text: Hälso- och sjukvårdsnämnden i Region Dalarna

text: HSN 2022/1069

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 Lagen (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning. 08-657 61 00

text: Se Öhman, Dataskyddsförordningen (GDPR) m.m. (13 oktober 2022, version 2A, JUNO), kommentaren till

text: artikel 2.1

text: underrubriken Automatiserad behandling.

text: Se JK-beslut 2020-05-18, dnr 3850-19-4.3.2.

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. 6 Se EDPB:s

text: riktlinjer 03/2020

text: om behandling av uppgifter om hälsa för vetenskapliga forskningsändamål i samband med covid-19-utbrottet, s. 5.

text: Se skäl 38 till dataskyddsförordningen.

identifier: IMY dnr IMY-2022-695

nyckelord:
Dataskydd
Dina rättigheter
Hälso- och sjukvård

amne: Överföring av integritetskänsliga personuppgifter till Meta

korrigerandeAtgard: Sanktionsavgift på 200 000 kronor

lagakraft: Ja

lagrum: Artikel 32.1 dataskyddsförordningen, GDPR

nyckelord: Tekniska och organisatoriska säkerhetsåtgärder, Patient, Sekretess, Sjukvård

overklagan: Ja

rubrik: Känsliga personuppgifter synliga i fönsterkuvert

sammanfattning: Hälso- och sjukvårdsnämnden i Region Dalarna (nämnden) har under drygt ett år använt sig av en tjänst för utskick av fysiska brev som inneburit att vissa kallelser till vårdbesök har skickats ut i fönsterkuvert där uppgifter varit fullt synliga för obehöriga, exempelvis postpersonal. IMY bedömde att uppgifter i kallelserna gällande vissa vårdinrättningar utgör uppgifter om hälsa och att känsliga personuppgifter därmed obehörigen har röjts. Nämnden har enligt IMY – i strid med art 32.1 i dataskyddsförordningen – inte vidtagit tillräckliga säkerhetsåtgärder. Läs tillsynsbeslutet

sanktionsavgift: 200 000 kronor

slug: region-dalarna

title: Hälso- och sjukvårdsnämnden i Region Dalarna

sammanfattning: IMY har utfärdat en administrativ sanktionsavgift på 200 000 kronor mot regionen för överträdelse av dataskyddsförordningen. Region Dalarna överklagade beslutet till Förvaltningsrätten i Stockholm som avslog överklagandet. Region Dalarna överklagade domen till Kammarrätten i Stockholm som avslog överklagandet genom dom den 12 mars 2024 i mål nr 5794-23.

text: IMY-2022-695 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Hälso- och sjukvårdsnämnden i Region Dalarna

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten (IMY) konstaterar att Hälso- och sjukvårdsnämnden i Region Dalarna (nämnden) från den 6 maj 2021 till och med den 6 juli 2022 har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen , genom att inte vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig skyddsnivå i samband med utskick av fysiska kallelser till vissa vårdbesök inom Region Dalarna.

text: IMY beslutar med stöd av

text: 6 kap. 2 § dataskyddslagen

text: och artiklarna 58.2 och 83 i dataskyddsförordningen att nämnden ska betala en administrativ sanktionsavgift på 200 000 (tvåhundratusen) kronor.

text: Redogörelse för tillsynsärendet

text: IMY har inlett tillsyn mot nämnden med anledning av information som framkommit i ett klagomål från en person som den 6 maj 2021 mottog en kallelse via brev till vårdbesök inom Region Dalarna. Av klagomålet framgår att kallelsen låg i ett fönsterkuvert och att uppgifter om att det var en kallelse, klagandens namn och adress samt den vårdinrättning kallelsen avsåg var fullt synliga i kuvertets fönster. Syftet med IMY:s tillsyn är att utreda om nämndens behandling av personuppgifter i samband med användning av den aktuella typen av fönsterkuvert vid kallelser till vårdbesök uppfyller kraven på säkerhet i samband med behandlingen enligt artikel 32 i dataskyddsförordningen. Inom ramen för tillsynsärendet har IMY endast granskat nämndens utskick av kallelser gällande Barn- och ungdomsmedicinska mottagningen Mora, Samtalsmottagningen barn och unga Falun och Sömnlaboratoriet i Avesta.

text: Nämnden har i huvudsak uppgett följande. Nämnden är vårdgivare och personupp- giftsansvarig för den personuppgiftsbehandling som tillsynen avser. Kallelser från Region Dalarna skickas med hjälp av Postnord Strålfors AB:s (Strålfors) funktion eBREV. Kallelserna skickas säkert i digitalt format från Region Dalarnas journalsystem till Strålfors som maskinellt skriver ut, kuverterar och skickar kallelsen till adressaten.

text: Nämnden identifierade risken med att använda dubbla fönster när tjänsten upphandlades och köpte därför en tilläggstjänst som innebär att kuvert som endast innehåller ett fönster med mottagarens adress ska användas. På dessa kuvert står Region Dalarnas postadress tryckt där avsändaradressen vanligtvis placeras och namnet på den klinik/avdelning som skickat kallelsen framgår alltså inte. Nämndens uppfattning är att avsändarkliniken inte ska framgå av kuvertet.

text: I yttrande till IMY daterat den 28 april 2022 uppgav nämnden att den påbörjat en utredning tillsammans med Strålfors. I yttrande daterat 16 juni 2022 uppgav nämnden i huvudsak följande. Det är oklart när nämnden började skicka kallelser där patientens namn och den vårdinrättning som kallelsen avser framgår av kuvertets fönster. Utredningen visar att tilläggstjänsten där avsändaren är dold enbart gäller vid utskick om maximalt fem A4-ark. Om utskicket innehåller fler A4-ark måste ett större kuvert användas och då finns inga kundunika kuvert i det uppdrag som är tecknat gällande eBREV, i stället används standardkuvert med två fönster. I samma yttrande uppgav nämnden att utredningsarbetet för att se över flödet gällande utskick av kallelser via eBREV och risker kopplade till dessa som skulle kunna generera en personuppgiftsincident pågår. Parallellt med detta förs en diskussion med Strålfors om behovet av att omförhandla kunduppdraget för att säkerställa att rätt typ av kuvert, med dold avsändare, används för samtliga utskick.

text: I ett yttrande daterat den 16 juni 2022 uppgav nämnden att den behandling som är föremål för tillsynen inte hade upphört. I en komplettering som nämnden gav in till IMY den 6 juli 2022 angavs att nämnden, fram till dess att en överenskommelse uppnås med Strålfors, kommer att ändra i mallen för kallelser till besök vid de tre enheter (Barn- och ungdomsmedicinska mottagningen Mora, Samtalsmottagningen barn och unga Falun och Sömnlaboratoriet i Avesta) som identifierats skicka kallelser med bilagor som överstiger fem A4-ark. Nämnden har bifogat en bild som visar att kallelserna kommer att skickas i ett kuvert med två fönster, där Region Dalarnas postadress framgår av det ena fönstret och uppgifter om att det rör sig om ett besök via videolänk och patientens namn samt adress i det andra.

text: I yttrande daterat den 9 augusti 2022 har nämnden uppgett att tidigare svar har utgått från kallelser som skickats genom IT-systemet Take Care. Det rör sig om cirka 2 500 kallelser per år vilket motsvarar 0,5 procent av det totala antalet kallelser som skickats genom det aktuella systemet.

