1(3)
MAG Interactive AB
Org.nr: 556804-3524
Drottninggatan 95A
113 60 Stockholm
Diarienummer:
DI-2020-10538 Beslut efter tillsyn enligt
Datum: dataskyddsförordningen - MAG
2021-01-22
Interactive AB
Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten konstaterar att MAG Interactive AB har behandlat
personuppgifter i strid med artikel 12.3 dataskyddsförordningen1 genom att inte utan
onödigt dröjsmål informerat klaganden om resultatet av klagandens begäran om
radering enligt artikel 17 av den 29 maj 2019 först den 6 november 2020.
Ärendet avslutas utan åtgärd.
Redogörelse för tillsynsärendet
Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande MAG Interactive AB
(bolaget) med anledning av ett klagomål. Klagomålet har lämnats över till IMY, i
egenskap av ansvarig tillsynsmyndighet för bolagets verksamhet enligt artikel 56
dataskyddsförordningen, från tillsynsmyndigheten i det land där klaganden har lämnat
in sitt klagomål i enlighet med förordningens bestämmelser om samarbete i
gränsöverskridande ärenden.
I klagomålet görs gällande att bolaget inte har hanterat klagandens begäran om
radering av klagandens personuppgifter enligt artikel 17 dataskyddsförordningen.
MAG Interactive AB har i huvudsak uppgett följande. Bolaget mottog först en begäran
om radering av klagandens konto på bolagets tjänster den 29 november 2018 (den
första begäran). Eftersom begäran kom från en annan e-postadress än den som
kopplats till kontot begärde bolaget att klaganden skulle återkomma med bevisning till
styrkande av sin identitet, vilket klaganden inte gjorde. Den 29 maj 2019 inkom en ny
begäran om radering av klagandens konto, men då per post och med erforderlig
bevisning till styrkande av klagandens identitet (den andra begäran). Bolaget raderade
Postadress: klagandens uppgifter manuellt den 15 juni 2019 i enlighet med begäran, förutom de
Box 8114 uppgifter som behövs för att visa att begäran har hanterats. På grund av förbiseende
104 20 Stockholm meddelades klaganden dock inte om resultatet av begäran i anslutningen till att
Webbplats:
www.imy.se
E-post:
[email protected] 1 EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING (EU) 2016/679 av den 27 april 2016 om skydd för
Telefon: fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om
08-657 61 00 upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10538 2(3)
Datum: 2021-01-22
begäran åtgärdades. Det skedde istället först i anslutning till genomgång inför svar i
detta tillsynsärende, det vill säga den 6 november 2020.
Handläggningen har skett genom skriftväxling. Mot bakgrund av att det gäller ett
gränsöverskridande klagomål har IMY använt sig av de mekanismer för samarbete
och enhetlighet som finns i kapitel VII dataskyddsförordningen. Berörda
tillsynsmyndigheter har varit dataskyddsmyndigheterna i Norge, Irland, Frankrike,
Österrike, Danmark, Polen och Tyskland.
Motivering av beslut
Tillämpliga bestämmelser
Enligt artikel 12.3 dataskyddsförordningen ska den personuppgiftsansvarige på
begäran utan onödigt dröjsmål och under alla omständigheter senast en månad efter
att ha mottagit begäran tillhandahålla den registrerade information om de åtgärder som
vidtagits enligt artikel 17. Denna period får vid behov förlängas med ytterligare två
månader, med beaktande av hur komplicerad begäran är och antalet inkomna
begäranden. Den personuppgiftsansvarige ska underrätta den registrerade om en
sådan förlängning inom en månad från det att begäran mottagits samt ange orsakerna
till förseningen.
Enligt artikel 12.6 får den personuppgiftsansvarige, om denne har rimliga skäl att
betvivla identiteten hos den fysiska person som lämnar in en begäran enligt artikel 17,
begära att ytterligare information som är nödvändig för att bekräfta den registrerades
identitet tillhandahålls.
Enligt artikel 17.1 a ska den registrerade ha rätt att av den personuppgiftsansvarige
utan onödigt dröjsmål få sina personuppgifter raderade och den
personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera
personuppgifter om personuppgifterna inte längre är nödvändiga för de ändamål för
vilka de samlats in eller på annat sätt behandlats. Enligt artikel 17.3 b ska detta inte
gälla i den utsträckning som behandlingen är nödvändig för att uppfylla en rättslig
förpliktelse som kräver behandling enligt unionsrätten.
Enligt artikel 57.1 f ska varje tillsynsmyndighet på sitt territorium ansvara för att
behandla klagomål från en registrerad och där så är lämpligt undersöka den sakfråga
som klagomålet gäller.
Integritetsskyddsmyndighetens bedömning
Beträffande den första begäran konstaterar IMY att MAG Interactive AB hade rimliga
skäl att betvivla klagandens identitet och således fog för att begära att klaganden
inkom med ytterligare bevisning, vilket klaganden inte gjorde. IMY anser mot denna
bakgrund att bolaget inte har varit skyldig att vidta några ytterligare åtgärder med
anledning av den begäran.
Beträffande den andra begäran konstaterar IMY att bolaget raderat klagandens
uppgifter, förutom de uppgifter som krävs för att visa att begäran har hanterats, inom
16 dagar från att bolaget mottog begäran den 29 maj 2019. IMY anser att bolaget har
raderat klagandens uppgifter utan onödigt dröjsmål i den mening som avses i artikel
17 dataskyddsförordningen. Vidare har bolaget haft fog för att behålla de uppgifter
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10538 3(3)
Datum: 2021-01-22
som behövs för att kunna visa att begäran har hanterats i enlighet med
dataskyddsförordningen.
Däremot informerade bolaget klaganden om resultatet av den andra begäran först den
6 november 2020. Eftersom den personuppgiftsansvarige enligt artikel 12.3 utan
onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit
begäran, med ett här inte aktuellt undantag, ska informera den registrerade om de
åtgärder som vidtagits enligt artikel 17 har MAG Interactive AB överträtt artikel 12.3
dataskyddsförordningen.
Bolaget har uppgett att anledningen till att klaganden inte informerades om resultatet
av begäran var på grund av ett förbiseende. Enligt bolaget föranleddes detta främst av
att begäran hanterades manuellt eftersom den inkom per post och att bolaget normalt
hanterar begäranden i ett system där notifikationer om vidtagna åtgärder skickas
automatiskt. Med anledning av det inträffande har bolaget angett att det kommer att se
över sina rutiner så att det inträffade inte upprepas. Bolaget kommer bland annat sätta
upp en separat logg för manuella ärenden för att säkerställa att alla steg följs, inklusive
att användaren notifieras på det sätt som den har begärt.
IMY konstaterar att det naturligtvis är viktigt att den personuppgiftsansvarige meddelar
den registrerade om vilka åtgärder som har vidtagits med anledning av dennes
begäran, även i de fall då begäran tillmötesgås fullt ut i den mån som kan krävas.
Mot bakgrund av de omständigheter gällande överträdelsen som bolaget har lyft fram
– och de åtgärder som bolaget angett att det vidtagit och kommer att vidta – anser
dock IMY att sakfrågan i klagomålet är utredd i den omfattning som är lämpligt enligt
artikel 57.1 f dataskyddsförordningen.
Mot denna bakgrund avslutas ärendet utan åtgärd.
Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av
juristen Olle Pettersson.
Catharina Fernquist, 2021-01-22 (Det här är en elektronisk signatur)