text: Securitas Sverige Aktiebolag

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: Därutöver har inspelningsfunktionen för kameran i den tekniska projektledarens bil varit aktiv i Stockholm under en period.

text: Arbetsmiljöverkets föreskrifter och allmänna råd (

text: AFS 2023:1

text: ) om systematiskt arbetsmiljöarbete – grundläggande skyldigheter för dig med arbetsgivaransvar.

text: Lag (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning. 5 Jfr

text: SOU 2017:39 s. 114

text: f., skäl 41 till dataskyddsförordningen och Förvaltningsrätten i Stockholms dom 2020-06-17 i mål nr 9379-19 och 9408-19. 6

text: Prop. 2017/18:105

text: , Ny dataskyddslag, s. 51.

text: Se bland annat EU-domstolens dom av den 4 maj 2017, Rīgas satiksme,

text: , EU:C:2017:336, punkt 28, EU-domstolens dom av den 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA,

text: , EU:C:2019:1064, punkt 40 och EU-domstolens dom av den 4 juli 2023, Meta Platforms m.fl.,

text: , EU:C:2023:537, punkt 106. 8 Se EU-domstolens dom den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond,

text: , EU:C:2024:857, punkt 49. 9 Se Asociaţia de Proprietari bloc M5A-ScaraA,

text: , punkt 44. 10 Se Koninklijke Nederlandse Lawn Tennisbond,

text: , punkt 50. 11 Se Meta Platforms m.fl.,

text: , punkt 126 och EDPB:s

text: riktlinjer 1/2024

text: , punkterna 28 och 29. Observera att riktlinjerna inte har blivit slutligt antagna av EDPB vid tidpunkten för det här beslutet.

text: Se bland annat Asociaţia de Proprietari bloc M5A-ScaraA,

text: , punkterna 47 och 48 och Meta Platforms m.fl.,

text: , punkterna 108 och 109. 13 Se bland annat Asociaţia de Proprietari bloc M5A-ScaraA, punkterna 52–58. 14 Se EDPB:s

text: riktlinjer 1/2024

text: , punkterna 32–34.

text: Prop. 2017/18:231

text: , Ny kamerabevakningslag, s.101.

text: Securitas Sverige Aktiebolag Box 12516 102 29 Stockholm

text: Europaparlamentets och rådets förordning (EU) 2016/79 av den 27 april 2016

text: Artikel 58.1 i dataskyddsförordningen.

text: Artikel 58.2

text: och artikel 83-84 i dataskyddsförordningen.

titel: Tillsynsskrivelse

nyckelord: Kamerabevakning Arbetsliv Dataskydd

slug: securitas-sverige-aktiebolag

title: Securitas Sverige Aktiebolag

sammanfattning: IMY konstaterar att Securitas Sverige AB har behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen genom att inte ha rättslig grund för behandlingen av personuppgifter som skett genom användning av bevakningskameror inuti bolagets bilar. IMY ger Securitas en reprimand för överträdelsen.

text: Beslut

text: IMY-2025-10429 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Securitas Sverige AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten (IMY) konstaterar att Securitas Sverige AB (organisationsnummer är 556108-6082) under tiden den 2 till 18 december 2024 och den 9 april till 31 maj 2025 har behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen genom att inte ha rättslig grund för behandlingen av personuppgifter som skett genom användning av bevakningskameror inuti bolagets bilar.

text: IMY ger Securitas Sverige AB en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen för överträdelsen av artikel 6.1.

text: Redogörelse för tillsynsärendet

text: Bakgrund

text: IMY har via ett antal klagomål fått information om att Securitas Sverige AB (Securitas/bolaget) i sina rondbilar installerat kameror som filmar de anställda under deras arbetspass. Detta ska bland annat ha skett i Örebro, Skövde, Märsta och Helsingborg.

text: IMY har inlett tillsyn mot Securitas i syfte att utreda om den personuppgiftsbehandling som detta innebär har haft stöd i en rättslig grund enligt artikel 6.1 i dataskyddsförordningen, om information har lämnats till dem vars personuppgifter behandlas samt om säkerhetsnivån varit lämplig vid förvaring av personuppgifterna.

text: Vad Securitas har uppgett

text: Securitas har i huvudsak uppgett följande.

text: Bevakningens omfattning

text: Securitas har inte aktiverade inåtriktade kameror i sina arbetsbilar i dagsläget, men genomförde ett pilotprojekt under december 2024 till juni 2025. Projektet bedrevs i

text: Skövdeområdet, Örebro, Helsingborg och Märsta. I dagsläget finns inga beslut om att återinföra inspelning med inåtriktade kameror i Securitas bilar.

text: Under pilotprojektet var dels inspelningsfunktionen för inåtriktade kameror aktiverad för vissa fordon under en viss tid, dels var teknik för realtidsdetektering aktiverad i vissa fordon under två tidsperioder. Kamerorna var placerade under backspegeln i framrutan och täckte fordonshytten, vilket innebar att de fångade förarens beteende under körning.

text: Inspelningsfunktionen var aktiverad samtidigt i cirka 53 fordon, i genomsnitt under 10,7 dagar per bil under en period den 2–16 december 2024. Under denna tid använde 119 anställda förare bilarna för minst en resa. Kamerabevakningen var aktiv när bilen var i drift, det vill säga när bilen började röra på sig och stängdes av en tid efter att bilen stannat.

text: Tekniken för realtidsdetektering var successivt aktiverad under den 2–18 december 2024 i sammanlagt 53 fordon, samt den 9 april–31 maj 2025 i totalt 42 fordon. Tekniken avsåg att i realtid detektera vissa händelser genom bildanalys. Dessa var om föraren rökte (denna stängdes dock av den 11 april 2025), om föraren använde mobiltelefon, om föraren var ouppmärksam, om föraren saknade säkerhetsbälte samt om kameran var täckt. Vid en sådan händelse visades först en varningsikon på en display i bilen, och om beteendet inte korrigerades inom 10–20 sekunder visades ytterligare en varning och händelsen registrerades.

text: Teknisk säkerhet och hantering av inspelat material

text: Under perioden 2–16 december 2024 när inspelningsfunktionen var aktiverad spelades material in på lokala minneskort i bilarna, där de senaste 100 timmarna lagrades i varje bil innan äldre inspelningar skrevs över. Vid särskilda händelser, som höga g-krafter eller andra riskfyllda beteenden, sparades korta filmklipp eller stillbilder i 90 dagar. Åtkomst till inspelningarna var strikt reglerad och skyddad genom flera säkerhetsåtgärder. Minneskorten var monterade i en enhet bakom ett fysiskt lås i bilen och åtkomst till den fulla inspelningssekvensen tilldelades endast tekniska installatörer. Filmklipp som sparades vid registrerade händelser överfördes krypterat till en server och lagrades även i krypterad form. Åtkomst till filmklippen var begränsad.

text: Syfte med kamerabevakningen

text: Syftet med kamerabevakningen var 1. att kunna återkoppla till registrerade om riskfyllda förarbeteenden och efterleva arbetsmiljökrav, 2. att minimera person- /fordonsskador samt 3. att utreda ansvars- och försäkringsfrågor kring olyckor.

text: Behandlingen skedde inte i syfte att detaljövervaka förarens dagliga generella arbetsutförande, utan avsåg just fordonens framförande och det övergripande syftet var kopplat till Securitas skadeförebyggande arbeten och bolagets ambition att förhindra och minska skador.

text: Rättslig grund

text: Securitas har uppgett följande bestämmelser om rättslig grund enligt dataskyddsförordningen till stöd för den aktuella kamerabevakningen.

text: Rättslig förpliktelse, artikel 6.1 c

text: Securitas har en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen som arbetsgivare och som företag avseende bolagets ansvar för anställdas arbetsmiljö. Det framgår av

text: 3 kap. 2 § arbetsmiljölagen (1977:1160)

text: som anger att arbetsgivaren ska vidta alla åtgärder som behövs för att förebygga att arbetstagaren utsätts för ohälsa och olycksfall och att undanröja risker samt beakta särskilda risker som kan följa av att arbetstagaren arbetar ensam, samt

text: 3 kap. 2 a § samma lag

text: där det framgår att arbetsgivaren systematiskt ska planera, leda och kontrollera verksamheten på ett sätt som leder till att arbetsmiljön uppfyller föreskrivna krav på en god arbetsmiljö. Det avser även reglerna i 11–12 §§ Arbetsmiljöverkets föreskrifter och allmänna råd (

text: AFS 2023:1

text: ) om systematiskt arbetsmiljöarbete gällande undersökning och riskbedömningar.

text: I ovan ingår att Securitas som arbetsgivare har ett brett ansvar sett till arbetstagarnas säkerhet, där lösningen som helhet utvärderades under pilotprojektet som ett led i att förebygga ohälsa och olycksfall samt att utreda sådana händelser och beakta risker. I det bör beaktas att arbetsmiljö med fordon i trafik är förknippat med höga risker särskilt inom ramen för Securitas verksamhet.

text: Berättigat intresse, artikel 6.1 f

text: Securitas har vidare uppgett att kamerabevakningen varit nödvändig för bolagets berättigade intresse enligt artikel 6.1 f i dataskyddsförordningen, dvs. att minimera skador och säkerställa god fordonsekonomi genom uppföljning kring försäkringsutredning och reparationskostnader. Behandlingen är också nödvändig för Securitas berättigade intresse att hantera incidentrapporter och utreda påstådda tjänstefel, missförhållanden, bristande efterlevnad av Securitas tillämpliga policyer samt att skydda sig mot tvister mot försäkringsbolag.

text: Securitas är ett stort publikt säkerhetsföretag inom en samhällsviktig sektor med ett särskilt förtroende och krav på säkerhet, tillförlitlighet och ansvarstagande. Bolaget agerar i särskilt riskutsatta miljöer med högre grad av stress än i många andra företag. De registrerade arbetar med utförande av uppdrag inom säkerhetsbranschen vilket motiverar högre krav på såväl behandling, säkerhetsrutiner, skademinimeringsinsatser och uppföljning. Behandlingen har varit rimlig, förutsebar, informerad och medfört tydliga fördelar även för de registrerade; bland annat genom direkt feedback om osäker körning och skapandet av en säkrare arbetsmiljö. Det har även funnits fördelar för allmänheten i form av minskning av antalet olyckor och skador med fordon, och för Securitas vad gäller minskning av skador och möjlighet att följa upp skador. Utan behandlingen är möjligheterna att upptäcka, varna och följa upp framförandet av fordon avsevärt begränsade vilket förhindrar uppfyllandet av ändamålen. Lämpliga säkerhetsåtgärder har därtill funnits på plats.

