. Typ 3 begäran). Informationen om detta lämnas på olika
sätt, bland annat på webbsidan för ”Personuppgiftsrättigheter och
sekretessinställningar” och på webbsidan där information enligt artikel 15 i
dataskyddsförordningen finns publicerad. När en användare begär tillgång till de
personuppgifter som omfattas av Typ 1 genom att gå in på ”Ladda ned din data” är det
vidare enligt Spotify tydligt av sammanhanget att användare får tillgång till ett urval av
sina personuppgifter och inte alla sina personuppgifter. På sidan ”Ladda ned din data”
finns även en hänvisning till webbsidan ”Personuppgiftsrättigheter och
sekretessinställningar”. Vid begäran enligt både Typ 1 och Typ 2 ges information enligt
artikel 15 i dataskyddsförordningen vilken innehåller en heltäckande beskrivning av
tillgänglig data. Informationskällorna förklarar även att användaren kan begära tillgång
till sina personuppgifter via kundtjänst eller genom att kontakta Spotify via e-post. Om
en användare kontaktar Spotifys kundtjänst för att utöva rätten till tillgång enligt artikel
15 i dataskyddsförordningen kan kundtjänst förklara samtliga tre typer av
personuppgifter som finns tillgängliga samt informera användare om den ytterligare
information som finns att tillgå. De registrerade informerades även om att de kunde
begära tillgång till fler personuppgifter än vad de redan laddat ner på webbsidan
”Förstå mina data”.
Spotify har vidare under ärendets handläggning uppdaterat den information som riktar
sig till de registrerade i syfte att göra det mer transparent för registrerade att det finns
mer att begära än vad som finns tillgängligt i ”Ladda ned din data”-verktyget.
Avseende informationens tydlighet har Spotify uppgett i huvudsak följande. Vid
utformningen av formatet för svar på begäran om tillgång fokuserade bolaget på att
tillhandahålla all information på ett sätt som gör den relevant, transparent och till hjälp
för de registrerade. Bolaget tog fram en rutin för att säkerställa att beskrivningarna av
personuppgifterna är korrekta och kompletta vilket innefattade omfattande insatser för
att översätta teknisk information till ett enkelt språk som kan förstås av en
genomsnittlig kund, dock utan att ta bort sådana detaljer som krävs för transparens.
För att underlätta förståelsen gör Spotify bland annat följande.
– Vid nedladdning av Typ 1 information får den registrerade också en så kallad
”Read Me First”- fil. I ”Read Me First”-filen finns en länk till webbsidan ”Förstå mina
data”, där formatet och personuppgifterna som inkluderas i Typ 1 beskrivs. Denna
sida har under ärendets handläggning uppdaterats för att nu även inkludera en
generell beskrivning av uppgifterna i de tekniska loggfilerna och den utökade
streaminghistoriken. De länkade sidorna visas automatiskt på kundens önskade
språk baserat på språkinställningen i kundens webbläsare.
– I Typ 2 informationen, som består av tekniska loggfiler13, finns en del information
som är mycket teknisk till sin natur. För att hjälpa registrerade att förstå
formateringen av personuppgifterna tillhandahåller Spotify en detaljerad
beskrivning av personuppgifterna i en särskild fil i samband med att uppgifterna
lämnas ut (i en “Read Me First”-fil för Typ 2 begäran). Denna beskrivning
tillhandahålls som standard på engelska. Spotify svarar också på kunders frågor
om betydelsen av de personuppgifter som lämnats, som en del av sin process för
registrerades begäran om tillgång. Spotify uppdaterar vidare kontinuerligt både
13 Från den 15 juni 2019 omfattande Typ 2 informationen, utöver de tekniska loggfilerna, även utökad
lyssningshistorik.
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 15(30)
Datum: 2023-06-12
formatet för tekniska loggfiler hänförliga till kundens användar-ID (Typ 2) och
motsvarande information i Typ 2 “Read Me First”-filen för att öka öppenheten
baserat på de frågor som ställs.
– Såvitt gäller särskilda förfrågningar (Typ 3), när de personuppgifter som
tillhandahålls kan kräva förklaringar, kan Spotify vid behov lämna informationen i
ett e-postmeddelande till den registrerade tillsammans med kopian på
personuppgifterna.
Spotify har uppgett följande som bakgrund till att beskrivningen av Typ 2-uppgifterna
som standard lämnas på engelska. För att säkerställa att informationen som bolaget
tillhandahåller de registrerade är korrekt översatt till deras lokala språk skickas de filer
som ska översättas på manuell översättning till professionella översättare. Mot
bakgrund av att tekniska loggdata ändras mer dynamiskt över tid än andra
personuppgifter som samlas in skulle bolaget behöva skicka den omfattande ”Read
me First”-filen på översättning flera gånger i månaden. Detta skulle vara
oproportionerligt och orimligt att göra för alla lokala språk med tanke på den extra tid,
resurser och administration det skulle innebära. Vidare har många av de ord som
förekommer i den tekniska loggdatan inte typiskt sett någon översättning eftersom de
ofta speglar tekniska koncept som framför allt kommuniceras på engelska och
vanligtvis inte översätts till lokala språk. Bolaget hjälper dock till med att översätta
informationen till lokalt språk om en användare begär det i den utsträckning de
tekniska termerna är möjliga att översätta. Spotify har vidare uppgett att de har
besvarat ungefär 340 000 begäranden om att få ta del av tekniska loggfiler. Av dessa
begäranden är det endast två registrerade som har vänt sig till bolaget och begärt en
översättning av beskrivningen till sitt lokala språk. Spotify menar vidare att
översättning av de tekniska loggfilerna utan begäran skulle innebära att alla
registrerade skulle behöva vänta längre på att få sin rätt till tillgång av de tekniska
loggfilerna tillgodosedd.
Avseende vilket format som används har Spotify uppgett att personuppgifterna
tillhandahålls i JSON-format som enligt bolaget är ett strukturerat och allmänt använt
format som kan förstås av både datorer och människor. Uppgifter som tillhandahålls till
följd av en Typ 3 begäran tillhandahålls dock i det format som behövs för att besvara
begäran.
Spotify har vidare den 17 oktober 2022 informerat IMY om att bolaget sedan den
tidpunkten möjliggjort för registrerade att begära tillgång till kontodata, utökad
streaminghistorik och teknisk logginformation direkt genom ”Ladda ned din data”-
verktyget, dvs. utan att kontakta kundtjänst. Dessa rutiner omfattas inte av IMY:s
granskning då uppdateringen har skett efter den 16 maj 2022.
3.2.2 Integritetsskyddsmyndighetens bedömning
Den registrerade har enligt artikel 15.1 i dataskyddsförordningen rätt att få bekräftelse
på om den personuppgiftsansvarige behandlar personuppgifter som rör honom eller
henne och i så fall få tillgång till personuppgifterna. Den personuppgiftsansvarige har,
enligt artikel 15.3, en skyldighet att förse den registrerade med en kopia av de
personuppgifter som är under behandling. Rätten till tillgång är densamma oberoende
av vem den personuppgiftsansvarige är men sättet att hantera en begäran om tillgång
kan variera, bland annat beroende på omfattningen av de personuppgifter som
behandlas och antalet registrerade. Enligt artikel 12.2 i dataskyddsförordningen har
den personuppgiftsansvarige en skyldighet att underlätta för den registrerade att utöva
sina rättigheter.
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 16(30)
Datum: 2023-06-12
Syftet med rätten till tillgång är att den registrerade ska bli medveten om den
behandling som sker och kunna kontrollera att den är laglig. Den
personuppgiftsansvarige måste därför säkerställa att den kopia på personuppgifter
som tillhandhålls innehåller alla de personuppgifter som behandlas om den
registrerade och är utformad på ett sätt som är begripligt för den registrerade. Tillgång
till personuppgifterna måste härvid ges på ett sätt som uppfyller kraven på transparens
i artikel 12.1 i dataskyddsförordningen.
