1(5)
Rebtel Networks AB
Jakobsbergsgatan 16
111 44 Stockholm
Diarienummer:
DI-2020-10561 Beslut efter tillsyn enligt
Datum: dataskyddsförordningen – Rebtel
2021-03-23
Networks AB
Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten konstaterar att Rebtel Networks AB har behandlat
personuppgifter i strid med
artikel 17 dataskyddsförordningen1 genom att inte utan onödigt dröjsmål först
den 9 november 2020 radera de personuppgifter som klaganden begärt
radering av den 18 september 2019.
artikel 12.3 dataskyddsförordningen genom att ha lämnat felaktig information
den 22 september 2019 om att klagandens uppgifter hade raderats med
anledning av klagandens begäran av den 18 september 2019.
Integritetsskyddsmyndigheten ger Rebtel Networks AB en reprimand enligt
artikel 58.2 b dataskyddsförordningen.
Redogörelse för tillsynsärendet
Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande Rebtel Networks AB
(bolaget) med anledning av ett klagomål. Klagomålet har lämnats över till IMY, i
egenskap av ansvarig tillsynsmyndighet enligt artikel 56 dataskyddsförordningen.
Överlämnandet har skett från tillsynsmyndigheten i det land där klaganden har lämnat
in sitt klagomål (Spanien) i enlighet med förordningens bestämmelser om samarbete
vid gränsöverskridande behandling.
I klagomålet görs gällande att den klagande utan framgång har försökt förmå bolaget
att sluta skicka icke-begärda e-postmeddelanden efter att hon tagit bort sitt konto. Hon
har vid fyra tillfällen begärt borttagning och bolaget har varje gång bekräftat att hennes
Postadress: uppgifter har raderats och att hon inte skulle få fler meddelanden, men hon har
Box 8114 därefter varje gång få ett nytt e-postmeddelande där hon ombetts lämna återkoppling
104 20 Stockholm om tjänsten. Hon har även försökt använda länken "avregistrera" som anges i varje e-
Webbplats:
www.imy.se
E-post:
[email protected] 1 EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING (EU) 2016/679 av den 27 april 2016 om skydd för
Telefon: fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om
08-657 61 00 upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10561 2(5)
Datum: 2021-03-23
postmeddelande, men den har inte heller fungerat. Mot denna bakgrund anser hon att
bolaget brutit mot sina skyldigheter enligt artikel 17 dataskyddsförordningen.
Rebtel Networks AB har i huvudsak uppgett följande.
Bolaget mottog en begäran om radering från klaganden den 18 september 2019. I
efterhand kan dock konstateras att den inte hanterats som en begäran om radering
enligt dataskyddsförordningen, även om vissa uppgifter raderades. Detta är
anledningen till att ytterligare e-post i form av påminnelse om en enkät för
kundundersökning har skickats till klaganden. Detta har skett under perioden fram till
och med den 1 oktober 2019, det vill säga inte efter den tidsfrist om en månad som
gäller enligt dataskyddsförordningen för att tillmötesgå en begäran om radering.
Kvarvarande uppgifter raderades den 9 november 2020, förutom sådana som är
nödvändiga för att kunna hantera det aktuella tillsynsärendet. Bolaget informerade
klaganden om detta den 20 november 2020.
Med anledning av detta tillsynsärende har bolaget vidtagit särskilda åtgärder för att
förstärka sina fastslagna processer och rutiner för identifiering av en begäran enligt
dataskyddsförordningen. Detta inkluderar framförallt att ytterligare utbildning av dess
kundtjänstagenter. Bolaget har vidare förbättrat sina s.k. data triggers i sitt
kundtjänstverktyg. Bolagets utredning av den klagandes ärende visade att det inte
hade flaggats som ett ärende enligt dataskyddsförordningen då dataapplikationen inte
uppfattat någon referens till dataskyddsförordningen på spanska.
Handläggningen har skett genom skriftväxling. Mot bakgrund av att det gäller
gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete
och enhetlighet som finns i kapitel VII dataskyddsförordningen. Berörda
tillsynsmyndigheter har varit dataskyddsmyndigheterna i Spanien, Tyskland, Norge,
Italien och Frankrike.