text: Behandlingen bedömdes som nödvändig då det utan tekniken inte var möjligt att ge tydlig och direkt feedback till förarna om osäkra körbeteenden och därmed kunna uppnå syftena, och inspelat material är avgörande underlag för att kunna utreda och följa upp händelser vid olyckor inklusive hantering av försäkringsärenden och försäkringstvister. Inspelningarna var begränsade genom att inte innefatta ljud och genererade filmklipp var förbestämda till ett fåtal fördefinierade händelser som bedömts relevanta. De sparade filmklippen lagrades även under kortare tid.

text: Securitas har under flera år innan den aktuella kamerabevakningen provat andra alternativa åtgärder men utan avsedd effekt. Det har bland annat inkluderat genomförandet av olika informationsinsatser i form av meddelande, filmer, skrivna regler m.m., med varierande men otillräckligt resultat. Flertalet alternativa lösningar hade prövats över en längre tid, inklusive sensorbaserade system, men bedömdes inte vara tillräckliga eller till fullo kunna uppfylla syftena. Behandlingen i fråga har skett inom ramen för ett begränsat pilotprojekt för att utvärdera effekten och visat sig utgöra en effektiv lösning sett utifrån ändamålen.

text: En avvägning gjordes mellan Securitas behov av bevakningen och de anställdas integritet. Vid avvägningen mot de registrerades intressen beaktades deras intresse av att inte bli bevakade under arbetstid. De huvudsakliga riskerna bedömdes vara brister i konfidentialitet och skadat anseende om filmklipp fick större spridning än avsett. Riskerna bedömdes dock inte som höga och riskminimerande åtgärder hade vidtagits för att minska risken för obehörigt röjande.

text: Det beaktades även att behandlingen varit transparent genom informationsgivning i flera led, inklusive i anslutning till bilen. Vidare beaktades att behandlingen syftade till att förbättra säkerheten, minska risken för person- och sakskador samt underlätta hanteringen av försäkringsärenden, vilket även kunde gynna de registrerade.

text: Bolaget bedömde att behandlingen var nödvändig för att uppnå syftena, särskilt eftersom alternativa åtgärder inte hade gett tillräcklig effekt. Pilotprojektet utformades därför för att utvärdera en mer riktad lösning, där förarna fick direkt feedback om sitt körbeteende.

text: Omfattningen av IMY:s prövning i ärendet

text: IMY har avgränsat prövningen i ärendet dels till frågan om Securitas haft rättslig grund enligt artikel 6.1 i dataskyddsförordningen för den kamerabevakning som skett invändigt i bolagets bilar, och dels frågan om säkerhetsnivån har varit lämplig vid förvaringen av personuppgifterna enligt artikel 32.1 i dataskyddsförordningen. IMY har däremot inte att granskat den bevakning som påstås ha skett utanför Securitas bilar eller om andra bestämmelser i dataskyddsförordningen varit uppfyllda.

text: Motivering av beslutet

text: Vilken lagstiftning gäller för aktuell kamerabevakning?

text: Kamerabevakning innebär typiskt sett att det sker en personuppgiftsbehandling. Om och i vilken utsträckning det är tillåtet att kamerabevaka regleras i dataskyddsförordningen och

text: kamerabevakningslagen (2018:1200)

text: . Mot bakgrund av tillsynens omfattning aktualiseras dock inga bestämmelser i

text: kamerabevakningslagen

text: i detta fall.

text: Dataskyddsförordningen ska enligt artikel 2.1 tillämpas på behandling av personuppgifter som helt eller delvis företas på automatisk väg. Av artikel 4.1 i dataskyddsförordningen framgår att varje upplysning som avser en identifierad eller identifierbar fysisk person är en personuppgift. Om en bevakningskamera filmar en identifierbar person, eller någon annan personuppgift, sker en behandling av personuppgifter och reglerna i dataskyddsförordningen måste följas.

text: IMY konstaterar att Securitas bevakningskameror filmat identifierbara personer och att dataskyddsförordningens bestämmelser därmed gäller avseende aktuell personuppgiftsbehandling.

text: IMY kommer inledningsvis ta ställning till om Securitas är personuppgiftsansvarig för den aktuella behandlingen av personuppgifter. IMY prövar därefter om Securitas har haft rättslig grund för behandlingen samt om bolaget haft tillräcklig säkerhet vid lagringen av de personuppgifter de har behandlat, på det sätt som krävs enligt dataskyddsförordningen.

text: Personuppgiftsansvar

text: Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.

text: Securitas har uppgett att bolaget är personuppgiftsansvarig för den personuppgiftsbehandling som tillsynen gäller. Av utredningen har framkommit att bolaget bestämt hur personuppgifterna ska behandlas och för vilka ändamål. IMY bedömer därför att Securitas är personuppgiftsansvarig för den aktuella behandlingen av personuppgifter.

text: Rättslig grund för behandlingen

text: För att den aktuella kamerabevakningen ska vara tillåten krävs att bestämmelserna i dataskyddsförordningen följs. I enlighet med principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen är det den personuppgiftsansvarige som ansvarar för och ska kunna visa att reglerna i dataskyddsförordningen följs, däribland att behandlingen är laglig. Det innebär bland annat att Securitas måste ha stöd för sin kamerabevakning i minst en av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen.

text: Har Securitas haft rättslig grund för sin kamerabevakning enligt artikel 6.1 c i dataskyddsförordningen?

text: Securitas har uppgett att en av de rättsliga grunder på vilken de stödjer sin kamerabevakning är rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen. Bolaget menar att det av bestämmelserna i

text: 3 kap.

text: 2 a §§

text: arbetsmiljölagen

text: samt 11– 12 §§ i

text: AFS 2023:1

text: framgår att det föreligger en sådan rättslig förpliktelse som avses i artikel 6.1 c i dataskyddsförordningen.

text: Tillämpliga bestämmelser m.m.

text: Av artikel 6.1 c i dataskyddsförordningen framgår att behandlingen ska vara nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

text: Av artikel 6.3 i dataskyddsförordningen framgår att den grund för behandlingen som avses i artikel 6.1 c ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

text: Enligt

text: 2 kap. 1 § dataskyddslagen (2018:218)

text: får personuppgifter behandlas med stöd av artikel 6.1 c i dataskyddsförordningen, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning.

text: En rättslig förpliktelse kan inte utgöra en rättslig grund för behandling av personuppgifter om förpliktelsen är för svepande och ger den personuppgiftsansvarige en alltför stor handlingsfrihet i fråga om hur den ska uppfyllas. Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig måste bedömas från fall till fall, utifrån behandlingens och verksamhetens karaktär. En behandling av personuppgifter som inte utgör någon egentlig kränkning av den personliga integriteten kan ske med stöd av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång kräver att den rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart.

text: I

text: 3 kap.

text: 2 a §§

text: arbetsmiljölagen

text: anges att arbetsgivaren ska vidta alla åtgärder som behövs för att förebygga att arbetstagaren utsätts för ohälsa och olycksfall och att undanröja risker samt beakta särskilda risker som kan följa av att arbetstagaren arbetar ensam. Det framgår vidare att arbetsgivaren systematiskt ska planera, leda och kontrollera verksamheten på ett sätt som leder till att arbetsmiljön uppfyller föreskrivna krav på en god arbetsmiljö inklusive att utreda arbetsskador, fortlöpande undersöka riskerna i verksamheten och vidta de åtgärder som föranleds av detta samt dokumentera arbetsmiljön och arbeta med denna.

text: Enligt 11–12 §§ i

text: AFS 2023:1

text: ska arbetsgivaren regelbundet undersöka arbetsmiljöförhållandena, för att bedöma risker för ohälsa och olycksfall i arbetet. När ändringar i verksamheten planeras, ska arbetsgivaren undersöka om ändringarna medför risker för ohälsa eller olycksfall och bedöma dessa. Riskbedömningar ska alltid dokumenteras skriftligt. Av dokumentationen ska det framgå vilka riskerna är, och om de är allvarliga. Om någon arbetstagare råkar ut för ohälsa eller olycksfall i arbetet, eller om något allvarligt tillbud inträffar i arbetet, ska arbetsgivaren utreda orsakerna så att risker för ohälsa och olycksfall kan förebyggas.

text: IMY:s bedömning

text: IMY konstaterar att den skyldighet enligt

text: 3 kap.

text: 2 a §§

text: arbetsmiljölagen

text: samt 11–12 §§ i

text: AFS 2023:1

text: som Securitas åberopat är fastställd på det sätt som anges i

text: 2 kap. 1 § dataskyddslagen

text: IMY bedömer att den aktuella behandlingen varit av integritetskänsligt slag. Detta eftersom den inneburit bevakning i realtid av anställda under den tid dessa kört sina arbetsbilar under perioden 2–18 december 2024 samt mellan 9 april–31 maj 2025, samt med inspelning mellan 2–16 december 2024. Bevakningen har omfattat anställda på deras arbetsplats där de måste befinna sig under sitt arbetspass. De registrerade har befunnit sig i en beroendeställning till sin arbetsgivare och har inte haft möjlighet att undvika bevakningen när de kört sina fordon. Detta innebär att högre krav ställs på den rättsliga förpliktelsens precisering.

text: IMY anser att bestämmelserna i

text: 3 kap.

text: 2 a §§

text: arbetsmiljölagen

text: samt 11–12 §§ i

text: AFS 2023:1

text: är allmänt hållna. IMY anser att bestämmelserna varken ensamt eller tillsammans är tillräckligt tydliga och precisa för att göra intrånget förutsägbart. De aktuella bestämmelserna kan därför inte ligga till grund för den integritetskänsliga personuppgiftsbehandling som är aktuell i detta fall.

text: Den aktuella behandlingen kan därmed inte stödjas på artikel 6.1 c i dataskyddsförordningen.

text: Har Securitas haft rättslig grund för sin kamerabevakning enligt artikel 6.1 f i dataskyddsförordningen?

text: Securitas har även uppgett att de stödjer sin personuppgiftsbehandling på den rättsliga grunden berättigat intresse i artikel 6.1 f i dataskyddsförordningen.

text: Tillämpliga bestämmelser m.m.

text: För att en behandling ska kunna stödjas på den rättsliga grunden berättigat intresse (även kallad intresseavvägning) i artikel 6.1 f i dataskyddsförordningen krävs att tre villkor är uppfyllda. För det första ska det finnas ett eller flera berättigade intressen för den personuppgiftsansvarige eller tredje part. För det andra ska personuppgiftsbehandlingen vara nödvändig för att tillgodose det berättigade intresset. För det tredje krävs att de registrerades intressen eller grundläggande fri- och rättigheter inte väger tyngre än den personuppgiftsansvariges eller tredje partens berättigade intresse (intresseavvägning).