text: Motivering av beslutet

text: Tillämpliga bestämmelser

text: Dataskyddsförordningens tillämpningsområde

text: Av artikel 2.1 i dataskyddsförordningen framgår att förordningen ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.

text: I doktrinanges att eftersom dataskyddsförordningen omfattar delvis automatiserad behandling av personuppgifter, är förordningen tillämplig vid utlämnande på papper av personuppgifter som finns i dataformat. Vidare har justitiekanslern bedömt att

text: uttrycket ”helt eller delvis automatiserad behandling av personuppgifter” i den numera upphävda

text: personuppgiftslagen (1998:204)

text: omfattade utskick av handlingar via post när den bakomliggande behandlingen av personuppgifterna var automatiserad.

text: Personuppgifter definieras i artikel 4.1 i dataskyddsförordningen som varje upplysning som avser en identifierad eller identifierbar fysisk person.

text: Behandling definieras i artikel 4.2 i dataskyddsförordningen som en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.

text: Personuppgiftsansvar och principen om ansvarsskyldighet

text: Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

text: Enligt

text: 2 kap. 6 § patientdatalagen (2008:355)

text: , PDL, är en vårdgivare personuppgiftsansvarig för den behandling av personuppgifter som vårdgivaren utför. I en region eller en kommun är varje myndighet som bedriver hälso- och sjukvård personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför.

text: Den personuppgiftsansvarige ska enligt artikel 5.2 i dataskyddsförordningen ansvara för och kunna visa att principerna i artikel 5.1 efterlevs (principen om ansvarsskyldighet).

text: Den personuppgiftsansvarige ansvarar för att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Åtgärderna ska genomföras med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers fri- och rättigheter. Åtgärderna ska ses över och uppdateras vid behov. Det framgår av artikel 24.1 i dataskyddsförordningen.

text: Uppgifter om hälsa

text: Uppgifter om hälsa definieras i artikel 4.15 i dataskyddsförordningen som personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus. Uppgifter om hälsa utgör så kallade känsliga personuppgifter. Det är förbjudet att behandla sådana personuppgifter enligt artikel 9.1 i dataskyddsförordningen, såvida behandlingen inte omfattas av något av undantagen i artikel 9.2 i förordningen.

text: I skäl 35 till dataskyddsförordningen anges följande. Personuppgifter om hälsa bör innefatta alla de uppgifter som hänför sig till en registrerad persons hälsotillstånd som ger information om den registrerades tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd. Detta inbegriper uppgifter om den fysiska personen som insamlats i samband med registrering för eller tillhandahållande av hälso- och sjukvårdstjänster till den fysiska personen enligt

text: Europaparlamentets och rådets direktiv 2011/24/EU

text: , ett nummer, en symbol eller ett kännetecken som den fysiska personen tilldelats för att identifiera denne för hälso- och sjukvårdsändamål, uppgifter som härrör från tester eller undersökning av en kroppsdel eller kroppssubstans, däribland genetiska uppgifter och biologiska prov, och andra uppgifter om exempelvis sjukdom, funktionshinder, sjukdomsrisk, sjukdomshistoria, klinisk behandling eller den registrerades fysiologiska eller biomedicinska tillstånd, oberoende av källan, exempelvis från en läkare eller från annan sjukvårdspersonal, ett sjukhus, en medicinteknisk produkt eller ett diagnostiskt in vitro-test.

text: EU-domstolen har i målet Lindqvist (

text: , EU:C:2003:596, punkt 51) slagit fast att en uppgift om att en person skadat sin fot och är deltidssjukskriven utgör en personuppgift som rör hälsa enligt dataskyddsdirektivet (direktivet upphävdes genom dataskyddsförordningen). EU-domstolen uttalade i målet att med hänsyn till syftet med dataskyddsdirektivet ska uttrycket "uppgifter som rör hälsa" ges en vid tolkning och anses omfatta uppgifter som rör alla aspekter av en persons hälsa, såväl fysiska som psykiska sådana (se punkt 50). EU-domstolen har vidare i ett senare avgörande Vyriausioji tarnybinės etikos komisija (

text: , EU:C:2022:601) konstaterat att begreppet känsliga personuppgifter enligt artikel 9.1 i dataskyddsförordningen ska tolkas brett och bedömt att även personuppgifter som indirekt avslöjar en fysisk persons sexuella läggning utgör känsliga personuppgifter enligt den aktuella bestämmelsen.

text: Europeiska dataskyddsstyrelsen (EDPB) har uttalat att begreppet uppgifter om hälsa enligt dataskyddsförordningen måste tolkas brett mot bakgrund av bland annat EUdomstolens dom i målet Lindqvist och då det framgår av skäl 53 till dataskyddsförordningen att uppgifter om hälsa förtjänar ett omfattande skydd . IMY har i ett rättsligt ställningstagande bedömt att uppgifter om förvaltarskap enligt

text: föräldrabalken

text: är uppgifter om hälsa (IMYRS 2022:3).

text: Kravet på säkerhet vid behandling av personuppgifter

text: Av artikel 32.1 i dataskyddsförordningen följer att den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Det ska ske med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter.

text: Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller obehörigt röjande av eller obehörig åtkomst till personuppgifter som överförts, lagrats eller på annat sätt behandlats. Det framgår av artikel 32.2 i dataskyddsförordningen.

text: I skäl 75 till dataskyddsförordningen anges faktorer som ska beaktas vid bedömningen av risken för fysiska personers rättigheter och friheter. Bland annat nämns förlust av konfidentialitet när det gäller personuppgifter som omfattas av tystnadsplikt samt om behandlingen avser uppgifter om hälsa eller sexualliv. Vidare ska beaktas om behandlingen gäller personuppgifter om sårbara fysiska personer, framförallt barn, eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort antal registrerade.

text: I skäl 76 till dataskyddsförordningen anges att hur sannolik och allvarlig risken för den registrerades rättigheter och friheter är bör fastställas utifrån behandlingens art, omfattning, sammanhang och ändamål. Risken bör utvärderas på grundval av en objektiv bedömning, genom vilken fastställt huruvida uppgiftsbehandlingen inbegriper en risk eller hög risk.

text: Om den personuppgiftsansvarige anlitar ett personuppgiftsbiträde för att genomföra en behandling ska den personuppgiftsansvarige endast anlita personuppgiftsbiträden som ger tillräckliga garantier för att genomföra lämpliga tekniska och organisatoriska åtgärder. Det ska ske på ett sådant sätt att behandlingen uppfyller kraven i dataskyddsförordningen och att den registrerades rättigheter skyddas. Det framgår av

text: artikel 28.1

text: och skäl 81 i dataskyddsförordningen.

text: Integritetsskyddsmyndighetens bedömning

text: Utredningen i ärendet visar att nämnden under perioden den 6 maj 2021 till och med den 6 juli 2022 har använt sig av en tjänst för utskick av fysiska brev som inneburit att vissa kallelser till vårdbesök har skickats ut i fönsterkuvert där uppgifter om att det är en kallelse, patientens namn och adress samt den vårdinrättning som besöket avser varit fullt synliga.

