text: UC AB

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om 08-657 61 00 upphävande av direktiv

text: (allmän dataskyddsförordning).

nyckelord:
Kreditupplysning
Dina rättigheter
Tillsyn

slug: uc-ab

title: UC AB

sammanfattning: Förvaltningsrätten i Stockholm avslår överklagandet, 10 oktober 2023 i mål nr 1603-22.

text: DI-2020-7118 Beslut efter tillsyn enligt

text: kreditupplysningslagen

text: – UC AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att UC AB lämnar ut uppgifter om fysiska personers studielån i kreditupplysningar utan att säkerställa att uppgifterna är riktiga och uppdaterade. UC AB har därmed inte vidtagit alla rimliga åtgärder för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål. UC AB har därmed behandlat personuppgifter i strid med artikel 5.1 d i dataskyddsförordningen .

text: Integritetsskyddsmyndigheten förelägger med stöd av artikel 58.2 d i dataskyddsförordningen UC AB att, senast tre månader från det att detta beslut har vunnit laga kraft, behandla uppgifter om studielån på följande sätt.

text: När uppgifter om studielån lämnas ut i en kreditupplysning ska uppgift om aktuellt studielån som uppdaterats under den senaste trettioendagarsperioden ingå.

text: Redogörelse för ärendet

text: Integritetsskyddsmyndigheten (IMY) har uppmärksammat att UC AB (UC) börjat registrera och lämna ut uppgifter om enskildas CSN-lån i sin kreditupplysningsverksamhet.

text: IMY har inlett tillsyn mot UC i syfte att utreda vilka uppgifter som behandlas, hur uppgifterna samlas in och till vem uppgifterna lämnas ut samt hur behandlingen förhåller sig till artikel 5 i dataskyddsförordningen och de villkor enligt

text: kreditupplysningslagen (1973:1173)

text: som IMY meddelat UC i beslut den 5 december 2001 (dnr 543-2000).

text: UC har yttrat sig över IMY:s förelägganden och i huvudsak uppgett följande.

text: UC behandlar information om vilka lån som en individ har och som registreras hos CSN (annuitetslån, studielån och/eller studiemedelslån) (fortsättningsvis studielån) samt återstående betalningstid i antal år. UC samlar in informationen från årsbesked

text: avseende individens kreditengagemang i förhållande till CSN. Information om eventuella bidrag behandlas inte. Insamlingen av uppgifterna om CSN-lån sker på så

text: vis att CSN tillhandahåller informationen på fysiskt papper som UC sedan läser in i digitalt format.

text: UC lämnar ut uppgifterna om CSN-lån till sådana mottagare som ingått avtal med UC avseende uppgifterna samt som har legitimt behov i enlighet med

text: 9 § kreditupplysningslagen

text: . Tilläggstjänsten CSN-lån går att lägga till inom ramen för att kunden köper personupplysningar. Det innebär att UC inte lämnar ut uppgifter om CSN-lån i företagsupplysningar såsom vid utlämnande av information om en enskild näringsidkare, handelsbolagsman eller näringsanknuten person. När kunden har valt att köpa tilläggstjänsten CSN-lån så kommer även den informationsposten att synas i personupplysningen som kunden beställt. UC har hittills lämnat ut uppgift om studielån till banker, kreditmarknadsbolag och konsumentkreditföretag.

text: UC delar upp CSN-information och kreditengagemang i två separata tilläggstjänster. Uppdelningen av olika informationsposter sker dels som en följd av kommersiella överväganden avseende intäkter och kostnader och dels som en följd av att kunder har olika behov av information. Det innebär att det sedan lång tid tillbaka har funnits olika mängd information i olika kreditupplysningsrapporter och det finns också en prisskillnad mellan de olika kreditupplysningarna.

text: Av UC:s kreditupplysningstillstånd som beslutades den 5 december 2001 (543-2000) framgår på sidan 3 under punkt 5 att UC får behandla uppgifter om fysiska personers kreditengagemang. Eftersom CSN-lån är kreditengagemang så anser UC att det följer av kreditupplysningstillståndet att UC får behandla den aktuella informationen.

text: När det handlar om hur behandlingen förhåller sig till artikel 5 i dataskyddsförordningen gäller följande:

text: Vad gäller artikel 5.1 a om laglighet, öppenhet och korrekthet konstaterar UC att det inte har skett någon ändring av kreditupplysningstillståndet avseende rätten att behandla uppgifter om kreditengagemang sedan

text: kreditupplysningslagen

text: anpassades till dataskyddsförordningen. UC behandlar sedan åtskilliga decennier uppgifter om lån/kreditengagemang om fysiska personer, exempelvis bostadslån, blankolån och konsumentkrediter. Behandlingen av lån har ansetts ske i enlighet med lagstiftningen och kreditupplysningstillståndet både innan och efter dataskyddsförordningens ikraftträdande. Det framgår därtill uttryckligen av

text: 5 a § kreditupplysningslagen

text: att krediter, som lyder under banksekretess, får behandlas i kreditupplysningsverksamhet. CSN-lån är ett kreditengagemang och UC behandlar också i övriga avseenden uppgiften om CSN-lån i enlighet med

text: kreditupplysningslagens

text: och kreditupplysningstillståndet. UC anser att det följer av lagstiftningen och de föreskrifter som IMY meddelat att behandlingen av CSN-lån är laglig och korrekt. UC anser också att uppgifterna behandlas på ett öppet sätt i förhållande till de registrerade på så vis att

text: 11 § kreditupplysningslagen

text: om kopieplikt tillämpas.

text: Regeringen klargör i

text: prop. 2017/18:120

text: sidan 53 att

text: 5 § andra stycket kreditupplysningslagen

text: preciserar artikel 5 i dataskyddsförordningen. Eftersom UC behandlar CSN-lån för kreditupplysningsändamål enligt

text: bedömer UC att artikel 5.1 b i dataskyddsförordningen efterlevs.

text: Uppgifterna i ett kreditupplysningsregister ska vara adekvata och relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Av förarbetena till

text: kreditupplysningslagen

text: framgår att kreditupplysningsverksamhet sedan

text: kreditupplysningslagens

text: tillkomst har ansetts ha stor betydelse för det svenska samhället. Angående informationstillgången framgår att det anses nödvändigt för kreditgivarna att ha tillgång till ett gott underlag för sin kreditbedömning för att kreditgivningen ska fungera så friktionsfritt som möjligt och att möjligheten att inhämta information om de lånesökande inte ska begränsas i allt för hög grad eftersom kreditgivningen hämmas och kreditförlusterna ökar.

text: Av

text: 12 § konsumentkreditlagen

text: följer att en kreditgivare är ansvarig för att göra en kreditprövning innan en kredit beviljas. Kreditprövningen ska grundas på tillräckliga uppgifter. I

text: prop. 2009/2010:242 s. 100

text: förklaras att ”Uttrycket ”tillräckliga uppgifter” är hämtat från direktivet. Med det avses att näringsidkaren måste samla in så många uppgifter att konsumentens betalningsförmåga för krediten i fråga kan bedömas med en hög grad av säkerhet. Näringsidkaren är i allmänhet skyldig att skaffa sig en helhetsbild av konsumentens ekonomiska situation. Uppgifterna ska normalt alltid omfatta konsumentens inkomster och övriga kreditåtaganden… Flera uppgiftskällor kan behöva användas. Uppgifter kan inhämtas från konsumenten, från en kreditupplysning, från en databas som förs av en myndighet, t.ex. Kronofogdemyndigheten, eller från kreditgivarens eget register eller databas. Informationskällorna är delvis överlappande och vilka informationskällor som ska användas vid en viss kreditprövning får avgöras mot kravet på att prövningen ska grundas på tillräckliga uppgifter. Konsumenten bör normalt tillfrågas om sina ekonomiska förhållanden, men i praktiken är det sällan tillräckligt med uppgifter endast från konsumenten. Konsumentens uppgifter bör alltid kontrolleras, t.ex. med hjälp av en aktuell kreditupplysning. Om näringsidkaren inhämtar en kreditupplysning, är den information som näringsidkaren då får, tillsammans med informationen från konsumenten, i allmänhet tillräcklig, naturligtvis beroende på hur fullständig och aktuell

text: informationen i kreditupplysningen är.”

