SJ AB

IMY-2022-9442 Beslut efter tillsyn enligt

dataskyddsförordningen – SJ AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att SJ AB (556196-1599) i sin hantering av klagandens begäran om tillgång som gjordes den 9 februari 2022 har behandlat personuppgifter i strid med:

- artikel 12.3 i dataskyddsförordningen genom att inte utan onödigt dröjsmål ha tillgodosett klagandens rätt till tillgång enligt artikel 15 i dataskyddsförordningen, - artikel 15.1 a-h och 15.2 i dataskyddsförordningen, genom att inte ha tillhandahållit klaganden i egenskap av kund hos SJ all den information som anges i dessa bestämmelser och - artikel 15.3 i dataskyddsförordningen genom att i den kopia på personuppgifter som SJ AB lämnat inte ha gett tillgång till samtliga personuppgifter som SJ AB behandlar om klaganden.

Integritetsskyddsmyndigheten ger SJ AB en reprimand enligt artikel 58.2 b i dataskyddsförordningen för överträdelse av artiklarna 12.3, 15.1 a-h och 15.2 samt 15.3 i dataskyddsförordningen.

Integritetsskyddsmyndigheten förelägger SJ AB enligt artikel 58.2 c i dataskyddsförordningen att tillmötesgå klagandens begäran om tillgång enligt artikel 15 i dataskyddsförordningen genom att, med förbehåll för eventuellt tillämpliga undantag i artikel 15.4 i dataskyddsförordningen och 5 kap. dataskyddslagen , lämna klaganden tillgång till samtliga personuppgifter som SJ AB behandlar om klaganden genom att förse klaganden med en kopia på personuppgifterna enligt artikel 15.3 samt lämna information enligt artiklarna 15.1 a-h och 15.2. Åtgärderna ska vara genomförda senast två veckor efter att detta beslut vunnit laga kraft.

Redogörelse för tillsynsärendet

Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot SJ AB (SJ) med anledning av klagomål rörande en begäran om tillgång enligt artikel 15 i dataskyddsförordningen.

Av klagomålen framgår i huvudsak följande. Klaganden har den 9 februari 2022 skickat en begäran om tillgång enligt artikel 15 i dataskyddsförordningen till SJ, både via bolagets portal med signering via bank-id och via e-post, utan att få svar. Klaganden begärde därför återigen tillgång enligt artikel 15 i dataskyddsförordningen. Klaganden gör gällande att den information hen sedan fick tillgång till var begränsad och bland annat saknat svar på klagandens frågor om vilka tredjeparter bolaget lämnat klagandes personuppgifter till.

SJ har i ett yttrande till IMY den 18 november 2022 i huvudsak uppgett följande. Klagandens initiala begäran om registerutdrag inkom via e-post den 9 februari 2022. SJ har på sin webbplats ett formulär för att ta hand om de registrerades rättigheter där begäran signeras med mobilt bank-id. Där finns också information om hur de registrerade ska gå tillväga för att få sina rättigheter tillgodosedda om mobilt bank-id saknas. Klaganden hade tekniska problem att använda mobilt bank-id och felsökning genomfördes. Inga störningar hos SJ kunde identifieras. Klaganden uppmanades att lämna information för manuell säker identifiering per telefon av SJ:s kundombudsman den 15 februari 2022. Efter viss ytterligare korrespondens mottog SJ den 19 april 2022 begäran om registerutdrag från klaganden med säker identifiering genom mobilt bank-id. Registerutdraget sammanställdes därefter och skickades i två omgångar. En del den 3 maj 2022 för hanteringen av personuppgifter i klagandens egenskap av tidigare anställd på SJ och en del den 18 maj 2022 för hantering av personuppgifter i klagandens egenskap av kund hos SJ.

I fråga om information enligt artikel 15.1 a-h och 15.2 i dataskyddsförordningen har SJ lämnat information om personuppgiftsbehandling av klaganden i egenskap av tidigare anställd. Av misstag bildades inte den fullständiga informationen om personuppgiftsbehandling av klaganden i egenskap av kund, utan endast en kortfattad version lämnades. Den fullständiga texten återfinns lättillgängligt på bolagets hemsida. SJ har konstaterat att informationen som lämnas i samband med registerutdrag, bland annat vad gäller överföring till tredjeland, har behov av förtydliganden.

