Waxholms Ångfartygs AB (WÅAB)

IMY-2024-1520 Beslut efter tillsyn enligt

dataskyddsförordningen – Waxholms Ångfartygs AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Waxholms Ångfartygs Aktiebolag, med organisationsnummer 556087-9859, under perioderna juli–september 2020 och juni 2021–augusti 2022 har behandlat klagandens personuppgifter i strid med

• artikel 6 i dataskyddsförordningen genom att behandla klagandens personuppgifter utan rättslig grund och • artikel 9 i dataskyddsförordningen genom att behandla känsliga personuppgifter om klaganden utan att något av undantagen från förbudet att behandla sådana uppgifter var tillämpligt.

IMY beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att Waxholms Ångfartygs AB ska betala en administrativ sanktionsavgift på 75 000 (sjuttiofemtusen) kronor för överträdelserna.

Redogörelse för tillsynsärendet

Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot Waxholms Ångfartygs AB (WÅAB eller bolaget) med anledning av ett klagomål.

IMY utreder om den aktuella behandlingen av klagandens personuppgifter har haft stöd i en rättslig grund i artikel 6 i dataskyddsförordningen, huruvida behandlingen har omfattat känsliga personuppgifter om klaganden enligt artikel 9 i dataskyddsförordningen och i så fall om något av undantagen mot förbudet mot att behandla sådana känsliga uppgifter varit tillämpligt.

Bakgrund

ansvarig för den behandling som klagomålet gäller. IMY har tillfört det aktuella ärendet relevanta handlingar från det tidigare tillsynsärendet.

Klagomålet

Klaganden har i huvudsak uppgett följande. Klaganden är befälhavare och anställd av en trafikutövare som bedriver offentligt upphandlad kollektivtrafik på vatten på uppdrag av Trafikförvaltningen i Region Stockholm (trafikförvaltningen). Trafikförvaltningen har genom ett upphandlingsavtal ställt krav om införandet av daglig alkoholkontrollmätning med fjärravläsning för befälhavare där registrering och lagring av uppgifter i en logg-fil ingår. Enligt upphandlingsavtalet ska fartygets befälhavare innan avgång genomföra ett utandningsprov i alkoholmätare. Information om provresultat lagras i den fastmonterade alkoholmätaren ombord i ett år och i en server tillgänglig för trafikutövaren och trafikförvaltningen i två år. Via inloggning på servern kan information om varje alkoholprov avläsas och sammanställas i efterhand. Både trafikutövaren och trafikförvaltningen kan koppla logginformation från alkoholmätaren med tjänstgöringsscheman, vilket innebär att det är en personuppgiftsbehandling. Den här typen av alkoholprov är en helt ny företeelse inom branschen. Klaganden har ställt frågor om den rättsliga grunden för behandlingen och huruvida förfarandet uppfyller kraven i dataskyddsförordningen till trafikutövarens dataskyddsombud men inte fått något svar. Därutöver ställer klaganden sig frågande till att förfarandet innebär att uppgifter om hälsa behandlas.

Yttranden från WÅAB

WÅAB:s yttranden redogörs för i relevanta delar under respektive avsnitt under rubriken ”Motivering av beslutet”. Nedan sammanfattas det som i huvudsak framkommit om behandlingen av klagandens personuppgifter.

Genom alkoholmätaren registreras uppgift om aktuell utandningsenhet kopplad till fartyg, tidpunkt och resultat av befälhavarens utandningsprov. Uppgift om vem aktuellt utandningsprov hänför sig till registreras inte. Vid resultat upp till laglighetsgränsen, 0,2 promille, visas endast ett grönt resultat. Det är först när resultatet har passerat laglighetsgränsen som ett resultat angivet i promille är synligt och utandningsenheten visar rött. De registrerade uppgifterna lagras i alkoholmätaren, kontrollboxen ombord på fartyget och i WÅAB:s datasystem under sju dagar enligt nu gällande gallringsrutiner. Det är endast ett fåtal behöriga personer hos trafikutövaren som, genom tillgång till resultat från alkoholmätaren som skeppsdagbok, har haft möjlighet att identifiera befälhavarens resultat av ett utandningsprov. Det har varit nödvändigt för att själva syftet med användningen av alkoholmätaren som varit att förhindra framförande av fartyg under alkoholpåverkan.

När utandningsproven togs i bruk saknades gallringsrutiner eftersom WÅAB inte bedömde att resultatet av utandningsproverna utgjorde personuppgifter för bolaget. Förslag till gallringsbeslut presenterades för Regionarkivet den 6 april 2022. Gallring av samtliga uppgifter i systemet genomfördes den 2 maj 2022. Ett formellt gallringsbeslut godkändes av Regionarkivet den 3 oktober 2022. Efter det formella gallringsbeslutet ska automatisk gallring ske efter sju dagar från utandningsprov. En lagringstid om sju dagar är nödvändig för att säkerställa att trafikutövaren hinner följa upp och vidta åtgärder vid ett eventuellt positivt resultat. Det har inte bedömts finnas något intresse av att behålla utandningsprov och loggar under en längre tid då uppgifterna saknar betydelse i andra avseenden. WÅAB uppskattar att klaganden utfört ungefär två utandningsprov per arbetspass och uppskattningsvis totalt sett 230–460 prover

(exklusive reducering för eventuell frånvaro under perioden som medför att färre antal kontroller har gjorts). Uppgifterna om klaganden finns inte längre sparade.

Utandningsproverna inleddes den 1 juli 2020 och pågick inledningsvis fram till den 20 september 2020 då de pausades på grund av tekniska problem. Utandningsproverna återupptogs sedan i begränsad omfattning i juni 2021 och i full omfattning den 1 september 2021. Utandningsproven är pausade sedan den 26 augusti 2022. WÅAB önskar att återuppta kontrollerna så snart som är möjligt.