text: Konsumentverket har beslutat om allmänna råd,

text: KOVFS 2020:1

text: , som trädde i kraft den 1 juli 2020. Av de allmänna råden avseende kreditprövning anges att uppgifter om skulder bör inhämtas från konsumenten samt att ”inhämtade uppgifter om konsumentens krediter bör kontrolleras mot en kreditupplysning. Om det av kreditupplysningen framgår att konsumenten har ansökt om eller beviljats andra krediter än konsumenten uppgivit bör näringsidkaren kontrollera detta med konsumenten” (se

text: KOVFS 2020:1

text: under rubriken Till 12-13 §§ - Kreditprövning).

text: Av uttalandena följer att lagstiftaren att kreditupplysning är en relevant källa att gå till inom ramen för en kreditprövning. Även om uttalandena inte nämner vilka skulder som bör finnas med i en kreditupplysning, så ska uttalandena läsas utifrån perspektivet att lagstiftaren dels vill åstadkomma en kreditprövningsprocess som motverkar överskuldsättning, dels syftar till att upprätthålla institutens soliditet och likviditet och ytterst den finansiella stabiliteten.

text: CSN-lånen är vanligt förekommande hos låntagare då 1 605 000 hade CSN-lån per 31 december 2019. Totalt CSN-lånebelopp uppgick till 231,8 miljarder och snittskuld per individ 144 000 kronor per 31 december 2019. Totalbeloppet 231,8 miljarder kan likställas med svenska hushållens konsumentkrediter som var 255 miljarder per juni 2020 enligt SCB:s finansmarknadsstatistik.

text: Ur ett kreditgivningsperspektiv har CSN-lån betydelse för att bedöma individen ur ett ekonomiskt hänseende och en framtida återbetalningsförmåga och är viktig information för att ha ett bra beslutsunderlag som därmed bidrar till att minska

text: överskuldsättning i samhället. Studielån är en utgift som individen har och som en kreditgivare även behöver väga in i kvar-att-leva-på-kalkylen.

text: Eftersom CSN-lån kan utgöra en betydande del av en individs skuldsättning och kan på individnivå uppgå till flera hundra tusen kronor, dvs. vid sidan av bostadslån ett av de största lån som en individ tar under sitt liv, så är det av stor vikt att uppgiften framgår av en kreditupplysning för att uppfylla ovan angivna syften.

text: UC anser inte heller att uppgifternas art skiljer sig från andra kreditengagemang på sätt att de skulle vara mer integritetskränkande i jämförelse med övriga krediter eller att CSN-lån är en mer privat angelägenhet jämfört med blankolån, bostadslån eller andra högkostnadskrediter såsom SMS-lån. Sammanfattningsvis anser UC att behandlingen av CSN-lån är adekvat, relevant och inte för omfattande i förhållande till kreditupplysningsverksamheten.

text: Av kreditupplysningstillståndet framgår på sidan 7 att IMY inte föreskriver från vilka källor uppgifter får inhämtas men inspektionen förutsätter att de källor som används kommer att vara tillförlitliga och korrekta och att de uppgifter som inhämtas är relevanta för kreditupplysningsverksamheten. UC har inte ansett att CSN såsom myndighet bör särbehandlas negativt i förhållande till övriga myndigheter som tillhandahåller information till UC. UC har tvärt om gjort bedömningen att CSN är en källa som lämnar tillförlitliga och korrekta uppgifter samt att uppgifterna är relevanta för kreditupplysningsverksamheten. Informationen hämtas från de årsbesked som CSN levererar och genomgår sedan UC:s kvalitetsgranskningsrutiner. Individen har precis samma möjlighet att som avseende andra uppgifter i kreditupplysningsregistret att begära att missvisande information eller felaktig information korrigeras enligt

text: 12 § kreditupplysningslagen

text: . Detta innebär att UC utan dröjsmål vidtar åtgärder för att radera eller rätta eventuellt felaktig information. UC anser därför att principen om riktighet efterlevs.

text: För närvarande uppdateras uppgifterna om studielån och återbetalningstid en gång per år i samband med att nästkommande årsbesked tillhandahålls från CSN. Uppdatering sker därmed under perioden januari/februari efterföljande år.

text: UC strävar alltid efter att tillhandahålla förändringar som sker efter det att informationens tillgängliggjorts från informationskällan. Ibland är sådana uppdateringar från källan mer frekvent och ibland mindre frekvent. Uppdateringsfrekvensen avseende taxerad inkomst är exempelvis en gång per år. Om det i framtiden är möjligt att uppdatera CSN-lån mer frekvent så kommer UC att se över rutinerna för att åstadkomma detta. Eftersom uppdateringsfrekvensen är årligen så anger UC tydligt att informationen kommer från årsbeskedet och det som redovisas är studielånets saldo vid årets start och saldot vid årets slut. På så vis görs mottagaren av informationen uppmärksam på när informationen uppdaterades och kan vidta de åtgärder som anses nödvändiga i det enskilda fallet.

text: Regeringen klargör i

text: prop. 2017/18:120

text: sidan 53 att

text: 8 § kreditupplysningslagen

text: preciserar artikel 5 GDPR vilket i detta fall innebär att UC enligt

text: 8 § kreditupplysningslagen

text: gallrar informationen efter 36 månader. UC bedömer att detta är i enlighet även med artikel 5.1 e. Den nu nämnda gallringstiden möjliggör för UC att i kreditupplysningen tillhandahålla information om CSN-lån för de två senaste åren.

text: Uppgifterna från CSN behandlas utifrån ett säkerhetsperspektiv på samma sätt som andra uppgifter i kreditupplysningsregistret. UC bedömer att de tekniska och

text: organisatoriska åtgärder som vidtas är lämpliga och inbegriper skydd mot otillåten eller otillbörlig behandling och mot förlust, förstöring eller skada. Det bör även i detta sammanhang nämnas att

text: kreditupplysningslagen

text: innehåller en lagstadgad sekretess för de uppgifter som behandlas i kreditupplysningsverksamheten.

text: Motivering av beslutet

text: Tillämpliga bestämmelser i

text: kreditupplysningslagen

text: och dataskyddsförordningen

text: I

text: 5 § första stycket kreditupplysningslagen

text: anges att kreditupplysningsverksamhet ska bedrivas så att den inte leder till otillbörligt intrång i personlig integritet genom innehållet i de upplysningar som förmedlas eller på annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut. För sådan behandling av personuppgifter som omfattas av dataskyddsförordningen gäller i stället artikel 5 i den förordningen.

text: Av

text: 5 a § första stycket kreditupplysningslagen

text: framgår att vad som gäller om tystnadsplikt i verksamheten hos svenska kreditinstitut, betalningsinstitut, institut för elektroniska pengar, värdepappersbolag och företag som med tillstånd driver verksamhet enligt lagen (

text: ) om viss verksamhet med konsumentkrediter eller lagen (

text: ) om verksamhet med bostadskrediter, hindrar inte att uppgifter om lämnade krediter, betalningsförsummelser och kreditmissbruk utväxlas för kreditupplysningsändamål inom en krets som utgörs av dessa företag samt sådana företag som har tillstånd av Integritetsskyddsmyndigheten enligt

text: 3 § första stycket

text: . Av

text: andra stycket

text: framgår att även vissa utländska kreditinstitut ingår i den slutna kretsen.

text: Det framgår av artikel 5.1 a i dataskyddsförordningen att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet).

text: Av artikel 5.1 c framgår att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering).

text: Enligt artikel 5.1 d dataskyddsförordningen ska personuppgifter som behandlas vara riktiga och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (riktighet).

text: IMY:s ställningstaganden avseende uppgift om kreditengagemang för kreditupplysningsändamål i tidigare beslut

text: IMY (vid tidpunkten Datainspektionen) meddelade den 9 oktober 1975 UC tillstånd att föra ett register för kreditupplysningsändamål enligt den då gällande

text: datalagen (1973:289)

text: (dnr 1829-75). UC medgavs i samband därmed tillstånd att registrera uppgift om avbetalningskrediter och motsvarande. Uppgifterna fick hämtas in endast från ”finansieringsföretag”.

text: Tillståndet förnyades den 2 februari 1987 (dnr 212-86). Uppgifterna fick även fortsättningsvis hämtas in endast från ”finansieringsföretag”. En särskild föreskrift meddelades med innebörd att uppgift om beviljade bankkrediter/kontokort, bankförbindelser samt checklönekonto/personkonto som avslutats på grund av missbruk endast fick användas för bankintern kreditupplysning. UC överklagade den

text: nya föreskriften till dåvarande besvärsmyndigheten, regeringen. Regeringen ändrade IMY:s beslut på så sätt att dels begränsningen av användning av ifrågavarande uppgifter till intern bankverksamhet upphävdes, dels att en ny föreskrift togs in av innehåll att uppgifter om beviljade krediter och kontokort fick lämnas ut endast till s.k. ”slutna användargrupper”.

