1(12)
MAG Interactive AB
Diarienummer:
IMY-2022-9109 Beslut efter tillsyn enligt artikel 60 i
Datum: dataskyddsförordningen – MAG
2023-05-22
Interactive AB
Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten konstaterar att MAG Interactive AB (556804-3524) vid
hantering av begäran om radering som klaganden gjorde den 31 januari 2021 har
behandlat personuppgifter i strid med:
- artikel 12.6 i dataskyddsförordningen1 genom att begära uppgifter i form av
användarnamn på tre vänner samt tre motståndare i spelet QuizDuel när detta
inte varit nödvändigt för att bekräfta den klagandens identitet samt
- artikel 12.2 i dataskyddsförordningen genom att, efter att klaganden begärt
radering per mejl, även kräva att klaganden ska logga in på spelet för att
skicka sin begäran inifrån spelet vilket inte har underlättat klagandens
utövande av sin rätt till radering.
Integritetsskyddsmyndigheten ger MAG Interactive AB en reprimand enligt artikel 58.2
b dataskyddsförordningen för den konstaterade överträdelsen.
Redogörelse för tillsynsärendet
Handläggning
Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande MAG Interactive AB
(bolaget) med anledning av ett klagomål, i huvudsak för att utreda om bolaget har tagit
emot och hanterat klagandens begäran om radering på ett korrekt sätt bl.a. om
bolaget haft rimliga skäl att betvivla identiteten hos klaganden och i sådana fall om de
uppgifter som begärts av klaganden har varit nödvändiga för att bekräfta klagandens
identitet samt om bolaget har underlättat utövandet av klagandens rättigheter i
tillräcklig utsträckning (artiklarna 11, 12 och 17 i dataskyddsförordningen).
Postadress:
Box 8114 Klagomålen har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet enligt
104 20 Stockholm artikel 56 i dataskyddsförordningen. Överlämningen har skett från tillsynsmyndigheten
Webbplats:
www.imy.se
E-post:
[email protected] 1 EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING (EU) 2016/679 av den 27 april 2016 om skydd för
Telefon: fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om
08-657 61 00 upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-9109 2(12)
Datum: 2023-05-22
i det land där klaganden har lämnat in sitt klagomål (Frankrike) i enlighet med
förordningens bestämmelser om samarbete vid gränsöverskridande behandling.
Handläggningen vid IMY har skett genom skriftväxling. Mot bakgrund av att det gäller
gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete
och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda
tillsynsmyndigheter har varit dataskyddsmyndigheterna i Danmark, Frankrike, Irland,
Norge, Polen, Tyskland och Österrike.
Klagomålet
I klagomålet anförs i huvudsak följande.
Den 31 januari 2021 har klaganden begärt radering av sina personuppgifter i spelet
QuizDuel, ett spel som klaganden använt via sitt Facebook-konto. Bolaget har då
begärt ytterligare uppgifter av klaganden i identifieringssyfte trots att klaganden i sin
begäran om radering uppgett sitt Facebook-ID och sina mejldresser. Till klagomålet
har klaganden bifogat mejlkorrespondens mellan klaganden och bolaget av vilken
följande bl.a. framgår. Den 28 februari 2021 svarade bolaget klaganden att de inte har
möjlighet att med hjälp av klagandens Facebook-ID lokalisera klagandens konto och
att klaganden behöver öppna något av MAG Interactive-spelen för att göra en
begäran. Klaganden har på detta svarat att hen inte längre har ett MAG Interactive-
konto. Den 11 mars 2021 har bolaget bl.a. begärt följande information av klaganden i
syfte att återställa klagandens konto och på så vis möjliggöra för klaganden att begära
radering av sina personuppgifter: användarnamn, namn på tre vänner, namn på tre
motståndare och en mejladress till vilken hen vill koppla kontot.
Vad bolaget har uppgett
Bolaget har i yttranden från den 4 och 7 november 2022 i huvudsak uppgett följande.
Beskrivning av händelseförloppet kring hanteringen av klagandens begäran om
radering
Den 31 januari 2021 kontaktade klaganden en av bolagets supportmejladresser och
uppgav ett Facebook-ID och tre mejladresser och begärde att bli raderad. Vid denna
tidpunkt, givet den information supporten fick, fick bolaget inga träffar vid en direkt
slagning i bolagets system, varken på Facebook-ID eller på någon av de angivna
mejladresserna. Bolagets support svarade den 1 februari 2021 med instruktioner för
hur klaganden kan begära radering från spelet. Klaganden hörde av sig igen den 8
februari 2021 och sade att hen inte har spelet kvar men vill få bort sina uppgifter. Den
9 februari svarade bolagets support att det enklaste sättet är att ladda ner spelet igen
och begära radering inifrån spelet. Den 12 februari 2021 svarade klaganden och
meddelade att hen istället ville veta vilken information bolaget har om hen. Från denna
tidpunkt hanterades ärendet av bolaget som en begäran om tillgång.
