Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) konstaterar, efter att ha antagit Integritetsskyddsmyndighetens (IMY) beslut, att Klarna Bank AB behandlat den klagandes personuppgifter enligt kraven i dataskyddsförordningen (GDPR).
Av beslutet framgår att klagomålet lämnats in till BlnBDI i juli 2021. Klagomålet överfördes till Integritetsskyddsmyndigheten (IMY), som är ledande tillsynsmyndigheten i enlighet med artikel 56 GDPR. IMY genomförde utredningen och samarbetsförfarandet i enlighet med artikel 60 GDPR och föreslog ett utkast till beslut som avvisade klagomålet. I enlighet med artikel 60.8 GDPR antog BlnBDI IMY:s beslut.
Enligt IMY:s beslut tog Klarna emot en begäran om tillgång från den klagande den 6 juni 2021. Klarnas kundtjänst bad den klagande att komplettera sin begäran med information om den klagandes identitet och begärde den klagandes telefonnummer för att skicka en verifieringskod för att komma åt de aktuella uppgifterna. Den klagande lämnade därefter information om sin identitet utan att ange ett telefonnummer. Den 17 juni 2021 begärde klaganden att begäran skulle handläggas senast den 19 juni 2021. Den 24 juni 2021 bad Klarnas kundtjänst återigen den klagande att uppge ett telefonnummer. Den klagande lämnade uppgifterna samma dag. Registerutdraget med lösenord skickades till klaganden den 12 juli 2021.
Den klagande ansåg att Klarna inte fullgjorde sina skyldigheter enligt artikel 15 GDPR genom att svara på begäran i tid. Enligt Klarna lämnades registerutdraget in inom den tidsram som anges i artikel 12.3 GDPR efter att den klagande tillhandahållit nödvändig information om sin identitet.
IMY påpekade att artikel 12.3 GDPR kräver att den personuppgiftsansvarige på begäran, utan onödigt dröjsmål och under alla omständigheter senast en månad efter mottagandet av begäran, ska tillhandahålla den registrerade information om de åtgärder som vidtagits i enlighet med artikel 15 GDPR. Tidsfristen på en månad får förlängas med ytterligare två månader om begäran är särskilt komplicerad eller om antalet mottagna begäranden är stort. Om tidsfristen på en månad förlängs ska den personuppgiftsansvarige informera den registrerade om förlängningen.
IMY noterade emellertid också att, vilket framgår tydligt av artikel 12.6 GDPR, om den personuppgiftsansvarige har rimliga skäl att tvivla på identiteten hos den fysiska person som lämnar in en begäran enligt artiklarna 15-21 GDPR, får den personuppgiftsansvarige begära att ytterligare information som är nödvändig för att bekräfta den registrerades identitet tillhandahålls. Mot bakgrund av de faktiska omständigheterna ansåg IMY att Klarna hade rimliga skäl att betvivla den klagandes identitet och hade begärt proportionerlig information utan onödigt dröjsmål. Eftersom klaganden inte lämnade denna information förrän den 24 juni 2021, började tidsfristen inte löpa igen förrän då. Vidare ansåg IMY att Klarna hanterat begäran utan onödigt dröjsmål under de totala 23 dagarna.
IMY ansåg mot denna bakgrund att utredningen i ärendet inte visar att Klarna behandlat den klagandes personuppgifter i strid med artiklarna 12.3, 12.6 och 15 GDPR.