text: Dataskyddsförordningen är tillämplig

text: Den information i kallelserna som varit synlig genom fönsterkuverten avser identifierade personer. Det är således fråga om personuppgifter. Nämndens behandling av personuppgifterna består av en serie av åtgärder där nämndens utlämnande av personuppgifter med fysisk post varit en del. Den bakomliggande delen av processen, som bland annat innebär att kallelser skickas i digitalt format från Region Dalarnas journalsystem, är automatiserad. IMY bedömer därför att det är fråga om en delvis automatiserad behandling av personuppgifter som omfattas av dataskyddsförordningens tillämpningsområde.

text: Personuppgiftsansvar

text: Nämnden har uppgett att den är personuppgiftsansvarig vårdgivare för den behandling av personuppgifter vid kallelser till vårdbesök inom Region Dalarna som är föremål för tillsyn, vilket stöds av den övriga utredningen i ärendet. IMY bedömer därför att nämnden är personuppgiftsansvarig för den aktuella behandlingen.

text: Behandlingen har inneburit en hög risk

text: Som personuppgiftsansvarig ska nämnden, enligt artikel 32.1 i dataskyddsförordningen, vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå i förhållande till riskerna vid behandling av personuppgifter. Det gäller även när personuppgifter behandlas av ett personuppgiftsbiträde. IMY gör följande bedömning av riskerna med den aktuella behandlingen.

text: Enligt uppgift från nämnden har kallelser som visat avsändande mottagning skickats från Barn- och ungdomsmedicinska mottagningen Mora, Samtalsmottagningen barn och unga Falun och Sömnlaboratoriet i Avesta. Utredningen i ärendet visar att mottagningarna erbjuder vård för barn och unga i åldern 0–17 år med sjukdomar och ohälsa som kräver mer specialistkunskap och resurser än vad som normalt finns på vårdcentral, hjälp för barn och unga upp till 17 år med lindrig till måttlig psykisk ohälsa respektive utredning och behandling av olika sömnbesvär.

text: IMY konstaterar att begreppet hälsa ska tolkas brett och bedömer att den vård som ges vid vårdinrättningarna i fråga är så pass specifik att en kallelse till besök på någon av dessa mottagningar får anses ge information om den enskildes fysiska eller psykiska hälsotillstånd.

text: IMY bedömer mot den bakgrunden att uppgifterna gällande dessa vårdinrättningar, som varit fullt synliga vid utskicken, utgör uppgifter om hälsa i den mening som avses i artikel 4.15 i dataskyddsförordningen. Uppgifterna är därmed s.k. känsliga personuppgifter som omfattas av skyddet enligt

text: artikel 9.1 i förordningen

text: Uppgifterna skyddas dessutom inom hälso- och sjukvården av sekretess enligt

text: 25 kap. 1 § offentlighets- och sekretesslagen (2009:400)

text: . Eftersom två av de berörda vårdinrättningarna enbart bedriver vård för personer som är 17 år eller yngre kan vidare konstateras att uppgifterna i vissa fall även har avsett barn, som anses särskilt skyddsvärda enligt dataskyddsförordningen . Det rör sig därtill om en omfattande behandling som omfattar cirka 2 500 utskick från flera olika vårdinrättningar.

text: Mot denna bakgrund bedömer IMY att det rör sig om en behandling som inneburit en hög risk och att det därför krävts ett starkt skydd.

text: Nämnden har inte vidtagit tillräckliga säkerhetsåtgärder

text: IMY konstaterar att utskicken med kallelser till besök vid Barn- och ungdomsmedicinska mottagningen Mora, Samtalsmottagningen barn och unga Falun och Sömnlaboratoriet i Avesta skett på ett sådant sätt att de känsliga personuppgifterna har varit fullt synliga för alla som kommit i kontakt med breven. Uppgifterna har varit tillgängliga för exempelvis den som arbetar med att hantera post, den som delar hushåll med mottagaren och den som tagit emot ett brev som levererats till fel adress.

text: För att uppnå en lämplig säkerhetsnivå borde utskicken, enligt IMY:s bedömning, ha skett på ett sådant sätt att de känsliga personuppgifterna inte var synliga. Nämnden har således inte förmått att säkerställa den säkerhetsnivå som krävs enligt artikel 32.1 i dataskyddsförordningen.

text: Det kan konstateras att nämndens uppfattning visserligen är att det inte ska framgå av kuvertet vilken mottagning som en kallelse till vårdbesök avser och att nämnden därför upphandlat en tjänst i syfte att dölja avsändande mottagning. Efter att IMY inlett tillsyn genomförde nämnden dock en utredning som visade att den aktuella tjänsten endast omfattade kallelser om maximalt fem A4-ark och att övriga kallelser skickats i kuvert som visat vilken klinik som besöket avsåg. IMY konstaterar att det har ankommit på nämnden som personuppgiftsansvarig att inför behandlingen i fråga säkerställa att den aktuella tilläggstjänsten uppfyllde behovet av att hålla uppgifterna dolda från andra än mottagaren av brevet.

text: Mot denna bakgrund bedömer IMY att nämnden inte har vidtagit tillräckliga åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med den aktuella behandlingen. Nämnden har därför behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen.

text: Val av ingripande

text: Tillämpliga bestämmelser

text: Vid överträdelser av dataskyddsförordningen har IMY ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 a–j i dataskyddsförordningen, bland annat reprimand, föreläggande och sanktionsavgifter.

text: Av artikel 83.2 i dataskyddsförordningen framgår att IMY ska påföra administrativa sanktionsavgifter utöver eller i stället för de andra åtgärder som avses i

text: artikel 58.2

text: beroende på omständigheterna i det enskilda fallet. Medlemsstaterna får fastställa regler för om och i vilken utsträckning administrativa sanktionsavgifter kan påföras offentliga myndigheter. Det framgår av artikel 83.7 i dataskyddsförordningen. Enligt

text: 6 kap. 2 § dataskyddslagen

text: får IMY ta ut sanktionsavgifter av myndigheter vid överträdelser som avses i artikel 83.4, 83.5 och 83.6 i dataskyddsförordningen och att artikel

text: och

text: i förordningen då ska tillämpas.

text: I artikel 83.2 i dataskyddsförordningen anges de faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt skäl 148 till dataskyddsförordningen utfärda en reprimand istället för att påföra en sanktionsavgift.

text: De faktorer som anges i artikel 83.2 i dataskyddsförordningen ska beaktas även vid bestämmandet av sanktionsavgiftens storlek. Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det framgår av artikel 83.1 i dataskyddsförordningen.

text: Sanktionsavgift ska påföras

text: IMY har kommit fram till att nämnden har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen. IMY finner vid en samlad bedömning av de omständigheter som beskrivs under rubriken Sanktionsavgiftens storlek att det finns skäl att påföra nämnden en sanktionsavgift och att det därmed inte är fråga om en sådan mindre överträdelse att det finns skäl att i stället utfärda en reprimand.

text: Sanktionsavgiftens storlek

text: För överträdelser av bland annat artikel 32 i dataskyddsförordningen får sanktionsavgiften för offentliga myndigheter uppgå till högst 5 000 000 kronor. Det framgår av

text: 6 kap. 2 § dataskyddslagen

text: samt artikel 83.4 i dataskyddsförordningen.

text: I bedömningen av överträdelsens allvarlighet beaktar IMY i enlighet med artikel 83.2 g i dataskyddsförordningen att behandlingen har omfattat känsliga personuppgifter om hälsa och uppgifter om barn, som är särskilt skyddsvärda enligt dataskyddsförordningen.

