Aktiebolaget Storstockholms Lokaltrafik (SL)

IMY-2024-1521 Beslut efter tillsyn enligt

dataskyddsförordningen – Aktiebolaget Storstockholms Lokaltrafik

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Aktiebolaget Storstockholms Lokaltrafik, med organisationsnummer 556013-0683, under perioden oktober 2021–augusti 2022 har behandlat klagandens personuppgifter i strid med

• artikel 6 i dataskyddsförordningen genom att behandla klagandens personuppgifter utan rättslig grund och • artikel 9 i dataskyddsförordningen genom att behandla känsliga personuppgifter om klaganden utan att något av undantagen från förbudet att behandla sådana uppgifter var tillämpligt.

IMY beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att Aktiebolaget Storstockholms Lokaltrafik ska betala en administrativ sanktionsavgift på 75 000 (sjuttiofemtusen) kronor för överträdelserna.

Redogörelse för tillsynsärendet

Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot Aktiebolaget Storstockholms Lokaltrafik (SL eller bolaget) med anledning av ett klagomål.

IMY utreder om den aktuella behandlingen av klagandens personuppgifter har haft stöd i en rättslig grund i artikel 6 i dataskyddsförordningen, huruvida behandlingen har omfattat känsliga personuppgifter om klaganden enligt artikel 9 i dataskyddsförordningen och i så fall om något av undantagen mot förbudet mot att behandla sådana känsliga uppgifter varit tillämpligt.

Bakgrund

avslutades med hänsyn till att Trafikförvaltningen i Region Stockholm inte bedömdes vara personuppgiftsansvarig för den behandling som klagomålet gäller. IMY har tillfört relevanta handlingar från det tidigare tillsynsärendet till ärende IMY-2024-1521.

Klagomålet

Klaganden har i huvudsak uppgett följande. Klaganden är befälhavare och anställd av en trafikutövare som utför upphandlad kollektivtrafik på vatten åt SL. Befälhavarna hos trafikutövaren gör ett utandningsprov i en alkoholmätare innan varje avgång med färja. Resultatet registreras och lagras i ett system. Systemet med alkoholtestning av anställda med registrering och lagring av resultaten från testerna har inte förekommit tidigare. Trafikutövaren har inte kunnat svara på vilken rättslig grund behandlingen av känsliga uppgifter stödjer sig på. Det enda uttalade syftet med alkoholtestning är att säkerställa att befälhavaren inte är alkoholpåverkad vid framförandet av fartyget, men vad den rättsliga grunden för, syftet med och intresset av att registrera testresultat för lagring kan trafikutövaren inte förklara. Den troliga anledningen till att trafikutövaren inte kan svara klart och tydligt på klagandens frågor är att trafikutövaren inte fått tillräcklig information och underlag i sitt avtal med Trafikförvaltningen i Region Stockhom. Trafikutövaren ska redovisa resultatet av alkoholtesterna för SL. Informationen om utandningsprovets resultat lagras i den fastmonterade alkoholmätaren ombord på fartygen i ett år. Samma information överförs genom digital uppkoppling till en server som trafikutövaren och SL har tillgång till. Eftersom både trafikutövaren och SL kan koppla ihop logginformationen från alkoholmätaren med tjänstföringsscheman innebär detta sammantaget att det är fråga om personuppgiftsbehandling. Vilka som tjänstgör ombord ska enligt lag vara kända för trafikutövaren och vara noterade i skeppsdagboken som även SL har tillgång till. Uppgifterna i skeppsdagboken sparas i tre år. Den befälhavaren som är skyldig att blåsa i alkoholmätaren kan därför kopplas samman med utfört utandningsprov.

Yttranden från SL

SL:s yttranden redogörs för i relevanta delar under respektive avsnitt under rubriken ”Motivering av beslutet”. Nedan sammanfattas det som i huvudsak framkommit om den aktuella personuppgiftsbehandlingen.

Genom alkoholmätaren registreras uppgift om aktuell utandningsenhet kopplad till fartyg, tidpunkt och resultat av befälhavarens utandningsprov. Uppgift om vem ett utandningsprov hänför sig till registreras inte. De registrerade uppgifterna lagras i alkoholmätaren, kontrollboxen ombord på fartyget och i SL:s datasystem under sju dagar enligt nu gällande gallringsrutiner. Vid resultat upp till laglighetsgränsen, 0,2 promille, visas endast ett grönt resultat. Det är först när resultatet har passerat laglighetsgränsen som ett resultat angivet i promille är synligt och utandningsenheten visar rött. Det är endast ett fåtal behöriga personer hos trafikutövaren som, genom tillgång till resultat från alkoholmätaren som skeppsdagbok, har haft möjlighet att identifiera befälhavarens resultat av ett utandningsprov. Det har varit nödvändigt för att uppnå syftet med användningen av alkoholmätaren som varit att förhindra framförande av fartyg under alkoholpåverkan.

När utandningsproven togs i bruk i oktober 2021 saknades gallringsrutiner eftersom SL inte bedömde att resultatet av utandningsproverna utgjorde personuppgifter för bolaget. Förslag till gallringsbeslut presenterades för Regionarkivet den 2 april 2022. Gallring av samtliga uppgifter i systemet genomfördes den 2 maj 2022. Ett formellt gallringsbeslut godkändes av Regionarkivet den 3 oktober 2022. Efter det formella

gallringsbeslutet ska automatisk gallring ske efter sju dagar från utandningsprov. En lagringstid om sju dagar är nödvändig för att säkerställa att trafikutövaren hinner följa upp och vidta åtgärder vid ett eventuellt positivt resultat. Det har inte bedömts finnas något intresse av att behålla utandningsprov och loggar under en längre tid då uppgifterna saknar betydelse i andra avseenden. SL uppskattar att klaganden har utfört ungefär två utandningsprov per arbetsdag. Uppgifterna om klaganden finns inte längre sparade. Utandningsproven är pausade sedan den 26 augusti 2022 på grund av IMY:s tillsyn. SL önskar att återuppta kontrollerna så snart som är möjligt.

