text: Indecap AB

text: Europaparlamentet och

text: rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, antagna den 24 maj 2023. 3

text: Mål C-97/08

text: , punkt. 59-61 4 Jfr EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, punkt 125 och där redovisade avgöranden.

text: EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, punkt 128-130. 6 Definitionen motsvarar den som anges i

text: artikel 5.2 i Europaparlamentets och rådets direktiv 2013/34/EU av den 26 juni 2013

text: om årsbokslut, koncernredovisning och rapporter i vissa typer av företag, om ändring av

text: Europaparlamentets och rådets direktiv 2006/43/EG

text: och om upphävande av

text: rådets direktiv 78/660/EEG

text: och

text: Text av betydelse för EES och som implementerats i svensk rätt genom

text: 1 kap 3 § tredje punkten årsredovisningslagen (1995:1554)

text: EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, punkt 60.

nyckelord:
Dataskydd
Informationssäkerhet
Dina rättigheter

korrigerandeAtgard: Sanktionsavgift på 500 000 kronor

lagrum: Artiklarna 32.1 och 58.2 i dataskyddsförordningen, GDPR

nyckelord: Tekniska och organisatoriska säkerhetsåtgärder, Bank och finans, E-post, Felutskick, Kunder

rubrik: Felskickat mejl med uppgifter om kunders ekonomi

sammanfattning: En fondrådgivare har av misstag skickat ett mejl till ett stort antal av sina kunder som innehållit en fil med uppgifter om tusentals andra kunders ekonomi. Den aktuella filen innehöll bland annat personnummer och uppgifter om bank, mailadress, och innehav i fonder för ca 52 000 av bolagets kunder. Med hänsyn till att det varit fråga om en stor mängd skyddsvärda personuppgifter borde dessa, enligt IMY, ha omfattats av ett starkt skydd mot obehörigt röjande. IMY ansåg i beslutet att bolaget inte hade vidtagit tillräckliga åtgärder för att skydda de aktuella personuppgifterna. IMY gjorde den bedömningen bland annat mot bakgrund av att det inte funnits några tekniska eller organisatoriska hinder som försvårade det aktuella felskicket, vilket kan ha mottagits av omkring 2 800 kunder. Uppgifterna i den bifogade filen var dessutom okrypterade och kunde därför läsas i klartext av alla som fick mejlet. Läs tillsynsbeslutet

sanktionsavgift: 500 000 kronor

slug: fondradgivare

title: Fondrådgivare

sammanfattning: IMY beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen, GDPR, att Indecap AB ska betala en administrativ sanktionsavgift på 500 000 kronor för överträdelsen av artikel 32.1 i dataskyddsförordningen.

text: DI-2021-3422 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Indecap AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Indecap AB (556622–4480) har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen genom att, i samband med ett utskick per e-post den 20 januari 2021, inte ha säkerställt en lämplig säkerhetsnivå i förhållande till riskerna med behandlingen.

text: Integritetsskyddsmyndigheten beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att Indecap AB ska betala en administrativ sanktionsavgift på 500 000 kronor för överträdelsen av artikel 32.1 i dataskyddsförordningen.

text: Redogörelse för tillsynsärendet

text: Integritetsskyddsmyndigheten (IMY) har mottagit klagomål som gör gällande att Indecap AB (Indecap) den 20 januari 2021 felaktigt skickat ett e-postmeddelande innehållande en fil med personuppgifter om bland annat kunders ekonomi till andra kunder. IMY har inlett tillsyn mot Indecap i syfte att utreda det som framgår av klagomålen.

text: Indecap har uppgett att det anser sig personuppgiftsansvarigt för den aktuella personuppgiftsbehandlingen. Bolaget har därutöver sammanfattningsvis uppgett följande.

text: All information i Indecaps system var skyddad och krävde inloggning av användarna för att få åtkomst till informationen som inkluderades i det felaktiga utskicket. Det som inträffade i det aktuella fallet var att en medarbetare hämtade ut information ur systemet innehållande personuppgifter för att bearbeta informationen till en rapport i Excel. Under bearbetningen sparades Excel-filen ned och döptes olyckligt till ett liknande namn som den generella PDF-rapport över fondernas utveckling som skulle skickas ut till kunder. När medarbetaren senare skulle bifoga PDF-rapporten i utskicket råkade medarbetaren bifoga den Excel-fil som var under bearbetning och som innehöll personuppgifter, istället för den korrekta PDF-rapporten. På grund av det mänskliga

text: misstaget skickades den felaktiga filen därmed ut till ett antal kunder innan felet uppmärksammades och utskicket stoppades.

text: Den felaktigt bifogade filen som skickades med e-post till bolagets kunder innehöll uppgifter om kunders namn, personnummer, bank, namn på bankrådgivare, mailadress, vald risknivå, fördelning på fonder (begränsat till enskilt fondval) samt det senast inlästa värdet av kundernas innehav i dessa fonder. Filen innehöll inga uppgifter om kontonummer, inloggningsuppgifter, andelsinnehav i specifika fonder, eller information om fondportföljer gällande kapitalförsäkringar, tjänste- eller privatpensioner. De felaktiga utskicken omfattade 52 364 registrerades personuppgifter, och mottogs av maximalt 2 813 personer. Det exakta mottagarantalet kan inte fastställas då Indecaps egna undersökningar visar att mailet har fastnat i mailfiltret hos många av kunderna.

text: Indecap har en informationssäkerhetspolicy och tillämpar dokumenterade processer och rutiner kopplade till personuppgifts- och informationssäkerhetshantering. Innan incidenten inträffade hade Indecap behörighetsbegränsat de aktuella system som berör kunduppgifter, så att endast fyra medarbetare hade tillgång till dessa. Indecap hade vidare utbildat samtlig personal i personuppgifts- och informationssäkerhetsahantering.

text: Den internutredning som Indecap genomfört efter den aktuella incidenten har visat på svårigheter att efterleva Indecaps dualitetsrutin som tillämpas vid större hantering av personuppgifter. Rutinen innebär att två individer ska godkänna/verifiera en viss handling innan den kan genomföras. Orsaken till svårigheterna att efterleva denna rutin förklaras av det ökade distansarbete som krävts med anledning av Covid-19pandemin. Det moment som vid incidenten inte genomfördes var att rent visuellt, med en s.k. four-eyes principle, säkerställa att rätt data matats in i systemet och bifogats korrekt innan uppgifterna skickades ut via e-post. Detta gick inte att göra på distans och gjorde det möjligt att bifoga den felaktiga filen. Den fil som felaktigt inkluderades i mailet var av denna anledning inte krypterad eller innehöll några läsbegränsningar. Åtkomst till ursprungsdatorn var dock både begränsad utifrån behörighet samt lösenordskyddad.

text: Innan incidenten inträffade hade Indecap lanserat en systembaserad applikation med inloggning via BankID i syfte att minska riskerna som uppstår när uppgifter skickas via e-post. Indecap hade innan incidenten fattat ett beslut om att under 2021 fasa ut sin rutin för mailutskick. Sedan incidenten inträffade skickas inte längre kvartalsrapporter ut per mail. Numera hänvisas istället kunder till att logga in med BankID hos Indecap för att se sin portföljutveckling. Vidare är rapporter innehållande kunduppgifter numera krypterade och lösenordskyddade.

text: Utöver att omedelbart stoppa all planerad kundkommunikation genom brev/mailutskick vidtog Indecap ett antal åtgärder i samband med att incidenten inträffade. Bolaget initierade en större incidentutredning tillsammans med externa experter för att kartlägga och dokumentera händelsen, samt för att utföra en kontroll av Indecaps systematiska dataskyddsarbete. Internutredningen, som har färdigställts, innehåller en analys av personuppgiftsincidentens allvarhetsgrad enligt ENISA:s metod för bedömning av personuppgiftsincidenter och plan för åtgärder. Därutöver har Indecap bland annat uppdaterat rutiner kring hemarbete och dualitetsprocessen, skickat information till registrerade om det inträffade, vidtagit ytterligare tekniska säkerhetsåtgärder och hållit extra utbildningsinsatser för anställda.

text: Indecap har lämnat in en anmälan om personuppgiftsincident till IMY och gjort en incidentanmälan till Finansinspektionen med anledning av den händelse som utreds i ärendet. I anmälan till IMY angav Indecap bland annat att bolaget kontaktat de mottagare som fått e-postmeddelandet med personuppgifter och bett dessa att radera meddelandet samt bekräfta att meddelandet hade raderats.

text: Motivering av beslutet

text: Tillämpliga bestämmelser

text: Personuppgiftsansvarig är enligt artikel 4.7 i dataskyddsförordningen en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Den personuppgiftsansvarige ansvarar för och ska kunna visa att de grundläggande principerna i artikel 5 i dataskyddsförordningen följs. Det framgår av artikel 5.2 i dataskyddsförordningen.

text: Enligt artikel 5.1 f i dataskyddsförordningen ska personuppgifter behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder.

