Brottsbekämpande myndigheter – Beslut mot Ekobrottsmyndigheten

Ekobrottsmyndigheten Box 22098 104 22 Stockholm

Tillsyn enligt brottsdatalagen (2018:1177) – Ekobrottsmyndighetens förteckning över behandlingar

Datainspektionens beslut

1. Datainspektionen konstaterar att Ekobrottsmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av registrerade som berörs av behandlingen enligt 3 kap. 3 § 5 brottsdataförordningen (2018:1202) på ett otydligt sätt.

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Ekobrottsmyndigheten att i förteckningen över behandlingar, för varje kategori av behandling, ange de kategorier av registrerade som berörs av behandlingen på så sätt som anges i motiveringen till detta beslut, senast den 31 december 2019.

2. Datainspektionen konstaterar att Ekobrottsmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av personuppgifter som kan komma att behandlas enligt 3 kap. 3 § 6 brottsdataförordningen på ett otydligt sätt.

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Ekobrottsmyndigheten att i förteckningen över behandlingar, för varje kategori av behandling, ange de kategorier av personuppgifter som kan komma att behandlas på så sätt som anges i motiveringen till detta beslut, senast den 31 december 2019.

3. Ekobrottsmyndigheten föreläggs att senast den 31 december 2019 lämna en skriftlig redovisning till Datainspektionen av de åtgärder som Ekobrottsmyndigheten har vidtagit med anledning av föreläggandena i punkterna 1-2.

Redogörelse för tillsynsärendet

Datainspektionen har den 11 februari 2019 inlett tillsyn mot Ekobrottsmyndigheten i syfte att granska om Ekobrottsmyndighetens förteckning över behandlingar av personuppgifter är i överensstämmelse med 3 kap. 3 § brottsdataförordningen.

Datainspektionen har inom ramen för tillsynsärendet besökt Ekobrottsmyndigheten den 14 mars 2019. Ekobrottsmyndigheten har vid inspektionen förevisat förteckningen över behandlingar. Datainspektionen har vid inspektionen granskat vissa utvalda kategorier av behandlingar i förteckningen över behandlingar. Urvalet bestod av centrala system i Ekobrottsmyndighetens verksamhet samt ett antal slumpmässigt utvalda kategorier av behandlingar. Ekobrottsmyndigheten har fått tillfälle att yttra sig över det inspektionsprotokoll som upprättats i samband med inspektionstillfället. Datainspektionen har även ställt frågor 0m Ekobrottsmyndighetens förteckning över behandlingar.

Ekobrottsmyndigheten har i huvudsak uppgett följande. Det finns tre val av Kategorier av registrerade (F): Extern part, Anställda på EBM och Uppdragstagare på EBM. Extern part är parter utanför myndigheten.

Det finns fem val av Kategorier av personuppgifter (G): Namn, Personnummer, Kontaktuppgifter, Bild/film där person kan identifieras och Övrig personuppgift. Övrig personuppgift kan till exempel vara finansiell data som kan knytas till en viss person. Känsliga personuppgifter behandlas i normalfallet inte per se i Ekobrottsmyndighetens verksamhet. Om känsliga personuppgifter förekommer så är det frågan om uppgifter som lämnats i en anmälan, förhör eller liknande sammanhang. Om det med kan komma att behandlas menas att varje kategori av personuppgifter som i teorin kan komma att behandlas inom ramen för en kategori av behandling skulle kategorin ”Känsliga personuppgifter” behöva anges för varje kategori av behandling som ingår i myndighetens förteckning.

Ekobrottsmyndigheten har inte funnit någon kategori av behandling där överföring till tredjeland sker. Det skulle i sådana fall anges under Kategorier av mottagare (E).

Om en ruta/fält är tom betyder det att det inte förekommer eller inte är tillämpbart för den kategorin av behandling.

