Rättslig grund GDPR

Integritetsskyddsmyndigheten (IMY) har bedömt att Klarna Bank AB saknade rättslig grund för behandling av personuppgifter i bolagets tidigare funktion för automatisk ifyllning. Behandlingen stred därför mot artikel 6 i GDPR. Samtidigt stannade ingripandet vid en reprimand.

Autofyllningen var inte nödvändig för avtalet

Klarna stödde behandlingen på artikel 6.1 b GDPR, alltså att personuppgiftsbehandlingen var nödvändig för att fullgöra ett avtal med användaren.

IMY konstaterade att kravet på nödvändighet ska tolkas restriktivt. Det räcker inte att en behandling är praktisk, användbar eller reglerad i avtalsvillkoren. Den måste vara objektivt nödvändig för att avtalets grundläggande ändamål ska kunna uppnås.

Här fick det betydelse att användaren kunde stänga av autofyllningen och ändå fortsätta använda Klarnas tjänst och betalningsalternativ. Kunden kunde i stället fylla i uppgifterna manuellt utan att avtalsförhållandet påverkades.

Det blev alltså tydligt att behandlingen var användbar för en smidig köpprocess, men inte nödvändig för att fullgöra avtalet.

Användarens förväntningar vägde också in

IMY bedömde även vad en genomsnittlig användare rimligen kunde förvänta sig när avtalet ingicks. Funktionen var aktiverad som standard och behövde aktivt stängas av.

Att Klarna marknadsförde sina tjänster som enkla och smidiga innebar enligt IMY inte att användaren därmed kunde förväntas förstå att personuppgifter skulle användas för automatisk ifyllning vid framtida köp.

IMY bedömde därför behandlingen som oväntad i förhållande till vad en genomsnittlig användare rimligen kunde förvänta sig av tjänsten.

Därför blev det reprimand och inte sanktionsavgift

Trots överträdelsen valde IMY att ge Klarna en reprimand i stället för en administrativ sanktionsavgift.

En viktig del i den bedömningen var ett tidigare IMY-beslut från 2017. Där hade myndigheten, enligt dåvarande personuppgiftslagen, bedömt att behandling i Klarnas checkout-lösning kunde stödjas på avtal. I den tidigare bedömningen hade IMY bland annat beaktat att kunder kunde välja bort autofyllningen.

Mot den bakgrunden ansåg IMY att Klarna hade viss fog för sin senare, men felaktiga, uppfattning att avtal även kunde användas som rättslig grund enligt GDPR.

IMY beaktade också att tillsynen gällde behandlingen av en registrerads personuppgifter och att Klarna hade upphört med funktionen. Sammantaget bedömdes överträdelsen som mindre och en reprimand som ett tillräckligt ingripande.

Viktig vägledning för bedömningen av artikel 6.1 b

Beslutet tydliggör skillnaden mellan en behandling som är praktisk och en behandling som faktiskt är nödvändig för att fullgöra ett avtal. Om en tjänst kan levereras utan behandlingen talar det starkt mot att artikel 6.1 b kan användas som rättslig grund.

Morling Consultings dataskyddsjurister hjälper företag att analysera rättslig grund, strukturera GDPR-bedömningar och dokumentera de överväganden som ligger bakom behandling av personuppgifter.