I fråga om kopia på de personuppgifter som är under behandling enligt artikel 15.3 är SJ:s inställning att när registerutdraget lämnades ut i maj 2022 skedde det i enlighet med SJ:s då gällande och fastställda rutin och att klaganden gavs tillgång till samtliga personuppgifter som SJ behandlar. Med anledning av information från klaganden som framkommit i ett civilrättsligt tvistemål har SJ gjort ytterligare efterforskningar och konstaterat följande.

Vid tillfället ingick det inte i SJ:s rutin att genomsöka SJ:s e-postsystem. Som en följd därav har personuppgifter om klaganden i e-post som hanteras utanför kundtjänsten inte ingått i registerutdraget.

Vid sökning i systemet för kundärenden sökte SJ på klagandens e-postadress med gemener utan några resultat. Den del av registerutdraget som avsåg kundärenden blev därför tom och togs bort. Som en följd av detta har personuppgifter om klaganden i kundärenden inte ingått i registerutdraget. Vid de ytterligare efterforskningar som SJ vidtog med anledning av det civilrättsliga tvistemålet, sökte SJ på versaler i e-

postadressen och kunde hitta kundärendet som avsåg begäran om tillgång. SJ hade inte kännedom om att systemet var känsligt för gemener och versaler.

I den del i registerutdraget som avsåg kundärenden fanns även information om hur en registrerad skulle agera för det fall en registrerad önskade tillgång till epostmeddelanden som skickats mellan en registrerad och kundtjänst samt om man vill ta del av samtal som man haft med kundtjänst. Eftersom den delen togs bort fick klaganden inte del av denna information. SJ har konstaterat att den informationen också ska kompletteras med en upplysning om hur en registrerad ska agera om den önskar tillgång till personuppgifter som förekommer i chattar med SJ:s kundtjänst.

I fråga om uppgifter i resehistorik angav klaganden en e-postadress och ett telefonnummer i samband med att klaganden identifierade sig med mobilt bank-id på webbsidan. När begäran mottogs fick SJ fram, utifrån det personnummer som är kopplat till det aktuella bank-id, klagandens kundprofil hos SJ i egenskap av SJ Priomedlem. I kundprofilen är en annan e-postadress och ett annat telefonnummer registrerat än det som angavs i samband med begäran. Sökningen på personuppgifter i resehistorik gjordes endast på kontaktuppgifterna som fanns i SJ:s kundprofil. Det framgår av registerutdraget under rubriken köp- och resehistorik. Det innebär att resehistoriken i registerutdraget inte är fullständig då klaganden även har bokat resor med den e-postadress och det telefonnummer som angavs i samband med begäran om registerutdrag. Orsaken till denna rutin är att SJ inte har velat riskera att personuppgifter tillhörande någon annan registrerad än den med bank-id identifierade personen omfattas av utdraget.

I registerutdraget avseende uppgifter om klaganden i hens egenskap som anställd har det inte ingått uppgifter av mer teknisk karaktär som kan förekomma i loggar. Då uppgifterna är omfattande har klaganden informerats om detta i ett följebrev till registerutdraget och uppmanats att kontakta SJ med en begäran om att få tillgång till dessa uppgifter.

Personuppgifter hänförliga till klagandens anställning vid SJ har inhämtats från SJ:s digitala HR-system och omfattar klagandens anställning från och med år 2008 eftersom systemet hanterar anställningsdata från år 2008 och framåt. SJ har fysiska personalakter för både anställda och tidigare anställda förvarade hos ett personuppgiftsbiträde. Vid senare eftersökningar har SJ kunnat konstatera att det finns ytterligare information avseende klaganden hänförlig till tidigare anställningar före år 2008. SJ konstaterar att texten i registerutdraget ska kompletteras med information om att för det fall en registrerad som begär utdrag har varit anställd hos SJ före år 2008 önskar få del av dessa ska den registrerade uppge detta och äldre personalakter ska då rekvireras från personuppgiftsbiträdet.