De krav som ställs på utformningen och innehållet i kopian innebär att de
personuppgiftsansvariga som behandlar en stor mängd uppgifter eller uppgifter som är
särskilt svåra att förstå, kan behöva vidta särskilda åtgärder när informationen
presenteras för de registrerade.
Spotify, vars personuppgiftsbehandling är både omfattande och komplex, har tagit
fram särskilda rutiner för att hantera begäranden om tillgång. Frågan är om dessa
rutiner möjliggör för bolaget att ge tillgång till de personuppgifter de behandlar på ett
sätt som tillgodoser den registrerades rätt till tillgång.
Uppdelning av kopian på personuppgifter i olika lager
Spotify delar upp kopian på personuppgifter i olika lager, Typ 1, Typ 2 och Typ 3.
IMY anser att det inte finns något hinder mot att dela upp kopian på personuppgifter så
länge rätten till tillgång tillgodoses. Det kan i vissa situationer tvärtom underlätta för
den registrerade att ta till sig informationen om den presenteras uppdelat, i vart fall när
det är fråga om en omfattande mängd information. Tillhandahållandet av kopian på
personuppgifter i olika lager får dock varken inskränka rätten till tillgång eller försvåra
utövandet av den. Den personuppgiftsansvarige måste därför särskilt beakta detta vid
bedömningen av om det är en lämplig åtgärd att dela upp kopian på personuppgifter.
En registrerad som vänder sig till en personuppgiftsansvarig för att begära tillgång till
sina personuppgifter saknar i normalfallet vetskap om vilka personuppgifter som
faktiskt behandlas. Att införskaffa denna kunskap är istället ofta själva syftet med
begäran. Om den personuppgiftsansvarige i denna situation endast tillhandahåller den
registrerade med ett urval av dennes personuppgifter riskerar den registrerade att
förledas att tro att den kopia som tillhandahållits är fullständig.
Av denna anledning anser IMY att den personuppgiftsansvarige, i den kanal denne har
upprättat för att den registrerade ska kunna begära tillgång, måste vara tydlig med att
kopian på personuppgifterna är uppdelad i olika lager. Det ska också vara tydligt för
den registrerade vilken information som finns i de olika lagren och på vilket sätt den
registrerade kan få tillgång till dessa.14
I den redogörelse Spotify har lämnat framgår att den registrerade, i flera olika kanaler,
får information om att tillgång till olika personuppgifter kan begäras på olika sätt.
Genom dessa kanaler framgår att tillgång till ”dina mest relevanta personuppgifter” kan
fås genom funktionen ”ladda ned din data” samt att tillgång till teknisk logginformation,
utökad streaminghistorik eller svar på andra särskilda dataskyddsförfrågningar kan fås
efter begäran via e-post eller kundtjänst. IMY kan, av de i redogörelsen redovisade
exemplen, konstatera att informationen som lämnas till de registrerade även innehåller
14 Jfr. Europeiska dataskyddsstyrelsens (EDPB:s) riktlinjer om rätten till tillgång – Guidelines 01/2022 on data subject
rights – Right of access, version 2.0 (slutligt antagna den 28 mars 2023), punkt 146.
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 17(30)
Datum: 2023-06-12
en övergripande uppräkning av vilka personuppgifter som de olika typerna av
begäranden omfattar.
IMY bedömer att den information Spotify lämnat i detta avseende, under den period
som granskningen av de generella rutiner avser, är tillräckligt tydlig för att den
registrerade ska förstå hur kopian är uppdelad, däribland vilka uppgifter som finns i de
olika lagren, och hur de olika lagren ska begäras.
Att sätta upp särskilda förutsättningar för utövandet av rätten till tillgång utan stöd i
dataskyddsförordningen riskerar att medföra att den registrerade otillbörligen hindras i
sitt utövande av rättigheten. Det kan med andra ord upplevas onödigt krångligt att
utöva rättigheten vilket i sin tur kan medföra att den registrerade avstår från att begära
ut alla uppgifter som den registrerade har rätt till. Det finns skäl att understryka att den
personuppgiftsansvarige, enligt artikel 12.2 i dataskyddsförordningen, har en
skyldighet att underlätta utövandet av den registrerades rättigheter. För att
tillhandahållandet av kopian av personuppgifter i olika lager inte ska medföra att
rättigheten inskränks eller att utövandet av rättigheten försvåras anser därför IMY att
det inte kan krävas att den registrerade återkommer till den personuppgiftsansvarige
vid ett flertal tillfällen för att få tillgång till samtliga personuppgifter. Det får inte heller
vara komplicerat att begära tillgång till de olika lagren. IMY anser därför att den
registrerade ska ha möjlighet att begära tillgång till samtliga lager från början och att
det ska vara enkelt att få tillgång till dessa. En annan sak är att den registrerade, med
vetskapen om hur uppgifterna är uppdelade, ändå kan välja att endast begära tillgång
till ett eller flera lager.15
Av Spotifys redogörelse framgår att den registrerade kan begära tillgång till de olika
lagren på olika sätt. Det krävs inte att den registrerade återkommer till Spotify för att ta
del av de olika lagren. Däremot kan den registrerade behöva vidta flera åtgärder för att
få tillgång till flera lager, t.ex. genom att både ladda ned Typ 1-information genom
funktionen ”ladda ned din data” och genom att begära tillgång till Typ 2- och Typ 3-
information genom kundtjänst. Om den registrerade vänder sig direkt till kundtjänst
med sin begäran kan den registrerade begära tillgång till samtliga personuppgifterna
på en och samma gång.
IMY anser att den omständigheten att den registrerade måste vidta olika åtgärder för
att begära de olika lagren av uppgifter kan medföra viss olägenhet. Den registrerade
har dock möjlighet att vidta samtliga dessa handlingar vid ett och samma tillfälle.
Samtliga åtgärder kan dessutom på ett enkelt sätt vidtas via Spotifys webbplats. Vid
en samlad bedömning anser IMY att Spotifys rutiner möjliggör för den registrerade att
begära tillgång till samtliga sina personuppgifter på ett tillräckligt enkelt sätt.
Utformningen av kopian och format på kopian
Av artikel 12.1 i dataskyddsförordningen följer att den information som lämnas enligt
artikel 15 i dataskyddsförordningen måste ges i en koncis, klar och tydlig, begriplig och
lätt tillgänglig form med användning av ett klart och tydligt språk. Vilka krav som ska
ställas på tydlighet i det enskilda fallet måste bedömas mot bakgrund av syftet med
rätten till tillgång, dvs. att den registrerade ska bli medveten om den behandling som
sker och kunna kontrollera att behandlingen är laglig.
15 Jfr. Europeiska dataskyddsstyrelsens (EDPB:s) riktlinjer om rätten till tillgång – Guidelines 01/2022 on data subject
rights – Right of access, version 2.0 (slutligt antagna den 28 mars 2023), punkt 146.
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 18(30)
Datum: 2023-06-12
Flertalet av de uppgifter som Spotify behandlar, särskilt när det kommer till uppgifter i
de tekniska loggfilerna, är till sin natur väldigt tekniska då de innehåller bl.a. koder och
siffror. Sådana uppgifter kan för en genomsnittlig registrerad vara svåra att förstå. Att
lämna sådana uppgifter utan närmare förklaring skulle enligt IMY inte leva upp till
kraven på tydlighet, sett till syftet med rättigheten. Eftersom de uppgifter som ska
tillhandahållas enligt artikel 15.1 i dataskyddsförordningen och omfattas av en kopia
enligt artikel 15.3 i dataskyddsförordningen ska vara de personuppgifter som
behandlas är det dock inte tillåtet för den personuppgiftsansvarige att ändra
svårbegripliga personuppgifter för att underlätta förståelsen. Sådana uppgifter kan
istället behöva förklaras.
