Brottsbekämpande myndigheter – Beslut mot Tullverket

Tullverket Box 12854 112 98 Stockholm

Tillsyn enligt brottsdatalagen (2018:1177) – Tullverkets förteckning över behandlingar

Datainspektionens beslut

1. Datainspektionen konstaterar att Tullverkets förteckning över behandlingar, för vissa kategorier av behandlingar, anger de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas enligt 3 kap. 3 § 3 brottsdataförordningen (2018:1202) på ett otydligt sätt.

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Tullverket att i förteckningen över behandlingar, för varje kategori av behandling, ange de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas på så sätt som anges i motiveringen till detta beslut, senast den 30 april 2020.

2. Datainspektionen konstaterar att Tullverkets förteckning över behandlingar, för vissa kategorier av behandlingar, saknar uppgifter om de kategorier av personuppgifter som kan komma att behandlas och samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer enligt 3 kap. 3 § 6 och 7 brottsdataförordningen.

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Tullverket att i förteckningen över behandlingar, för varje kategori av behandling, ange de kategorier av personuppgifter som kan komma att behandlas och uppgift om samlingar av överföringar av

personuppgifter till tredjeland eller internationella organisationer, senast den 30 april 2020.

3. Tullverket föreläggs att senast den 30 april 2020 lämna en skriftlig redovisning till Datainspektionen av de åtgärder som Tullverket har vidtagit med anledning av föreläggandena i punkterna 1-2.

Övrigt

Utöver vad som framgår av punkterna 1-3 lämnar Datainspektionen rekommendationer, enligt 5 kap. 7 § 1 brottsdatalagen, till Tullverket gällande tidsfrister för hur länge kategorierna av personuppgifter får behandlas enligt 3 kap. 3 § 9 brottsdataförordningen.

Redogörelse för tillsynsärendet

Datainspektionen har den 7 maj 2019 inlett tillsyn mot Tullverket i syfte att granska om Tullverkets förteckning över behandlingar av personuppgifter är i överensstämmelse med 3 kap. 3 § brottsdataförordningen.

Datainspektionen har vid sin granskning av Tullverkets förteckning över behandlingar iakttagit huvudsakligen följande. Förteckningen över behandlingar innehåller bland annat följande kolumner. - Rättslig grund, - verksamhetens ändamål med personuppgiftsbehandlingen, - kategorier av tjänstemän med tillgång till personuppgiftsbehandlingen, - de kategorier av registrerade som berörs av behandlingen, - de kategorier av personuppgifter som kan komma att behandlas, - känsliga personuppgifter som kan komma att behandlas, - om behandlingen medför användning av ”profilering”, - kategorier av mottagare som uppgifterna i behandlingen kan komma att lämnas ut till, - samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer, - om möjligt anges här tidsfrister för hur länge personuppgifter får behandlas samt

- om möjligt en allmän beskrivning av vilka säkerhetsåtgärder som har

vidtagits.

Tullverket har i huvudsak uppgett följande. I det fall en kolumn har markerats med ”?” så innebär det att uppföljning av det svar som verksamheten lämnat ska ske. ”-” symboliserar att uppgiften inte är relevant för aktuell behandling. I det fall verksamheten inte har lämnat någon uppgift för den aktuella behandlingen har kolumnen lämnats blank.

Motivering av beslutet

Vad Datainspektionen har att ta ställning till

Datainspektionen har i tillsynsärendet att ta ställning till om Tullverkets förteckning över behandlingar, uppfyller kraven i 3 kap. 3 § brottsdata-

förordningen. Tillämpliga bestämmelser

Den 1 augusti 2018 trädde brottsdatalagen i kraft med kompletterande bestämmelser i brottsdataförordningen. Brottsdatalagen gäller enligt 1 kap. 2 § för behandling av personuppgifter som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som utförs i syfte att upprätthålla allmän ordning och säkerhet. För Tullverket gäller utöver brottsdatalagen sedan den 1 januari 2019 även lagen (2018:1694) om Tullverkets behandling av personuppgifter inom brottsdatalagens område med kompletterande bestämmelser i förordningen (2018:1876) om Tullverkets behandling av personuppgifter inom brottsdatalagens område.

Enligt 3 kap. 3 § brottsdataförordningen ska den personuppgiftsansvarige föra en förteckning över de kategorier av behandlingar av personuppgifter som denne ansvarar för. Förteckningen ska innehålla namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud. Förteckningen ska dessutom, för varje kategori av behandling, innehålla följande uppgifter: 1. den rättsliga grunden för behandlingen, 2. ändamålen med behandlingen,

3. de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas, 4. de kategorier av mottagare som uppgifterna kan komma att lämnas ut till, även i tredjeland eller internationella organisationer, 5. de kategorier av registrerade som berörs av behandlingen, 6. de kategorier av personuppgifter som kan komma att behandlas, 7. samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer, 8. användning av profilering, 9. om det är möjligt, tidsfrister för hur länge kategorierna av personuppgifter får behandlas, och 10. om det är möjligt, en allmän beskrivning av vilka säkerhetsåtgärder som har vidtagits.

