text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning).

text: En landningssida är en webbsida som ofta skapas med ett marknadsförings- eller annonseringssyfte och som visas som svar när besökaren klickar på en för marknadsföringskampanjen unik länk. En landningssida är ofta skapad för att leda besökarna direkt till den information som är relevant eller unik för dem i stunden, istället för att leda dem till en generell startsida på en webbplats där informationen finns bland annan information som inte är relevant i sammanhanget.

text: Siffran omfattar samtliga kategorier som mottagit videohälsningar, dvs. även de kategorier som inte omfattas av IMY:s prövning.

text: Se Europeiska dataskyddsstyrelsens (EDPB:s) riktlinjer Guidelines 07/2020 on the concepts of controller and processor in the GDPR, punkt 45 och EU-domstolens dom av den 5 juni 2018, Wirtschaftsakademie,

text: , EU:C:2018:388, punkt 38 och 39.

text: Se bland annat EU-domstolens dom av den 4 maj 2017, Rīgas satiksme,

text: , EU:C:2017:336, punkt 28, EUdomstolens dom av den 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA,

text: , EU:C:2019:1064, punkt 40, av den 17 juni 2021, M.I.C.M.,

text: , EU:C:2020:1063, punkt 106 och av den 4 juli 2023, Meta Platforms m.fl.,

text: , EU:C:2023:537, punkt 106. 6 Se EU-domstolens dom den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond,

text: , EU:C:2024:857, punkt 49. 7 Se Asociaţia de Proprietari bloc M5A-ScaraA,

text: , punkt 44. 8 Se Koninklijke Nederlandse Lawn Tennisbond,

text: , punkt 50. 9 Se Meta Platforms m.fl.,

text: , punkt 126 och EDPB:s

text: riktlinjer 1/2024

text: , punkterna 28 och 29. Observera att riktlinjerna inte har blivit slutligt antagna av EDPB vid tidpunkten för det här beslutet. 10 Se bland annat Asociaţia de Proprietari bloc M5A-ScaraA,

text: , punkterna 47 och 48 och Meta Platforms m.fl.,

text: , punkterna 108 och 109. 11 Se bland annat Asociaţia de Proprietari bloc M5A-ScaraA, punkterna 52–58.

text: Se EDPB:s

text: riktlinjer 1/2024

text: , punkterna 32–34. 13 Se Mousse,

text: , punkt 60.

text: Se

text: 19 § marknadsföringslagen (2008:486)

text: och Levin,

text: Marknadsföringslagen (1942:740)

text: 19 §

text: , Lexino 2025-08-25 (JUNO). 15 Se EDPB:s

text: riktlinjer 1/2024

text: , punkt 53.

text: Se EDPB:s

text: riktlinjer 1/2024

text: , punkt 57.

text: Artikel 29-gruppens riktlinjer 2016/679 om öppenhet, s. 7. 18 Se Artikel 29-gruppens riktlinjer 2016/679 om öppenhet, s. 40.

text: Se Artikel 29-gruppens riktlinjer om öppenhet enligt förordning

text: (EU) 2016/673

text: , s. 37. 20 Se

text: Artikel 29

text: gruppens riktlinjer 2016/679 om öppenhet, s. 38.

amne: Marknadsföring

korrigerandeAtgard: Reprimand

lagrum: Artiklarna 6.1 f och 14 i dataskyddsförordningen, GDPR.

nyckelord: Intresseavvägning, marknadsföring

rubrik: Politiskt parti skickade personliga videohälsningar via SMS och e-post

sammanfattning: IMY har granskat hur Moderata samlingspartiet riksorganisationen (Moderaterna) har behandlat personuppgifter genom utskick av sms och e-post i samband med valet 2022. Utskicken innehöll en personlig videohälsning där mottagaren nämndes med namn. Utskicken gjordes till personer som inte var partimedlemmar eller på annat sätt själva visat intresse för partiet. IMY bedömde att Moderaterna saknade stöd i sin intresseavvägning enligt artikel 6.1 f i dataskyddsförordningen. Enligt IMY:s bedömning var de registrerades integritetsintresse starkt, både med hänsyn till formen för utskicket och att de registrerade inte kunde förvänta sig den aktuella behandlingen. Därför vägde de registrerades intressen tyngre än partiets intresse av att sprida informationen på det aktuella sättet. IMY konstaterade även att partiet inte har försett de registrerade med den information om personuppgiftsbehandlingen som krävs enligt artikel 14 i dataskyddsförordningen. IMY gav Moderaterna en reprimand för överträdelserna. Läs tillsynsbeslutet

title: Moderata samlingspartiet Riksorganisationen

sammanfattning: IMY har granskat Moderaternas behandling av personuppgifter i samband med partiets utskick av personliga videohälsningar inför riksdagsvalet 2022. IMY bedömer att Moderaterna saknat rättslig grund för behandlingen och inte har informerat om behandlingen på det sätt som krävs enligt dataskyddsförordningen. IMY ger Moderaterna en reprimand för överträdelsen.

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Moderata samlingspartiet riksorganisationen, 802001-5452, har brutit mot artikel 6.1 i dataskyddsförordningen genom att behandla personuppgifter utan rättslig grund i samband med framställning och utskick av personliga videohälsningar inför riksdagsvalet 2022.

text: IMY konstaterar vidare att Moderata samlingspartiet riksorganisationen har brutit mot artikel 14 i dataskyddsförordningen genom att inte ha gett tillräcklig information om behandlingen av personuppgifter.

text: IMY ger Moderata samlingspartiet riksorganisationen en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen för överträdelserna.

text: 1 Redogörelse för tillsynsärendet

text: 1.1 Bakgrund och avgränsning

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot Moderata samlingspartiet riksorganisationen (Moderaterna eller partiet) med anledning av information som framkommit av ett flertal klagomål från personer som tagit emot utskick av personliga videohälsningar från partiet inför riksdagsvalet 2022.

text: I videohälsningarna visades Moderaternas partiledare som talade direkt till mottagaren och uppmanade mottagaren att rösta på partiet i det kommande valet. I hälsningen benämndes mottagaren med förnamn. Det övriga innehållet i videohälsningarna varierade och var bland annat anpassat till mottagarens tidigare relation till partiet, såsom att mottagaren var medlem i partiet, att mottagaren visat intresse för partiets kärnfrågor kopplat till en viss politisk kampanj (såsom ”Ja till NATO”) eller om Moderaterna samlat in mottagarens uppgifter på annan väg, exempelvis genom tips. Majoriteten av videohälsningarna skickades till mottagarna via sms eller e-post. För det fall en mottagare av hälsningen var bosatt utanför Sverige gjordes utskicket via brev, med möjlighet att ta del av en videohälsning genom att avläsa en QR-kod.

text: IMY har valt att avgränsa prövningen till den behandling av mottagarnas personuppgifter som skett i samband med framställning och utskick av videohälsningar till personer som Moderaterna har tipsats om från annan om att de skulle kunna vara intresserade av en videohälsning samt personer vars personuppgifter inhämtats från databasen MIA, som tillhandahålls av Marknadsinformation Analys MIA AB (MIA).

text: IMY:s prövning tar sikte på om Moderaterna har haft rättslig grund enligt artikel 6 i dataskyddsförordningen för den behandling av mottagarnas personuppgifter som skett i samband med framställningen och utskicken av de aktuella videohälsningarna. Prövningen avser även om den information om personuppgiftsbehandlingen som Moderaterna har lämnat till de registrerade har uppfyllt kraven i artikel 14 i dataskyddsförordningen.

text: 1.2 Vad Moderaterna uppgett

text: Moderaterna har i huvudsak uppgett följande.

text: 1.2.1 Personuppgiftsansvar

text: Moderaterna är personuppgiftsansvarig för den behandling av personuppgifter som tillsynsärendet gäller.

text: 1.2.2 Hur behandlingen har gått till

text: Personuppgifter har samlats på olika sätt, beroende på kategori av registrerad och vilket tema videohälsningen har haft.

text: Uppgifter om personer som Moderaterna tipsats om har samlats in genom elektroniska formulär som andra personer kunnat fylla i för att hänvisa en vän till att få en videohälsning via sms eller e-post. För vissa personer har personuppgifter i form av namn och telefonnummer inhämtats från databasen MIA.

text: Framställning och distribution av videohälsningar har gjorts med hjälp av bolaget SEEN AS (SEEN eller personuppgiftsbiträdet) i egenskap av personuppgiftsbiträde till Moderaterna. Moderaterna har lämnat över personuppgifterna till SEEN och all data, däribland de färdiga videohälsningarna, har lagrats på personuppgiftsbiträdets servrar. SEEN har i sin tur anlitat underbiträden för utskick och lagring av videohälsningarna. Underbiträdena har tagit del av personuppgifter så som de färdiga videohälsningarna, mottagarens e-postadress och standardwebbserverloggar.

text: Utskicken av videohälsningarna har gjorts genom att de registrerade fick ett epostmeddelande eller sms med en för varje mottagare unik länk till en landningssida där videohälsningen visats. Om en mottagare klickat på länken har landningssidans innehåll, videohälsningen, genererats i realtid från en fördefinierad mall för den aktuella hälsningen.

text: För att kunna se sin videohälsning har mottagaren även behövt ge sitt godkännande till Moderaternas behandling av personuppgifter. Om mottagaren har valt att inte godkänna behandlingen har videohälsningen och mottagarens personuppgifter raderats från SEEN:s servrar direkt. Videohälsningen och personuppgifterna har även raderats om mottagaren inte besökte landningssidan inom 30 dagar från att länken mottogs. När den registrerade har valt att klicka på länken för att visa videohälsningen har innehållet för videohälsningens landningssida och tillhörande metadata lagrats tillfälligt i 10 dagar på en server hos ett av underbiträdena. Det har inneburit att innehållet, och således mottagarens personuppgifter, tillfälligt har lagrats så att mottagaren har kunnat återbesöka sin videohälsning inom 10 dagar utan att innehållet behövt genereras på nytt. Inga landningssidor genererades eller lagrades om mottagaren inte klickade på länken.

text: De individualiserade webbadresserna till landningssidorna har innehållit personuppgifter så som uppgift om vilken kampanj filmen handlade om, mottagarens förnamn och i vissa fall bostadsort. Dessa personuppgifter har inte varit direkt synliga

text: för mottagaren, men varit möjliga att nå genom att granska källkoden i webbadressen till landningssidan.

text: Moderaterna har totalt skickat ut 980 338 videohälsningar under 2022.

text: 1.2.3 Personuppgifterna som behandlats

text: Moderaterna har behandlat följande personuppgifter.

text: Vid insamling av personuppgifterna

text: • mottagarens för- och efternamn • förnamn på den som tipsat Moderaterna om mottagaren (i aktuella fall) • kontaktuppgifter i form av e-post eller telefonnummer • geografisk plats (för personer som moderaterna tipsats om)

text: Vid utskick av videohälsningen

text: • mottagarens förnamn • förnamn på den som tipsat Moderaterna om mottagaren (i aktuella fall) • e-postadress eller telefonnummer.