Yttranden från klaganden

Klaganden har fått tillfälle att yttra sig över SL:s yttranden och har bland annat uppgett följande. SL anser sig vara ansvarig för säkerheten ombord. Rederiet, i detta fall trafikutövaren, tillsammans med befälhavaren är ansvariga för säkerheten och arbetsmiljön ombord. SL hänvisar vidare till alkohol- och drogpolicy som är branschstandarden oberoende om SL är huvudman eller inte. Denna policy innehåller bland annat nolltolerans mot alkohol och droger på arbetsplatsen, alkohol- och drogtest vid nyanställning, misstanke och olycka och slumpmässiga tester. Klaganden ställer sig frågande till om SL utifrån en proportionalitetsbedömning konstaterat att dessa åtgärder inte har fungerat och om SL har konstaterat problem med alkohol och droger hos sin uppdragstagares personal som motiverar ytterligare åtgärder.

Motivering av beslutet

IMY ska inledningsvis pröva om resultaten från utandningsproven har utgjort personuppgifter om klaganden. Om så är fallet ska IMY därefter ta ställning till om SL har haft stöd i artiklarna 6 och 9 i dataskyddsförordningen för att behandla klagandens personuppgifter i samband med de utandningsprov som genomförts under perioden oktober 2021–augusti 2022.

Behandlingen omfattar personuppgifter

Rättslig reglering

Begreppet personuppgift definieras i artikel 4.1 i dataskyddsförordningen som varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

Av skäl 26 i dataskyddsförordningen framgår bland annat följande. Personuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör anses som uppgifter om en identifierbar fysisk person. För att avgöra om en fysisk person är identifierbar bör man beakta alla hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller av en annan person, rimligen kan komma att användas för att direkt eller indirekt identifiera den fysiska personen. För att fastställa om hjälpmedel med rimlig sannolikhet kan komma att användas för att identifiera den fysiska personen bör man beakta samtliga objektiva faktorer, såsom kostnader och tidsåtgång för identifiering, med beaktande av såväl tillgänglig teknik vid tidpunkten för behandlingen som den tekniska utvecklingen.

Begreppet ”personuppgift” ska enligt rättspraxis ges en vid innebörd. EU-domstolen har slagit fast att en upplysning avser en identifierbar fysisk person när den på grund av sitt innehåll, syfte eller verkan är knuten till en identifierbar person. EU-domstolen har vidare konstaterat att det inte är nödvändigt att upplysningen i sig gör det möjligt att identifiera den fysiska personen för att upplysningen ska utgöra en personuppgift. Det följer av artikel 4.1 jämfört med skäl 26 att personuppgifter som genom att använda kompletterande uppgifter skulle kunna tillskrivas en fysisk person ska anses som uppgifter om en identifierbar fysisk person. Det krävs inte att en enda person innehar alla upplysningar som är nödvändiga för att identifiera den registrerade för att en uppgift ska anses utgöra en personuppgift i den mening som avses i artikel 4.1 i dataskyddsförordningen.

Vad SL har uppgett

Av SL:s yttranden framgår bland annat följande. Uppgift om vem ett utandningsprov hänför sig till registreras inte i systemet. I systemet registreras uppgifter om aktuell utandningsenhet kopplad till fartyg, tidpunkt och resultat av utandningsprov. Två anställda hos trafikutövaren har tillgång till resultatet från utandningsproverna i systemet. Dessa behöriga personer kan i sin tur koppla ihop resultat från utandningsprov med vem som har varit befälhavare för det fartyg som det aktuella utandningsprovet har utförts på. SL har inte tillgång till den informationen. SL har bestämt att endast personal hos trafikutövaren ska ha tillgång till resultat av utandningsprov.

Inför att utandningsproven infördes bedömde SL att resultaten inte utgjorde personuppgifter för bolaget, eftersom bolaget inte uppfattade att de medel för att identifiera vilken befälhavare som gjort vilket utandningsprov rimligen eller sannolikt kunde kommas åt av SL. SL har haft en viss möjlighet att genom åtgärder hos leverantören erhålla tillgång till uppgifter som lagras i utandningsenheten, men har primärt uppfattat att möjligheten inte varit inom ramen för vad som anses utgöra en rimlig åtgärd. Efter dialog med bland annat befälhavare rörande utandningsproven under våren 2022 gjorde SL en förnyad bedömning av frågan, varvid bolaget ansåg att hanteringen sannolikt får anses utgöra personuppgiftsbehandling för bolaget.

IMY:s bedömning

Mot bakgrund av utredningen i ärendet bedömer IMY att resultaten från utandningsproven kan kopplas till den fysiska person som har utfört utandningsprovet genom kompletterande uppgifter, som finns tillgängliga hos trafikutövaren. Det är enligt IMY tillräckligt att resultaten från utandningsproven med de kompletterande uppgifterna i skeppsdagboken kan kopplas till en identifierbar fysisk person. Den omständigheten att SL inte har haft direkt tillgång till resultaten från utandningsproven eller att det inte har registrerats uppgift om vem som utfört ett utandningsprov i systemet där resultaten har lagrats saknar enligt IMY betydelse i sammanhanget. Resultaten från utandningsproven utgör således personuppgifter enligt artikel 4.1. i dataskyddsförordningen.

SL är personuppgiftsansvarig

Rättslig reglering

Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som

ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.

