1(5)
Klarna Bank AB
Sveavägen 46
111 34, Stockholm
[email protected]
Diarienummer:
IMY-2023-8336 Beslut efter tillsyn enligt
Datum: dataskyddsförordningen – Klarna
2024-01-09
Bank AB
Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten konstaterar att utredningen i ärendet visar att Klarna
Bank AB har behandlat personuppgifter i strid med:
• artikel 12.2 i dataskyddsförordningen1 genom att inte ha underlättat
klagandens utövande av sin rätt till rättelse enligt artikel 16 i enlighet med sin
begäran av den 8 juni 2020.
• artikel 16 genom att inte möjliggöra för klaganden att ändra sin e-postadress i
enlighet med sin begäran av den 8 juni 2020.
Integritetsskyddsmyndigheten ger Klarna Bank AB en reprimand enligt artikel 58.2 b i
dataskyddsförordningen för överträdelse av artiklarna 12.2 och 16 i dataskydds-
förordningen.
Redogörelse för tillsynsärendet
Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande Klarna Bank AB
(Klarna eller bolaget) med anledning av ett klagomål. Klagomålet har lämnats över till
IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 i dataskydds-
förordningen. Överlämnandet har skett från tillsynsmyndigheten i det land där
klaganden har lämnat in sitt klagomål (Tyskland) i enlighet med förordningens
bestämmelser om samarbete vid gränsöverskridande behandling.
Utredningen i ärendet har genomförts genom skriftväxling. Mot bakgrund av att det
gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för
samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda
Postadress: tillsynsmyndigheter har varit dataskyddsmyndigheterna i Österrike, Ungern, Danmark,
Box 8114 Tyskland, Norge, Finland, Italien, Nederländerna, Polen, Irland, Frankrike, Estland och
104 20 Stockholm Spanien.
Webbplats:
www.imy.se
E-post:
[email protected] 1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med
Telefon: avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av
08-657 61 00 direktiv 95/46/EG (allmän dataskyddsförordning).
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-8336 2(5)
Datum: 2024-01-09
Klagomålet
Klaganden har i huvudsak uppgett följande. Klaganden har ett Klarnakort och har
begärt rättelse av den e-postadress som är kopplad till kortet. Klarna har i sin
återkoppling till klaganden uppgett att det inte är tekniskt möjligt att ändra e-
postadressen som är kopplad till klagandens kort och att klaganden därför behöver
beställa ett nytt kort för att få sin e-postadress ändrad. Ett nytt Klarnakort skulle dock
påverka klagandens kreditvärdighet.
Vad Klarna Bank AB har uppgett
Klarna har i huvudsak uppgett följande. Klarna är personuppgiftsansvarig för den
aktuella behandlingen. Begäran om rättelse inkom till Klarna den 8 juni 2020 samt den
16 juli 2020. Klarna har hanterat klagandens begäran som inkom den 8 juni genom att
en kundtjänstmedarbetare informerat om att uppgifter kopplat till ett redan utfärdat kort
inte går att ändra samt att klaganden därför behöver beställa ett nytt kort för att få sin
e-postadress ändrad. Den kundtjänstmedarbetare som behandlat begäran som inkom
den 16 juli 2020 har också informerat klaganden om att e-postadressen för alla öppna
fakturor har ändrats.
Bolaget saknar möjligheter att kunna ändra uppgifter kopplat till ett kort som redan har
utfärdats. Eftersom bolaget använder sig av e-postadressen som kundens kort är
kopplat till som identifikationspunkt, och som en del av sin verifieringsprocess, innebär
det i praktiken att ett nytt kort måste utfärdas för att e-postadressen ska kunna ändras.
Klarna Bank AB kan inte rätta e-postadressen som är kopplad till klagandens Klarna-
kort eftersom klaganden den 16 juli 2020 begärde radering av sina personuppgifter
hos Klarna. Klaganden begärde vid samma tillfälle också makulering av sitt Klarna-
kort.
Motivering av beslutet
Tillämpliga bestämmelser m.m.
Enligt artikel 12.2 ska den personuppgiftsansvarige underlätta utövandet av den
registrerades rättigheter i enlighet med artiklarna 15-22.
Enligt artikel 16 i dataskyddsförordningen ska den registrerade ha rätt att av den
personuppgiftsansvarige utan onödigt dröjsmål få felaktiga uppgifter som rör honom
eller henne rättade. Rättelse av en personuppgift får anses innebära att den
ursprungliga, felaktiga, personuppgiften ersätts med en personuppgift om de rätta
förhållandena.
Artikel 25 i dataskyddsförordningen ställer krav på att den personuppgiftsansvariga,
med beaktande av den senaste utvecklingen, genomförandekostnader och
behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av
varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter
ska, både vid fastställandet av vilka medel behandlingen utförs med och vid själva
behandlingen, genomföra lämpliga tekniska och organisatoriska åtgärder – såsom
pseudonymisering – vilka är utformade för ett effektivt genomförande av
dataskyddsprinciper – såsom uppgiftsminimering – och för integrering av de
nödvändiga skyddsåtgärderna i behandlingen, så att kraven i denna förordning
uppfylls och den registrerades rättigheter skyddas.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-8336 3(5)
Datum: 2024-01-09
Enligt Artikel 5.1 d ska, vid behandling av personuppgifter, uppgifterna vara riktiga och
om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att
personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas
raderas eller rättas utan dröjsmål (principen om riktighet).