text: Vid visningen av videohälsningen

text: • mottagarens förnamn • förnamn på den som tipsat Moderaterna om mottagaren (i aktuella fall)

text: Varje videohälsnings landningssida innehöll även inbäddade metadata i form av

text: • mottagarens interna ID i SEEN:s databas • ID för målsideposten i SEEN:s databas • URL:en till mottagarens unikt renderade film.

text: 1.2.4 Moderaternas rättsliga grund för behandlingen

text: Den rättsliga grunden för den aktuella behandlingen av personuppgifter har varit Moderaternas berättigade intresse av att förse allmänheten med information om partiets politiska respektive organisatoriska verksamhet. Beträffande personer som Moderaterna tipsats om från andra har Moderaterna även angett tipsarens berättigade intresse av att en vän får relevant information om politik denne eventuellt har ett intresse för.

text: Moderaterna har uppgett att formen för utskicket varit nödvändig för att nå ut med informationen till registrerade på ett effektivt sätt. Med hänsyn till att det rör sig om en videohälsning är det även viktigt att denna kan skickas digitalt. Att använda brev, och på så vis minimera personuppgifterna ytterligare, innebär förlust i tid och ökade kostnader för Moderaterna, samt försvårar för mottagaren att ta del av informationen effektivt då de hade behövt skriva in webbadressen manuellt eller skanna en QR-kod för att nå videohälsningen. Genom att skicka informationen digitalt har man säkerställt att videohälsningen inte hamnat i fel händer på grund av felaktig hantering av fysisk post. Det berättigade intresset kan i ljuset av ovan inte tillgodoses på ett lika effektivt

text: sätt genom att göra på annat sätt eller behandla färre uppgifter. Behandlingen har därmed varit nödvändig.

text: Gällande personer som Moderaterna har tipsats om av en annan person menar Moderaterna att det varit nödvändigt att i aktuella fall behandla uppgifter om dessa personers intresse i kärnfrågor för att skicka så relevanta videohälsningar som möjligt. Personuppgifterna har minimerats till att endast omfatta sådana som behövs för ändamålet och för att kunna generera och skicka ut en videohälsning. Det har inte gått att härleda uppgifterna till mottagarens intresse av Moderaternas politik eller annan politisk åsikt.

text: I intresseavvägningen har Moderaterna även vägt in de tekniska och organisatoriska säkerhetsåtgärder som partiet vidtagit för att begränsa eventuell påverkan på de registrerade. Åtgärderna har bland annat varit följande:

text: • Identifierare: Identifierare för varje videohälsning har utformats genom slumpmässiga strängar som genererades från slumpmässiga gemener + versaler + siffror, t.ex. a–z, 0–9, innebärande totalt 916 132 832 unika kombinationer. Det här är en åtgärd som har vidtagits för att göra det mycket svårt att gissa sig till eller forcera en webbadress som kan innehålla personuppgifter.

text: • Inhämtande av godkännande: I samband med att mottagarna klickade på länken har de, innan de kunde se sin videohälsning, behövt ge sitt godkännande till datahanteringen. Godkännandet enligt ovan ska inte ses som ett samtycke enligt dataskyddsförordningen utan snarare som ett allmänt godkännande. Detta för att säkerställa att endast personer som aktivt velat ta del av videohälsningen har fått sina personuppgifter lagrade.

text: • En-till-en kommunikation: Alla webbadresser har skickats direkt till den registrerade via sms eller e-post, alltså kanaler som möjliggör ”en-till-en” kommunikation, för att säkerställa att mottagaren är avsedd mottagare.

text: • Laddning av landningssida: Inga landningssidor genererades och lagrades om ingen klickade på länken i sms:et eller e-postmeddelandet, utan genererades dynamiskt, i syfte att landningssidor endast skulle skapas för personer som aktivt valt att visa videohälsningarna.

text: • Transparens: Vid utskick av sms angavs adresskällan för ökad transparens och möjlighet för de registrerade att åtgärda eventuella felaktigheter direkt hos källan. Utöver detta angavs även information om hur mottagaren kan avregistrera sig från framtida sms och vart mottagaren ska vända sig med frågor om sms:et, där Moderaterna tagit fram en egen undersida på sin webbplats för att informera om sms:en.

text: Moderaternas bedömning är således att mottagarnas intresse av att inte få sina personuppgifter behandlade, samt deras grundläggande fri- och rättigheter, inte har vägt tyngre än partiets berättigade intresse av att behandla personuppgifterna.

text: 1.2.5 Informationen till de registrerade

text: Moderaterna har lämnat information om personuppgiftsbehandlingen genom att hänvisa mottagarna av videohälsningarna till Moderaternas integritetsskyddspolicy, tillgänglig på bland annat partiets webbplats. Av texten har bland annat framgått att

text: Moderaterna stödjer sin behandling på en intresseavvägning, där partiet angett att de har ett berättigat intresse av att behandla personens personuppgifter för att förse denne med information om partiets politiska och organisatoriska verksamhet.

text: Mottagare av videohälsningarna har getts tillgång till informationen på olika sätt beroende på hur partiet samlat in deras personuppgifter, dvs. vilken kategori av registrerade de tillhört.

text: Utöver informationen i integritetsskyddspolicyn har vissa mottagare av videohälsningarna även fått ytterligare information om behandlingen i det sms som skickades ut. För de mottagare som Moderaterna tipsats om har sms:et eller epostmeddelandet innehållit information om vem som tipsat Moderaterna.

text: För det fall mottagarens uppgifter inhämtats från den externa databasen innehöll sms:et som skickades ut information om att deras uppgifter inhämtats därifrån och hur de kunde avsluta utskicken. Sms:et innehöll också en länk till en undersida på Moderaternas webbplats med information om hur Moderaterna hanterar personuppgifter i samband med sms-utskick. Texten såg ut på följande sätt:

text: ”Hej FÖRNAMN, jag har spelat in en personlig videohälsning till dig https://video.moderaterna.se/v/ovdRz/ Tillsammans kan vi få ordning på Sverige! Hälsningar Ulf Kristersson Adresskälla: MIA. Skriv MSTOP XX till 7XX XX för att avregistrera Frågor om ditt sms? moderaterna.se/sms”.

text: 2 Motivering av beslutet

text: IMY tar inledningsvis ställning till om Moderaterna är personuppgiftsansvarig för den aktuella behandlingen av personuppgifter. IMY prövar därefter om Moderaterna har haft rättslig grund för och gett de registrerade tillräcklig information om behandlingen på det sätt som krävs enligt dataskyddsförordningen.

text: 2.1 Personuppgiftsansvar

text: 2.1.1 Tillämpliga bestämmelser

text: Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. En aktör kan vara att betrakta som personuppgiftsansvarig även om den saknar faktisk tillgång till personuppgifterna som behandlas.

text: 2.1.2 IMY:s bedömning

text: Moderaterna har uppgett att partiet är personuppgiftsansvarig för den personuppgiftsbehandling som tillsynen gäller. Av utredningen har framkommit att Moderaterna bestämt hur personuppgifterna ska behandlas och för vilka ändamål. IMY bedömer därför att Moderaterna är personuppgiftsansvarig för den aktuella behandlingen av personuppgifter.

text: 2.2 Rättslig grund för behandlingen

text: 2.2.1 Tillämpliga bestämmelser m.m.

text: I enlighet med principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen är det den personuppgiftsansvarige som ansvarar för och ska kunna visa att reglerna i dataskyddsförordningen följs, däribland att behandlingen är laglig.

text: För att en personuppgiftsbehandling ska vara laglig krävs att åtminstone ett av villkoren i artikel 6.1 i dataskyddsförordningen är uppfyllt. Dessa villkor brukar benämnas rättsliga grunder.

text: För att en behandling ska kunna stödja sig på den rättsliga grunden berättigat intresse (även kallad intresseavvägning) i artikel 6.1 f i dataskyddsförordningen krävs att tre villkor är uppfyllda. För det första ska det finnas ett eller flera berättigade intressen för den personuppgiftsansvarige eller tredje part. För det andra ska personuppgiftsbehandlingen vara nödvändig för att tillgodose det berättigade intresset. För det tredje krävs att de registrerades intressen eller grundläggande fri- och rättigheter inte väger tyngre än den personuppgiftsansvariges eller tredje partens berättigade intresse (intresseavvägning).

text: Det berättigade intresset ska vara lagligt, vilket innebär att det inte får stå i strid med vare sig EU-rätt eller nationell rätt. Vidare ska intresset vara klart och tydligt formulerat och gälla ett faktiskt intresse som föreligger vid tidpunkten för behandlingen och inte är hypotetiskt. För att strävan efter att ett sådant berättigat intresse ska kunna möjliggöra en behandling av personuppgifter med stöd av artikel 6.1 f måste den personuppgiftsansvarige uppfylla alla andra skyldigheter enligt dataskyddsförordningen.

text: Av EU-domstolens praxis framgår att kravet på nödvändighet är uppfyllt om det berättigade intresset inte rimligtvis kan uppnås på ett lika effektivt sätt genom andra medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till respekt för privatlivet och rätten till skydd för personuppgifter enligt artiklarna

text: och

text: i Europeiska unionens stadga om de grundläggande rättigheterna. Det räcker inte att behandlingen är användbar för att uppfylla det berättigade intresset, EU-domstolen har också angett att behandlingen måste vara strängt nödvändig. Kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen. Det innebär att personuppgifterna som behandlas ska vara adekvata och relevanta och inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas.

text: Den intresseavvägning som krävs enligt det tredje villkoret ska göras mot bakgrund av de konkreta omständigheterna i det aktuella fallet. Den personuppgiftsansvarige ska

text: vid avvägningen identifiera och beakta den registrerades intressen samt rättigheter och friheter, behandlingens påverkan på den registrerade och huruvida den registrerade rimligen kan förvänta sig behandling för det aktuella ändamålet. Vid bedömningen av behandlingens påverkan ska hänsyn tas till karaktären på uppgifterna som behandlas, om det rör sig om känsliga personuppgifter, behandlingens sammanhang och övriga konsekvenser. Utifrån dessa omständigheter ska en avvägning göras av motstående rättigheter och intressen, som ska inkludera möjligheten till ytterligare förmildrande åtgärder som går utöver vad den personuppgiftsansvarige är skyldig att göra för att följa reglerna i dataskyddsförordningen.

text: För det fall behandlingen sker för ändamål som rör personligt riktad reklam ska i bedömningen även vägas in att det berättigade intresset av att behandla uppgifterna för sådana ändamål inte under några omständigheter kan anses väga tyngre om det finns en risk för att den registrerades grundläggande fri- och rättigheter påverkas negativt.