text: Det berättigade intresset ska vara lagligt, vilket innebär att det inte får stå i strid med vare sig EU-rätt eller nationell rätt. Vidare ska intresset vara klart och tydligt formulerat och gälla ett faktiskt intresse som föreligger vid tidpunkten för behandlingen och inte är hypotetiskt. För att strävan efter att ett sådant berättigat intresse ska kunna möjliggöra en behandling av personuppgifter med stöd av artikel 6.1 f måste den personuppgiftsansvarige uppfylla alla andra skyldigheter enligt dataskyddsförordningen.

text: Av EU-domstolens praxis framgår att kravet på nödvändighet är uppfyllt om det berättigade intresset inte rimligtvis kan uppnås på ett lika effektivt sätt genom andra medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till respekt för privatlivet och rätten till skydd för personuppgifter enligt artiklarna

text: och

text: i Europeiska unionens stadga om de grundläggande rättigheterna. Det räcker inte att behandlingen är användbar för att uppfylla det berättigade intresset, EU-domstolen har också angett att behandlingen måste vara strängt nödvändig. Kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen. Det innebär att personuppgifterna som behandlas ska vara adekvata och relevanta och inte omfatta mer än vad som är

text: nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas.

text: Den intresseavvägning som krävs enligt det tredje villkoret ska göras mot bakgrund av de konkreta omständigheterna i det aktuella fallet. Den personuppgiftsansvarige ska vid avvägningen identifiera och beakta den registrerades intressen samt rättigheter och friheter, behandlingens påverkan på den registrerade och huruvida den registrerade rimligen kan förvänta sig behandling för det aktuella ändamålet. Vid bedömningen av behandlingens påverkan ska hänsyn tas till karaktären på uppgifterna som behandlas, om det rör sig om känsliga personuppgifter, behandlingens sammanhang och övriga konsekvenser. Utifrån dessa omständigheter ska en avvägning göras av motstående rättigheter och intressen, som ska inkludera möjligheten till ytterligare förmildrande åtgärder som går utöver vad den personuppgiftsansvarige är skyldig att göra för att följa reglerna i dataskyddsförordningen.

text: IMY:s bedömning

text: Berättigat intresse

text: Securitas har uppgett att de har haft följande berättigade intressen för den behandling de har utfört. Dels att säkerställa god fordonsekonomi genom uppföljning kring försäkringsutredning och reparationskostnader. Dels att hantera incidentrapporter och utreda påstådda tjänstefel, missförhållanden och bristande efterlevnad av Securitas tillämpliga policyer samt att skydda sig mot tvister mot försäkringsbolag.

text: IMY bedömer att bolagets intressen av behandlingen har varit lagenliga, verkliga och faktiska. IMY konstaterar därför att Securitas har haft ett berättigat intresse i den mening som avses i artikel 6.1 f i dataskyddsförordningen.

text: Nödvändighet och intresseavvägning

text: För att behandlingen ska vara laglig krävs det även att den är nödvändig för att tillgodose det berättigade intresset. Nödvändighetsrekvisitet ska prövas tillsammans med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen, enligt vilken personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

text: Bolaget har angett att de har prövat alternativa åtgärder men att dessa inte gett önskad effekt. Vidare har behandlingen genomförts inom ramen för ett begränsat pilotprojekt för att utvärdera effekten av åtgärden. Pilotprojektet har visat att åtgärden varit verkningsfull för att uppnå de angivna ändamålen. Enligt bolaget skulle möjligheterna att upptäcka, varna och följa upp framförandet av fordon varit avsevärt begränsade utan denna behandling.

text: Vad gäller det tredje villkoret ska vid intresseavvägningen bolagets berättigade intresse vägas mot de registrerades intressen och grundläggande rättigheter och friheter, framför allt rätten till respekt för privatlivet och rätten till skydd för personuppgifter i det aktuella fallet.

text: För att en personuppgiftsbehandling med stöd av berättigat intresse ska vara laglig krävs att den registrerades intressen eller grundläggande rättigheter och friheter inte väger tyngre än bolagets berättigade intresse. I arbetslivet, där arbetstagaren befinner sig i en beroendeställning gentemot arbetsgivaren, ställs därmed höga krav på att arbetsgivaren kan visa att behandlingen är proportionerlig och att arbetsgivarens intresse väger tyngre än arbetstagarnas intresse av skydd för sin personliga integritet.

text: Kamerabevakning av arbetsplatser kan medföra särskilda risker för de anställdas personliga integritet. Många anställda måste vistas regelbundet på platser som kamerabevakas av arbetsgivaren och kan samtidigt känna olust inför att invända mot kamerabevakningen eller påtala brister på grund av det särskilda beroendeförhållande som anställningsförhållandet innebär.

text: Som nämnts ovan har IMY konstaterat att den aktuella kamerabevakningen varit av integritetskänsligt slag. Detta eftersom den inneburit bevakning i realtid av anställda under hela den tid dessa kört sina arbetsbilar under perioden 2–18 december 2024 samt 9 april–31 maj 2025, dessutom bevakning med inspelning den 2–16 december 2024. Bevakningen som har utförts av bolaget har omfattat anställda på deras arbetsplats där de måste befinna sig under sitt arbetspass. Bevakningen har därmed skett kontinuerligt under arbetspasset och de anställda har i det aktuella fallet haft begränsade möjligheter att undvika behandlingen eftersom de behövt befinna sig i fordonet för att kunna utföra sina arbetsuppgifter. De har därmed inte haft någon reell möjlighet att välja bort bevakningen eller att undandra sig behandlingen under arbetstid. IMY bedömer att detta utgjort en systematisk bevakning av arbetstagare och att behandlingen är av integritetskänslig karaktär.

text: Vid bedömningen beaktar IMY att den aktuella bevakningen har inneburit att en kamera varit riktad mot den anställde och registrerat denne under hela tiden fordonet framförts. Bevakningen har skett i ett begränsat utrymme där den anställde under lång tid befunnit sig ensam framför kameran. Kamerans upptagningsområde har varit framsätet av bilen. Den anställde har därmed varit i fokus och bevakningen har avsett den anställdes beteende och agerande i tjänsten. Systemet som detekterade vissa händelser genom bildanalys varnade inte bara föraren utan vissa varningar förmedlades även till arbetsgivaren. Kontinuerlig registrering riskerar att skapa en känsla av ständig kontroll och kan påverka den personliga integriteten i betydande grad. Att kameran under en period även har spelat in den registrerade höjer integritetsintrånget.

text: IMY bedömer att den behandling som har skett har inneburit systematisk övervakning av anställda, som inte kunnat undkomma bevakningen, under stora delar av deras arbetsdag och därmed har varit av ett integritetskänsligt slag. Beroendeförhållandet mellan den anställde och arbetsgivaren gör att kraven skärps och att arbetsgivare måste vara restriktiva vid sådan behandling som skett i nu aktuellt fall.

text: IMY anser att utredningen ger visst stöd för att den aktuella behandlingen kan anses ha varit nödvändig för ändamålen. För detta talar särskilt att bolaget har vidtagit alternativa åtgärder men att dessa har bedömts vara otillräckliga. Även om behandlingen kan ha varit nödvändig för att uppnå de berättade intressena finner dock IMY vid en sammantagen bedömning att bolagets intressen inte väger tyngre än de anställdas rätt att inte bli föremål för sådan kontinuerlig kamerabevakning i arbetet. Det är därmed inte visat att det tredje villkoret i artikel 6.1. f i dataskyddsförordningen är

text: uppfyllt. Den aktuella behandlingen kan därmed inte stödjas på artikel 6.1 f i dataskyddsförordningen.

text: Mot bakgrund av att IMY inte anser att bevakningen har rättslig grund i dataskyddsförordningen finner IMY inte anledning att bedöma om bolaget har tillhandahållit den information till de registrerade som de är skyldiga att göra enligt artikel 13 i dataskyddsförordningen.

text: Har Securitas haft tillräcklig säkerhet för de personuppgifter de har behandlat?

text: Tillämpliga bestämmelser m.m.

text: I artikel 5.1 f i dataskyddsförordningen framgår att vid behandling av personuppgifter ska de behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet).

text: Av artikel 32.1 i dataskyddsförordningen framgår vidare att den personuppgiftsansvarige ska med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken.

text: IMY:s bedömning

text: Securitas har redogjort för hur hanteringen sett ut för det sparade bevakningsmaterialet från bilarna samt hur länge materialet har sparats. Detta inkluderar hanteringen av de minneskort där inspelat material sparats, samt tekniska och organisatoriska åtgärder, t.ex. vilka som har haft tillgång till bevakningsmaterialet.

text: IMY finner vid en sammantagen bedömning av vad som framkommit i ärendet att Securitas har vidtagit lämpliga tekniska och organisatoriska åtgärder enligt artikel 32.1 i dataskyddsförordningen för att säkerställa ett tillräckligt skydd för de personuppgifter de har behandlat i samband med lagringen av bevakningsmaterialet. IMY finner inget som tyder på att hanteringen av det lagrade materialet brutit mot de krav på lämplig säkerhet som finns i artikel 32.1 i dataskyddsförordningen.

text: Sammanfattande bedömning

text: Sammanfattningsvis bedömer IMY att Securitas inte har kunnat grunda den aktuella behandlingen av personuppgifter på varken artikel 6.1 c eller artikel 6.1 f i dataskyddsförordningen. Det har inte heller framkommit att bolaget haft stöd för behandlingen i någon av de andra rättsliga grunderna i artikel 6.1 i dataskyddsförordningen. Securitas har därmed behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen under tiden den 2 till 18 december 2024 och den 9 april till 31 maj 2025 i samband med användning av kameror inuti bolagets bilar.

text: IMY bedömer att Securitas har vidtagit lämpliga tekniska och organisatoriska åtgärder enligt artikel 32.1 i dataskyddsförordningen för att säkerställa ett tillräckligt skydd för de personuppgifter de har behandlat i samband med bevakningen.

text: Val av ingripande

text: Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83 i dataskyddsförordningen för överträdelser av artikel 6 i förordningen.

text: Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel reprimand, förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 istället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY har bedömt att Securitas har saknat rättslig grund för den behandling av personuppgifter som prövningen gäller. Vidare konstaterar IMY att den aktuella kamerabevakningen har skett inom ramen för ett begränsat pilotprojekt vad gäller antalet bilar som berörts av bevakningen och under en begränsad tidsperiod. Behandlingen har avslutats och det har inte framkommit att personuppgifterna använts för andra ändamål än de uppgivna. Det har inte heller framkommit några tidigare relevanta överträdelser från bolagets sida.