text: Av artikel 32.1 i dataskyddsförordningen följer att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Vid bedömningen av vilka tekniska och organisatoriska åtgärder som är lämpliga ska den personuppgiftsansvarige beakta den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter.

text: Enligt artikel 32.1 omfattar lämpliga skyddsåtgärder, när det är lämpligt, a) pseudonymisering och kryptering av personuppgifter, b) förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna, c) förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, och d) ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: Enligt artikel 32.2 i dataskyddsförordningen ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de risker som behandlingen medför, i synnerhet för oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

text: Medlemsstaterna får, enligt artikel 87 dataskyddsförordningen, närmare bestämma på vilka särskilda villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Ett nationellt identifikationsnummer eller ett annat vedertaget sätt för identifiering ska i sådana fall endast användas med iakttagande av

text: lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt denna förordning.

text: Enligt

text: 3 kap. 10 § lagen (2018:218)

text: med kompletterande bestämmelser till EU:s dataskyddsförordning får personnummer och samordningsnummer behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl.

text: Integritetsskyddsmyndighetens bedömning

text: Genom utredningen i ärendet har det framkommit att Indecap av misstag har skickat en okrypterad fil innehållande personuppgifter om ca 52 000 kunder med e-post till ca 2 800 mottagare som inte varit behöriga att motta den aktuella informationen. Den aktuella filen innehöll bland annat uppgifter om kunders namn, mailadress, personnummer, bank, risknivå, enskilt fondval och det senast inlästa värdet av kundens innehav i dessa fonder.

text: Indecap är personuppgiftsansvarig

text: Indecap har uppgett att bolaget är personuppgiftsansvarig för den personuppgiftsbehandling som granskas i ärendet.

text: Av utredningen framgår att syftet med att skicka det aktuella meddelandet var att informera kunder om fonders generella utveckling. IMY konstaterar att Indecap har bestämt ändamål och medel med behandlingen av personuppgifterna, det vill säga hur och varför personuppgifterna ska behandlas. Det är således Indecap som enligt artikel 4.7 i dataskyddsförordningen varit personuppgiftsansvarig för den aktuella behandlingen av personuppgifter.

text: Behandlingen har inneburit en hög risk

text: Indecap har enligt artikel 32 i dataskyddsförordningen en skyldighet att skydda de personuppgifter som bolaget behandlar genom att vidta lämpliga tekniska och organisatoriska åtgärder. Åtgärderna ska säkerställa en lämplig säkerhetsnivå. Vid bedömningen av vilken säkerhetsnivå som är lämplig ska den personuppgiftsansvarige beakta kostnaderna, behandlingens art, omfattning, sammanhang och ändamål och de risker för fysiska personers rättigheter och friheter som behandlingen medför.

text: Av

text: 1 kap. 11 § första stycket lagen (2007:528)

text: om värdepappersmarknaden följer att den som är eller har varit knuten till ett värdepappersbolag inte obehörigen får röja eller utnyttja vad han eller hon i anställningen eller under uppdraget har fått veta om någon annans affärsförhållanden eller personliga förhållanden. Eftersom Indecap är ett värdepappersbolag gäller dessa lagkrav om tystnadsplikt i bolagets verksamhet. Det ställer höga krav på skydd för de personuppgifter som behandlas i verksamheten.

text: I detta fall har de uppgifter som hanterats bland annat bestått av särskilt skyddsvärda personuppgifter, nämligen personnummer, som endast får behandlas under vissa förutsättningar. Det har även varit fråga om ekonomiska uppgifter, såsom det senaste innehavet i fonder samt det senast inlästa värdet av kundernas innehav i dessa fonder, för vilka de registrerade har berättigade förväntningar på en hög grad av konfidentialitet och ett robust skydd mot obehörig åtkomst. IMY konstaterar att sammanhanget för personuppgiftsbehandlingen medfört ett ännu högre krav på skyddsnivån. Personuppgiftsbehandlingen har skett inom ramen för Indecaps kärnverksamhet för vilken bolaget borde ha haft god förmåga att säkerställa en säkerhet som varit lämplig utifrån behandlingens omfattning och känslighet.

text: Att sammanställa en stor mängd personuppgifter av integritetskänslig karaktär medför dessutom särskilda risker då förlorad kontroll över en sådan sammanställning kan leda till skada för många registrerade. I det aktuella fallet har behandlingen rört uppgifter om ett stort antal registrerade (ca 52 000 personer).

text: Med hänsyn bland annat till att de uppgifter som Indecap behandlat har varit av skyddsvärd karaktär och berört ett mycket stort antal personer har Indecaps behandling av personuppgifterna sammantaget inneburit en hög risk för fysiska personers rättigheter och friheter. Behandlingens art, omfattning och sammanhang har därmed medfört ett krav på ett starkt skydd för uppgifterna. Åtgärderna skulle bland annat säkerställa att personuppgifterna skyddades mot obehörigt röjande och obehörig åtkomst.

text: Indecap har inte vidtagit tillräckliga åtgärder för att skydda uppgifterna

text: Av klagomålen och Indecaps redogörelse framgår att filen med personuppgifter har bifogats i ett e-postmeddelande som skickats ut till ett större antal personer. Indecaps utskick av den aktuella filen har inneburit att personer som inte har rätt att ta del av uppgifterna har fått åtkomst till dessa.

text: Indecap har uppgett att filen bifogades i e-postmeddelandet till följd av ett misstag från en enskild medarbetare. Indecap är, som personuppgiftsansvarig, ansvarig för all personuppgiftsbehandling som sker under bolagets ledning eller för bolagets räkning. I detta fall har det felaktiga bifogandet av filen skett inom ramen för den anställdes tjänst. Indecap är ansvarig för att behandlingen av personuppgifter som utförts av den anställde skett i enlighet med dataskyddsförordningens krav på en lämplig säkerhetsnivå.

text: IMY bedömer dessutom att det aktuella misstaget hade kunnat hindras eller i vart fall försvåras. Indecap behandlar i sin verksamhet såväl publik som skyddsvärd information. Beroende på bland annat informationens känslighet ställs olika krav på lämplig skyddsnivå och därmed innehållet i rutinerna för hantering av dessa uppgifter. Vid hanteringen av publik information saknas det till exempel anledning att beakta risken för obehörig åtkomst vid val av lämpliga kommunikationskanaler. För att inte äventyra skyddet för uppgifter av skyddsvärd karaktär borde Indecap ha haft tydliga rutiner för att säkerställa att hanteringen av skyddsvärd information inte skulle sammanblandas med hanteringen av publik information. Av Indecaps egna uppgifter framgår att en anledning till att en felaktig fil bifogats var att den hade döpts till ett liknande namn som en annan fil som innehöll generella information om fonders utveckling. Det talar för att Indecap inte har haft tillräckligt tydliga instruktioner för att motverka att dokument innehållande kunduppgifter sammanblandas med andra publika dokument.

text: Det har inte heller framkommit att Indecap implementerat några tekniska eller organisatoriska hinder eller kontrollfunktioner som har försvårat den felaktiga hanteringen av filen, t.ex. tekniska hinder eller varningar i samband med att filen bifogas i e-post. Indecap har visserligen haft en rutin som innebär att varje utskick ska kontrolleras av medpersonal i syfte att förhindra den aktuella typen av misstag. Det har dock framkommit att den aktuella rutinen inte användes till följd av svårigheter att upprätthålla rutinen vid hemarbete under den då rådande Covid-19 pandemin. IMY anser dock att Indecap i det uppkomna läget, särskilt med hänsyn till känsligheten i de uppgifter bolaget behandlar i sin kärnverksamhet, borde ha vidtagit andra åtgärder för att säkerställa en tillräcklig skyddsnivå för de aktuella uppgifterna när den aktuella skyddsåtgärden inte kunnat vidtas till följd av pandemin. Pandemin har således inte

text: utgjort en skälig ursäkt för att göra avsteg från befintliga säkerhetsrutiner utan att ersätta dessa med något annat likvärdigt skydd.

text: IMY konstaterar att avsaknaden av åtgärder för att förhindra att de integritetskänsliga uppgifterna om kunderna skickades ut har medfört att risken för att medarbetare skulle göra felaktiga utskick varit hög.

text: IMY konstaterar vidare att den aktuella filen saknat skydd i form av till exempel läsbegränsningar eller kryptering. Efter att filen felaktigt bifogats i e-postmeddelandet har därför obehöriga obehindrat kunnat ta del av integritetskänslig information om över 50 000 identifierbara individer i klartext. Det har också funnits en risk för att uppgifterna skulle spridas vidare, till exempel genom att någon av de obehöriga mottagarna vidarebefordrade e-postmeddelandet.

text: Enligt IMY har det förelegat brister avseende skyddet av personuppgifter dels genom att Indecap inte vidtagit tillräckliga tekniska eller organisatoriska åtgärder för att hindra medarbetare från att felaktigt skicka ut kunduppgifter per e-post till obehöriga mottagare, dels genom att uppgifterna inte varit skyddade mot obehörig åtkomst, t.ex. genom kryptering.