SJ ser för närvarande över och uppdaterar rutinerna i förhållande till registerutdrag för att försäkra sig om att följa dataskyddsförordningen. För att SJ ska kunna lämna ut klagandens personuppgifter som kan förekomma i omfattande uppgiftssamlingar kan det vara nödvändigt att klaganden lämnar kompletterande information som gör identifiering av dennes personuppgifter möjlig och/eller att klagande specificerar sin begäran.

SJ avslutade ärendet avseende klagandens begäran den 18 maj 2022 efter att då ha gjort bedömningen att ett fullständigt registerutdrag hade lämnats ut i rätt tid. SJ har inte uppfattat det som en skyldighet enligt dataskyddsförordningen att i efterhand åtgärda brister i ett registerutdrag vilka har framkommit efter utlämnandet. SJ kommer

att hantera framtida begäranden om tillgång med beaktande av de brister som framkommit.

Motivering av beslutet

Tillämpliga bestämmelser

Den personuppgiftsansvariga är skyldig att, till var och en som begär det, lämna besked om personuppgifter som rör den sökande behandlas eller inte. Behandlas sådana uppgifter ska den personuppgiftsansvariga, i enlighet med artikel 15 i dataskyddsförordningen, lämna den registrerade kompletterande information om bland annat ändamålen med behandlingen och mottagare av uppgifterna samt en kopia på de personuppgifter som den personuppgiftsansvariga behandlar. Av artikel 15.1 och 15.2 följer vilken kompletterande information som ska lämnas till den registrerade. Enligt artikel 15.3 ska den personuppgiftsansvariga förse den registrerade med en kopia på de personuppgifter som är under behandling.

I artikel 11.1 i dataskyddsförordningen anges att om de ändamål för vilka den personuppgiftsansvarige behandlar personuppgifter inte kräver eller inte längre kräver att den registrerade identifieras av den personuppgiftsansvarige, ska den personuppgiftsansvarige inte vara tvungen att bevara, förvärva eller behandla ytterligare information för att identifiera den registrerade endast i syfte att följa denna förordning.

Enligt artikel 11.2 i dataskyddsförordningen gäller att om den personuppgiftsansvarige, i de fall som avses i punkt 1 i denna artikel, kan visa att denne inte är i stånd att identifiera den registrerade, ska den personuppgiftsansvarige om möjligt informera den registrerade om detta. I sådana fall ska artiklarna 15–20 inte gälla, förutom när den registrerade för utövande av sina rättigheter i enlighet med dessa artiklar tillhandahåller ytterligare information som gör identifieringen möjlig.

Av artikel 12.2 i dataskyddsförordningen följer att den personuppgiftsansvarige ska underlätta utövandet av den registrerades rätt till tillgång enligt artikel 15.

I artikel 12.6 i dataskyddsförordningen anges att utan att det påverkar tillämpningen av artikel 11 får den personuppgiftsansvarige, om denne har rimliga skäl att betvivla identiteten hos den fysiska person som lämnar in en begäran enligt artiklarna 15–21, begära att ytterligare information som är nödvändig för att bekräfta den registrerades identitet tillhandahålls.

Av artikel 12.3 i dataskyddsförordningen framgår att den personuppgiftsansvarige på begäran, utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran, tillhandahålla den registrerade information om de åtgärder som vidtagits enligt artikel 15 i dataskyddsförordningen. Denna period får vid behov förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet inkomna begäranden.

Om tidsfristen om en månad förlängs, ska den personuppgiftsansvarige underrätta den registrerade om förlängningen inom en månad från det att begäran mottagits samt ange orsakerna till förseningen.

Integritetsskyddsmyndighetens bedömning

IMY har med utgångspunkt i de aktuella klagomålen i ärendet granskat bolagets agerande i det enskilda fallet och då avseende om bolaget har hanterat klagandens begäran om tillgång som gjordes den 9 februari 2022 i enlighet med artikel 12 och artikel 15 i dataskyddsförordningen. IMY har inte granskat SJ:s generella rutiner för hantering av begäran om tillgång enligt artikel 15 i dataskyddsförordningen.