text: I Kreditupplysningsutredningens (Ju 1991:06) slutbetänkande Integritet ocheffektivitet på kreditupplysningsområdet (

text: SOU 1993:110

text: ) föreslogs att en bestämmelse motsvarande IMY:s föreskrift om att uppgifter om kreditengagemang endast får spridas inom en sluten användarkrets ska införas i

text: kreditupplysningslagen

text: . Regeringen delade utredningens uppfattning och en bestämmelse om informationsutbyte infördes i

text: kreditupplysningslagen

text: 5 a §

text: ). Bestämmelsen trädde i kraft den 1 juli 1997.

text: Datalagen

text: ersattes av

text: personuppgiftslagen (1998:204)

text: den 24 oktober 1998. Efter önskemål från UC utarbetade IMY den 10 mars 2000 ett förslag till omarbetade villkor och föreskrifter för den kreditupplysningsverksamhet UC bedrev. Förslaget var tänkt att ersätta tidigare beslut om villkor och föreskrifter för verksamheten.

text: Den 5 december 2001 beslutade IMY med stöd av

text: 4 § kreditupplysningslagen

text: ändring av villkor för hur UC:s kreditupplysningsverksamhet ska bedrivas (dnr 543-2000). Tidigare meddelade föreskrifter, villkor och medgivanden upphörde därmed att gälla. Beslutet överklagades inte. Villkoren som beslutades gäller således fortfarande.

text: Sedan den 25 maj 2018 gäller dataskyddsförordningen (GDPR), som då ersatte

text: personuppgiftslagen

text: . Denna förändring med avseende på personuppgiftsbehandling har inte någon betydelse för det villkor som gäller enligt

text: kreditupplysningslagen

text: Tillämpligt villkor som meddelats i beslut den 5 december 2001 enligt

text: kreditupplysningslagen

text: I villkor A.1-7 regleras vilka uppgifter som får behandlas rörande fysiska personer. Uppgift om kreditengagemang regleras i villkor A.5:

text: A.5 Uppgifter om fysiska personers kreditengagemang

text: Utöver allmänna uppgifter enligt A.2 ovan får följande uppgifter om kreditengagemang behandlas:

text:  Kreditgivare  Typ av kredit  Datum då krediten beviljades  Kredittid  Kreditens, kreditlimitens och den ursprungliga kreditens storlek inklusive

text: utnyttjad kredit, och

text:  Kontrakts- eller kontonummer

text: På sidan 12 i beslutet sägs följande i skälen om uppgifter om fysiska personers kreditengagemang:

text: UC får enligt detta beslut behandla uppgifter som har samband med kreditengagemang. Av 5 a § KuL framgår att vad som gäller om tystnadsplikt i bankers, kreditmarknadsföretags och värdepappersbolags verksamhet hindrar inte att uppgifter om lämnade krediter, betalningsförsummelser och kreditmissbruk utväxlas

text: för kreditupplysningsändamål inom en krets som utgörs av dessa företag samt sådana företag som har tillstånd att bedriva kreditupplysningsverksamhet. Uppgifterna om bl.a. kreditmissbruk är mycket integritetskänsliga. Datainspektionen förutsätter att dessa uppgifter inte sprids utanför den krets som nämns i bestämmelsen.

text: Integritetsskyddsmyndighetens bedömning

text: IMY:s bedömning av om uppgift om studielån är en sådan uppgift som får behandlas enligt de villkor som reglerar UC:s verksamhet

text: UC får behandla uppgifter om kreditengagemang enligt villkor A.5. När villkoret beslutades avsåg IMY med kreditengagemang sådana krediter som lämnas av de företag som omfattas av den slutna krets av företag som räknas upp i bestämmelsen om informationsutbyte i

text: 5 a § kreditupplysningslagen

text: . Bestämmelserna i 5 a § innebär att sådan tystnadsplikt som gäller i olika finansiella företags verksamhet, exempelvis

text: 1 kap. 10 § lagen (2004:297)

text: om bank- och finansieringsrörelse, inte hindrar att uppgifter om krediter, betalningsförsummelser och kreditmissbruk utväxlas för kreditupplysningsändamål inom en krets som utgörs av dessa företag samt kreditupplysningsföretag. IMY påpekar därför i skälen till villkor A.5 att myndigheten förutsätter att engagemangsuppgifterna inte sprids utanför den krets som nämns i bestämmelsen. Denna begränsning togs inte med i själva villkoret. Villkoret begränsar heller inte från vilka källor uppgift om kreditengagemang får hämtas in.

text: Uppgift om studielån kan ses som en form av kreditengagemang. Det är däremot inte en kredit som lämnas av sådana finansiella företag som ingår i den slutna kretsen i

text: 5 a § kreditupplysningslagen

text: . CSN är en statlig myndighet vars utlåningsverksamhet regleras i

text: studiestödslagen (1999:1395)

text: och

text: studiestödsförordningen (2000:655)

text: . CSN:s verksamhet omfattas inte av sådan tystnadsplikt som sägs i

text: 5 a §

text: . CSN ingår inte i den slutna krets av företag som kan utbyta information med varandra enligt

text: 5 a §

text: . IMY bedömer dock att villkoret A.5 getts en sådan utformning att även uppgift om studielån som lämnats av CSN får anses utgöra en sådan uppgift om kreditengagemang som UC får behandla med stöd av villkor A.5.

text: IMY:s bedömning av om UC:s behandling av uppgift om studielån lever upp till principen om uppgiftsminimering (artikel 5.1 c)

text: När en kreditgivare står inför att pröva om en sökt kredit ska beviljas är det betydelsefullt för kreditgivaren att ha kännedom om vilka kreditengagemang som den kreditsökande har sedan tidigare. IMY har därför sedan

text: kreditupplysningslagens

text: tillkomst tillåtit att uppgifter om kreditengagemang behandlas för kreditupplysningsändamål. Uppgifterna har fått spridas till kreditgivare inom den finansiella sektorn.

text: IMY bedömer att även uppgift om kredittagarens studielån är en adekvat och relevant och inte för omfattande uppgift för kreditupplysningsändamål när en kreditupplysning lämnas ut för att ligga till grund för en kreditbedömning av ett företag inom den finansiella sektorn.

text: Av motiveringen till villkor A.5 framgår att IMY anser att uppgifter om kreditengagemang är mycket känsliga och att IMY därför förutsätter att dessa uppgifter inte sprids utanför den krets som nämns i 5 a §. IMY anser att även en uppgift om studielån är en integritetskänslig uppgift om kreditengagemang som enligt artikel 5.1 c

text: i dataskyddsförordningen inte bör få lämnas ut i kreditupplysningar i andra fall än när en kreditbedömning ska göras av ett finansiellt företag inom den slutna kretsen i 5 a §.

text: När kreditupplysningar lämnas ut för att i andra sammanhang ligga till grund för bedömning av någon annans kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende är uppgiften om studielån inte nödvändig och alltför omfattande. En sådan behandling skulle därför strida mot principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

text: UC uppger att uppgifter om studielån hittills endast lämnats ut till företag som ingår i den slutna användarkretsen i

text: 5 a § kreditupplysningslagen

text: . IMY konstaterar mot den bakgrunden att UC:s hittillsvarande hantering är förenlig med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

text: IMY:s bedömning av om UC:s behandling av uppgift om studielån lever upp till principen om riktighet (artikel 5.1 d)

text: UC har enligt uppgift lämnat ut uppgift om studielån i kreditupplysningar till banker, kreditmarknadsbolag och konsumentkreditföretag för kreditupplysningsändamål. Uppgifterna har således legat till grund för kreditbedömningar inom den finansiella sektorn.

text: Enligt artikel 5.1 d i dataskyddsförordningen ska personuppgifter som behandlas vara riktiga och om nödvändigt uppdaterade.

text: UC samlar in information om studielån från de årsbesked som CSN lämnar till låntagarna. Uppgifterna uppdateras en gång per år i samband med att nästkommande årsbesked tillhandahålls från CSN. Uppdatering sker under perioden januari/februari efterföljande år.