text: Indecaps skyddsåtgärder skulle säkerställa att personuppgifter om bolagets kunder skyddades mot obehörigt röjande och obehörig åtkomst. Indecap har dock genom epostmeddelandet den 20 januari 2021 som skickades till en stor mängd obehöriga mottagare röjt okrypterade personuppgifter om sina kunder, bland annat uppgifter om kundernas ekonomi.

text: IMY konstaterar sammanfattningsvis att Indecap inte har vidtagit tillräckliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som varit lämplig i förhållande till risken. Indecap har således behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen.

text: Val av ingripande

text: Rättslig reglering

text: IMY har vid överträdelser av dataskyddsförordningen ett antal korrigerande befogenheter, bland annat reprimand, föreläggande och sanktionsavgifter. Det följer av artikel 58.2 a–j i dataskyddsförordningen. IMY ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall.

text: Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen. I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras och, i så fall, med vilket belopp.

text: Enligt artikel 83.4 ska det vid överträdelser av bland annat artikel 32 påföras administrativa sanktionsavgifter på upp till 10 000 000 EUR eller, om det gäller ett företag, på upp till 2 % av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.

text: Europeiska dataskyddsstyrelsen (EDPB) har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer för beräkning av sanktionsavgifter.

text: Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b i förordningen.

text: IMY:s bedömning

text: Sanktionsavgift ska påföras

text: IMY har gjort bedömningen att Indecap har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen.

text: Överträdelsen har skett genom att Indecap behandlat personuppgifter med en otillräcklig säkerhetsnivå, vilket har medfört att bland annat ekonomiska uppgifter om över 50 000 registrerade skickats via mail till omkring 2 800 obehöriga mottagare. Indecap har varit medveten om riskerna med mailutskick och hade därför infört särskilda kontrollrutiner, men på grund av pandemin, gjort avsteg från kontrollrutinen utan att vidta kompenserande skyddsåtgärder. Det felaktiga utskicket har medfört en hög risk för de registrerades fri- och rättigheter, bland annat avseende förlust av konfidentialitet för skyddsvärda uppgifter.

text: IMY bedömer mot denna bakgrund att det inte varit fråga om en mindre överträdelse. Indecap ska därför påföras en administrativ sanktionsavgift för överträdelsen. Vid bestämmande av sanktionsavgiftens storlek ska IMY beakta de omständigheter som anges i artikel 83.2 samt säkerställa att den administrativa sanktionsavgiften är effektiv, proportionell och avskräckande.

text: Moderbolagets årsomsättning ska läggas till grund för beräkningen Vid bestämmande av maxbeloppet för sanktionsavgiften ska den definition av begreppet företag användas som följer av EU-domstolens praxis enligt artiklarna

text: och

text: i EUF-fördraget (se skäl 150 i dataskyddsförordningen). Av domstolens praxis framgår att begreppet företag omfattar varje enhet som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering samt även om enheten i juridisk mening består av flera fysiska eller juridiska personer.

text: Vad som utgör ett företag ska således utgå från konkurrensrättens definitioner. Reglerna för koncernansvar i EU:s konkurrenslagstiftning kretsar kring begreppet ekonomisk enhet. Ett moderbolag och ett dotterbolag betraktas som en del av samma ekonomiska enhet när moderbolaget utövar ett avgörande inflytande över dotterbolaget. Det avgörande inflytandet (dvs. kontrollen) kan antingen uppnås genom ägande eller genom avtal. Av EU-domstolens praxis framgår att ett hundraprocentigt eller nästan hundraprocentigt ägande innebär en presumtion för att kontroll ska anses föreligga. Presumtionen kan dock motbevisas om företaget lämnar tillräcklig bevisning för att styrka att dotterbolaget agerar självständigt på marknaden. För att motbevisa presumtionen måste företaget alltså tillhandahålla bevis som rör de organisatoriska, ekonomiska och rättsliga kopplingarna mellan dotterbolaget och dess moderbolag som visar att de inte utgör en ekonomisk enhet trots att moderbolaget innehar 100 procent eller nästan 100 procent av aktierna.

text: Den koncern i vilken Indecap ingår består av tre företag, moderbolaget Indecap Holding AB och de två systerföretagen Indecap och Indecap Fonder AB. Indecap Holding AB:s provisionsintäkter består av Indecaps och Indecap Fonder AB:s provisionsintäkter.

text: Indecap har anfört att den omsättning som är hänförlig till Indecap Fonder AB bör exkluderas vid beräkningen av en sanktionsavgift. Till stöd för detta har Indecap anfört att den nu aktuella överträdelsen endast skett i ett av koncernbolagen, nämligen Indecap. Indecap är ett värdepappersbolag som tillhandahåller individuellt pensionssparande och rådgivning på fondmarknaden. Indecap Fonder AB är i sin tur ett fondbolag som förvaltar nio fonder inom olika aktie- och räntestrategier. Indecap Fonder AB har få direktkunder utan distribuerar fonderna via olika plattformar och banker. Indecap Fonder AB:s fonder är visserligen valbara hos Indecap, men Indecaps fondportföljer består även av många andra fonder som inte har någon koppling till vare sig Indecap Fonder AB eller Indecap Holding AB. De kunduppgifter som ingick i utskicket tillhörde endast kunder i Indecap.

text: Indecap Holding AB äger 100 procent av aktierna i Indecap och det föreligger därför en presumtion för att Indecap och Indecap Holding AB är en ekonomisk enhet. Indecap har inte lyft fram något som visar att Indecap agerar självständigt i förhållande till moderbolaget som gör att presumtionen bryts. Att dotterbolag i koncernen har verksamheter med olika inriktningar, eller att en incident endast inträffat i ett dotterbolag, är inte sådana omständigheter som i sig får någon påverkan på presumtionen om moderbolagets inflytande.

text: IMY bedömer med hänsyn till det ovanstående att det företags omsättning som ska läggas till grund för beräkning av den administrativa sanktionsavgift som Indecap kan åläggas är Indecaps moderbolag Indecap Holding AB (556971-6987).

text: I EDPB:s riktlinjer är utgångspunkten att årsomsättningen avser bolagets nettoomsättning, dvs. det belopp som erhållits genom försäljning av varor och tillhandahållande av tjänster efter avdrag av försäljningsrabatter och mervärdesskatt samt andra skatter som direkt relateras till omsättningen. För att fastställa vilken omsättning Indecap Holding AB hade under föregående räkenskapsår har IMY inhämtat uppgifter ur koncernens årsredovisning för 2022. Av dessa uppgifter framgår att Indecap Holding AB har haft provisionsintäkter uppgående till 558 260 000 kr.

text: Indecap har anfört att Indecap Holding AB:s årsredovisning är upprättad enligt lagen (

text: ) om årsredovisning i kreditinstitut och värdepappersbolag och att posten för provisionsintäkter inte på ett rättvisande sätt återger koncernens nettoomsättning. De aktuella provisionsintäkterna är därvid angivna innan Pensionsmyndighetens avtalade obligatoriska rabatt på förvaltningsavgifter har dragits av. Avtalet med Pensionsmyndigheten om rabatt är ett krav för att ett fondbolag ska kunna erbjuda fonder på premiepensionens fondtorg. Rabatter till Pensionsmyndigheten uppgick år 2022 till 394 326 770 kr. Indecap Holding AB:s nettoomsättning är således summan

text: som kvarstår efter att denna rabatt dragits av. Indecap har gett in handlingar till styrkande av de rabatter som lämnats till Pensionsmyndigheten.

text: IMY gör följande bedömning. Indecap Holding AB:s årsredovisning innehåller ingen tydlig redovisningspost som kan likställas med bolagets nettoomsättning. För att en sanktionsavgift ska få motsvarande effekt oavsett vilka redovisningsregler som den ingripandet riktas mot tillämpar är det enligt IMY dock angeläget att omsättningen beräknas på ett sådant sätt att den motsvarar vad som hade utgjort nettoomsättning om

text: årsredovisningslagens

text: redovisningsregler hade tillämpats. Det saknas vägledande klargöranden från EU-domstolen eller EDPB som tydliggör hur årsomsättningen i kreditinstitut och värdepappersbolag ska beräknas. IMY bedömer därför, mot bakgrund av att nettoomsättning ska fastställas med avdrag av lämnade rabatter, att relevant årsomsättning för Indecap Holding AB ska bedömas med avdrag för rabatter på förvaltningsavgifter. Indecap har genom ingivna handlingar styrkt att rabatterna till Pensionsmyndigheten under år 2022 uppgick till det belopp de angivit.

text: IMY bedömer med hänsyn till det ovanstående att den relevanta årsomsättningen för Indecap Holding AB är ca 140 199 260 kr. Två procent av den årsomsättningen är ca 2 800 000 kr. Det högsta sanktionsbelopp som kan fastställas i ärendet är därför 10 000 000 EUR.

text: Överträdelsens allvar

text: IMY bedömer att följande faktorer har betydelse för bedömningen av överträdelsens allvarlighet.