Har bolaget hanterat klagandens begäran om tillgång i rätt tid enligt artikel 12.3 i dataskyddsförordningen?

En personuppgiftsansvarig ska enligt artikel 12.3 i dataskyddsförordningen hantera en begäran om tillgång enligt artikel 15 i dataskyddsförordningen utan onödigt dröjsmål och senast inom en månad från det att begäran togs emot. Av utredningen i ärendet framgår att SJ tog emot klagandens begäran om tillgång den 9 februari 2022. Tidsfristen börjar således löpa från det datumet. Av utredningen i ärendet framgår vidare att klaganden hade tekniska problem med att använda mobilt bank-id för verifiering av sin identitet varför SJ den 15 februari 2022, dvs. sex dagar efter det att klaganden inkommit med sin begäran, har vänt sig till klaganden med en begäran om ytterligare information för manuell säker identifiering för att på så sätt säkerställa att personuppgifter inte röjs till obehörig.

IMY bedömer att SJ utan onödigt dröjsmål vänt sig till klaganden med en begäran om ytterligare information för att verifiera klagandens identitet och att tidsfristen under sådana omständigheter därför tillfälligt stoppas till dess att den personuppgiftsansvarige fått den information som behövs för verifiering . Av utredningen i ärendet framgår att klaganden därefter, genom mobilt bank-id, verifierade sin identitet den 19 april 2022. Tidsfristen fortsätter därmed att löpa från den dagen.

Mot bakgrund av ovan angivna omständigheter konstaterar IMY att SJ, för att hålla sig inom den stipulerade tidsfristen om en månad, borde ha lämnat tillgång enligt artikel 15 i dataskyddsförordningen senast den 13 maj 2022. Av utredning i ärendet framgår att klaganden fått del av vissa uppgifter den 3 maj 2022 men att andra uppgifter lämnades först den 18 maj 2022. Det har i ärendet inte framkommit att SJ har underrättat klaganden om en förlängning av den stipulerade tidsfristen om en månad.

IMY finner därmed att SJ har behandlat klagandens personuppgifter i strid med artikel 12.3 i dataskyddsförordningen genom att inte utan onödigt dröjsmål, eller senast inom en månad, ha tillgodosett klagandes begäran om tillgång enligt artikel 15 i dataskyddsförordningen.

Har bolaget lämnat information i enlighet med artikel 15.1 a-h och 15.2 i dataskyddsförordningen?

Av utredningen i ärendet framgår att SJ behandlar personuppgifter om klaganden både i egenskap av kund hos SJ och i egenskap av tidigare anställd hos SJ.

SJ har uppgett att klaganden tillhandahållits information enligt artikel 15.1 a-h och 15.2 i dataskyddsförordningen kopplat till de personuppgifter SJ behandlar om den klagande i egenskap av tidigare anställd hos bolaget.

Av utredningen framgår däremot att klaganden i egenskap av kund hos SJ endast har fått tillgång till en kortfattad version av den kompletterande information som enligt artikel 15.1 a-h och 15.2 i dataskyddsförordningen ska lämnas till den registrerade vid en begäran om tillgång. Vad SJ har anfört om att fullständig information fanns tillgänglig på bolagets hemsida läker inte denna brist.

IMY konstaterar således att SJ i sin hantering av klagandens begäran om tillgång har behandlat personuppgifter i strid med artikel 15.1 a-h och 15.2 i dataskyddsförordningen genom att inte tillhandahålla klaganden all den information som anges i dessa bestämmelser.

Har bolaget gett tillgång till samtliga personuppgifter under behandling i enlighet med artikel 15.3 i dataskyddsförordningen?

Syftet med rätten till tillgång är att den registrerade ska bli medveten om den behandling som sker och kunna kontrollera att den är laglig. Den personuppgiftsansvarige måste därför säkerställa att den kopia på personuppgifter som tillhandhålls innehåller alla de personuppgifter som behandlas om den registrerade och är utformad på ett sätt som är begripligt för den registrerade.