text: 2.2.2 IMY:s bedömning

text: Berättigat intresse

text: Moderaternas intresse av att informera om partiets politiska verksamhet har varit lagligt, verkligt och faktiskt vid tidpunkten för behandlingen. IMY konstaterar därför att Moderaterna har haft ett berättigat intresse i den mening som avses i artikel 6.1 f i dataskyddsförordningen.

text: IMY bedömer dock att tipsarens intresse av att en vän ska få information om politik som denne kan vara intresserad av inte utgör ett sådant berättigat intresse för tredje part som kan ligga till grund för behandling med stöd av artikel 6.1 f i dataskyddsförordningen. Detta intresse kommer därför inte ligga till grund för den fortsatta bedömningen.

text: Nödvändighet

text: Den behandling som krävts för att framställa och skicka ut de personliga videohälsningarna har omfattat uppgifter om bland annat förnamn, bostadsort, epostadress och telefonnummer. Framställningen av de personligt anpassade videohälsningarna har innefattat flera olika behandlingsmoment, bland annat i form av att personuppgifterna överförts till samt lagrats och bearbetats av ett personuppgiftsbiträde. Om en mottagare klickat på länken har uppgifterna därefter använts för att generera och visa den personliga filmen, vilket medfört att ytterligare personuppgifter i form av metadata om mottagarens videohälsning skapats. Personuppgifterna har, utöver den tid de behandlats innan utskicken gjordes, i många fall lagrats under en längre tid än 30 dagar efter att utskicken till mottagarna skett.

text: I det aktuella fallet har behandlingen av de registrerades personuppgifter varit omfattande, bland annat sett till att det skett en omfattande bearbetning av personuppgifterna och att uppgifterna lagrats under en längre tid i syfte att göra ett enstaka utskick av information. IMY bedömer därför att Moderaterna inte har visat att syftet att nå ut med informationen inte rimligtvis hade kunnat uppnås på ett lika effektivt sätt med hjälp av mindre omfattande behandling av personuppgifter. Det

text: innebär att behandlingen av personuppgifter i syfte att framställa och skicka ut personligt anpassade videohälsningar inte har varit nödvändig.

text: Intresseavvägning

text: Redan av ovannämnda skäl bedömer IMY att Moderaterna saknat rättslig grund för behandlingen. Oaktat detta prövar IMY det tredje villkoret, dvs. om de registrerades intressen eller grundläggande fri- och rättigheter väger tyngre än den personuppgiftsansvariges eller tredje partens berättigade intresse (intresseavvägning).

text: IMY konstaterar att utskick av ett politiskt meddelande som riktas direkt till en enskild via sms eller e-post utan att personen själv efterfrågat sådan information är påträngande. I

text: marknadsföringslagen

text: har det införts ett särskilt starkt integritetsskydd vid utskick av obeställd reklam via sms eller e-post. Skyddet innebär att sådana utskick som huvudregel bara är tillåtna om samtycke har inhämtats på förhand. Det primära syftet med regleringen är att skydda konsumenter mot särskilt påträngande obeställd reklam.

text: Marknadsföringslagen

text: är visserligen inte tillämplig vid politisk marknadsföring, men lagstiftarens ställningstagande kring behovet av särskilt integritetsskydd visar att de registrerades intressen väger tungt vid obeställda utskick av reklam via sms och e-post.

text: Enligt IMY innebär detta att utrymmet för att använda sms och e-post för politisk reklam till den som inte är medlem eller aktivt har visat intresse för informationen är ytterst begränsat. Det gäller i synnerhet i ett fall som detta där ett parti använt sig av en personligt anpassad videohälsning där partiledaren direkt tilltalar den registrerade vid förnamn och informerar om sitt politiska budskap. Ett sådant tilltal måste anses som särskilt påträngande. Mot denna bakgrund samt med beaktande av att de registrerade inte själva har lämnat sina personuppgifter eller haft en tidigare relation till partiet, anser IMY att behandlingen inte kan anses ha legat inom ramen för de registrerades rimliga förväntningar.

text: I relevanta fall har mottagaren visserligen fått information om vem som har tipsat Moderaterna om honom eller henne tillsammans med en länk till integritetsskyddspolicyn och på så vis fått kännedom om att partiet behandlar dennes personuppgifter. Att den personuppgiftsansvarige lämnat information i enlighet med regleringen i dataskyddsförordningen är dock inte tillräckligt för att den registrerade rimligen ska förvänta sig en viss behandling. Vid bedömningen av de registrerades intressen har IMY även beaktat att det av informationen i integritetspolicyn dessutom inte har framgått hur partiet behandlar personuppgifter om personer som inte själva visat intresse för partiet, vilket närmare utvecklas i avsnitt 2.3 av beslutet. De registrerade har således inte kunnat läsa sig till och förstå vilka personuppgifter om dem som behandlats i sammanhanget och hur behandlingen har gått till.

text: I intresseavvägningen har Moderaterna vägt in de skyddsåtgärder partiet har vidtagit för att begränsa intrånget i de registrerades personliga integritet, så som inhämtande av godkännande i samband med visningen av videohälsningen. IMY konstaterar att ett sådant godkännande i viss mån kan betraktas som en integritetshöjande åtgärd. Det kan dock konstateras att godkännandet efterfrågats först efter att personuppgifter redan behandlats i syfte att förbereda och genomföra utskicket och endast om mottagaren valt att klicka på den länk som skickats ut. Övriga säkerhetsåtgärder, så

text: som tekniska säkerhetsåtgärder och information i sms-utskick om adresskällan, utgör sådana åtgärder som ligger inom ramen för de skyldigheter som åligger den personuppgiftsansvarige enligt bland annat artiklarna 14 och 32 i dataskyddsförordningen. Åtgärderna ska därmed inte betraktas som sådana ytterligare skyddsåtgärder som ska vägas in i intresseavvägningen.

text: Vid en sammantagen bedömning finner IMY att de registrerades intressen och grundläggande rättigheter och friheter väger tyngre än Moderaternas intresse av att nå ut med informationen på det aktuella sättet. Därmed är inte det inte heller visat att det tredje villkoret i artikel 6.1 f är uppfyllt.

text: Sammanfattande bedömning

text: Sammanfattningsvis bedömer IMY att Moderaterna inte har kunnat grunda den aktuella behandlingen av personuppgifter på artikel 6.1 f i dataskyddsförordningen. Det har inte heller framkommit att Moderaterna haft stöd för behandlingen i någon av de andra rättsliga grunderna i artikel 6.1 i dataskyddsförordningen. Partiet har därmed behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen i samband med framställning och utskick av personliga videohälsningar inför riksdagsvalet 2022.

text: 2.3 Information om behandlingen

text: Moderaterna har redogjort för hur de har informerat respektive grupp av registrerade om personuppgiftsbehandlingen och angett följande avseende de grupper som omfattas av IMY:s prövning.

text: Personer som Moderaterna tipsats om

text: De registrerade har tagit emot videohälsningen via sms eller e-post, beroende på vad den som tipsat Moderaterna valt. I textmeddelandet har de informerats om att Moderaterna var avsändare och att information om Moderaternas personuppgiftsbehandling bland annat fanns tillgänglig på Moderaternas webbplats. Textmeddelandet har även innehållit en länk till integritetsskyddspolicyn.

text: Textmeddelandet har även innehållit förnamnet på den person som tipsat partiet om mottagaren och hur mottagaren kunde avsluta utskicken.

text: Personer vars uppgifter inhämtats från MIA

text: Samtliga personer i denna kategori har tagit emot videohälsningar genom sms-utskick. I textmeddelandet har mottagaren informerats om att Moderaterna var avsändare och att personuppgifterna inhämtats från MIA. Sms-meddelandet har även innehållit en länk till Moderaternas webbplats, där mottagaren har kunnat nå integritetsskyddspolicyn.

text: 2.3.1 Tillämpliga bestämmelser

text: Av artikel 14 i dataskyddsförordningen framgår vilken information som den personuppgiftsansvarige ska ge den registrerade vid behandling av personuppgifter som inte tillhandahållits av den registrerade själv. Den personuppgiftsansvarige ska bland annat informera om identitet och kontaktuppgifter för den personuppgiftsansvarige, ändamålen med behandlingen, information om den period

text: under vilken personuppgifterna kommer att lagras och om de eventuella mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna samt de kategorier av personuppgifter som behandlingen gäller.

text: Av skäl 39 till dataskyddsförordningen följer att varje behandling av personuppgifter måste vara laglig och rättvis. Det bör vara klart och tydligt för fysiska personer hur personuppgifter som rör dem insamlas, används, konsulteras eller på annat sätt behandlas samt i vilken utsträckning personuppgifterna behandlas eller kommer att behandlas. Öppenhetsprincipen kräver att all information och kommunikation i samband med behandlingen av dessa personuppgifter är lättillgänglig och lättbegriplig samt att ett klart och tydligt språk används. Den principen gäller framför allt informationen till registrerade om den personuppgiftsansvariges identitet och syftet med behandlingen samt ytterligare information för att sörja för en rättvis och öppen behandling för berörda fysiska personer och deras rätt att erhålla bekräftelse på och meddelande om vilka personuppgifter rörande dem som behandlas. Fysiska personer bör göras medvetna om risker, regler, skyddsåtgärder och rättigheter i samband med behandlingen av personuppgifter och om hur de kan utöva sina rättigheter med avseende på behandlingen.

text: Av skäl 60 följer att principerna om rättvis och öppen behandling fordrar att den registrerade informeras om att behandling sker och syftet med den. Den personuppgiftsansvarige bör till den registrerade lämna all ytterligare information som krävs för att säkerställa en rättvis och öppen behandling, med beaktande av personuppgiftsbehandlingens specifika omständigheter och sammanhang.

text: Artikel 29-gruppen, som numera ersatts av den Europeiska dataskyddsstyrelsen (EDPB), har tagit fram riktlinjer om öppenhet,

text: rev. 01 (

text: ). Av

text: framgår bland annat att en central del av principen om öppenhet är att den registrerade ska ha möjlighet att förutse vad omfattningen och konsekvenserna av behandlingen innebär och att den registrerade inte i ett senare skede blir överraskad av hur dennes personuppgifter har hanterats.

text: Beträffande lagringstiden för personuppgifterna framgår av nämnda riktlinjer att den:

text: […] bör anges på ett sådant sätt att den registrerade, utifrån sin egen situation, kan bedöma lagringstiden för särskilda uppgifter/ändamål. Det räcker inte att den personuppgiftsansvarige generellt anger att personuppgifterna bevaras så länge som är nödvändigt för de berättigade ändamålen med behandlingen. I relevanta fall bör olika lagringstider anges för olika kategorier av personuppgifter och/eller olika behandlingsändamål, inklusive arkiveringstid i lämpliga fall.