text: Som IMY redan konstaterat kan det vara betydelsefullt för en kreditgivare att ha kännedom om vilka kreditengagemang som den kreditsökande har sedan tidigare i samband med att kreditgivaren ska pröva om en ny kredit ska beviljas. En förutsättning för att uppgifter om kreditengagemang ska anses vara riktiga för kreditupplysningsändamål är enligt IMY:s mening att uppgifterna är aktuella. UC uppdaterar uppgift om studielån en gång om året. IMY konstaterar att en uppgift om studielån som är upp till tolv månader gammal i många fall inte längre är aktuell. En låntagare kan välja att när som helst betala tillbaka hela eller delar av sitt studielån till CSN. Till detta kommer att från det att låntagaren ska betala tillbaka studielånet ska detta ske med visst belopp som fastställs av CSN för varje kalenderår. Det innebär att en person som har betalat tillbaka hela eller delar av sitt studielån i början av året och/eller följer en fastställd betalningsplan kommer att belastas av negativ kreditupplysningsinformation i UC:s kreditupplysningar i åtskilliga månader efter det att informationen blivit inaktuell. Det finns därmed risk för att en kreditgivare som tagit del av UC:s kreditupplysning fattar ett kreditbeslut som baseras på felaktiga uppgifter om kredittagarens studielån.

text: Frågan om risk för intrång i den personliga integriteten i samband med utlämnande av uppgift om kreditengagemang har varit föremål för diskussioner mellan IMY och UC i tidigare tillsynsärenden. IMY har ansett att UC minskat risken för intrång i personlig integritet genom innehållet i de upplysningar som förmedlas på ett godtagbart sätt genom att uppdatera uppgift om kreditengagemang en gång i månaden (dnr

text: 1264-2002 och 1212-2005). En uppgift om en enskild persons kreditengagemang inom finansiell sektor har således av IMY tidigare bedömts riktig för ett kreditupplysningsändamål om uppgiften uppdateras åtminstone en gång i månaden.

text: IMY anser att det saknas anledning att göra någon annan bedömning när det gäller ett kreditengagemang som avser studielån. När en uppgift om studielån lämnas ut i en kreditupplysning ska uppgiften därför vara uppdaterad åtminstone under den senaste månaden, dvs. under den senaste trettioendagarsperioden, för att anses vara riktig för ett kreditupplysningsändamål. Av detta följer även att det är oriktigt att lämna ut uppgift om ”historiskt studielån” i en kreditupplysning, utan att samtidigt ange hur stort det aktuella studielånet är. Den omständigheten att UC uppmärksammar kunden på att uppgiften om studielån kan vara inaktuell sedan upp till ett år tillbaka innebär inte att uppgiften är riktig för ett kreditupplysningsändamål. Det är inte kundens ansvar att uppdatera uppgifter i en kreditupplysning. UC har därmed inte vidtagit alla rimliga åtgärder för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål.

text: IMY konstaterar att UC har behandlat personuppgifter som inte är riktiga i förhållande till ett kreditupplysningsändamål genom att lämna ut uppgifter om enskilda personers studielån som kan vara inaktuella sedan upp till ett år tillbaka i tiden. UC har därmed inte följt principen om riktighet i artikel 5.1 d i dataskyddsförordningen.

text: Val av korrigerande åtgärder

text: Om det skett en överträdelse av dataskyddsförordningen har IMY ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 a-j i dataskyddsförordningen. Tillsynsmyndigheten kan bland annat förelägga den personuppgiftsansvarige att se till att behandlingen sker i enlighet med förordningen och om så krävs på ett specifikt sätt och inom en specifik period. Av artikel 58.2 följer att IMY i enlighet med artikel 83 ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall. I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras, men också vad som ska påverka sanktionsavgiftens storlek. Av central betydelse för bedömningen av överträdelsens allvar är dess karaktär, svårighetsgrad och varaktighet. Om det är fråga om en mindre överträdelse får tillsynsmyndigheten, enligt skäl 148 i dataskyddsförordningen, utfärda en reprimand i stället för att påföra en sanktionsavgift.

text: IMY ska välja en korrigerande åtgärd som är effektiv och avskräckande, men samtidigt proportionell, dvs. rimlig i förhållande till typen av överträdelse, hur allvarlig överträdelsen är och vilka följder den får.

text: IMY anser att de brister avseende riktighet som konstaterats i ärendet kan åtgärdas genom att UC med stöd av artikel 58.2 d i dataskyddsförordningen föreläggs att behandla uppgift om studielån på ett sådant sätt att behandlingen sker i enlighet med kraven i artikel 5.1 d i dataskyddsförordningen.

text: UC ska därför föreläggas att endast lämna ut uppgifter om studielån i en kreditupplysning om det i upplysningen ingår uppgifter om aktuellt studielån som uppdaterats under den senaste trettioendagarsperioden.

text: IMY anser att det är rimligt att UC ges möjlighet att inom tre månader från det att beslutet vinner laga kraft införa nödvändiga rutiner för att efterleva föreläggandet.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av avdelningsdirektören Hans Kärnlöf. Vid den slutliga handläggningen har även rättschefen David Törngren och enhetschefen Catharina Fernquist medverkat.

text: Lena Lindgren Schelin, 2021-12-21 (Det här är en elektronisk signatur)

text: Bilaga

text: Besvärshänvisning

text: Kopia till:

text: Justitiekanslern

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Integritetsskyddsmyndigheten sänder överklagandet vidare till Förvaltningsrätten i Stockholm för prövning, om myndigheten inte själv ändrar beslutet på det sätt ni har begärt. Även Justitiekanslern får överklaga beslutet för att tillvarata allmänna intressen. Tiden för överklagande för Justitiekanslern räknas dock från den dag beslutet meddelades.


text: Trygg-Hansa Försäkring filial

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: EU-domstolens dom i

text: mål C‑184/20

text: , Vyriausioji tarnybinės etikos komisija, EU:C:2019:773, punkt 126.

text: Europarådet har i en rekommendation uttalat att medlemsstaterna ska säkerställa att anställda i försäkringsbolag som får del av personuppgifter ska omfattas av regler om tystnadsplikt (Recommendation rec[2002]9 on the protection of personal data collected and processed for insurance purposes). Se också

text: prop. 2009/10:241 s. 43

text: och

text: Ds 2011:7

text: Mål C-97/08

text: , punkt. 59-61 5 Jfr. EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, punkt 125 och där redovisade avgöranden.

text: Baserat på växelkursen den 23 augusti 2023, publicerad på riksbanken.se 7 EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, punkt 60.

sprak: sv

titel: Beslut

nyckelord:
Dataskydd
Informationssäkerhet
Dina rättigheter
Internet och appar

amne: Överföring av integritetskänsliga personuppgifter till Meta

korrigerandeAtgard: Sanktionsavgift på 35 miljoner kronor

lagakraft: Ja

lagrum: Artiklarna 2, 5.1 f, 32.1 och, 58.2, 83.3 i dataskyddsförordningen, GDPR

nyckelord: Tekniska och organisatoriska säkerhetsåtgärder, Integritet, Administrativ sanktionsavgift, Sammankopplade behandlingar, Bank och finans, Försäkring, Kunder

overklagan: Nej

rubrik: Kunduppgifter åtkomliga för obehöriga genom internet

sammanfattning: IMY konstaterade att det under perioden oktober 2018 till februari 2021 var möjligt att genom internet obehörigen få åtkomst till en stor mängd personuppgifter om 650 000 kunder hos dåvarande Moderna försäkringar, numera Trygg-Hansa. Det rörde bland annat uppgifter om hälsa, ekonomisk information, personnummer, kontaktuppgifter och försäkringsinnehav. Mot bakgrund av det stora antalet registrerade som berördes, det stora antalet uppgifter om varje registrerad och uppgifternas karaktär samt då bolaget borde haft möjligt att upptäckta och åtgärda de säkerhetsbrister som gjorde att det var möjligt att få åtkomst kunduppgifterna bedömde IMY att bolaget inte hade vidtagit lämpliga tekniska åtgärder för att säkerställa en säkerhetsnivå som var lämplig i förhållande till risken. Läs tillsynsbeslutet

publisher: Integritetsskyddsmyndigheten

sanktionsavgift: 35 miljoner kronor

slug: Trygg-Hansa

title: Trygg-Hansa

org: imy

sammanfattning: IMY har utfärdat en sanktionsavgift mot Trygg-Hansa på 35 miljoner kronor. Bolaget har haft säkerhetsbrister som medfört att 650 000 kunduppgifter var åtkomliga genom internet under perioden oktober 2018 till februari 2021.

text: DI-2021-1905 Beslut efter tillsyn enligt

type: stycke

text: dataskyddsförordningen – Trygg-Hansa Försäkring filial

type: rubrik

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Trygg-Hansa Försäkring filial (organisationsnummer 516403-8662) har behandlat personuppgifter i strid med artiklarna 5.1 f och 32.1 i dataskyddsförordningen genom att under perioden oktober 2018 – februari 2021 inte ha vidtagit lämpliga tekniska åtgärder och därigenom möjliggjort obehörig åtkomst till integritetskänsliga personuppgifter om dess kunder.

