Tullverket, tjänstemobiler

DI-2020-5868 Beslut efter tillsyn enligt

brottsdatalagen – Tullverkets personuppgiftsbehandling på tjänstemobiler

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Tullverket har behandlat personuppgifter i strid med 3 kap. 2 och 8 §§ brottsdatalagen (2018:1177), BDL, genom att under okänd tid fram till den 8 november 2019 inte ha vidtagit tillräckliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att personuppgiftsbehandlingen var författningsenlig och för att skydda de personuppgifter som behandlades på tjänstemobiler från att kopieras och lagras i en molntjänst.

Integritetsskyddsmyndigheten beslutar med stöd av 6 kap. 1 § BDL att Tullverket ska betala en sanktionsavgift på 300 000 (trehundratusen) kronor.

Redogörelse för tillsynsärendet

Integritetsskyddsmyndigheten (IMY) mottog den 8 november 2019 en anmälan om personuppgiftsincident enligt BDL från Tullverket. Anmälan kompletterades den 14 och 15 november 2019 samt den 11 december 2019. Av incidentanmälan framgick att anställda har kunnat använda tjänstemobiler på ett sätt som inte var tillåtet. Det var fråga om användning av ett program som medförde att personuppgifter som behandlades enligt BDL kom att lagras i en molntjänst och därigenom spridas på ett otillåtet sätt. Mot bakgrund av informationen i anmälan beslutade IMY att inleda en granskning av vad som orsakat den beskrivna personuppgiftsincidenten och vilka åtgärder Tullverket vidtagit för att undvika att liknande incidenter upprepas.

Under tillsynen har Tullverket besvarat ett antal frågor och av Tullverkets svar framgår i huvudsak följande. Två medarbetare vid Tullverkets tullkriminalverksamhet har använt molntjänsten Google Foto i sina tjänstemobiler. Tjänstemännen hade kopplat sina privata Google Foto-konton till sina tjänstemobiler som automatiskt synkat de tjänsterelaterade upptagningarna till molnlagringsfunktionen. Tjänstemännen måste anses ha oavsiktligt röjt eventuella personuppgifter tillhörande individer som varit föremål för brottsmisstankar eller ingått i brottsutredningar genom att fotografier och filmer som tagits i tjänsten har hamnat i programvaran som lagrar information i molnet. När medarbetarna upptäckte att dessa arbetsrelaterade upptagningar legat lagrade i molnet har de kontinuerligt raderats från kontot som varit kopplade till tjänstemobilen. 08-657 61 00

Det skedde redan innan den anmälda personuppgiftsincidenten uppdagades. Användningen av den aktuella tjänsten var inte tillåten. Tullverkets bedömning är att risken för att personuppgifterna har spridits är låg eftersom uppgifterna har funnits på lösenordskyddade konton hos Google.

I samband med incidenten stoppade verksamheten användandet av molntjänsten via meddelande den 8 november 2019 till ansvariga chefer och medarbetare inom avdelningen att tjänsten inte får användas. Den 20 november 2019 infördes en ny skyddsåtgärd för tjänstemobilen där möjligheten att ladda ner applikationer från App Store blockerades och alla applikationer som kunde innehålla sårbarheter avinstallerades från tjänstemobilerna. Enbart applikationer distribuerade via Tullverkets EMM-plattform (Enterprise Mobility Management) är i nuläget tillgängliga i medarbetarnas tjänstemobiler. Införande av nya applikationer till tjänstemobilerna hanteras numera enligt en särskild rutin. Information om hur tjänstemobilerna får användas har kommunicerats till medarbetare i Tullverket på nytt.