text: IMY har konstaterat att Indecap inte vidtagit tillräckliga tekniska och organisatoriska åtgärder för att minska risken för att personuppgifter om bolagets kunder skulle spridas till obehöriga. De aktuella säkerhetsbristerna har lett till en incident som har berört ett stort antal registrerade och en stor mängd obehöriga mottagare har kunnat ta del av andras personuppgifter i klartext. Uppgifterna har omfattat ekonomiska uppgifter och uppgifter om personnummer, dvs. uppgifter som kräver ett starkt skydd. Hanteringen av personuppgifterna var också en del av Indecaps kärnverksamhet där uppgifterna omfattats av lagstadgad tystnadsplikt. Indecap har dessutom varit medveten om riskerna med mailutskick och hade därför infört särskilda kontrollrutiner, men på grund av pandemin, gjort avsteg från kontrollrutinen utan att vidta kompenserande skyddsåtgärder.

text: IMY beaktar vid bedömningen av överträdelsens allvar, i förmildrande riktning, att Indecap redan innan den aktuella incidenten påbörjat ett arbete med att byta ut mailutskick mot ett säkrare alternativ. Denna process påskyndades också efter den aktuella incidenten.

text: Av EDPB:s riktlinjer framgår att tillsynsmyndigheten ska bedöma om överträdelsen är av låg, medelhög eller hög allvarlighetsgrad. IMY bedömer mot bakgrund av ovanstående omständigheter att det sammantaget rör sig om en överträdelse av artikel 32.1 i datasskyddsförordningen av medelhög allvarlighetsgrad.

text: Som förmildrande omständighet beaktas att Indecap, innan IMY inledde tillsyn, omgående och på ett tydligt sätt informerade de registrerade som berörts om vad som inträffat. IMY beaktar också att Indecap kontaktat mottagarna av det felskickade e-

text: postmeddelandet och bett dem att radera meddelandet, samt bekräfta att så skett, som en förmildrande omständighet.

text: Sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande Den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande. Det innebär att beloppet ska bestämmas så att den administrativa sanktionsavgiften leder till rättelse, att den ger en preventiv effekt och att den dessutom är proportionerlig i förhållande till såväl aktuella överträdelser som till tillsynsobjektets betalningsförmåga.

text: IMY bedömer att en sanktionsavgift beräknad på moderbolagets totala nettoomsättning inte, i det nu aktuella fallet, skulle leda till att sanktionsavgiften sätts allt för högt i relation till den överträdelse som konstaterats i ärendet. Det finns därför inte skäl att sätta ner sanktionsavgiften på den grunden att överträdelsen endast avsett ett bolag i koncernen.

text: Mot bakgrund av överträdelsens allvar, försvårande och förmildrande omständigheter bestämmer IMY den administrativa sanktionsavgiften för Indecap till 500 000 kronor för den konstaterade överträdelsen. IMY bedömer att detta belopp är effektivt, proportionerligt och avskräckande.

text: Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av juristen Evelin Palmér. Vid den slutliga handläggningen har även rättschefen David Törngren, juristen Cecilia Agnehall och it- och informationssäkerhetsspecialisten Katarina Bengtsson medverkat.

text: Catharina Fernquist, 2023-11-07 (Det här är en elektronisk signatur)

text: Kopia till:

text: 1. Klagandena

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

type: avgorande


text: If Skadeförsäkring AB

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: Se Datatilsynets (Danmark) avgörande av den 18 juni 2020 i ärende J.nr. 2019-31-2175. 3 Se Datatilsynets (Danmark) avgörande av den 5 november 2019 i ärende J.nr. 2019-41-0026.

sprak: sv

titel: Beslut

nyckelord: Dataskydd Informationssäkerhet

amne: Överföring av integritetskänsliga personuppgifter till Meta

korrigerandeAtgard: Reprimand

lagakraft: Ja

lagrum: Artikel 32.1 i dataskyddsförordningen, GDPR

nyckelord: Tekniska och organisatoriska säkerhetsåtgärder, kryptering, e-post

overklagan: Nej

rubrik: Känsliga personuppgifter via okrypterad e-post

sammanfattning: Försäkringsbolaget If har skickat känsliga personuppgifter i ett e-postmeddelande där överföringen inte var krypterad hela vägen till mottagaren, utan endast mellan bolagets e-postserver och den e-postserver som tillhandahölls av mottagarens operatör. Det har inneburit en risk för att obehöriga kunnat ta del av, sprida vidare eller förvanska e-postmeddelandet. If har därmed inte säkerställt en lämplig säkerhetsnivå för att skydda de personuppgifter som behandlats. If har kontinuerligt arbetat med att förbättra säkerheten och IMY bedömer att detta sammantaget är en mindre överträdelse av dataskyddsförordningen och utfärdar en reprimand. Läs tillsynsbeslutet här

publisher: Integritetsskyddsmyndigheten

slug: if-skadeforsakring-ab

title: If Skadeförsäkring AB

org: imy

sammanfattning: IMY utfärdar en reprimand mot bolaget för att ha behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordning.

text: DI-2021-4355 Beslut efter tillsyn enligt

type: stycke

text: dataskyddsförordningen – If Skadeförsäkring

type: rubrik

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att If Skadeförsäkring AB, den 6 november 2020, har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen . Det har skett genom att If Skadeförsäkring AB till den klagande har skickat känsliga personuppgifter om denne i ett e-postmeddelande utan att använda en tillräckligt säker krypteringslösning. If Skadeförsäkring AB har därmed inte vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen.

text: Integritetsskyddsmyndigheten ger If Skadeförsäkring AB en reprimand enligt artikel 58.2 b dataskyddsförordningen för den konstaterade överträdelsen.

text: Redogörelse för tillsynsärendet

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande If Skadeförsäkring AB (If eller bolaget) med anledning av ett klagomål.

text: Den klagande har angett att personuppgifter rörande hälsa har överförts via e-post utan att ha skyddats av kryptering hela vägen från avsändaren till mottagaren, dvs. genom en s.k. end-to-end-kryptering. IMY har med anledning av klagomålet inlett tillsyn i syfte att utreda om If har säkerställt en lämplig säkerhetsnivå i enlighet med artikel 32 i dataskyddsförordningen för den aktuella behandlingen.

text: Handläggningen har skett genom skriftväxling. Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Danmark, Finland, Norge och Estland.

text: Uppgifter från If

text: If har i huvudsak uppgett följande.

text: Överföring av känsliga personuppgifter via e-post den 6 november 2020

text: If har uppgett att bolaget är personuppgiftsansvarig för den personuppgiftsbehandling som klagomålet avser. Vidare har If angett att det inom ramen för dess skadereglering i en av den klagandes anmäld personskada skickat ett e-postmeddelande till den klagande. E-postmeddelandet skickades den 6 november 2020 till den e-postadress som den klagande angett. Det innehöll If:s beslut samt en bifogad fil innehållande den medicinska bedömning som låg till grund för beslutet. Den medicinska bedömningen omfattade bakgrund, händelseförlopp, diagnos, bedömning, gradering av eventuell invaliditet samt födelsedatum (ej personnummer).

text: E-postmeddelandet skickades krypterat med s.k. tvingande Transport Layer Securitykryptering (Enforced TLS-kryptering). Det innebar att meddelandet överfördes krypterat från If:s servrar till mottagarens e-postserver, som i det aktuella fallet fanns hos Tele2 (operatören). För det fall att den mottagande servern inte kunde ta emot ett TLS-krypterat meddelande, skickades det inte. På detta sätt säkerställdes det att meddelandet alltid överfördes krypterat. De riktlinjer som gällde vid den aktuella tidpunkten föreskrev att när känsliga personuppgifter skickades via e-post skulle epostmeddelandet alltid krypteras.

text: Lösningen med tvingande TLS-kryptering implementerades med anledning av ett avgörande från Datatilsynet i Danmark där If fick kritik för att använda s.k. opportunistisk TLS vid kryptering av e-postmeddelande som innehöll känsliga personuppgifter.

text: If har även hänvisat till ett avgörande från Datatilsynet i Danmark där dataskyddsmyndigheten konstaterade, efter en granskning hos en advokatfirma, att användandet av tvingande TLS 1.2 innebär en kryptering med tillräcklig säkerhet för epost som innehåller konfidentiell och känslig personlig information vid överföringen. If har uppgett att det var denna krypteringslösning som också användes när epostmeddelandet med den medicinska bedömningen skickades till den klagande den 6 november 2020.

text: Ny lösning för hantering av e-postmeddelanden

text: If har angett att bolaget, i tiden efter klagomålet, har höjt säkerheten bland annat genom att bolaget har utvecklat och lanserat en ny kommunikationslösning för epostmeddelanden till bolagets kunder. Inom ramen för denna lösning får If:s kunder tillgång till e-postmeddelanden via ”Mina sidor” på bolagets webbplats. Lösningen fungerar på så sätt att en avisering skickas till kunden per e-post eller sms med information om att kunden har fått ett meddelande från If som kan läsas på ”Mina sidor”. För att logga in på ”Mina sidor” behöver kunden autentisera sig med BankID.