Vad SL har uppgett

SL har angett bland annat följande. SL har bestämt ändamålen med den aktuella personuppgiftsbehandlingen och beslutat hur behandlingen ska genomföras. SL har fattat beslut om installation av mätarna på fartygen. SL har beslutat hur lagring av resultaten av utandningsproven ska ske och om lagringstid. SL har vidare bestämt att endast personal hos trafikutövaren ska ha tillgång till resultat av utandningsprov. Trafikutövaren är personuppgiftbiträde till SL i den del som trafikutövaren hanterar personuppgifter för SL:s räkning. SL har ingått ett personuppgiftsbiträdesavtal med trafikutövaren.

IMY:s bedömning

IMY bedömer att utredningen visar att SL har bestämt ändamålen och medlen för den aktuella personuppgiftsbehandlingen. SL är därmed personuppgiftsansvarig för den.

Rättslig grund för personuppgiftsbehandlingen

I artikel 6 i dataskyddsförordningen anges att en behandling av personuppgifter endast är laglig om minst ett av villkoren i artikel 6.1 är uppfyllt. Det måste med andra ord finnas en rättslig grund för personuppgiftsbehandlingen.

SL har angett att bolaget har genomfört en dokumenterad intresseavvägning och kommit fram till att den aktuella behandlingen kan grundas på artikel 6.1 f i dataskyddsförordningen. SL har även framfört att om IMY inte bedömer att rättslig grund enligt artikel 6.1 f föreligger så har behandlingen haft stöd i den rättsliga grunden allmänt intresse enligt artikel artikel 6.1 e i dataskyddsförordningen.

Rättslig reglering

I artikel 6.1 e i dataskyddsförordningen anges att personuppgiftsbehandling är laglig om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Enligt artikel 6.3 i dataskyddsförordningen ska den grund för behandlingen som avses i artikel 6.1 e fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

I artikel 6.1 f dataskyddsförordningen anges att en personuppgiftsbehandling är laglig om den är nödvändig för ändamål som rör den personuppgiftsansvariges eller tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter.

Bestämmelsen föreskriver således tre kumulativa villkor som måste vara uppfyllda för att personuppgiftsbehandling ska vara tillåten. Den första förutsättningen är att de intressen som behandlingen avser att skydda måste utgöra berättigade intressen för den personuppgiftsansvarige eller en tredje part. Det berättigade intresset ska vara lagligt, vilket innebär att det inte får stå i strid med vare sig EU-rätt eller nationell rätt. Vidare ska intresset vara klart och tydligt formulerat och gälla ett faktiskt intresse som

föreligger vid tidpunkten för behandlingen och inte är hypotetiskt. Om en personuppgiftsansvarig inte bara agerar i sitt eget berättigade intresse (t.ex. sitt affärsintresse), utan också i hela samhällets intressen, väger detta intresse i regel tyngre än annars.

Den andra förutsättningen är att behandlingen är nödvändig för ett ändamål som rör det berättigade intresset. Det innebär att det berättigade intresset inte rimligen kan uppnås på ett lika effektivt sätt genom andra medel som i mindre utsträckning inkräktar på de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till skydd för privatlivet och rätten till skydd för personuppgifter enligt artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna (EU:s rättighetsstadga). Av praxis följer även att kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen vilken föreskriver att de personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

Den tredje förutsättningen är att de registrerades grundläggande fri- och rättigheter (integritetsintresset) inte väger tyngre än det berättigade intresse som behandlingen avser att skydda. Bedömningen ska göras utifrån de konkreta omständigheterna i det enskilda fallet. Den personuppgiftsansvarige ska bland annat identifiera och beakta den registrerades intressen samt rättigheter och friheter, behandlingens påverkan på den registrerade och huruvida den registrerade rimligen kunde förvänta sig behandling för det aktuella ändamålet.

I enlighet med principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen är det den personuppgiftsansvariga ansvara för och kunna visa att reglerna i dataskyddsförordningen följs och däribland att behandlingen är laglig.

Vad SL har uppgett

SL anser att bolaget har ett berättigat intresse av att behandla personuppgifter på det sätt som sker. Det berättigade intresset med behandlingen är att säkerställa säkerheten för resenärerna i kollektivtrafiken. Region Stockholm bedriver kollektivtrafik på vatten utifrån beslut om allmän trafikplikt och ett antal trafikavtal. Kollektivtrafiken på vatten bedrivs genom SL och Waxholms Ångfartygs Aktiebolag (WÅAB). SL är ansvarig för att kollektivtrafiken inom bolagets ansvarsområde bedrivs på ett säkert sätt. SL:s avsikt med att nykterhetstesta befälhavare har varit att garantera säkerheten för passagerare, arbetstagare och trafikanter i kollektivtrafiken. SL har övervägt det integritetstrång det riskerar att medföra för befälhavare i samband med utförande av nykterhetstester. SL har bedömt att intresset av nyktra befälhavare överväger det integritetstrång som riskerar att följa för berörda befälhavare. SL har bedömt att det är nödvändigt att behandla personuppgifter för att uppnå ändamålet. Det går inte att uppnå ändamålet utan att de aktuella personuppgifterna behandlas. SL har genomfört en dokumenterad konsekvensbedömning med resultat att behandlingen kan ske.

Trafikförvaltningen i Region Stockholm har i Trafiksäkerhetspolicy för sjötrafiken fastställt att fartyg inom trafikförvaltningens successivt ska förses med tillförlitliga alkolås och att enhetliga rutiner ska finnas för hur dessa ska användas. Av trafikförvaltningens säkerhetsbestämmelser SSA SÄB 0478 framgår vidare att alla fordon inklusive fartyg inom kollektivtrafiken ska ha alkolås och att arbete pågår med

införande av alkolås för fartygsflottan. SL:s krav på att alkoholmätare används och kravet på att befälhavare genomför utandningsprov och lagring av resultatet hos trafikutövaren medför att behandlingen får anses bli nödvändig.