text: Överträdelsen avser samtidigt en integritetskänslig behandling i arbetslivet, vilket är en omständighet som talar i skärpande riktning. Lagstridig övervakning av anställda som sker upprepat eller annars på ett systematiskt sätt bör normalt motivera en kännbar sanktionsavgift. I detta fall rör det sig dock om ett pilotprojekt där behandlingen pågått under en begränsad tid. Vid en samlad bedömning anser IMY därför att det är fråga om en sådan mindre överträdelse som avses i skäl 148 i dataskyddsförordningen och att en reprimand är en tillräcklig och proportionerlig åtgärd för att markera överträdelsen och säkerställa efterlevnaden av dataskyddsförordningen.

text: Mot den bakgrunden bedömer IMY att Securitas ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för överträdelsen.

text: Detta beslut har fattats av enhetschefen Jenny Bård efter föredragning av juristen Anders Haag. Vid den slutliga handläggningen av ärendet har även juristen Sebastian Caicedo Gordh, avdelningsjuristen Sarah Bodlander och IT- och informationssäkerhetsspecialisten Andreas Majunie medverkat.

text: Jenny Bård

text: Kopia till

text: Dataskyddsombudet

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

text: Tillsynsskrivelse

text: IMY-2025-10429 Tillsyn enligt dataskyddsförordningen

text: – begäran om information

text: Tillsyn av kameraövervakning av anställda

text: Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen , GDPR. IMY har beslutat att granska er personuppgiftsbehandling och har därför inlett tillsyn.

text: Varför granskar IMY er verksamhet?

text: IMY har fått information om att ni i era rondbilar installerat kameror som filmar de anställda under deras arbetspass. Detta ska bland annat ha skett i Örebro, Skövde, Märsta och Helsingborg.

text: IMY har inlett tillsyn för att utreda bland annat om behandlingen har haft stöd i en rättslig grund enligt artikel 6 i dataskyddsförordningen, om information har lämnats till dem vars personuppgifter behandlas samt om säkerhetsnivån är lämplig vid förvaring av personuppgifterna. IMY avser att utreda den bevakning som påstås ske invändigt i era bilar. IMY kommer däremot inte att granska den bevakning som påstås ske utanför era bilar. Vi ber er därför att svara endast utifrån den eventuella bevakning som sker inne i era bilar och inte utifrån den eventuella bevakning som sker utvändigt från era bilar.

text: Våra frågor

text: Personuppgiftsansvar

text: 1. Vilket är ert organisationsnummer? 2. Är ni personuppgiftsansvarig för den aktuella personuppgiftsbehandlingen? Om ni anser att ni inte är personuppgiftsansvarig, ange vem den personuppgiftsansvariga är samt varför ni anser det.

text: Om ni anser att ni är personuppgiftsansvarig för den personuppgiftsbehandling som tillsynen avser, vänligen svara på följande frågor. Bevakningens omfattning 3. Har ni bedrivit eller bedriver ni för närvarande kamerabevakning i era arbetsbilar? Om ja, besvara även följande frågor.

text: 4. Bedriver ni bevakning i alla era arbetsbilar eller bara i vissa bilar? Om bevakning endast bedrivs i vissa arbetsbilar, beskriv i vilka kategorier av bilar som bevakning sker och varför. 5. Hur många anställda totalt omfattas av den aktuella bevakningen? 6. Beskriv var kamerorna är placerade i bilarna och vad i bilen som omfattas av kamerornas upptagningsområden. 7. Under vilka tider bedriver ni kamerabevakning i era arbetsbilar? 8. När började ni bedriva kamerabevakning i era arbetsbilar? 9. Kan ni titta på kamerabevakningen i realtid (livebevakning)? Om ja, på vilket sätt kan ni titta på realtidsbevakningen och vilka personer/funktioner har tillgång till den? 10. Avlyssnar eller spelar ni in ljud i bilarna? Om ja: a) Är det frågan om inspelning och/eller avlyssning av ljud? b) Ange syftet med ljudavlyssningen och/eller ljudinspelningen. c) Om ljud spelas in, hur länge lagras materialet och vem har tillgång till det? 11. Använder ni kamerasystemet för att registrera varningar gällande förarens beteende, så som - Om föraren röker? - Om föraren pratar i mobiltelefon? - Om föraren bromsar in hårt eller accelererar kraftigt? - Om kurvtagningen är hård? - Om föraren är ouppmärksam? - Några andra beteenden, och i så fall vilka? a) Beskriv vad som händer om och när systemet registrerar varningar om beteenden enligt ovan? b) Verifierar ni att registreringarna av beteendena stämmer överens med verkliga förhållanden? Hur och när gör ni dessa kontroller? c) Vilka åtgärder vidtar ni om det uppmärksammas att en registrering är felaktig?

text: Hanteringen av bevakningsmaterial

text: 12. Sparar eller har ni sparat inspelat filmmaterial från kameran? Om ni sparar material, beskriv hur länge ni sparar detta. 13. Hur ser hanteringen ut för minneskortens och dess data från det att minneskorten stoppas in i kameran och inspelning börjar och vad händer med minneskorten och dess data efter inspelning är klar?

text: Bevakningens syfte och stöd enligt dataskyddsförordningen

text: 14. Vilket eller vilka ändamål har ni med kamerabevakningen? 15. Vilken rättslig grund enligt GDPR stödjer ni er på för att använda kamerabevakning? Motivera varför den grunden är tillämplig avseende aktuell bevakning. 16. Har ni vidtagit några alternativa åtgärder för att uppnå syftet med bevakningen? Om ja, beskriv vilka åtgärder ni har vidtagit och när samt varför dessa inte har varit tillräckliga för att uppnå syftet. 17. Vilken information om bevakningen har ni givit till de anställda och när gavs den informationen?

text: Era svar

text: Svara skriftligt till IMY senast den 10 juli 2025.

text: Ange IMY-2025-10429 när ni svarar. Era svar kan skickas via e-post till . Tänk på att inte använda e-post om svaret innehåller känsliga personuppgifter eller uppgifter som omfattas av sekretess. Det går också att skicka era svar till: Integritetsskyddsmyndigheten, , . Ange om ni anser att några av uppgifterna i ert svar omfattas av sekretess, och i så fall vilka och vilken sekretessgrund.

text: Måste ni svara IMY?

text: Ja, IMY är tillsynsmyndighet enligt dataskyddsförordningen. Det innebär att ni ska lämna all information som vi behöver för att kunna fullgöra våra uppgifter som tillsynsmyndighet.

text: Vad händer sen?

text: När IMY är färdig med granskningen kommer ni att få ett beslut. Innan beslutet fattas kommer ni att få ta del av och möjlighet att yttra er över allt material som är av betydelse för ärendet. Beslut kan komma att fattas redan när vi har fått ert svar på tillsynsskrivelsen. Utifrån vad som framkommit i ärendet kan IMY i beslutet komma att konstatera brister i er tillämpning av de dataskyddsbestämmelser som är aktuella i ärendet. Vid brister kan IMY exempelvis utfärda en reprimand och/eller förelägga er att vidta vissa åtgärder. I vissa fall kan IMY påföra administrativa sanktionsavgifter enligt dataskyddsförordningen.

text: Om ni har frågor om ärendet kontakta: Anders Haag, telefon 08-515 154 32

text: Anders Haag, jurist IMY

text: Anders Haag

text: Kopia till:

text: Dataskyddsombudet: dpo@securitas.se

text: Information om IMY:s behandling av personuppgifter


text: Upplysning Checknode AB Box 17217 104 62 Stockholm

text: Europaparlamentets och rådets förordning (EU) 2016/79 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: Artikel 288 andra stycket i Fördraget om Europeiska unionens funktionssätt

text: . 3

text: Prop. 2021/22:59 s. 30

text: . 4 Se1 kap. 4 § första stycket 1 d och 5 § YGL. 5 Se EU-domstolens dom den 22 juni 2021, Latvijas Republikas Saeima,

text: , EU:C:2021:504, p. 102–121 och p. 126 och EU-domstolens dom den 7 mars 2024, Endemol Shine Finland Oy,

text: , EU:C:2024:216, p. 55 och p.58. 6

text: SOU 2024:75 s. 154

text: . 7 Se IMYRS 2024:1 s. 13 f. och jfr t.ex. Högsta domstolens beslut den 25 februari i mål nr Ä 3456–42 och 3169–24, p. 33–43 och 56–57, Kammarrätten i Stockholms dom den 13 mars 2024 i mål nr 6027–23, Hovrätten för Övre Norrlands beslut den 28 mars 2024, dnr 2024/91 och Umeå tingsrätts beslut den 20 mars 2024, dnr TUM 2024/173– 14.

text: Se artiklar 55–58 och 77 i dataskyddsförordningen. 9 IMYRS 2024:1 s. 17–21.

text: Artikel 58.1 i dataskyddsförordningen. 11

text: Artikel 58.2

text: och artikel 83–84 i dataskyddsförordningen.

sprak: sv

titel: Upplysning Checknode AB

nyckelord:
Dataskydd
Dina rättigheter

publisher: Integritetsskyddsmyndigheten

slug: upplysning-checknode-ab

title: Upplysning Checknode AB, upplysning.se

org: imy

sammanfattning: IMY granskar Upplysning Checknode AB som tillhandahåller söktjänsten upplysning.se. IMY har tagit emot ett stort antal klagomål mot söktjänsten från personer som har begärt att få sina uppgifter borttagna men där söktjänsten ändå fortsätter att publicera dem. IMY ska undersöka om söktjänsten agerar i strid med dataskyddsförordningen, GDPR, genom att inte radera personuppgifter när den som uppgifterna avser begär det.

text: IMY-2025-11698 Tillsyn enligt dataskyddsförordningen

type: stycke

text: – begäran om information

type: rubrik

text: Rätten till radering

text: Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen . IMY har beslutat att granska er personuppgiftsbehandling och har därför inlett ett tillsynsärende.

text: Varför granskar IMY er verksamhet?

text: IMY har mottagit en stor mängd klagomål mot Upplysning Checknode AB som tillhandahåller en söktjänst på webbplatsen www.upplysning.se.

text: Webbplatsen

text: IMY har tagit del av den information som finns att tillgå på webbplatsen www.upplysning.se. Där framgår bland annat följande.

text: Upplysning.se är en söktjänst där en användare kan söka, filtrera och hitta alla bolag och personer i Sverige. Det går bland annat att söka på namn, adress, telefonnummer och personnummer. För att hitta personer kan användaren kombinera sökningen genom att bland annat filtrera på ålder och kön.

