text: Se bilaga

text: Aktiebolaget Storstockholms Lokaltrafik

text: IMY inledde tillsyn mot Trafikförvaltningen i Region Stockholm med anledning av klagomålet i januari 2023 i ärende med diarienummer IMY-2023-696. Ärendet

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: Se t.ex. EU-domstolens dom Österreichische Datenschutzbehörde,

text: , EU:C:2023:369, p. 23 och där angiven rättspraxis. 3 EU-domstolens dom i

text: mål C-487/21

text: , p. 24. 4 EU-domstolens dom Nacionalinis visuomenės sveikatos centras,

text: , EU:C:2023:949, p. 58. 5 EU-domstolens dom IAB Europe,

text: , EU:C:2024:214, p. 40. 6 Jfr skäl 26 och EU-domstolens dom i mål IAB Europe,

text: , p. 40.

text: Jfr EU-domstolens dom M.I.C.M.,

text: , EU:C:2021:492, p. 106 och EDPB:s riktlinjer Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR (version 1.0 antagna den 8 oktober 2024 för publik konsultation), p. 6. Observera att riktlinjerna inte har blivit slutligt antagna av EDPB vid tidpunkten för det här beslutet. 8 Se EU-domstolens dom Koninklijke Nederlandse Lawn Tennisbond,

text: , EU:C:2024:857, p. 49.

text: EU-domstolens dom Asociaţia de Proprietari bloc M5A-ScaraA,

text: , EU:C:2019:1064, p. 44. 10 EU-domstolens dom i

text: mål C-708/18

text: , p. 44. 11 EU-domstolens dom i

text: mål C-708/18

text: , p. 47. 12 EU-domstolens dom i

text: mål C-708/18

text: , p. 48. 13 Se EDPB:s

text: riktlinjer 1/2024

text: , p. 32–34.

text: EU-domstolens domar Lindqvist,

text: , EU:C:2003:596, p. 50, Vyriausioji tarnybinės etikos komisija,

text: , EU:C:2022:601, p. 125–127 och Lindenapotheke,

text: , EU:C:2024:846, p. 84, 89–91 och 94. 15 Se förslag till avgörande av generaladvokat i EU-domstolens mål NADA

text: , EU:C_2023:676, p. 97.

text: Riktlinjer om automatiserat individuellt beslutsfattande och profilering enligt förordning

text: (EU) 2016/679

text: rev.01, s.16.

text: EU-domstolens dom den 21 december 2023, Krankenversicherung Nordrhein,

text: mål C-667/21

text: , p. 79. 18 Guidelines 04/2022 on the calculation of administrative fines under the GDPR.

text: EU-domstolens domar Nacionalinis visuomenes sveikatos centras,

text: , punkt 81 och Deutsche Wohnen, C- 807/21, p. 76. 20 Det är

text: regeringsformens

text: terminologi som är utgångspunkten vid tolkningen av begreppet myndighet enligt dataskyddsförordningen. Enligt denna terminologi utgör organ som är organiserade i privaträttsliga former, t.ex. statliga och kommunala bolag, inte myndigheter, även om de utövar offentlig makt. Se

text: prop. 2017/18:105, s. 46

text: och

text: Se skäl 150 till dataskyddsförordningen och EU-domstolens dom Deutsche Wohnen,

text: , p. 57. 22 Se EU-domstolens dom ILVA,

text: , EU:C:2025:84, p. 36. 23 EU-domstolens dom Akzo Nobel,

text: P, EU:C:2017:314, p. 48. 24 EU-domstolens dom Akzo Nobel and Others,

text: , EU:C:2009:536, p. 59–61 25 EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, punkt 130 och EUdomstolens dom Groupe Gascogne SA v European Commission,

text: P,ECLI:EU:C:2013:770, punkterna 54–56. 26 EDPB:s

text: riktlinjer 04/2022

text: , p. 60.

text: EDPB:s

text: riktlinjer 04/2022

text: , p. 95–98. 28 Kammarrätten i Stockholm har i två komplicerade tillsynsärenden bedömt att det inte funnits skäl att sätta ned sanktionsavgiften på grund av ärendenas handläggningstid som uppgick till två år och sju månader respektive tre år. Se Kammarrätten i Stockholms domar den 26 januari 2023 i mål nr 1552-22 och den 11 mars 2024 i mål nr 2829-23.