text: Beträffande information om mottagare av personuppgifter framgår av

text: att mottagare av personuppgifter ska tolkas utifrån definitionen i artikel 4.9 i dataskyddsförordningen. Av riktlinjerna förtydligas att en mottagare inte behöver vara en tredje part. Vidare förtydligas att de faktiska mottagarna generellt sett bör nämnas med namn, så att den registrerade vet exakt vem som har deras personuppgifter. Detta i linje med rättviseprincipen. Om den personuppgiftsansvarige istället informerar om kategorierna av mottagare ska informationen göras så specifik som möjligt genom

text: att ange typen av mottagare, exempelvis genom att hänvisa till vilka olika aktiviteter mottagaren utför, inom vilken sektor eller mottagarens geografiska plats.

text: 2.3.2 IMY:s bedömning av Moderaternas information om behandlingen

text: Kategorier av personuppgifter

text: Enligt artikel 14.1 d ska den personuppgiftsansvarige lämna information om de kategorier av personuppgifter som behandlingen gäller. Informationen krävs eftersom de registrerade i det fallet inte känner till vilka kategorier av personuppgifter den personuppgiftsansvarige har erhållit.

text: Moderaterna har ombetts att särskilt ange vilka avsnitt i informationen som är relevanta för personuppgiftsbehandlingen i samband med framställningen och utskick av de personliga videohälsningarna och har hänvisat till avsnitt 2 och 4 integritetsskyddspolicyn.

text: I avsnitt 2 i integritetsskyddspolicyn förekommer information om i vilka situationer Moderaterna behandlar personuppgifter. Avsnittet har rubriken Hur och varför behandlar vi dina personuppgifter? Av avsnittets andra och tredje stycke framgår att Moderaterna behandlar information om medlemskap i Moderata samlingspartiet. I avsnittets fjärde stycke beskrivs hur Moderaterna behandlar om gruppen intressenter. Av fjärde stycket framgår att partiet … behandlar i vissa fall personuppgifter, främst kontaktuppgifter såsom namn, adress, telefonnummer och e-postadress, om personer som inte är eller ännu har blivit medlemmar men som lämnat sådana uppgifter till oss eller annars visat intresse för partiets verksamhet eller deltagit i partiets verksamhet (exempelvis genom deltagande vid våra arrangemang eller möten).

text: Avsnitt 4 har rubriken Vad ska uppgifterna användas till? I avsnittet anger Moderaternas ändamål med behandlingen. Ett av ändamålen är Kontakt med medlemmar och intressenter. Det framgår att den behandling som utförs för ändamålet bland annat är Utskick av information, insamlingsbrev … Utskick av elektroniska nyhetsbrev Marknadsföring i annonsnätverk och sociala kanaler…. Det framgår vidare att de personuppgifter som behandlas för ändamålet är uppgifter om För- och efternamn, adressuppgifter, e-postadress (nyhetsbrev), id-nummer/cookies/, ipadresser från respektive annons- och social plattform.

text: IMY anser att det inte framgår tillräckligt tydligt av informationen i integritetsskyddspolicyn att personuppgiftsbehandlingen även kan gälla registrerade som inte tillhör grupperna medlemmar eller intressenter. Informationen ger enligt IMY intrycket att de personuppgifter som partiet angett att de behandlar endast gäller registrerade som själva visat intresse för partiet eller deltagit i partiets verksamhet.

text: Det går inte att utläsa av integritetsskyddspolicyn att partiet behandlat eller kan komma att samla in telefonnummer från externa källor.

text: Även om sms- och e-postutskicken har innehållit information om källan till personuppgifterna (MIA eller tips från enskilda) har utskicken inte innehållit information om vilka uppgifter som har inhämtats från den angivna källan. IMY bedömer därmed

text: att de registrerade inte kan anses ha fått tillräckligt tydlig information om vilka kategorier av personuppgifter som behandlas om dem.

text: Sammantaget bedömer IMY att Moderaterna inte har informerat om personuppgiftsbehandlingen enligt vad som krävs enligt artikel 14.1 d i dataskyddsförordningen.

text: Information om mottagare

text: Enligt artikel 14.1 e i dataskyddsförordningen ska information lämnas om mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.

text: Avsnitt 6 i integritetsskyddspolicyn har rubriken Vilka kan få tillgång till dina personuppgifter? Av avsnittet följer Dina personuppgifter kan komma att lämnas ut för behandling till Moderata Samlingspartiets IT-leverantörer såsom system- och driftleverantörer samt till förbund, partikretsar och partiföreningar, i vissa fall även utanför Sverige för att kunna administrera medlemskap eller begäran om information eller för att i övrigt kunna fullfölja åtaganden gentemot den registrerade.

text: Av utredningen i ärendet framgår att Moderaterna har lämnat ut personuppgifter till personuppgiftsbiträdet SEEN. IMY konstaterar dock att vare sig personuppgiftsbiträdet eller involverade underbiträden nämns med namn i integritetsskyddspolicyn. Det saknas vidare stöd för att de registrerade på någon annan väg fått någon information om att personuppgifterna kommer att lämnas ut eller har lämnats ut till personuppgiftsbiträdet eller underbiträdena.

text: IMY anser att den information som Moderaterna lämnat inte är tillräckligt specifik för att de aktuella grupperna av registrerade har kunnat förstå att Moderaterna kommer att lämna ut eller har lämnat ut personuppgifterna till personuppgiftsbiträdet och dess underbiträden. IMY bedömer därmed att den information som Moderaterna har lämnat om mottagarna av personuppgifterna inte uppfyller kraven i artikel 14.1 e i dataskyddsförordningen.

text: Information om lagringsperiod

text: Enligt artikel 14.2 a ska den personuppgiftsansvarige lämna information om den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.

text: Under avsnitt 4 i integritetsskyddspolicyn anges under titeln Hur länge sparar vi dina personuppgifter? att Kontaktuppgifter till medlemmar behandlas under den tid du är aktiv eller registrerad medlem i partiet. Prenumeranter på elektroniska nyhetsbrev kan när som helst avsluta sin prenumeration på nyhetsbrevet via en länk längst ned i våra utskick. Vi raderar personuppgifterna vid sådan avanmälan. För marknadsföring i annonsnätverk och sociala kanaler sparas data enligt respektive nätverks inställningar, normalt sett upp till ett år, eller kortare om du själv i inställningar väljer att avanmäla dig.

text: IMY konstaterar att integritetsskyddspolicyn inte har innehållit någon information om hur länge uppgifterna har lagrats i samband med skapandet och utskicket av

text: videohälsningarna. Informationen har inte innehållit någon övrig tidsangivelse för lagring av personuppgifter i samband med den aktuella behandlingen. De situationer som omnämns under rubriken Hur länge sparar vi dina personuppgifter, går inte att likställa med behandlingen i samband med framställningen av videohälsningarna och de tidsangivelser som anges där är därmed inte relevanta i sammanhanget. Utredningen har inte heller visat att de registrerade fått information om lagringstiden på något annat sätt. IMY konstaterar därmed att Moderaterna inte har informerat om lagringstiden för personuppgifterna eller kriterier som kan användas för att fastställa denna period på ett sådant sätt att de registrerade kan förstå hur länge de aktuella uppgifterna har lagrats.

text: IMY bedömer därmed att Moderaterna inte har lämnat information till de registrerade om lagringstiden av personuppgifterna enligt vad som krävs enligt artikel 14.2 a i dataskyddsförordningen.

text: Sammanfattande bedömning av Moderaternas information om behandlingen

text: Sammanfattningsvis bedömer IMY att Moderaterna har brutit mot artikel 14 i dataskyddsförordningen genom att inte ha gett tillräcklig information om behandlingen av personuppgifter.

text: 3 Val av ingripande

text: Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83 för överträdelser av artiklarna 6 och 14 i förordningen. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY har bedömt att Moderaterna har saknat rättslig grund för den behandling av personuppgifter som prövningen gäller. Vidare har Moderaterna inte informerat de registrerade om behandlingen på det sätt som krävs enligt dataskyddsförordningen.

text: Vid en samlad bedömning, där hänsyn bland annat tas till att uppgifterna har behandlats vid ett tillfälle och således inte varit av systematisk karaktär, anser IMY att det är fråga om en mindre överträdelse i den mening som avses i skäl 148 i dataskyddsförordningen. IMY ger därför Moderaterna en reprimand för överträdelsen.

text: Detta beslut har fattats av generaldirektören Eric Leijonram efter föredragning av juristen Sofia Standar. Vid den slutliga handläggningen av ärendet har även rättschefen David Törngren, enhetschefen Catharina Fernquist, rådgivaren Victor Hagstedt och avdelningsjuristen Maja Welander medverkat.

text: Eric Leijonram

text: Hur man överklagar

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Nordea Bank Abp, filial i Sverige

text: Skickas via e-post

text: Rätten till tillgång regleras i artikel 15 i dataskyddsförordningen. Av rätten till tillgång följer bl.a. att den personuppgiftsansvarige är skyldig att till en registrerad, dvs. en identifierad eller identifierbar fysisk person, som begär det lämna bekräftelse om

text: Europaparlamentets och rådets förordning (EU) 2016/79 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: Artikel 15.1 i dataskyddsförordningen. 3 Artikel 15.3 i dataskyddsförordningen. 4 Artikel 15.4 i dataskyddsförordningen. 5 EU-domstolens dom av den 4 maj 2023 i

text: mål C-487/21

sprak: sv

titel: Beslut

nyckelord:
Dataskydd
Dina rättigheter

amne: Registrerades rättigheter

korrigerandeAtgard: Nej

lagakraft: Nej

lagrum: Artiklarna 15.1, 15.3, 15.4 i dataskyddsförordningen, GDPR

nyckelord: Bekräftelse på om uppgifter behandlas, Kopia av uppgifterna, Inverka menligt på andras rättigheter, Bank och finans, Kunder, Ljud

overklagan: Nej

rubrik: Tillgodosedd begäran om tillgång till inspelat samtal med bank

sammanfattning: En privatperson har begärt tillgång till en inspelning av ett samtal med en bank. Privatpersonen har erbjudits att lyssna på hela samtalet på plats på banken, få en kopia av inspelningen där bankens medarbetares röst är bortredigerad och en transkribering av hela samtalet. IMY har bedömt att banken har tillgodosett rätten till tillgång till privatpersonens personuppgifter, inklusive rätten till kopia. IMY har inte prövat frågor om frister och information i förhållande till begäran om tillgång. Läs tillsynsbeslutet här

publisher: Integritetsskyddsmyndigheten

slug: nordea-bank-abp-filial-i-sverige

title: Nordea Bank Abp

org: imy

sammanfattning: Integritetsskyddsmyndigheten konstaterar att Nordea Bank Abp, filial i Sverige har tillgodosett klagandens begäran om tillgång. Mot denna bakgrund finner Integritetsskyddsmyndigheten inte skäl att vidta någon ytterligare åtgärd i ärendet.