SL har minimerat antalet personuppgifter som behandlas för att uppfylla syftena med behandlingen. Vid anställning hos trafikutövaren informeras blivande personal om nolltolerans avseende alkohol och droger och de anställda har tillgång till den gällande alkohol- och drogpolicyn.

SL har vidtagit och övervägt andra åtgärder för att uppnå syftet med behandlingen. Inga av åtgärderna har bedömts säkerställa det övergripande behovet av att förare inom kollektivtrafik aldrig framför fartyg alkoholpåverkade. SL framställer krav gällande sjösäkerhet relaterad till alkohol och droger vid upphandlingar av kollektiv sjötrafik. Av den senaste upphandlingen framgår krav på att trafikutövare ska ha en fastställd policy för förebyggande arbete mot alkohol och droger. Trafikutövare har en skyldighet att utöva tillsyn och genomföra kontroller för att uppfylla SL:s krav på trygghet och säkerhet. Genomförda kontroller redovisas årligen i syfte att SL tillsammans med trafikutövaren ska kunna utvärdera och vidta åtgärder för säker sjötrafik. Trafikutövaren ska genomföra alkohol- och drogtester på den personal som arbetar med framförande av fartygen genom så kallade stickprov två gånger per år. Utöver stickprovskontroller uppställs krav på alkohol- och drogtester i samband med olyckor och tillbud. Det ska framhållas att det enda sättet att säkerställa att en befälhavare för ett fartyg är nykter vid framförandet av fartyget är att utföra ett nykterhetstest omedelbart innan fartygets avgång. Det är inte tillräckligt att använda sig av slumpmässiga nykterhetstester och informera om gällande alkohol och drogpolicy i samband med anställning.

Ett teoretiskt annat sätt för att uppnå syftet med behandlingen skulle vara installation av alkolås i fartyg. SL uppfattar att behandlingen i samband med sådan mekanism skulle medföra likvärdiga intrång i de registrerades integritet, eftersom nödvändig uppföljning av varför ett visst fartyg inte kan framföras på grund av alkolås vid en viss tidpunkt skulle ge upphov till motsvarande typ av personuppgiftsbehandling.

Vid införandet av nykterhetstester har SL konstaterat att tidigare genomförda åtgärder inte säkerställer SL:s behov. SL har inte kunnat identifiera några mindre integritetsingripande åtgärder än de som införts i samband med nykterhetstesterna och på det sätt som resultaten av kontrollerna hanteras. SL anser vidare att bolagets berättigade intresse av att genomföra behandlingen väger tyngre än de registrerades intressen.

Vad gäller den rättsliga grunden allmänt intresse har SL framfört att den verksamhet som Region Stockholm, som kollektivtrafikmyndighet, bedriver utgör ett allmänt intresse. SL som är ansvariga för kollektivtrafiken har en lagstadgad skyldighet att bedriva kollektivtrafik på ett säkert sätt för såväl resenärer som för anställda.

IMY:s bedömning av den rättsliga grunden intresseavvägning

Berättigat intresse

SL har uppgett att bolaget har ett berättigat intresse av att behandla klagandens personuppgifter för att säkerställa säkerheten i kollektivtrafiken och att fartyg inte framförs under alkoholpåverkan. IMY finner att SL:s intresse av att behandla personuppgifter i syfte att säkerställa säkerheten inom kollektivtrafiken är ett viktigt samhällsintresse som utgör ett berättigat intresse i dataskyddsförordningen mening.

Nödvändighet

IMY ska vidare pröva om den aktuella behandlingen har varit nödvändig för att uppnå syftet med personuppgiftsbehandlingen.

SL har i denna del uppgett att bolaget har undersökt andra lämpliga och mindre integritetskänsliga åtgärder för att uppnå syftet med behandlingen och att bolaget inte har kunnat identifiera några mindre integritetsingripande åtgärder för att uppnå syftet med den aktuella behandlingen. SL har identifierat installation av alkolås i fartyg som ett teoretiskt alternativt sätt att uppnå syftet med behandling. SL har dock bedömt att nödvändig uppföljning av varför ett visst fartyg inte kan framföras på grund av alkolås vid en viss tidpunkt är att anses som motsvarande typ av personuppgiftsbehandling som den behandling som klagomålet gäller.

Nödvändighetsrekvisitet ska, som nämnts, prövas tillsammans med principen om uppgiftsminimering. IMY konstaterar att från det att utandningsproverna infördes i oktober 2021 till de stoppades i augusti 2022 har SL saknat formella gallringsrutiner för dessa. Det har medfört att klagandens provresultat, från de i genomsnitt två utandningsproven per arbetspass som han genomfört under perioden, har registrerats och lagrats i SL:s system under en lång tid om flera månader. SL har uppgett att en längre lagringstid än sju dagar inte har varit motiverad vare sig för uppföljning av resultaten eller av några andra skäl. IMY anser att det därmed får anses stå klart att syftet med en säker kollektivtrafik och förhindrande av att fartyg framförs under alkoholpåverkan har kunnat uppnås utan en sådan omfattande behandling av klagandens personuppgifter som genomförts under perioden. Redan mot denna bakgrund bedömer IMY, även med beaktande av att det vid ett tillfälle under perioden gjorts en gallring av samtliga uppgifter i systemet, att behandlingen inte har varit nödvändig för att uppnå det berättigade intresset.