Den 13 februari 2021 svarade bolagets support att klaganden kan begära tillgång från
spelet. Klaganden hörde av sig igen den 20 februari 2021 och hade problem att
använda sitt Facebook-konto. Klaganden frågade igen om bolaget kan hitta hens
konto med hens Facebook-ID. Den 23 februari 2021 svarade supporten att de inte
hittar något konto med det Facebook-ID klaganden angivit men att hen borde kunna
starta vilket som helst av bolagets spel och begära personuppgifterna inifrån ett spel.
Den 27 februari 2021 frågade klaganden om bolaget verkligen provat söka på hens
Facebook-Id. Supporten svarade igen den 28 februari 2021 att de inte hittar hens
konto på det Facebook-ID hen angett men att hen borde kunna starta vilket som helst
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-9109 3(12)
Datum: 2023-05-22
av deras spel och begära tillgång inifrån spelet. Den 4 mars 2021 svarade klaganden
att hen spelat “QuizDuel” på Facebook och inte har ett konto hos MAG Interactive.
Hen kan därför inte begära tillgång därifrån. Detta var antagligen ett missförstånd då
spelet aldrig funnits på Facebook men hen kan ha loggat in via en Facebook-knapp
ursprungligen vilket var möjligt för flera år sedan. Det var första gången klaganden
nämnde vilket spel det gällde vilket gjorde det mycket lättare att leta efter hens
uppgifter.
Den 11 mars 2021 svarade supporten att de inte hittar klagandens konto via hens
Facebook-ID men att de ska försöka hjälpa hen komma in på sitt konto så att hen kan
begära tillgång eller radera sitt konto. Supporten hade då troligtvis lyckats lokalisera ett
konto kopplat till en av klagandens angivna mejladresser med hjälp av informationen
om spelet. Supporten skickade då med de standardfrågor bolaget ställer när de ska
hjälpa användare att komma in på sitt konto om de har glömt sina användaruppgifter.
Klaganden svarade aldrig på det mejlet och när tillräckligt lång tid gått stängde bolaget
ärendet.
Den 30 oktober 2022, efter att bolagets CTO fått ärendet, lokaliserade CTO ett konto
som kunde ha koppling till klaganden och mejlade klaganden för att få bekräftelse på
att kontot ska raderas. Den 6 november 2022 svarade klaganden och bekräftade att
hen äger kontot och att kontot ska raderas. Den 7 november 2022 raderades
klagandens konto och klaganden informerades om det.
Bolagets behandling av klagandens personuppgifter vid tidpunkten för klagandens
begäran
Vid tidpunkten för klagandens begäran om radering behandlade bolaget en mejladress
som är knuten till klaganden samt troligtvis advertisingId/vendorId från hens telefon,
klagandens användarnamn och lösenord. I övrigt behandlade bolaget inga andra av
klagandens personuppgifter eftersom eventuell chatthistorik och ip-nummer är
raderade sedan länge på grund av bolagets retention-policy.
Varför bolaget uppger sig ha haft rimliga skäl att betvivla identiteten hos klaganden
Klaganden angav i sin begäran om radering ett Facebook-ID och tre mejladresser och
skrev att hen använt en av bolagets appar på Facebook.
Bolagets spel spelas på inte på Facebook utan på mobiltelefon och hen angav inte
heller någon kringliggande information som t.ex. användarnamn, vilket spel det gällde
eller ens att det var ett spel. Spelet som klaganden, enligt senare uppgift, hade spelat
är så gammalt att man inte heller fick några träffar på de andra mejladresserna.
Eftersom spelet som klagandens användarkonto är knutet till sedan länge dessutom är
stängt gör det svårt att hitta enbart med mejladress. Mejladresser är publika och ett
angivande av en mejladress är därför inget bevis på ägandeskap. Mejladressen som
begäran kom ifrån var inte heller kopplad till något konto hos bolaget och inte heller
det Facebook-ID som angavs. Vad avser de övriga två mejladresserna fanns inget
bevis på att det är klagandens mejladresser.
Facebook-ID klaganden angav är inte registrerat hos bolaget. Facebook har sedan
många år slutat använda globala användarnummer av integritetsskäl. I tjänsten som
bolaget stängt av för många år sedan där man kunde logga in via sitt Facebook-konto
ser bolaget inte samma nummer som klaganden anger. Kundnumret bolaget fick från
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-9109 4(12)
Datum: 2023-05-22
Facebook är enbart kopplat till bolaget och går inte för bolaget att knyta till en persons
Facebook-konto.