Yttranden från klaganden

Klaganden har fått tillfälle att yttra sig över WÅAB:s yttranden och bland annat uppgett följande. Frågan som klagomålet gäller är inte huruvida alkoholtester ska göras eller inte, utan om det sätt som WÅAB har valt att genomföra alkoholtesterna på är förenligt med kraven i dataskyddsförordningen, särskilt avseende bland annat rättslig grund och skydd av känsliga personuppgifter. Klagandens uppfattning är att sättet inte är förenligt med kraven i dataskyddsförordningen. WÅAB hävdar att ingen känslig personuppgift har hanterats eftersom inget positivt resultat i den fasta mätutrustningen ombord har registrerats. Uppgift om befälhavarens arbetsförmåga skapas varje gång befälhavaren gör en utandning i utrustningen. Antingen är befälhavaren påverkad av alkohol eller inte, men båda uppgifter oavsett vilken, är en uppgift om befälhavarens hälsotillstånd. Eftersom redaren enligt lagstiftning är skyldig att veta vem som är befälhavare ombord kan utandningsprovet alltid kopplas till en namngiven person. Det kan vem som helst göra som får uppgiften om utandningsprovet eftersom befälhavarens identitet alltid ska finnas registrerad hos myndighet där uppgifter utgör en offentlig handling. Frågan om arbetsgivares rätt att genomföra alkohol- och drogtester är prövad i arbetsdomstolen flera gånger, dock innan dataskyddsförordningen trätt ikraft. Det betyder sannolikt att det är tillåtet att genomföra sådana tester, men inte att hantera testresultat utan att följa kraven i dataskyddsförordningen. Mot bakgrund av att Trafikförvaltningen har bekräftat att ingen dör eller skadas inom trafikslaget och att så skett utan att regelbundna alkohol- och drogtester genomförts, saknas dock grund för att genomföra sådana kontroller i förebyggande syfte.

Motivering av beslutet

IMY ska inledningsvis pröva om resultaten från utandningsproven har utgjort personuppgifter om klaganden. Om så är fallet ska IMY därefter ta ställning till om WÅAB har haft stöd i artiklarna 6 och 9 i förordningen för att behandla klagandens personuppgifter i samband med utandningsproven som genomfördes perioderna juli– september 2020 och juni 2021–augusti 2022.

Behandlingen omfattar personuppgifter

Rättslig reglering

Begreppet personuppgift definieras i artikel 4.1 i dataskyddsförordningen som varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

Av skäl 26 i dataskyddsförordningen framgår bland annat följande. Personuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör anses som uppgifter om en identifierbar fysisk person. För att avgöra om en fysisk person är identifierbar bör man beakta alla hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller av en annan person, rimligen kan komma att användas för att direkt eller indirekt identifiera den fysiska personen. För att fastställa om hjälpmedel med rimlig sannolikhet kan komma att användas för att identifiera den fysiska personen bör man beakta samtliga objektiva faktorer, såsom kostnader och tidsåtgång för identifiering, med beaktande av såväl tillgänglig teknik vid tidpunkten för behandlingen som den tekniska utvecklingen.

Begreppet ”personuppgift” ska enligt rättspraxis ges en vid innebörd. EU-domstolen har slagit fast att en upplysning avser en identifierbar fysisk person när den på grund av sitt innehåll, syfte eller verkan är knuten till en identifierbar person. EU-domstolen har vidare konstaterat att det inte är nödvändigt att upplysningen i sig gör det möjligt att identifiera den fysiska personen för att upplysningen ska utgöra en personuppgift. Det följer av artikel 4.1 jämfört med skäl 26 att personuppgifter som genom att använda kompletterande uppgifter skulle kunna tillskrivas en fysisk person ska anses som uppgifter om en identifierbar fysisk person. Det krävs inte att en enda person innehar alla upplysningar som är nödvändiga för att identifiera den registrerade för att en uppgift ska anses utgöra en ”personuppgift” i den mening som avses i artikel 4.1 i dataskyddsförordningen.

Vad WÅAB har uppgett

Uppgift om vem ett utandningsprov hänför sig till registreras inte i systemet. I systemet registreras uppgifter om aktuell utandningsenhet kopplad till fartyg, tidpunkt och resultat av utandningsprov. Två anställda hos trafikutövaren har tillgång till resultaten från utandningsproverna i systemet. Dessa behöriga personer kan i sin tur koppla ihop resultat från utandningsprov med vem som har varit befälhavare för det fartyg som det aktuella utandningsprovet har utförts på. WÅAB har inte tillgång till den informationen. WÅAB har bestämt att endast personal hos trafikutövaren ska ha tillgång till resultat av utandningsprov.

Inför att utandningsproven infördes bedömde WÅAB att resultaten inte utgjorde personuppgifter för bolaget, eftersom bolaget inte uppfattade att de medel för att identifiera vilken befälhavare som gjort vilket utandningsprov rimligen eller sannolikt kunde kommas åt av WÅAB. WÅAB har haft en viss möjlighet att genom åtgärder hos leverantören erhålla tillgång till uppgifter som lagras i utandningsenheten, men har primärt uppfattat att möjligheten inte varit inom ramen för vad som anses utgöra en rimlig åtgärd. Risken för identifiering av befälhavare har bedömts som försumbar av WÅAB. Efter dialog med bland annat befälhavare rörande utandningsproven under våren 2022 gjorde WÅAB en förnyad bedömning av frågan, varvid bolaget ansåg att hanteringen sannolikt får anses utgöra personuppgiftsbehandling för bolaget.

IMY:s bedömning

Mot bakgrund av utredningen i ärendet bedömer IMY att resultaten från utandningsproven kan kopplas till den fysiska person som har utfört utandningsprovet genom

kompletterande uppgifter i skeppsdagboken, som finns tillgängliga hos trafikutövaren. Det är enligt IMY tillräckligt att resultaten från utandningsproven indirekt med de kompletterande uppgifterna kan kopplas till en identifierbar fysisk person. Den omständigheten att WÅAB inte har haft direkt tillgång till resultaten från utandningsproven eller att det inte har registrerats uppgift om vem som utfört ett utandningsprov i systemet där resultaten har lagrats saknar enligt IMY betydelse i sammanhanget. Resultaten från utandningsproven utgör således personuppgifter enligt artikel 4.1 i dataskyddsförordningen.