text: Motivering av beslutet

text: Tillämpliga bestämmelser

text: Uppgifter om hälsa utgör s.k. känsliga personuppgifter. Det är förbjudet att behandla sådana särskilda kategorier av personuppgifter enligt artikel 9.1 i dataskyddsförordningen, såvida behandlingen inte omfattas av något av undantagen i artikel 9.2. Dessa uppgifter anses extra skyddsvärda eftersom behandlingen av dessa uppgifter kan innebära betydande risker för enskildas grundläggande rättigheter och friheter.

text: Den personuppgiftsansvarige ska vidare, enligt artikel 32.1 i dataskyddsförordningen, vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå till skydd för de uppgifter som behandlas. Vid bedömningen av vilka tekniska och organisatoriska åtgärder som är lämpliga ska den personuppgiftsansvarige beakta den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter.

text: Enligt artikel 32.1 omfattar lämpliga skyddsåtgärder bland annat:

text: • Pseudonymisering och kryptering av personuppgifter. • Förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och tjänsterna. • Förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident. • Ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: Enligt artikel 32.2 i dataskyddsförordningen ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de risker som behandlingen medför, i synnerhet för oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

text: IMY:s bedömning

text: E-postmeddelande sänt till den klagande den 6 november 2020

text: Eftersom den som är personuppgiftsansvarig enligt artikel 32 i dataskyddsförordningen är ansvarig för säkerheten vid behandlingen, behöver den personuppgiftsansvarige bedöma de risker som är förknippade med den behandling av personuppgifter som ska ske och vidta lämpliga tekniska och organisatoriska åtgärder för att hantera de risker som identifieras. Vad som är lämpliga åtgärder ska inte uppfattas som att det är frågan om en godtycklig bedömning utan en bedömning som är adekvat utifrån behandlingens art, omfattning, sammanhang och ändamål samt riskerna för den enskildes fri- och rättigheter. I detta fall är det frågan om överföring av känsliga personuppgifter över öppet nät (internet). Att det rör sig om behandling av känsliga personuppgifter innebär att det ställs högre krav på de tekniska och organisatoriska åtgärder som den personuppgiftsansvarige ska vidta.

text: När ett e-postmeddelande skickas över öppet nät har avsändaren eller mottagaren i allmänhet ingen kontroll över vilka datorer (t.ex. servrar) det specifika e-

text: postmeddelandet passerar längs vägen. En konsekvens av detta är att alla som förfogar över utrustning som oskyddade e-postmeddelanden passerar, kan ta del av, sprida vidare eller förvanska dem.

text: Genom att vidta lämpliga tekniska och organisatoriska åtgärder ska personuppgifter som överförs över ett öppet nät inte kunna läsas av obehöriga. Det kan uppnås genom att e-postmeddelandet som innehåller personuppgifter krypteras och/eller att överföringen av e-postmeddelandet skyddas genom kryptering. Tvingande TLS är ett exempel på en krypteringslösning som kan användas för att skydda ett epostmeddelande. I det aktuella fallet skedde överföringen av e-postmeddelandet med tvingande TLS.

text: IMY konstaterar att den lösning som If använde för att översända e-postmeddelandet till den klagande endast krypterade e-postmeddelandet under transporten från If:s epostserver till den e-postserver som tillhandahölls av den klagandes operatör. Det innebar att krypteringen upphörde innan meddelandet hade nått den slutliga mottagaren och utgjorde således inte någon s.k. end-to-end-kryptering. På så sätt fanns det risk för att obehöriga kunde ta del av e-postmeddelandet i klartext efter att den krypterade överföringen hade upphört.

text: Med anledning av ovanstående kan If inte anses ha skyddat uppgifterna på ett sådant sätt att endast den avsedda mottagaren kunnat ta del av dem efter att epostmeddelandet hade levererats till operatörens e-postserver. Vid denna tidpunkt upphörde krypteringen och därmed saknade uppgifterna tillräckligt skydd mot obehörigt röjande av eller obehörig åtkomst till personuppgifterna. Eftersom det rörde sig om känsliga personuppgifter utgjorde det en beaktansvärd risk för integritetsintrång gentemot den klagande.

text: If har hänvisat till ett avgörande från det danska Datatilsynet, som rör en advokatfirma, för att visa att Datatilsynet har bedömt tvingande TLS som en tillräckligt säker lösning för att överföra känsliga personuppgifter. IMY kan konstatera att beslutet inte avser en specifik behandling utan att det var frågan om en planlagd tillsyn gällande säkerheten vid behandling av personuppgifter, särskilt vid användning av krypterade epostmeddelanden. Advokatfirman har angett olika metoder som de använder för att säkerställa en säker kommunikation. Vilken metod som används bedöms i det enskilda fallet och en av metoderna är att kryptera överföringen av e-postmeddelande genom att använda tvingande TLS. Datatilsynet har bedömt att advokatfirmans agerande var i enlighet med dataskyddsförordningen. IMY:s granskning i detta fall skiljer sig från det åberopade avgörandet då denna granskning avser om en specifik försändelse har omfattats av tillräckligt skydd hela vägen från avsändaren till mottagaren.

text: Sammanfattningsvis finner IMY att If, vid det aktuella tillfället, inte hade vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som var lämplig i förhållande till risken med behandlingen, eftersom If skickat epostmeddelandet innehållande känsliga personuppgifter utan att se till att den krypteringslösning som valts skyddade meddelandet hela vägen fram till mottagaren. If behandlade därmed personuppgifter i strid med artikel 32.1 i dataskyddsförordningen.

text: If:s nya lösning för hantering av e-postmeddelanden

text: If har uppgett att bolaget, i tiden efter klagomålet, bland annat har utvecklat och lanserat en ny kommunikationslösning för e-postmeddelanden till bolagets kunder. Det noteras att den personuppgiftsbehandling som sker inom ramen för denna lösning inte är föremål för klagomålet och är därför inte del av IMY:s granskning.

text: Val av ingripande

text: Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra en administrativ sanktionsavgift. Beroende på omständigheterna i det enskilda fallet ska en administrativ sanktionsavgift påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som t.ex. förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om en administrativ sanktionsavgift ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY har konstaterat att If har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen. En överträdelse av den bestämmelsen kan föranleda en sanktionsavgift. If:s överträdelse har skett genom att bolaget den 6 november 2020 skickat ett e-postmeddelande innehållande känsliga personuppgifter till den klagande utan att använda en tillräckligt säker krypteringslösning som skyddat meddelandet hela vägen från avsändaren till den avsedda mottagaren (s.k. end-to-end-kryptering).

text: IMY:s tillsyn rör ett e-postmeddelande som If sänt utan användning av tillräckliga säkerhetsåtgärder – det som klagomålet avser. If har arbetat med att förbättra säkerheten dels genom att efter Datatilsynets beslut mot If ha ändrat från opportunistisk till tvingade TLS, dels att efter det att den klagande påtalat säkerhetsbrister vidtagit säkerhetsåtgärder genom att bland annat ha utvecklat och lanserat en ny kommunikationslösning för e-postmeddelanden till bolagets kunder. Sammantaget anser därför IMY att det är frågan om en mindre överträdelse varför If, med stöd av 58.2 b i dataskyddsförordningen, ges en reprimand.

text: Övrigt

text: Detta beslut har fattats av enhetschefen Katarina Tullstedt efter föredragning av it- och informationssäkerhetsspecialisten Mats Juhlén.

text: Vid den slutliga handläggningen av ärendet har även juristen Per Nydén medverkat.

text: Katarina Tullstedt, 2023-01-19 (Det här är en elektronisk signatur)

text: Kopia till

text: DPO@if.se

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.


text: https://computersweden.idg.se/2.2683/1.714787/inspelade-samtal-1177-vardguiden-oskyddade-internet 2 Datainspektionen bytte den 1 januari 2021 namn till Integritetsskyddsmyndigheten. 3 IMY:s ärende PUI-2019-705. 4 IMY:s ärende PUI-2019-689. 5 IMY:s ärende PUI-2019-698. 6

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 7 https://

text: https://www.1177.se/Stockholm/om-1177-vardguiden/1177-vardguiden-pa-telefon/om-1177-vardguiden-pa-telefon/. 9 https://www.1177.se/Stockholm/om-1177-vardguiden/1177-vardguiden-pa-telefon/om-1177-vardguiden-pa-telefon/. 10 IMY:s ärende PUI-2019-705. 11 IMY:s ärende PUI-2019-698. 12 IMY:s ärende PUI-2019-698.

text: Ytterligare krav som ska regleras i ett avtal mellan personuppgiftsansvarig och biträde framgår av artikel 28 i dataskyddsförordningen, särskilt

text: artikel 28.3

text: punkterna c) och e).