Spotify lämnar tillsammans med kopian av personuppgifter ytterligare beskrivningar för
att göra uppgifterna i de olika lagren begripliga för den registrerade. Spotify svarar
också på registrerades frågor om betydelsen av de personuppgifter som lämnats och
uppdaterar sina generella rutiner och beskrivningar baserat på de frågor som ställs.
IMY anser att uppgifter i de tekniska loggfilerna som Spotify lämnar kan vara
komplicerade att begripa, trots de beskrivningar som Spotify tillhandahåller. IMY anser
dock att Spotify genom att tillhandahålla dessa beskrivningar möjliggör för den
registrerade, om än med viss arbetsinsats, att tillgodogöra sig informationen. Att det
trots beskrivningar kan krävas viss ansträngning av den registrerade för att förstå vissa
särskilt komplicerade uppgifter är en naturlig följd av dessa uppgifters karaktär.
Spotify tillhandahåller som standard endast den detaljerade beskrivningen av
uppgifterna i de tekniska loggfilerna på engelska. Varken artikel 12.1 eller artikel 15 i
dataskyddsförordningen innehåller något uttryckligt krav på vilket språk
personuppgifter, eller beskrivningen av dessa, ska tillhandahållas den registrerade.
IMY anser dock att det följer av syftet med rätten till tillgång samt kraven på tydlighet i
artikel 12.1 att de registrerade ska kunna få informationen på ett språk de behärskar, i
vart fall när den personuppgiftsansvarige riktar sin verksamhet till länder där detta
utgör ett officiellt språk.16 Detta innebär att den personuppgiftsansvarige måste vidta
tillräckliga åtgärder för att säkerställa att den registrerade förstår informationen.
Spotify tillhandahåller den övervägande andelen av information som lämnas till
registrerade enligt artikel 15 i dataskyddsförordningen, inklusive en generell
beskrivning av vad de tekniska loggfilerna kan omfatta, baserat på
språkinställningarna i den enskildes webbinställningar, dvs. det lokala språket. Vidare
lämnar Spotify tydlig information, på det lokala språket, om möjligheten att begära
översättning av beskrivningen av de tekniska loggfilerna i den ”Read Me First”-fil som
lämnas vid varje begäran om tillgång. Denna information lämnas också på det lokala
språket på webbsidan ”Förstå mina data”. Spotify har därmed vidtagit omfattande
åtgärder för att tillhandhålla information på ett språk som den registrerade ska kunna
begripa. Spotify har dock redogjort för betydande svårigheter att översätta
beskrivningen av uppgifterna i de tekniska loggfilerna till samtliga lokala språk i de
länder till vilka de riktar sin verksamhet. Svårigheterna har sin grund i de ständiga
förändringarna av uppgifterna i de tekniska loggfilerna och det faktum att många
tekniska begrepp svårligen kan översättas från engelska.
16 Jfr Artikel 29-gruppens Riktlinjer om öppenhet enligt förordning (EU) 2016/679, WP260rev.01, som antagits av
Europeiska dataskyddsstyrelsen, punkt 13 och Europeiska dataskyddsstyrelsens (EDPB:s) riktlinjer om rätten till
tillgång – Guidelines 01/2022 on data subject rights – Right of access, version 2.0 (slutligt antagna den 28 mars 2023)
punkt 142.
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 19(30)
Datum: 2023-06-12
IMY noterar dock att Spotify har uppgett att de på begäran från en registrerad har
möjlighet att översätta beskrivningen av uppgifterna i de tekniska loggfilerna till ett
lokalt språk i den utsträckning de tekniska termerna är möjliga att översätta. Eftersom
en översättning därför i praktiken är möjlig anser IMY att en sådan översättning bör
kunna tillhandahållas även innan en begäran om översättning har gjorts från en
registrerad. Spotifys angivna svårigheter att översätta beskrivningen, däribland att
översättning kan behöva göras vid flera tillfällen varje månad och de ytterligare
resurser detta kräver, kan inte heller motivera att beskrivningen som standard lämnas
på engelska. Med beaktande av syftet med rätten till tillgång är det avgörande att den
registrerade förstår vilka av dennes personuppgifter som har behandlats i de tekniska
loggfilerna vilket förutsätter en begriplig beskrivning av dess innehåll. IMY anser därför
att Spotify borde ha tillhandahållit beskrivningen på lokalt språk redan i samband med
att de tekniska loggfilerna lämnades till den registrerade, åtminstone i den utsträckning
det var nödvändigt för att förstå uppgifterna i de tekniska loggfilerna.
Mot denna bakgrund anser IMY att Spotify inte har vidtagit tillräckliga åtgärder för att
säkerställa att den registrerade förstår beskrivningen av uppgifterna i de tekniska
loggfilerna när denna information som standard endast lämnas på engelska. Den
information som Spotify lämnar i denna del levde därför inte upp till kraven på att all
kommunikation som lämnas till den registrerade enligt artikel 15 i
dataskyddsförordningen ska vara tydlig och begriplig på sätt som anges i artikel 12.1 i
dataskyddsförordningen. Det faktum att en registrerad har möjlighet att återkomma till
Spotify för att begära en översättning läker inte denna brist.
Av artikel 15.3 i dataskyddsförordningen följer att en registrerad som gör en begäran
om tillgång i elektronisk form ska få informationen i ett elektroniskt format som är
allmänt använt, om den registrerade inte begär något annat. Spotify lämnar
uppgifterna i JSON-format. I riktlinjerna om rätten till dataportabilitet ges JSON-format
som ett exempel på ett allmänt använt öppet format.17
IMY konstaterar att vilka krav som ställs på format är olika för rätten till dataportabilitet
och rätten till tillgång då dataportabilitet enligt artikel 20.1 i dataskyddsförordningen
även kräver att uppgifterna ska tillhandahållas i ett strukturerat och maskinläsbart
format. Sett till syftet med rätten till tillgång krävs enligt IMY att det format i vilket
uppgifterna tillhandahålls enligt artikel 15 i dataskyddsförordningen måste vara möjligt
att läsa för en fysisk person. Det finns dock inget som hindrar att formatet även är
maskinläsbart. Ett sådant format kan i många fall förenkla för den registrerade att själv
göra olika sammanställningar eller utsökningar för att underlätta förståelsen. IMY
anser att JSON-format, som kan läsas av både datorer och fysiska personer, i
dagsläget är ett sådant elektroniskt allmänt använt format som avses i artikel 15.3 i
dataskyddsförordningen.
Sammanfattande bedömning avseende rätten till tillgång till personuppgifter och kopia
på personuppgifter under behandling – artikel 15.1 och 15.3 i dataskyddsförordningen
IMY finner sammanfattningsvis att Spotifys sätt att dela upp kopian på personuppgifter
i olika lager inte försvårar utövandet av de registrerades rättigheter och därmed är
förenligt med artikel 12.2 i dataskyddsförordningen samt att utformningen och formatet
på kopian av personuppgifter i stort uppfyller kraven på transparens i artikel 12.1 i
dataskyddsförordningen.
17 Artikel 29-gruppens Riktlinjer om rätten till dataportabilitet, WP242 rev.01, som antagits av Europeiska
dataskyddsstyrelsen, s. 19.
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 20(30)
Datum: 2023-06-12
IMY finner dock att den beskrivning av uppgifterna i de tekniska loggfilerna som
Spotify lämnat under perioden från och med den 11 juni 2019 till och med den 16 maj
2022 inte har uppfyllt kraven i artikel 12.1 i dataskyddsförordningen då denna
information som standard endast har tillhandahållits på engelska. Spotify har därmed i
detta avseende behandlat personuppgifter i strid med artikel 12.1 i
dataskyddsförordningen under den aktuella tidsperioden.