text: IMY-2023-4559 Beslut efter tillsyn enligt

type: stycke

text: dataskyddsförordningen – Nordea Bank Abp, filial i Sverige

type: rubrik

text: Integritetsskyddsmyndighetens beslut

text: Ärendet avslutas.

text: Redogörelse för tillsynsärendet

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande Nordea Bank Abp, filial i Sverige (nedan Nordea eller banken) i syfte att utreda ett klagomål om rätten till tillgång enligt artikel 15 i dataskyddsförordningen .

text: Klaganden har i huvudsak uppgett följande. Klaganden har begärt tillgång av Nordea avseende en inspelning av ett samtal mellan klaganden och en av Nordeas medarbetare. Klaganden har inte fått en kopia av samtalet där Nordeas medarbetares röst framgår, vilket klaganden har begärt.

text: Nordea har i huvudsak uppgett följande. Klaganden har begärt att få del av inspelningen av aktuellt samtal. Nordea har tillmötesgått begäran genom att klaganden har fått lyssna på inspelningen på plats hos Nordea. Klaganden har vidare erbjudits transkribering av samtalet samt en kopia av ljudfilen med inspelning där Nordeas medarbetares röst är bortredigerad, då det har bedömts inverka menligt på medarbetarens rättigheter att lämna ut dennes röst.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: personuppgifter som rör den registrerade behandlas eller inte. Behandlas sådana uppgifter ska den personuppgiftsansvariga bl.a. förse den registrerade med en kopia på de personuppgifter som är under behandling. Denna rätt till en kopia ska dock inte inverka menligt på andras rättigheter och friheter.

text: Syftet med rätten till tillgång är att den registrerade ska bli medveten om att behandlingen sker och kunna kontrollera att den är laglig. Rätten att få en kopia på personuppgifter innefattar en rätt för den registrerade att få en exakt och begriplig återgivning av samtliga personuppgifter som den personuppgiftsansvarige behandlar om honom eller henne.

text: IMY:s bedömning

text: Klagandens röst, som förekommer i ett telefonsamtal, utgör en personuppgift om den klaganden, vilken klaganden således har rätt att få en kopia på i en ljudfil. Nordeas medarbetares röst utgör dock inte personuppgifter om klaganden. Vad avser den del av aktuellt telefonsamtal som utgörs av uttalanden från Nordeas medarbetare är det därför tillräckligt att uppgifterna, i den utsträckning de utgör personuppgifter om klaganden, lämnas genom en transkribering av samtalet.

text: I ärendet har framkommit att Nordea har lämnat tillgång genom att erbjuda ljudfil innehållande klagandens röst samt transkribering av samtalet. IMY konstaterar därmed att Nordea har tillgodosett klagandens begäran om tillgång. Mot denna bakgrund finner Integritetsskyddsmyndigheten inte skäl att vidta någon ytterligare åtgärd i ärendet.

text: Ärendet ska därför avslutas.

text: Detta beslut har fattats av den tillförordnade enhetschefen Nidia Nordenström efter föredragning av juristen Fredrik Löfgren.

text: Nidia Nordenström, 2023-06-12 (Det här är en elektronisk signatur)

text: Kopia till

text: Klaganden

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

type: avgorande


text: Postnord Sverige AB

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 EDPB:s dokument om ram för samordnat genomförande enligt förordning 2016/679. Antaget den 20 oktober 2020. 3 EDPB:s rapport 2023 “Coordinated Enforcement Action, Designation and Position of Data Protection Officers”, 08-657 61 00 antagen den 16 januari 2024.

text: Artikel 29-gruppens riktlinjer om dataskyddsombud,

text: WP 243

text: rev. 01, senast granskade och antagna den 5 april 2017, sidan 19. 5 EU-domstolens dom den 9 februari 2023, X-FAB Dresden,

text: , EU:C:2023:79, punkterna 41–42 samt 46.

titel: Postnord

nyckelord: Dataskydd Arbetsliv

amne: Dataskyddsombudets roll

korrigerandeAtgard: Region Västerbotten får en reprimand och ett föreläggande. Socialnämnden i Örebro får en reprimand. Ingen korrigerande åtgärd till övriga verksamheter.

lagakraft: Ja

lagrum: Artikel 38.1–3 och 38.6 i dataskyddsförordningen

nyckelord: Dataskyddsombud – ställning

rubrik: Dataskyddsombudets ställning och risken för intressekonflikt

sammanfattning: IMY har granskat fem organisationer för att se om det föreligger intressekonflikt genom att dataskyddsombuden har andra uppdrag i verksamheten, exempelvis som informationssäkerhetschef eller Risk Manager. IMY har även kontrollerat ytterligare en verksamhet för att se om ombudet har den roll och de resurser som krävs. I ett av fallen bedömer IMY att det föreligger en intressekonflikt genom att dataskyddsombudet har uppdrag att som regionjurist ge råd i dataskyddsfrågor till verksamheten. Dataskyddsombudet tvingas därmed granska det dataskyddsarbete som utförts som rådgivare, vilket gör att ombudets oberoende kan ifrågasättas. I de övriga fallen bedömer IMY att det i det enskilda fallet inte råder någon intressekonflikt. I granskningen av ombudets roll och resurser konstateras att verksamheten bland annat inte säkerställt att dataskyddsombudet i god tid deltar i alla frågor som rör skyddet av personuppgifter eller att ombudet rapporterar direkt till den högsta förvaltningsnivå. Läs tillsynsbesluten

slug: dataskyddsombudens-roll-och-stallning

title: Dataskyddsombudens roll och ställning – Postnord

sammanfattning: Integritetsskyddsmyndigheten (IMY) har granskat hur fem verksamheter med dataskyddsombud hanterar eventuella intressekonflikter för ombuden. Dessutom har ytterligare en verksamhet granskats för att kontrollera att ombudet har den roll och de resurser som krävs.

text: IMY-2023-7956 Beslut efter tillsyn enligt

text: dataskyddsförordningen – PostNord Sverige AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att utredningen i ärendet inte visar att PostNord Sverige AB (556711-5695) har brustit i efterlevnaden av artikel 38.6 i dataskyddsförordningen .

text: Ärendet avslutas.

text: Redogörelse för tillsynsärendet

text: Bakgrund m.m.

text: Den europeiska dataskyddsstyrelsen (EDPB) har under 2023 genomfört en samordnad åtgärd med syftet att undersöka om dataskyddsombuden har den roll samt de resurser som förutsätts enligt artiklarna 37–39 i dataskyddsförordningen. Integritetsskyddsmyndigheten (IMY) har deltagit i den samordnade åtgärden och genomfört den i form av tillsyn mot ett femtiotal personuppgiftsansvariga. Det är mot denna bakgrund som IMY har inlett tillsyn mot PostNord Sverige AB (PostNord).

text: Tillsynen har inledningsvis inneburit att PostNord har besvarat ett trettiotal frågor om bland annat dataskyddsombudets kvalifikationer, uppgifter och ställning. Frågorna har sin grund i ett frågeformulär som EDPB har skapat inom ramen för den samordnade åtgärden.

text: Målet med den samordnade åtgärden har varit att i bred mening underlätta gemensamma åtgärder på ett flexibelt men samordnat sätt, allt ifrån att öka den gemensamma medvetenheten och samla in information till att kontrollera verkställighet och utföra gemensamma utredningar. Detta möjliggör riktad uppföljning och åtgärder både på nationell nivå och genom EDPB. Resultatet från granskningen har samman- 3 ställts i en rapport från EDPB .

text: Av de tillsyner som IMY inlett inom ramen för den samordnade åtgärden har myndigheten gått vidare med ett mindre urval för att göra en fördjupad granskning av några frågeställningar. Denna tillsyn är ett av dessa ärenden där IMY sett anledning att ställa kompletterande frågor till PostNord, såsom personuppgiftsansvarig, avseende artikel 38.6 i dataskyddsförordningen. Syftet har varit att utreda om det i strid med artikeln föreligger en intressekonflikt mellan rollen som dataskyddsombud och dataskyddsombudets övriga uppgifter och uppdrag inom organisationen. IMY har inte granskat huruvida PostNord i övrigt uppfyller artiklarna 37-39 i dataskyddsförordningen utifrån tidigare lämnade svar.

text: Uppgifter från PostNord

text: PostNord har i huvudsak uppgett följande. Organisationens dataskyddsombud har vid sidan om rollen som ombud för PostNord även i viss mån ett ledaransvar inom områdena compliance, risk och säkerhet avseende PostNords bolag Postnord Group AB. Arbetsuppgifterna innebär i korthet att upprätthålla god ordning bland styrande dokument, tillhandahålla ett internt ramverk för riskhantering och ge dotterbolaget stöd i frågor om fysisk säkerhet. Närmare beskrivet innebär detta att stötta interna dokumentägare så att de styrande dokumenten hanteras korrekt genom bland annat arkivering, uppdatering och intern publicering, bistå organisationen med att använda framtaget ramverk för att riskägarna självständigt ska kunna identifiera risker samt att hos dotterbolaget ställa krav på lämpligt fysiskt skydd såsom lås och larm. Uppgifterna innebär inte att vara delaktig i att bestämma ändamål och medel för PostNords personuppgiftsbehandlingar och medför inte att dataskyddsombudet tillhör den högsta ledningen.

text: Vidare har PostNord framhållit att organisationen på flera sätt vidtagit åtgärder för att säkerställa att de beskrivna arbetsuppgifterna inte innebär en intressekonflikt med uppdraget som dataskyddsombud. Det görs bland annat genom den organisatoriska uppdelningen som innebär att ansvaret endast avser PostNord Group AB och genom att det inom funktionerna för compliance, risk och säkerhet hos angivet bolag inte finns ett system där ändamål och medel för personuppgiftsbehandling är aktuellt. PostNord har även framtagna regler för hur eventuella intressekonflikter ska hanteras.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: Rollen som dataskyddsombud regleras i artiklarna 37–39 i dataskyddsförordningen. Dataskyddsombudet ska bland annat informera och ge råd inom organisationen om tillämplig dataskyddslagstiftning, övervaka organisationens efterlevnad av dataskyddslagstiftningen och interna styrdokument, ge råd om konsekvensbedömningar samt vara kontaktperson för tillsynsmyndigheten. Dataskyddsombudet ska vara oberoende och självständig i utförandet av sina arbetsuppgifter, vilket framgår av skäl 97.

text: Dataskyddsombudet får enligt artikel 38.6 i dataskyddsförordningen fullgöra andra uppgifter och uppdrag utöver rollen som dataskyddsombud. Den personuppgiftsansvarige eller personuppgiftsbiträdet ska se till att sådana uppgifter inte leder till en intressekonflikt.