text: Integritetsskyddsmyndigheten beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att Trygg-Hansa Försäkring filial ska betala en administrativ sanktionsavgift på 35 000 000 (trettiofem miljoner) kronor för överträdelsen av artiklarna 5.1 f och 32.1.

text: Redogörelse för tillsynsärendet

text: Bakgrund

text: Integritetsskyddsmyndigheten (IMY) mottog i december 2020 tips om att Moderna Försäkringar, filial till Tryg Forsikring A/S (Moderna Försäkringar) hade möjliggjort åtkomst för obehöriga personer till personuppgifter som berörde uppgifter av känslig karaktär om Moderna Försäkringars kunder. IMY inledde i mars 2021 tillsyn mot Moderna Försäkringar i syfte att granska om Moderna Försäkringar hade vidtagit lämpliga åtgärder för att säkerställa en säkerhetsnivå som var lämplig i förhållande till risken med personuppgiftsbehandlingen, i enlighet med artiklarna 5.1 f och 32 i dataskyddsförordningen.

text: IMY har som ett led i sin granskning tagit del av de 16 dokument som tipset avser. Det är fråga om flera olika typer av försäkringshandlingar, bland annat skadeanmälningar, fakturor, försäkringsbrev, försäkringsbeslut, svarskort avseende försäkringsersättning, omfattningsändring och begäran om kompletterande uppgifter för försäkringsutredning. Dokumenten innehåller ett stort antal kategorier av personuppgifter, såsom bl.a. namn, kontaktuppgifter, hälsouppgifter, personnummer, ekonomiska uppgifter, försäkringsinnehav, händelseförlopp (exempelvis tid, plats, ageranden och andra

text: uppgifter som den registrerade lämnat i fritextfält) och uppgifter avseende ägarskap och sakskador.

text: I april 2022 gick Moderna Försäkringar samman med Trygg-Hansa. Moderna Försäkringar bytte därefter namn till Trygg-Hansa filial (Trygg-Hansa) men fortsatte att bedriva verksamhet under samma organisationsnummer som tidigare (516403-8662). IMY kommer i beslutet att genomgående använda tillsynsobjektets nya namn, Trygg- Hansa, vid redogörelsen för det inträffade.

text: Redogörelse från tillsynsobjektet

text: Trygg-Hansa har i huvudsak uppgett följande.

text: Trygg-Hansa blev den 30 november 2020 kontaktat av en person per telefon som informerade om bristen. Mottagaren av tipset hos Trygg-Hansa förstod inte att det rörde sig om en möjlig incident, och bristen rapporterades därför inte vidare inom Trygg-Hansas organisation.

text: Säkerhetsbristen har inträffat på följande sätt:

text: 1. En existerande eller ny potentiell kund har kontaktat kundtjänst per telefon och önskat få en offert för försäkring. Kundtjänsthandläggaren har efter avslutat telefonsamtal skickat ett SMS eller e-postmeddelande till kunden. 2. SMS:et eller e-postmeddelandet har innehållit en unik webbadress till en offertsida på Trygg-Hansas webbplats. 3. På offertsidan har det funnits klickbara länkar med webbadresser som leder till dokument med försäkringsinformation. Den person som kontaktat Trygg- Hansa enligt ovan har kunnat öppna dokumenten genom att klicka på länkarna. 4. Dessa dokument har haft webbadresser som vid tillfället kunnat modifieras av personen i dennes webbläsare genom att byta ut siffror mot andra siffror. På så sätt har personen kunnat hämta andra kunders dokument.

text: Det har funnits åtkomstmöjlighet via internet till uppgifter om ungefär 650 000 kunder under perioden oktober 2018 till och med då IMY kontaktade bolaget i slutet av februari 2021. De uppgifter som omfattas är namn, personnummer, kontaktuppgifter (adress, e-postadress, telefonnummer), försäkringsnummer, skadenummer, ekonomiska uppgifter, hälsouppgifter, försäkringsinnehav, uppgifter om ägarskap (såsom djurinnehav, fordonsuppgifter, fastighetsuppgifter), sakskador (såsom uppgifter om verkstad, ersättningsbesked), händelseförlopp (exempelvis tid, plats, ageranden och andra uppgifter som registrerade lämnat i fritextfält) och andra fritextfält. Det kan inte uteslutas att det även framgått uppgifter om lagöverträdelser (såsom i samband med skadeanmälningar) eller uppgifter om medlemskap i en fackförening (såsom när försäkring har tecknats med fackförening).

text: Analys av beteendemönster i loggar indikerar att 202 kunder sannolikt är direkt berörda på så sätt att uppgifter om dem (dokument) kan ha visats för någon obehörig. Såvitt Trygg-Hansa kunnat konstatera, efter granskning av loggar, är det endast tipsaren och IMY som fått åtkomst till dokumenten. För att liknande säkerhetsbrister inte skulle uppkomma, hade Trygg-Hansa före den aktuella händelsen vidtagit åtgärder genom att ta fram en IT-säkerhetspolicy, genomföra regelbundna penetrationstester och loggning på noder, transaktioner och system för kundhantering samt genom att hålla en årlig utbildning i dataskydd och säkerhet och löpande

text: utbildning för anställda med särskilt ansvar för frågor om dataskydd. Trygg-Hansa följer ISO 27001-standarden, vilket bl.a. innebär kontinuerliga penetrationstester och segmentering av nät. Trygg-Hansa genomförde inte en konsekvensbedömning rörande den aktuella behandlingen innan behandlingen påbörjades. Detta hade dock genomförts om personuppgiftsbehandlingen påbörjats idag eftersom Trygg-Hansa numera har rutiner för detta. Sedan ungefär mitten av 2019 implementerar Trygg- Hansa ett compliance-system där Trygg-Hansa på ett strukturerat sätt beskriver processer, data, lagring, avtal, leverantörer etc. tillsammans med konsekvensbedömningar.

text: För att komma åt dokument med information om andra kunder har det enligt Trygg- Hansa krävts kunskap om internetadressers struktur och hur man tar del av det underliggande innehållet med exempelvis en webbläsare. Vidare har det krävts ändring av en del av webbadressens siffror i Dokument-ID.

text: Sedan den aktuella händelsen identifierats har Trygg-Hansa vidtagit ytterligare säkerhetsåtgärder, såsom att åtgärda den aktuella bristen genom att kryptera och säkerställa att åtkomst endast kan ske av någon som är behörig. Efter att händelsen identifierats har Trygg-Hansa även genomfört två av varandra oberoende penetrationstester av två olika externa säkerhetsbolag, uppdaterat ITsäkerhetspolicyn, vidtagit åtgärder i syfte att förbättra rutinerna för testaktiviteter, beslutat att etablera ett arkitekturråd med säkerhetskontroll och kodgranskning vid utveckling, sett över den interna kundklagomålsprocessen och beslutat att genomföra ytterligare utbildning för anställda inom kundtjänst samt för utvecklare och testare.

text: Trygg-Hansa har också kontaktat registrerade via brev, samt i vissa fall via telefon, för att informera om vad som inträffat samt informerat på sin webbsida.

text: Motivering av beslutet

text: Har Trygg-Hansa säkerställt en lämplig säkerhetsnivå för personuppgifterna?

text: Tillämpliga bestämmelser

text: Enligt artikel 5.1 f i dataskyddsförordningen ska den personuppgiftsansvarige behandla personuppgifterna på ett sätt som säkerställer lämplig säkerhet, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet).

text: Enligt artikel 9.1 i dataskyddsförordningen är det som utgångspunkt förbjudet att behandla särskilda kategorier av personuppgifter (så kallade känsliga personuppgifter), bland annat uppgifter om hälsa. I artikel 9.2 anges vissa undantag från förbudet.

text: Av artikel 32.1 i dataskyddsförordningen följer att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Det ska, enligt samma bestämmelse, ske med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter. Vid bedömningen av lämplig säkerhetsnivå ska,

text: enligt artikel 32.2, särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

text: Integritetsskyddsmyndighetens bedömning

text: Trygg-Hansa är personuppgiftsansvarig

text: Trygg-Hansa har uppgett att Trygg-Hansa är personuppgiftsansvarig för de personuppgiftsbehandlingar som tipset har avsett, vilket stöds av utredningen i ärendet. IMY bedömer att Trygg-Hansa är personuppgiftsansvarig för den behandling som tillsynen omfattar.