4 Granskning av enskilda klagomål - Motivering
av beslut
4.1 Klagomål 1 (från Nederländerna med nationellt
referensnummer z2018-28415)
4.1.1 Bakgrund
Klaganden har sammanfattningsvis gjort gällande att Spotify med anledning av hans
begäran om tillgång som gjordes den 27 maj 2018 inte har gett tillgång till alla hans
personuppgifter inom den tid som föreskrivs i artikel 12.3 i dataskyddsförordningen
samt att, när han väl har fått tillgång till alla personuppgifter, har dessa inte
tillhandahållits i en begriplig form på sätt som föreskrivs i artikel 12.1 i
dataskyddsförordningen.
4.1.2 Vad som har framkommit i ärendet
Spotify tillhandahåller tre typer av svar för att säkerställa ett lämpligt och fullständigt
svar på sina användares förfrågningar enligt artikel 15 i dataskyddsförordningen.
Spotify har uppgett att information om alla tre typer av svar (Typ 1, Typ 2 och Typ 3)
samt information om hur man kunde begära tillgång till dem fanns tillgänglig vid
tidpunkten för klagandens begäran. I samband med att en användare valde att ladda
ner sin data (Typ 1), framgick av beskrivning och instruktioner i direkt anslutning till
verktyget för nedladdning att detta bara var ett bekvämt sätt att få en kopia av "de
flesta" personuppgifter från dennes konto och vilka kategorier av personuppgifter som
var tillgängliga via verktyget. Utifrån sammanhanget var det därför tillräckligt tydligt att
andra personuppgifter också fanns tillgängliga. Klaganden hade också möjlighet att
kontakta kundtjänst via ett flertal kanaler och begära ytterligare personuppgifter.
Klaganden hade också haft möjlighet att vända sig till kundtjänst och direkt begära
tillgång till samtliga sina personuppgifter.
Spotify anser att processen vid den tidpunkten var tillräckligt transparent för att
användare skulle kunna förstå samt begära ytterligare tillgängliga uppgifter utöver de
som ingick i verktyget ”Ladda ned din data”. Många andra användare begärde också
såväl Typ 2- som Typ 3-uppgifter vid den tidpunkten. Klaganden lyckades även begära
och få tillgång till både Typ 1 och Typ 2-information. Spotify har därefter gjort flertalet
förbättringar i sina processer för att säkerställa att användare inte kan missa att alla tre
typer av information finns och hur man enkelt kan begära tillgång till den
informationen.
Spotify har uppgett att vad gäller tillhandhållandet av klagandens personuppgifter, så
tillhandahölls samtliga efterfrågade personuppgifter inom den tidsram som anges i
artikel 12.3 i dataskyddsförordningen. ”Ladda ned din data” (Typ 1) efterfrågades av
klaganden den 27 maj 2018. Uppgifterna gjordes tillgängliga och laddades ner av
klaganden den 28 maj 2018. En svarstid om en dag överensstämmer med Spotifys
mål att snabbt tillhandahålla den mest relevanta informationen till användare genom
deras automatiska verktyg.
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 21(30)
Datum: 2023-06-12
Tekniska loggfiler (Typ 2) efterfrågades av klaganden via e-post den 11 juni 2018. I
Spotifys svar den 6 juli 2018 informerade Spotify klaganden att tillhandahållandet av
personuppgifterna skulle ta lite längre tid än förväntat på grund av det höga antalet
förfrågningar och komplexiteten i att sammanställa sådan teknisk information.
Informationen gjordes tillgänglig för nedladdning den 17 juli 2018. Även efter att ha
informerat klaganden om anledningen till att svaret skulle dröja, förflöt endast 36
kalenderdagar (26 arbetsdagar) mellan klagandens förfrågan och erhållandet av svar.
Vad gäller klagandens klagomål rörande formatet på personuppgifterna har Spotify
uppgett att Typ 2-uppgifter innehåller ett stort antal filer med tekniska logguppgifter.
Vilka uppgifter som behandlas kan skilja sig avsevärt för olika användare baserat på
vilken typ av Spotify-serviceplan de har (t.ex. Free, Premium, Familj), funktioner och
den specifika användarens aktivitet, samt variationer i den vanliga interna
behandlingen och felloggningen av själva Spotify-programvaran. Det är en utmaning
att hitta ett sätt att förklara den här typen av teknisk information på ett sätt som den
genomsnittlige Spotify-användaren kan förstå.
Vid tidpunkten för klagandens begäran tillhandahöll Spotify informationen i ett JSON-
format. Spotify tillhandahöll dock inte någon kompletterande dokumentation för att
ytterligare förtydliga vilka typer av uppgifter som ingick och hur dessa skulle tolkas
(utöver den information som framgår av JSON datafälten i sig). Sedan 2019
tillhandhåller Spotify emellertid en kompletterande ”Read Me First”-fil vid leverans av
alla Typ 2-uppgifter, som ytterligare beskriver informationen som ingår i varje fil och
datafält. Med tanke på komplexiteten och volymen av de tekniska loggfilerna krävde
framtagandet av ”Read Me First”-filen mycket arbete, och Spotify hade ännu inte
slutfört denna process vid tidpunkten för klagandens ursprungliga begäran om tillgång.
Det var ett misstag att klaganden tillhandahölls vissa av de tekniska loggfilerna i
krypterat format. Spotify lagrar uppgifter i sina system i krypterat format för att förstärka
integriteten och säkerheten i samband med bolagets egna interna behandling av
personuppgifter. Det var inte Spotifys avsikt att undanhålla klagandens
personuppgifter från honom. Även om de flesta krypterade uppgifterna avkrypterades
innan de inkluderades i klagandens tekniska loggfiler, var några av fälten inte
avkrypterade. Den typen av problem åtgärdades vid upptäckten av detta, och numera
tillhandhålls alltid efterfrågade personuppgifter okrypterade.
Spotify vill uppmärksamma IMY på att klaganden efterfrågade sina personuppgifter
igen i juli 2020. Denna begäran kom efter hans klagomål till IMY och de förbättringar
som beskrivits ovan. Klaganden mottog sina personuppgifter avsevärt snabbare än
inom 30 dagar. Klaganden begärde ”Ladda ned din data” (Typ 1) den 28 juli 2020.
Spotify tillhandhöll personuppgifterna tre kalenderdagar senare, den 31 juli 2020.
Klaganden efterfrågade också sina tekniska loggfiler (Typ 2) den 3 augusti 2020 och
laddade ner personuppgifterna när de var tillgängliga 15 dagar senare, den 18 augusti
2020. Båda dessa förfrågningar besvarades inom sammanlagt 18 dagar av Spotify och
klaganden kunde motta alla sina personuppgifter inom totalt 21 kalenderdagar. Denna
tidsram är representativ för Spotifys hantering av dessa typer av förfrågningar från
användare. All teknisk information som klaganden erhöll den 18 augusti 2020 var
okrypterad. Klaganden ska också ha mottagit en ”Read Me First”-fil som fält för fält
förklarat de tillhandahållna uppgifterna. I och med fullgörandet av klagandens senaste
förfrågan hoppas Spotify att samtliga klagandens frågor gällande artiklarna 12.1 och
12.3 i dataskyddsförordningen som han tog upp i sitt klagomål har blivit besvarade.
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 22(30)
Datum: 2023-06-12
4.1.3 Integritetsskyddsmyndighetens bedömning
Som IMY konstaterar vid bedömningen av bolagets generella rutiner, avsnitt 3.2.2 i
detta beslut, är det möjligt att dela upp kopian på personuppgifter i olika lager förutsatt
att den registrerade fått tillräcklig information bland annat om hur kopian på
personuppgifter är uppdelad och hur tillgång till de olika lagren kan begäras.
