Spotify får bøde på 32 millioner kroner for overtrædelse af GDPR
Selvom brugerne har ret til at få adgang til alle deres data og oplysninger om brugen af deres data, levede Spotify ikke fuldt ud op til denne forpligtelse. Den svenske databeskyttelsesmyndighed (IMY) var ansvarlig for sagen, fordi Spotify har sit hovedsæde i Sverige.
Klagen fra noyb blev forenet med en klage indgivet i Holland af Bits of Freedom.
noyb beskriver sig selv som en europæisk håndhævelsesplatform med fokus på GDPR, forbrugerrettigheder og privatliv.
Se også: Kan man få gratis Spotify med abonnement?
Manglende udlevering af alle persondata
Den 18. januar 2019 indgav noyb en række klager mod forskellige streamingtjenester, da de ikke gav brugerne en nem måde at udøve deres ret til indsigt i henhold til artikel 15 i GDPR. En af disse klager blev indgivet i Østrig og vedrørte Spotifys manglende udlevering af alle personlige data og oplysninger om brugen af dataene.
Da Spotify er baseret i Sverige, blev sagen sendt til den svenske databeskyttelsesmyndighed.
Klagen har altså været undervejs i over fire år og IMY mente, at klagerne ikke var en part i proceduren, hvilket forsinkede afgørelsen. Noyb anlagde i 2022 derfor sag an mod IMY ved de svenske domstole på grund af den manglende afgørelse og fik medhold. Sagen ligger stadig hos Högsta förvaltningsdomstolen, men IMY har nu truffet en afgørelse om noybs klage og om Spotifys bredere tilgang til at give information til brugerne.
Se også: De bedste telefoner til musik
Privatlivsadvokat kritiserer klageforløbet
Stefano Rossetti, privatlivsadvokat hos noyb, forklarer, at de er glade for, at den svenske myndighed endelig tog affære, men kritiserer den svenske myndighed for sin langsommelighed og slår fast, at den ”helt sikkert skal fremskynde sine procedurer.”
Retten til indsigt giver ikke kun ret til at få en kopi af brugernes egne data, men også oplysninger om deres kilde, modtagere af personlige data eller detaljer om internationale dataoverførsler. I Spotifys tilfælde blev disse oplysninger ikke givet fuldt ud. Desuden gav virksomheden kun adgang til “nogle” af dataene uden at informere den registrerede om, hvordan man kunne få resten.