text: Vidare beaktar IMY vad som framkommit om överträdelsens karaktär, svårighetsgrad och varaktighet utifrån vad som anges i artikel 83.2 a i dataskyddsförordningen. Därvid kan konstateras att överträdelsen pågått under en längre tid om drygt ett år, från och med den 6 maj 2021, då den patient som lämnade in det klagomål som ligger till grund för tillsynen mottog sin kallelse, fram till och med den 6 juli 2022, när nämnden vidtog

text: åtgärder för att dölja avsändande mottagning på kuvertet vid utskicken. Mot bakgrund av att nämnden uppgett att det rör sig om cirka 2 500 kallelser per år kan även konstateras att överträdelsen berör ett stort antal registrerade. Vidare innebär det förhållandet att överträdelsen har förekommit inom vården – dvs. en verksamhet där den registrerade patienten befinner sig i en beroendeställning och utsatt position i förhållande till den personuppgiftsansvarige – att det finns skäl att se allvarligare på överträdelsen. IMY bedömer dock att det även finns faktorer som talar i motsatt riktning vid bedömningen av överträdelsens allvarlighetsgrad. För det första rör det sig om en fysisk hantering och inte en digital som skulle ha inneburit en risk för större och snabbare spridning av uppgifterna. En distribution genom ordinarie postgång är mer begränsad och kontrollerad än en överföring via det öppna nätet. Vidare har framkommit att nämnden identifierade risken med att exponera de aktuella personuppgifterna vid utskicken och därför vidtog vissa åtgärder i syfte att efterleva kraven och minska riskerna med behandlingen.

text: IMY bestämmer utifrån en samlad bedömning av omständigheterna i ärendet att Hälso- och sjukvårdsnämnden i Region Dalarna ska betala en administrativ sanktionsavgift på 200 000 kronor.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Maja Welander. Vid den slutliga handläggningen av ärendet har även rättschefen David Törngren, den tillförordnade enhetschefen Linn Sandmark och itoch informationssäkerhetsspecialisten Magnus Bergström medverkat.

text: Lena Lindgren Schelin, 2023-01-17 (Det här är en elektronisk signatur)

text: Kopia till

text: Nämndens dataskyddsombud Klaganden

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Klarna Bank AB Sveavägen 46 111 34 Stockholm dataprotectionofficer@klarna.com

text: Europaparlamentets och rådets förordning (EU) 2016/79 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: Artikel 58.1 i dataskyddsförordningen.

text: Artikel 58.2

text: och artikel 83-84 i dataskyddsförordningen.

sprak: sv

titel: Tillsynsskrivelse

nyckelord:
Dataskydd
Informationssäkerhet
Dina rättigheter

publisher: Integritetsskyddsmyndigheten

slug: klarna-gallande-krav-pa-identifiering

title: Klarna Bank AB, gällande krav på identifiering

org: imy

sammanfattning: Vi har inlett en tillsyn och nu pågår en granskning.

text: IMY-2022-7128 Tillsyn enligt dataskyddsförordningen

type: stycke

text: Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen , vanligtvis förkortad GDPR. IMY har beslutat att granska er personuppgiftsbehandling och har därför inlett ett tillsynsärende.

text: Varför granskar IMY er verksamhet?

type: rubrik

text: IMY har fått in flera klagomål mot er verksamhet (se bilaga 1). Tillsynen avser 29 av dessa klagomål. Klagomålen har inkommit direkt till IMY eller lämnats över till oss, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 i dataskyddsförordningen. Överlämningen har skett från tillsynsmyndigheterna i Tyskland och Österrike där klagandena har lämnat in sina klagomål i enlighet med förordningens bestämmelser om samarbete i gränsöverskridande ärenden.

text: De klagande har i huvudsak uppgett att de begärt tillgång till respektive radering av sina personuppgifter. I något fall har klaganden begärt rättelse av sina personuppgifter. I ett annat fall har klaganden, i samband med sin begäran om tillgång, även invänt mot behandling för direktmarknadsföring. I vissa av klagomålen har klagandena, i samband med sina begäranden, gjort gällande att det endast är möjligt att skicka in uppgifterna via okrypterad e-post.

text: Klarna Bank AB (Klarna) har i samtliga fall svarat att de behöver ytterligare information för att hantera de klagandes begäranden. I klagomålen uppges att Klarna har begärt in nedanstående uppgifter för att hantera de klagandes begäranden:

text: • För- och efternamn • Födelsedatum • E-postadress • Adress • Fakturanummer, exakt fakturabelopp och • Namn på ett företag klaganden gjort ett inköp från.

text: I de fall de klagande har begärt tillgång till sina personuppgifter har Klarna även uppgett att de behöver ett telefonnummer för att säkert kunna skicka de begärda

text: uppgifterna.

text: De klagande har i huvudsak framfört att kraven på identifiering som Klarna uppställt inte är rimliga och att de inte är villiga att inkomma med fler personuppgifter än som faktiskt behövs.

text: De bestämmelser som utredningen omfattar är nedanstående artiklar:

text: • om den personuppgiftsansvarige har uppfyllt sin skyldighet att underlätta för klaganden att utöva sina rättigheter (artikel 12.2 i dataskyddsförordningen) • om klagandens begäran/begäranden har hanterats utan onödigt dröjsmål (artikel 12.3 och artikel 12.4 i dataskyddsförordningen) och • om den information Klarna begärt av klaganden varit nödvändig för att bekräfta sin identitet (artikel 12.6 i dataskyddsförordningen)

text: IMY kan även komma att utreda om behandlingen uppfyller kraven på uppgiftsminimering (artikel 5.1c i dataskyddsförordningen).

text: IMY avser även att i vissa klagomål utreda om Klarna:

text: • upphört att behandla klagandens personuppgifter för direktmarknadsföring efter invändning mot sådan behandling i klagomål nr. 2 och 24 (artikel 21.3 i dataskyddsförordningen) • vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken vid hantering av epostkorrespondens när klagandena utövat sina rättigheter enligt dataskyddsförordningen (artikel 32 i dataskyddsförordningen)

text: Våra frågor

text: IMY vill att ni svarar på följande frågor:

text: 1. Är ni personuppgiftsansvarig för den personuppgiftsbehandling som klagomålen gäller? - Om ni anser att ni inte är personuppgiftsansvarig överhuvudtaget eller i någon del, uppge vem den personuppgiftsansvarige är samt varför ni anser det.

text: Om ni anser att ni är personuppgiftsansvarig för personuppgiftsbehandlingen som anges i klagomålen vänligen svara på följande frågor.

text: 2. Vilket är ert organisationsnummer?

text: Svara på följande frågor för varje klagomål enskilt:

text: 3. Redogör för vilken begäran/vilka begäranden enligt klagomålet som ni har mottagit från klaganden och vid vilket/vilka datum.

text: 4. Har ni hanterat klagandens begäran/begäranden? - Om ja, ange vilka åtgärder ni har vidtagit, datum för varje åtgärd för varje enskild begäran och om ni informerat klaganden om vilka åtgärder ni har vidtagit.

text: 5. Har ni hanterat respektive begäran inom tidsfristen i artikel 12.3? Ange hur ni har resonerat och vilken information klaganden har fått enligt artiklarna 12.3 respektive 12.4 och vid vilka datum.

text: 6. Har ni haft anledning att betvivla klagandens identitet när han eller hon framfört sin begäran/sina begäranden? Om ja, redogör för vilken bedömning som ni har gjort utifrån de personuppgifter ni fått när begäran/begärandena framställdes.