Vidare har SL identifierat alkolås som ett alternativt sätt att uppnå syftet med behandlingen. IMY delar inte SL:s bedömning av att den personuppgiftsbehandling som användandet av alkolås skulle medföra, såsom den beskrivits av bolaget, skulle innebära ett likvärdigt intrång i klagandens integritet i förhållande till den som genomförts. IMY anser att personuppgiftsbehandling i form av utredning vid behov och först när ett alkolås förhindrat ett fartygs framförande skulle inskränka klagandens integritetsskydd i mindre utsträckning jämfört med den aktuella behandlingen av personuppgifter, där varje resultat från utandningsprov oavsett resultat har registrerats och, under den tid som tillsynen omfattar, lagrats på obestämd tid i vart fall under flera månader. IMY bedömer därför att det även med beaktande av denna omständighet kan konstateras att den aktuella behandlingen har kunnat uppnås med mindre ingripande åtgärder.

Sammanfattningsvis bedömer IMY att behandlingen av klagandens personuppgifter inte har varit nödvändig för att uppnå SL:s berättigade intresse och att samtliga villkor för att behandlingen ska kunna grunda sig på artikel 6.1 f inte är uppfyllda. Behandlingen av klagandens personuppgifter har därmed inte haft stöd i den rättsliga grunden intresseavvägning.

IMY:s bedömning av den rättsliga grunden allmänt intresse

IMY har bedömt att SL inte har kunnat stödja behandlingen av klagandens personuppgifter på artikel 6.1 f i dataskyddsförordningen eftersom den inte varit nödvändig för att uppnå syftet med behandlingen. IMY konstaterar att för att en behandling ska kunna stödja sig på artikel 6.1 e i dataskyddsförordningen krävs det att

behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse som följer av unionsrätt eller nationell rätt. Bestämmelsen innehåller alltså ett motsvarande krav på nödvändighet som i artikel 6.1 f i förordningen. IMY har bedömt att behandlingen av klagandens personuppgifter inte har varit nödvändig för att uppnå syftet med en säker kollektivtrafik eftersom behandlingen har kunnat uppnås på ett lika effektivt sätt genom mindre ingripande personuppgiftsbehandling. Mot bakgrund av att kravet på nödvändighet inte är uppfyllt har därmed behandlingen av klagandens personuppgifter inte heller kunnat göras med stöd av den rättsliga grunden allmänt intresse.

IMY konstaterar sammanfattningsvis att SL inte har haft rättslig grund för behandlingen av klagandens personuppgifter i samband med utandningsprov som genomförts under perioden oktober 2021–augusti 2022. SL har därmed behandlat klagandens personuppgifter i strid med artikel 6 i dataskyddsförordningen.

Behandling av känsliga uppgifter

Rättslig reglering

Uppgifter om hälsa utgör sådana särskilda kategorier av personuppgifter, så kallade känsliga personuppgifter, som ges ett särskilt starkt skydd enligt dataskyddsförordningen. Det är som huvudregel förbjudet att behandla sådana personuppgifter enligt artikel 9.1 i dataskyddsförordningen, om inte behandlingen omfattas av något av undantagen i artikel 9.2 i förordningen.

Av artikel 9.2 g följer att förbudet mot att behandla känsliga personuppgifter inte gäller om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

Enligt praxis ska begreppet känsliga personuppgifter ges en vid tolkning och omfattar även uppgifter som indirekt avslöjar sådan information.

Uppgifter om hälsa definieras i artikel 4.15 i dataskyddsförordningen som personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa vilka ger information om dennes hälsostatus. Av skäl 35 till dataskyddsförordningen framgår att personuppgifter om hälsa bör innefatta alla de uppgifter som hänför sig till en registrerad persons hälsotillstånd som ger information om den registrerades tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd, inbegripande bland annat uppgifter som härrör från tester eller undersökning av en kroppsdel eller kroppssubstans.

Av lydelsen i artikel 4.15 i dataskyddsförordningen, som preciseras genom skäl 35 i förordningen, följer att det som är avgörande för att fastställa huruvida vissa personuppgifter utgör uppgifter om hälsa är huruvida det är möjligt att utifrån uppgifterna i fråga dra slutsatser om den registrerades hälsotillstånd.

Europeiska dataskyddsstyrelsen (EDPB) har uttalat i riktlinjer om automatiserat individuellt beslutsfattande och profileringatt profilering kan skapa känsliga personuppgifter genom att dra slutsatser från och kombinera uppgifter som inte är känsliga. Enligt EDPB kan det exempelvis vara möjligt att dra en slutsats om någons

hälsostatus från uppgifter om deras matinköp tillsammans med uppgifter om matens kvalitet och energiinnehåll.

Vad SL har uppgett

Den eventuella behandlingen av känsliga personuppgifter har stöd i artikel 9.2 g i dataskyddsförordningen. SL har bedömt att det har varit nödvändigt att behandla personuppgifter för att uppnå en säker kollektivtrafik. SL utför arbete där människors liv kan vara i direkt fara om befälhavare ombord är alkoholpåverkade i samband med arbete på fartygen. Trafiksäkerheten utgör ett viktigt allmänt intresse och kräver att SL nykterhetstestar befälhavare för att tillförsäkra personal, passagerare och medtrafikanter en trygg kollektivtrafik. Vid en sammantagen bedömning av de säkerhetskrav som framgår i sjölagen (1994:1004) och fartygssäkerhetslagen (2003:365) har SL funnit att behandlingen är nödvändig. SL har ansett att nykterhetstesterna är en obligatorisk åtgärd för att tillgodose säkerheten ombord och de skyldigheter som följer av lag. Den metod som använts vid testerna har varit noga avvägd och bedömts vara den minst integritetskränkande för ändamålet.