Givet kunskapen om vilket spel det rörde sig om som bolaget fick så småningom, hade
det gått att hitta kontot som den ena mejladressen var kopplad till. Bolaget hade då
kunnat skicka ett mejl till den mejladressen i syfte att bekräfta klagandens identitet. Det
hade dock inte spelat någon roll i detta fall då ärendet den 13 februari 2021 ändrades
till en begäran om tillgång.
Hur klaganden skulle gå tillväga för att begära radering och senare tillgång
Supporten föreslog initialt att klaganden skulle begära radering direkt från spelet
eftersom det är det enklaste och säkraste sättet. Det normala är att användarna har
spelet kvar på telefonen. Dessutom hjälper bolagets spel vid en ominstallation
användaren att komma tillbaka till rätt konto. När supporten har svårt att hitta ett konto
med användarens uppgifter är det därför rimligt att de föreslår en ominstallation för att
komma till rätt konto. Supporten kan även radera information direkt om ägande till
informationen kan styrkas. I det aktuella fallet övergick ärendet till en begäran om
tillgång och då vill bolaget normalt att användaren ska vara inloggad på sitt konto.
Bolaget har uppgett att precis som för begäran av radering krävs det bevis på
ägandeskap till kontot för att begära tillgång, detta av integritetsskäl samt i enlighet
med dataskyddsförordningen. Då användaruppgifter kan innehålla chattloggar är
hanteringen av begäran om tillgång lite mer strikt än vid hantering av en begäran om
radering av användaruppgifter. Bolaget kräver därför att begäran ska ske inifrån
spelarens konto.
Uppgifter som har efterfrågats i syfte att bekräfta identiteten
Spelet som klaganden hade spelat var ett spel med användarkonton. I spel med
användarkonton finns ofta chattar för att spelare ska kunna prata med varandra. Av
integritetsskäl är det av vikt att vem som helst inte kan läsa någon annans chattar.
Kontona är därför lösenordskyddade. Användarna kan ange en mejladress för
lösenordsåterställning men alla användare gör inte det eller så har de bytt mejladress.
En fråga alla onlinetjänster brottas med är hur man hanterar de fall där användare
glömt inloggningsuppgifterna och det inte går att återställa kontot via mejl. En del
använder säkerhetsfrågor, där användarna får fylla i namnet på sitt första husdjur eller
liknande. I bolagets fall är det lite mer komplicerat då bolaget dels inte vill be
användarna om mer information än absolut nödvändigt, dels har spelet som det
aktuella fallet handlade om en användarbas uppbyggd sedan 2012 med 100 miljoner
användare som inte matat in någon sådan information. När användare har glömt
inloggningsuppgifterna och kontot inte går att återställa via mejl löser bolaget det
genom att spelen använder sig av information på telefonen och operativsystemet för
att hjälpa användarna tillbaka till kontot vilket är anledningen till att supporten ibland
ber användarna att installera spelet vilket också framgår att supporten gjort i detta fall.
När det inte fungerar eller som i detta fall när användaren inte vill ber supporten som
en sista utväg om information som spelaren borde känna till och som borde vara lätt
för en användare att komma ihåg men som är svår för andra att känna till. Denna
information begärs för att bolaget ska kunna säkerställa att det är kontoinnehavaren
som de ger åtkomst till kontot åt. De uppgifter som supporten i sådana fall efterfrågar
är följande:
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-9109 5(12)
Datum: 2023-05-22
- Den registrerades användarnamn.
En uppgift som antas vara enkel för de flesta att svara på. Det är dock också
en uppgift som är relativt lätt för andra att ta reda på.
- Användarnamn på tre av den registrerades vänner i spelet.
De flesta som spelar detta spel har några vänner de spelat i åratal med. Den
uppgiften bör också vara lätt att svara på.
- Användarnamn på tre av den registrerades motståndare i spelet.
Denna uppgift är ofta lite svårare att tillhandahålla men för användare som
mest spelar mot slumpvisa spelare och inte lägger till vänner är det en
nödvändig uppgift.
Supporten frågade också efter vilken mejladress användaren ville koppla kontot till.
Detta för att klaganden ska kunna logga in och begära sina användaruppgifter inifrån
spelet.