text: En inloggad användare på Upplysning.se får mer info, utökad sökfunktion samt möjlighet att ta kreditupplysningar på privatpersoner. Att bli medlem är gratis och en användare väljer själv om hen vill fylla på sitt konto med krediter och köpa kreditupplysningar.

text: Upplysning.se har ca 100 000 besökare varje vecka.

text: Av Mediemyndighetens tillståndsregister framgår vidare att Upplysning Checknode AB har ett utgivningsbevis för webbplatsen.

text: Dataskyddsförordningens tillämplighet

text: Dataskyddsförordningen är till för att skydda enskilda individers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. De vars personuppgifter behandlas, de registrerade, har ett antal rättigheter enligt dataskyddsförordningen. Den registrerade har bland annat rätt till radering eller rätt att

text: bli bortglömd med stöd av artikel 17. Rätten innebär att den registrerade under vissa förutsättningar har rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade. Dataskyddsförordningen är bindande och direkt tillämplig i alla EU:s medlemsstater.

text: Medlemsstaterna ska enligt artikel 85 i dataskyddsförordningen genom lag förena rätten till integritet med yttrande- och informationsfriheten, exempelvis för behandling som sker för journalistiska ändamål. Enligt

text: 1 kap. 7 § första stycket lagen (2018:218)

text: med kompletterande bestämmelser till EU:s dataskyddsförordning (

text: dataskyddslagen

text: ) ska dataskyddsförordningen och

text: dataskyddslagen

text: inte tillämpas i den utsträckning det skulle strida mot

text: Tryckfrihetsförordningen

text: och

text: Yttrandefrihetsgrundlagen

text: (YGL).

text: Publiceringar på internet faller som huvudregel utanför tillämpningsområdet för YGL. Det innebär att dataskyddsförordningen normalt sett är tillämplig på sådan behandling. Den så kallade databasregeln i

text: 1 kap. 4 §

text: YGL ger dock under vissa förutsättningar grundlagsskydd för yttranden som sker genom tillhandahållanden till allmänheten ur databaser. Aktörer som tillhandahåller databaser kan få ett grundlagsskydd genom att ansöka om ett så kallat frivilligt utgivningsbevis hos Mediemyndigheten. Den svenska regleringen i

text: 1 kap. 7 § första stycket dataskyddslagen

text: innebär att det svenska grundlagsskyddet ska ha företräde framför dataskyddsförordningen för den som innehar ett utgivningsbevis. Grundlagsskyddet innebär bland annat att YGL:s ansvars- och sanktionssystem är tillämpligt (jfr

text: 1 kap. 14 §

text: YGL).

text: YGL saknar dock proportionalitetsbestämmelser som möjliggör en sammanvägning av motstående intressen, så som rätten till integritet och yttrande- och informationsfriheten. Enligt EU-domstolens praxis krävs att en sådan avvägning kan göras för att sammanjämka de aktuella rättigheterna.

text: Vidare ska merparten av dataskyddsförordningen enligt

text: 1 kap. 7 § andra stycket i dataskyddslagen

text: inte tillämpas vid behandling av personuppgifter för bland annat journalistiska ändamål. Undantaget i bestämmelsen avviker dock från formuleringen i 85.2 i dataskyddsförordningen som förutsätter en proportionalitetsbedömning där undantag endast ska fastställas om de är nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten.

text: På senare tid har ett antal svenska domstolsavgöranden meddelats i frågan, bland annat av Högsta domstolen. Domstolarna har kommit fram till att den svenska regleringen i

text: 1 kap. 7 § dataskyddslagen

text: , om den tolkas på det sätt som lagstiftaren får sägas ha avsett, inte kan tillämpas fullt ut på den publicering av personuppgifter som utförs av söktjänster med utgivningsbevis.

text: IMY är behörig att inleda tillsyn mot Upplysning Checknode AB

text: Den svenska regleringen om förhållandet mellan YGL och dataskyddsförordningen i

text: innebär ett undantag från

text: dataskyddsförordningens reglering om tillsynsmyndighetens behörighet, uppgifter och befogenheteroch från enskildas rättsmedel att ge in klagomål till tillsynsmyndigheten.8

text: IMY har i ett rättsligt ställningstagande bedömt att intresset av att publicera personuppgifter i söktjänster inte kan motivera ett kategoriskt undantag från tillsynsmyndighetens behörighet, uppgifter och befogenheter enligt dataskyddsförordningen.

text: Enligt artikel 57.1 a och 58.1 b i dataskyddsförordningen har tillsynsmyndigheten till uppgift att övervaka och verkställa tillämpningen av förordningen och att genomföra undersökningar i form av dataskyddstillsyn. IMY har mottagit ett stort antal klagomål mot Upplysning Checknode AB som rör rätten till radering enligt artikel 17 i dataskyddsförordningen. IMY anser att de registrerades rättigheter och intressen mest effektivt kan skyddas genom att inleda en generell tillsyn.

text: Mot denna bakgrund är IMY behörig att inleda egeninitierad tillsyn mot Upplysning Checknode AB som tillhandahåller webbplatsen www.upplysning.se.

text: Vad granskningen avser

text: IMY avser att utreda om och på vilket sätt Upplysning Checknode AB hanterar begäran om radering enligt artiklarna 17.1 c och 21 i dataskyddsförordningen.

text: Våra frågor

text: 1. Stämmer det att ert organisationsnummer är 556837–9142? 2. Stämmer det att ni är personuppgiftsansvarig för personuppgiftsbehandlingen på webbplatsen www.upplysning.se? Om nej, uppge vem som är det och varför ni anser det. Om ja, svara på nedanstående frågor. 3. Beskriv syftet med söktjänsten på webbplatsen www.upplysning.se. 4. Anser ni att er söktjänst utgör journalistisk verksamhet? Om ja, beskriv tydligt på vilket sätt. Förklara också på vilket sätt det journalistiska ändamålet är relaterat till personuppgiftsbehandlingen. Uppge även om ni har gjort en avvägning mellan journalistiska ändamål och de registrerades integritetsintresse och beskriv i så fall detaljerat hur denna har gjorts. 5. Av er webbplats framgår att privatpersoner och företag kan använda söktjänsten kostnadsfritt men behöver betala för vissa uppgifter. Beskriv uttömmande till vilka ni tillhandahåller söktjänsten och på vilket sätt. 6. Av er webbplats framgår att ni har ca 100 000 besökare varje vecka. Stämmer detta fortsatt? Hur är siffran fördelad mellan antal betalande användare och icke-betalande användare som använder sig av söktjänsten? 7. Av er webbplats framgår att användare kan hitta bland annat telefonnummer, adress och personnummer. Det framgår också att en användare kan filtrera på ålder och kön. Stämmer detta? Komplettera även så att IMY får en helhetsbild av samtliga personuppgifter som användarna av söktjänsten har tillgång till. Beskriv även om betalande användare (eller andra kategorier av användare) får tillgång till andra uppgifter än icke-betalande och i så fall hur dessa skiljer sig åt. 8. Hur många registrerade har lämnat in en begäran om radering till er med stöd av artikel 17 i dataskyddsförordningen? Gör en uppskattning om ni inte har någon exakt siffra.

text: 9. Gör ni en prövning av en begäran om radering enligt artikel 17 i dataskyddsförordningen som kommer in till er? Det vill säga, tar ni ställning till om det finns grund för radering enligt artikel 17.1 och i så fall om något undantag enligt artikel 17.3 är tillämpligt? a. Om inte, hur motiverar ni att inte behandla en begäran om radering? b. Om ja, raderar ni personuppgifter på begäran av den registrerade och hur motiverar ni raderingen? c. Om ja, kommer ni i vissa fall fram till att vissa personuppgifter inte ska raderas och hur motiverar ni detta i sådana fall? 10. Avser ni att genomföra några ändringar i er söktjänst? Om ja, beskriv ändringarna.

text: Era svar

text: Svara skriftligt till IMY senast den 9 juli 2025.

text: Ange IMY-2025-11698 när ni svarar. Era svar kan skickas via e-post till . Tänk på att inte använda e-post om svaret innehåller känsliga personuppgifter eller uppgifter som omfattas av sekretess. Det går också att skicka era svar till: Integritetsskyddsmyndigheten, , . Ange om ni anser att några av uppgifterna i ert svar omfattas av sekretess, och i så fall vilka och vilken sekretessgrund.

text: Om ni utöver svaren på våra frågor vill hänvisa till ytterligare information eller handlingar så ange detta och vad ni vill visa med dem men skicka inte in handlingar som går utöver det angivna syftet med tillsynen.

text: Måste ni svara IMY?

text: Vad händer sen?

text: När IMY är färdig med granskningen kommer ni att få ett beslut. Utifrån vad som framkommit i ärendet kan IMY i beslutet komma att konstatera brister i er tillämpning av de dataskyddsbestämmelser som är aktuella i ärendet. Vid brister kan IMY exempelvis utfärda en reprimand och/eller förelägga er att vidta vissa åtgärder. I vissa fall kan IMY påföra administrativa sanktionsavgifter enligt dataskyddsförordningen.

text: Om ni har frågor om ärendet kontakta: , 08-657 61 00.

type: avgorande


text: Nusvar AB Luntmakargatan 66 113 51 Stockhoim

text: Europaparlamentets och rådets förordning (EU) 2016/79 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: Artikel 288 andra stycket i Fördraget om Europeiska unionens funktionssätt

text: . 3

text: Prop. 2021/22:59 s. 30

text: . 4 Se1 kap. 4 § första stycket 1 d och 5 § YGL. 5 Se EU-domstolens dom den 22 juni 2021, Latvijas Republikas Saeima,

text: , EU:C:2021:504, p. 102–121 och p. 126 och EU-domstolens dom den 7 mars 2024, Endemol Shine Finland Oy,

text: , EU:C:2024:216, p. 55 och p.58. 6

text: SOU 2024:75 s. 154

text: . 7 Se IMYRS 2024:1 s. 13 f. och jfr t.ex. Högsta domstolens beslut den 25 februari i mål nr Ä 3456–42 och 3169–24, p. 33–43 och 56–57, Kammarrätten i Stockholms dom den 13 mars 2024 i mål nr 6027–23, Hovrätten för Övre Norrlands beslut den 28 mars 2024, dnr 2024/91 och Umeå tingsrätts beslut den 20 mars 2024, dnr TUM 2024/173– 14.

text: Se artiklar 55–58 och 77 i dataskyddsförordningen. 9 IMYRS 2024:1 s. 17–21.

text: Artikel 58.1 i dataskyddsförordningen. 11

text: Artikel 58.2

text: och artikel 83–84 i dataskyddsförordningen.