Att klaganden gör gällande att hans personuppgifter inte lämnats i rätt tid visar att
klaganden måste ha ansett att hans initiala begäran som skickades den 27 maj 2018
avsåg samtliga personuppgifter som Spotify behandlade om honom. Av uppgifter som
klaganden lämnat framgår vidare att han kontaktat Spotify eftersom han själv
uppmärksammat att den kopia på personuppgifter han erhöll den 28 maj 2018 inte var
fullständig. Det faktum att han kontaktade Spotify var alltså en följd av de slutsatser
klaganden själv dragit utifrån den kopia på personuppgifter han erhållit och inte på
grund av att klaganden förstått Spotifys uppdelning av kopian på personuppgifter och
hur tillgång till ytterligare uppgifter kunde begäras. Dessa omständigheter talar enligt
IMY för att den information som Spotify lämnande vid tidpunkten för klagandens
begäran angående uppdelningen av kopian på personuppgifter inte varit tillräckligt
tydlig.
IMY anser vidare vid en bedömning av den information som Spotify lämnade i
beskrivning och instruktioner i samband med att klaganden gjorde sin Typ 1-begäran
den 27 maj 2018 att den informationen inte ensamt var tillräckligt tydlig för att
klaganden borde ha förstått att det endast var en delmängd av personuppgifterna som
omfattades av begäran. Vid tidpunkten för klagandens begäran saknades också den
information som idag finns tillgänglig på Spotifys webbplats, bland annat på webbsidan
för ”Personuppgiftsrättigheter och sekretessinställningar”, där det framgår vilka
personuppgifter som ges i de olika svaren, och hur tillgång till dessa kan begäras. IMY
anser vidare att det Spotify anfört om att klaganden kunde vända sig till kundtjänst och
begära ytterligare uppgifter saknar betydelse då ett sådant agerande förutsätter att
den klagande skulle ha förstått att det fanns ytterligare personuppgifter som kunde
lämnas ut.
Med hänsyn till ovanstående bedömer IMY att Spotify, vid tidpunkten för klagandens
begäran om tillgång, inte lämnade tillräckligt tydlig information för att klaganden skulle
förstå att kopian på personuppgifter var uppdelad. Att det finns tillräcklig information för
att en registrerad ska förstå att dennes begäran endast avser ett urval av de
personuppgifter som behandlas är en förutsättning för att den personuppgiftsansvarige
ska kunna begränsa utlämnandet till dessa personuppgifter. I det fall det är oklart om
begäran endast avser ett urval av personuppgifterna bör alltså den
personuppgiftsansvarige utgå från att den registrerade vill ha tillgång till samtliga sina
personuppgifter. Spotify borde därför, då informationen i detta avseende var bristfällig
vid tidpunkten för klagandens begäran, ha lämnat ut samtliga personuppgifter som de
behandlade om klaganden i samband med hans begäran om tillgång som gjordes den
27 maj 2018. Den tid inom vilken Spotify hade att lämna kopian på samtliga
personuppgifter ska därför beräknas från denna tidpunkt. Spotify skulle, enligt artikel
12.3 i dataskyddsförordningen, ha lämnat en fullständig kopia på klagandens
personuppgifter eller meddelat klaganden om en förlängning av tidsperioden senast
den 27 juni 2018. Spotify meddelade först den 6 juli 2018 klaganden om en förlängning
av tidsperioden. Kopian på de ytterligare personuppgifterna lämnades den 17 juli
2018. IMY konstaterar att Spotify inte meddelat förlängningen inom den tid som
föreskrivs i artikel 12.3 i dataskyddsförordningen. Spotify har därför lämnat kopian på
klagandens personuppgifter för sent.
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 23(30)
Datum: 2023-06-12
Av klagandens uppgifter, som bekräftats av Spotify, framgår att de ytterligare
personuppgifter han fick tillgång till den 17 juli 2018 varit svåra att förstå samt, i vissa
fall, krypterade.
Som IMY konstaterar under avsnitt 3.2.2 krävs det att den personuppgiftsansvarige
förklarar särskilt svårbegripliga personuppgifter för att syftet med rätten till tillgång ska
anses uppfyllt. IMY konstaterar att Spotify inte levt upp till sina skyldigheter i
klagandens fall då de inte har lämnat en förklaring till de särskilt svårbegripliga
uppgifter de tillhandahållit i kopian samt då de har lämnat ut vissa uppgifter krypterade.
IMY konstaterar med hänsyn till det ovanstående att Spotify i sin hantering av
klagandens begäran om tillgång som gjordes den 27 maj 2018 har behandlat
personuppgifter i strid med artikel 12.3 i dataskyddsförordningen, genom att kopian på
personuppgifter har lämnats för sent, samt i strid med artiklarna 12.1, 15.1 och 15.3 i
dataskyddsförordningen, genom att inte ha tillhandahållit samtliga klagandens
personuppgifter i en begriplig form.
4.2 Klagomål 2 (från Österrike med nationellt referensnummer
D130.198)
4.2.1 Bakgrund
Klaganden har gjort gällande att Spotify med anledning av hans begäran om tillgång
som gjordes den 10 oktober 2018 inte har tillhandahållit alla de personuppgifter som
Spotify behandlar om klaganden, att Spotify inte har tillhandahållit någon av den
information om behandlingen av klagandens personuppgifter som krävs enligt artikel
15.1 a–h och 15.2 i dataskyddsförordningen samt att Spotify inte har tillhandahållit
personuppgifterna i en begriplig form på sätt som föreskrivs i artikel 12.1 i
dataskyddsförordningen. Klaganden har därvid bland annat angett att uppgifterna har
tillhandhållits i ett format som endast är maskinläsbart och inte begripligt för fysiska
personer.
4.2.2 Vad som har framkommit i ärendet
Spotify har uppgett att klaganden begärde tillgång till ”Ladda ned din data” (Typ 1) den
10 oktober 2018. Uppgifterna gjordes tillgängliga och laddades ner av klaganden den
18 oktober 2018. Klaganden kontaktade därefter aldrig Spotify igen för att föra fram de
synpunkter som lyfts i hans klagomål till IMY. Han begärde heller inte att få tillgång till
ytterligare information utöver den som gjorts tillgänglig genom ”Ladda ned din data”-
verktyget.
Spotify tillhandahåller tre typer av svar för att säkerställa ett lämpligt och fullständigt
svar på sina användares förfrågningar enligt artikel 15 i dataskyddsförordningen.
Spotify har uppgett att information om alla tre typer av svar (Typ 1, Typ 2 och Typ 3),
samt information om hur man kunde begära tillgång till dem fanns tillgänglig vid
tidpunkten för klagandens begäran. I samband med att en användare valde att ladda
ner sin data (Typ 1), framgick av beskrivning och instruktioner i direkt anslutning till
verktyget att detta bara var ett bekvämt sätt att få en kopia av "de flesta"
personuppgifter från dennes konto och vilka kategorier av personuppgifter som var
tillgängliga via verktyget. Utifrån sammanhanget var det därför tillräckligt tydligt att
andra personuppgifter också fanns tillgängliga. Klaganden hade också möjlighet att
kontakta kundtjänst via ett flertal kanaler och begära ytterligare personuppgifter.
Spotify anser att processen vid den tidpunkten var tillräckligt transparent för att
användare skulle kunna förstå samt begära ytterligare tillgängliga uppgifter utöver de
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 24(30)
Datum: 2023-06-12
som ingick i verktyget ”Ladda ned din data”. Många andra användare begärde också
såväl Typ 2- som Typ 3-uppgifter vid den tidpunkten. Spotify har därefter gjort flertalet
förbättringar i sina processer för att säkerställa att användare inte kan missa att alla tre
typer av information finns och hur man enkelt kan begära tillgång till den
informationen.
Vid tidpunkten för klagandens begäran hade den specifika webbsidan med information
enligt artikel 15.1 a-h och 15.2 i dataskyddsförordningen ännu inte skapats och sådan
information inkluderades inte heller automatiskt i svaret på begäran om tillgång.
Spotify bekräftar att klaganden inte fick denna information tillsammans med sitt Typ 1-
svar i oktober 2018. Spotify noterar att även om klaganden inte mottog den specifika
informationen enligt artikel 15 i samband med sin begäran var informationen tillgänglig
för klaganden i Spotifys integritetspolicy.