text: 7. Ange vilka uppgifter ni har krävt för att hantera respektive begäran.

text: a. Förklara varför varje uppgift har varit nödvändig för att bekräfta klagandens identitet. b. Ange vilka av dessa uppgifter som ni samlade in när kundförhållandet etablerades och vilka som är nya.

text: 8. Beskriv vilken kontaktväg eller vilka kontaktvägar klaganden kan använda för att bekräfta sin identitet och hur klaganden informerats om den möjligheten/dessa möjligheter.

text: 9. Om e-post är den enda tillgängliga kontaktvägen, motivera ert krav på identifiering via e-post mot bakgrund av er skyldighet att underlätta för de registrerade att nyttja sina rättigheter enligt dataskyddsförordningen.

text: Okrypterad e-post

text: I vissa av klagomålen (se t.ex. klagomålen 1, 2 och 20) har klagandena gjort gällande att det endast är möjligt att skicka in uppgifterna via okrypterad e-post.

text: 10. Av handlingarna i klagomål nr. 20 framgår att ni i ert svar till klaganden uppger att krypterad överföring inte är möjlig. Stämmer det att ni inte kan ta emot de begärda uppgifterna via krypterad e-post?

text: 11. Hur skyddar ni de personuppgifter som enligt klagomålen begärs in via okrypterad e-post? Ange om och i så fall på vilket sätt ni bedömer att ni uppfyller kraven som ställs på lämpliga säkerhetsåtgärder enligt artikel 32 dataskyddsförordningen.

text: Direktmarknadsföring (klagomål nr. 2 och 24)

text: 12. Har ni mottagit klagandens invändning mot att få sina personuppgifter behandlade för direktmarknadsföringsändamål? Om ja, ange datum.

text: 13. Har ni hanterat klagandens begäran? Om ja, ange vilka åtgärder ni har vidtagit och datum för varje åtgärd.

text: 14. Om ni inte har hanterat begäran inom tidsfristen i artikel 12.3 i dataskyddsförordningen, ange skälen för det och om ni har informerat klaganden inom en månad från det att begäran mottogs om orsakerna till förseningen.

text: 15. Om ni inte har tillmötesgått klagandens begäran, har ni för avsikt att göra det? Om ja, ange hur ni har resonerat och datum för när begäran kommer att ha tillmötesgåtts. Om nej, ange hur ni har resonerat.

text: 16. Har ni informerat klaganden om resultatet av klagandens begäran? Om ja, ange hur och datum.

text: Era svar

text: Svara skriftligt till IMY senast den 12 oktober 2022.

text: Era svar ska vara heltäckande och lämnas åtskilt för varje fråga, exempelvis genom att ni i er svarsskrivelse använder respektive fråga som rubrik och anger svar på frågan inunder. Om någon fråga inte är tillämplig anger ni det.

text: Förutsatt att svaret inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess, kan ni e-posta det till och referera till vårt diarienummer IMY-2022-7128.

text: Om ni utöver svaren på våra frågor vill hänvisa till ytterligare information eller handlingar så ange detta och vad ni vill visa med dem men skicka inte in handlingar som går utöver det angivna syftet med tillsynen.

text: Måste ni svara IMY?

text: IMY är tillsynsmyndighet enligt dataskyddsförordningen och det innebär att vi får begära att ni lämnar all information som vi behöver för att kunna fullgöra våra uppgifter som tillsynsmyndighet.

text: Gemensam ärendehandläggning med andra tillsynsmyndigheter

text: Mot bakgrund av att det gäller gränsöverskridande klagomål kommer IMY använda sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen.

text: Vad händer sen?

text: När IMY är färdig med granskningen kommer ni att få ett beslut. Av beslutet kommer det framgå om granskningen visar att ni brister i tillämpningen av reglerna gällande dataskydd. Vid brister kan IMY exempelvis påföra administrativa sanktionsavgifter enligt dataskyddsförordningen.

text: Kommunicering enligt

text: 25 § förvaltningslagen

text: Innan IMY fattar ett beslut får ni ta del av det underlag som ligger till grund för beslutet och ni får också möjlighet att yttra er. Om IMY avser att påföra administrativ sanktionsavgift anger vi det i samband med kommuniceringen.

text: Om IMY inte konstaterar någon brist kan beslutet komma att fattas direkt. Detsamma gäller om IMY konstaterar en brist men ändå inte avser att påföra sanktionsavgifter och underlaget för beslutet är material som ni redan har del av, såsom yttranden från er och eventuellt klagomål som skickats till er.

text: Om ni har frågor om ärendet kontakta: Linnéa Sommar, telefon 08-515 154 33, linnea.sommar@imy.se Philippa Johanssen-Fritzin, telefon 08-515 154 29, philippa.johanssen.fritzin@imy.se

text: Med vänlig hälsning Linnéa Sommar, 2022-09-13 (Det här är en elektronisk signatur)

text: Bilaga:

text: 1. Klagomål 1-29 (klagomål 11 sammanfattning) Klagomålen skickas även per post. Vad gäller klagomål 11 skickas det i dess helhet per post.

text: Kopia till:

text: Dataskyddsombudet

text: Information om IMY:s behandling av personuppgifter

type: avgorande


text: Vklass AB

text: Smedjegatan 2c, 1 tr 13154 NACKA

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: IMY:s kommentar: En metod för dataintrång som utnyttjar en sårbarhet i SQL. SQL är ett programmeringsspråk som används för att hämta och modifiera data i en relationsdatabas.

text: IMY:s kommentar: Bot protection upptäcker och blockerar skadliga botar som obehörigt vill komma åt data på en webbplats eller i en applikation. En bot är ett datorprogram konstruerat för att automatiskt genomföra fördefinierade aktiviteter.

titel: Beslut

nyckelord:
Dataskydd
Internet och appar
Utbildning
Skola

korrigerandeAtgard: Föreläggande, Reprimand

lagrum: Artikel 32 i dataskyddsförordningen, GDPR

nyckelord: Skolverksamhet, Loggar, Obehörig åtkomst, Obehörigt röjande

overklagan: Nej

rubrik: Personuppgifter inte tillräckligt skyddade i lärplattform

sammanfattning: Lärplattformen Vklass, som används av skolor runt om i Sverige, behöver vidta åtgärder för att stärka integritetsskyddet, så att de personuppgifter som behandlas i plattformen är tillräckligt skyddade. Det visar den granskning som IMY har gjort, efter att ha tagit emot anmälningar om en incident. Anmälarna gjorde gällande att någon obehörig kommit över personuppgifter om lärare och elever från lärplattformen. Bolaget upptäckte inte incidenten, utan fick kännedom om den från en användare. Bolaget har inte heller kunnat utreda incidenten i tillräcklig utsträckning. IMY förelägger därför Vklass att vidta åtgärder som gör det möjligt att upptäcka onormala händelser i lärplattformen och att spåra vad som skett i systemet. Bolaget får även en reprimand. Läs tillsynsbeslutet här

slug: vklass

title: Vklass

sammanfattning: IMY utfärdar en reprimand till bolaget för att i egenskap av personuppgiftsbiträde ha behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen.

