Polismyndighetens belastningsregister

Polismyndigheten

Tillsyn av Polismyndighetens belastningsregister enligt lagen om belastningsregister

Datainspektionens beslut

Datainspektionen konstaterar att Polismyndigheten har åtgärdat det tekniska fel som inneburit att utskick av registerutdrag ur belastningsregistret under perioden 19 november 2019 till och med den 13 januari 2020 har blivit felaktiga. Datainspektionen vidtar därför inga ytterligare åtgärder.

Ärendet avslutas.

Redogörelse för tillsynsärendet

Granskningens syfte och avgränsning

Datainspektionen har den 20 januari 2020 mottagit en anmälan från Polismyndigheten om personuppgiftsincident, ref A026.530/2020. Incidenten avsåg utdrag ur belastningsregistret till enskilda personer som under perioden 19 november 2019 till och med den 13 januari 2020 har innehållit för få eller för många uppgifter. Mot bakgrund av informationen i anmälan har Datainspektionen beslutat att granska Polismyndighetens personuppgiftsbehandling i belastningsregistret. Syftet med tillsynsärendet har avgränsats till att omfatta kontroll av myndighetens hantering av

personuppgifter i registerutdragen under den period som anmälan om personuppgiftsincidenten avser.

Genomförande och metod

Vid granskningen har i huvudsak följande framkommit.

Datainspektionen har den 25 februari 2020 ställt ett antal frågor till Polismyndigheten för skriftligt besvarande.

Av Polismyndighetens svar framgår att belastningsregistret under november 2019 migrerades till en ny teknisk plattform, vilket krävde förändringar i kommunikationen med systemet för registerutdrag (RUT). Den nu aktuella funktionen genomgick såväl enhetstest, systemtest som acceptanstest innan den driftsattes. Systemet är komplext och det uppdagades ett par brister som orsakade felaktigheter i vissa typer av utdrag ur belastningsregistret. Totalt är 448 enskilda personer som har begärt uppgifter om sig själva berörda av det inträffade. Registerutdragen som har skickats till berörda personer har innehållit för få eller för många uppgifter. Av de felaktiga utdragen avsåg 407 stycket sådana fullständiga utdrag som enskilda kan begära för att utöva sin insynsrätt i belastningsregistret och de resterande 41 felaktiga utdragen avsåg sådana begränsade utdrag som enskilda kan begära för att visa upp eller lämna till arbetsgivare. När omfattningen av problemet blev känt stoppades registerutdragstjänsten tillfälligt i avvaktan på att felet åtgärdades. Polismyndigheten har härefter kompletterat kodning och gallringslogik i systemet med det som saknades efter migreringen till den nya plattformen. Polismyndigheten har uppgett att när en modernisering eller uppdatering av den tekniska plattformen blir aktuell igen kommer testerna att organiseras och utformas så att liknande fel inte ska uppstå på nytt. Polismyndigheten avser vidare att utreda möjligheterna till automatiska tester för att undvika fel i framtiden orsakade av den mänskliga faktorn.

Med anledning av de felaktiga registerutdragen har Polismyndigheten vidtagit ett antal åtgärder. Myndigheten har bland annat publicerat ett pressmeddelande med generell information om det inträffade samt underrättat samtliga enskilda som fått ett felaktigt utdrag. Vidare har korrekta utdrag skickats ut till berörda personer och de felaktiga utdragen har begärts in för att förhindra att dessa används. Polismyndigheten har vidare uppgett att de följt upp vilka utdrag som skickats in och har gjort en

noggrann utredning och riskbedömning av de 41 felaktiga utdrag som kan användas för att söka vissa typer av arbeten.

Motivering av beslut

Datainspektionens bedömning

Av 1 § lagen (1998:620) om belastningsregister framgår att Polismyndigheten med hjälp av automatiserad behandling ska föra ett belastningsregister. Myndigheten är personuppgiftsansvarig för behandlingen av personuppgifter i registret. Lagen innehåller bestämmelser när det gäller registrering av personer som dömts eller fått åtalsunderlåtelse för brott och gäller utöver brottsdatalagen (2018:1877).

Av 2 § lagen om belastningsregister framgår att belastningsregistret ska föras för att ge information om sådana belastningsuppgifter som behövs i brottsbekämpande myndigheters verksamheter. Registret får också användas för att till en enskild lämna uppgift som är av särskild betydelse i hans eller hennes verksamhet. Det kan t.ex. röra sig om larminstallationsföretag eller enskilda arbetsgivare inom vårdsektorn som behöver få information om personer som ska anställas i verksamheten.

Av utredningen framgår att Polismyndigheten har vidtagit ett antal åtgärder i direkt anslutning till att myndigheten fick vetskap om det nu aktuella tekniska problemet som innebar att ett antal felaktiga registerutdrag ur belastningsregistret skickats under perioden 19 november 2019 till och med den 13 januari 2020. Bland annat stoppades registerutdragstjänsten tillfälligt i avvaktan på att problemet åtgärdades, korrekta utdrag och information skickades till berörda personer och Polismyndigheten anmälde utan dröjsmål händelsen till Datainspektionen. Den inträffade personuppgiftsincidenten har inte påverkat vilka uppgifter som finns om personer i belastningsregistret eller hur länge uppgifterna sparas.

Sammanfattningsvis konstaterar Datainspektionen att Polismyndigheten har åtgärdat det tekniska fel som inneburit att utskick av registerutdrag ur belastningsregistret under perioden 19 november 2019 till och med den 13 januari 2020 har blivit felaktiga. Datainspektionen vidtar därför inga ytterligare åtgärder.

Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Linda Olander. Vid den slutliga handläggningen har även datarådet Agneta Runmarker och it-säkerhetsspecialisterna Johan Ma och Ulrika Sundling medverkat. Charlotte Waller Dahlberg, 2020-06-22 (Det här är en elektronisk signatur) Kopia för kännedom till: Dataskyddsombudet