瑞典Klarna银行违反透明度要求长期存储客户交易行为数据形成消费画像案

【案件背景】
2022年3月，瑞典数据保护局（IMY）在对瑞典金融科技巨头Klarna Bank AB的调查中发现，Klarna在处理客户个人数据的过程中透明度严重不足，客户无法充分了解其个人数据被收集和存储的范围、目的和期限。

【违法事实】
一是隐私声明严重不完整——IMY发现Klarna的隐私政策未能向客户充分说明其个人数据将被存储多长时间以及在哪些国家被处理，违反GDPR第13条和第14条的告知义务；二是先买后付模式下的交易行为数据被长期保留——Klarna作为支付中间商，能追踪客户的在线购物行为全链路，包括浏览的商品、放弃的购物车、完成的交易和退货记录，形成的消费者画像远超客户对支付服务商的合理预期；三是跨国数据传输的存储透明度不足——Klarna在全球多个国家运营，但隐私政策未能准确披露数据在各国的存储情况和保障措施；四是客户请求数据副本时获得的信息不够全面，违反了GDPR第15条的访问权要求。

【处罚决定】
瑞典IMY于2022年3月依据GDPR第5(1)(a)条、第12-15条，对Klarna处以750万瑞典克朗（约合72.5万欧元）行政罚款，要求在限期内全面修订隐私政策和数据处理文档。

【典型意义】
一是向客户隐瞒数据存储的范围和期限等同于剥夺客户的选择权；二是先买后付模式的'全景式消费监控'引发了数据存储的新伦理问题——支付服务商实际上比零售商掌握更完整的消费者行为数据；三是北欧GDPR执法风格的代表——罚款相对温和，但整改要求严格细致。