SL har vidare uppgett att något positivt resultat vid utförande av nykterhetstester aldrig påträffats. SL kan således inte anses ha behandlat känsliga personuppgifter. Avsaknaden av ett positivt resultat kan inte anses utgöra behandling av känsliga personuppgifter om hälsa. Vidare är den tekniska utrustning som använts för genomförande av nykterhetstester utformad på ett sådant sätt att promillenivån endast visas då resultatet överskridit laglighetsgränsen. Resultatet lagras endast under sju dagar, vilket innebär att det inte är möjligt att uppmärksamma eventuella mönster eller riskbeteenden över tid som i eventuella fall skulle kunna innebära en behandling av känsliga personuppgifter. SL är därför av uppfattningen att känsliga personuppgifter varken faktiskt har, eller potentiellt skulle kunna, behandlas genom systemet för nykterhetstester som SL infört.

IMY:s bedömning

Det framgår av utredningen i ärendet att uppgifter från samtliga utandningsprov som klaganden utfört har lagrats under perioden oktober 2021–maj 2022 och gallrats i maj 2022. IMY konstaterar vidare att det framgår att behandlingen därefter har fortsatt och att det, även om SL i april 2022 framställt ett förslag till beslut om gallring efter sju dagar, saknades det ett formellt beslut som möjliggjorde gallring av uppgifterna även under perioden maj 2022–augusti 2022. Det är således fråga om en omfattande och regelbunden behandling av uppgifter om resultat av klagandens utandningsprov under längre tidsperiod. Inga positiva resultat om klaganden har registrerats.

I bedömningen av om behandlingen har omfattat känsliga personuppgifter beaktar IMY särskilt att begreppet ”uppgifter om hälsa” ska ges en vid tolkning och att det är möjligt att skapa känsliga uppgifter genom insamling av icke-känsliga uppgifter. Vidare beaktas att en uppgift om hälsa kan ha olika grad av känslighet. Känsligheten i en viss uppgift är dock inte av betydelse för huruvida en uppgift utgör en uppgift om hälsa i dataskyddsförordningens mening. Det kan vidare konstateras att även uppgifter som gör det möjligt att dra slutsatsen att någon inte lider av ett visst sjukdomstillstånd kan vara en uppgift om den personens hälsa.

I det aktuella ärendet är det fråga om behandling av en stor mängd personuppgifter i form av resultat från alkoholutandningsprov under flera månaders tid. Mot bakgrund av omfattningen av behandlingen i det enskilda fallet bedömer IMY att det utifrån de

insamlade uppgifterna har varit möjligt att dra slutsats om klagandens hälsostatusgenom. SL har därmed behandlat uppgifter om klagandens hälsa i den mening som avses i artikel 4.15 i dataskyddsförordningen.

För att en behandling av känsliga personuppgifter om hälsa ska vara laglig måste den omfattas av något av undantagen i artikel 9.2 i dataskyddsförordningen. SL har uppgett att den aktuella behandlingen haft stöd i artikel 9.2 g.

IMY konstaterar att en förutsättning för att behandling av känsliga personuppgifter ska vara laglig enligt någon av punkterna i artikel 9.2 är att behandlingen har stöd i en rättslig grund. Eftersom IMY ovan bedömt att SL saknat rättslig grund för behandlingen kan det redan av det skälet konstateras att behandlingen inte heller är tillåten enligt artikel 9 i dataskyddsförordningen.

Vidare har IMY bedömt att SL inte har kunnat stödja behandlingen av klagandens personuppgifter på artikel 6.1 f i dataskyddsförordningen eftersom den inte varit nödvändig för att uppnå syftet med behandlingen. IMY konstaterar att undantaget i artikel 9.2 g är tillämpligt på behandling som är nödvändig med hänsyn till ett viktigt allmänt intresse som följer av unionsrätten eller nationell rätt. Även denna bestämmelse innehåller således alltså ett motsvarande krav på nödvändighet som i artikel 6.1 f. Eftersom IMY bedömt att detta krav inte är uppfyllt i förhållande till det av SL åberopade allmänna intresset av säker kollektivtrafik har behandlingen av känsliga personuppgifter inte kunnat grunda sig på artikel 9.2 g i dataskyddsförordningen.

IMY bedömer sammanfattningsvis att SL saknat stöd i något av undantagen i artikel 9.2 från förbudet att behandla känsliga personuppgifter. SL har därmed behandlat klagandens personuppgifter i strid med artikel 9 i dataskyddsförordningen.

Val av ingripande

Rättslig reglering

Vid överträdelser av dataskyddsförordningen har IMY ett antal korrigerande befogenheter att tillgå enligt dataskyddsförordningen. Av artikel 58.2 i dataskyddsförordningen följer att IMY i enlighet med artikel 83 ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall.

Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen.

I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras, men också vad som ska påverka sanktionsavgiftens storlek. Av betydelse för bedömningen av överträdelsens allvar är bland annat dess karaktär, svårighetsgrad och varaktighet. EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer för beräkning av sanktionsavgifter.

Enligt artikel 83.5 ska det vid överträdelser av bland annat artiklarna 6 och 9 påföras administrativa sanktionsavgifter på upp till 20 000 000 EUR eller, om det gäller ett

företag, på upp till 4 procent av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.

I artikel 83.3 anges att om en personuppgiftsansvarig, med avseende på en och samma eller sammankopplade uppgiftsbehandlingar, överträder flera av bestämmelserna i förordningen får den administrativa sanktionsavgiften inte överstiga det belopp som fastställs för den allvarligaste överträdelsen.

Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b i förordningen.

Vad SL har uppgett

SL har uppgett att för det fall IMY bedömer att bolaget har behandlat personuppgifter utan lagligt stöd bör i första hand en reprimand påföras i stället för en sanktionsavgift.