Integritetsskyddsmyndighetens bedömning
När klaganden den 8 juni 2020 begärde att få sin e-postadress rättad uppgav bolaget
att det inte finns någon teknisk möjlighet att vidta rättelse av uppgiften och uppmanade
därför klaganden att beställa ett nytt Klarnakort. Enligt Klarna beror detta på att e-post-
adressen som kundens kort är kopplat till används som identifikationspunkt, och som
en del av Klarnas verifieringsprocess. Detta gör att det enda sättet att kunna ändra
eller få sin e-postadress rättad är att ett nytt kort beställs och utfärdas.
Enligt artikel 16 har den registrerade rätt att av den personuppgiftsansvarige få
felaktiga personuppgifter rättade. Det är den personuppgiftsansvarige som ska vidta
åtgärder för att rätta felaktiga uppgifter när den registrerade begär det, inte den
registrerade (jfr principen om riktighet i artikel 5.1 d som innebär att den
personuppgiftsansvarige även har en skyldighet att på eget initiativ rätta felaktiga
uppgifter). Vad som utgör en felaktig personuppgift och huruvida en personuppgift ska
rättas eller inte, ska bedömas och avgöras i förhållande till de ändamål för vilka
personuppgifterna behandlas. Om kontaktuppgifter används för exempelvis
kommunikation är det nödvändigt med hänsyn till ändamålet för behandlingen av
uppgifterna att dessa är uppdaterade. Att begära att den registrerade ska beställa ett
nytt Klarna-kort för att få sin e-postadress rättad var inte ett godtagbart sätt för bolaget
att fullgöra sina förpliktelser enligt artikel 16. IMY konstaterar därmed att Klarna Bank
AB brutit mot artikel 16 i dataskyddsförordningen genom att inte rätta den klagandes
personuppgifter.
Enligt artikel 12.2 i dataskyddsförordningen har den personuppgiftsansvarige en
skyldighet att underlätta utövandet av bl.a. den registrerades rätt till rättelse enligt
artikel 16. Innebörden av denna skyldighet utvecklas i skäl 59 där det bl.a. anges att
det bör fastställas förfaranden som gör det lättare för registrerade att utöva sina
rättigheter, inklusive mekanismer för att begära och i förekommande fall erhålla
rättelse. Artikel 12.2 innefattar således en skyldighet för den personuppgiftsansvarige
att proaktivt utforma lösningar som gör det lätt för den registrerade att utöva sina
rättigheter. Den lösning som bolaget har erbjudit har inte möjliggjort för den
registrerade att få sin e-postadress rättad i och med lösningen som bolaget har
erbjudit, d.v.s. att klaganden ska beställa ett nytt kort.
IMY anser, i ljuset av artikel 5.1 d och artikel 25 i dataskyddsförordningen, att
lösningen som bolaget har erbjudit d.v.s. att klaganden ska beställa ett nytt Klarnakort,
har försvårat för klaganden att utöva sin rätt till rättelse. Att underlätta för den
registrerade handlar om att ha enkla och tydliga kommunikationssätt för att utöva sina
rättigheter. Genom att hänvisa klaganden till att beställa ett nytt kort mot bakgrund av
hur bolagets system är utformat, har bolaget inte möjliggjort utövandet av klagandens
rättighet. Bolaget kan inte frångå sina skyldigheter enligt dataskyddsförordningen
genom utformningen av sina egna system. Tvärtom ställer förordningen, som framgår
ovan, krav på att den personuppgiftsansvarige ska underlätta utövandet av den
registrerades rättigheter. Bolagets motivering, d.v.s. att det inte är möjligt att vidta
rättelse av tekniska skäl, får anses strida mot detta.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-8336 4(5)
Datum: 2024-01-09
IMY konstaterar därmed att Klarna Bank AB brutit mot artikel 12.2 i
dataskyddsförordningen genom att inte ha underlättat klagandens utövande av sin
rättighet enligt artikel 16 att få sin e-postadress rättad.
Val av ingripande
Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har
befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83.
Beroende på omständigheterna i det enskilda fallet ska administrativa sanktions-
avgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som
till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer
som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid
bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY
enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en
reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande
omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet
samt tidigare överträdelser av relevans.
IMY konstaterar följande relevanta omständigheter. Klarna har överträtt artikel 16 och
artikel 12.2 i dataskyddsförordningen genom att inte ha efterlevt eller underlättat
klagandens begäran om rättelse enligt artikel 16. Denna tillsyn har endast avsett en
persons uppgifter. Klarna har också återkopplat till klaganden och motiverat varför det
inte är möjligt för bolaget att vidta rättelse av e-postadressen. Vidare har Klarna
erbjudit klaganden ett alternativ för att få sin e-postadress rättad. Klarna kan därför inte
anses ha haft för avsikt att förvägra klaganden rättelsen av dennes e-postadress.
Mot denna bakgrund bedömer IMY att det är fråga om en sådan mindre överträdelse i
den mening som avses i skäl 148 dataskyddsförordningen som medför att Klarna Bank
AB ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de
konstaterade överträdelserna.
Detta beslut har fattats av enhetschefen Albin Brunskog efter föredragning av juristen
Sadia Dost.
Albin Brunskog, 2024-01-09 (Det här är en elektronisk signatur)
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-8336 5(5)
Datum: 2024-01-09
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni
överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY
senast tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder
det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då
beslutet meddelades. Om överklagandet har kommit in i tid sänder IMY det vidare till
Förvaltningsrätten i Stockholm för prövning.
Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga
personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens
kontaktuppgifter framgår av beslutets första sida.