Sveriges ambassad i Bangkok

IMY-2024-2600 Beslut efter tillsyn enligt VIS-, SIS-

samt dataskyddsförordningen – Sveriges ambassad i Bangkok

1. Integritetsskyddsmyndighetens beslut

Ärendet avslutas.

2. Redogörelse för tillsynsärendet

2.1 Granskningens syfte och metod

IMY har inlett tillsyn mot Sveriges ambassad i Bangkok (fortsättningsvis ambassaden) i syfte att utreda ambassadens behandling av personuppgifter vid viseringar enligt VIS- 1 2 3 förordningen , gränsförordningen samt dataskyddsförordningen . Tillsynen har även omfattat ambassadens användning av en extern tjänsteleverantör, VFS Global, för hanteringen av visumansökningar.

IMY är enligt VIS-förordningen och gränsförordningen skyldig att regelbundet granska hur s.k. slutanvändare, som utlandsmyndigheter, hanterar personuppgifter i viseringssystemet (VIS) och Schengens informationssystem (SIS). Ambassaden har främst blivit utvald för granskning främst på grund av den höga andel visumansökningar som ambassaden hanterar.

IMY har granskat behandlingen av personuppgifter vid en platsinspektion av ambassaden i Bangkok i april 2024. Under granskningen har IMY ställt frågor till de anställda samt har observerat när de anställda handlagt viseringsärenden.

Platsinspektionen har även omfattat en inspektion av den externa tjänsteleverantören. IMY har ställt frågor till representanter för tjänsteleverantören samt observerat de anställdas arbete med mottagande av visumansökningar, värdehandlingar, samt

upptagande av alfanumeriska uppgifter och biometri. IMY har även inspekterat tjänsteleverantörens hantering av de handlingar som lämnas in av sökanden.

Utöver detta har ett frågeformulär samt kompletterande frågor tillsänts ambassaden, som inkommit med kompletterande yttranden.

Avslutningsvis har IMY besökt Migrationsverket i Norrköping för att kontrollera loggarna från slagningarna som gjordes i samband med inspektionen av ambassaden.

2.2 Om ambassadens hantering av personuppgifter vid visumansökningar

Under tillsynen har i huvudsak följande framkommit.

Ambassaden är slutanvändare av både VIS- och SIS-systemen samt användare av Migrationsverkets system Wilma och W2. Under inspektionen iakttog IMY när lokalanställda och beslutsfattare handlade och utförde slagningar i systemen Wilma och W2, innefattande den kontroll som sker mot visuminformationssystemet, VIS, och Schengens informationssystem.

Ambassaden fungerar som en s.k. HUB för visumansökningar och hanterar ansökningar från Vietnam, Filippinerna, Myanmar, Sydkorea, Indonesien, Japan, Malaysia, Kambodja och Singapore utöver de från Thailand.

Migrationsenheten vid ambassaden handlägger de visumansökningar som kommer in från samtliga de länder vilka ambassaden är HUB för. Vid ambassaden arbetar utsända från Migrationsverket som beslutsfattare samt lokalanställda, vilka handlägger inkomna ärenden. Personalen på ambassaden handlägger visumansökningar i Migrationsverkets system Wilma och W2 som nås via UM Net, utlandsmyndigheternas intranät, som i sin tur nås genom Regeringskansliets intranät. De lokalanställda och de utsända har olika behörigheter till Wilma och W2

Visumsökanden lämnar sina uppgifter och handlingar till den externa tjänsteleverantören VFS Global. De biometriska och alfanumeriska uppgifter som tas upp av VFS Global skickas elektroniskt till ambassaden medan de fysiska handlingarna, som pass och intyg m.m. skickas i låsta försändelser.

Var nionde månad görs inspektion hos varje VFS-center inom regionen då bland annat dataskyddet granskas. De nordiska ländernas ambassader samarbetar vid genomförandet av inspektionerna och delar upp ansvaret för detta

2.3 VFS Globals hantering av personuppgifter som personuppgiftsbiträde

Under tillsynen har IMY även inspekterat den externa tjänsteleverantörens viseringscenter i Bangkok, vilket tar emot sökanden för ambassadens räkning. Under inspektionen har IMY följt ärendehanteringsprocessen hos VFS Global. VFS Global har även svarat på skriftliga frågor från IMY.