titel: Nusvar AB

title: Nusvar AB, mrkoll.se

sammanfattning: IMY granskar Nusvar AB som tillhandahåller söktjänsten mrkoll.se. IMY har tagit emot ett stort antal klagomål mot söktjänsten från personer som har begärt att få sina uppgifter borttagna men där söktjänsten ändå fortsätter att publicera dem. IMY undersöker om söktjänsten agerar i strid med dataskyddsförordningen, GDPR, genom att inte radera personuppgifter när den som uppgifterna avser begär det.

text: IMY-2025-11707 Tillsyn enligt dataskyddsförordningen

text: – begäran om information

text: Rätten till radering

text: Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen . IMY har beslutat att granska er personuppgiftsbehandling och har därför inlett ett tillsynsärende.

text: Varför granskar IMY er verksamhet?

text: IMY har mottagit en stor mängd klagomål mot Nusvar AB som tillhandahåller söktjänsten Mrkoll på webbplatsen www.mrkoll.se.

text: Webbplatsen

text: IMY har tagit del av den information som finns att tillgå på webbplatsen www.mrkoll.se. Där framgår bland annat följande.

text: Mrkoll är en av Sveriges mest kompletta personupplysningstjänster. Söktjänsten tillhandahåller information om privatpersoner, utvecklad för konsumenter. Totalt finns cirka 8,4 miljoner individer sökbara i tjänsten.

text: Det går att söka med hjälp av ett fullständigt namn, delar ur ett namn och/eller kombinera en gatu- eller postadress. En användare kan också söka med hjälp av ett personnummer. Det går att söka vem som är mest eftersökt i tjänsten i landet eller på kommunnivå. Det är också möjligt att söka vem som nyligen har flyttat till en kommun och var en person tidigare har varit folkbokförd.

text: Av Mediemyndighetens tillståndsregister framgår vidare att Nusvar AB har ett utgivningsbevis för Mrkoll.se.

text: Dataskyddsförordningens tillämplighet

text: Dataskyddsförordningen är till för att skydda enskilda individers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. De vars personuppgifter behandlas, de registrerade, har ett antal rättigheter enligt dataskyddsförordningen. Den registrerade har bland annat rätt till radering eller rätt att bli bortglömd med stöd av artikel 17. Rätten innebär att den registrerade under vissa förutsättningar har rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få

text: sina personuppgifter raderade. Dataskyddsförordningen är bindande och direkt tillämplig i alla EU:s medlemsstater.

text: Medlemsstaterna ska enligt artikel 85 i dataskyddsförordningen genom lag förena rätten till integritet med yttrande- och informationsfriheten, exempelvis för behandling som sker för journalistiska ändamål. Enligt

text: 1 kap. 7 § första stycket lagen (2018:218)

text: med kompletterande bestämmelser till EU:s dataskyddsförordning (

text: dataskyddslagen

text: ) ska dataskyddsförordningen och

text: dataskyddslagen

text: inte tillämpas i den utsträckning det skulle strida mot

text: Tryckfrihetsförordningen

text: och

text: Yttrandefrihetsgrundlagen

text: (YGL).

text: Publiceringar på internet faller som huvudregel utanför tillämpningsområdet för YGL. Det innebär att dataskyddsförordningen normalt sett är tillämplig på sådan behandling. Den så kallade databasregeln i

text: 1 kap. 4 §

text: YGL ger dock under vissa förutsättningar grundlagsskydd för yttranden som sker genom tillhandahållanden till allmänheten ur databaser. Aktörer som tillhandahåller databaser kan få ett grundlagsskydd genom att ansöka om ett så kallat frivilligt utgivningsbevis hos Mediemyndigheten. Den svenska regleringen i

text: 1 kap. 7 § första stycket dataskyddslagen

text: innebär att det svenska grundlagsskyddet ska ha företräde framför dataskyddsförordningen för den som innehar ett utgivningsbevis. Grundlagsskyddet innebär bland annat att YGL:s ansvars- och sanktionssystem är tillämpligt (jfr

text: 1 kap. 14 §

text: YGL).

text: YGL saknar dock proportionalitetsbestämmelser som möjliggör en sammanvägning av motstående intressen, så som rätten till integritet och yttrande- och informationsfriheten. Enligt EU-domstolens praxis krävs att en sådan avvägning kan göras för att sammanjämka de aktuella rättigheterna.

text: Vidare ska merparten av dataskyddsförordningen enligt

text: 1 kap. 7 § andra stycket i dataskyddslagen

text: inte tillämpas vid behandling av personuppgifter för bland annat journalistiska ändamål. Undantaget i bestämmelsen avviker dock från formuleringen i 85.2 i dataskyddsförordningen som förutsätter en proportionalitetsbedömning där undantag endast ska fastställas om de är nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten.

text: 1 kap. 7 § dataskyddslagen

text: IMY är behörig att inleda tillsyn mot Nusvar AB

text: innebär ett undantag från

text: Enligt artikel 57.1 a och 58.1 b i dataskyddsförordningen har tillsynsmyndigheten till uppgift att övervaka och verkställa tillämpningen av förordningen och att genomföra undersökningar i form av dataskyddstillsyn. IMY har mottagit ett stort antal klagomål mot Nusvar AB som rör rätten till radering enligt artikel 17 i dataskyddsförordningen. IMY anser att de registrerades rättigheter och intressen mest effektivt kan skyddas genom att inleda en generell tillsyn.

text: Mot denna bakgrund är IMY behörig att inleda egeninitierad tillsyn mot Nusvar AB som tillhandahåller webbplatsen www.mrkoll.se.

text: Vad granskningen avser

text: IMY avser att utreda om och på vilket sätt Nusvar AB hanterar begäran om radering enligt artiklarna 17.1 c och 21 i dataskyddsförordningen.

text: Våra frågor

text: 1. Stämmer det att ert organisationsnummer är 556991–1224? 2. Stämmer det att ni är personuppgiftsansvarig för personuppgiftsbehandlingen på webbplatsen www.mrkoll.se? Om nej, uppge vem som är det och varför ni anser det. Om ja, svara på nedanstående frågor. 3. Beskriv syftet med söktjänsten på webbplatsen www.mrkoll.se. 4. Anser ni att er söktjänst utgör journalistisk verksamhet? Om ja, beskriv tydligt på vilket sätt. Förklara också på vilket sätt det journalistiska ändamålet är relaterat till personuppgiftsbehandlingen i söktjänsten. Uppge även om ni har gjort en avvägning mellan journalistiska ändamål och de registrerades integritetsintresse och beskriv i så fall detaljerat hur denna har gjorts. 5. Beskriv uttömmande till vilka ni tillhandahåller söktjänsten och på vilket sätt (t.ex. allmänheten eller betalande kunder). 6. Hur många använder sig av söktjänsten på veckobasis? 7. Av er webbplats framgår att användare bland annat kan hitta telefonnummer, adress och personnummer. Stämmer detta? Komplettera även så att IMY får en helhetsbild av samtliga personuppgifter som användarna av söktjänsten har tillgång till. Beskriv även om betalande användare (eller andra kategorier av användare) får tillgång till andra uppgifter än icke-betalande och i så fall hur dessa skiljer sig åt. 8. Hur många registrerade har lämnat in en begäran om radering till er med stöd av artikel 17 i dataskyddsförordningen? Gör en uppskattning om ni inte har någon exakt siffra. 9. Gör ni en prövning av en begäran om radering med stöd av artikel 17 som kommer in till er, det vill säga tar ni ställning till om det finns grund för radering enligt artikel 17.1 och i så fall om något undantag enligt artikel 17.3 är tillämpligt?

text: a. Om inte, hur motiverar ni att inte behandla en begäran om radering? b. Om ja, raderar ni personuppgifter på begäran av den registrerade och hur motiverar ni raderingen? c. Om ja, kommer ni i vissa fall fram till att vissa personuppgifter inte ska raderas och hur motiverar ni detta i sådana fall? 10. Avser ni att genomföra några ändringar i er söktjänst? Om ja, beskriv ändringarna.

text: Era svar

text: Ange IMY-2025-11707 när ni svarar. Era svar kan skickas via e-post till . Tänk på att inte använda e-post om svaret innehåller känsliga personuppgifter eller uppgifter som omfattas av sekretess. Det går också att skicka era svar till: Integritetsskyddsmyndigheten, , . Ange om ni anser att några av uppgifterna i ert svar omfattas av sekretess, och i så fall vilka och vilken sekretessgrund.

text: Måste ni svara IMY?

text: Ja, IMY är tillsynsmyndighet enligt dataskyddsförordningen. Det innebär att ni ska lämna all information som vi behöver för att kunna fullgöra våra uppgifter som tillsynsmyndighet.

text: Vad händer sen?

text: Information om IMY:s behandling av personuppgifter


titel: Försäkringskassan

nyckelord:
Dataskydd
Dina rättigheter
Myndighet

slug: forsakringskassan

title: Försäkringskassan

sammanfattning: Integritetsskyddsmyndigheten (IMY) inledde i juni 2025 tillsyn mot Försäkringskassan för att utreda hur de behandlar personuppgifter i arbetet med riskbaserade urval för riktade kontroller mot enskilda inom ersättning för tillfällig föräldrapenning (vab-ersättning). Tillsynen gällde vidare om behandlingen är förenlig med dataskyddsförordningen och föreskrifter som kompletterar dataskyddsförordningen. Inom ramen för tillsynen har IMY begärt in information om den aktuella behandlingen, särskilt med avseende på hur ett eventuellt AI-system används i arbetet med urvalskontroller. I Försäkringskassans svar till IMY, som inkom den 5 september 2025, uppgavs att Försäkringskassan har använt en maskininlärningsbaserad riskprofil inom ramen för det aktuella arbetet men att denna togs ur bruk en dryg månad före tidpunkten för Försäkringskassans svar. Försäkringskassan har vidare uppgett att myndigheten för närvarande inte har några planer på att ta den tidigare riskprofilen i bruk igen inom den ovan nämnda handläggningen. IMY bedömer mot denna bakgrund att det inte finns skäl att vidta ytterligare utredning i ärendet och ärendet avskrivs.

text: IMY-2025-11828 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Försäkringskassan

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten (IMY) skriver av ärendet.

text: Redogörelse för tillsynsärendet

text: IMY inledde i juni 2025 tillsyn mot Försäkringskassan i syfte att utreda hur myndigheten behandlar personuppgifter inom ramen för myndighetens arbete med riskbaserade urval för riktade kontroller mot enskilda inom ersättning för tillfällig föräldrapenning samt om behandlingen är förenlig med dataskyddsförordningen och föreskrifter som kompletterar dataskyddsförordningen. Inom ramen för tillsynen har IMY begärt in information om den aktuella behandlingen, särskilt med avseende på hur ett eventuellt AI-system används i arbetet med urvalskontroller.