Tullverket bedriver ett kontinuerligt arbete med säkerhets- och integritetsfrågor. I detta arbete ingår att löpande utvärdera befintliga säkerhetsåtgärder, såväl tekniska som organisatoriska, och att vid behov justera och uppdatera dem i förhållande till riskerna för myndighetens IT-säkerhet samt registrerades rättigheter. En stor del av Tullverkets medarbetare är i behov av applikationer i tjänstemobilen för att kunna utföra sina arbetsuppgifter. Att helt förbjuda användning av applikationer har av denna anledning inte varit möjligt. Mobil- och appsäkerhet är och har varit ett område i fokus för Tullverket. Av säkerhetsskäl genomfördes 2017 ett byte av mobilleverantör. Funktionalitet i vissa applikationer har också varit begränsad eller avstängd. Under hösten 2019 annonserades att man skulle genomföra en större upptrappning av mobilskyddet som innebar att tillgängliga applikationer för nedladdning begränsades samt att befintliga applikationer som inte uppfyllde Tullverkets krav raderades. Det förstärkta mobilskyddet skulle träda ikraft den 11 november 2019. Redan innan detta hade Tullverkets IT-avdelning emellertid gjort ett arbete för att minska antalet applikationer på medarbetarnas tjänstemobiler. I det arbetet begränsades applikationer som hade för få användare eller som visat sig vara uppenbart skadliga. Google Foto hade laddats ner innan möjligheten att ladda ner applikationer begränsades. För Tullverkets brottsbekämpande verksamhet – inom vilken den aktuella incidenten inträffade - fanns emellertid instruktioner om att enbart godkända applikationer och andra datamedier fick användas i tjänsten.

Visserligen har Tullverket inte omedelbart spärrat nedladdningen av applikationer från App Store i samband med att tjänstemobilerna byttes ut, men myndigheten har kontinuerligt utvärderat risker med användningen av applikationer och snabbt trappat upp begränsningar i användningen av dessa i samband med att befintliga säkerhetsåtgärder följts upp.

Tullverket har också vidtagit organisatoriska åtgärder för att skydda de personuppgifter som behandlas i verksamheten. Tullverket har bland annat tagit fram riktlinjer, genomfört utbildningar, publicerat information på intranätet och upprättat villkor för användning av mobila enheter för att öka anställdas medvetenhet kring informationssäkerhetsfrågor i allmänhet, och användningen av tjänstemobil och molntjänster i synnerhet. För att få börja använda tjänstemobil som medarbetare i Tullverket krävs att man tar del av och godkänner en text. I texten anges bl.a. att information som tillhör Tullverket endast får hanteras och sparas i Tullverkets informationssystem, eller i IT-utrustning eller kringutrustning som har godkänts av Tullverket. Texten är ett utdrag ur Tullverkets interna regel för verksamhetsskydd STY

2018-132 som även ingår i Tullverkets introduktionsutbildning. Likartad information om hur tjänstemobilen får användas har även publicerats på Tullverkets intranät. Gällande användning av applikationer anges exempelvis att intern och/eller skyddad information aldrig ska hanteras i applikationer och/eller tjänster som inte är tillhandahållna av Tullverket. Vidare har anställda varnats i artiklar som publicerats på intranätet om att användning av vissa applikationer som laddas ner kan medföra att informationen inte längre är privat då många applikationer och tjänster lagrar information i molnet. Anställda påminns även om att ta hänsyn till informationsklassningen när de laddar ner eller använder applikationer eftersom det kan ha direkt påverkan på Tullverkets informationssäkerhet. Anställda som inte har kunskap om vad som händer när man laddar ned en viss applikation till sin mobila enhet rekommenderas också att avstå från sådana nedladdningar.

Med tanke på att de upptagningar som föranlett anmälan av personuppgiftsincidenten har raderats går det inte att ange vilka eller hur många personer som kan ha berörts. Av den anledningen har Tullverket bedömt det som omöjligt att informera eventuella berörda personer.

Tullverket har i ärendet lämnat in interna dokument som reglerar användningen av mobila kommunikationsenheter, bland annat myndighetens riktlinjer för hantering av information i tjänstemobiler och information om telefonanvändning som publicerats på intranätet före respektive efter incidenten samt kursplaner avseende utbildningar i informationssäkerhet, verksamhetsskydd och personuppgiftsbehandling.