Uppgifterna ska normalt tillhandahållas per mejl i den pågående supportdialogen. Det
är inte ett krav att man har rätt på alla frågor utan det görs en bedömning baserat på
hur rätt/fel svaret är. Bolaget frågar inte heller om personligt identifierbar information
utan enbart om användarnamn som normalt är anonyma/pseudonyma och som redan
finns i bolagets register. Den enda uppgiften som är personligt identifierbar information
är den mejladress användaren vill koppla till kontot. Om användaren kan svara så bra
att bolaget bedömer att användaren faktiskt äger kontot, sätter supporten
mejladressen för återställning. Användaren kan då sätta ett nytt lösenord och logga in.
Bolaget arbetar kontinuerligt på att förbättra sina supportverktyg och kommer inom kort
släppa en ny version där just detta scenario kan hanteras och som ska göra det lättare
för supporten att hitta användare även med mycket begränsad information. Supporten
har instruktioner att ta bort användarens konto direkt om mejladressen på kontot
överensstämmer med användarens mejladress och i annat fall hjälpa användaren ta
bort kontot via spelet. I detta fall kan man tänka sig en tredje lösning, att bolaget mejlar
ut en länk till det kopplade kontot och att användaren bekräftar borttagning via länken
för att verifiera sin identitet. En sådan möjlighet avser bolaget lägga till.
Klagandens konto har raderats
Klagandens begäran om radering är numera tillgodosedd. Bolaget har mejlat
klaganden den 30 oktober 2022 både på den mejladress hen använt i supportärendet
och den mejladress de fick träff på vid sökning. Bolagets CTO har bett klaganden att
svara från den mejladressen. Svar inkom från klaganden den 6 november 2022 med
en bekräftelse om att klaganden äger kontot. Bolagets CTO har därefter raderat
klagandens konto och informerat klaganden om detta.
Motivering av beslutet
Tillämpliga bestämmelser m.m.
Enligt artikel 17.1 ska den registrerade ha rätt att av den personuppgiftsansvarige utan
onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige
ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om någon av de
förutsättningar som räknas upp i artikeln föreligger, till exempel om uppgifterna inte
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-9109 6(12)
Datum: 2023-05-22
längre är nödvändiga för de ändamål för vilka de har samlats in eller om samtycke för
behandling återkallas.
I artikel 11.1 anges att om de ändamål för vilka den personuppgiftsansvarige
behandlar personuppgifter inte kräver eller inte längre kräver att den registrerade
identifieras av den personuppgiftsansvarige, ska den personuppgiftsansvarige inte
vara tvungen att bevara, förvärva eller behandla ytterligare information för att
identifiera den registrerade endast i syfte att följa denna förordning.
Enligt artikel 11.2 gäller att om den personuppgiftsansvarige, i de fall som avses i
punkt 1 i denna artikel, kan visa att denne inte är i stånd att identifiera den
registrerade, ska den personuppgiftsansvarige om möjligt informera den registrerade
om detta. I sådana fall ska artiklarna 15–20 inte gälla, förutom när den registrerade för
utövande av sina rättigheter i enlighet med dessa artiklar tillhandahåller ytterligare
information som gör identifieringen möjlig.
I artikel 12.6 anges att utan att det påverkar tillämpningen av artikel 11 får den
personuppgiftsansvarige, om denne har rimliga skäl att betvivla identiteten hos den
fysiska person som lämnar in en begäran enligt artiklarna 15–21, begära att ytterligare
information som är nödvändig för att bekräfta den registrerades identitet tillhandahålls.
Enligt artikel 12.2 ska den personuppgiftsansvarige underlätta utövandet av den
registrerades rättigheter i enlighet med artiklarna 15–22. I de fall som avses i artikel
11.2 får den personuppgiftsansvarige inte vägra att tillmötesgå den registrerades
begäran om att utöva sina rättigheter enligt artiklarna 15–22, om inte den
personuppgiftsansvarige visar att han eller hon inte är i stånd att identifiera den
registrerade.
I Europeiska dataskyddsstyrelsens (EDPB) Riktlinjer 01/2022 om tillgång2 anges bland
annat följande.
53. Europeiska dataskyddsstyrelsen uppmanar de personuppgiftsansvariga att
tillhandahålla de lämpligaste och mest användarvänliga kommunikationskanalerna,
i enlighet med artiklarna 12.2 och 25 i dataskyddsförordningen, så att den
registrerade kan göra en effektiv begäran. Om den registrerade gör en begäran
med hjälp av en kommunikationskanal som tillhandahålls av den
personuppgiftsansvarige, som skiljer sig från den som anges som den som
föredras, ska en sådan begäran i allmänhet anses vara effektiv och den
personuppgiftsansvarige bör behandla en sådan begäran i enlighet med detta (se
exemplen nedan). De personuppgiftsansvariga bör vidta alla rimliga åtgärder för att
se till att utövandet av de registrerades rättigheter underlättas (om den registrerade
till exempel skickar en begäran till en anställd som är ledig kan ett automatiskt
meddelande om en alternativ kommunikationskanal för begäran till den
registrerade vara en rimlig ansträngning).3
2 EPPB, Guidelines 01/2022 on data subject rigts – Right of access, Version 2.0 (EDPB:s Riktlinjer 01/2022 om rätten
till tillgång), slutligt antagna den 28 mars 2023.