Spotify har vidare uppgett att bolaget hade processer på plats för att tillhandahålla
ytterligare information och vidta åtgärder i det fall deras svar inte skulle anses vara
tillräckligt för att fullt ut besvara en registrerads begäran om tillgång. Om klaganden
hade kontaktat [email protected] eller Spotifys kundtjänstteam angående sina
frågor hade de gärna tillhandhållit ytterligare personuppgifter och annan information
enligt artikel 15 i dataskyddsförordningen som han efterfrågade.
Det stämmer att klagandens ”Ladda ned din data”-uppgifter tillhandahölls i JSON-
format. JSON är ett rekommenderat standardformat som kan förstås av både
människor och datorer. Informationen i ”Ladda ned din data” (Typ 1) är till stor del
självförklarande baserat på filens och fältens namn. Numera tillhandahåller Spotify
emellertid också en detaljerad beskrivning av uppgifterna på informationswebbsidan,
”Förstå min data”.
4.2.3 Integritetsskyddsmyndighetens bedömning
Som IMY konstaterar vid bedömningen av bolagets generella rutiner, avsnitt 3.2.2 i
detta beslut, är det möjligt att dela upp kopian på personuppgifter i olika lager förutsatt
att den registrerade fått tillräcklig information bland annat om hur kopian på
personuppgifter är uppdelad och hur tillgång till de olika lagren kan begäras.
Klaganden har, som IMY förstår det, velat få tillgång till samtliga de uppgifter som
Spotify behandlar om honom. Klaganden har dock endast begärt tillgång till Typ 1-
uppgifterna och har inte heller återkommit till Spotify för ytterligare information.
Klagandens agerande talar enligt IMY för att den information som Spotify lämnande
vid tidpunkten för klagandens begäran angående uppdelningen av kopian på
personuppgifter och hur tillgång till de olika lagren kunde begäras inte varit tillräckligt
tydlig för att klaganden skulle förstå hur han skulle få tillgång till samtliga uppgifter.
IMY anser vidare vid en bedömning av den information som Spotify lämnade i
beskrivning och instruktioner i samband med att klaganden gjorde sin Typ 1-begäran
den 10 oktober 2018 att den informationen inte ensamt var tillräckligt tydlig för att
klaganden borde ha förstått att det endast var en delmängd av personuppgifterna som
omfattades av begäran. Vid tidpunkten för klagandens begäran saknades också den
information som idag finns tillgänglig på Spotifys webbplats, bland annat på webbsidan
för ”Personuppgiftsrättigheter och sekretessinställningar”, där det framgår vilka
personuppgifter som ges i de olika svaren, och hur tillgång till dessa kan begäras. IMY
anser vidare att det Spotify anfört om att klaganden kunde vända sig till kundtjänst och
begära ytterligare uppgifter saknar betydelse då ett sådant agerande förutsätter att
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 25(30)
Datum: 2023-06-12
klaganden skulle ha förstått att det fanns ytterligare personuppgifter som kunde
lämnas ut.
Med hänsyn till ovanstående bedömer IMY att Spotify, vid tidpunkten för klagandens
begäran om tillgång, inte lämnade tillräckligt tydlig information för att klaganden skulle
förstå att kopian på personuppgifter var uppdelad. Att det finns tillräcklig information för
att en registrerad ska förstå att dennes begäran endast avser ett urval av de
personuppgifter som behandlas är en förutsättning för att den personuppgiftsansvarige
ska kunna begränsa utlämnandet till dessa personuppgifter. I det fall det är oklart om
begäran endast avser ett urval av personuppgifterna bör alltså den
personuppgiftsansvarige utgå från att den registrerade vill ha tillgång till samtliga sina
personuppgifter. Spotify borde därför, då informationen i detta avseende var bristfällig
vid tidpunkten för klagandens begäran, ha lämnat ut samtliga personuppgifter som de
behandlade om klaganden. IMY konstaterar att Spotify inte har lämnat ut samtliga
personuppgifter som de behandlade om klaganden. Spotify har därför inte uppfyllt
kraven i artiklarna 15.1 och 15.3 i dataskyddsförordningen att ge den registrerade
tillgång till sina personuppgifter då bolaget inte har försett den registrerade med en
fullständig kopia av de personuppgifter som var under behandling.
Klaganden har vidare uppgett att de personuppgifter han har fått tillgång till var svåra
att förstå. Av Spotifys svar framgår att det vid tidpunkten för klagandens begäran
saknades en beskrivning av de uppgifter som tillhandahölls klaganden (Typ 1). IMY
bedömer dock att de uppgifter som tillhandahålls enligt en Typ 1-begäran är tillräckligt
tydliga för att den genomsnittlige användaren ska kunna förstå uppgifterna och att
dessa därmed inte kräver någon ytterligare förklaring. IMY anser därför att de
personuppgifter som lämnats har varit tillräckligt tydliga för att uppfylla kraven enligt
artikel 12.1 i dataskyddsförordningen, dvs. att den information som lämnas enligt
artikel 15 i dataskyddsförordningen ska ges i en koncis, klar och tydlig, begriplig och
lätt tillgänglig form med användning av ett klart och tydligt språk. Någon brist har därför
inte förelegat avseende hur tydliga de personuppgifter som tillhandahölls klaganden
var. IMY ser dock positivt på de förbättringar som Spotify har genomfört efter denna
tidpunkt, vilka ytterligare kan öka förståelsen av de personuppgifter som tillhandahålls i
Typ 1-svar.
Klaganden har därutöver anfört att hans personuppgifter tillhandhölls i ett format som
endast var maskinläsbart och inte begripligt för fysiska personer. Spotify har uppgett
att uppgifterna tillhandhölls i JSON-format. IMY anser, vilket också framgår ovan under
3.2.2, att JSON-format, som kan läsas av både datorer och fysiska personer, i
dagsläget är ett sådant elektroniskt allmänt använt format som avses i artikel 15.3 i
dataskyddsförordningen. IMY anser därför att det inte förelegat någon brist avseende i
vilket format uppgifterna tillhandahölls den klagande.
Klaganden har slutligen gjort gällande att han inte fått information enligt artikel 15.1 a-h
och 15.2 i dataskyddsförordningen. Spotify har bekräftat att klaganden inte fick denna
information tillsammans med svaret på begäran som lämnades i oktober 2018. Spotify
har därmed inte uppfyllt sin skyldighet att, i samband med klagandens begäran om
tillgång, lämna information enligt artikel 15.1 a-h och 15.2. Det faktum att information
vid tidpunkten för klagandens begäran fanns tillgänglig i bolagets integritetspolicy läker
inte denna brist.
IMY konstaterar sammanfattningsvis att Spotify i sin hantering av klagandens begäran
om tillgång som gjordes den 10 oktober 2018 har behandlat personuppgifter i strid
med artikel 15.1 och 15.3 i dataskyddsförordningen, genom att inte ha gett tillgång till
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 26(30)
Datum: 2023-06-12
samtliga personuppgifter som Spotify behandlade om den klagande samt i strid med
artikel 15.1 a-h och 15.2 i dataskyddsförordningen, genom att inte ha tillhandhållit
någon av den information som anges i dessa bestämmelser.
4.3 Klagomål 3 (från Danmark med nationellt referensnummer
2018-31-1198)
Klaganden har gjort gällande att Spotify inte har besvarat klagandens begäran om
tillgång enligt artikel 15 i dataskyddsförordningen som gjordes den 12 november 2018.
Utredningen i ärendet har inte visat att Spotify brustit i sin hantering av klagandens
begäran om tillgång, vilket medför att det aktuella klagomålet ska avslås. Den
mottagande tillsynsmyndigheten, dvs. den danska dataskyddsmyndigheten, ska därför
anta beslutet avseende detta klagomål enligt artikel 60.8 i dataskyddsförordningen.