Datainspektionen har vid sin granskning av Ekobrottsmyndighetens förteckning över behandlingar iakttagit huvudsakligen följande. Förteckningen över behandlingar är strukturerad kring nio olika uppgiftsmängder som är följande. A. Kategori av behandling, B. Rättslig grund för behandling, C. Ändamål med behandling, D. Kategorier av tjänstemän, E. Kategorier av mottagare, F. Kategorier av registrerade, G. Kategorier av personuppgifter, H. Tidsfrist för behandling samt I. Säkerhetsåtgärder.

Varje kategori av behandling innehåller uppgift om användning av profilering.

Motivering av beslutet

Vad Datainspektionen har att ta ställning till

Datainspektionen har i tillsynsärendet att ta ställning till om Ekobrottsmyndighetens förteckning över behandlingar, uppfyller kraven i 3 kap. 3 § brottsdataförordningen. Inspektionen har valt att begränsa tillsynen genom att välja ut vissa kategorier av behandlingar i förteckningen för särskild

granskning. Tillämpliga bestämmelser

Den 1 augusti 2018 trädde brottsdatalagen i kraft med kompletterande bestämmelser i brottsdataförordningen. Brottsdatalagen gäller enligt 1 kap. 2 § för behandling av personuppgifter som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra

brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som utförs i syfte att upprätthålla allmän ordning och säkerhet. För Ekobrottsmyndigheten gäller utöver brottsdatalagen sedan den 1 januari 2019 även lagen (2018:1697) om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område och lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område. Kompletterande bestämmelser finns i förordningen (2018:1738) om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område och i förordningen (2018:1942) om polisens behandling av personuppgifter inom brottsdatalagens område.

Enligt 3 kap. 3 § brottsdataförordningen ska den personuppgiftsansvarige föra en förteckning över de kategorier av behandlingar av personuppgifter som denne ansvarar för. Förteckningen ska innehålla namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud. Förteckningen ska dessutom, för varje kategori av behandling, innehålla följande uppgifter: 1. den rättsliga grunden för behandlingen, 2. ändamålen med behandlingen, 3. de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas, 4. de kategorier av mottagare som uppgifterna kan komma att lämnas ut till, även i tredjeland eller internationella organisationer, 5. de kategorier av registrerade som berörs av behandlingen, 6. de kategorier av personuppgifter som kan komma att behandlas, 7. samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer, 8. användning av profilering, 9. om det är möjligt, tidsfrister för hur länge kategorierna av personuppgifter får behandlas, och 10. om det är möjligt, en allmän beskrivning av vilka säkerhetsåtgärder som har vidtagits.

Enligt 5 kap. 7 § brottsdatalagen får Datainspektionen använda de korrigerande befogenheterna om det konstateras att personuppgifter behandlas i strid med lag eller annan författning eller att den personuppgiftsansvarige eller personuppgiftsbiträdet på något annat sätt inte fullgör sina skyldigheter.

Ekobrottsmyndighetens förteckning över behandlingar

Ekobrottsmyndigheten för en förteckning enligt 3 kap. 3 § brottsdataförordningen över de kategorier av behandlingar av personuppgifter som myndigheten ansvarar för enligt brottsdatalagen. För varje kategori av behandling ska det enligt bestämmelsen anges vissa uppräknade uppgifter (punkterna 1-10). Ekobrottsmyndighetens förteckning över behandlingar innehåller för varje kategori av behandling punkterna 1-6 och 8-10.

Datainspektionen har inte några synpunkter avseende punkterna 1-4 samt 7-10. Samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer (punkten 7) anges inte som en särskild kolumn i Ekobrottsmyndighetens förteckning över behandlingar. Enligt förarbetena till brottsdatalagen tar 3 kap. 3 § 7 brottsdataförordningen sikte på vissa överföringar som har gjorts till tredjeland eller internationella organisationer (se SOU 2017:29 s. 323 och s. 621-624). Datainspektionen förutsätter att sådana överföringar, om de inträffar, kommer att förtecknas i Ekobrottsmyndighetens förteckning över behandlingar.

Punkten 5 – de kategorier av registrerade som berörs av behandlingen

Datainspektionens bedömning

Datainspektionen konstaterar att Ekobrottsmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av registrerade som berörs av behandlingen på ett otydligt sätt.