3 IMY:s översättning, original: The EDPB encourages controllers to provide the most appropriate and user-friendly
communication channels, in line with Art. 12(2) and Art. 25 GDPR, to enable the data subject to make an effective
request. Nevertheless, if a data subject makes a request using a communication channel provided by
the controller28, which is different from the one indicated as the preferable one, such request shall be,
in general, considered effective and the controller should handle such a request accordingly (see the
examples below). The controllers should undertake all reasonable efforts to make sure that the
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-9109 7(12)
Datum: 2023-05-22
[…]
67. I de fall den personuppgiftsansvarige begär eller av den registrerade får
ytterligare information som är nödvändig för att bekräfta den registrerades identitet
ska den personuppgiftsansvarige varje gång bedöma vilken information som
kommer att göra det möjligt för den att bekräfta den registrerades identitet och
eventuellt ställa ytterligare frågor till den begärande personen eller begära att den
registrerade lägger fram ytterligare identifieringsuppgifter, om det är proportionerligt
(se avsnitt 3.3). 4
68. För att låta den registrerade lämna den ytterligare information som krävs för att
identifiera hans eller hennes personuppgifter, ska den personuppgiftsansvarige
informera den registrerade om vilken typ av ytterligare information som krävs för att
möjliggöra identifiering. Sådan ytterligare information bör inte vara mer än den
information som ursprungligen behövdes för autentiseringen av den registrerade. I
allmänhet kan det faktum att den personuppgiftsansvarige kan begära ytterligare
information för att bedöma den registrerades identitet inte leda till alltför stora krav
och till insamling av personuppgifter som inte är relevanta eller nödvändiga för att
stärka kopplingen mellan den enskilde och de personuppgifter som begärs.5
[…]
70. Om den personuppgiftsansvarige har rimliga skäl att tvivla på den begärande
personens identitet får den, såsom anges ovan, begära ytterligare information för
att bekräfta den registrerades identitet. Den personuppgiftsansvarige måste dock
samtidigt se till att den inte samlar in fler personuppgifter än vad som är nödvändigt
för att möjliggöra autentisering av den begärande personen. Därför ska den
personuppgiftsansvarige göra en proportionalitetsbedömning, som måste ta
hänsyn till den typ av personuppgifter som behandlas (t.ex. särskilda kategorier av
uppgifter eller inte), begärans art, det sammanhang i vilket begäran görs samt
eventuell skada som kan uppstå till följd av otillbörligt utlämnande. Vid
bedömningen av proportionaliteten bör man komma ihåg att undvika överdriven
uppgiftsinsamling samtidigt som en lämplig nivå av säkerhet vid behandling
säkerställs.6
exercise of data subject rights is facilitated (for example, when a data subject sends an access request
to an employee who is on leave, an automatic message informing the data subject about an alternative
communication channel for this request could be a reasonable effort).
4 IMY:s översättning, original: In cases where the controller requests or is provided by the data subject with additional
information necessary to confirm the identity of the data subject, the controller shall, each time, assess what
information will allow it to confirm the data subject’s identity and possibly ask additional questions to the requesting
person or request the data subject to present some additional identification elements, if it is proportionate (see section
3.3).
5 IMY:s översättning, original: In order to allow the data subject to provide the additional information required to
identify his or her data, the controller should inform the data subject of the nature of the additional information
required to allow identification. Such additional information should not be more than the information initially
needed for the authentication of the data subject. In general, the fact that the controller may request
additional information to assess the data subject’s identity cannot lead to excessive demands and to
the collection of personal data which are not relevant or necessary to strengthen the link between the
individual and the personal data requested.