text: Dataskyddsförordningen

text: artikel 4.7

text: . 15 2 kap. 6 § och 2 kap. 4 § första stycket 1 och 2

text: patientdatalagen (2008:355)

text: . 16 Dataskyddsförordningen

text: artikel 4.8

text: . 17 Dataskyddsförordningen

text: artikel 28.1

text: . 18 Dataskyddsförordningen

text: artikel 28.3 a

text: . 19 Dataskyddsförordningen

text: artikel 28.3 c

text: . 20 Dataskyddsförordningen

text: artikel 5.1 a

text: . 21 Dataskyddsförordningen

text: artikel 12

text: . 22 Dataskyddsförordningen

text: artikel 13

text: . 23 Dataskyddsförordningen

text: artikel 13.1

text: resp. 14.3. 24

text: 8 kap. 6 § patientdatalagen

text: Dataskyddsförordningen

text: artikel 5.1 a

text: . 26 Dataskyddsförordningen

text: artikel 13.1 a

text: . 27 Regionerna Sörmland och Värmland övergick till att bedriva sjukvårdsrådgivningen via 1177 i egen regi under slutet av 2019.

text: 2 kap. 2 § hälso- och sjukvårdslagen

text: . 29

text: 15 kap. 1 § hälso- och sjukvårdslagen

text: . 30 Regionstyrelsen i respektive region är personuppgiftsansvarig.

text: Hälso- och sjukvårdsnämnden är personuppgiftsansvarig i region Stockholm. 32 www.inera.se/tjanster/1177-vardguiden-pa-telefon.

text: Dataskyddsförordningen

text: artikel 5.1 f

text: . 34 Dataskyddsförordningen

text: artikel 5.1 a

text: . 35 Dataskyddsförordningen

text: artikel 12.1

text: Enligt

text: 3 kap. 12 §

text: HSLF-FS 2016:40. 37 Enligt

text: 3 kap. 13 §

text: HSLF-FS 2016:40.

titel: Rapport: Kontroll av behandling av uppgifter om vårdsökande i samband med samtal till 1177

nyckelord:
Dataskydd
Informationssäkerhet
Internet och appar
Hälso- och sjukvård

slug: inera-ab

slug: regionstyrelsen-region-varmland

slug: regionstyrelsen-region-sormland

slug: medhelp-ab

slug: voice-integrate-nordic-ab

title: Inera AB – Rapport: Kontroll av behandling av uppgifter om vårdsökande i samband med samtal till 1177

sammanfattning: Ärendet avslutas utan åtgärd.

text: Bakgrund

text: Den 18 februari 2019 uppmärksammades att en stor mängd samtal till numret 1177 gjorts tillgängliga på en webbserver då Computer Sweden publicerade en artikel med rubriken ”2,7 miljoner inspelade samtal till 1177 helt oskyddade på internet”.

text: I artikeln beskrevs hur man kunde ta del av inspelade samtal till rådgivningsnumret 1177 på en server utan lösenordsskydd eller annan säkerhet.

text: Rapporteringen följdes av att ett antal anmälningar av personuppgiftsincidenter gjordes till Integritetsskyddsmyndigheten (IMY), tidigare Datainspektionen. Personuppgiftsincidenter – säkerhetsincidenter där personuppgifter t.ex. ändrats, gått förlorade eller kommit i orätta händer – ska anmälas av den personuppgiftsansvariga till IMY om incidenten kan medföra en risk för människors friheter och rättigheter.

text: Anmälningar om personuppgiftsincidenter inkom bl.a. från företagen Voice Integrate 3 4 5 Nordic AB (Voice), MedHelp AB (MedHelp) och MediCall Co Ltd (MediCall).

text: Artikeln och inkomna anmälningar av personuppgiftsincidenter ledde till att IMY inledde tillsyn mot sex aktörer som kunde kopplas till incidenten eller sjukvårdsrådgivning via telefonnumret 1177; Voice, MedHelp, Inera AB (Inera), samt regionerna Stockholm, Värmland och Sörmland. Under IMY:s granskning har regionerna Värmland och Sörmland upphört med att anlita MedHelp som vårdgivare för att besvara samtal till 1177.

text: Syftet med dessa granskningar var att kontrollera aktörernas koppling till sjukvårdsrådgivning via telefonnumret 1177, vem som var personuppgiftsansvarig eller personuppgiftsbiträde och hur dessa levt upp till sina respektive skyldigheter enligt dataskyddsförordningen och nationell kompletterande rätt inom hälso- och sjukvårdsområdet avseende säkerhet och enskilda vårdsökandes rätt till information.

text: I denna rapport beskrivs dessa tillsynsärenden och sambandet mellan de olika verksamheternas roller och ansvar översiktligt. För mer ingående information finns tillsynsbesluten på IMY:s webbplats.

text: Rapporten redovisar förhållandena under IMY:s granskning.

text: IMY inledde inte tillsyn mot MediCall eftersom MediCall är ett thailändskt bolag med verksamhet i Thailand och utan företrädare inom EU.

text: Inledning

text: Vad är 1177 Vårdguiden?

text: 1177 Vårdguiden är en sjukvårdstjänst som erbjuds och drivs gemensamt av alla Sveriges 21 regioner. Tjänsten är en samlingsplats för information om vård och hälsa och som kan nås både via webben och telefon. Telefonnumret 1177 är ett nationellt telefonnummer för sjukvårdsrådgivning dit man kan ringa för att få råd och vägledning av sjuksköterskor.

text: 1177 Vårdguiden är inte en enskild aktör, utan varje region bedriver sin egen verksamhet för sjukvårdsrådgivning, antingen i egen regi eller genom underleverantörer. För att hålla samma kvalitet ingår regionerna i ”ett nationellt nätverk med ett gemensamt arbetssätt”.

text: På webbplatsen 1177.se informeras besökaren om att alla samtal spelas in och att rådgivningssamtal journalförs. Vidare informeras om att det är respektive vårdgivare som ansvarar för behandlingen av personuppgifter i journaler och att personuppgifter hanteras korrekt och lagligt.

text: Incidenten – oskyddad exponering av ljudfiler från telefonsamtal till 1177

text: I personuppgiftsanmälningarna beskrevs incidenten som obehörig åtkomst där personer utanför organisationen, som saknat behörighet, tagit del av känsliga personuppgifter bl.a. om patienters hälsa. Orsaken uppgavs vara ett säkerhetshål och intrång i Voice server, Voice NAS, som medfört att känsliga personuppgifter i form av ljudfiler med samtal till 1177 hade exponerats mot internet utan några skyddsmekanismer.

text: Syftet med servern Voice NAS var initialt att hantera och lagra Voice interna filer. Den var passiv och saknade inloggningskonton då den var avsedd att användas för Voice egna ändamål inifrån det egna nätverket.

text: Incidenten berodde på att Voice NAS, genom en felkonfigurering, kunde nås utanför systemet via ett säkerhetshål i programvaran som medförde att servern tillät okrypterad kommunikation. Till följd av det blev en stor mängd samtal åtkomliga utan lösenordsskydd eller annan säkerhet för alla med en internetuppkoppling. Det som krävdes för att få tillgång till samtalsfilerna var IP-adressen till servern.

text: Det fanns per den 18 februari 2019 ca 2,7 miljoner filer på servern. Ett samtal motsvarar i genomsnitt ca tre till fyra filer, men kan utgöra upp till tio filer. IMY har uppskattat antalet lagrade samtal till mellan 650 000 och 900 000.

text: Voice stängde ned lagringsservern Voice NAS den 18 februari 2019 så att den inte längre var nåbar via internet. Det har inte kunnat fastställas när felkonfigureringen ägde rum eller under hur lång tid filerna var exponerade.

text: Aktörer som omfattades av tillsyn

text: I de anmälningar av personuppgiftsincidenter som inkom från företagen Voice och MedHelp uppgav de sig vara personuppgiftsansvariga. I anmälningarna uppgavs vidare att incidenten var av betydande allvarlighet, att den berott på den mänskliga faktorn samt att företagen fått kännedom om incidenten via information från artikeln i Computer Sweden eller Inera AB. Tillsyn inleddes mot båda företagen.

text: Tillsyn inleddes också mot Inera mot bakgrund av artikeln och informationen på Ineras webbplats om att Inera förvaltar och utvecklar de gemensamma systemen för 1177 på telefon som regionerna behöver i sin verksamhet.

text: Både MedHelp och Inera uppgav att de agerade på uppdrag av regionerna Stockholm, Värmland och Sörmland som de hade avtal med. Tillsyn inleddes mot den bakgrunden även mot de tre regionerna.

text: Roller och kraven på säkerhet

text: Generellt om ansvarsförhållandet mellan personuppgiftsansvarig och biträde

text: Tydliga ansvarsförhållanden är avgörande för ett fullgott dataskydd.

text: Det är den som är personuppgiftsansvarig som ska göra anmälan när det skett en personuppgiftsincident. Att flera anmälningar inkom till IMY tyder på oklara förhållanden kring vem som var personuppgiftsansvarig för behandlingen av personuppgifterna i ljudfilerna. Personuppgiftbiträdets roll när det gäller personuppgiftsincidenter är att utan onödigt dröjsmål underrätta den personuppgiftsansvarige om en inträffad personuppgiftsincident.