SL:s enda syfte med nykterhetstesterna är att trygga resenärers och anställdas säkerhet i kollektivtrafiken. SL har vidtagit långtgående åtgärder för att säkerställa att integritetsintrånget för den registrerade utgjort det minsta möjliga. SL har begränsat antalet personer som varit föremål för nykterhetstester samt har minimerat lagringstid, antalet uppgifter som lagrats och personer som har haft möjlighet att avläsa resultatet för att kunna vidta åtgärder vid ett positivt resultat. Därutöver har kontinuerlig dialog mellan trafikutövaren och SL skett för att säkerställa att nykterhetstester genomförs på ett ändamålsenligt sätt. SL har som ett resultat av dialogen vid flera tillfällen pausat användandet av nykterhetstester för att åtgärda och utreda frågor som uppkommit under tiden. Inga känsliga personuppgifter har faktiskt eller potentiellt kunnat behandlas. Det har inte heller skett någon säkerhetsincident som inneburit risker för klaganden. En sanktionsavgift skulle vid beaktande av situationen som helhet och de omständigheter som framförts av SL innebära en oproportionell åtgärd som är kontraproduktiv. En reprimand med föreläggande om hur behandlingen bör justeras för att den ska vara laglig framstår som mer ändamålsenlig.

Om IMY beslutar att påföra en sanktionsavgift ska beaktas att behandlingen har varit proportionerlig och nödvändig i förhållande till behandlingens ändamål. Den utrustning som använts vid utförande av nykterhetstester har efter utredning ansetts vara den minst integritetskränkande för det fastställda ändamålet. Nykterhetstesterna har under flera tillfällen avbrutits på grund av tekniska skäl och för att utreda synpunkter. Den faktiska tiden för bruk av nykterhetstester har därför varit mycket begränsad och antalet utförda tester har därmed varit förhållandevis få. SL har sedan IMY beslutat att inleda tillsyn samarbetat och tillhandahållit information vid begäran. SL har också varit noggranna med att inkomma med rättelser för det fall felaktig information har lämnats.

SL ägs tills 100 procent av Region Stockholm. Regionen utövar ett aktivt ägande i SL och har ett betydande rättsligt inflytande i beslutsfattande över hur bolaget ska bedriva sin verksamhet och fullgöra myndighetens uppdrag. SL utgör således ett offentligägt bolag där majoriteten finansieras med skattefinansierade medel och bolaget bör därför inte påföras en högre sanktionsavgift än vad som kan påföras en myndighet. SL är aktiebolag men ska mot bakgrund av gällande struktur väsentligt likställas med en myndighet vid fullgörande av Region Stockholms uppdrag som kollektivtrafikmyndighet. En eventuell sanktionsavgift bör vara väsentligt lägre än för ett kommersiellt bolag med vinstsyfte och ska endast bedömas utifrån omständigheterna i det aktuella ärendet. Vidare bör beaktas att tillhandahållandet av kollektivtrafik på

vatten utgör en liten del av SL:s sammantagna verksamhet. SL noterar vidare att handläggningen för tidigare tillsynsärende och nuvarande tillsyn pågått i drygt två år.

IMY:s bedömning

Sanktionsavgift ska påföras

IMY har funnit att SL har behandlat klagandens personuppgifter i strid med artiklarna 6 och 9 i dataskyddsförordningen. Det innebär att SL, även med beaktande av att behandlingen periodvis pausats, under en längre tid har samlat in och lagrat känsliga personuppgifter om klaganden i hans egenskap av anställd utan rättsligt stöd. Mot denna bakgrund bedömer IMY att det inte är fråga om sådana mindre allvarliga överträdelser som kan medföra att en reprimand utfärdas i stället för en sanktionsavgift.

EU-domstolen har klargjort att det krävs att den personuppgiftsansvariga har begått en överträdelse uppsåtligen eller av oaktsamhet för att administrativa sanktionsavgifter ska kunna påföras enligt dataskyddsförordningen. EU-domstolen har härvid uttalat att personuppgiftsansvariga kan påföras sanktionsavgifter för ageranden om de inte kan anses ha varit okunniga om att agerandet utgjorde en överträdelse, oavsett om de varit medvetna om att de åsidosatte bestämmelserna i dataskyddsförordningen.

SL är i egenskap av personuppgiftsansvarig för den personuppgiftsbehandling som sker inom bolaget och för att den sker i enlighet med gällande regelverk. SL har behandlat klagandens personuppgifter i strid med dataskyddsförordningen genom att behandla personuppgifterna utan rättslig grund i artikel 6 och utan att något av undantagen från förbudet mot att behandla känsliga personuppgifter i artikel 9 varit tillämpligt. IMY bedömer att bolaget inte kan anses ha varit okunnigt om att agerandet inneburit en överträdelse av förordningen. IMY anser mot denna bakgrund att bolaget har varit oaktsamt i förhållande till de överträdelser av dataskyddsförordningen som konstaterats. Det finns därmed förutsättningar för att påföra bolaget en administrativ sanktionsavgift.

Utgångspunkter för beräkningen av sanktionsavgiften

Den maximala sanktionsavgiften som gäller för företag vid överträdelser av artiklarna 6 och 9 uppgår till det belopp som är högst av 20 000 000 EUR respektive 4 procent av den totala globala årsomsättningen under föregående budgetår. Det finns inte stöd för att i stället tillämpa de lägre högsta beloppen för sanktionsavgifter som gäller för myndigheter enligt 6 kap. 2 § andra stycket i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning eftersom SL inte är en myndighet utan ett privaträttsligt organ.

Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag ska den definition av begreppet företag användas som EU-domstolen använder vid tillämpning av artiklarna 101 och 102 i EUF-fördraget. Beräkningen av maxbeloppet för en personuppgiftsansvarig som utgör ett sådant företag eller ingår i ett sådant företag ska ske på grundval av en procentandel av det berörda företagets totala globala

årsomsättningen under föregående räkenskapsår. Begreppet företag ska även beaktas för att bedöma den faktiska eller materiella ekonomiska kapaciteten hos den person som påförs sanktionsavgiften och därigenom kontrollera om sanktionsavgiften är effektiv, proportionell och avskräckande.

Av domstolens praxis framgår att begreppet omfattar varje enhet som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering samt även om enheten i juridisk mening består av flera fysiska eller juridiska personer. Olika företag inom samma koncern kan således bilda en ekonomisk enhet och därmed ett företag i den mening som avses i artiklarna 101 och 102 i EUF-fördraget.

Moderbolag och dotterbolag betraktas som en del av samma ekonomiska enhet när moderbolaget utövar ett avgörande inflytande över dotterbolaget. Det avgörande inflytandet (dvs. kontrollen) kan antingen uppnås genom ägande eller genom avtal. Av rättspraxis framgår att ett hundraprocentigt eller nästan hundraprocentigt ägande innebär en presumtion för att kontroll ska anses föreligga (den så kallade Akzoprincipen). Presumtionen kan dock motbevisas om företaget lämnar tillräcklig bevisning för att styrka att dotterbolaget agerar självständigt på marknaden.

SL är moderbolag i en koncern där SL står som ensam ägare till bolagen SL Nya Tunnelbanan AB, AB SL Finans och WÅAB. Mot denna bakgrund bedömer IMY att SL-koncernen, i enlighet med Akzo-principen som inte bedöms ha motbevisats, är en sådan ekonomisk enhet som utgör ett företag enligt de utpekade bestämmelserna i EUF-fördraget.

Vid bestämmande av maxbeloppet för sanktionsavgiften utgår IMY från SL:s års- och koncernredovisning för år 2023 (eftersom årsredovisningen för 2024 inte fastställts vid tidpunkten för beslutet). IMY bedömer att det är SL-koncernens årsomsättning för 2023 om 24 512 000 000 kr som ska läggas till grund för beräkningen av sanktionsavgiften. Det innebär att det högsta beloppet som kan fastställas i ärendet är 980 480 000 kr som motsvarar fyra procent av årsomsättningen.

Överträdelsernas allvar

Av EDPB:s riktlinjer framgår att tillsynsmyndigheten ska bedöma om överträdelserna är av låg, medel, eller hög allvarlighetsgrad enligt artikel 83.2 a, b och g i dataskyddsförordningen.

Den behandling som överträdelserna gäller har med hänsyn till att den pågått under en lång period om totalt drygt 9 månader och att klaganden uppskattningsvis har testats två gånger per arbetspass varit omfattande. Behandlingen har vidare omfattat känsliga personuppgifter om klaganden som samlats in inom ramen för hans anställning, en situation då han befunnit sig i en beroendeställning i förhållande till sin arbetsgivare.

I bedömningen av allvarlighetsgraden fäster IMY dock även stor vikt vid att behandlingen skett i syfte att upprätthålla säkerhet i kollektivtrafik och att tillsynen endast omfattar behandling av en enskild klagandes personuppgifter. Vidare har klaganden inte varit direkt identifierbar och till följd av åtgärder som SL vidtagit har

endast ett fåtal personer haft tillgång till samtliga uppgifter som krävts för att identifiera klaganden.

IMY bedömer mot bakgrund av ovanstående omständigheter att det sammantaget rör sig om överträdelser av artiklarna 6 och 9 i datasskyddsförordningen av låg allvarlighetsgrad.

IMY ska vid sin bedömning av sanktionsavgiftens storlek även ta hänsyn till sådana försvårande och förmildrande faktorer som förtecknas i artikel 83.2 i dataskyddsförordningen. SL har numer vidtagit åtgärder för att begränsa lagringstiden och har även lyft fram att bolaget vid flera tillfällen pausat alkoholtesterna för att åtgärda och utreda frågor som uppkommit under behandlingen. IMY anser inte att de vidtagna åtgärderna går utöver vad som förväntas av bolaget i det aktuella fallet och att de därför inte utgör sådana faktorer som ska påverka bedömningen av sanktionsavgiftens storlek i förmildrande riktning. IMY konstaterar vidare att SL har haft en skyldighet att samarbeta med IMY inom ramen för tillsynen och det är en sådan omständighet som ska anses neutral vid bestämmandet av sanktionsavgiften. IMY bedömer att det inte heller i övrigt framkommit några försvårande eller förmildrande omständigheter, utöver de som beaktas vid bedömningen av allvarlighetsgraden, som påverkar sanktionsavgiftens storlek. Mot bakgrund av ärendets komplexitet bedömer IMY att det inte heller att ärendets handläggningstid ska leda till en lägre sanktionsavgift.

Den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande. Det innebär att beloppet ska bestämmas så att den administrativa sanktionsavgiften leder till rättelse, att den ger en preventiv effekt och att den dessutom är proportionerlig i förhållande till såväl aktuell överträdelse som till tillsynsobjektets betalningsförmåga.

IMY bestämmer utifrån en samlad bedömning att SL ska betala en administrativ sanktionsavgift på 75 000 kr. IMY bedömer att detta belopp är effektivt, proportionerligt och avskräckande.

__________________________

Detta beslut har fattats av enhetschefen Nidia Nordenström efter föredragning av avdelningsjuristen Maja Welander.

Nidia Nordenström

Bilagor

1. Klagandens personuppgifter 2. Information om hur man betalar en sanktionsavgift

Kopia till

Dataskyddsombudet

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.