6 IMY:s översättning, original: As indicated above, if the controller has reasonable grounds for doubting the identity of
the requesting person, it may request additional information to confirm the data subject’s identity. However, the
controller must at the same time ensure that it does not collect more personal data than is necessary to enable
authentication of the requesting person. Therefore, the controller shall carry out a proportionality assessment, which
must take into account the type of personal data being processed (e.g. special categories of data or not), the nature of
the request, the context within which the request is being made, as well as any damage that could result from
improper disclosure. When assessing proportionality, it should be remembered to avoid excessive data collection
while ensuring an adequate level of processing security.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-9109 8(12)
Datum: 2023-05-22
[…]
138. Användningen av självbetjäningsverktyg bör aldrig begränsa omfattningen av
mottagna personuppgifter. Om det inte är möjligt att lämna all information enligt
artikel 15 genom självbetjäningsverktyget måste den återstående informationen
tillhandahållas på ett annat sätt. Den personuppgiftsansvarige kan uppmuntra den
registrerade att använda ett självbetjäningsverktyg som den
personuppgiftsansvarige har inrättat för att hantera begäranden om tillgång. Det
bör dock noteras att den personuppgiftsansvarige också måste hantera
begäranden om tillgång som inte skickas via den etablerade
kommunikationskanalen.7
Integritetsskyddsmyndighetens bedömning
IMY har med utgångspunkt i det aktuella klagomålet i ärendet granskat bolagets
agerande i detta enskilda fall.
Har bolaget varit i stånd att identifiera den klagande?
Bolaget har uppgett att utifrån informationen i klagandens begäran om radering den 31
januari 2021 var bolaget inte i stånd att identifiera den registrerade. Informationen som
tillhandahölls av klaganden i begäran gav, enligt bolagets uppgifter, inga träffar vid en
direkt slagning i bolagets system, varken på det Facebook-ID eller på någon av de
mejladresser klaganden angett. Av bolagets yttrande framgår vidare att när bolaget
den 4 mars 2021 fick information om vilket spel klagandens begäran avsåg kunde de
hitta ett konto som en av klagandens uppgivna mejladresser var kopplat till. Mot
bakgrund av detta konstaterar IMY att bolaget i vart fall den 4 mars 2021 kunde koppla
klagandens begäran till ett användarkonto och identifiering av klaganden var därmed
möjlig. IMY bedömer därmed att klaganden i enlighet med vad som föreskrivs i artikel
11.2 i dataskyddsförordningen tillhandahållit sådan ytterligare information som gör
identifieringen möjlig. Bolaget har därmed inte visat att det inte var i stånd att
identifiera den registrerade, och kunde därför inte heller vägra att tillmötesgå den
registrerades begäran om att utöva sina rättigheter med stöd av artikel 12.2 i
dataskyddsförordningen.
Har bolaget agerat i enlighet med 12.6 i dataskyddsförordningen när bolaget
begärt in aktuella uppgifter av klaganden?
Har bolaget haft rimliga skäl att betvivla identiteten hos klaganden
Det är endast när den personuppgiftsansvarige har rimliga skäl att betvivla identiteten
hos den som gjort begäran som ytterligare information för att bekräfta identiteten får
begäras. Vad som utgör ”rimliga skäl” i artikel 12.6 i dataskyddsförordningen bör
bedömas utifrån omständigheterna i det enskilda fallet. Bedömningen av om det finns
rimliga skäl att i ett enskilt fall betvivla identiteten hos den som gör begäran görs
normalt mot bakgrund av den information som lämnas i samband med begäran. Det
gäller särskilt i situationer där den personuppgiftsansvarige saknar närmare kännedom
om denna person. Att det krävs en individuell bedömning utesluter dock inte att det
7 IMY:s översättning, original: The use of self-service tools should never limit the scope of personal data received. If
not possible to give all the information under Art. 15 through the self-service tool, the remaining information needs
to be provided in a different manner. The controller may indeed encourage the data subject to use a
self-service tool that the controller has set in place for handling access requests. However, it should be
noted that the controller must also handle access requests that are not sent through the established
channel of communication.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-9109 9(12)
Datum: 2023-05-22
fastställs rutiner för hur den personuppgiftsansvarige normalt sätt verifierar den
registrerades identitet.
Av bilagan till klagomålet framgår det att klaganden uppgett följande uppgifter när hen
begärt radering den 31 januari 2021: Facebook-ID och tre mejladresser samt en
mejladress från vilket mejlet med begäran skickades.
Bolaget har uppgett att vid tidpunkten för klagandens begäran om radering
behandlade de en mejladress som är knuten till klaganden samt förmodligen även
advertisingId/vendorId från klagandens telefon, klagandens användarnamn och
lösenord.
Bolaget har getts tillfälle att motivera vilken individuell bedömning gjorts utifrån
klagandens situation om de ansett att de haft rimliga skäl att betvivla klagandens
identitet när hen framfört sin begäran. Bolaget har i huvudsak uppgett följande.