Kopia på personuppgifter SJ behandlar om klaganden i egenskap av kund

SJ har uppgett att personuppgifter om klaganden i e-post som hanteras utanför kundtjänsten inte har ingått i den kopia på personuppgifter som lämnats till klaganden.

Vidare har SJ uppgett att personuppgifter om klaganden i SJ:s system för kundärenden inte heller ingått i den kopia på personuppgifter som lämnats till klaganden eftersom en sökning på klagandens e-postadress med gemener inte gav någon träff i systemet. SJ har därefter konstaterat att det vid tidpunkten för begäran fanns ett kundärende gällande klagandens begäran om tillgång, men att det inte upptäcktes eftersom SJ saknade kännedom om att systemet var känsligt för gemener och versaler. Som en följd av att sökningen på klagandens e-postadress inte gav någon träff och personuppgifter om klaganden i SJ:s system för kundärenden inte ingått i den kopia som lämnats till klaganden har klaganden inte heller informerats om hur hen kan få tillgång till de personuppgifter som inte som standard ingår i den kopia på personuppgifter som SJ tillhandahåller den registrerade, nämligen personuppgifter i e-postsystem i kundärenden och i samtal med kundservice. Klaganden har således inte heller tillhandahållits dessa personuppgifter i den kopia på personuppgifter som lämnats. Kopian på personuppgifter har inte heller omfattat personuppgifter i chattar med kundtjänst. SJ har inte heller lämnat någon information till klaganden om hur tillgång till dessa personuppgifter kan begäras.

I fråga om tillgång till personuppgifter i resehistorik har SJ uppgett att bolaget har som rutin att endast söka på den e-postadress och det telefonnummer som finns inlagt i kundprofilen som är kopplad till det bank-id som används vid begäran. Orsaken till denna rutin är enligt vad SJ uppgett att de inte har velat riskera att personuppgifter tillhörande någon annan registrerad än den med bank-id identifierade personen omfattas av utdraget.

Härvid gör IMY följande bedömning. En registrerad ska ges tillgång till all information som den personuppgiftsansvarige behandlar om hen. Det innebär bland annat att den

personuppgiftsansvarige ska söka efter personuppgifter om den registrerade i sina ITsystem. IMY anser att den personuppgiftsansvarige vid en sådan sökning bör använda all tillgänglig information om den registrerade som sannolikt kommer att resultera i träffar mot bakgrund av hur informationen har strukturerats i systemen. Om informationen har strukturerats utifrån direkta eller indirekta identifierare, till exempel kundnummer, användarnamn eller e-postadresser, bör den personuppgiftsansvariges sökning omfatta även dessa faktorer förutsatt att denne innehar uppgifter som gör det möjligt att koppla dessa identifierare till den registrerade, eller får den informationen från den registrerade.

Av uppgifter i ärendet framgår att klaganden vid begäran, i samband med att hen identifierade sig med mobilt bank-id, angav en annan e-postadress och telefonnummer än de som fanns i kundprofilen. IMY anser därvid att det ålegat SJ att söka efter personuppgifter i form av resehistorik kopplade till de uppgifter klaganden har lämnat, i det här fallet en e-postadress samt ett telefonnummer. För det fall att SJ, efter att ha fått fram personuppgifter i resehistorik vid en sådan sökning, skulle ha haft tvivel rörande personuppgifternas koppling till den klaganden eller haft rimliga skäl att betvivla identiteten hos klaganden, hade SJ i en sådan situation haft att efterfråga mer information från den klaganden. Det har inte framkommit av utredningen i ärendet att SJ gett klaganden möjlighet att inkomma med ytterligare information för att bekräfta identiteten bakom e-postadressen och telefonnumret. IMY konstaterar att SJ, genom att endast söka på personuppgifter i resehistorik kopplat till de kontaktuppgifter som fanns i kundprofilen trots information från den klaganden om annan e-postadress och annat telefonnummer, därmed inte har vidtagit tillräckliga åtgärder för att tillse att kopian på personuppgifter omfattade samtliga de personuppgifter som SJ behandlade om klaganden vid tidpunkten för begäran. Till följd av att SJ endast har sökt på den epostadress och det telefonnummer som fanns i klagandens kundprofil fick inte klaganden tillgång till samtliga hens personuppgifter i resehistoriken.