text: Motivering av beslutet

text: IMY konstaterar att Försäkringskassan använt sig av en maskininlärningsbaserad riskprofil inom ramen för den aktuella handläggningen men att denna tagits ur bruk. Den behandling som IMY haft för avsikt att granska har därmed upphört. Det har vidare framkommit att Försäkringskassan för närvarande inte har några planer på att ta den aktuella riskprofilen i bruk igen. IMY bedömer mot denna bakgrund att det inte

text: finns skäl att vidta ytterligare utredning i ärendet. Ärendet ska därför skrivas av.

text: Detta beslut har fattats av avdelningsjuristen Andreas Persson efter föredragning av juristen Måns Lysén. Vid den slutliga handläggningen av ärendet har även it- och informationssäkerhetsspecialisten Mats Juhlén medverkat.

text: Andreas Persson

text: Kopia till: Dataskyddsombudet

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Miljödata i Karlskrona AB Ronnebygatan 46 371 14 Karlskrona

text: Europaparlamentets och rådets förordning (EU) 2016/79 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: Den som är utsatt för hot kan i vissa fall få skyddade personuppgifter av Skatteverket. Det innebär till exempel att en persons namn och adress kan skyddas i folkbokföringsregistret.

text: Artikel 58.1 i dataskyddsförordningen.

text: Artikel 58.2

text: och artikel 83-84 i dataskyddsförordningen.

nyckelord:
Dataskydd
Informationssäkerhet
Arbetsliv
Dina rättigheter

slug: miljodata-i-karlskrona-ab

title: Miljödata i Karlskrona AB

sammanfattning: IMY har beslutat att granska om Miljödata har vidtagit lämpliga tekniska och organisatoriska åtgärder enligt dataskyddsförordningen, GDPR. Granskningen gäller åtgärder för att säkerställa en lämplig säkerhetsnivå i förhållande till riskerna med den behandling av personuppgifter som skett inom ramen för tjänsterna.

text: IMY-2025-21177 Tillsyn enligt dataskyddsförordningen

text: – begäran om information

text: Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen , GDPR. IMY har beslutat att granska er personuppgiftsbehandling och har därför inlett tillsyn.

text: Varför granskar IMY er verksamhet?

text: IMY har mottagit en anmälan om en personuppgiftsincident den 26 augusti 2025. Av anmälan framgår bland annat att ni har blivit utsatta för ett dataintrång och att data, däribland personuppgifter, kan ha extraherats.

text: Enligt uppgifter på er webbplats tillhandahåller ni digitala tjänster för HR, rehabilitering och arbetsmiljöhantering i form av webbaserade system för hantering av sjukfrånvaro och rehabprocess, arbetstillbud, systematiskt arbetsmiljöarbete och personalanteckningar (tjänsterna) åt kommuner, regioner, bolag och andra organisationer.

text: Av information på er webbplats som publicerats den 14 september framgår att en extrahering av uppgifter har skett och att uppgifterna har publicerats online av hotaktören.

text: IMY har vidare mottagit över 500 personuppgiftsincidentanmälningar från olika aktörer som uppger att ni är personuppgiftsbiträde för deras personuppgiftsbehandling samt ett 70-tal klagomål från registrerade som har drabbats av personuppgiftsincidenten.

text: Mot denna bakgrund har IMY beslutat att granska om Miljödata i Karlskrona AB (org.nr 556324-4036) har vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå i förhållande till riskerna med den behandling av personuppgifter som skett inom ramen för tjänsterna (artikel 32 i dataskyddsförordningen).

text: Våra frågor

text: Personuppgiftsansvar

text: 1. Redogör för och motivera huruvida ni är personuppgiftsansvarig eller personuppgiftsbiträde för respektive personuppgiftsbehandling som sker inom ramen för tjänsterna ni tillhandahåller.

text: 2. Om ni bedömer att ni är personuppgiftsbiträde, har ni i sådant fall ingått ett personuppgiftsbiträdesavtal med de personuppgiftsansvariga? Bifoga i sådant fall ett exempel på dessa och specificera om avtalen sett likadana ut för varje kund. Om avtalet sett olika ut för respektive tjänst, bifoga ett exempel för varje tjänst.

text: 3. Om ni bedömer att ni är personuppgiftsansvariga för någon behandling, beskriv i sådant fall för vilken behandling och varför ni bedömer att ni är personuppgiftsansvariga.

text: Personuppgifter

text: 4. Ange vilka typer av personuppgifter som har omfattats av personuppgiftsincidenten. Ange särskilt om känsliga personuppgifter (se artikel 9.1 i dataskyddsförordningen) såsom uppgift om hälsa har omfattats av incidenten. Ange också om till exempel barns personuppgifter eller andra skyddsvärda uppgifter som exempelvis skyddade personuppgifter har omfattats av incidenten.

text: 5. Ange hur många kunder som använder sig av tjänsterna. Om möjligt ange hur många fysiska personer som finns registrerade i tjänsterna.

text: 6. Ange hur många fysiska personer respektive personuppgifter som berörs av personuppgiftsincidenten.

text: Säkerhet

text: 7. Redogör i detalj för det som inträffat i förhållande till tjänsterna.

text: 8. Redogör i detalj för hur ni hanterat incidenten, inbegripet tekniska och organisatoriska säkerhetsåtgärder.

text: 9. Redogör för hur ni bedömt riskerna med behandlingen av personuppgifter inom ramen för tjänsterna innan personuppgiftsincidentens inträffande, i synnerhet utifrån punkt 7.

text: 10. Redogör för vilka åtgärder ni har vidtagit för att uppnå en lämplig säkerhetsnivå i förhållande till de risker som identifierats. Beskriv särskilt hur känsliga personuppgifter och skyddsvärda personuppgifter i form av barns personuppgifter och skyddade personuppgifter har hanterats.

text: 11. Redogör för hur ansvaret är reglerat för att bedöma och vidta lämpliga säkerhetsåtgärder mellan den som är personuppgiftsansvarig och personuppgiftsbiträde för behandlingen i tjänsterna.

text: Begrepp

text: Personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter (artikel 4.7 i dataskyddsförordningen).

text: Personuppgiftsbiträde är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning (artikel 4.8 i dataskyddsförordningen).

text: Personuppgifter är enligt artikel 4.1 i dataskyddsförordningen varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online-identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

text: Personuppgiftsincident är en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats (artikel 4.12 i dataskyddsförordningen).

text: Säkerhet för personuppgifter är reglerat i artikel 32 i dataskyddsförordningen. Av artikeln framgår bl.a. att den personuppgiftsansvariga ska mot bakgrund av behandlingens art, omfattning, sammanhang, ändamål samt riskerna för fysiska personers rättigheter och friheter vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå.

text: Era svar

text: Svara skriftligt till IMY senast den 24 november 2025.

text: Ange om ni anser att några av uppgifterna i ert svar omfattas av sekretess. Ange i så fall vilka uppgifter ni anser omfattas av sekretess och vilken sekretessgrund ni anser är tillämplig.

text: Ange IMY-2025-21177 när ni svarar. Era svar kan skickas via e-post till . Tänk på att inte använda e-post om svaret innehåller känsliga personuppgifter eller uppgifter som omfattas av sekretess. Det går också att skicka era svar till: Integritetsskyddsmyndigheten, , .

text: Måste ni svara IMY?

text: Vad händer sen?

text: När IMY är färdig med granskningen kommer ni att få ett beslut. Innan beslutet fattas kommer ni att få ta del av och möjlighet att yttra er över allt material som är av betydelse för ärendet. Beslut kan komma att fattas redan när vi har fått ert svar på tillsynsskrivelsen. Utifrån vad som framkommit i ärendet kan IMY i beslutet komma att konstatera brister i er tillämpning av de dataskyddsbestämmelser som är aktuella i ärendet. Vid brister kan IMY exempelvis utfärda en reprimand och/eller förelägga er att vidta vissa åtgärder. I vissa fall kan IMY påföra administrativa sanktionsavgifter enligt dataskyddsförordningen.

text: Om ni har frågor om ärendet kontakta: mans.lysen@imy.se,telefon 08-657 61 00

text: Måns Lysén, IMY

text: Kopia till:

text: Dataskyddsombudet


text: Göteborgs Stad

text: Europaparlamentets och rådets förordning (EU) 2016/79 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: Den som är utsatt för hot kan i vissa fall få skyddade personuppgifter av Skatteverket. Det innebär till exempel att en persons namn och adress kan skyddas i folkbokföringsregistret. 3 Artikel 58.1 i dataskyddsförordningen.

text: Artikel 58.2

text: och artikel 83-84 i dataskyddsförordningen.

slug: goteborgs-stad

title: Göteborgs stad

sammanfattning: IMY har beslutat att granska om Göteborgs stad har vidtagit lämpliga tekniska och organisatoriska åtgärder enligt dataskyddsförordningen, GDPR. Granskningen avser åtgärder för att säkerställa en lämplig säkerhetsnivå i förhållande till riskerna med den behandling av personuppgifter som skett i Miljödatas system.

text: IMY-2025-21178 Tillsyn enligt dataskyddsförordningen

text: - begäran om information

text: Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen , GDPR. IMY har beslutat att granska er personuppgiftsbehandling och har därför inlett ett tillsynsärende.

text: Varför granskar IMY er verksamhet?

text: I augusti 2025 utsattes systemleverantören Miljödata i Karlskrona Aktiebolag (Miljödata) för ett it-angrepp. Angriparen har enligt rapportering i media haft tillgång till Miljödatas IT-miljö och en stor mängd personuppgifter har varit åtkomliga för angriparen. Personuppgifter har efter angreppet publicerats på Darknet. I stor utsträckning är det anställdas och före detta anställdas personuppgifter som har läckt. Av medierapporteringen framgår även att barns personuppgifter och personuppgifter tillhörande personer med skyddad identitet har behandlats i Miljödatas system och läckt efter angreppet.

text: IMY har efter it-angreppet mot Miljödata mottagit en anmälan om en personuppgiftsincident från er den 26 augusti 2025. Av er anmälan framgår bland annat att personuppgifter som införts i Miljödatas system tillhörande anställda eller tidigare anställda hos Göteborgs Stad, eventuellt även personer med skyddade uppgifter, har omfattats av personuppgiftsincidenten. Enligt er anmälan är ett stort antal personer drabbade.

text: Utöver er anmälan har IMY tagit emot ett 20-tal anmälningar om personuppgiftsincidenter samt ett 20-tal klagomål som är kopplade till Göteborgs Stad.