Motivering av beslutet

Tullverket är personuppgiftsansvarig för hur anställda behandlar personuppgifter på tjänstemobiler

Tullverket är enligt 3 kap. 1 § BDL och 1 kap. 3 § lagen (2018:1694) om Tullverkets behandling av personuppgifter inom brottsdatalagens område (Tullverkets brottsdatalag) personuppgiftsansvarig för all behandling av personuppgifter som utförs under myndighetens ledning eller på myndighetens vägnar. Det innebär att Tullverket ansvarar för den personuppgiftsbehandling som anställda hos Tullverket utför inom brottsdatalagens område, till exempel den behandling som sker för att förebygga, förhindra eller upptäcka brottslig verksamhet. Som ett led i det ansvaret behöver Tullverket bland annat se till att lämpliga tekniska och organisatoriska åtgärder vidtas för att säkerställa och visa att myndighetens personuppgiftsbehandling är författningsenlig och för att skydda de personuppgifter som behandlas. Det behöver till exempel finnas tydliga rutiner och riktlinjer för anställdas användning av tjänstemobiler och de anställda behöver också få utbildning och information om hur personuppgifter får behandlas på telefonerna.

Tullverket har angett att användningen av Google Foto inte var tillåten inom myndigheten. Medarbetarna har dock använt programmet på tjänstemobiler när de utfört sina arbetsuppgifter på myndigheten. Den omständigheten att användningen av Google Foto var otillåten fråntar inte Tullverket det ansvar som myndigheten har som personuppgiftsansvarig. Tullverket är mot denna bakgrund ansvarig för den behandling som medarbetarna har utfört i samband med användningen av Google Foto.

Tullverket måste vidta lämpliga tekniska och organisatoriska åtgärder för att skydda informationen på tjänstemobiler

Utredningen visar att Tullverket, genom användning av applikationen Google Foto, har behandlat ett okänt antal personuppgifter från den brottsbekämpande verksamheten i en molntjänst. Som Tullverket konstaterar har myndigheten vid användningen av molntjänsten oavsiktligt röjt personuppgifter tillhörande individer som varit föremål för brottsmisstankar eller ingått i brottsutredningar.

Som personuppgiftsansvarig har Tullverket enligt 3 kap. 2 § BDL en skyldighet att, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa och kunna visa att myndighetens behandling av personuppgifter är författningsenlig och att den registrerades rättigheter skyddas. Detta innebär bland annat åtgärder i form av att anta interna strategier för dataskydd, att informera och utbilda personalen och säkerställa teknisk spårbarhet genom loggning och logguppföljning. Av 3 kap. 1 § brottsdataförordningen (2018:1202), BDF, framgår att de tekniska och organisatoriska åtgärder som den personuppgiftsansvarige ska vidta ska vara rimliga med hänsyn till behandlingens art, omfattning, sammanhang och ändamål och de särskilda riskerna med behandlingen.

Tullverket ska enligt 3 kap. 8 § BDL också vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada. Sådana åtgärder kan till exempel vara utbildning i datasäkerhet och information om vikten av att följande gällande säkerhetsrutiner. Säkerhetsåtgärderna ska enligt 3 kap. 11 § BDF åstadkomma en skyddsnivå som är lämplig med hänsyn till bland annat behandlingens art, omfattning, sammanhang och ändamål, de särskilda riskerna med behandlingen och hur integritetskänsliga personuppgifterna som behandlas är.

När personuppgifter hanteras på mobila kommunikationsenheter, t.ex. en tjänstemobil, finns det betydande risker att personuppgifter sprids på ett oavsiktligt sätt. För att säkerhetsnivån ska anses vara tillräcklig krävs därför att det finns genomtänkta skriftliga instruktioner för denna typ av hantering. Det måste även finnas en medvetenhet inom organisationen om att behandlingen av integritetskänsliga uppgifter i mobila enheter kan innebära vissa särskilda risker som kan få svåra konsekvenser för den vars personuppgifter riskerar att spridas. På en tjänstemobil går det att utnyttja olika typer av tjänster och ladda ner applikationer som kan påverka säkerheten och innebära oavsiktlig spridning av personuppgifter. Att en tjänstemobil även kan användas för privat bruk innebär vidare en risk för sammanblandning mellan arbetsrelaterat och privat material.