IMY konstaterar sammanfattningsvis och mot bakgrund av ovanstående att den kopia på personuppgifter som SJ behandlar om klaganden i egenskap av kund och som SJ har lämnat till klaganden inte omfattat samtliga personuppgifter som SJ behandlade om klaganden vid tidpunkten för begäran.

Kopia på personuppgifter SJ behandlar om klaganden i egenskap av tidigare anställd

I den kopia på personuppgifter som SJ behandlar om klaganden i egenskap av tidigare anställd hos SJ och som SJ har tillhandahållit klaganden har endast personuppgifter från SJ:s digitala HR-system – som hanterar anställningsdata från 2008 och framåt – ingått. SJ har fysiska personalakter för både anställda och tidigare anställda förvarade hos ett personuppgiftsbiträde och har konstaterat att det finns ytterligare information avseende klaganden hänförligt till tidigare anställningar före år 2008. Kopian på personuppgifter som tillhandahållits klaganden har inte omfattat personuppgifter hänförliga till klagandens anställningar före år 2008. SJ har inte heller lämnat någon information till klaganden om hur tillgång till dessa personuppgifter kan begäras.

I kopian på personuppgifter som SJ behandlar om klaganden i egenskap av tidigare anställd hos SJ har det inte ingått uppgifter av mer teknisk karaktär som kan förekomma i loggar, till exempel loggar vid inloggning i olika system. SJ har i yttrande

uppgett att klaganden i ett följebrev har informerats om det och hur denne kan begära tillgång till dessa uppgifter.

Härvid gör IMY följande bedömning. Utgångspunkten vid en begäran om tillgång är att den registrerade ska få tillgång till samtliga personuppgifter som den personuppgiftsansvarige behandlar om den som begär tillgång. IMY anser dock att det inte finns något hinder mot att dela upp kopian på personuppgifter så länge rätten till tillgång tillgodoses. En uppdelning av kopian på personuppgifter får således inte inskränka rätten till tillgång eller försvåra utövandet av den. Detta ställer krav på att den personuppgiftsansvarige lämnar tydlig information till den registrerade om att kopian på personuppgifter är uppdelad, vilken information som finns i de olika delarna samt på vilket sätt den registrerade kan få tillgång till dessa. För att uppdelningen av kopian på personuppgifter i olika delar inte ska inskränka rättigheten eller försvåra utövandet av den kan det inte heller krävas att den registrerade behöver återkomma till den personuppgiftsansvarige vid ett flertal tillfällen för att få tillgång till samtliga personuppgifter eller att det är komplicerat att begära tillgång till samtliga personuppgifter. IMY anser därför att den registrerade ska ha möjlighet att begära tillgång till samtliga delar från början och att det ska vara enkelt att få tillgång till dessa.

Att information om att kopian på personuppgifter är uppdelad ges från början är således en förutsättning för att den personuppgiftsansvarige ska kunna begränsa utlämnandet av de personuppgifter den personuppgiftsansvarige behandlar. IMY konstaterar att SJ har gett information om att det finns ytterligare uppgifter att ta del av först i samband med att de gett tillgång till andra personuppgifter som bolaget behandlade om klaganden i egenskap av tidigare anställd. Den klaganden har således inte från början haft möjlighet att begära tillgång till samtliga de personuppgifter som SJ behandlar om klaganden i egenskap av tidigare anställd och har också behövt återkomma till den personuppgiftsansvarige om klaganden velat få tillgång till ytterligare personuppgifter. Mot bakgrund av att SJ lämnade sådan information först i ett senare skede bedömer IMY att förutsättningarna för SJ att få begränsa utlämnandet av de personuppgifter som SJ behandlade om klaganden inte är uppfyllda varför SJ borde ha lämnat ut samtliga personuppgifter som bolaget behandlade om klaganden i egenskap av tidigare anställd, dvs. även uppgifterna av mer teknisk karaktär.