WÅAB är personuppgiftsansvarig

Rättslig reglering

Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.

Vad WÅAB har uppgett

WÅAB har bestämt ändamålen med den aktuella personuppgiftsbehandlingen och beslutat hur behandlingen ska genomföras. WÅAB har fattat beslut om installation av mätarna på fartygen. WÅAB har beslutat hur lagring av resultaten av utandningsproven ska ske och beslutat om lagringstid. WÅAB har vidare bestämt att endast personal hos trafikutövaren ska ha tillgång till resultat av utandningsprov. Trafikutövaren är personuppgiftsbiträde till WÅAB i den del som trafikutövaren hanterar personuppgifter för WÅAB:s räkning. WÅAB har ingått ett personuppgiftsbiträdesavtal med trafikutövaren.

IMY:s bedömning

IMY bedömer att utredningen visar att WÅAB har bestämt ändamålen och medlen för den aktuella personuppgiftsbehandlingen. WÅAB är därmed personuppgiftsansvarig för den.

Rättslig grund för personuppgiftsbehandlingen

I artikel 6 i dataskyddsförordningen anges att en behandling av personuppgifter endast är laglig om minst ett av villkoren i artikel 6.1 är uppfyllt. Det måste med andra ord finnas en rättslig grund för personuppgiftsbehandlingen.

WÅAB har angett att bolaget har genomfört en dokumenterad intresseavvägning och kommit fram till att den aktuella behandlingen kan grundas på artikel 6.1 f i dataskyddsförordningen. WÅAB har även framfört att om IMY inte bedömer att rättslig grund enligt artikel 6.1 f föreligger, så har behandlingen haft stöd i den rättsliga grunden allmänt intresse enligt artikel artikel 6.1 e i dataskyddsförordningen.

Rättslig reglering

I artikel 6.1 e i dataskyddsförordningen anges att personuppgiftsbehandling är laglig om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Enligt artikel 6.3 i dataskyddsförordningen ska den grund för behandlingen som avses i artikel 6.1 e fastställas i

enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

I artikel 6.1 f dataskyddsförordningen anges att en personuppgiftsbehandling är laglig om den är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter.

Bestämmelsen föreskriver således tre kumulativa villkor som måste vara uppfyllda för att personuppgiftsbehandling ska vara tillåten. Den första förutsättningen är att de intressen som behandlingen avser att skydda måste utgöra berättigade intressen för den personuppgiftsansvarige eller en tredje part. Det berättigade intresset ska vara lagligt, vilket innebär att det inte får stå i strid med vare sig EU-rätt eller nationell rätt. Vidare ska intresset vara klart och tydligt formulerat och gälla ett faktiskt intresse som föreligger vid tidpunkten för behandlingen och inte är hypotetiskt. Om en personuppgiftsansvarig inte bara agerar i sitt eget berättigade intresse (t.ex. sitt affärsintresse), utan också i hela samhällets intressen, väger detta intresse i regel tyngre än annars.

Den andra förutsättningen är att behandlingen är nödvändig för ett ändamål som rör det berättigade intresset. Det innebär att det berättigade intresset inte rimligen kan uppnås på ett lika effektivt sätt genom andra medel som i mindre utsträckning inkräktar på de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till skydd för privatlivet och rätten till skydd för personuppgifter enligt artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna (EU:s rättighetsstadga). Av praxis följer även att kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen vilken föreskriver att de personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

Den tredje förutsättningen är att de registrerades grundläggande fri- och rättigheter (integritetsintresset) inte väger tyngre än det berättigade intresse som behandlingen avser att skydda. Bedömningen ska göras utifrån de konkreta omständigheterna i det enskilda fallet. Den personuppgiftsansvarige ska bland annat identifiera och beakta den registrerades intressen samt rättigheter och friheter, behandlingens påverkan på den registrerade och huruvida den registrerade rimligen kunde förvänta sig behandling för det aktuella ändamålet.

I enlighet med principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen är det den personuppgiftsansvariga ansvara för och kunna visa att reglerna i dataskyddsförordningen reglerna i dataskyddsförordningen följs och däribland att behandlingen är laglig.

Vad WÅAB har uppgett

WÅAB anser att bolaget har ett berättigat intresse av att behandla personuppgifter på det sätt som skett. Det berättigade intresset med behandlingen är att säkerställa säkerheten för resenärerna i kollektivtrafiken. Region Stockholm bedriver kollektivtrafik på vatten utifrån beslut om allmän trafikplikt och ett antal trafikavtal. WÅAB är ansvarigt för att kollektivtrafiken inom bolagets ansvarsområde bedrivs på ett säkert sätt. WÅAB:s avsikt med att nykterhetstesta befälhavare har varit att garantera säkerheten för passagerare, arbetstagare och trafikanter i kollektivtrafiken. WÅAB har övervägt det integritetstrång det riskerar att medföra för befälhavare i samband med utförande av nykterhetstester. WÅAB har bedömt att intresset av nyktra befälhavare överväger det integritetstrång som riskerar att följa för berörda befälhavare. WÅAB har bedömt att det är nödvändigt att behandla personuppgifter för att uppnå ändamålet. Det går inte att uppnå ändamålet utan att de aktuella personuppgifterna behandlas. WÅAB har genomfört en dokumenterad konsekvensbedömning med resultat att behandlingen kan ske.

Trafikförvaltningen har i Trafiksäkerhetspolicy för sjötrafiken fastställt att fartyg inom trafikförvaltningens successivt ska förses med tillförlitliga alkolås och att enhetliga rutiner ska finnas för hur dessa ska användas. Av trafikförvaltningens säkerhetsbestämmelser SSA SÄB 0478 framgår vidare att alla fordon inklusive fartyg inom kollektivtrafiken ska ha alkolås och att arbete pågår med införande av alkolås för fartygsflottan. WÅAB:s krav på att alkoholmätare används och kravet på att befälhavare genomför utandningsprov och lagring av resultatet hos trafikutövaren medför att behandlingen får anses bli nödvändig. WÅAB har minimerat antalet personuppgifter som behandlas för att uppfylla syftena med behandlingen. Vid anställning hos trafikutövaren informeras blivande personal om nolltolerans avseende alkohol och droger och de anställda har tillgång till den gällande alkohol- och drogpolicyn.

