Ärenden
Effective Communication DNR AB
Uttalande 2024-08-15
Dnr 24-068
Anmälare:
En konsument
Motpart:
Effective Communication DNR AB
Frågeställning:
Behandling av personuppgifter
NIX-nämndens beslut:
Effective Communication DNR AB har behandlat personuppgifter i strid med GDPR eftersom anmälarens begäran mot behandling inte tillgodosetts
Anmälarens uppgifter
Anmälaren har uppgett att Effective Communication DNR AB ringt honom i marknadsföringssyfte trots att han via begärt att hans personuppgifter ska raderas. Anmälaren har uppgett att han använt Effective Communications Dnr AB:s angivna kontaktformulär för radering av personuppgifter samt att han från företaget fått en bekräftelse att hans e-postadress användes för detta 26 januari 2024.
Företagets uppgifter
Effective Communication DNR AB har uppgett att det stämmer att de ringt anmälaren. Kontaktformuläret är kopplat till en av deras mejladresser, men de kan inte hitta något mejl från anmälaren om begäran av radering av personuppgifter. Effective Communication DNR AB har i ett kompletterande yttrande uppgett att de själva testat formuläret och av någon anledning kommer inte mejlen fram, så något fel är det på deras hemsida som orsakat att de inte fått anmälarens önskan om spärr. Effective Communication Dnr AB har uppgett att deras utvecklare håller på att undersöka saken. Effective Communication DNR AB har vidare uppgett att de är personuppgiftsbiträde i förhållande till sina uppdragsgivare som är personuppgiftsansvariga för personuppgifter som tillhandahålls från uppdragsgivarna.
NIX-nämndens bedömning
Behandling av personuppgifter
EU:s förordning om personuppgifter (GDPR) reglerar bland annat hur ett företag får behandla personuppgifter i sin verksamhet. Av artikel 5 framgår ett krav på att behandlingen av personuppgifter ska vara laglig. Artikel 6 räknar upp på vilka grunder en verksamhet kan behandla personuppgifter.
Den juridiska person som bestämmer ändamålen och hur personuppgifter samlas in kallas personuppgiftsansvarig medan en juridisk person som behandlar personuppgifter för den personuppgiftsansvariges räkning kallas personuppgiftsbiträde, art. 4.7-8. Den registrerade har rätt att gentemot den personuppgiftsansvarige när som helst begära radering av den registrerades personuppgifter (jfr art. 17.1 c och art. 21.2 och art. 21.3). Personuppgiftsbiträdet är endast skyldig att fullfölja de förpliktelser som följer av avtalet mellan denne och ansvarige (jfr art. 82.2).
Det är i ärendet ostridigt att anmälaren gjort en begäran om radering av personuppgifter till Effective Communication DNR AB och att han efter detta kontaktats via telefon i marknadsföringssyfte av Effective Communication DNR AB.
Effective Communication DNR AB är ett s.k. callcenterföretag och bedriver huvudsakligen marknadsföring för annans räkning. I dessa uppdragsförhållanden är Effective Communication DNR AB personuppgiftsbiträde. Effective Communication DNR AB har uppgett att de inte mottagit begäran eftersom ett tekniskt fel på hemsidan orsakat att det anvisade kontaktformuläret för invändningar enligt GDPR inte fungerat som det ska.
NIX-nämnden gör utifrån ovan följande bedömning. Effective Communication DNR AB behandlar personuppgifter för annans räkning och invändning med stöd av GDPR ska då göras mot personuppgiftsansvarig (dvs. den vars personuppgifter Effective Communication DNR AB behandlar för dennes räkning).
I detta fall har dock Effective Communication DNR AB inte förmedlat vidare anmälarens begäran om radering vilket fått till följd att anmälarens rätt att bli bortglömd enligt GDPR inte respekterats. För detta förtjänar företaget kritik.
Med detta uttalande är ärendet avslutat.
Detta uttalande har avgivits av nämndens sekreterare.
NIX-nämnden
Mattias Grundström, Sekreterare