IMY finner sammanfattningsvis och mot bakgrund av ovanstående att den kopia på personuppgifter som SJ behandlar om klaganden i egenskap av tidigare anställd, och som SJ har lämnat till klaganden, inte omfattat samtliga personuppgifter som SJ behandlade om klaganden vid tidpunkten för begäran.

Sammanfattande bedömning

IMY finner sammanfattningsvis att det av utredningen i ärendet framgår att SJ har behandlat klagandens personuppgifter i strid med artikel 12.3 i dataskyddsförordningen genom att inte utan onödigt dröjsmål, eller senast inom en månad, ha hanterat klagandens begäran om tillgång enligt artikel 15 i dataskyddsförordningen. IMY har vidare funnit att SJ i sin hantering av klagandens begäran om tillgång har behandlat personuppgifter i strid med artikel 15.1 a-h och 15.2 i dataskyddsförordningen genom att inte tillhandahålla klaganden i egenskap av kund all den information som anges i dessa bestämmelser. IMY konstaterar också att SJ har behandlat klagandens personuppgifter i strid med artikel 15.3 i

dataskyddsförordningen genom att de kopior på personuppgifter som SJ behandlar om klaganden i egenskap av kund och tidigare anställd, och som SJ har lämnat till klaganden den 3 maj 2022 respektive 18 maj 2022 inte omfattat samtliga personuppgifter som SJ behandlade om klaganden vid tidpunkten för begäran.

Val av ingripande

Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

IMY konstaterar följande relevanta omständigheter. Den aktuella tillsynen omfattar en granskning av hur SJ har hanterat en enskild klagandens begäran om tillgång. IMY har därvid konstaterat att SJ brustit i sina skyldigheter enligt rätten till tillgång i förhållande till den klaganden. SJ har dock vidtagit åtgärder, om än otillräckliga, i syfte att tillmötesgå klagandens begäran om tillgång. Även om klagandens rätt till tillgång inte har tillmötesgåtts fullt ut är de brister som har förlegat därför av mindre allvarlig karaktär än om begäran hade lämnats obesvarad. Vad gäller den konstaterade bristen enligt artikel 12.3 i dataskyddsförordningen har den föreskrivna tidsfristen om en månad endast överskridits med några dagar. SJ har vidare uppgett att de har vidtagit åtgärder genom att se över och uppdatera rutiner i förhållande till registerutdrag för att försäkra sig om att följa dataskyddsförordningen och att bolaget kommer att hantera framtida begäranden om registerutdrag med beaktan av de brister som framkommit i nu aktuellt ärende. Vidare har bolaget inte tidigare konstaterats överträtt dataskyddsförordningen.

Mot bakgrund av omständigheterna kring de konstaterade överträdelserna finner IMY att det är fråga om sådana mindre överträdelser i den mening som avses i skäl 148 och att SJ därför ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade bristerna.

Av utredningen i ärendet har det framkommit att klaganden inte har fått tillgång till fler personuppgifter eller mer information efter svaret på begäran om tillgång som lämnades den 18 maj 2022. IMY finner därför att det finns anledning att med stöd av artikel 58.2 c förelägga SJ att tillmötesgå klagandens begäran enligt artikel 15 i dataskyddsförordningen genom att, med förbehåll för eventuellt tillämpligt undantag i artikel 15.4 i dataskyddsförordningen och 5 kap. dataskyddslagen, lämna klaganden tillgång till samtliga personuppgifter som SJ behandlar om klaganden genom att förse den klaganden med en kopia på samtliga personuppgifterna enligt artikel 15.3 i dataskyddsförordningen samt lämna fullständig information enligt artiklarna 15.1 a-h och 15.2 i dataskyddsförordningen. Åtgärderna ska vara genomförda senast två veckor efter att detta beslut vunnit laga kraft.

Detta beslut har fattats av den särskilda beslutsfattaren Karin Ekström efter föredragning av juristen Måns Lysén.

Karin Ekström, 2023-06-29 (Det här är en elektronisk signatur)

Bilaga

1. Uppgifter om klaganden

Kopia till

1. Dataskyddsombudet för SJ AB 2. Klaganden

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.