text: Mot denna bakgrund har IMY beslutat att granska om Göteborgs stad (org.nr 212000- 1355) har vidtagit lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i dataskyddsförordningen för att säkerställa en lämplig säkerhetsnivå i förhållande till riskerna med den behandling av personuppgifter som skett i Miljödatas system.

text: Våra frågor

text: Personuppgiftsansvar

text: 1. Är ni personuppgiftsansvarig för den personuppgiftsbehandling som skett i Miljödatas system avseende personuppgifter tillhörande anställda eller tidigare anställda hos Göteborgs kommun? Om nej vem/vilka är personuppgiftsansvarig inom kommunen för behandlingen? Lista ev. förvaltningar som är personuppgiftsansvariga efter storleksordning (utifrån antal registrerade vars personuppgifter har behandlats).

text: 2. Har ni anlitat Miljödata som personuppgiftsbiträde? När anlitade ni Miljödata? Bifoga personuppgiftsbiträdesavtalet till ert svar till IMY.

text: 3. Redogör för hur ansvaret är reglerat för att bedöma och vidta lämpliga säkerhetsåtgärder mellan den som är personuppgiftsansvarig och personuppgiftsbiträde för behandlingen i Miljödatas system.

text: Personuppgifter

text: 4. Hur omfattande är er behandling av personuppgifter i Miljödatas system? Beskriv antal registrerade och hur länge personuppgifterna behandlas i systemet.

text: 5. Vilka slags personuppgifter har ni behandlat i Miljödatas system?

text: 6. Har ni behandlat skyddade personuppgifter i Miljödatas system?

text: 7. Har ni behandlat barns personuppgifter i Miljödatas system?

text: Era svar

text: Ange IMY-2025-21178 när ni svarar. Era svar kan skickas via e-post till . Tänk på att inte använda e-post om svaret innehåller känsliga personuppgifter eller uppgifter som omfattas av sekretess. Det går också att skicka era svar till: Integritetsskyddsmyndigheten, , .

text: Ange om ni anser att några av uppgifterna i ert svar omfattas av sekretess, och i så fall vilka och vilken sekretessgrund.

text: Måste ni svara Integritetsskyddsmyndigheten?

text: Ja, IMY är tillsynsmyndighet enligt dataskyddsförordningen, GDPR. Det innebär att vi får begära att ni lämnar all information som vi behöver för att kunna fullgöra våra uppgifter som tillsynsmyndighet.

text: Vad händer sen?

text: När IMY är färdig med granskningen kommer ni att få ett beslut. Innan beslutet fattas kommer ni att få ta del av och möjlighet att yttra er över allt material som är av betydelse för ärendet. Utifrån vad som framkommit i ärendet kan IMY i beslutet komma att konstatera brister i er tillämpning av de dataskyddsbestämmelser som är aktuella i ärendet. Vid brister kan IMY exempelvis utfärda en reprimand och/eller förelägga er att vidta vissa åtgärder. I vissa fall kan IMY påföra administrativa sanktionsavgifter enligt dataskyddsförordningen.

text: Om ni har frågor om ärendet kontakta: Måns Lysén, Jurist, IMY

text: mans.lysen@imy.se (eller telefon 08-657 61 00)

text: Kopia till:

text: Dataskyddsombudet

text: Information om IMY:s behandling av personuppgifter:


text: Region Västmanland

text: Europaparlamentets och rådets förordning (EU) 2016/79 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: . 08-657 61 00

text: Den som är utsatt för hot kan i vissa fall få skyddade personuppgifter av Skatteverket. Det innebär till exempel att en persons namn och adress kan skyddas i folkbokföringsregistret. 3 Artikel 58.1 i dataskyddsförordningen.

text: Artikel 58.2

text: och artikel 83-84 i dataskyddsförordningen.

slug: region-vastmanland

title: Region Västmanland

sammanfattning: IMY har beslutat att granska om Region Västmanland har vidtagit lämpliga tekniska och organisatoriska åtgärder enligt dataskyddsförordningen, GDPR. Granskningen avser åtgärder för att säkerställa en lämplig säkerhetsnivå i förhållande till riskerna med den behandling av personuppgifter som skett i Miljödatas system.

text: IMY-2025-21179 Tillsyn enligt dataskyddsförordningen

text: - begäran om information

text: Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen , GDPR. IMY har beslutat att granska er personuppgiftsbehandling och har därför inlett ett tillsynsärende.

text: Varför granskar IMY er verksamhet?

text: I augusti 2025 utsattes systemleverantören Miljödata i Karlskrona Aktiebolag (Miljödata) för ett it-angrepp. Angriparen har enligt rapportering i media haft tillgång till Miljödatas it-miljö och en stor mängd personuppgifter har varit åtkomliga för angriparen. Personuppgifter har efter angreppet publicerats på Darknet. I stor utsträckning är det anställdas och före detta anställdas personuppgifter som har läckt. Av medierapporteringen framgår även att barns personuppgifter och personuppgifter tillhörande personer med skyddad identitet har behandlats i Miljödatas system och läckt efter angreppet.

text: IMY har efter it-angreppet mot Miljödata mottagit en anmälan om en personuppgiftsincident från er den 28 augusti 2025. Av er anmälan framgår bland annat att personuppgifter som införts i Miljödatas system tillhörande anställda eller tidigare anställda hos Region Västmanland, eventuellt även personer med skyddade uppgifter, har omfattats av personuppgiftsincidenten.

text: Mot denna bakgrund har IMY beslutat att granska om Region Västmanland (org.nr 232100-0172) har vidtagit lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i dataskyddsförordningen för att säkerställa en lämplig säkerhetsnivå i förhållande till riskerna med den behandling av personuppgifter som skett i Miljödatas system.

text: Våra frågor

text: Personuppgiftsansvar

text: 1. Är ni personuppgiftsansvarig för den personuppgiftsbehandling som skett i Miljödatas system avseende personuppgifter tillhörande anställda eller tidigare anställda hos Region Västmanland? Om nej vem/vilka är personuppgiftsansvariga inom regionen för behandlingen? Lista ev.

text: förvaltningar som är personuppgiftsansvariga efter storleksordning (utifrån antal registrerade vars personuppgifter har behandlats).

text: Personuppgifter

text: Era svar

text: Svara skriftligt till IMY senast den 24 november 2025.

text: Ange IMY-2025-21179 när ni svarar. Era svar kan skickas via e-post till . Tänk på att inte använda e-post om svaret innehåller känsliga personuppgifter eller uppgifter som omfattas av sekretess. Det går också att skicka era svar till: Integritetsskyddsmyndigheten, , .

text: Vad händer sen?

text: När IMY är färdig med granskningen kommer ni att få ett beslut. Innan beslutet fattas kommer ni att få ta del av och möjlighet att yttra er över allt material som är av betydelse för ärendet. Utifrån vad som framkommit i ärendet kan IMY i beslutet komma att konstatera brister i er tillämpning av de dataskyddsbestämmelser som är aktuella i ärendet. Vid brister kan IMY exempelvis utfärda en reprimand och/eller förelägga er att

text: vidta vissa åtgärder. I vissa fall kan IMY påföra administrativa sanktionsavgifter enligt dataskyddsförordningen. Om ni har frågor om ärendet kontakta:

text: Erika Palmheden

text: Jurist, IMY erika.palmheden@imy.se (eller telefon 08-657 61 00)

text: Kopia till:

text: Dataskyddsombudet


text: Älmhults kommun

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: Artikel 58.2

slug: almhults-kommun

title: Älmhults kommun

sammanfattning: IMY har beslutat att granska om Älmhults kommun har vidtagit lämpliga tekniska och organisatoriska åtgärder enligt dataskyddsförordningen, GDPR. Granskningen avser åtgärder för att säkerställa en lämplig säkerhetsnivå i förhållande till riskerna med den behandling av personuppgifter som skett i Miljödatas system.

text: IMY-2025-21180 Tillsyn enligt dataskyddsförordningen

text: - begäran om information

text: Varför granskar IMY er verksamhet?

text: IMY har efter it-angreppet mot Miljödata mottagit en anmälan om en personuppgiftsincident från er den 27 augusti 2025. Av er anmälan framgår bland annat att personuppgifter som införts i Miljödatas system tillhörande barn, anställda eller tidigare anställda hos Älmhults kommun har omfattats av personuppgiftsincidenten.

text: Mot denna bakgrund har IMY beslutat att granska om Älmhults kommun (org.nr 212000-0647) har vidtagit lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i dataskyddsförordningen för att säkerställa en lämplig säkerhetsnivå i förhållande till riskerna med den behandling av personuppgifter som skett i Miljödatas system.

text: Våra frågor

text: Personuppgiftsansvar

text: 1. Är ni personuppgiftsansvarig för den personuppgiftsbehandling som skett i Miljödatas system avseende personuppgifter tillhörande barn, anställda eller tidigare anställda hos Älmhults kommun? Om nej vem/vilka är personuppgiftsansvarig inom kommunen för behandlingen? Lista ev.

text: 2. Har ni anlitat Miljödata som personuppgiftsbiträde? När anlitade ni Miljödata? Bifoga personuppgiftsbiträdesavtalet till ert svar till IMY.

text: 3. Redogör för hur ansvaret är reglerat för att bedöma och vidta lämpliga säkerhetsåtgärder mellan den som är personuppgiftsansvarig och personuppgiftsbiträde för behandlingen i Miljödatas system.

text: Personuppgifter

text: 4. Hur omfattande är er behandling av personuppgifter i Miljödatas system? Beskriv antal registrerade och hur länge personuppgifterna behandlas i systemet.

text: 5. Vilka slags personuppgifter har ni behandlat i Miljödatas system?

text: 6. Har ni behandlat skyddade personuppgifter i Miljödatas system?

text: 7. Har ni behandlat barns personuppgifter i Miljödatas system?

text: Era svar

text: Ange IMY-2025-21180 när ni svarar. Era svar kan skickas via e-post till . Tänk på att inte använda e-post om svaret innehåller känsliga personuppgifter eller uppgifter som omfattas av sekretess. Det går också att skicka era svar till: Integritetsskyddsmyndigheten, , .

text: Ange om ni anser att några av uppgifterna i ert svar omfattas av sekretess, och i så fall vilka och vilken sekretessgrund.

text: Måste ni svara Integritetsskyddsmyndigheten?

text: Ja, IMY är tillsynsmyndighet enligt dataskyddsförordningen, GDPR. Det innebär att vi får begära att ni lämnar all information som vi behöver för att kunna fullgöra våra uppgifter som tillsynsmyndighet.

text: Vad händer sen?

text: Erika Palmheden

text: Kopia till:

text: Dataskyddsombudet

text: Information om IMY:s behandling av personuppgifter: