Dataskyddsombudens roll och ställning – Postnord

IMY-2023-7956 Beslut efter tillsyn enligt

dataskyddsförordningen – PostNord Sverige AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att utredningen i ärendet inte visar att PostNord Sverige AB (556711-5695) har brustit i efterlevnaden av artikel 38.6 i dataskyddsförordningen .

Ärendet avslutas.

Redogörelse för tillsynsärendet

Bakgrund m.m.

Den europeiska dataskyddsstyrelsen (EDPB) har under 2023 genomfört en samordnad åtgärd med syftet att undersöka om dataskyddsombuden har den roll samt de resurser som förutsätts enligt artiklarna 37–39 i dataskyddsförordningen. Integritetsskyddsmyndigheten (IMY) har deltagit i den samordnade åtgärden och genomfört den i form av tillsyn mot ett femtiotal personuppgiftsansvariga. Det är mot denna bakgrund som IMY har inlett tillsyn mot PostNord Sverige AB (PostNord).

Tillsynen har inledningsvis inneburit att PostNord har besvarat ett trettiotal frågor om bland annat dataskyddsombudets kvalifikationer, uppgifter och ställning. Frågorna har sin grund i ett frågeformulär som EDPB har skapat inom ramen för den samordnade åtgärden.

Målet med den samordnade åtgärden har varit att i bred mening underlätta gemensamma åtgärder på ett flexibelt men samordnat sätt, allt ifrån att öka den gemensamma medvetenheten och samla in information till att kontrollera verkställighet och utföra gemensamma utredningar. Detta möjliggör riktad uppföljning och åtgärder både på nationell nivå och genom EDPB. Resultatet från granskningen har samman- 3 ställts i en rapport från EDPB .

Av de tillsyner som IMY inlett inom ramen för den samordnade åtgärden har myndigheten gått vidare med ett mindre urval för att göra en fördjupad granskning av några frågeställningar. Denna tillsyn är ett av dessa ärenden där IMY sett anledning att ställa kompletterande frågor till PostNord, såsom personuppgiftsansvarig, avseende artikel 38.6 i dataskyddsförordningen. Syftet har varit att utreda om det i strid med artikeln föreligger en intressekonflikt mellan rollen som dataskyddsombud och dataskyddsombudets övriga uppgifter och uppdrag inom organisationen. IMY har inte granskat huruvida PostNord i övrigt uppfyller artiklarna 37-39 i dataskyddsförordningen utifrån tidigare lämnade svar.

Uppgifter från PostNord

PostNord har i huvudsak uppgett följande. Organisationens dataskyddsombud har vid sidan om rollen som ombud för PostNord även i viss mån ett ledaransvar inom områdena compliance, risk och säkerhet avseende PostNords bolag Postnord Group AB. Arbetsuppgifterna innebär i korthet att upprätthålla god ordning bland styrande dokument, tillhandahålla ett internt ramverk för riskhantering och ge dotterbolaget stöd i frågor om fysisk säkerhet. Närmare beskrivet innebär detta att stötta interna dokumentägare så att de styrande dokumenten hanteras korrekt genom bland annat arkivering, uppdatering och intern publicering, bistå organisationen med att använda framtaget ramverk för att riskägarna självständigt ska kunna identifiera risker samt att hos dotterbolaget ställa krav på lämpligt fysiskt skydd såsom lås och larm. Uppgifterna innebär inte att vara delaktig i att bestämma ändamål och medel för PostNords personuppgiftsbehandlingar och medför inte att dataskyddsombudet tillhör den högsta ledningen.

Vidare har PostNord framhållit att organisationen på flera sätt vidtagit åtgärder för att säkerställa att de beskrivna arbetsuppgifterna inte innebär en intressekonflikt med uppdraget som dataskyddsombud. Det görs bland annat genom den organisatoriska uppdelningen som innebär att ansvaret endast avser PostNord Group AB och genom att det inom funktionerna för compliance, risk och säkerhet hos angivet bolag inte finns ett system där ändamål och medel för personuppgiftsbehandling är aktuellt. PostNord har även framtagna regler för hur eventuella intressekonflikter ska hanteras.

Motivering av beslutet

Tillämpliga bestämmelser m.m.