Motiveringen till beslutet i denna del redovisas således i ett separat beslut från den
danska dataskyddsmyndigeten.
5 Val av ingripande
5.1 Tillämpliga bestämmelser
IMY har vid överträdelser av dataskyddsförordningen ett antal korrigerande
befogenheter, bland annat reprimand, föreläggande och sanktionsavgifter. Det följer av
artikel 58.2 a–j i dataskyddsförordningen.
IMY ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder
som avses i artikel 58.2 i dataskyddsförordningen, beroende på omständigheterna i
varje enskilt fall.
Om en personuppgiftsansvarig eller ett personuppgiftsbiträde, med avseende på en
och samma eller sammankopplade uppgiftsbehandlingar, uppsåtligen eller av
oaktsamhet överträder flera av bestämmelserna i denna förordning får den
administrativa sanktionsavgiftens totala belopp inte överstiga det belopp som fastställs
för den allvarligaste överträdelsen. Det framgår av artikel 83.3 i
dataskyddsförordningen.
Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa
sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det
anges i artikel 83.1 i dataskyddsförordningen.
I artikel 83.2 i dataskyddsförordningen anges de faktorer som ska beaktas för att
bestämma om en administrativ sanktionsavgift ska påföras, men också vad som ska
påverka sanktionsavgiftens storlek.
EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt
dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer
för beräkning av sanktionsavgifter.18
18 EDPB:s riktlinjer 8/2020 Guidelines 04/2022 on the calculation of administrative fines under the GDPR, slutligt
antagna den 24 maj 2023.
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 27(30)
Datum: 2023-06-12
5.2 Samma eller sammankopplade uppgiftsbehandlingar
Som konstaterats ovan har IMY, vid den granskning som myndigheten gjort av
Spotifys generella processer och rutiner för att ge tillgång enligt artikel 15 i
dataskyddsförordningen, funnit brister i den information som lämnats enligt artikel 15.1
a–h och 15.2 i dataskyddsförordningen samt i den beskrivning av uppgifterna i de
tekniska loggfilerna som Spotify lämnat. Spotify har vidare brustit i sin hantering av
begäran om tillgång avseende två av de klagomål IMY har granskat, klagomål 1 och
klagomål 2.
Överträdelserna avseende de generella rutinerna hänför sig, avseende informationen
enligt artikel 15.1 a-h och 15.2 i dataskyddsförordningen, till perioden från och med
den 16 november 2021 till och med den 16 maj 2022 samt, avseende beskrivningen
av uppgifterna i de tekniska loggfilerna, till perioden från och med den 11 juni 2019 till
och med den 16 maj 2022. Begäran om tillgång som omfattas av de enskilda
klagomålen gjordes den 27 maj 2018 respektive den 10 oktober 2018. IMY bedömer
bland annat mot denna bakgrund att överträdelserna hänförliga till de generella
rutinerna och överträdelserna avseende de två klagomålen inte utgör samma eller
sammankopplade behandlingar på sätt som avses i artikel 83.3 i
dataskyddsförordningen.
IMY anser dock att Spotifys tillhandahållande av information som omfattas av artikel
15.1 och 15.2 i dataskyddsförordningen samt tillhandahållandet av beskrivningen av
uppgifterna i de tekniska loggfilerna är sammankopplade med varandra. Den
bedömningen görs bland annat mot bakgrund av att de konstaterade bristerna i dessa
delar rör kraven på transparens i den information som Spotify lämnat till de
registrerade enligt artikel 15 i dataskyddsförordningen under en delvis
sammanfallande tidsperiod. Vidare bedöms klagomålen vara sammankopplade med
varandra.
IMY ska därför bestämma val av ingripande dels för de konstaterade bristerna i
Spotifys information enligt artikel 15.1 och 15.2 i dataskyddsförordningen och i
beskrivningen av uppgifterna i de tekniska loggfilerna dels för de konstaterande
bristerna avseende de två klagomålen.
5.3 Brister i information enligt artikel 15.1 och 15.2 i
dataskyddsförordningen och i beskrivningen av uppgifterna i
de tekniska loggfilerna
IMY har bedömt att Spotify har överträtt artiklarna 12.1, 15.1 a-d, 15.1 g och 15.2 i
dataskyddsförordningen. Mot bakgrund bland annat av att överträdelserna har kunnat
påverka ett stort antal registrerade, att överträdelserna pågått under en längre tid och
då bristerna i informationen försvårat för registrerade att ta tillvara sina övriga
rättigheter enligt dataskyddsfördningen är det inte fråga om mindre överträdelser.
Spotify ska därför påföras en sanktionsagift för överträdelserna i denna del.
IMY konstaterar att Spotify har överträtt artiklar som omfattas av artikel 83.5 i
dataskyddsförordningen vilket innebär att en sanktionsavgift på upp till tjugo miljoner
EUR eller fyra procent av den globala årsomsättningen under föregående budgetår,
beroende på vilket värde som är högst, kan påföras.
Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag
ska den definition av begreppet företag användas som EU-domstolen använder vid
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 28(30)
Datum: 2023-06-12
tillämpning av artiklarna 101 och 102 i EUF-fördraget (se skäl 150 i
dataskyddsförordningen). Av domstolens praxis framgår att detta omfattar varje enhet
som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess
finansiering samt även om enheten i juridisk mening består av flera fysiska eller
juridiska personer.
IMY bedömer att det företags omsättning som ska läggas till grund för beräkning av de
administrativa sanktionsavgifter som Spotify kan åläggas är Spotifys moderbolag
Spotify Technology S.A. Av Spotify Technology S.A.:s årsredovisning för år 2022
framgår att årsomsättningen år 2022 var ca 132 000 000 000 kronor. Det högsta
sanktionsbelopp som kan fastställas i ärendet är fyra procent av detta belopp, ca
5 280 000 000 kronor.
Vid bedömningen av överträdelsernas allvar tar IMY utöver vad som anges ovan, dvs.
att överträdelserna har kunnat påverka ett stort antal registrerade, att överträdelserna
pågått under en längre tid och att bristerna i informationen försvårat för registrerade att
ta tillvara sina övriga rättigheter enligt dataskyddsfördningen, även hänsyn till följande.
Överträdelserna har medfört en risk att syftet med rätten till tillgång förfelas då
bristerna i den lämnade informationen gjort det svårt för registrerade att förstå vilka av
deras personuppgifter som har behandlats och hur. Den registrerade har därmed inte
heller haft möjlighet att kontrollera om behandlingen varit laglig. Spotifys
personupgiftsbehandling omfattar vidare en stor mängd personuppgifter om varje
registrerad och berör många registrerade i flera olika länder.
Uppgifterna som behandlas utgör dock, såvitt framkommit, inte sådana särskilda
kategorier av personuppgifter som anges i artikel 9 i dataskyddsförordningen.
Behandling av personuppgifter som sker inom ramen för ett kundförhållande vid
tillhandahållandet av en musikstreamingtjänst får inte heller normalt sett stora
konsekvenser för de registrerade. IMY har vidare, trots omfattningen av Spotifys
personuppgiftsbehandling, endast mottagit ett fåtal klagomål gällande bolagets
hantering av begäran om tillgång.
Av betydelse är också att Spotify har en utmaning i att lämna omfattande information
om komplex personuppgiftsbehandling på ett sätt som är begripligt för de registrerade
vilket medför svåra avvägningar för att bedöma hur informationen bäst ska
presenteras. Spotify har lämnat viss information enligt alla punkter i artikel 15.1 och
15.2 i dataskyddsförordningen. Vidare har Spotify lämnat information om sin
personuppgiftsbehandling på flera sidor på bolagets webbplats. Viss information om
hur personuppgifterna behandlats har också gått att utläsa ur den kopia på
personuppgifter enligt artikel 15.3 i dataskyddsförordningen som Spotify har
tillhandahållit de registrerade som begärt tillgång och som IMY i stort har bedömt
uppfylla kraven på tydlighet i artikel 12.1 i dataskyddsförordningen.