Skälen för Datainspektionens bedömning är följande

Enligt 3 kap. 3 § 5 brottsdataförordningen ska en förteckning över behandlingar, för varje kategori av behandling, innehålla uppgifter om de kategorier av registrerade som berörs av behandlingen.

I Ekobrottsmyndighetens förteckning över behandlingar anges de kategorier av registrerade som berörs av behandlingen, för varje kategori av behandling, antingen som ”Extern part”, ”Anställda på EBM” och ”Uppdragstagare på EBM”. Ekobrottsmyndigheten har uppgett att ”Extern part” är parter utanför myndigheten.

Av förarbetena till brottsdatalagen framgår att kategorier av registrerade kan vara en grupp av personer som har en specifik roll, t.ex. misstänkta, målsägande, vittnen eller anhöriga till någon av dessa (se SOU 2017:29 s. 322).

Datainspektionen anser med anledning av det som framgår av förarbetena att det inte är tillräckligt att enbart ange ”Extern part”. Inspektionen konstaterar därför att Ekobrottsmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av registrerade som berörs av behandlingen på ett otydligt sätt. Inspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i 5 kap. 7 § brottsdatalagen.

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Ekobrottsmyndigheten att i förteckningen över behandlingar, för varje kategori av behandling, förtydliga de kategorier av registrerade som berörs av behandlingen. Ledning för hur kategorier av registrerade kan förtecknas ges i de ovan angivna förarbetsuttalandena.

Punkten 6 – de kategorier av personuppgifter som kan komma att behandlas

Datainspektionens bedömning

Datainspektionen konstaterar att Ekobrottsmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av personuppgifter som kan komma att behandlas på ett otydligt sätt.

Skälen för Datainspektionens bedömning är följande

Enligt 3 kap. 3 § 6 brottsdataförordningen ska en förteckning över behandlingar, för varje kategori av behandling, innehålla uppgifter om de kategorier av personuppgifter som kan komma att behandlas.

I Ekobrottsmyndighetens förteckning över behandlingar anges inte känsliga personuppgifter som en kategori av personuppgift som kan komma att behandlas. Ekobrottsmyndigheten har uppgett att om känsliga personuppgifter förekommer så är det frågan om uppgifter som lämnats i en anmälan, förhör eller liknande sammanhang.

Av förarbetena till brottsdatalagen framgår att när det gäller kategorier av personuppgifter är det främst förekomsten av känsliga personuppgifter som avses (se SOU 2017:29 s. 322). I förarbetena till brottsdatalagen ges ingen vägledning kring hur lydelsen kan komma att behandlas i 3 kap. 3 § 6 brottsdataförordningen ska uppfattas och Datainspektionen har förståelse för Ekobrottsmyndighetens resonemang att en alltför vid tolkning innebär att ”Känsliga personuppgifter” som kategori av personuppgift kan behöva anges

för varje kategori av behandling. Samtidigt kan 3 kap. 3 § 6 brottsdataförordningen enligt Datainspektionens mening inte tolkas på sådant sätt att känsliga personuppgifter som lämnas i en anmälan, förhör eller liknande sammanhang inte omfattas av 3 kap. 3 § 6 brottsdataförordningen. Med anledning av det som framgår av förarbetena anser Datainspektionen att känsliga personuppgifter behöver anges för varje kategori av behandling, för det fall Ekobrottsmyndigheten bedömer att sådana uppgifter kan komma att behandlas. Datainspektionen konstaterar att Ekobrottsmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av personuppgifter som kan komma att behandlas på ett otydligt sätt. Inspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i 5 kap. 7 § brottsdatalagen.

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Ekobrottsmyndigheten att i förteckningen över behandlingar, ange känsliga personuppgifter som kategori av personuppgift, för de kategorier av behandlingar som Ekobrottsmyndigheten bedömer att känsliga personuppgifter kan komma att behandlas.

Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Max Blidberg.

Charlotte Waller Dahlberg

Max Blidberg

Kopia till:

Säkerhets- och integritetsskyddsnämnden

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.