WÅAB har vidtagit och övervägt andra åtgärder för att uppnå syftet med behandlingen. Inga av åtgärderna har bedömts säkerställa det övergripande behovet av att förare inom kollektivtrafik aldrig framför fartyg alkoholpåverkade. WÅAB framställer krav gällande sjösäkerhet relaterad till alkohol och droger vid upphandlingar av kollektiv sjötrafik. Av den senaste upphandlingen framgår krav på att trafikutövare ska ha en fastställd policy för förebyggande arbete mot alkohol och droger. Trafikutövare har en skyldighet att utöva tillsyn och genomföra kontroller för att uppfylla WÅAB:s krav på trygghet och säkerhet. Genomförda kontroller redovisas årligen i syfte att WÅAB tillsammans med trafikutövaren ska kunna utvärdera och vidta åtgärder för säker sjötrafik. Trafikutövaren ska genomföra alkohol- och drogtester på den personal som arbetar med framförande av fartygen genom så kallade stickprov två gånger per år. Utöver stickprovskontroller uppställs krav på alkohol- och drogtester i samband med olyckor och tillbud. Det ska framhållas att det enda sättet att säkerställa att en befälhavare för ett fartyg är nykter vid framförandet av fartyget är att utföra ett nykterhetstest omedelbart innan fartygets avgång. Det är inte tillräckligt att använda sig av slumpmässiga nykterhetstester och informera om gällande alkohol och drogpolicy i samband med anställning.

Ett teoretiskt annat sätt för att uppnå syftet med behandlingen skulle vara installation av alkolås i fartyg. WÅAB uppfattar att behandlingen i samband med sådan mekanism skulle medföra likvärdiga intrång i de registrerades integritet eftersom nödvändig uppföljning av varför ett visst fartyg inte kan framföras på grund av alkolås vid en viss tidpunkt skulle ge upphov till motsvarande typ av personuppgiftsbehandling.

Vid införandet av nykterhetstester har WÅAB konstaterat att tidigare genomförda åtgärder inte säkerställer WÅAB:s behov. WÅAB har inte kunnat identifiera några mindre integritetsingripande åtgärder än de som införts i samband med nykterhetstesterna och på det sätt som resultaten av kontrollerna hanteras. WÅAB anser vidare att dess berättigade intresse av att genomföra behandlingen väger tyngre än de registrerades intressen.

Vad gäller den rättsliga grunden allmänt intresse har WÅAB framfört att den verksamhet som Region Stockholm som kollektivtrafikmyndighet bedriver utgör ett allmänt intresse. WÅAB som är ansvariga för kollektivtrafiken har en lagstadgad skyldighet att bedriva kollektivtrafik på ett säkert sätt för såväl resenärer som för anställda.

IMY:s bedömning av den rättsliga grunden intresseavvägning

Berättigat intresse

WÅAB har uppgett att bolaget har ett berättigat intresse av att behandla klagandens personuppgifter för att säkerställa säkerhet i kollektivtrafiken och att fartyg inte framförs under alkoholpåverkan. IMY finner att bolagets intresse av att behandla personuppgifter i syfte att säkerställa säkerheten inom kollektivtrafiken är ett viktigt samhällsintresse som bedöms utgöra ett berättigat intresse i dataskyddsförordningen mening.

Nödvändighet

IMY ska vidare pröva om den aktuella behandlingen har varit nödvändig för att uppnå syftet med personuppgiftsbehandlingen.

WÅAB har i denna del uppgett att bolaget har undersökt andra lämpliga och mindre integritetskänsliga åtgärder för att uppnå syftet med behandlingen och att bolaget inte har kunnat identifiera några mindre integritetsingripande åtgärder för att uppnå syftet med den aktuella behandlingen. WÅAB har identifierat installation av alkolås i fartyg som ett teoretiskt alternativt sätt att uppnå syftet med behandling. WÅAB har dock bedömt att nödvändig uppföljning av varför ett visst fartyg inte kan framföras på grund av alkolås vid en viss tidpunkt är att anse som motsvarande typ av personuppgiftsbehandling som den behandling som klagomålet gäller.

Nödvändighetsrekvisitet ska, som nämnts, prövas tillsammans med principen om uppgiftsminimering. IMY konstaterar att från det att utandningsproverna infördes i juli 2020 till de stoppades helt i augusti 2022 har WÅAB saknat formella gallringsrutiner för dessa. Det har medfört att klagandens provresultat, från de i genomsnitt två utandningsproven per arbetspass som genomförts, har registrerats och lagrats i WÅAB:s system under en lång tid om flera månader. WÅAB har uppgett att en längre lagringstid än sju dagar inte har varit motiverad vare sig för uppföljning av resultaten eller av några andra skäl. IMY anser att det därmed får anses stå klart att syftet med en säker kollektivtrafik och förhindrande av att fartyg framförs under alkoholpåverkan har kunnat uppnås utan en sådan omfattande behandling av klagandens personuppgifter som genomförts under perioden. Redan mot denna bakgrund bedömer IMY, även med beaktande av att det vid ett tillfälle under perioderna gjorts en gallring av samtliga uppgifter i systemet, att behandlingen inte har varit nödvändig för att uppnå det berättigade intresset.