text: Behandlingen har inneburit stora integritetsrisker och krävt en hög skyddsnivå

text: Den personuppgiftsansvarige ska säkerhetsställa en säkerhet som är lämplig utifrån riskerna med behandlingen. Bedömningen av lämplig skyddsnivå ska göras med beaktande av bland annat behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter. Vid bedömningen ska särskild hänsyn tas till de risker som behandlingen medför, bland annat obehörigt röjande av eller obehörig åtkomst till personuppgifterna.

text: IMY konstaterar att behandlingen av personuppgifter har omfattat ett stort antal registrerade inom Trygg-Hansas kärnverksamhet. Enligt Trygg-Hansas egna uppgifter har det varit fråga om uppgifter om ca 650 000 kunder.

text: IMY konstaterar vidare att behandlingen avsett ett stort antal personuppgifter om varje registrerad, vilket möjliggjort kartläggning av enskildas personliga förhållanden. De 16 dokument som IMY tagit del av inom ramen för tillsynsärendet innehåller ett stort antal kategorier av personuppgifter, såsom namn, kontaktuppgifter, hälsouppgifter, personnummer, ekonomiska uppgifter, försäkringsinnehav, händelseförlopp (exempelvis tid, plats, ageranden och andra uppgifter som den registrerade lämnat i fritextfält) och uppgifter avseende ägarskap och sakskador. Trygg-Hansa har även framfört att det inte kan uteslutas att det framgått uppgifter om lagöverträdelser eller uppgift om medlemskap i en fackförening.

text: Det har genom tillgång till ett dokument varit möjligt att direkt utläsa ett stort antal uppgifter om en enskild person. Det har således i vissa fall gått att få en utförlig bild av den registrerades personliga förhållanden med hjälp av dokumenten. Den omfattande personuppgiftsbehandlingen har varit särskilt integritetskänslig genom användningen av personnummer och andra identifieringsuppgifter som möjliggjort en tydlig och direkt koppling till enskilda individer.

text: IMY bedömer vidare att personuppgifternas karaktär i sig medfört en hög risk. Handlingarna har innehållit känsliga personuppgifter, bl.a. uppgifter om hälsa, som enligt huvudregeln i artikel 9.1 i dataskyddsförordningen inte får behandlas. Sådana uppgifter har getts ett utökat skydd, eftersom behandling av dem kan utgöra ett synnerligen allvarligt ingrepp i de grundläggande rättigheterna avseende respekt för privatlivet och skydd för personuppgifter. Uppgifterna om hälsa har dessutom haft en

text: hög detaljnivå, så att det exempelvis gått att utläsa hur ett hälsoproblem uppkommit eller exakt vilket hälsotillstånd det rör sig om, vilket inneburit en ännu högre risk.

text: Materialet har även innehållit andra typer av uppgifter som är särskilt skyddsvärda. Detta gäller bland annat uppgifter om personnummer som omfattas av ett särskilt skydd enligt artikel 87 i dataskyddsförordningen och

text: 3 kap. 10 § lagen (2018:218)

text: med kompletterande bestämmelser till EU:s dataskyddsförordning. Enligt Trygg-Hansa kan det inte heller uteslutas att det förekommit uppgifter om lagöverträdelser som omfattas av ett starkt skydd enligt artikel 10 i dataskyddsförordningen, eftersom behandling av dem kan ha allvarliga effekter för enskilda. Det har också förekommit uppgifter om enskildas ekonomiska förhållanden.

text: Av handlingarna i ärendet framgår också att det har varit möjligt för registrerade att själva lämna information i formulär. I vissa skadeanmälningar har de registrerade lämnat ingående information i löptext avseende hälsoproblem och om hur skador uppkommit. Genom att Trygg-Hansa gett möjligheten att lämna uppgifter i löptext har det varit svårt för Trygg-Hansa att fullt ut kontrollera innehållet och vilka typer av uppgifter som framgår. Detta har medfört särskilda krav på att hantera dokumenten på ett säkert sätt.

text: Sammantaget har det stora antalet registrerade, den omfattande mängden uppgifter om varje person och den känsliga karaktären på uppgifterna medfört en hög risk för fysiska personers rättigheter och friheter. Obehörigt röjande av eller obehörig åtkomst till personuppgifterna har kunnat leda till allvarliga konsekvenser för de berörda personerna. Det har medfört krav på en hög skyddsnivå för behandlingen.

text: IMY konstaterar vidare att sammanhanget för personuppgiftsbehandlingen medfört ett ännu högre krav på skyddsnivån. Personuppgiftsbehandlingen har skett inom ramen för Trygg-Hansas kärnverksamhet. Dessutom har de registrerade berättigade förväntningar på en hög grad av konfidentialitet och ett robust skydd mot obehörig åtkomst till personuppgifter som behandlas i försäkringsverksamhet. Uppgifterna har vidare samlats in för att kunna göra bedömningar och fatta beslut avseende registrerade, vilket är en typ av behandling av personuppgifter som kan innebära högre risker och kräver högre skydd.

text: Sammanfattningsvis har behandlingen varit av sådant slag att det ställts höga krav på säkerheten för uppgifterna, exempelvis genom behörighetskontroll, kryptering, loggning, åtkomstkontroll och hantering av tekniska sårbarheter.

text: Uppgifterna har inte skyddats på ett lämpligt sätt

text: IMY ska därefter bedöma om Trygg-Hansa har säkerställt den höga skyddsnivå som krävts.

text: IMY konstaterar att det inte har krävts att den som berett sig åtkomst till uppgifterna verifierat sin identitet för Trygg-Hansa eller på annat sätt verifierat sin behörighet att få åtkomst till dessa. Den som har haft tillgång till webbadresserna har således kunnat besöka webbplatserna och därigenom få tillgång till dokumenten med personuppgifter utan att det säkerställts att det varit fråga om en behörig person. Uppgifterna i

text: dokumenten har inte heller skyddats genom kryptering utan varit tillgängliga i klartext. Det har vidare varit fråga om uppgifter som direkt identifierat enskilda individer, dvs. uppgifterna har inte skyddats genom pseudonymisering. Trygg-Hansa har alltså gjort en stor mängd direkta personuppgifter av integritetskänslig karaktär tillgängliga på internet utan att vidta skyddsåtgärder i form av behörighetskontroll eller kryptering.

text: Trygg-Hansa har anfört att det krävs särskilda kunskaper för att komma åt dokument med personuppgifter via webbadresserna. IMY har dock observerat genom handlingarna och webbadresserna i ärendet att det har varit möjligt att komma åt dokumenten genom att ändra de sista siffrorna i webbadresserna. I vissa fall har de första sex siffrorna av åtta varit desamma i de olika webbadresserna, vilket betyder att få siffror i dessa fall har behövt ändras för att någon obehörig ska ha kunnat komma åt dokument.

text: Det har vidare gått att vidarebefordra webbadresserna, som leder till oskyddade uppgifter om försäkringstagare, till andra obehöriga personer. Dessa personer har i sin tur, utan att behöva ändra på några siffror, kunnat ta del av uppgifterna i dokumenten endast genom att klicka på webbadressen. Att det i vissa fall krävts att en enskild ändrat siffror i webbadressfältet för att komma åt dokument innebär inte att Trygg- Hansa vidtagit lämpliga åtgärder, till exempel autentisering och behörighetskontroll, för att hindra obehöriga från att ta del av de aktuella uppgifterna.

text: IMY har obehindrat kunnat ta del av uppgifter i dokumenten, enbart genom att besöka webbadresserna och utan att behöva ändra i adressfältet på webbläsaren.

text: IMY konstaterar mot denna bakgrund att Trygg-Hansa gjort en stor mängd integritetskänsliga personuppgifter åtkomliga i klartext på internet. Det har inte krävts någon autentisering för att säkerställa att endast rätt personer kunnat komma åt uppgifterna. Personer som fått eller berett sig obehörig åtkomst till de utskickade webbadresserna – eller manipulerade versioner av de utskickade webbadresserna – har således kunnat få tillgång till de integritetskänsliga personuppgifterna.

text: Utifrån dessa omständigheter gör IMY bedömningen att det funnits stora brister i skyddet av uppgifterna. Av utredningen framgår också att bristerna har lett till obehörig åtkomst till uppgifterna. IMY konstaterar att Trygg-Hansas egna loggar indikerar att 202 kunder sannolikt varit direkt berörda på så sätt att deras uppgifter kan ha visats för någon obehörig. Det bör dock framhållas att det faktum att det varit enkelt för obehöriga att bereda sig tillgång till en stor mängd personuppgifter av det aktuella slaget i sig är en allvarlig brist, oberoende av hur många inträffade fall av obehörig åtkomst som varit möjligt att konstatera.