Mellan Regeringskansliet och VFS Global finns ett ramavtal upprättat med ett bilagerat personuppgiftsbiträdesavtal mellan Migrationsverket och VFS Global som reglerar den personuppgiftsbehandling VFS Global utför vid visumansökningar till Sverige. Därtill

finns ett lokalt avtal mellan VFS Global och Sveriges ambassad i Bangkok / Migrationsverket.

Under tillsynen har VFS Global uppgett i huvudsak följande.

All personal hos VFS Global är lokalanställda och det finns tio anställda som arbetar med ärenden gällande visum till Sverige. Varje anställd arbetar primärt med hanteringen av visum till ett land, och sekundärt med visumansökan avseende ett annat land. Samtliga nyanställda genomgår obligatoriska kurser avseende dataskydd samt informationssäkerhet. Innan anställningar påbörjas utförs även en bakgrundskontroll.

I lokalerna är fyra deskar tillägnade sökanden avseende Sverige. Information om registrerades rättigheter finns på engelska på olika posters i VFS Globals lokaler. Information finns även på VFS Globals webbsida, då även på det lokala språket. Därutöver lämnas viss information avseende enskildas rättigheter i samband med att ansökan görs i och med att sökanden får skriva på ett medgivande om personuppgiftsbehandling. Informationen lämnas då på engelska och thailändska.

VFS Global har under tillsynen även redogjort för datasäkerheten vid personuppgiftsbehandlingen. VFS har bl.a. redogjort för hur de fysiska handlingarna hanteras, hur biometriska uppgifter kvalitetssäkras samt hur informationssäkerheten garanteras både i de fysiska lokalerna samt i den digitala miljön.

3. Motivering av beslutet

3.1 Redogörelse för gällande lagstiftning

Reglerna kring medlemsstaternas hantering av visumansökningar till Schengenområdet framgår i VIS-förordningen samt av den s.k. viseringskodexen . Vid visumansökningar kontrolleras sökanden mot Schengens Informationssystem (SIS) för att kontrollera om några registreringar avseende personen finns i systemet. Behandlingen av personuppgifter i SIS för viseringsmyndigheterna regleras främst i den s.k. gränsförordningen. Av artikel 51 gränsförordningen följer att dataskyddsförordningen ska vara tillämplig på den personuppgiftsbehandling som utförs av behöriga myndigheter enligt gränsförordningen. Av skäl 17 i VISförordningen samt av artikel 94 i dataskyddsförordningen framgår att bestämmelserna i dataskyddsförordningen är tillämplig för medlemsstaternas behandling av personuppgifter enligt VIS-förordningen. Migrationsverkets och utlandsmyndigheternas personuppgiftsbehandling regleras även av kompletterande lagstiftning i utlänningsdatalagen (2016:27).

IMY:s korrigerande befogenheter följer av dataskyddsförordningen.

3.2 Vad granskningen omfattat och IMY:s bedömning

IMY har kontrollerat om ambassadens personuppgiftsbehandling följer den lagstiftning som redogjorts för under 3.1 ovan. Vid granskningen har IMY särskilt fokuserat på enskildas rättigheter, säkerheten för de uppgifter som behandlas samt att de anställda

har den utbildning som krävs. IMY har iakttagit handläggningen av ärenden hos både ambassaden och VFS Global. Under inspektionen har ingen brist avseende den personuppgiftsbehandling som VFS Global utför för ambassaden konstaterats. IMY konstaterar att det av utredningen i ärendet inte framkommit något som fått IMY att ifrågasätta att Sveriges ambassad i Bangkok skulle ha brustit i efterlevnaden av VIS-förordningen, gränsförordningen eller dataskyddsförordningen. Ärendet ska därför avslutas. __________________________ Detta beslut har fattats av enhetschefen Jonas Agnvall efter föredragning av juristen Elena Mazzotti Pallard.

Jonas Agnvall

Kopia till

Migrationsverkets dataskyddsombud

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.