1(5)
Klarna Bank AB
Sveavägen 46
113 35 Stockholm
[email protected]
Diarienummer:
DI-2020-10518 Beslut efter tillsyn enligt
dataskyddsförordningen – Klarna
Datum:
2021-03-31
Bank AB
Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten konstaterar att Klarna Bank AB behandlat
personuppgifter i strid med artikel 12.3 i dataskyddsförordningen1 genom att
avseende klagomål 1: inte utan onödigt dröjsmål, enligt begäran av den 5
januari 2019, ge klaganden tillgång till sina personuppgifter i enlighet med
artikel 15.
Integritetsskyddsmyndigheten ger Klarna Bank en reprimand enligt artikel 58.2 b i
dataskyddsförordningen.
Redogörelse för tillsynsärendet
Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande Klarna Bank AB
(bolaget) med anledning av två klagomål. Respektive klagomål har lämnats över till
IMY, i egenskap av ansvarig tillsynsmyndighet för bolagets verksamhet enligt artikel 56
i dataskyddsförordningen, från tillsynsmyndigheten i det land där klaganden har lämnat
in sitt klagomål (Österrike och Tyskland) i enlighet med förordningens bestämmelser
om samarbete i gränsöverskridande ärenden.
De klagande har angett att de begärt tillgång till sina personuppgifter enligt artikel 15 i
dataskyddsförordningen. IMY har med anledning av klagomålen inlett tillsyn i syfte att
utreda huruvida de klagandes begäranden om tillgång enligt artikel 15 tillmötesgåtts
samt om det gjorts inom angiven tidsfrist i artikel 12.3.
Klarna Bank AB uppger att de är personuppgiftsansvariga för den
personuppgiftsbehandling som klagomålen gäller. Bolaget anger också att de hanterar
Postadress: ett stort antal förfrågningar i enlighet med dataskyddsförordningen.
Box 8114
104 20 Stockholm Klagomål 1 (Bilaga 1 från Österrike med nationellt referensnummer: D130.247)
Webbplats:
www.imy.se
E-post:
[email protected] 1 EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING (EU) 2016/679 av den 27 april 2016 om skydd för
Telefon: fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om
08-657 61 00 upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).
Page 1 of 5
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10518 2(5)
Datum: 2021-03-31
Beträffande det första klagomålet uppger bolaget att klagandens begäran om tillgång
inkom till bolaget via e-post den 5, 10 och 29 januari 2019. Eftersom begäran inkom till
en annan e-postadress än den som bolaget hänvisar till för dataskyddsfrågor
behandlades begäran inte i enlighet med bolagets interna handläggningsrutiner. Det
föranledde en längre handläggningstid och att information samt en kopia på
klagandens personuppgifter enligt artikel 15 skickades först den 18 juni 2019. Bolaget
har skyndsamt besvarat klagandens följdfrågor om bolagets personuppgiftsbehandling
vilket klaganden varit nöjd med.
Klagomål 2 (Bilaga 2 från Tyskland med nationellt referensnummer: LDA-1085.1-
13373/19-F)
Beträffande det andra klagomålet uppger bolaget att klagandens begäran om tillgång
inkom till bolagets chatt den 28 oktober 2019. Den klagande upprepade sin begäran
via e-post den 30 oktober 2019. Bolaget kontaktade den klagande den 6 november
2019 för att begära in ytterligare upplysningar. Dessa tillhandahölls samma dag. Den
11 november 2019 skickade bolaget ut information och en kopia på personuppgifterna
till den klagande enligt artikel 15, det vill säga inom 14 dagar från att bolaget mottog
begäran. Den 14 november 2019 skickade bolaget mer utförlig information om
bolagets automatiska beslutsfattande vid köp. Klaganden kontaktade åter bolaget den
13 december 2019 med anledning av att hen inte mottagit bolagets utskick. Bolaget
efterfrågade en ny adress den 7 januari 2020 och har inte erhållit något svar.
Handläggningen har skett genom skriftväxling. Mot bakgrund av att det gäller två
gränsöverskridande klagomål har IMY använt sig av de mekanismer för samarbete
och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda
tillsynsmyndigheter har varit dataskyddsmyndigheterna i Österrike, Tyskland, Tjeckien,
Danmark och Norge.