Rollen som dataskyddsombud regleras i artiklarna 37–39 i dataskyddsförordningen. Dataskyddsombudet ska bland annat informera och ge råd inom organisationen om tillämplig dataskyddslagstiftning, övervaka organisationens efterlevnad av dataskyddslagstiftningen och interna styrdokument, ge råd om konsekvensbedömningar samt vara kontaktperson för tillsynsmyndigheten. Dataskyddsombudet ska vara oberoende och självständig i utförandet av sina arbetsuppgifter, vilket framgår av skäl 97.

Dataskyddsombudet får enligt artikel 38.6 i dataskyddsförordningen fullgöra andra uppgifter och uppdrag utöver rollen som dataskyddsombud. Den personuppgiftsansvarige eller personuppgiftsbiträdet ska se till att sådana uppgifter inte leder till en intressekonflikt.

Av artikel 29-gruppens riktlinjer om dataskyddsombud framgår följande om artikeln:

Kravet att det inte får föreligga intressekonflikter är nära kopplat till kravet att dataskyddsombuden ska kunna agera på ett oberoende sätt. Även om dataskyddsombud får ha andra funktioner, kan de anförtros andra uppgifter och uppdrag endast på villkor att de inte ger upphov till intressekonflikter. Detta innebär särskilt att dataskyddsombudet inte kan inneha en sådan tjänst inom organisationen som innebär att han eller hon fastställer ändamålen med och medlen för behandlingen av personuppgifter. Detta måste avgöras från fall till fall beroende på hur organisationen är strukturerad.

Som en tumregel kan motstridiga befattningar inom organisationen vara befattningar i högsta ledningen (t.ex. verkställande direktör, högste verkställande beslutsfattare, finansdirektör, chefsläkare, marknadsföringschef, personalchef eller it-chef), men även andra funktioner lägre i organisationsstrukturen, om sådana befattningar eller funktioner innebär att dataskyddsombudet fastställer ändamålen med och medlen för behandlingen av personuppgifter.

EU-domstolen har i målet X-FAB Dresden förtydligat att dataskyddsombudet inte kan anförtros uppgifter och uppdrag som kan skada fullgörandet av de uppgifter som han eller hon utför i egenskap av dataskyddsombud. Detta eftersom artikel 38.6 i dataskyddsförordningen syftar till att bevara dataskyddsombudets funktionella oberoende och därmed säkerställa effektiviteten hos bestämmelserna i dataskyddsförordningen. Bedömningen av om ett visst uppdrag riskerar att leda till en intressekonflikt med uppdraget som dataskyddsombud ska göras utifrån relevanta omständigheter i det enskilda fallet, bland annat mot bakgrund av den personuppgiftsansvariges eller personuppgiftsbiträdes organisatoriska struktur och dess interna regler/policys.

Integritetsskyddsmyndighetens bedömning

Den fråga som IMY ska ta ställning till är om det föreligger en intressekonflikt i strid med dataskyddsförordningen genom att PostNords dataskyddsombud även har visst ledaransvar inom områdena compliance, risk och säkerhet avseende PostNords bolag PostNord Group AB.

Enligt vad som framgår ovan kan funktioner som innebär ledande befattningar typiskt sett ge upphov till intressekonflikt med rollen som dataskyddsombud, eftersom det ofta innebär att denne är delaktig i beslut rörande personuppgiftbehandlingar på ett sådant sätt att dataskyddsombudets oberoende kan ifrågasättas.

PostNord har närmare beskrivet vad de ytterligare uppgifter som har tilldelats dataskyddsombudet innebär. Av redogörelsen framgår att arbetsuppgifterna inte medför ett ansvar som leder till delaktighet i beslut rörande ändamål och medel för personuppgiftsbehandlingar. Inte heller framgår det av beskrivningen att uppgifterna innebär ett ansvar för att i övrigt, t.ex. genom råd eller stöd, hantera dataskyddsrättsliga frågor.

IMY finner mot den bakgrunden att utredningen i ärendet inte visar att det föreligger en intressekonflikt i strid med dataskyddsförordningen genom att inneha de beskrivna uppgifterna vid sidan av rollen som dataskyddsombud.

Ärendet avslutas. Detta beslut har fattats av enhetschefen Jonas Agnvall efter föredragning av juristen Lisa Zettervall. Vid den slutliga handläggningen har även den tillförordnade rättschefen Cecilia Agnehall deltagit. Jonas Agnvall, 2024-06-27 (Det här är en elektronisk signatur)

Kopia till

Dataskyddsombudet

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.