text: Den som är personuppgiftsansvarig ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att förhindra obehörigt röjande av eller obehörig åtkomst till uppgifter. Som personuppgiftsansvarig måste man också skriva ett avtal med det personuppgiftsbiträde man anlitar. Men även personuppgiftsbiträden har en skyldighet att vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att förhindra obehörigt röjande av eller obehörig åtkomst till uppgifterna.

text: Dessutom måste organisationer som behandlar personuppgifter ha en grundläggande it-säkerhet, oavsett om man hanterar känsliga vårduppgifter eller inte.

text: Även om själva hanteringen av personuppgifter sker hos ett personuppgiftsbiträde är det alltid den som är personuppgiftsansvarig som är ytterst ansvarig för de personuppgifter som hanteras. Det gäller bland annat att behandlingen av personuppgifterna är laglig, att de registrerade får information om behandlingen av personuppgifterna och att det vidtas lämpliga säkerhetsåtgärder.

text: Utöver det har ett personuppgiftsbiträde egna skyldigheter att vidta lämpliga och tillräckliga säkerhetsåtgärder för att skydda de personuppgifter som hanteras på uppdrag av den personuppgiftsansvariga.

text: När det gäller skyddsvärda eller integritetskänsliga personuppgifter är det särskilt viktigt att det finns förmåga, rutiner och tekniska lösningar på plats som säkerställer att uppgifterna inte blir åtkomliga för de som inte ska ha tillgång till dem. Det gäller både den som är personuppgiftsansvarig och personuppgiftsbiträden.

text: Om flera aktörer är inblandade får det inte råda tvivel, delade meningar eller oklarheter om vem som är personuppgiftsansvarig, vem som är personuppgiftsbiträde, och vilket ansvar respektive vilka skyldigheter var och en har. Förhållandet mellan personuppgiftsansvarig och personuppgiftsbiträde ska enligt artikel 28 i dataskyddsförordningen regleras i ett avtal och biträdet får bara behandla personuppgifter på den ansvariges dokumenterade instruktioner.

text: Ansvarsfrågor enligt dataskyddsförordningen och krav på säkerhet

text: Dataskyddsförordningen infördes den 25 maj 2018 och är den primära rättsliga regleringen vid behandling av personuppgifter. Detta gäller även vid behandling av personuppgifter inom hälso- och sjukvården.

text: De grundläggande principerna för behandling av personuppgifter anges i artikel 5 i dataskyddsförordningen. En grundläggande princip är kravet på säkerhet enligt artikel 5.1 f, som anger att personuppgifterna ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder. Av artikel 5.2 framgår den s.k. ansvarsskyldigheten, dvs. att den personuppgiftsansvarige ska ansvara för och kunna visa att de grundläggande principerna i punkt 1 efterlevs.

text: Artikel 24 handlar om den personuppgiftsansvariges ansvar. Av artikel 24.1 framgår att den personuppgiftsansvarige ansvarar för att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Åtgärderna ska genomföras med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers fri- och rättigheter. Åtgärderna ska ses över och uppdateras vid behov.

text: Artikel 32 reglerar säkerheten i samband med behandlingen och anger även personuppgiftsbiträdes ansvar att vidta säkerhetsåtgärder för att skydda personuppgifterna. Enligt punkt 1 ska den personuppgiftsansvarige och personuppgiftsbiträdet med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken (…). Enligt punkt 2 ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring.

text: Personuppgiftsansvarig är den fysiska eller juridiska person (t.ex. aktiebolag, stiftelse, förening eller myndighet) som bestämmer för vilka ändamål uppgifter ska behandlas

text: och hur behandlingen ska gå till. Enligt

text: patientdatalagen

text: är en vårdgivare personuppgiftsansvarig för den behandling av personuppgifter som vårdgivaren utför, exempelvis vad gäller vårddokumentationen i den individinriktade vården.

text: Personuppgiftsbiträde är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning. Personuppgiftsansvarige ska enbart anlita personuppgiftsbiträden som ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller dataskyddsförordningen och säkerställer att den registrerades rättigheter skyddas. Personuppgiftsbiträden får som nämnts bara agera på instruktion av den personuppgiftsansvarige, men dataskyddsförordningen ställer också krav på biträden att kontrollera att personuppgiftsbehandlingen uppfyller de krav som ställs i förordningen.

text: Det är de faktiska omständigheterna i det enskilda fallet som avgör vem som är personuppgiftsansvarig respektive personuppgiftsbiträde.

text: Krav på öppenhet och information om vem som är personuppgiftsansvarig

text: De personer vars personuppgifter behandlas, här vårdsökande som ringer 1177, har enligt dataskyddsförordningen rätt att få information om hur deras personuppgifter behandlas.

text: Enligt dataskyddsförordningen ska personuppgifter behandlas på ett öppet sätt i förhållande till den registrerade.

text: Förordningen innehåller krav på klar och tydlig information. Det avser till exempel identitet och kontaktuppgifter för den personuppgiftsansvarige, ändamålen för och den rättsliga grunden med behandlingen samt kontaktuppgifter för dataskyddsombudet i förekommande fall.

text: Informationen ska lämnas av den personuppgiftsansvarige när uppgifterna samlas in eller vid en senare tidpunkt om uppgifterna samlas in från någon annan källa.

text: Patientdatalagen

text: innehåller ytterligare krav på information som ska lämnas av vårdgivaren till patienterna, exempelvis om de sekretess- och säkerhetsbestämmelser som gäller.

text: På webbplatsen 1177.se informeras vårdsökande att det är vårdgivaren som ansvarar för att behandlingen av ens personuppgifter sker på ett lagligt och korrekt sätt.

text: Personuppgiftsansvaret innebär bland annat ett ansvar för att se till att man har ett rättsligt stöd för att behandla personuppgifterna och för att vidta erforderliga

text: säkerhetsåtgärder. Ansvaret innefattar också att behandla personuppgifter på ett öppet sätt i förhållande till de registrerade, bl.a. genom att tillhandahålla tydlig information om vem som är personuppgiftsansvarig.

text: På 1177.se ges informationen att om regionen är vårdgivare är det ”en eller flera styrelser eller nämnder i regionen som är ytterst ansvariga” och ”inom den privata vården är det företaget eller den verksamhet som bedriver vården som är ansvariga”.

text: Inkommande samtal till 1177 kopplas via en växel till en vårdgivare som besvarar samtalet från den vårdsökande. Det kan vara regionen som bedriver den hälso- och sjukvården i egen regi eller en vårdgivare som regionen anlitar. Under granskningen saknades information till personer som ringde 1177 från regionerna Stockholm, Värmland och Sörmland bland annat om vem som var vårdgivare enligt

text: patientdatalagen

text: och därmed personuppgiftsansvarig.

text: Tillsynsobjektens roller och ansvar och förhållandet dem emellan

text: Översiktlig beskrivning av informationsflödet

text: Samtal till 1177 styrs initialt till Inera, som tillhandahåller regionerna växel för att koppla samtal vidare. Hos Inera kontrolleras s.k. kommun-id, d.v.s. vilken kommun samtal kommer ifrån för att veta till vilken vårdgivare samtalet ska slussas. Regionerna Stockholm, Sörmland och Värmland hade vid tiden för incidenten anlitat MedHelp som vårdgivare, varför Inera kopplade samtal från dessa kommuner till MedHelp.

text: MedHelp hade i sin tur anlitat MediCall som personuppgiftsbiträde och underleverantör för sjukvårdsrådgivning via 1177 på telefon. MediCall är ett thailändskt bolag med verksamhet i Thailand, vars anställda sjuksköterskor besvarade samtal från vårdsökande under jourtid.

text: Voice hade utvecklat programvaran Biz för ljudinspelning och koppling av samtal från MedHelp till MediCall. Hos Voice fanns även servern Voice NAS.

text: Samtal som MediCall besvarade kom att överföras till Voice NAS för lagring. Från servern Voice NAS har samtalen sedan på grund av en säkerhetsbrist i samband med en felkonfigurering blivit exponerade mot internet. MedHelp förde efter att bristen upptäckts över vårddokumentationen till egna servrar och Voice raderade samtalen på MedHelps instruktion den 7 mars 2019.

text: Fig. 1, samtals- och informationsflöde mellan aktörerna.

text: Regionernas roller och ansvar

text: Regionerna Sörmland, Värmland och Stockholm är huvudmän med ansvar för hälsooch sjukvård i sina respektive regioner. Huvudmän kan avtala med vårdgivare, som kan vara t.ex. myndigheter, kommuner eller företag, om att utföra den hälso- och sjukvård som huvudmännen ansvarar för. De aktuella regionerna har ingått personuppgiftsbiträdesavtal med Inera för att låta vidarekoppla inkommande samtal till 1177 för att besvaras av MedHelp, som anlitats som vårdgivare.

text: De aktuella regionerna är personuppgiftsansvariga för behandlingen som sker när de samlar in uppgifter om telefonnummer och kommun-ID när enskilda ringer 1177 så att samtalen kan besvaras av MedHelp. Regionerna ansvarar därmed för att informera om den personuppgiftsbehandlingen.