Det hör till sakens natur att den information Tullverket hanterar enligt BDL och Tullverkets brottsdatalag ofta är integritetskänslig. Uppgifter om brott eller misstanke om brott är exempel på sådana kategorier av personuppgifter som är särskilt integritetskänsliga. Sådana uppgifter omfattas också ofta av sekretess, till exempel enligt 35 kap. 1 § offentlighets- och sekretesslagen (2009:400). Bilder och filmer som hanteras inom ramen för den brottsbekämpande verksamheten kan i sig vara mycket integritetskänsliga.

När integritetskänsliga uppgifter behandlas på en tjänstemobil, som innebär särskilda risker ur integritetssynpunkt, krävs det som framgår ovan tydliga riktlinjer samt genomtänkta och väl implementerade skriftliga instruktioner för att undvika att integritetskänslig och sekretessbelagd information oavsiktligt sprids. Därutöver måste tekniska åtgärder vidtas för att begränsa risken för att instruktionerna inte följs.

Den information som fanns på Tullverkets intranät innan incidenten berörde förvisso risker som finns vid användande av applikationer t.ex. att bilder kan komma att lagras både i mobiltelefonen och i molnet. I instruktionen angavs bland annat att intern eller skyddad information aldrig ska hanteras i applikationer som inte är tillhandahållna av Tullverket och att användare bör avvakta med att ladda ner en applikation om denne är tveksam till vad applikationen samlar in för information. I instruktionerna lämnades dock inte någon detaljerad information om vilka applikationer som är tillåtna att ladda ner eller information om begränsningar för privat användning. Inte heller i övrigt har Tullverket visat att myndigheten lämnat sådan information till medarbetarna före incidenten. Det har inte heller funnits någon teknisk begränsning för vilka applikationer som kunde laddas ner.

Sammantaget bedömer IMY de tekniska och organisatoriska åtgärder som vidtagits före den aktuella incidenten inte var tillräckliga för att Tullverket ska anses ha uppfyllt kraven i 3 kap. 2 och 8 §§ BDL på att säkerställa och kunna visa att personuppgiftsbehandlingen var författningsenlig samt på att skydda personuppgifterna från obehörig eller otillåten behandling. Tullverket har därför överträtt dessa bestämmelser.

IMY noterar att Tullverket, efter att incidenten inträffat, har förtydligat sina riktlinjer för hantering av information i tjänstemobiler samt har tagit fram nya rutiner för införande av nya applikationer och infört tekniska begräsningar avseende vilka applikationer som kan användas i tjänsten.

Val av ingripande

I 5 kap. 7 § BDL anges de korrigerande befogenheter IMY kan använda vid överträdelser av nämnda lag. Dessa utgörs av bland annat förelägganden, förbud mot behandling samt utfärdande av sanktionsavgift.

Enligt 6 kap. 1 och 2 §§ BDL kan IMY utfärda sanktionsavgift vid överträdelse av bland annat bestämmelserna i 3 kap. 2 och 8 §§ BDL. Sanktionsavgiften ska uppfylla de krav som ställs i artikel 57 i brottsdatadirektivet på att sanktioner ska vara proportionella, avskräckande och effektiva. Av 6 kap. 3 § andra stycket BDL följer att för en överträdelse av 3 kap. 2 och 8 §§ BDL får en sanktionsavgift uppgå till högst tio miljoner kronor.

Vid bedömningen av om en sanktionsavgift ska tas ut och sanktionsavgiftens storlek ska särskild hänsyn tas till de omständigheter som anges i 6 kap. 4 § BDL, dvs. om överträdelsen varit uppsåtlig eller berott på oaktsamhet, den skada, fara eller kränkning som överträdelsen inneburit, överträdelsens karaktär, svårhetsgrad och varaktighet, vad den personuppgiftsansvarige eller personuppgiftsbiträdet gjort för att begränsa verkningarna av överträdelsen, samt om den personuppgiftsansvarige eller

personuppgiftsbiträdet tidigare ålagts att betala en sanktionsavgift. Uppräkningen är inte uttömmande utan anger de omständigheter som är särskilt viktiga och det finns utrymme att beakta andra försvårande eller förmildrande omständigheter.

Enligt 6 kap. 5 § BDL får en sanktionsavgift sättas ned helt eller delvis om överträdelsen är ursäktlig eller det skulle vara oskäligt att utfärda sanktionsavgift. Den omständigheten att en överträdelse berott på att den personuppgiftsansvarig inte haft tillräckligt bra rutiner är inte en anledning att sätta ned sanktionsavgiften.