Bolagets spel spelas inte på Facebook utan på mobiltelefon varför Facebook-ID inte
bidrog till verifiering av klagandens identitet. Mejladresser är publika och ett angivande
av ett sådant är inget bevis på ägandeskap. Mejladressen som begäran kom från var
inte heller kopplad till något konto hos bolaget och inte heller det Facebook-ID som
angavs. Klaganden uppgav inte någon kringliggande information som t.ex.
användarnamn, vilket spel det gäller eller ens att det rör sig om ett spel. Spelet som
klaganden, enligt senare uppgift, hade spelat var så gammalt att bolaget inte heller fick
några träffar på de andra mejladresserna som angetts i begäran. Med hjälp av
informationen bolaget fick den 4 mars 2021 av klaganden om vilket spel det rört sig om
hittade bolaget ett användarkonto kopplat till en av klagandens angivna mejladresser.
Mot bakgrund av vad bolaget anfört och de uppgifter klaganden lämnat i sin begäran
om radering konstaterar IMY att bolaget haft rimliga skäl att betvivla identiteten hos
klaganden. I bedömningen väger IMY även in det faktum att skyldigheten att
säkerställa identiteten på den som gör en begäran även har till syfte att skydda
registrerade mot att någon annan felaktigt gör begäranden i deras namn, vilket kan
leda till negativa konsekvenser för den registrerade.
Har de uppgifter bolaget efterfrågat av klaganden varit nödvändiga för att bekräfta
hens identitet?
Även om den personuppgiftsansvarige har rimliga skäl att betvivla identiteten hos den
registrerade ska den personuppgiftsansvarige inte samla in fler personuppgifter än vad
som är nödvändigt för att möjliggöra identifiering av den begärande registrerade. Den
personuppgiftsansvarige ska genomföra en proportionalitetsbedömning och kunna
motivera den verifieringsmetod som används.
Bolaget har uppgett att begäran ändrades till en begäran om tillgång den 4 mars 2021
och bolaget krävde då att begäran ska ske inifrån spelarens konto. Då
användaruppgifter kan innehålla chattloggar är hanteringen av begäran om tillgång lite
mer strikt än vid hantering av en begäran om radering av användaruppgifter har
bolaget uppgett. Avseende nödvändigheten av den information de begärt av den
klagande för att bekräfta dennes identitet har bolaget uppgett i huvudsak följande.
Användarnamn efterfrågas då uppgiften antas vara enkel för de flesta att svara på. Det
är dock en uppgift som är relativt lätt för andra att ta reda på. Användarnamn på tre
vänner i spelet efterfrågas då de flesta som spelar detta spel har några vänner de
spelat i åratal med. Den uppgiften bör därför vara lätt att svara på. Användarnamn på
tre motståndare i spelet är svårare att tillhandahålla men för personer som mest spelar
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-9109 10(12)
Datum: 2023-05-22
mot slumpvisa spelare och inte lägger till vänner är det en nödvändig uppgift att
begära in. Det är inte är ett krav att den begärande har rätt på alla frågor utan det görs
en bedömning baserat på hur rätt eller fel svaret är.
IMY konstaterar att av det underlag bolaget har inkommit med, bestående av
mejlkorrespondens mellan klaganden och bolaget, framgår att klaganden inte har
frånfallit sin begäran om radering. Av mejlkorrespondensen, särskilt det mejl som
skickades av MAG Support Team den 11 mars 2021, framgår vidare att de aktuella
uppgifterna efterfrågades av bolaget för att klaganden skulle få åtkomst till kontot i
syfte att begära radering. Bolagets påstående om att klagandens begäran om radering
hade ändrats till att istället avse en begäran om tillgång, samt att de efterfrågade
uppgifterna avsåg att identifiera klaganden endast vid en begäran om tillgång kan
därför lämnas utan avseende. Bolaget har visserligen begärt fler uppgifter av
klaganden i syfte att bekräfta klagandens identitet men IMY bedömer att det framgår
att det alltjämt rör sig om en begäran om radering som klaganden vill ska bli
tillgodosedd. Det framgår vidare att bolaget har efterfrågat de aktuella uppgifterna i
samband med klagandens begäran om radering.
Vad avser de uppgifter som bolaget efterfrågat av klaganden, konstaterar IMY
följande. Av EDPB:s riktlinjer om rätten till tillgång följer bl.a. att den
personuppgiftsansvarige måste vid proportionalitetsbedömningen ta hänsyn till den typ
av personuppgifter som behandlas (t.ex. särskilda kategorier av uppgifter eller inte),
begärans art, det sammanhang i vilket begäran görs samt eventuell skada som kan
uppstå till följd av otillbörligt utlämnande. Vid tidpunkten för klagandens begäran
behandlade bolaget enbart en mejladress som är knuten till klaganden samt
advertisingId/vendorId från hens telefon, klagandens användarnamn och lösenord. En
felaktig radering av nämnda uppgifter skulle enligt IMY inte innebära några större
nackdelar eller konsekvenser för klaganden. Kraven på identifiering kunde därmed
ställas relativt lågt. Det har vidare framgått att korrekta svar på samtliga frågor inte
krävdes samt att klagandens identitet senare gick att bekräfta genom en annan
identifieringsmetod som krävde betydligt färre uppgifter. Bekräftelse på att det är
klagandens användarkonto skickat från den till användarkontot kopplade mejladressen
bedömdes vara tillräckligt för att bekräfta klagandens identitet och tillmötesgå begäran
den 7 november 2022.