text: Bristerna har varit av sådan grundläggande karaktär att Trygg-Hansa borde ha upptäckt och åtgärdat dem innan systemet infördes. Trygg-Hansa har dock infört systemet med bristerna och inte heller under den långa period då systemet användes förmått identifiera och åtgärda dem. Detta trots att Trygg-Hansa fick information om bristerna genom ett tips utifrån. IMY konstaterar vidare att personuppgiftsbehandlingen är en del av försäkringsbolagets kärnverksamhet och att Trygg-Hansa därmed borde ha haft god förmåga att säkerställa en säkerhet som varit lämplig utifrån behandlingens omfattning och känslighet.

text: IMY bedömer sammantaget att Trygg-Hansa inte har vidtagit lämpliga tekniska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Trygg-Hansa har således behandlat personuppgifter i strid med artikel 32.1 i

text: dataskyddsförordningen. Att ett stort antal personuppgifter, inklusive känsliga uppgifter, under en längre tid har behandlats på ett sätt som inneburit risk för obehörig åtkomst innebär enligt IMY att bristen i säkerheten varit av sådant allvarligt slag att den även innebär en överträdelse av artikel 5.1 f i dataskyddsförordningen.

text: Val av ingripande

text: Rättslig reglering

text: Om det har skett en överträdelse av dataskyddsförordningen har IMY ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 i dataskyddsförordningen.

text: Av artikel 58.2 i dataskyddsförordningen följer att IMY i enlighet med artikel 83 ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall.

text: Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen.

text: I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras, men också vad som ska påverka sanktionsavgiftens storlek. Av betydelse för bedömningen av överträdelsens allvar är bland annat dess karaktär, svårighetsgrad och varaktighet.

text: Enligt artikel 83.4 ska det vid överträdelser av bland annat artikel 32 påföras administrativa sanktionsavgifter på upp till 10 000 000 EUR eller, om det gäller ett företag, på upp till 2 % av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.

text: Enligt artikel 83.5 ska det vid överträdelser av bland annat artikel 5 påföras administrativa sanktionsavgifter på upp till 20 000 000 EUR eller, om det gäller ett företag, på upp till 4 % av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.

text: Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b i förordningen.

text: IMY:s bedömning

text: Sanktionsavgift ska påföras

text: IMY har gjort bedömningen att Trygg-Hansa har behandlat personuppgifter i strid med artikel artikel 32.1 samt att överträdelsen är av sådant allvarligt slag att det också är fråga om en överträdelse av principen om integritet och konfidentialitet i artikel 5.1 f.

text: Överträdelsen har skett genom att Trygg-Hansa behandlat personuppgifter med en otillräcklig säkerhetsnivå, vilket har medfört risk för att obehöriga personer kunnat få åtkomst till ungefär 650 000 kunders uppgifter under perioden oktober 2018 till och med februari 2021. Personuppgifterna har bl.a. utgjorts av känsliga personuppgifter och personnummer, och obehörig åtkomst till dessa uppgifter medför en hög risk för de registrerades fri- och rättigheter.

text: IMY anser inte att det är frågan om mindre allvarliga överträdelser. Trygg-Hansa ska därför påföras en administrativ sanktionsavgift för överträdelserna. Vid bestämmande av sanktionsavgiftens storlek ska IMY beakta de omständigheter som anges i artikel 83.2 samt säkerställa att den administrativa sanktionsavgiften är effektiv, proportionell och avskräckande.

text: Moderbolagets årsomsättning ska läggas till grund för beräkningen

text: Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag ska den definition av begreppet företag användas som EU-domstolen använder vid tillämpning av artiklarna

text: och

text: i EUF-fördraget (se skäl 150 i dataskyddsförordningen). Av domstolens praxis framgår att detta omfattar varje enhet som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering samt även om enheten i juridisk mening består av flera fysiska eller juridiska personer.

text: Vad som utgör ett företag ska således utgå från konkurrensrättens definitioner. Reglerna för koncernansvar i EU:s konkurrenslagstiftning kretsar kring begreppet ekonomisk enhet. Ett moderbolag och ett dotterbolag betraktas som en del av samma ekonomiska enhet när moderbolaget utövar ett avgörande inflytande över dotterbolaget. Det avgörande inflytandet (dvs. kontrollen) kan antingen uppnås genom ägande eller genom avtal. Av rättspraxis framgår att ett hundraprocentigt eller nästan hundraprocentigt ägande innebär en presumtion för att kontroll ska anses föreligga. Presumtionen kan dock motbevisas om företaget lämnar tillräcklig bevisning för att styrka att dotterbolaget agerar självständigt på marknaden. För att motbevisa presumtionen måste företaget alltså tillhandahålla bevis som rör de organisatoriska, ekonomiska och rättsliga kopplingarna mellan dotterbolaget och dess moderbolag som visar att de inte utgör en ekonomisk enhet trots att moderbolaget innehar 100 procent eller nästan 100 procent av aktierna.

text: Trygg-Hansa utgör en filial till det danska bolaget Tryg Forsikring A/S. Tryg Forsikring A/S utgör i sin tur ett helägt dotterbolag till Tryg A/S (”Tryg”). Enligt den ovan beskrivna presumtionen är det därför Trygs omsättning som ska läggas till grund för beräkning av det maximala sanktionsavgiftsbeloppet. För att frångå presumtionen krävs att Trygg-Hansa lämnar tillräcklig bevisning om att en annan omsättning ska läggas till grund för beräkningen.

text: Trygg-Hansa har anfört att det är den del av Trygs omsättning som motsvarar omsättningen för Moderna Försäkringar som bör läggas till grund för beräkningen av den maximala sanktionsavgiften. Trygg-Hansa har uppskattat denna omsättning till 2 406 294 859 danska kronor. I andra hand anser Trygg-Hansa att den maximala sanktionsavgiften bör baseras på Moderna Försäkringar och Trygs omsättning, varvid omsättningen för de bolag som har förvärvats av Tryg efter den tidsperiod som granskningen rör bör exkluderas från beräkningen av sanktionsavgiften. Trygg-Hansa har uppskattat denna omsättning till 23 622 304 333 danska kronor.

text: IMY har uppfattat Trygg-Hansas inställning så att den maximala sanktionsavgiften i första hand bör beräknas på den hypotetiska omsättning som filialen Moderna Försäkringar skulle ha haft under 2022 om inte Trygg-Hansa och Moderna Försäkringar hade gått samman i april 2022. Vidare har IMY uppfattat att Trygg-Hansa

text: i andra hand anser att det är Tryg i den organisation som gällde när bristen fanns, i vilken Moderna Försäkringar är inkluderad, som utgör den ekonomiska enhet på vilken en maximal sanktionsavgift ska beräknas. Vid fastställande av den relevanta årsomsättningen för Tryg ska således den uppskattade omsättningen för de bolag som förvärvats efter överträdelsetidpunkten undantas.

text: Trygg-Hansa har till stöd för sin uppfattning sammanfattningsvis anfört att Moderna Försäkringar vid tidpunkten för granskningen var att se som en fristående verksamhet från Tryg i tekniskt och organisatoriskt hänseende. Trygg-Hansa har därvid lyft fram i huvudsak följande. Moderna Försäkringar var en filial enbart av skattemässiga skäl. Moderna Försäkringar bestämde självständigt över sitt agerande och hade en egen ledningsgrupp. Den servermiljö där den aktuella personuppgiftsbehandlingen skedde drevs och utvecklades av Moderna Försäkringar som också hade en egen IT-chef och IT-organisation. Endast kunder hos Moderna Försäkringar är berörda i detta ärende. Den personuppgiftsbehandling som granskats i ärendet var inte heller sanktionerad av Tryg och försäkringssystemen för de två verksamheterna var olika och skilda från varandra utan någon logisk, organisatorisk eller teknisk koppling.

text: De förvärvade bolagens omsättning bör enligt Trygg Hansa under alla omständigheter exkluderas från Trygs omsättning vid fastställandet av det maximala sanktionsbeloppet då ansvaret för en överträdelse enligt konkurrensrättslig praxis ska tillskrivas den som hade bestämmande inflytande över verksamheten vid tidpunkten för incidenten.