text: Av artikel 29-gruppens riktlinjer om dataskyddsombud framgår följande om artikeln:

text: Kravet att det inte får föreligga intressekonflikter är nära kopplat till kravet att dataskyddsombuden ska kunna agera på ett oberoende sätt. Även om dataskyddsombud får ha andra funktioner, kan de anförtros andra uppgifter och uppdrag endast på villkor att de inte ger upphov till intressekonflikter. Detta innebär särskilt att dataskyddsombudet inte kan inneha en sådan tjänst inom organisationen som innebär att han eller hon fastställer ändamålen med och medlen för behandlingen av personuppgifter. Detta måste avgöras från fall till fall beroende på hur organisationen är strukturerad.

text: Som en tumregel kan motstridiga befattningar inom organisationen vara befattningar i högsta ledningen (t.ex. verkställande direktör, högste verkställande beslutsfattare, finansdirektör, chefsläkare, marknadsföringschef, personalchef eller it-chef), men även andra funktioner lägre i organisationsstrukturen, om sådana befattningar eller funktioner innebär att dataskyddsombudet fastställer ändamålen med och medlen för behandlingen av personuppgifter.

text: EU-domstolen har i målet X-FAB Dresden förtydligat att dataskyddsombudet inte kan anförtros uppgifter och uppdrag som kan skada fullgörandet av de uppgifter som han eller hon utför i egenskap av dataskyddsombud. Detta eftersom artikel 38.6 i dataskyddsförordningen syftar till att bevara dataskyddsombudets funktionella oberoende och därmed säkerställa effektiviteten hos bestämmelserna i dataskyddsförordningen. Bedömningen av om ett visst uppdrag riskerar att leda till en intressekonflikt med uppdraget som dataskyddsombud ska göras utifrån relevanta omständigheter i det enskilda fallet, bland annat mot bakgrund av den personuppgiftsansvariges eller personuppgiftsbiträdes organisatoriska struktur och dess interna regler/policys.

text: Integritetsskyddsmyndighetens bedömning

text: Den fråga som IMY ska ta ställning till är om det föreligger en intressekonflikt i strid med dataskyddsförordningen genom att PostNords dataskyddsombud även har visst ledaransvar inom områdena compliance, risk och säkerhet avseende PostNords bolag PostNord Group AB.

text: Enligt vad som framgår ovan kan funktioner som innebär ledande befattningar typiskt sett ge upphov till intressekonflikt med rollen som dataskyddsombud, eftersom det ofta innebär att denne är delaktig i beslut rörande personuppgiftbehandlingar på ett sådant sätt att dataskyddsombudets oberoende kan ifrågasättas.

text: PostNord har närmare beskrivet vad de ytterligare uppgifter som har tilldelats dataskyddsombudet innebär. Av redogörelsen framgår att arbetsuppgifterna inte medför ett ansvar som leder till delaktighet i beslut rörande ändamål och medel för personuppgiftsbehandlingar. Inte heller framgår det av beskrivningen att uppgifterna innebär ett ansvar för att i övrigt, t.ex. genom råd eller stöd, hantera dataskyddsrättsliga frågor.

text: IMY finner mot den bakgrunden att utredningen i ärendet inte visar att det föreligger en intressekonflikt i strid med dataskyddsförordningen genom att inneha de beskrivna uppgifterna vid sidan av rollen som dataskyddsombud.

text: Ärendet avslutas. Detta beslut har fattats av enhetschefen Jonas Agnvall efter föredragning av juristen Lisa Zettervall. Vid den slutliga handläggningen har även den tillförordnade rättschefen Cecilia Agnehall deltagit. Jonas Agnvall, 2024-06-27 (Det här är en elektronisk signatur)

text: Kopia till

text: Dataskyddsombudet

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Socialnämnden i Stockholms stad

text: SOF 2023/255

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 EDPB:s dokument om ram för samordnat genomförande enligt förordning 2016/679. Antaget den 20 oktober 2020. 08-657 61 00

text: EDPB:s rapport “2023 Coordinated Enforcement Action, Designation and Position of Data Protection Officers”, antagen den 16 januari 2024.

text: Artikel 29-gruppens riktlinjer om dataskyddsombud,

text: WP 243

text: rev. 01, senast granskade och antagna den 5 april 2017, sida 19. 5 EU-domstolens dom den 9 februari 2023, X-FAB Dresden,

text: , EU:C:2023:79, punkterna 41–42 samt 46.

titel: socialnämnden i Stockholm

title: Dataskyddsombudens roll och ställning – socialnämnden i Stockholm

text: IMY-2023-7957 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Socialnämnden i Stockholms stad

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att utredningen i ärendet inte visar att socialnämnden i Stockholms stad har brustit i efterlevnaden av artikel 38.6 i dataskyddsförordningen .

text: Ärendet avslutas.

text: Redogörelse för tillsynsärendet

text: Bakgrund m.m.

text: Den europeiska dataskyddsstyrelsen (EDPB) har under 2023 genomfört en samordnad åtgärd med syftet att undersöka om dataskyddsombuden har den roll samt de resurser som förutsätts enligt artiklarna 37–39 i dataskyddsförordningen. Integritetsskyddsmyndigheten (IMY) har deltagit i den samordnade åtgärden och genomfört den i form av tillsyn mot ett femtiotal personuppgiftsansvariga. Det är mot denna bakgrund som IMY har inlett tillsyn mot socialnämnden i Stockholms stad (socialnämnden).

text: Tillsynen har inledningsvis inneburit att socialnämnden har besvarat ett trettiotal frågor om bland annat dataskyddsombudets kvalifikationer, uppgifter och ställning. Frågorna har sin grund i ett frågeformulär som EDPB har skapat inom ramen för den samordnade åtgärden.

text: Målet med en samordnad åtgärd som denna har varit att i bred mening underlätta gemensamma åtgärder på ett flexibelt men samordnat sätt, allt ifrån att öka den gemensamma medvetenheten och samla in information till att kontrollera verkställighet och utföra gemensamma utredningar. Detta möjliggör riktad uppföljning och åtgärder

text: både på nationell nivå och genom EDPB. Resultatet från granskningen har sammanställts i en rapport från EDPB.

text: Av de tillsyner som IMY inlett inom ramen för den samordnade åtgärden har myndigheten gått vidare med ett mindre urval för att göra en fördjupad granskning av några frågeställningar. Denna tillsyn är ett av dessa ärenden där IMY sett anledning att ställa kompletterande frågor till socialnämnden, såsom personuppgiftsansvarig, avseende artikel 38.6 i dataskyddsförordningen. Syftet har varit att utreda om det i strid med artikeln föreligger en intressekonflikt mellan rollen som dataskyddsombud och dataskyddsombudets övriga uppgifter och uppdrag inom organisationen. IMY har inte granskat huruvida socialnämnden i övrigt uppfyller artiklarna 37–39 i dataskyddsförordningen utifrån tidigare lämnade svar.

text: Vad socialnämnden har uppgett

text: Socialnämnden har i huvudsak uppgett följande. Utöver rollen som dataskyddsombud för socialnämnden är dataskyddsombudet anställd som förvaltningsjurist vid socialförvaltningen i Stockholms stad. Rollen som förvaltningsjurist innebär att vara rådgivare i förvaltningsjuridiska frågor. Det handlar främst om frågor inom förvaltningsrätt, kommunaljuridik, sekretessregler, besvarande av remisser samt delta med expertis vid framtagande av riktlinjer, hanteringsanvisningar och lokala föreskrifter. Varken rollen som förvaltningsjurist eller rollen som dataskyddsombud tillhör högsta ledningen och innebär inte att vara delaktig i beslut om ändamål och medel för personuppgiftsbehandlingar. Arbetsuppgifter som kan leda till intressekonflikter mellan rollerna har hanterats av annan, till exempel enhetschef och juridiska avdelningen vid stadsledningskontoret i Stockholms stad.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: Kravet att det inte får föreligga intressekonflikter är nära kopplat till kravet att dataskyddsombuden ska kunna agera på ett oberoende sätt. Även om dataskyddsombud får ha andra funktioner, kan de anförtros andra uppgifter och uppdrag endast på villkor att de inte ger upphov till intressekonflikter. Detta innebär särskilt att dataskyddsombudet inte kan inneha en sådan tjänst inom

text: organisationen som innebär att han eller hon fastställer ändamålen med och medlen för behandlingen av personuppgifter. Detta måste avgöras från fall till fall beroende på hur organisationen är strukturerad.

text: Integritetsskyddsmyndighetens bedömning

text: Den fråga som IMY ska ta ställning till är om det föreligger en intressekonflikt mellan rollen som dataskyddsombud för socialnämnden och rollen som förvaltningsjurist vid socialförvaltningen i Stockholms stad.

text: Av utredningen i ärendet framgår att dataskyddsombudet även arbetar som förvaltningsjurist vid socialförvaltningen, vilket enligt socialnämnden innebär rådgivande arbetsuppgifter som främst rör förvaltningsjuridiska frågor. Rollen som förvaltningsjurist innebär därför inte i normalfallet att frågor om dataskydd aktualiseras och hanteras. I den mån dataskyddsfrågor skulle aktualiseras ser IMY en möjlig intressekonflikt genom att dataskyddsombudet i dessa fall skulle involveras i det dataskyddsarbete som denne i rollen som dataskyddsombud har i uppdrag att granska. Socialnämnden har dock beskrivit att när nämnden har identifierat en sådan risk har åtgärder vidtagits i form av att till exempel en enhetschef eller annan avdelning inom organisationen har hanterat arbetsuppgifterna knutna till dataskydd. IMY understryker vikten av att eventuella situationer där det kan föreligga en intressekonflikt mellan de olika rollerna uppmärksammas och ser positivt på att socialnämnden har arbetssätt för att hantera sådana situationer.

text: Mot bakgrund av ovanstående bedömer IMY att det inte föreligger en intressekonflikt mellan rollen som dataskyddsombud för socialnämnden och rollen som förvaltningsjurist vid socialförvaltningen. Utredningen i ärendet visar därmed inte att socialnämnden i Stockholms stad har brustit i efterlevnaden av artikel 38.6 i dataskyddsförordningen.

text: Ärendet avslutas.

text: Detta beslut har fattats av enhetschefen Nidia Nordenström efter föredragning av juristen Shirin Daneshgari Nejad. Vid den slutliga handläggningen har även tillförordnade rättschefen Cecilia Agnehall medverkat.

text: Nidia Nordenström, 2024-06-27 (Det här är en elektronisk signatur)

text: Kopia till

text: Dataskyddsombudet

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.


text: Socialnämnden i Örebro kommun

text: Soc. 847/2023

text: Tillsynen har inledningsvis inneburit att socialnämnden har besvarat ett trettiotal frågor avseende bland annat dataskyddsombudets kvalifikationer, uppgifter och ställning.