Motivering av beslut
Tillämpliga bestämmelser
Enligt artikel 12.3 dataskyddsförordningen ska den personuppgiftsansvarige på
begäran utan onödigt dröjsmål och under alla omständigheter senast en månad efter
att ha mottagit begäran tillhandahålla den registrerade information om de åtgärder som
vidtagits enligt artikel 17. Denna period får vid behov förlängas med ytterligare två
månader, med beaktande av hur komplicerad begäran är och antalet inkomna
begäranden. Den personuppgiftsansvarige ska underrätta den registrerade om en
sådan förlängning inom en månad från det att begäran mottagits samt ange orsakerna
till förseningen.
Enligt artikel 17.1 a ska den registrerade ha rätt att av den personuppgiftsansvarige
utan onödigt dröjsmål få sina personuppgifter raderade och den
personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera
personuppgifter om personuppgifterna inte längre är nödvändiga för de ändamål för
vilka de samlats in eller på annat sätt behandlats. Enligt artikel 17.3 b ska detta inte
gälla i den utsträckning som behandlingen är nödvändig för att uppfylla en rättslig
förpliktelse som kräver behandling enligt unionsrätten.
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10561 3(5)
Datum: 2021-03-23
Integritetsskyddsmyndighetens bedömning
Har det skett en överträdelse av dataskyddsförordningen?
Bolaget har uppgett att anledningen till att klagandens begäran om radering av den 18
september 2019 hanterats först den 9 november 2020 beror på att bolaget inte
uppfattat den som en begäran om radering.
Enligt IMY:s mening har det dock framgått klart och tydligt av begäran att den
registrerade önskade utöva sin rätt till radering. Eftersom vissa uppgifter raderades
först den 9 november 2020 har Rebtel Networks AB behandlat personuppgifter i strid
med artikel 17 dataskyddsförordningen genom att inte utan onödigt dröjsmål först den
9 november 2020 radera de personuppgifter som klaganden begärt radering av den 18
september 2019. Bolaget har dock haft fog för att behålla de uppgifter som behövs för
att kunna visa att begäran har hanterats i enlighet med dataskyddsförordningen.
Bolaget har anfört att inga ytterligare e-postutskick gjorts sedan den 2 oktober 2019
och att detta är inom den tidsfrist om en månad som följer av artikel 12.3 och 17
dataskyddsförordningen. Bolaget har dock felaktigt i sitt svar till klaganden den 22
september 2019 angett att uppgifterna hade raderats och att klaganden inte skulle få
några fler utskick. Rebtel Networks AB har därigenom i strid med artikel 12.3
dataskyddsförordningen lämnat felaktig information om vilka åtgärder – att uppgifterna
hade raderats – som har vidtagits med anledning av klagandens begäran.
Trots att bolaget, den 22 september 2019, meddelat den klagande att inga fler e-
postutskick om kundnöjdhet skulle ske har den klagande mottagit ytterligare fyra
sådana utskick. De fyra utskicken gjordes den 22 och 25 september samt den 1 och 2
oktober 2019. IMY konstaterar dock att det rör sig om förhållandevis kort tid efter att
begäran om radering framfördes och anser att det ligger inom ramen för den tid som
bolaget haft på sig att vidta åtgärder om begäran hade hanterats på ett korrekt sätt.
Val av ingripande
Av artikel 58.2 i och artikel 83.2 framgår att IMY har befogenhet att påföra
administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på
omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras
utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel
förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska
beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid
bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY
enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en
reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande
omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet
samt tidigare överträdelser av relevans.
Bolaget har uppgett att anledningen till att klagandens begäran om radering inte
hanterades korrekt huvudsakligen berott på ett misstag i bolagets kundtjänst och
kundtjänstverktyg. Med anledning av det inträffande har bolaget angett att det vidtagit
särskilda organisatoriska och tekniska åtgärder för att förstärka sina fastslagna
processer och rutiner för identifiering av en begäran enligt dataskyddsförordningen.
IMY finner vid en samlad bedömning av omständigheterna att det är fråga om mindre
överträdelser i den mening som avses i skäl 148 och att Rebtel Networks AB därför
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10561 4(5)
Datum: 2021-03-23
ska ges en reprimand enligt artikel 58.2 b dataskyddsförordningen för de konstaterade
överträdelserna.
Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av
juristen Olle Pettersson.
Catharina Fernquist, 2021-03-23 (Det här är en elektronisk signatur)
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10561 5(5)
Datum: 2021-03-23
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i
skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska
ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick
del av beslutet. Om överklagandet har kommit in i rätt tid sänder
Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för
prövning.
Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller
några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av
sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.