Av utredningen i ärendet framgår vidare att Spotify, på eget initiativ och innan aktuellt
tillsynsärende inleddes, har vidtagit flertalet åtgärder och lagt omfattande arbete på att
ta fram, utveckla och förbättra processer gällande begäran om tillgång som ska vara
transparenta för de registrerade. Dessa processer och rutiner har sedan utvecklats
och förbättrats kontinuerligt. Det talar enligt IMY för att Spotify har för avsikt att uppfylla
rätten till tillgång på ett sätt som är transparent för de registrerade. Det har också fram
till förra året, då EDPB antog riktlinjer om rätten till tillgång19, saknats utförlig
vägledning kring hur informationen ska lämnas och på vilken detaljnivå, bland annat
19 Europeiska dataskyddsstyrelsens (EDPB) riktlinjer om rätten till tillgång – Guidelines 01/2022 on data subject rights
– Right of access, (antagna den 18 januari 2022 för publik konsultation och slutligt antagna den 28 mars 2023).
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 29(30)
Datum: 2023-06-12
vad gäller graden av individualisering av den information som ska lämnas enligt artikel
15.1 och 15.2 i dataskyddsförordningen samt vilket språk som ska användas vid
kommunikation enligt artikel 15 i dataskyddsförordningen.
Sammantaget bedömer IMY, mot bakgrund av de redovisade omständigheterna, att de
aktuella överträdelserna är av låg allvarlighetsgrad. Utgångspunkten för beräkningen
av sanktionsavgiften bör därför sättas relativt lågt i förhållande till det aktuella
maxbeloppet. För att säkerställa en proportionell sanktionsavgift i det enskilda fallet
finns även skäl att redan i detta skede ytterligare justera utgångspunkten för den
fortsatta beräkningen nedåt med beaktande av den höga omsättning som ligger till
grund för beräkningen av sanktionsavgiften.
Utöver bedömningen av överträdelsens allvar ska IMY bedöma om det föreligger
några försvårande eller förmildrande omständigheter som får betydelse för
sanktionsavgiftens storlek. De omständigheter som redan har beaktats vid
bedömningen av överträdelsens allvar kan inte beaktas på nytt i detta skede av
bedömningen.
IMY bedömer att det saknas ytterligare försvårande omständigheter som påverkar
sanktionsavgiftens storlek. Som förmildrande omständighet lägger IMY särskild vikt vid
möjligheten för de registrerade att kontakta Spotifys kundstjänst genom flera olika
kanaler för att få ytterligare individualiserad information. Vidare har Spotify i juni 2022
informerat om att bolaget har gjort uppdateringar i informationen enligt artikel 15 bland
annat för att den registrerade ska förstå den specifika personuppgiftsbehandling som
är tillämplig på deras unika användande av Spotifytjänsten. Vad avser bristerna
gällande Spotifys val av språk för beskrivningen av uppgifterna i de tekniska
loggfilerna är det också av betydelse att registrerade har haft möjlighet att vända sig till
Spotify för att få beskrivningen översatt eller förklarad på sitt lokala språk samt att
Spotify gett tydlig information om denna möjlighet i den ”Read Me First” -fil som
lämnats i samband med att uppgifterna tillhandahölls den registrerade.
Mot bakgrund av överträdelsernas allvar, försvårande och förmildrande
omständigheter och den höga omsättningen i förhållande till de konstaterade
överträdelserna bestämmer IMY den administrativa sanktionsavgiften för Spotify till 58
000 000 kronor. IMY har därvid bedömt att detta belopp, vilket motsvarar ungefär 1
procent av det högsta möjliga sanktionsbelopp som kan fastställas i ärendet, är
effektivt, proportionerligt och avskräckande i det nu aktuella fallet.
5.4 Överträdelser avseende klagomål 1 och 2
IMY har konstaterat att Spotify brustit i sina skyldigheter i förhållande till klagandena i
klagomål 1 och 2. IMY kan dock konstatera att klagandena i båda fallen har fått
tillgång till en del av sina personuppgifter i rätt tid. Spotify har vidare, när klaganden i
klagomål 1 kontaktat dem, varit behjälpliga med att lämna ytterligare information och
svarat på frågor. Gällande klagomål 2 har Spotify inte gjorts medvetna om att
klaganden ansett att hans begäran om tillgång inte tillgodosetts fullt ut. Klaganden har
inte vänt sig till Spotify och framfört att han var missnöjd med bolagets hantering av
hans begäran om tillgång varför Spotify har haft svårigheter att avhjälpa bristen.
IMY konstaterar att de nu aktuella överträdelserna inte omfattat känsliga
personuppgifter. Spotify har vidare vidtagit åtgärder, om än otillräckliga, i syfte att
tillmötesgå klagandenas begäranden. Även om klagandenas rätt till tillgång inte
Integritetsskyddsmyndigheten Diarienummer: DI-2019-6696 30(30)
Datum: 2023-06-12
tillmötesgåtts fullt ut är de brister som har förelegat därför av en mindre allvarlig
karaktär än om begärandena hade lämnats obesvarade.
IMY finner vid en samlad bedömning att det, avseende överträdelserna i klagomål 1
och 2, är fråga om mindre överträdelser och att det därför finns anledning att avstå
från att påföra Spotify en sanktionsavgift för de konstaterade överträdelserna i denna
del. Spotify ska istället påföras en reprimand enligt artikel 58.2 b i
dataskyddsförordningen.
Spotify har uppgett att bolaget gärna samarbetar med klagandena direkt för att
säkerställa att det har tillhandahållit alla uppgifter och den information som klagandena
söker samt att det har besvarat deras frågor.
Av uppgifter som framkommit i ärendet har klaganden i klagomål 1 vänt sig till Spotify
på nytt i juli 2020 och därefter fått tillgång enligt artikel 15 i dataskyddsförordningen.
Klaganden mottog samtliga sina personuppgifter, inklusive ett förklarande dokument
om de personuppgifter som behandlades, inom 21 dagar. De personuppgifter som då
lämnades var okrypterade. Då klaganden har fått sin begäran om tillgång tillgodosedd
saknas det skäl att förelägga Spotify att på nytt ge tillgång enligt artikel 15.
Gällande klagomål 2 har det inte framkommit några uppgifter om att klaganden har fått
tillgång till fler personuppgifter eller mer information efter svaret på begäran om tillgång
i oktober 2018. Spotify ska därför, med stöd av artikel 58.2 c i dataskyddsförordningen,
föreläggas att tillmötesgå klagandens begäran om tillgång enligt artikel 15 i
dataskyddsförordningen genom att lämna klaganden tillgång till samtliga
personuppgifter som Spotify behandlar om honom genom att förse honom med en
kopia på personuppgifterna enligt artikel 15.3 i dataskyddsförordningen samt
information enligt artikel 15.1 a-h och 15.2 i dataskyddsförordningen. Spotify har därvid
att beakta de undantag från rätten till tillgång i artikel 15.4 i dataskyddsförordningen
och 5 kap. dataskyddslagen som kan aktualiseras. IMY bedömer att tillgång ska
lämnas inom en månad från det att detta beslut vunnit laga kraft.
_____________________________
Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning
av juristerna Karin Ekström och Evelin Palmér. Vid den slutliga handläggningen har
även rättschefen David Törngren och enhetschefen Catharina Fernquist deltagit.
Lena Lindgren Schelin, 2023-06-12 (Det här är en elektronisk signatur)
Bilaga
Bilaga 1 – klagandens identifieringsuppgifter (klagomål 2)
Bilaga 2 – Spotifys information enligt artikel 15 i dataskyddsförordningen, den 16
november till och med den 16 maj 2022
Bilaga 3 – Information om betalning av sanktionsavgift