Motivering av beslut
Tillämpliga bestämmelser
Den personuppgiftsansvariga är skyldig att, till var och en som begär det, lämna
besked om personuppgifter som rör den sökande behandlas eller inte. Behandlas
sådana uppgifter ska den personuppgiftsansvariga, i enlighet med artikel 15 i
dataskyddsförordningen, lämna den sökande kompletterande information samt en
kopia på de personuppgifter som den personuppgiftsansvariga behandlar.
Enligt artikel 12.3 ska en begäran om tillgång hanteras utan onödigt dröjsmål och
under alla omständigheter senast en månad efter att begäran mottagits. Tidsfristen om
en månad får förlängas med ytterligare två månader om begäran är särskilt
komplicerad eller antalet inkomna begäranden är högt.
Om tidsfristen om en månad förlängs, ska den personuppgiftsansvariga underrätta den
registrerade om förlängningen. Underrättandet av förlängningen av tidsfristen ska ske
inom en månad från det att begäran mottogs. Den personuppgiftsansvariga ska också
ange orsakerna till förseningen.
Enligt artikel 12.6 får den personuppgiftsansvariga, om denne har rimliga skäl att
betvivla identiteten hos den fysiska person som lämnar in en begäran enligt artikel 15,
begära att ytterligare information som är nödvändig för att bekräfta den registrerades
identitet tillhandahålls.
Page 2 of 5
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10518 3(5)
Datum: 2021-03-31
IMY:s bedömning
Har det skett en överträdelse av dataskyddsförordningen?
Klagomål 1 (Bilaga 1 från Österrike med nationellt referensnummer: D130.247)
Beträffande det första klagomålet konstaterar IMY att den klagande, i enlighet med
artikel 15 i dataskyddsförordningen, försetts med information och en kopia på de
personuppgifter som behandlas. Rätten till tillgång tillgodosågs dock först efter mer än
fem månader från det att den första begäran lämnats in. Begäran har därmed inte
hanterats utan onödigt dröjsmål och inom den stipulerade tidsfristen i artikel 12.3 och
den klagande har inte heller informerats om förseningen.
Vad bolaget anfört om att de hanterar en stor mängd förfrågningsärenden enligt
dataskyddsförordningen och att följdfrågor besvaras skyndsamt föranleder ingen
annan bedömning gällande förseningen och att det därmed varit fråga om en
överträdelse av artikel 12.3 avseende klagomål 1.
Klagomål 2 (Bilaga 2 från Tyskland med nationellt referensnummer: LDA-1085.1-
13373/19-F)
Beträffande det andra klagomålet konstaterar IMY att den klagande, i enlighet med
artikel 15, försetts med information samt en kopia på de personuppgifter som
behandlas. Uppgifterna lämnades utan onödigt dröjsmål. Efter att den klagande
påpekat att hen inte erhållit utskicket begärde bolaget in alternativa kontaktuppgifter.
IMY anser mot denna bakgrund att bolaget inte har varit skyldigt att vidta några
ytterligare åtgärder med anledning av den begäran.
Val av ingripande
Av artikel 58.2 i och artikel 83.2 framgår att IMY har befogenhet att påföra
administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på
omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras
utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel
förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska
beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid
bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY
enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en
reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande
omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet
samt tidigare överträdelser av relevans.
IMY finner vid en samlad bedömning av omständigheterna att det, avseende klagomål
1, är fråga om en mindre överträdelse i den mening som avses i skäl 148 och att
Klarna Bank AB därför ska ges en reprimand enligt artikel 58.2 b för den konstaterade
överträdelsen.
_________________
Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av
juristen Murat Vrana.
Catharina Fernquist, 2021-03-31 (Det här är en elektronisk signatur)
Page 3 of 5
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10518 4(5)
Datum: 2021-03-31
Kopia till
Dataskyddsombudet, [email protected]
Page 4 of 5
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10518 5(5)
Datum: 2021-03-31
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i
skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska
ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick
del av beslutet. Om överklagandet har kommit in i rätt tid sänder
Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för
prövning.
Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller
några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av
sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.
Page 5 of 5