Vidare har WÅAB identifierat alkolås som ett alternativt sätt att uppnå syftet med behandlingen. IMY delar inte WÅAB:s bedömning av att den personuppgiftsbehandling som användandet av alkolås skulle medföra, såsom den beskrivits av bolaget, skulle innebära ett likvärdigt intrång i klagandens integritet i förhållande till den som genomförts. IMY anser att personuppgiftsbehandling i form av utredning vid behov och först när ett alkolås förhindrat ett fartygs framförande skulle inskränka klagandens integritetsskydd i mindre utsträckning jämfört med den aktuella behandlingen av personuppgifter, där varje resultat från utandningsprov oavsett resultat har registrerats och, under den tid som tillsynen omfattar, lagrats på obestämd tid och i vart fall under flera månader. IMY bedömer därför att utredningen i ärendet visar att syftet med den aktuella behandlingen har kunnat uppnås med alternativa mindre ingripande åtgärder.

Sammanfattningsvis bedömer IMY att behandlingen av klagandens personuppgifter inte har varit nödvändig för att uppnå WÅAB:s berättigade intresse och att samtliga villkor för att behandlingen ska kunna grunda sig på artikel 6.1 f inte är uppfyllda. Behandlingen av klagandens personuppgifter har därmed inte haft stöd i den rättsliga grunden intresseavvägning.

IMY:s bedömning av den rättsliga grunden allmänt intresse

IMY har bedömt att WÅAB inte har kunnat stödja behandlingen av klagandens personuppgifter på artikel 6.1 f i dataskyddsförordningen eftersom den inte varit nödvändig för att uppnå syftet med behandlingen. IMY konstaterar att för att en behandling ska kunna stödja sig på artikel 6.1 e i dataskyddsförordningen krävs det att behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse som följer av unionsrätt eller nationell rätt. Bestämmelsen innehåller alltså ett motsvarande krav på nödvändighet som i artikel 6.1 f i förordningen. IMY har bedömt att behandlingen av klagandens personuppgifter inte har varit nödvändig för att uppnå syftet med en säker kollektivtrafik, eftersom behandlingen har kunnat uppnås på ett lika effektivt sätt genom mindre ingripande personuppgiftsbehandling. Mot bakgrund av att nödvändighetskravet inte är uppfyllt har därmed behandlingen av klagandens personuppgifter inte heller kunnat göras med stöd av den rättsliga grunden allmänt intresse.

IMY konstaterar därmed att WÅAB inte har haft rättslig grund för behandlingen av klagandens personuppgifter i samband med utandningsprov som genomförts under juli–september 2020 och juni 2021–augusti 2022. WÅAB har därmed behandlat klagandens personuppgifter i strid med artikel 6 i dataskyddsförordningen.

Behandling av känsliga uppgifter

Rättslig reglering

Uppgifter om hälsa utgör sådana särskilda kategorier av personuppgifter, så kallade känsliga personuppgifter, som ges ett särskilt starkt skydd enligt dataskyddsförordningen. Det är som huvudregel förbjudet att behandla sådana personuppgifter enligt artikel 9.1 i dataskyddsförordningen, om inte behandlingen omfattas av något av undantagen i artikel 9.2 i förordningen.

Av artikel 9.2 g följer att förbudet mot att behandla känsliga personuppgifter inte gäller om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

Enligt praxis ska begreppet känsliga personuppgifter ges en vid tolkning och omfattar även uppgifter som indirekt avslöjar sådan information. Uppgifter om hälsa definieras i artikel 4.15 i dataskyddsförordningen som personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa vilka ger information om dennes hälsostatus. Av skäl 35 till dataskyddsförordningen framgår att personuppgifter om hälsa bör innefatta alla de uppgifter som hänför sig till en registrerad persons hälsotillstånd som ger information om den registrerades tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd, inbegripande bland annat uppgifter som härrör från tester eller undersökning av en kroppsdel eller kroppssubstans.

Av lydelsen i artikel 4.15 i dataskyddsförordningen, som preciseras genom skäl 35 i förordningen, följer att det som är avgörande för att fastställa huruvida vissa personuppgifter utgör uppgifter om hälsa är huruvida det är möjligt att utifrån uppgifterna i fråga dra slutsatser om den registrerades hälsotillstånd.

Europeiska dataskyddsstyrelsen (EDPB) har uttalat i riktlinjer om automatiserat individuellt beslutsfattande och profileringatt profilering kan skapa känsliga personuppgifter genom att dra slutsatser från och kombinera uppgifter som inte är känsliga. Enligt EDPB kan det exempelvis vara möjligt att dra en slutsats om någons hälsostatus från uppgifter om deras matinköp tillsammans med uppgifter om matens kvalitet och energiinnehåll.

Vad WÅAB har uppgett

Den eventuella behandlingen av känsliga personuppgifter har stöd i artikel 9.2 g i dataskyddsförordningen. WÅAB har bedömt att det har varit nödvändigt att behandla personuppgifter för att uppnå en säker kollektivtrafik. WÅAB utför arbete där människors liv kan vara i direkt fara om befälhavare ombord är alkoholpåverkade i samband med arbete på fartygen. Trafiksäkerheten utgör ett viktigt allmänt intresse och kräver att WÅAB nykterhetstestar befälhavare för att tillförsäkra personal, passagerare och medtrafikanter en trygg kollektivtrafik. Vid en sammantagen bedömning av de säkerhetskrav som framgår i sjölagen (1994:1004) och fartygssäkerhetslagen (2003:365) har WÅAB funnit att behandlingen är nödvändig. WÅAB har ansett att nykterhetstesterna är en obligatorisk åtgärd för att tillgodose säkerheten ombord och de skyldigheter som följer av lag. Den metod som använts vid testerna har varit noga avvägd och bedömts vara den minst integritetskränkande för ändamålet.

WÅAB har vidare uppgett att något positivt resultat vid utförande av nykterhetstester aldrig påträffats. WÅAB kan således inte anses ha behandlat känsliga personuppgifter. Avsaknaden av ett positivt resultat kan inte anses utgöra behandling av känsliga personuppgifter om hälsa. Vidare är den tekniska utrustning som använts för genomförande av nykterhetstester utformad på ett sådant sätt att promillenivån endast visas då resultatet överskridit laglighetsgränsen. Resultatet lagras endast under sju dagar, vilket innebär att det inte är möjligt att uppmärksamma eventuella mönster eller riskbeteenden över tid som i eventuella fall skulle kunna innebära en behandling av känsliga personuppgifter. WÅAB är därför av uppfattningen att känsliga personuppgifter varken faktiskt har, eller potentiellt skulle kunna, behandlas genom systemet för nykterhetstester som WÅAB infört.