Enligt 5 kap. 7 § brottsdatalagen får Datainspektionen använda de korrigerande befogenheterna om det konstateras att personuppgifter behandlas i strid med lag eller annan författning eller att den personuppgiftsansvarige eller personuppgiftsbiträdet på något annat sätt inte fullgör sina skyldigheter.

Tullverkets förteckning över behandlingar

Tullverket för en förteckning enligt 3 kap. 3 § brottsdataförordningen över de kategorier av behandlingar av personuppgifter som myndigheten ansvarar för enligt brottsdatalagen. För varje kategori av behandling ska det enligt bestämmelsen anges vissa uppräknade uppgifter (punkterna 1-10). Tullverkets förteckning över behandlingar innehåller i separata kolumner de i bestämmelsen uppräknade punkterna. Datainspektionen har inte några synpunkter avseende punkterna 1-2, 4-5, 8 och 10.

Samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer (punkten 7) anges som en särskild kolumn i Tullverkets förteckning över behandlingar. Enligt förarbetena till brottsdatalagen tar 3 kap. 3 § 7 brottsdataförordningen sikte på vissa överföringar som har gjorts till tredjeland eller internationella organisationer (se SOU 2017:29 s. 323 och s. 621-624). Datainspektionen förutsätter att sådana överföringar, om de inträffar, kommer att förtecknas i Tullverkets förteckning över behandlingar.

Punkten 3 – kategorier av tjänstemän

Datainspektionens bedömning

Datainspektionen konstaterar att Tullverkets förteckning över behandlingar, för vissa kategorier av behandlingar, anger de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas på ett otydligt sätt.

Skälen för Datainspektionens bedömning är följande

Enligt 3 kap. 3 § 3 brottsdataförordningen ska en förteckning över behandlingar, för varje kategori av behandling, innehålla uppgifter om de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas.

Information om vilka kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas underlättar både den interna och externa kontrollen (jfr SOU 2017:29 s. 323). I Tullverkets förteckning över behandlingar anges, för vissa kategorier av behandlingar, ”Behörighetsstyrt utifrån arbetsuppgifter”. Datainspektionen har inga synpunkter på skrivningen, i det fall att kategorier av tjänstemän till exempel kan kopplas till ett underliggande dokument eller att det på annat sätt går att koppla skrivningen till de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas. Uppgift om kategorier av tjänstemän har utformats på varierande sätt för de kategorier av behandlingar som innehåller skrivningen ”Behörighetsstyrt utifrån arbetsuppgifter”. Det framstår inte som tydligt för Datainspektionen att skrivningen kan kopplas till de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas. Inspektionen konstaterar därför att Tullverkets förteckning över behandlingar, för vissa kategorier av behandlingar, anger de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas på ett otydligt sätt. Inspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i 5 kap. 7 § brottsdatalagen.

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Tullverket att i förteckningen över behandlingar, för varje kategori av behandling, förtydliga de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas.

Punkterna 6, 7 och 9

Datainspektionens bedömning

Datainspektionen konstaterar att Tullverkets förteckning över behandlingar, för vissa kategorier av behandlingar, saknar uppgifter om de kategorier av personuppgifter som kan komma att behandlas och samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer.

Skälen för Datainspektionens bedömning är följande

Kolumnerna för att ange de kategorier av personuppgifter som kan komma att behandlas (punkten 6) och samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer (punkten 7) saknar uppgifter för vissa kategorier av behandlingar. Att ange ”?” eller lämna en kolumn tom uppfyller inte kraven i 3 kap. 3 § brottsdataförordningen. Datainspektionen konstaterar mot denna bakgrund att Tullverkets förteckning över behandlingar, för vissa kategorier av behandlingar, saknar uppgifter enligt 3 kap. 3 § 6 och 7 brottsdataförordningen. Inspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i 5 kap. 7 § brottsdatalagen.

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Tullverket att i förteckningen över behandlingar, för varje kategori av behandling, ange de kategorier av personuppgifter som kan komma att behandlas och uppgift om samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer.

Kolumnen för tidsfrister för hur länge kategorierna av personuppgifterna får behandlas anges, för vissa kategorier av behandlingar, som ”?”. Enligt 3 kap. 3 § 9 brottsdataförordningen ska det, om det är möjligt, anges tidsfrister. Tullverket har angett att ”?” innebär att uppföljning av det svar som verksamheten lämnat ska ske.

Datainspektionen konstaterar att Tullverkets förteckning över behandlingar, för vissa kategorier av behandlingar, saknar uppgifter om tidsfrister enligt 3 kap. 3 § 9 brottsdataförordningen. Datainspektionen får enligt 5 kap. 7 § 1 brottsdatalagen genom råd, rekommendationer eller påpekanden (som anges i 5 kap. 6 § första stycket samma lag) försöka förmå Tullverket att vidta åtgärder. Datainspektionen anser att det i nuläget är tillräckligt att rekommendera Tullverket att göra en bedömning av om det är

möjligt att ange tidsfrister i förteckningen över behandlingar för de kategorier av behandlingar som ”?” anges för.

Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Max Blidberg.

Charlotte Waller Dahlberg

Max Blidberg

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.