text: IMY-2022-9092 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Vklass AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Vklass AB i egenskap av personuppgiftsbiträde har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen . Det har skett genom att personuppgifter från Vklass AB:s lärplattform Vklass har exponerats öppet på en webbplats på internet under senare delen av 2021 fram till september 2022. Vklass AB har inte vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen och har därigenom inte fortlöpande säkerställt konfidentialiteten för personuppgifterna och skyddat dem mot obehörigt röjande och obehörig åtkomst.

text: Integritetsskyddsmyndigheten ger Vklass AB en reprimand enligt artikel 58.2 b i dataskyddsförordningen för den konstaterade överträdelsen.

text: Integritetsskyddsmyndigheten förelägger Vklass AB enligt artikel 58.2 d i dataskyddsförordningen att i enlighet med artikel 32 vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa bolagets (i) förmåga att kunna identifiera avvikande händelser i lärplattformen Vklass samt (ii) förmåga till spårbarhet i lärplattformen i syfte att kunna upptäcka och fastställa orsaken bakom och omfattningen av en inträffad personuppgiftsincident.

text: Redogörelse för tillsynsärendet

text: Utgångspunkt för tillsynen

text: Under september 2022 mottog Integritetsskyddsmyndigheten (IMY) anmälningar om inträffade personuppgiftsincidenter från ett sextiotal personuppgiftsansvariga. De personuppgiftsansvariga bedriver såväl kommunal som privat skol- och utbildningsverksamhet och de använder lärplattformen Vklass (Plattformen) som

text: tillhandahålls av Vklass AB (Vklass eller bolaget) i sina respektive verksamheter. De aktuella personuppgiftsansvariga är, eller har åtminstone varit, kunder till Vklass. Plattformen används i huvudsak för kommunikation mellan elever, deras

text: vårdnadshavare och skolpersonal. Anmälningarna avsåg att personuppgifter kopplade till Plattformen publicerats otillåtet på en webbplats öppet tillgänglig på internet. I

text: anmälningarna har de personuppgiftsansvariga angett att det skett obehörigt röjande av eller obehörig åtkomst till personuppgifter som behandlas i Plattformen.

text: Med anledning av de aktuella anmälningarna har IMY inlett tillsyn mot Vklass avseende de personuppgiftsbehandlingar som sker på Plattformen.

text: Handläggningen har skett genom skriftväxling.

text: Vad Vklass har uppgett

text: Vklass har i huvudsak uppgett följande.

text: Vklass tillhandahåller Plattformen som är en lärplattform för skol- och utbildningsverksamhet. Den används av elever, deras vårdnadshavare och skolpersonal. Vklass är personuppgiftsbiträde åt de kunder (personuppgiftsansvariga) som har lämnat in en anmälan om de inträffade personuppgiftsincidenterna till IMY. Under 2021 hade Vklass 77 kunder och per den 1 oktober 2022 hade Plattformen 427 207 aktiva konton.

text: Den 21 september 2022 mottog Vklass ett e-postmeddelande från en användare av tjänsten med information om att det på webbplatsen www.zenbase.se (Zenbase) fanns en söktjänst där man kunde söka efter personuppgifter om elever. Flera av uppgifterna verkade härstamma från Plattformen. Samma dag som detta uppdagades skickade Vklass juridiska ombud ett meddelande till aktören bakom Zenbase med en begäran om att upphöra med den otillåtna publiceringen. Aktören bakom Zenbase var en elev som gick på en av de skolor som använder Plattformen. Vidare skickade Vklass ett meddelande till samtliga av sina kunder för att informera om de upptäckta personuppgiftsincidenterna och uppmanade dem samtidigt att göra en anmälan till IMY. Under natten till den 22 september 2022 togs allt innehåll på Zenbase bort.

text: Efter Vklass efterforskningar kunde bland annat följande konstateras. Det troliga scenariot är att en elev som hade behörighet till Plattformen, själv eller tillsammans med andra, utnyttjat en sårbarhet som tidigare fanns i ett av Plattformens API:er. Eleven har manipulerat API-anrop mot tjänstens adressböcker och sedan sparat ned personuppgifter från Plattformen till en egen databas. På detta sätt har eleven kunnat tillskansa sig mer information från Plattformen än vad dennes åtkomsträttigheter tillåtit. Eleven har sedan byggt Zenbase där de inhämtade uppgifterna har publicerats öppet på internet. Den aktuella sårbarheten är numera åtgärdad till följd av flera förändringar som genomfördes i Plattformen under 2021. Ett annat scenario till att personuppgiftsincidenterna kan ha uppstått är att flera användare från olika skolor har samarbetat genom att hämta uppgifter, som var och en av dem haft behörig tillgång till, då det finns en separation mellan personuppgiftsansvarigas personuppgifter i Plattformen. Uppgifterna har därefter publicerats på Zenbase.

text: Vklass polisanmälde händelsen och den misstänkte eleven den 22 september 2022. Eleven blev samtidigt avstängd från Plattformen.

text: Efter Vklass slagningar på Zenbase kunde det konstateras att följande kategorier av personuppgifter om elever och skolpersonal fanns tillgängliga på webbplatsen innan innehållet togs bort:

text: • för- och efternamn • smeknamn • bild

text: • klass • e-postadress • telefonnummer.

text: Det var endast möjligt att hämta uppgifter om e-postadress och telefonnummer från Plattformen om användaren själv valt att visa den informationen för andra användare som går på samma skola. Vad gäller smeknamn och bild fanns sådan information endast tillgänglig förutsatt att användaren valt att skriva in eller lägga upp detta i Plattformen. Den information som Vklass kunde hitta på Zenbase innefattade i de flesta fall inte uppgifter om telefonnummer, e-postadresser, bilder eller smeknamn. Plattformen är inte utformad för att hantera skyddade personuppgifter.

text: Uppgifter om smeknamn fanns endast exponerade på två ställen i Plattformen: dels på respektive användares profilsida, dels i Plattformens adressböcker. Vad gäller profilsidorna förs en logg som registrerar när en användare öppnar en sådan sida. Efter en genomsökning av loggarna kunde det konstateras att uppgifterna inte hade hämtats från profilsidorna. Den misstänkte eleven måste därför ha kommit åt dem via Plattformens adressböcker genom att ha utnyttjat den sårbarhet som tidigare fanns i ett av Plattformens API:er.

text: Det har inte gått att fastställa hur många kunder (personuppgiftsansvariga) som drabbats av ifrågavarande personuppgiftsincidenter. Vklass vet att åtminstone tre kunder har berörts, men troligtvis har fler än så drabbats. Det har heller inte gått att fastställa hur många registrerade som drabbats eller vilken information om dem som hämtats ut då de API-anrop som görs mot Plattformens adressböcker inte loggas.

text: Det saknas kännedom om de exakta tidpunkterna för när de obehöriga intrången i Plattformen skedde och också under hur lång tid som de pågick. De bedöms dock ha inträffat någon gång under 2021, även om det inte kan uteslutas att de inträffat tidigare än så. Den elev som misstänks ligga bakom intrången hade haft ett konto vid Plattformen sedan 2016. Domännamnet zenbase.se registrerades i juli 2021.

text: Vklass har ställt frågor till bland annat den misstänkte eleven för att få svar på hur denne gått till väga för att hämta personuppgifterna från Plattformen samt vilka uppgifter som publicerats på Zenbase. Eleven har dock inte återkommit med något svar.

text: Vad gäller Plattformens säkerhet har det sedan tidigare implementerats flera olika typer av skydd och rekommenderade metoder tillgängliga för den miljö som Vklass använder. Plattformen har bland annat skydd mot överbelastningsattacker och SQLinjektioner .