IMY:s bedömning

Det framgår av utredningen i ärendet att uppgifter från samtliga utandningsprov utförda av klaganden som lagrats under perioderna juli–september 2020 och juni 2021–maj 2022 har gallrats i maj 2022. IMY konstaterar vidare att det framgår att behandlingen därefter har fortsatt under perioden maj–augusti 2022 och att det, även om WÅAB framställt ett förslag till beslut om gallring (efter sju dagar) i april 2022, saknades ett formellt beslut som möjliggjorde gallring av de uppgifterna under denna period. Det är således fråga om en omfattande och regelbunden behandling av uppgifter om resultat av klagandens utandningsprov under längre tidsperioder. Inga positiva resultat om klaganden har registrerats.

I bedömningen av om behandlingen har omfattat känsliga personuppgifter beaktar IMY särskilt att begreppet ”uppgifter om hälsa” ska ges en vid tolkning och att det är möjligt att skapa känsliga uppgifter genom att insamling av icke-känsliga uppgifter. Vidare ska det beaktas att en uppgift om hälsa kan ha olika grad av känslighet. Känsligheten i en viss uppgift är dock inte av betydelse för huruvida en uppgift utgör en uppgift om hälsa i dataskyddsförordningens mening. Det kan vidare konstateras att även uppgifter som gör det möjligt att dra slutsatsen om att någon inte lider av ett visst sjukdomstillstånd kan vara en uppgift om den personens hälsa.

I det aktuella ärendet är det fråga om behandling av en stor mängd personuppgifter i form av resultat från alkoholutandningsprov under flera månaders tid. Mot bakgrund av omfattningen av behandlingen i det enskilda fallet bedömer IMY att det utifrån de insamlade uppgifterna har varit möjligt att dra slutsats om klagandens hälsostatusgenom. WÅAB har därmed behandlat uppgifter om klagandens hälsa i den mening som avses i artikel 4.15 i dataskyddsförordningen.

För att en behandling av känsliga personuppgifter om hälsa ska vara laglig måste den omfattas av något av undantagen i artikel 9.2 i dataskyddsförordningen. WÅAB har uppgett att den aktuella behandlingen haft stöd i undantaget i artikel 9.2 g.

IMY konstaterar att en förutsättning för att behandling av känsliga personuppgifter ska vara laglig enligt någon av punkterna i artikel 9.2 är att behandlingen har stöd i en rättslig grund. Eftersom IMY ovan bedömt att WÅAB saknat rättslig grund för behandlingen kan det redan av det skälet konstateras att behandlingen inte heller är tillåten enligt artikel 9 i samma förordning.

Vidare har IMY bedömt att WÅAB inte har kunnat stödja behandlingen av klagandens personuppgifter på artikel 6.1 f i dataskyddsförordningen eftersom den inte varit nödvändig för att uppnå syftet med behandlingen. IMY konstaterar att undantaget i artikel 9.2 g är tillämpligt på behandling som är nödvändig med hänsyn till ett viktigt allmänt intresse som följer av unionsrätten eller nationell rätt. Även denna bestämmelse innehåller således alltså ett motsvarande krav på nödvändighet som i artikel 6.1 f. Eftersom IMY bedömt att detta krav inte är uppfyllt i förhållande till det av WÅAB åberopade allmänna intresset av en säker kollektivtrafik har behandlingen av känsliga personuppgifter inte kunnat grunda sig på artikel 9.2 g i dataskyddsförordningen.

IMY bedömer sammanfattningsvis att WÅAB saknat stöd i något av undantagen i artikel 9.2 från förbudet att behandla känsliga personuppgifter. WÅAB har därmed behandlat klagandens personuppgifter i strid med artikel 9 i dataskyddsförordningen.

Val av ingripande

Rättslig reglering

Vid överträdelser av dataskyddsförordningen har IMY ett antal korrigerande befogenheter att tillgå enligt dataskyddsförordningen. Av artikel 58.2 i dataskyddsförordningen följer att IMY i enlighet med artikel 83 ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall.

Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen.

I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras, men också vad som ska påverka sanktionsavgiftens storlek. Av betydelse för bedömningen av överträdelsens allvar är bland annat dess karaktär, svårighetsgrad och varaktighet. EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer för beräkning av sanktionsavgifter.

Enligt artikel 83.5 ska det vid överträdelser av bland annat artiklarna 6 och 9 påföras administrativa sanktionsavgifter på upp till 20 000 000 EUR eller, om det gäller ett företag, på upp till 4 procent av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.

I artikel 83.3 anges att om en personuppgiftsansvarig, med avseende på en och samma eller sammankopplade uppgiftsbehandlingar, överträder flera av bestämmelserna i förordningen får den administrativa sanktionsavgiften inte överstiga det belopp som fastställs för den allvarligaste överträdelsen.

Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b i förordningen.

Vad WÅAB har uppgett

WÅAB har uppgett att för det fall IMY bedömer att bolaget har behandlat personuppgifter utan lagligt stöd bör i första hand en reprimand påföras i stället för en sanktionsavgift.