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 EDPB:s dokument om ram för samordnat genomförande enligt förordning 2016/679. Antaget den 20 oktober 2020. 08-657 61 00

text: EDPB:s rapport “2023 Coordinated enforcement action - Designation and position of data protection officers”, antagen den 16 januari 2024.

text: 4General Data Protection Regulation – Article-by-Article Commentary, Indra Spiecker gen. Döhmann, Vagelis Papakonstantinou, Gerrit Hornung, Paul De Hert (2023), s. 726. 5 Artikel 29-gruppens riktlinjer om dataskyddsombud, antagna den 13 december 2016 och senast granskade och antagna den 5 april 2017. 6 Artikel 29-gruppens riktlinjer om dataskyddsombud, s. 16. 7 EDPB:s rapport s. 24.

text: Artikel 29-gruppens riktlinjer om dataskyddsombud, s. 16–17. 9 EDPB:s rapport, s. 17.

text: Artikel 29-gruppens riktlinjer om dataskyddsombud, s. 17-18. 11 EDPB:s rapport, s. 28.

titel: socialnämnden i Örebro

title: Dataskyddsombudens roll och ställning – socialnämnden i Örebro

text: IMY-2023-7963 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Socialnämnden i Örebro kommun

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Socialnämnden i Örebro kommun, har överträtt artiklarna 38.1, 38.2 och 38.3 i dataskyddsförordningen genom att inte ha

text: - säkerställt att dataskyddsombudet på ett korrekt sätt och i god tid deltar i alla frågor som rör skyddet av personuppgifter, - stöttat dataskyddsombudet i utförandet av de uppgifter som avses i artikel 39 i dataskyddsförordningen genom att tillhandahålla de resurser som krävs för att fullgöra dessa uppgifter, samt - säkerställt att dataskyddsombudet rapporterar direkt till socialnämndens högsta förvaltningsnivå.

text: Integritetsskyddsmyndigheten beslutar att ge Socialnämnden i Örebro kommun en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna.

text: Redogörelse för tillsynsärendet

text: Bakgrund m.m.

text: Den europeiska dataskyddsstyrelsen (EDPB) har under 2023 genomfört en samordnad åtgärd i syfte att undersöka om dataskyddsombuden har den roll samt de resurser som förutsätts enligt artiklarna 37–39 i dataskyddsförordningen. Integritetsskyddsmyndigheten (IMY) har deltagit i den samordnade åtgärden och genomfört den i form av tillsyn mot ett femtiotal personuppgiftsansvariga. Det är mot denna bakgrund som IMY har inlett tillsyn mot Socialnämnden i Örebro kommun (härefter socialnämnden).

text: Frågorna har sin grund i ett frågeformulär som EDPB har skapat inom ramen för den samordnade åtgärden.

text: Målet med en samordnad åtgärd som denna har varit att i bred mening underlätta gemensamma åtgärder på ett flexibelt men samordnat sätt, allt ifrån att öka den gemensamma medvetenheten och samla in information till att kontrollera verkställighet och utföra gemensamma utredningar. Detta möjliggör riktad uppföljning och åtgärder både på nationell nivå och genom EDPB. Resultatet från granskningen har sammanställts i en rapport från EDPB.

text: Av de tillsyner som IMY inlett inom ramen för den samordnade åtgärden har myndigheten gått vidare med ett mindre urval för att göra en fördjupad granskning av några frågeställningar. Denna tillsyn är ett av dessa ärenden och IMY har sett anledning att ställa fördjupade frågor till socialnämnden, i egenskap av personuppgiftsansvarig, om artiklarna 38.1, 38.2 och 38.3 tredje meningen i dataskyddsförordningen. Syftet har varit att utreda om socialnämnden har uppfyllt sina skyldigheter i enlighet med dessa bestämmelser. IMY har inte granskat huruvida socialnämnden i övrigt uppfyller artiklarna 37–39 i dataskyddsförordningen utifrån tidigare lämnade svar.

text: Uppgifter från socialnämnden

text: Av socialnämndens yttranden daterade den 29 juni och den 12 december 2023 framgår bland annat följande.

text: Socialnämnden har utsett dataskyddsombud i enlighet med artikel 37.1 a i dataskyddsförordningen. Dataskyddsombudet arbetar i huvudsak, genom konsultation och rekommendationer, på ett korrekt sätt i frågor rörande personuppgiftsincidenter och för detta finns bland annat en rutin för hantering av personuppgiftsincidenter.

text: Vad avser frågor som rör behandling och skydd av personuppgifter i organisationen involveras och konsulteras dataskyddsombudet dock alldeles för sällan och i princip alltid för sent i processerna. Socialnämnden har till exempel varit på väg att outsourca starkt sekretesskyddade uppgifter via en molntjänstleverantör och dataskyddsombudet involverades först i slutet av pågående upphandling. Dataskyddsombudet kunde då påpeka brister och avråda från åtgärden innan nödvändiga analyser utifrån dataskydd, informationssäkerhet och sekretess genomförts. Socialnämnden bjöd därefter in dataskyddsombudet till konsekvensbedömningen med två dagars varsel, vilket ledde till att dataskyddsombudet inte hade möjlighet att övervaka genomförandet eller ge råd. Konsekvensbedömningen genomfördes i dataskyddsombudets frånvaro. Att dataskyddsombudet blir kontaktad för sent är ett problem i hela organisationen, dvs. i alla 13 nämnder. De resurser som finns är inte tillräckliga för att dataskyddsombudet ska kunna fullgöra sina uppgifter. Det finns inte heller någon struktur för dataskyddsombudets rapportering till personuppgiftsansvariga nämnder, däribland socialnämnden. Dataskyddsombudet har endast hunnit med en rapport till personuppgiftsansvariga nämnder sedan 2018, där bland annat tidsbrist har lyfts som ett problem och att det uppstår långa väntetider för de flesta verksamheterna. Det finns inte tid för att rapportera.

text: Målsättningen är att samtliga förvaltningar inom kommunen ska vara väl införstådda med att tidig kontakt med dataskyddsombudet är en förutsättning för exempelvis de

text: analyser kommunen enligt dataskyddsförordningen behöver genomföra rörande frågor som hanterar skydd av personuppgifter. Ett arbete med en informationshanteringsplan för samtliga enheter är påbörjad. Ett konsultstöd finns nu också på plats och kommer att hjälpa till att utveckla stödet till kommunens samtliga nämnder och förvaltningar. Under 2024 kommer en ny dataskyddorganisation byggas upp och den blir, tillsammans med ett strukturerat arbetssätt kring bland annat årshjul för granskning, grund för fortsatt bedömning av resursåtgång för dataskyddsombudets uppdrag i hela kommunen. Vidare ska en rutin för dataskyddsombudets regelbundna rapporter till den personuppgiftsansvariges högsta förvaltningsnivå skyndsamt formuleras med målsättning att tas i bruk från 2024.

text: Motivering av beslutet

text: Tillämpliga bestämmelser

text: De grundläggande principerna för behandling av personuppgifter anges i artikel 5.1 i dataskyddsförordningen. Av artikel 5.2. framgår att det är den personuppgiftsansvarige som ska ansvara för och kunna visa att de grundläggande principerna i artikel 5.1 efterlevs. Detta utgör den så kallade principen om ansvarsskyldighet.

text: Rollen som dataskyddsombud regleras i artiklarna 37–39 i dataskyddsförordningen. Av artikel 37.1 a i dataskyddsförordningen följer att den personuppgiftsansvarige och personuppgiftsbiträdet under alla omständigheter ska utnämna ett dataskyddsombud om behandlingen genomförs av en myndighet eller ett offentligt organ, förutom när detta sker som en del av domstolarnas dömande verksamhet.

text: Enligt artikel 38.1 i dataskyddsförordningen ska den personuppgiftsansvarige och personuppgiftsbiträdet säkerställa att dataskyddsombudet på ett korrekt sätt och i god tid deltar i alla frågor som rör skyddet av personuppgifter.

text: Enligt artikel 38.2 i dataskyddsförordningen ska den personuppgiftsansvarige och personuppgiftsbiträdet stödja dataskyddsombudet i utförandet av de uppgifter som avses i artikel 39 genom att tillhandahålla de resurser som krävs för att fullgöra dessa uppgifter samt tillgång till personuppgifter och behandlingsförfaranden, samt i upprätthållandet av dennes sakkunskap.

text: Av artikel 38.3 i dataskyddsförordningen följer att den personuppgiftsansvarige och personuppgiftsbiträdet ska säkerställa att dataskyddsombudet inte tar emot instruktioner som gäller utförandet av dessa uppgifter. Han eller hon får inte avsättas eller bli föremål för sanktioner av den personuppgiftsansvarige eller personuppgiftsbiträdet för att ha utfört sina uppgifter. Dataskyddsombudet ska rapportera direkt till den personuppgiftsansvariges eller personuppgiftsbiträdets högsta förvaltningsnivå.

text: I artikel 39.1 i dataskyddsförordningen framgår minimikraven på vilka uppgifter som dataskyddsombudet ska ha. Dessa inkluderar bland annat att informera och ge råd om organisationens skyldigheter på datasskyddområdet, att övervaka organisationens efterlevnad av dataskyddsförordningen och andra tillämpliga dataskyddsbestämmelser samt att på begäran ge råd vad gäller konsekvensbedömningen avseende dataskydd och övervaka genomförandet av den. Av artikel 39.2 i dataskyddsförordningen anges att dataskyddsombudet vid utförandet av sina uppgifter ska ta vederbörlig hänsyn till de risker som är förknippade med behandling, med beaktande av behandlingens art, omfattning, sammanhang och syften.

text: Integritetsskyddsmyndighetens bedömning

text: Enligt principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen åligger det den personuppgiftsansvarige att visa att dataskyddsreglerna efterlevs. IMY ska ta ställning till om socialnämnden har fullgjort sina skyldigheter enligt artikel 38.1, 38.2 och 38.3 tredje meningen i dataskyddsförordningen.

text: Dataskyddsombudets involvering

text: Den personuppgiftsansvarige och personuppgiftsbiträdet är enligt artikel 38.1 i dataskyddsförordningen skyldig att säkerställa att dataskyddsombudet på ett korrekt sätt och i god tid deltar i alla frågor som rör skyddet av personuppgifter.

text: Av kommentaren till dataskyddsförordningen framgår bland annat följande. Det är av stor vikt att dataskyddsombudet involveras i god tid. Det måste finnas en reell chans att eventuella råd eller rekommendationer från dataskyddsombudet kan implementeras innan en personuppgiftsbehandling påbörjas. Det bör finnas interna rutiner för att säkerställa att dataskyddsombudet involveras i god tid. Den personuppgiftsansvarige måste också säkerställa att dataskyddsombudet får all relevant information som han eller hon behöver för att kunna göra sin bedömning, till exempel en beskrivning av den tilltänkta behandlingen och ändamålet med den.

text: Vidare framgår av artikel 29-gruppens riktlinjer om dataskyddsombud bland annat följande. Det är viktigt att dataskyddsombudet görs delaktig så tidigt som möjligt i alla frågor som rör dataskydd. Att säkerställa att dataskyddsombudet informeras och rådfrågas redan från början underlättar bland annat efterlevnaden av dataskyddsförordningen. Dataskyddsombudet bör dessutom ses som en diskussionspartner inom organisationen och han eller hon bör ingå i relevanta arbetsgrupper som hanterar olika dataskyddsfrågor och/eller behandlar personuppgifter inom organisationen. Utöver detta bör den personuppgiftsansvarige säkerställa att dataskyddsombudet regelbundet bjuds in att delta i möten på högsta och mellanliggande förvaltningsnivå samt när beslut som får följder för dataskyddet fattas, så att han eller hon kan ge lämpliga råd och rekommendationer. Dataskyddsombudets åsikt ska alltid ges tillbörlig vikt.

text: Av EDPB:s rapport framgår att dataskyddsombudets roll inom organisationen bör framhävas för att säkerställa att han eller hon ses som ett nödvändigt och effektivt stöd för den personuppgiftsansvarige. Den personuppgiftsansvarige bör också aktivt granska och vid behov förbättra dataskyddsombudens engagemang inom organisationen.

text: Socialnämnden har uppgett och varit tydliga med att dataskyddsombudet har involverats för sällan och för sent i processerna vad avser frågor som rör behandling och skydd av personuppgifter i organisationen. Vid åtminstone ett tillfälle har en allt för sen kontakt med dataskyddsombudet lett till att dataskyddsombudet inte haft möjlighet att ge sina råd och rekommendationer. Att dataskyddsombudet inte ges rätt förutsättningar för att kunna fullgöra sitt uppdrag i samband med förändringar som rör skyddet för personuppgifter medför risker ur ett dataskyddsperspektiv. IMY delar socialnämndens bedömning att dataskyddsombudet inte har involverats i tillräcklig

text: utsträckning i frågor som rör behandling och skydd av personuppgifter i organisationen.

text: Mot bakgrund av vad som framkommit i ärendet bedömer IMY att socialnämnden överträtt artikel 38.1 i dataskyddsförordningen genom att inte ha säkerställt att dataskyddsombudet på ett korrekt sätt och i god tid deltar i alla frågor som rör skyddet av personuppgifter.

text: Resurser till dataskyddsombudet

text: Den personuppgiftsansvarige och personuppgiftsbiträdet är enligt artikel 38.2 i dataskyddsförordningen skyldiga att stödja dataskyddsombudet i utförandet av de uppgifter som framgår av artikel 39 genom att tillhandahålla tillräckliga resurser till honom eller henne.

text: Av artikel 29-gruppens riktlinjer om dataskyddsombud framgår bland annat följande. Dataskyddsombudet behöver ett aktivt stöd från organisationens högsta ledning avseende dataskyddsombudets arbete och roll inom organisationen. Det är också viktigt att dataskyddsombudet ges tillräckligt med tid att utföra sina uppgifter. Även stöd och information från andra delar av organisationen kan behövas för att hjälpa dataskyddsombudet med frågor som han eller hon ställs inför men inte själv har tillräcklig kunskap om, till exempel rörande IT eller säkerhet. Dataskyddsombudet behöver också få möjlighet, och uppmuntras, till fortbildning för att behålla och utveckla sin expertkunskap. Även ekonomiska resurser, infrastruktur (till exempel lokaler och utrustning) och i förekommande fall personal behövs. Beroende på organisationens storlek och struktur kan det vara nödvändigt att skapa en dataskyddsgrupp. Generellt sett gäller att ju mer komplex och/eller känslig behandlingen är, desto mer resurser bör den personuppgiftsansvarige ge dataskyddsombudet.

text: Av EDPB:s rapport framgår bland annat att den personuppgiftsansvarige eller personuppgiftsbiträdet måste göra en bedömning från fall till fall vilka resurser som dataskyddsombudet behöver. Dessa bedömningar bör även dokumenteras. Resursbehovet bör därefter också utvärderas, för att se om samma behov kvarstår eller om förändringar behöver göras.

text: Socialnämnden har uppgett att det inte funnits tillräckliga resurser för att dataskyddsombudet ska kunna fullgöra sina uppgifter. Socialnämnden har dock inte, trots att IMY ställt frågor om detta och efterfrågat ett förtydligande, uppgett på vilket sätt resurserna inte har varit tillräckliga. Något klargörande i övrigt angående hur socialnämnden har arbetat med resurstilldelning har inte heller lämnats. Utifrån vad som framkommit i ärendet är det dock klart att det till exempel inte funnits tid att rapportera till den högsta förvaltningsnivån. IMY konstaterar att de resurser som tilldelats dataskyddsombudet, såvitt framkommit, inte varit tillräckliga vilket också stämmer överens med socialnämndens egen bedömning.

text: Mot bakgrund vad som framkommit i ärendet bedömer IMY således att socialnämnden överträtt artikel 38.2 i dataskyddsförordningen genom att inte ha stöttat dataskyddsombudet i utförandet av de uppgifter som avses i artikel 39 i dataskyddsförordningen genom att tillhandahålla de resurser som krävs för att fullgöra dessa uppgifter.

text: Rapportering till högsta förvaltningsnivån

text: Dataskyddsombudet ska enligt artikel 38.3 tredje meningen i dataskyddsförordningen rapportera direkt till den personuppgiftsansvariges eller personuppgiftsbiträdets högsta förvaltningsnivå.

text: Av artikel 29-gruppens riktlinjer om dataskyddsombud framgår bland annat följande. I artikel 38.3 i dataskyddsförordningen fastställs vissa grundläggande garantier för att säkerställa att dataskyddsombudet kan fullgöra sitt uppdrag och utföra sina uppgifter på ett tillräckligt självständigt sätt inom organisationen. En del i detta är dataskyddsombudets rapporteringsskyldighet. Om den personuppgiftsansvarige eller personuppgiftsbiträdet fattar beslut som är oförenliga med dataskyddsförordningen och dataskyddsombudets råd bör dataskyddsombudet klargöra sin avvikande ståndpunkt genom att skriva ett yttrande riktat till den högsta förvaltningsnivån och till dem som fattar besluten. Sådan direkt rapportering säkerställer att den högsta ledningen är medveten om dataskyddsombudets råd och rekommendationer, som en del av hans eller hennes uppdrag enligt artikel 39.1. Ett annat exempel på direkt rapportering är att dataskyddsombudet upprättar en årlig rapport om sin verksamhet som sedan överlämnas till den högsta ledningen.

text: Vidare anges bland annat följande i EDPB:s rapport. Det finns inte något hinder mot att rapporteringen sker muntligt, men en skriftlig rapportering ger bland annat en bättre spårbarhet. Om rapportering inte sker regelbundet finns det en risk att den högsta ledningen inte får tillräcklig information om dataskyddsombudets arbete eller avseende dataskyddsfrågor generellt, vilket kan bli problematiskt för den personuppgiftsansvarige eller personuppgiftsbiträdet då dessa vid överträdelser av dataskyddsförordningen kan drabbas av tillsynsmyndighetens korrigerande befogenheter.

text: Socialnämnden har uppgett att det inte finns någon struktur för dataskyddsombudets rapportering till den högsta förvaltningsnivån och att det bara har upprättats en rapport till de personuppgiftsansvariga nämnderna sedan 2018. Det har visserligen inte framkommit om eller hur dataskyddsombudet på något annat sätt, dvs. utöver en rapport, har rapporterat till den högsta förvaltningsnivån, men socialnämnden har uppgett att det utöver att struktur för rapportering saknas inte finns tid att rapportera. IMY konstaterar därför att det inte har skett någon regelbunden eller tillräcklig rapportering till den högsta förvaltningsnivån samt att, såvitt framkommit, det inte heller funnits interna rutiner som säkerställer att dataskyddsombudet rapporterar och har direkt tillgång till den högsta förvaltningsnivån.

text: Mot bakgrund av detta bedömer IMY att socialnämnden överträtt artikel 38.3 i dataskyddsförordningen genom att inte ha säkerställt att dataskyddsombudet rapporterar direkt till socialnämndens högsta förvaltningsnivå.

text: Socialnämndens åtgärder med anledning av IMY:s tillsyn

text: IMY noterar avseende de konstaterade överträdelserna att socialnämnden, enligt vad som uppgetts i yttrandet den 12 december 2023, har anlitat ett konsultstöd och påbörjat ett arbete med att bygga upp en dataskyddorganisation samt avser att utvärdera dataskyddsombudets resursbehov. Vidare har socialnämnden påbörjat ett arbete med en informationshanteringsplan med målsättningen att samtliga förvaltningar inom kommunen ska känna till att en tidig kontakt med dataskyddsombudet krävs i frågor som rör skydd av personuppgifter. Socialnämnden

text: har även uppgett att det nu har inletts ett arbete med att upprätta en intern rutin för dataskyddets regelbundna rapporter till den högsta förvaltningsnivån.

text: Val av ingripande

text: IMY har gjort bedömningen att socialnämnden har överträtt artiklarna 38.1, 38.2 och 38.3 i dataskyddsförordningen. Av artikel 58.2 och 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra en administrativ sanktionsavgift. Beroende på omständigheterna i det enskilda fallet ska en administrativ sanktionsavgift påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel ett föreläggande eller ett förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om en administrativ sanktionsavgift ska påföras och vid bestämmande av avgiftens storlek. Om det är frågan om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY konstaterar följande relevanta omständigheter.

text: De konstaterade överträdelserna har pågått under i vart fall sex månader; mellan den 29 juni 2023, när socialnämndens första yttrande är daterat, och den 12 december 2023, när socialnämndens kompletterande yttrande är daterat.

text: Att dataskyddsombudet inte getts möjlighet att uppfylla sitt uppdrag enligt dataskyddsförordningen har enligt IMY medfört risker för personuppgiftsbehandlingen inom organisationen. Det gäller inte minst i en organisation som socialnämnden, där det kan bli fråga om behandlingar av både komplex och känslig natur. IMY konstaterar dock att de konstaterade överträdelsernas varaktighet är relativt begränsad. Vidare beaktar IMY att socialnämnden till följd av den aktuella tillsynen inlett vissa åtgärder för att framgent säkerställa efterlevnaden av artiklarna 38.1–3 i dataskyddsförordningen. Det kan även konstateras att socialnämnden inte tidigare, i nu relevant avseende, överträtt dataskyddsbestämmelserna.

text: Mot denna bakgrund bedömer IMY att det är fråga om mindre överträdelser i den mening som avses i skäl 148 i dataskyddsförordningen. Socialnämnden ska därför ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna.

text: Detta beslut har fattats av enhetschefen Nidia Nordenström efter föredragning av juristen Mika Kortzon. Vid den slutliga handläggningen har även den tillförordnade rättschefen Cecilia Agnehall deltagit.

text: Kopia till

text: Socialnämndens dataskyddsombud

text: Hur man överklagar

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.