text: Efter att incidenterna uppdagades har bland annat följande åtgärder vidtagits för att öka säkerhet ytterligare. Det har implementerats en ny funktion som kallas rate limiting. Genom denna funktion hindras en enskild användare från att kunna göra för många anrop i Plattformen under ett visst tidsintervall. Om användaren överskrider antalet tillåtna anrop, spärras denne under en viss tid från att kunna göra fler anrop. Detta försvårar exempelvis användningen av skadliga program (skript) som gör automatiserade anrop mot Plattformen i syfte att hämta ut stora mängder information.

text: Därtill har det installerats en bot protection som är särskilt anpassad för Vklass speciella trafikmönster.

text: Motivering av beslutet

text: Allmänt om ansvaret för behandling av personuppgifter

text: Enligt principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen ska den personuppgiftsansvarige ansvara för efterlevnaden av principerna som beskrivs i första stycket i artikeln, däribland säkerhetsprincipen (artikel 5.1 f i dataskyddsförordningen). Ansvarsskyldighetsprincipen har vidareutvecklats i artikel 24 där det framgår att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Dessa åtgärder ska ses över och uppdateras vid behov. Ansvarsskyldighetsprincipen återspeglas också i artikel 28 som fastställer den personuppgiftsansvariges skyldigheter när denne anlitar ett personuppgiftsbiträde.

text: Ett personuppgiftsbiträde är den som behandlar personuppgifter för en personuppgiftsansvarigs räkning. Personuppgiftsbiträdet är ansvarigt för att följa de bestämmelser i dataskyddsförordningen som riktar sig direkt till biträdet, däribland artiklarna 32 och 33.2. Dessutom kan ett personuppgiftsbiträde bli ansvarigt för överträdelser av dataskyddsförordningen som är en följd av att biträdet inte har efterlevt den personuppgiftsansvariges instruktioner.

text: Vklass som tillhandahåller och är ansvarig för Plattformen är personuppgiftsbiträde gentemot de utbildningsverksamheter (personuppgiftsansvariga) som använder den. I Plattformen hanteras bland annat personuppgifter om elever, deras vårdnadshavare och skolpersonal.

text: Personuppgiftsbiträdets skyldighet att underrätta personuppgiftsansvariga

text: Enligt artikel 33.2 i dataskyddsförordningen ska ett personuppgiftsbiträde utan onödigt dröjsmål underrätta den personuppgiftsansvarige efter att biträdet fått vetskap om att en personuppgiftsincident har ägt rum. Det är sedan den personuppgiftsansvarige som ska bedöma om personuppgiftsincidenten är sådan att den ska anmälas till behörig tillsynsmyndighet. För att den personuppgiftsansvarige ska kunna uppfylla sin anmälningsskyldighet krävs att personuppgiftsbiträdet snabbt underrättar den ansvarige.

text: Vklass har inte kunnat meddela de personuppgiftsansvariga om de har berörts av incidenten eller inte. Att Vklass inte har kunnat fastställa detta är en brist som i grunden handlar om brister i tekniska och organisatoriska åtgärder vilket redogörs för nedan. IMY konstaterar att Vklass har uppmanat samtliga personuppgiftsansvariga att anmäla en personuppgiftsincident till IMY samt underrättat dem utan onödigt dröjsmål. IMY finner därför inte skäl att kritisera Vklass enligt artikel 33.2 i dataskyddsförordningen.

text: Skyldigheten att vidta lämpliga tekniska och organisatoriska åtgärder

text: Både den personuppgiftsansvarige och personuppgiftsbiträdet ska enligt artikel 32.1 i dataskyddsförordningen vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå till skydd för de uppgifter som behandlas. Vid

text: bedömningen av vilka tekniska och organisatoriska åtgärder som är lämpliga ska den personuppgiftsansvarige och personuppgiftsbiträdet beakta den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter.

text: Enligt artikel 32.1 omfattar lämpliga skyddsåtgärder bland annat a) pseudonymisering och kryptering av personuppgifter, b) förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingsystemen och -tjänsterna, c) förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, och d) ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: Enligt artikel 32.2 i dataskyddsförordningen ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de risker som behandlingen medför, i synnerhet för oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

text: Vklass är tillhandahållare av Plattformen. Bolaget har i egenskap av personuppgiftsbiträde en skyldighet enligt dataskyddsförordningen att vidta lämpliga skyddsåtgärder för att säkerställa en lämplig säkerhetsnivå för de personuppgifter som Vklass behandlar i Plattformen för de personuppgiftsansvarigas räkning. Vad som är lämpliga skyddsåtgärder ska inte uppfattas som att det är frågan om en godtycklig bedömning utan en bedömning som är adekvat utifrån behandlingens art, omfattning, sammanhang och ändamål samt riskerna för den enskildes fri- och rättigheter.

text: I detta fall är det frågan om en lärplattform som ska ge elever, deras vårdnadshavare och skolpersonal en kommunikationskanal. Eleverna är i stor utsträckning barn och barns personuppgifter har ett särskilt skydd enligt dataskyddsförordningen (skäl 38). Det är många skol- och undervisningsverksamheter som använder Plattformen och den används dagligen av ett stort antal personer. Vklass har uppgett att fler än 70 olika personuppgiftsansvariga använde Plattformen under 2021 och att Plattformen hade över 400 000 aktiva konton per den 1 oktober 2022.

text: En av anledningarna till att kommunikationen sker på en särskild plattform och inte på allmänna öppna kanaler är att denna kommunikation behöver kunna ske på ett förtroendefullt sätt och inte vara tillgänglig för alla och envar. Det innebär att oavsett om det rör sig om elever, deras vårdnadshavare eller skolpersonal har de alla rätt att förvänta sig att deras personuppgifter behandlas på ett sätt som säkerställer att dessa uppgifter varken obehörigen röjs eller att någon obehörigen får åtkomst till dem. Att personuppgifter från Plattformen har publicerats på en webbplats, öppen för alla och envar att läsa på internet, har inneburit ett obehörigt röjande av uppgifter enligt dataskyddsförordningen.

text: Vklass har angett att det troliga scenariot till att de aktuella personuppgiftsincidenterna kunde ske var att en elev med viss behörighet till Plattformen hade utnyttjat en sårbarhet som tidigare fanns i ett av Plattformens API:er. På så vis kunde eleven få tillgång till uppgifterna i de adressböcker som fanns i Plattformen. Vklass har inte själv upptäckt att uppgifter hämtats ut från Plattformen och bolaget har heller inte kunnat ange när de obehöriga intrången skedde eller under hur lång tid de pågick. Vklass utgår från de uppgifter som bolaget hittat efter egna slagningar på Zenbase och

text: bedömer att dessa har hämtats ut från Plattformen under 2021, även om bolaget inte kan utesluta att det också skett i tiden dessförinnan. Den misstänkte eleven hade haft ett konto vid Plattformen sedan 2016. Vklass känner till att den sårbarhet som misstänks ha utnyttjats åtgärdades under 2021 till följd av olika förändringar som Vklass genomförde i Plattformen.

text: Vidare har Vklass angett att ett alternativt scenario till de aktuella incidenterna kan vara att flera användare från olika skolor har samarbetat genom att hämta uppgifter, som var och en av dem haft behörig tillgång till i Plattformen, och därefter samlat ihop uppgifterna och publicerat dem på Zenbase.