IMY bedömer därmed att med hänsyn till begärans art, den typ av personuppgifter
som behandlades och den identifieringsmetod som senare användes, att uppgifterna i
form av användarnamn på tre vänner och tre motståndare varken kan anses varit
nödvändiga eller proportionerliga för att bekräfta identiteten hos klaganden i enlighet
med artikel 12.6 i dataskyddsförordningen.
Har bolaget underlättat för klaganden att utöva sin rätt till radering enligt artikel
12.2 i dataskyddsförordningen?
Nästa fråga är om det har varit förenligt med artikel 12.2 i dataskyddsförordningen att
kräva att klaganden loggar in på sitt konto och gör sin begäran inifrån spelet.
Bolaget har uppgett i huvudsak följande. Om användaren kan svara så bra att bolaget
bedömer att användaren äger kontot sätter supporten mejladressen för återställning.
Spelaren kan då bestämma ett nytt lösenord och logga in. Eftersom ärendet i det
aktuella fallet hade övergått till en begäran om tillgång vill bolaget normalt att
användaren ska vara inloggad på sitt konto för att utöva sin begäran.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-9109 11(12)
Datum: 2023-05-22
Som IMY konstaterat i avsnittet ovan, framgår det av det underlag bolaget har
inkommit med att klaganden inte har frånfallit sin begäran om radering samt att bolaget
har efterfrågat de aktuella uppgifterna för att klaganden skulle få åtkomst till kontot i
syfte att begära radering inifrån spelet.
Av EDPB:s riktlinjer om tillgång framgår bl.a. att den personuppgiftsansvarige kan
uppmuntra den registrerade att använda ett självbetjäningsverktyg men att den
personuppgiftsansvarige också måste hantera begäranden om tillgång som inte
skickas via den etablerade kommunikationskanalen. Genom att kräva av klaganden
vars begäran om radering tagits emot av bolaget att hen efter besvarandet av frågor
som haft till syfte att bekräfta hens identitet, ska logga in på ett spel för att ur spelet
skicka sin begäran har bolaget inte underlättat för den klagande att utöva sin rätt till
radering. IMY bedömer därmed att bolaget därigenom agerat i strid med artikel 12.2 i
dataskyddsförordningen.
Har klagandens begäran om radering enligt artikel 17 i dataskyddsförordningen
tillmötesgåtts?
Av klagomålet framgår att klaganden begärde radering den 31 januari 2021 och att
den vid tidpunkten för klagomålet inte har blivit tillgodosedd. Bolaget har uppgett att
bolaget den 7 november 2022, efter mejlkorrespondens med klaganden den 30
oktober och den 6 november 2022, har raderat klagandens uppgifter och klaganden
har informerats om detta. Då klagandens begäran om radering numera är tillgodosedd
finns inte skäl att utreda ärendet vidare i den delen.
Val av ingripande
Av artiklarna 58.2 i och 83.2 i dataskyddsförordningen framgår att IMY har befogenhet
att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på
omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras
utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel
förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska
beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid
bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY
enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en
reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande
omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet
samt tidigare överträdelser av relevans.
IMY konstaterar följande relevanta omständigheter. Den aktuella tillsynen omfattar
MAG Interactive AB:s hantering av en enskild klagandes begäran om radering och de
konstaterade överträdelserna ligger relativt långt tillbaka i tiden (2021). MAG
Interactive AB har nu också tillgodosett klagandens begäran om radering fullt ut. Mot
denna bakgrund finner IMY att det är fråga om sådana mindre överträdelser i den
mening som avses i skäl 148 som innebär att MAG Interactive AB ska ges en
reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade
överträdelserna.
______________________________________________
Detta beslut har fattats av den särskilda beslutsfattaren juristen Evelin Palmér efter
föredragning av juristen Anna Mlynska.
Evelin Palmér, 2023-05-22 (Det här är en elektronisk signatur)
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-9109 12(12)
Datum: 2023-05-22
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni
överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY
senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in
i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.
Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga
personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens
kontaktuppgifter framgår av beslutets första sida.