IMY konstaterar att Tullverket brustit i sitt personuppgiftsansvar när medarbetare på myndigheten har använt sig av Google Foto i tullkriminalverksamheten. När det gäller skadan som överträdelserna inneburit har det saknats förutsättningar för att utreda om de personer som förekommit på bilder eller i filmer som laddats upp i Google Foto har lidit någon faktisk skada. Det har i huvudsak att göra med att upptagningarna som lagrats i molnet kontinuerligt raderats. Av samma skäl har det inte varit möjligt att närmare utreda vilka eller hur många som förekommit på de aktuella bilderna och filmerna. Det står dock klart att Tullverket tappat kontrollen över ett okänt antal olika kategorier av uppgifter som inneburit risk för skada. Detta gäller oavsett att kontona varit skyddade med lösenord.

Enligt IMY finns det anledning att se allvarligt på risken för spridning i situationer som det är fråga om i detta fall. Detta särskilt då det handlar om kategorier av personuppgifter som förekommer inom brottsbekämpande verksamhet och som till sin natur är integritetskänsliga och behöver ett särskilt skydd. De bristande tekniska och organisatoriska åtgärderna har medfört att behandlingen av personuppgifter har skett utanför Tullverkets kontroll hos en privat tjänsteleverantör och utan någon förhandsbedömning av behandlingens intrång i enskildas personliga integritet. Den omständigheten att det saknats möjlighet att utreda incidenten närmare visar på vikten av att säkerställa att uppgifter behandlas inom det egna verksamhetsstödet så att kontrollen över personuppgifter eller information som omfattas av sekretess inte förloras. Det faktum att det med hög sannolikhet varit fråga om uppgifter om brott eller misstanke om brott eller andra integritetskänsliga uppgifter är att betrakta som en försvårande omständighet.

IMY bedömer att de omständigheter som redogjorts för ovan innebär att det är fråga om en allvarlig överträdelse som dels motiverar att en sanktionsavgift tas ut, dels att avgiften bestäms till ett förhållandevis högt belopp.

I ärendet har dock även framkommit ett antal förmildrande omständigheter. Det har till att börja med endast varit fråga om ett fåtal medarbetare som utan myndighetens godkännande använt den aktuella molntjänsten. Sedan de aktuella medarbetarna upptäckt att material lagrats i molntjänsten har de kontinuerligt raderat de bilder och filmer som laddats upp, vilket minskat riskerna med behandlingen. Vidare har Tullverket efter den inträffade incidenten vidtagit både tekniska och organisatoriska åtgärder för att förebygga liknande incidenter, bland annat genom att förtydliga riktlinjer och begränsa möjligheterna att ladda ner applikationer. Även den omständigheten att incidenten kommit till IMY:s kännedom genom anmälan från Tullverket talar i mildrande riktning. IMY konstaterar dock att det i detta fall är fråga om en incident som Tullverket enligt 3 kap. 9 § BDL är skyldig att anmäla till IMY. Att incidenten kommit till IMY:s kännedom genom Tullverkets anmälan kan därför endast

anses vara mildrande i en begränsad utsträckning. De förmildrande omständigheterna är sådana att sanktionsavgiften ska bestämmas till ett avsevärt lägre belopp än vad som annars varit motiverat.

Utifrån en samlad bedömning bestämmer IMY att Tullverket ska betala en sanktionsavgift på 300 000 kronor. Skäl att enligt 6 kap. 5 § BDL helt eller delvis sätta ned sanktionsavgiften har enligt IMY inte framkommit.

Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Jonas Agnvall. Vid den slutliga handläggningen har även rättschefen David Törngren och enhetschefen Charlotte Waller Dahlberg medverkat. Itsäkerhetsspecialisten Johan Ma har medverkat i de bedömningar som rör informationssäkerhet.

Lena Lindgren Schelin, 2022-03-14 (Det här är en elektronisk signatur)

Bilaga

Hur man betalar sanktionsavgift

Kopia för kännedom till

Dataskyddsombudet: dataskyddsombud@tullverket.se

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.