WÅAB:s enda syfte med nykterhetstesterna är att trygga resenärers och anställdas säkerhet i kollektivtrafiken. WÅAB har vidtagit långtgående åtgärder för att säkerställa att integritetsintrånget för den registrerade utgjort det minsta möjliga. WÅAB har begränsat antalet personer som varit föremål för nykterhetstester samt minimerat lagringstiden, antalet uppgifter som lagrats och antal personer som har haft möjlighet att avläsa resultatet för att kunna vidta åtgärder vid ett positivt resultat. Därutöver har kontinuerlig dialog mellan trafikutövaren och WÅAB skett för att säkerställa att nykterhetstester genomförs på ett ändamålsenligt sätt. WÅAB har som ett resultat av

kontinuerlig dialog vid flera tillfällen pausat användandet av nykterhetstester för att åtgärda och utreda frågor som uppkommit under tiden. Inga känsliga personuppgifter har faktiskt eller potentiellt kunnat behandlas. Det har inte heller skett någon säkerhetsincident som inneburit risker för klaganden. En sanktionsavgift skulle vid beaktande av situationen som helhet och de omständigheter som framförts av WÅAB innebära en oproportionell åtgärd som är kontraproduktiv. En reprimand med föreläggande om hur behandlingen bör justeras för att den ska vara laglig framstår som mer ändamålsenlig.

Om IMY beslutar att påföra en sanktionsavgift ska beaktas att behandlingen har varit proportionerlig och nödvändig i förhållande till behandlingens ändamål. Den utrustning som använts vid utförande av nykterhetstester har efter utredning ansetts vara den minst integritetskränkande för det fastställda ändamålet. Nykterhetstesterna har under flera tillfällen avbrutits på grund av tekniska skäl och för att utreda inkomna synpunkter. Den faktiska tiden för bruk av nykterhetstester har därför varit mycket begränsad och antalet utförda tester har därmed varit förhållandevis få. WÅAB har sedan IMY beslutat att inleda tillsyn samarbetat och tillhandahållit information vid begäran. WÅAB har också varit noggranna med att inkomma med rättelser för det fall felaktig information har lämnats. WÅAB ägs till 100 procent av AB Storstockholms Lokaltrafik (SL) som i sin tur ägs till 100 procent av Region Stockholm. Regionen utövar ett aktivt ägande i WÅAB och har ett betydande rättsligt inflytande i beslutsfattande över hur bolaget ska bedriva sin verksamhet och fullgöra myndighetens uppdrag. WÅAB utgör således ett offentligägt bolag där majoriteten finansieras med skattefinansierade medel och bolaget bör därför inte påföras en högre sanktionsavgift än vad som kan påföras en myndighet. WÅAB och SL är aktiebolag men ska mot bakgrund av gällande struktur väsentligt likställas med en myndighet vid fullgörande av Region Stockholms uppdrag som kollektivtrafikmyndighet. En eventuell sanktionsavgift bör vara väsentligt lägre än för ett kommersiellt bolag med vinstsyfte.

Vad gäller frågan om WÅAB bildar en ekonomisk enhet med SL framförs bland annat att kollektivtrafikverksamheten bedrivs genom aktiebolag, men att ändamålet med verksamheten inte är att generera vinst. Vare sig SL eller WÅAB har åtnjutit de konkurrensfördelar ett företag i den mening som avses i artiklarna 101 och 102 fördraget om Europeiska unionens funktionssätt (EUF-fördraget). För det fall IMY ändå kommer fram till att SL och WÅAB utgör ett sådant företag, ska den sanktionsavgift som påförs WÅAB stå i relation till WÅAB:s faktiska omsättning oaktat det maximala belopp som fastställs för sanktionsavgiften och endast bedömas utifrån omständigheterna i det aktuella ärendet. Vidare utgör den verksamhet om bedrivs av WÅAB en klart begränsad del av hela SL-koncernen. För att en eventuell sanktionsavgift ska uppfylla kravet på att vara proportionell måste WÅAB:s mycket begränsade omsättning sett till SL-koncernens hela omsättning beaktas. WÅAB noterar vidare att handläggningen för tidigare och nuvarande tillsyn har pågått i drygt två år.

IMY:s bedömning

Sanktionsavgift ska påföras

IMY har funnit att WÅAB har behandlat klagandens personuppgifter i strid med artiklarna 6 och 9 i dataskyddsförordningen. Det innebär att WÅAB, även med beaktande av att behandlingen periodvis har pausats, under en längre tid har samlat in och lagrat känsliga personuppgifter om klaganden i hans egenskap av anställd utan rättsligt stöd. Mot denna bakgrund bedömer IMY att det inte är fråga om sådana mindre allvarliga överträdelser som kan medföra att en reprimand utfärdas i stället för en sanktionsavgift.

EU-domstolen har klargjort att det krävs att den personuppgiftsansvariga har begått en överträdelse uppsåtligen eller av oaktsamhet för att administrativa sanktionsavgifter ska kunna påföras enligt dataskyddsförordningen. EU-domstolen har härvid uttalat att personuppgiftsansvariga kan påföras sanktionsavgifter för ageranden om de inte kan anses ha varit okunniga om att agerandet utgjorde en överträdelse, oavsett om de varit medvetna om att de åsidosatte bestämmelserna i dataskyddsförordningen.

WÅAB är i egenskap av personuppgiftsansvarig för den personuppgiftsbehandling som sker inom bolaget och för att den sker i enlighet med gällande regelverk. WÅAB har behandlat klagandens personuppgifter i strid med dataskyddsförordningen genom att behandla personuppgifterna utan rättslig grund i artikel 6 och utan att något av undantagen från förbudet mot att behandla känsliga personuppgifter i artikel 9 varit tillämpligt. IMY bedömer att bolaget inte kan anses ha varit okunnigt om att agerandet inneburit en överträdelse av förordningen. IMY anser mot denna bakgrund att bolaget har varit oaktsamt i förhållande till de överträdelser av dataskyddsförordningen som konstaterats. Det finns därmed förutsättningar för att påföra bolaget en administrativ sanktionsavgift.

Utgångspunkter för beräkningen av sanktionsavgiften

Den maximala sanktionsavgiften som gäller för företag vid överträdelser av artiklarna 6 och 9 uppgår till det belopp som är högst av 20 000 000 EUR respektive 4 procent av den totala globala årsomsättningen under föregående budgetår. Det finns inte stöd för att i stället tillämpa de lägre högsta beloppen för sanktionsavgifter som gäller för myndigheter enligt 6 kap. 2 § andra stycket i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning eftersom WÅAB inte är en myndighet utan ett privaträttsligt organ.

Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag ska den definition av begreppet företag användas som EU-domstolen använder vid tillämpning av artiklarna 101 och 102 i EUF-fördraget. Beräkningen av maxbeloppet för en personuppgiftsansvarig som utgör ett sådant företag eller ingår i ett sådant företag ska ske på grundval av en procentandel av det berörda företagets totala globala årsomsättningen under föregående räkenskapsår. Begreppet företag ska även beaktas för att bedöma den faktiska eller materiella ekonomiska kapaciteten hos den person som påförs sanktionsavgiften och därigenom kontrollera om sanktionsavgiften är effektiv, proportionell och avskräckande.

Av domstolens praxis framgår att begreppet omfattar varje enhet som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering samt även om enheten i juridisk mening består av flera fysiska eller juridiska personer. Olika företag inom samma koncern kan således bilda en ekonomisk enhet och därmed ett företag i den mening som avses i artiklarna 101 och 102 i EUF-fördraget.

Moderbolag och dotterbolag betraktas som en del av samma ekonomiska enhet när moderbolaget utövar ett avgörande inflytande över dotterbolaget. Det avgörande

inflytandet (dvs. kontrollen) kan antingen uppnås genom ägande eller genom avtal. Av rättspraxis framgår att ett hundraprocentigt eller nästan hundraprocentigt ägande innebär en presumtion för att kontroll ska anses föreligga (den så kallade Akzoprincipen). Presumtionen kan dock motbevisas om företaget lämnar tillräcklig bevisning för att styrka att dotterbolaget agerar självständigt på marknaden.

Av WÅAB:s årsredovisning för 2023 framgår att bolaget är helägt dotterbolag till SL. SL är i sin tur moderbolag i en koncern där SL står som ensam ägare till bolagen SL Nya Tunnelbanan AB, AB SL Finans och WÅAB. Mot denna bakgrund bedömer IMY att SL-koncernen, i enlighet med Akzo-principen som inte bedöms ha motbevisats, är en sådan ekonomisk enhet som utgör ett företag enligt de utpekade bestämmelserna i EUF-fördraget.

Vid bestämmande av maxbeloppet för sanktionsavgiften utgår IMY från SL:s års- och koncernredovisning för år 2023 (eftersom årsredovisningen för 2024 inte fastställts vid tidpunkten för beslutet). IMY bedömer att det är SL-koncernens årsomsättning för 2023 om 24 512 000 000 kr som ska läggas till grund för beräkningen av sanktionsavgiften. Det innebär att det högsta beloppet som kan fastställas i ärendet är 980 480 000 kr som motsvarar fyra procent av årsomsättningen.

Överträdelsernas allvar

Av EDPB:s riktlinjer framgår att tillsynsmyndigheten ska bedöma om överträdelserna är av låg, medel, eller hög allvarlighetsgrad enligt artikel 83.2 a, b och g i dataskyddsförordningen.

Den behandling som överträdelserna gäller har med hänsyn till att den pågått under en lång period om totalt drygt ett år och att klaganden uppskattningsvis har testats två gånger per arbetspass varit omfattande. Behandlingen har vidare omfattat känsliga personuppgifter om klaganden som samlats in inom ramen för hans anställning, en situation då han befunnit sig i en beroendeställning i förhållande till sin arbetsgivare.

I bedömningen av allvarlighetsgraden fäster IMY dock även stor vikt vid att behandlingen skett i syfte att upprätthålla säkerhet i kollektivtrafik och att tillsynen endast omfattar behandling av en enskild klagandes personuppgifter. Vidare har klaganden inte varit direkt identifierbar och till följd av åtgärder som WÅAB vidtagit har endast ett fåtal personer haft tillgång till samtliga uppgifter som krävts för att identifiera klaganden.

IMY bedömer mot bakgrund av ovanstående omständigheter att det sammantaget rör sig om överträdelser av artiklarna 6 och 9 i datasskyddsförordningen av låg allvarlighetsgrad.

IMY ska vid sin bedömning av sanktionsavgiftens storlek även ta hänsyn till sådana försvårande och förmildrande faktorer som förtecknas i artikel 83.2 i dataskyddsförordningen. WÅAB har numer vidtagit åtgärder för att begränsa lagringstiden och har även lyft fram att bolaget vid flera tillfällen pausat alkoholtesterna för att åtgärda och utreda frågor som uppkommit under behandlingen. IMY anser inte att de vidtagna åtgärderna går utöver vad som förväntas av bolaget i det aktuella fallet och att de

därför inte utgör sådana faktorer som ska påverka bedömningen av sanktionsavgiftens storlek i förmildrande riktning. IMY konstaterar vidare att WÅAB har haft en skyldighet att samarbeta med IMY inom ramen för tillsynen och det är en sådan omständighet som ska anses neutral vid bestämmandet av sanktionsavgiften. IMY bedömer att det inte heller i övrigt framkommit några försvårande eller förmildrande omständigheter, utöver de som beaktas vid bedömningen av allvarlighetsgraden, som påverkar sanktionsavgiftens storlek. Mot bakgrund av ärendets komplexitet bedömer IMY att det inte heller att ärendets handläggningstid ska leda till en lägre sanktionsavgift.

Den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande. Det innebär att beloppet ska bestämmas så att den administrativa sanktionsavgiften leder till rättelse, att den ger en preventiv effekt och att den dessutom är proportionerlig i förhållande till såväl aktuell överträdelse som till tillsynsobjektets betalningsförmåga.

IMY bestämmer utifrån en samlad bedömning att WÅAB ska betala en administrativ sanktionsavgift på 75 000 kronor. IMY bedömer att detta belopp är effektivt, proportionerligt och avskräckande.

__________________________

Detta beslut har fattats av enhetschefen Nidia Nordenström efter föredragning av avdelningsjuristen Maja Welander.

Nidia Nordenström

Bilagor

1. Klagandens personuppgifter 2. Information om hur man betalar en sanktionsavgift

Kopia till

Dataskyddsombudet

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.