text: Regionerna Sörmland och Värmland

text: Under granskningen har regionerna Sörmland och Värmland upphört med att anlita MedHelp som vårdgivare för att besvara samtal till 1177. Integritetsskyddsmyndigheten (IMY) konstaterade att regionerna inte hade informerat vårdsökande om sin behandling av telefonnummer och uppgift om vilken kommun personen ringde ifrån.

text: IMY fann att bristen på information stred mot principen om öppenhet i dataskyddsförordningens artikel 5.1 a och mot artikel 13 om den information som ska tillhandahållas om personuppgifter samlas in från den registrerade.

text: IMY beslutade mot den bakgrunden, att regionerna skulle betala en administrativ sanktionsavgift på 250 000 kronor vardera.

text: Region Stockholm

text: Utöver behandling av uppgifter om inringande personers telefonnummer och kommun- ID, för att kunna dirigera samtal till rätt vårdgivare, samlade Region Stockholm även in personuppgifter från MedHelp. Insamlingen avsåg samtalsinformation från samtal till 1177 i regionen och omfattade bl.a. personnummer, kontaktorsak, koder för symtom, hänvisning (till t.ex. egenvård, närakut eller vårdcentral), verksamhets-id för vårdenheten där patienten eventuellt fått en bokad tid, löpnummer på journalanteckning (om sådan upprättats) och tidpunkt för samtal. Insamlingen av samtalsinformationen från MedHelp avsåg en omfattande mängd känsliga personuppgifter rörande ett stort antal registrerade.

text: Region Stockholm pseudonymiserar uppgifterna och använder informationen för att utveckla sjukvårdsrådgivningens funktion.

text: IMY konstaterade att Hälso- och sjukvårdsnämnden vid behandling av personuppgifter för att dirigera samtal till 1177 till vårdgivaren MedHelp inte hade informerat vårdsökande om sin behandling av telefonnummer och kommun-id. Hälso- och sjukvårdsnämnden informerade inte heller om insamlingen från MedHelp av personuppgifter om vårdsökande som ringt 1177.

text: IMY fann att bristen på information stred mot principen om öppenhet i artikel 5.1 a, samt mot artiklarna 13 och 14 i dataskyddsförordningen om den information som ska ges till vårdsökande.

text: IMY beslutade mot den bakgrunden att Hälso- och sjukvårdsnämnden skulle betala en administrativ sanktionsavgift på 500 000 kronor.

text: IMY förelade också enligt artikel 58.2 d i dataskyddsförordningen Hälso- och sjukvårdsnämnden att, snarast och senast två månader efter det att beslutet vunnit laga kraft, i enlighet med artiklarna 13 och 14 i dataskyddsförordningen informera vårdsökande som ringer 1177 om insamling av telefonnummer och kommun-id för ändamålet att tillse att samtal till 1177 tas om hand av vårdgivaren MedHelp AB samt om insamling av samtalsinformation från MedHelp AB för uppföljnings- och kvalitetsändamål.

text: Ineras roll och ansvar

text: Inera förvaltar och utvecklar de gemensamma system för 1177 och den därmed sammanhängande sjukvårdsrådgivning på telefon som regionerna behövde i sin verksamhet. Inera bistod, som personuppgiftsbiträde, regionerna med hantering av inkommande samtal genom att koppla dem vidare till MedHelp. Inera spelade inte in dessa samtal. IMY avslutade tillsynen mot Inera utan åtgärd.

text: MedHelps roll och ansvar

text: Regionerna Stockholm, Sörmland och Värmland anlitade MedHelp som vårdgivare för att besvara vårdsökandens samtal till 1177. Samtal kopplades av Inera till MedHelp

text: som tog över samtalet. MedHelp genomförde ungefär tre miljoner rådgivningssamtal per år via 1177.

text: Som vårdgivare och personuppgiftsansvarig behandlade MedHelp personuppgifter när enskilda ringde 1177. Personuppgiftsbehandlingen skedde genom inspelning av telefonsamtal och vårddokumentation i ett journalsystem.

text: MedHelp anlitade MediCall som personuppgiftsbiträde och underleverantör för sjukvårdsrådgivning via telefon när enskilda ringde 1177 under jourtid. Av de tre miljoner samtal per år som MedHelp mottog hanterades ungefär 20 procent hos MediCall.

text: MedHelp anlitade MediCall för att förbättra bemanningen vid jourtid. Då verksamheten bedrevs i Thailand kunde man dra nytta av tidsskillnaden för att erbjuda en högre tillgänglighet för sjukvårdsrådgivningen på 1177. MediCalls sjuksköterskor förde anteckningar i MedHelps journalsystem när samtal besvarades.

text: MedHelp har som personuppgiftsansvarig skyldighet att efterleva dataskyddsförordningen och nationell rätt för behandling av personuppgifter inom hälso- och sjukvården. Ansvaret omfattar att fullgöra skyldigheterna i dataskyddsförordningen, inklusive skyldighet att behandla personuppgifter på ett öppet sätt i förhållande till de registrerade, bl.a. genom att tillhandahålla tydlig information om behandlingen och om att MedHelp är personuppgiftsansvarig.

text: IMY konstaterade att MedHelp i egenskap av vårdgivare och personuppgiftsansvarig hade behandlat personuppgifter i strid med dataskyddsförordningen,

text: patientdatalagen

text: och Socialstyrelsens föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården (

text: HSLF-FS 2016:40

text: ) i följande avseenden:

text: – personuppgifter i ljudfiler med inspelade telefonsamtal till 1177 hade exponerats mot internet utan skydd i lagringsservern Voice NAS. MedHelp hade därvid i egenskap av vårdgivare och personuppgiftsansvarig underlåtit att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som var lämplig för att förhindra obehörigt röjande av personuppgifterna eller obehörig åtkomst till personuppgifterna.

text: – MedHelp hade utan lagligt stöd i svensk hälso- och sjukvårdslagstiftning och i dataskyddsförordningen låtit det thailändska bolaget MediCall, som inte omfattades av hälso- och sjukvårdslagen och bestämmelser om tystnadsplikt, utföra vård och behandla personuppgifter om vårdsökande som ringde 1177. Som stöd för den personuppgiftsbehandlingen upprättade MedHelp ett personuppgiftsbiträdesavtal med MediCall, men ett sådant avtal kan inte ersätta bristen på lagligt stöd.

text: – MedHelp hade inte, utöver ett talsvarsmeddelande om att samtalet spelades in i patientsäkerhets- och kvalitetssyfte, informerat vårdsökande som ringde 1177 om sin personuppgiftsbehandling.

text: – MedHelp hade inte säkerhetskopierat samtal till 1177 som MedHelp besvarade och spelade in i sin IT-miljö.

text: IMY beslutade att MedHelp skulle betala en administrativ sanktionsavgift på 12 miljoner kronor, varav åtta miljoner kronor avsåg exponerade ljudfiler med inspelade telefonsamtal till 1177 mot internet utan skydd, tre miljoner kronor avsåg att MedHelp utfört personuppgiftsbehandling genom att anlita MediCall, femhundra tusen kronor avsåg att MedHelp inte lämnat nödvändig information till vårdsökande som ringde 1177 och femhundra tusen kronor avsåg att MedHelp inte hade säkerhetskopierat ljudfiler i sin IT-miljö.

text: Beslutet omfattade också två förelägganden. Ett avsåg information till vårdsökande vars samtal till 1177 besvaras av MedHelp.

text: Det andra föreläggandet avsåg att MedHelp ska genomföra säkerhetskopiering och förvara säkerhetskopiorna på ett säkert sätt väl skilda från originaluppgifterna, samt att besluta om hur länge säkerhetskopiorna skulle sparas och hur ofta återläsningstester av kopiorna ska göras.

text: Voice’s roll och ansvar

text: Voice är ett utvecklingsbolag som tar fram programvara. Voice och MedHelp hade enligt ett ingånget leveransavtal 2012 ett samarbete kring teknik, säkerhet och förbättringar inom tjänster och produktion. Företagen ingick ett personuppgiftsbiträdesavtal i maj 2018. Av avtalen framgår att uppdraget till Voice omfattade bl.a. sjukvårdsrådgivning och inspelning av samtal. Voice levererade samtal till MediCall via sina växlar genom programvaran Biz, och tillhandahöll även andra funktioner, program och support.

text: Inspelade ljudfiler med samtal till 1177 fanns i lagringsservern Voice NAS när incidenten inträffade.

text: IMY konstaterade att personuppgifter i ljudfiler med inspelade telefonsamtal till 1177 hade exponerats mot internet utan skydd i lagringsservern Voice NAS. Voice hade därvid i egenskap av personuppgiftsbiträde till MedHelp underlåtit att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som var lämplig för att förhindra obehörigt röjande av personuppgifterna eller obehörig åtkomst till personuppgifterna.

text: IMY beslutade att Voice skulle betala en administrativ sanktionsavgift på 650 000 kronor.