text: IMY gör följande bedömning. Trygg-Hansa är en filial till Tryg Forsikring A/S, och är därmed inte en självständig juridisk person. Trygg-Hansas omsättning ingår som en integrerad del av Trygs totala omsättning, och är helt integrerad med omsättningen för Tryg Forsikring A/S. Dessa omständigheter talar starkt för att Trygg-Hansa, Tryg Forsikring A/S och Tryg ska betraktas som en och samma ekonomiska enhet. De omständigheter som Trygg-Hansa lyft fram om att filialen, när den gick under namnet Moderna Försäkringar, haft en egen ledningsgrupp, IT-system och IT-organisation är inte något som i sig motsäger att det är fråga om en och samma ekonomiska enhet. Sammantaget bedömer IMY att det inte finns skäl att frångå presumtionen om att det är Trygs omsättning som ska läggas till grund för beräkningen av den maximala sanktionsavgiften.

text: Vad avser Trygg-Hansas inställning att omsättningen för de förvärvade bolagen ska exkluderas från beräkningen av sanktionsavgiftens maxbelopp gör IMY följande bedömning. Vid tidpunkten för överträdelsen var Trygg-Hansa liksom idag en filial till Tryg. Det har således inte skett några organisatoriska förändringar som i sig påverkar ansvarsförhållandet mellan filialen och bolaget. Det kan vidare noteras att det faktum att den relevanta årsomsättningen vid beräkningen av sanktionsavgiften är den årsomsättning som fastställdes det år som närmast föregår tillsynsmyndighetens beslut kan medföra att stora förändringar av årsomsättningen har skett sedan tidpunkten för överträdelsen, såväl minskningar som ökningar. Sådana förändringar kan bero på affärshändelser, såsom ökande eller minskande marknadsandelar och lönsamhet, eller förändringar av företagets organisation, såsom försäljningar eller förvärv av företag. Det finns i viss utsträckning möjlighet att ta hänsyn till sådana förändringar inom ramen för den proportionalitetsbedömning som alltid ska göras vid påförande av sanktionsavgifter enligt dataskyddsförordningen för att säkerställa att den påförda sanktionsavgiften är proportionell i det enskilda fallet. IMY bedömer däremot att det maximala sanktionsavgiftsbeloppet ska utgå från den fastställda årsomsättningen, utan avdrag för hypotetiska belopp för de företag som har förvärvats under denna tidsperiod.

text: IMY beaktar dock, såväl det faktum att överträdelsen skett i en begränsad del av Trygs verksamhet som de organisationsförändringar Trygg-Hansa har lyft fram, inom ramen för proportionalitetsbedömningen, vilket redovisas nedan under rubriken ”Sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande”.

text: IMY bedömer sammantaget att det företags omsättning som ska läggas till grund för beräkning av de administrativa sanktionsavgifter som Trygg-Hansa kan åläggas är Trygs omsättning. Av Trygs årsredovisning för år 2022 framgår att årsomsättningen år 2022 var ca 33 938 000 000 danska kronor, vilket motsvarar ca 54 000 000 000 svenska kronor. Det högsta sanktionsbelopp som kan fastställas i ärendet är fyra procent av detta belopp, det vill säga cirka 2 160 000 000 svenska kronor.

text: Överträdelsens allvar

text: IMY gör följande överväganden avseende överträdelsens allvar. Att det funnits en möjlig obehörig åtkomst till ungefär 650 000 kunders uppgifter innebär att det funnits en risk för ett högt antal personer. Uppgifterna har omfattat känsliga personuppgifter, såsom hälsouppgifter, och andra uppgifter av integritetskänslig karaktär, såsom personnummer och ekonomiska uppgifter. Det kan inte uteslutas att uppgifter om lagöverträdelser har kunnat framgå. Personuppgiftsbehandlingen har inneburit betydande risker. Enskilda personer varit direkt identifierbara, vilket inneburit att uppgifter av känslig karaktär kunnat kopplas till identifierade personer. Uppgifterna har behandlats i ett sammanhang där de registrerade har berättigade förväntningar på en hög nivå av konfidentialitet och ett robust skydd mot obehörig åtkomst.

text: Uppgifterna har samlats in för att kunna göra bedömningar och fatta beslut avseende registrerade, vilket är en typ av behandling av personuppgifter som kan innebära högre risker och kräver högre skydd. Uppgifter om exempelvis ägarskap, som skulle kunna medföra en stöldrisk, har vid obehörig åtkomst enkelt kunnat kopplas till namn och adress. Med anledning av uppgifternas karaktär, och då dokumenten innehållit ett flertal samlade uppgifter, har eventuell obehörig åtkomst inneburit en hög risk för skadat anseende och förlust av konfidentialitet. Trygg-Hansas analys av beteendemönster i loggar indikerar att 202 kunder sannolikt är direkt berörda på så sätt att uppgifter om dem i dokument faktiskt kan ha visats för obehöriga, och IMY konstaterar att obehörig åtkomst skett vid åtminstone ett tillfälle, i samband med att tipset om brist lämnades till IMY.

text: Överträdelsen har även pågått under en längre tid, mellan oktober 2018 och den tidpunkt då IMY kontaktade Trygg-Hansa och påtalade bristen i februari 2021. Trygg- Hansa fick genom ett externt tips i november 2020 information om bristerna i säkerheten som hade kunnat användas för att åtgärda bristerna och därigenom minska integritetsriskerna för enskilda. Trygg-Hansa förmådde dock inte använda informationen för att åtgärda bristerna. Överträdelsen har gällt Trygg-Hansas kärnverksamhet, där Trygg-Hansa kan förutsättas ha kunskap om risker och krav för skyddet av personuppgifter.

text: Av EDPB:s riktlinjer framgår att tillsynsmyndigheten ska bedöma om överträdelsen är av låg, medel, eller hög allvarlighetsgrad.

text: IMY har konstaterat att överträdelsen är så allvarlig att den även utgör en överträdelse av den grundläggande principen om integritet och konfidentialitet enligt artikel 5.1 f i

text: dataskyddsförordningen vilket innebär att det den maximala sanktionsavgift är 4 procent av årsomsättningen istället för 2 procent som gäller vid överträdelse av artikel 32. IMY bedömer sammantaget, att den aktuella överträdelsen har en medelhög allvarlighetsgrad inom spannet för överträdelser av artikel 5.1 f dataskyddsförordningen.

text: Trygg-Hansa har vidtagit ett antal åtgärder innan och efter att bristerna identifierades. Trygg-Hansa har bland annat låtit genomföra två av varandra oberoende penetrationstester av två olika externa säkerhetsbolag och inlett åtgärder i syfte att förbättra rutinerna för testaktiviteter. Trygg-Hansa har vidare beslutat att etablera ett arkitekturråd med säkerhetskontroll och kodgranskning vid utveckling, beslutat att genomföra ytterligare utbildning för anställda inom kundtjänst samt för utvecklare och testare. Trygg-Hansa har också lämnat viss information till registrerade om det inträffade. Denna och övriga åtgärder som beskrivits av Trygg-Hansa genomfördes dock efter att IMY kontaktade bolaget för att informera om bristen, och går inte utöver vad som kan förväntas. Åtgärderna är inte av sådan karaktär att de påverkar IMY:s bedömning i ärendet i förmildrande riktning.

text: Sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande

text: Den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande. Det innebär att beloppet ska bestämmas så att den administrativa sanktionsavgiften leder till rättelse, att den ger en preventiv effekt och att den dessutom är proportionerlig i förhållande till såväl aktuella överträdelser som till tillsynsobjektets betalningsförmåga.

text: Vid proportionalitetsbedömningen väger IMY in att Trygs årsomsättning har höjts betydande med anledning av förvärv av bolag som inte ingick i bolagets samlade omsättning vid tidpunkten för överträdelsen.

text: IMY tillmäter därtill stor betydelse till det faktum att överträdelsen, såvitt framkommit i ärendet, enbart skett i den svenska filialen. Att utgå enbart från koncernens omsättning i detta fall, där överträdelsen berört en begränsad del av verksamheten, skulle medföra att sanktionsavgiften sätts allt för högt i förhållande till vad som inträffat. IMY ser därför skäl att vid en proportionalitetsbedömning, med hänsyn tagen till den omsättning för Moderna Försäkringar som Trygg-Hansa redogjort för, fastställa sanktionsavgiften till ett avsevärt lägre belopp än vad en bedömning enbart baserat på Trygs omsättning hade resulterat i.

text: IMY bestämmer utifrån en samlad bedömning att Trygg-Hansa ska betala en administrativ sanktionsavgift på 35 miljoner kronor.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Evelin Palmér. Vid den slutliga handläggningen har även rättschefen David Törngren och enhetschefen Catharina Fernquist samt it- och informationssäkerhetsspecialisten Magnus Bergström medverkat.

text: Lena Lindgren Schelin, 2023-08-28 (Det här är en elektronisk signatur)

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.