text: Vklass känner till att åtminstone tre personuppgiftsansvariga har varit föremål för de aktuella personuppgiftsincidenterna, men misstänker att fler än så kan ha drabbats. Vklass har dock inte kunnat fastställa den fulla omfattningen av incidenterna. Bolaget har uppgett att det varken kan ange vilka personuppgiftsansvariga som påverkats eller vilka personer som har fått sina personuppgifter röjda på Zenbase. Anledningen till detta är att de API-anrop, vilka misstänks ha manipulerats och som görs mot adressböckerna i Plattformen, inte loggas.

text: Som ovan angetts har Vklass inte själv upptäckt att uppgifterna hämtats ut från Plattformen. Bolaget har inte kunnat redogöra för omfattningen av de aktuella personuppgiftsincidenterna och har heller inte kunnat fastställa den bakomliggande orsaken till dem, dvs. om det har rört sig om en användare som obehörigen hämtat ut information från Plattformen genom manipulerade API-anrop eller om det i stället har varit frågan om flera användare som samarbetat genom att inhämta information som var och en av dem haft behörighet till i Plattformen. Att Vklass inte har kunnat fastställa omfattningen av, eller den bakomliggande orsaken till, personuppgiftsincidenterna tyder på att det har funnits brister i bolagets loggnings- och monitoreringssystem.

text: Förmåga att ha kontroll över vad som sker, och vad som har skett, i en verksamhets olika IT-system är grundläggande för att upprätthålla säkerheten för de personuppgifter som behandlas där. Detta är av särskild vikt i förhållande till organisationer som tillhandahåller och administrerar IT-system åt andra verksamheter på motsvarande sätt som Vklass gör gentemot sina kunder, dvs. de personuppgiftsansvariga. Det kan konstateras att Vklass saknar en systemövervakning avseende de API-anrop som görs mot Plattformens adressböcker. En adekvat övervakning av denna del av Plattformen hade gett Vklass möjlighet att kunna upptäcka avvikande händelser och identifiera vilka uppgifter som hämtats från Plattformen, vem eller vilka användare som hämtat uppgifterna samt om en användare berett sig tillgång till uppgifter som denne inte haft behörighet att ta del av. Att Vklass inte har kunnat göra detta i relation till de uppgifter som hämtats från Plattformens adressböcker visar på brister i säkerheten samt att Vklass inte haft förmåga att fortlöpande säkerställa konfidentialiteten för personuppgifterna som behandlas i Plattformen och att skydda dem mot obehörigt röjande eller obehörig åtkomst.

text: Sammanfattningsvis finner IMY att Vklass inte har vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som var lämplig i förhållande till risken med behandlingarna. Anledningen till detta är att Vklass inte haft ett adekvat loggnings- och monitoreringssystem på plats avseende de API-anrop som Plattformens användare gör mot tjänstens adressböcker. Vklass har därmed behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen.

text: Vklass har i tiden efter att de aktuella personuppgiftsincidenterna uppdagades vidtagit åtgärder för att förbättra säkerheten i Plattformen, bland annat genom att ha implementerat en så kallad rate limiting och en specialanpassad bot protection. IMY anser att det är positivt att Vklass har stärkt säkerheten i detta avseende och därmed ökat sin skyddsförmåga, men IMY bedömer samtidigt att det fortfarande finns brister vad gäller bolagets interna loggnings- och monitoreringssystem. Att föra erforderliga loggar är en viktig skyddsåtgärd för att kunna kartlägga och fastställa orsaken bakom, och omfattningen av, en inträffad personuppgiftsincident.

text: Val av ingripande

text: Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra en administrativ sanktionsavgift. Beroende på omständigheterna i det enskilda fallet ska en administrativ sanktionsavgift påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som t.ex. ett föreläggande eller ett förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om en administrativ sanktionsavgift ska påföras och vid bestämmande av avgiftens storlek. Om det är frågan om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY har konstaterat att Vklass har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen. En överträdelse av den bestämmelsen kan föranleda en sanktionsavgift.

text: Vid bedömning av överträdelsens allvar kan IMY konstatera att Vklass är en professionell tjänsteleverantör som tillhandahåller och administrerar Plattformen åt utbildningsverksamheter. Det är många verksamheter som använder Plattformen och det finns många registrerade på den som helhet. Många av dessa är barn och därför extra skyddsvärda. Vklass har därmed ett stort ansvar att tillhandahålla en säker tjänst.

text: Vklass har för de aktuella personuppgifterna saknat systemövervakning avseende de API-anrop som görs mot Plattformens adressböcker. En övervakning som skulle ha gett Vklass möjlighet att upptäcka avvikande händelser och identifiera vilka uppgifter som hämtats från Plattformen. Avsaknaden av en sådan systemövervakning och loggning har lett till att Vklass inte själv har upptäckt incidenterna och att det inte heller kan ange vilka personuppgiftsansvariga eller registrerade som har drabbats eller när detta skett.

text: Samtidigt kan IMY konstatera att det finns såväl behörighetsstyrning som övervakning och loggning på delar av tjänsten. De olika personuppgiftsansvarigas personuppgifter är separerade och ett uttag omfattande flera personuppgiftsansvariga ska därför inte vara möjligt. De personuppgifter som hämtats från adressböckerna har inte rört känsliga personuppgifter, personnummer eller skyddade personuppgifter. Det har inte heller varit frågan om omdömen eller fritexter, utan de uppgifter som röjts har rört sig om kontaktuppgifter såsom namn och e-postadresser.

text: IMY kan också konstatera att Vklass agerade direkt när de fick kännedom om incidenterna genom att kontakta samtliga personuppgiftsansvariga som kunde ha drabbats. Vklass kontaktade även Zenbase direkt och uppmanade aktören bakom

text: webbsidan att upphöra med publiceringen, vilket också skedde. Vklass har därefter vidtagit åtgärder för att förbättra säkerheten genom att implementera rate limiting och en specialanpassad bot protection.

text: Sammantaget innebär detta, enligt IMY:s bedömning, att det inte vore proportionerligt att påföra Vklass en sanktionsavgift för den konstaterade överträdelsen. Bolaget ska därför, med stöd av artikel 58.2 b i dataskyddsförordningen, i stället ges en reprimand.

text: Som konstaterats ovan anser IMY att Vklass fortfarande saknar ett adekvat system för att på ett lämpligt sätt kunna övervaka de personuppgiftsbehandlingar som sker i vissa delar av Plattformen, dvs. Plattformens adressböcker. Av denna anledning anser IMY att det finns skäl att förelägga Vklass enligt artikel 58.2 d i dataskyddsförordningen att vidta tekniska och organisatoriska åtgärder i enlighet med artikel 32 för att säkerställa bolagets förmåga att kunna identifierade avvikande händelser samt förmåga till spårbarhet i Plattformen i syfte att kunna upptäcka och fastställa orsaken bakom och omfattningen av en inträffad personuppgiftsincident. Om API-anrop tillåts till Plattformens adressböcker bör en lämplig åtgärd innefatta bland annat händelseloggning som registrerar användarnas anrop.

text: Detta beslut har fattats av enhetschefen Katarina Tullstedt efter föredragning av it- och informationssäkerhetsspecialisten Katarina Bengtsson och juristen Per Nydén.

text: Katarina Tullstedt, 2023-08-24 (Det här är en elektronisk signatur)

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.