sprak: sv

titel: Beslut efter tillsyn SL.pdf

publisher: Integritetsskyddsmyndigheten

title: Aktiebolaget Storstockholms Lokaltrafik (SL)

org: imy

sammanfattning: IMY har granskat klagomål mot Aktiebolaget Storstockholms Lokaltrafik (SL). IMY bedömer att SL har brutit mot dataskyddsförordningen, GDPR, och utfärdar en sanktionsavgift på 75 000 kronor mot företaget.

text: IMY-2024-1521 Beslut efter tillsyn enligt

type: stycke

text: dataskyddsförordningen – Aktiebolaget Storstockholms Lokaltrafik

type: rubrik

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Aktiebolaget Storstockholms Lokaltrafik, med organisationsnummer 556013-0683, under perioden oktober 2021–augusti 2022 har behandlat klagandens personuppgifter i strid med

text: • artikel 6 i dataskyddsförordningen genom att behandla klagandens personuppgifter utan rättslig grund och • artikel 9 i dataskyddsförordningen genom att behandla känsliga personuppgifter om klaganden utan att något av undantagen från förbudet att behandla sådana uppgifter var tillämpligt.

text: IMY beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att Aktiebolaget Storstockholms Lokaltrafik ska betala en administrativ sanktionsavgift på 75 000 (sjuttiofemtusen) kronor för överträdelserna.

text: Redogörelse för tillsynsärendet

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot Aktiebolaget Storstockholms Lokaltrafik (SL eller bolaget) med anledning av ett klagomål.

text: IMY utreder om den aktuella behandlingen av klagandens personuppgifter har haft stöd i en rättslig grund i artikel 6 i dataskyddsförordningen, huruvida behandlingen har omfattat känsliga personuppgifter om klaganden enligt artikel 9 i dataskyddsförordningen och i så fall om något av undantagen mot förbudet mot att behandla sådana känsliga uppgifter varit tillämpligt.

text: Bakgrund

text: avslutades med hänsyn till att Trafikförvaltningen i Region Stockholm inte bedömdes vara personuppgiftsansvarig för den behandling som klagomålet gäller. IMY har tillfört relevanta handlingar från det tidigare tillsynsärendet till ärende IMY-2024-1521.

text: Klagomålet

text: Klaganden har i huvudsak uppgett följande. Klaganden är befälhavare och anställd av en trafikutövare som utför upphandlad kollektivtrafik på vatten åt SL. Befälhavarna hos trafikutövaren gör ett utandningsprov i en alkoholmätare innan varje avgång med färja. Resultatet registreras och lagras i ett system. Systemet med alkoholtestning av anställda med registrering och lagring av resultaten från testerna har inte förekommit tidigare. Trafikutövaren har inte kunnat svara på vilken rättslig grund behandlingen av känsliga uppgifter stödjer sig på. Det enda uttalade syftet med alkoholtestning är att säkerställa att befälhavaren inte är alkoholpåverkad vid framförandet av fartyget, men vad den rättsliga grunden för, syftet med och intresset av att registrera testresultat för lagring kan trafikutövaren inte förklara. Den troliga anledningen till att trafikutövaren inte kan svara klart och tydligt på klagandens frågor är att trafikutövaren inte fått tillräcklig information och underlag i sitt avtal med Trafikförvaltningen i Region Stockhom. Trafikutövaren ska redovisa resultatet av alkoholtesterna för SL. Informationen om utandningsprovets resultat lagras i den fastmonterade alkoholmätaren ombord på fartygen i ett år. Samma information överförs genom digital uppkoppling till en server som trafikutövaren och SL har tillgång till. Eftersom både trafikutövaren och SL kan koppla ihop logginformationen från alkoholmätaren med tjänstföringsscheman innebär detta sammantaget att det är fråga om personuppgiftsbehandling. Vilka som tjänstgör ombord ska enligt lag vara kända för trafikutövaren och vara noterade i skeppsdagboken som även SL har tillgång till. Uppgifterna i skeppsdagboken sparas i tre år. Den befälhavaren som är skyldig att blåsa i alkoholmätaren kan därför kopplas samman med utfört utandningsprov.

text: Yttranden från SL

text: SL:s yttranden redogörs för i relevanta delar under respektive avsnitt under rubriken ”Motivering av beslutet”. Nedan sammanfattas det som i huvudsak framkommit om den aktuella personuppgiftsbehandlingen.

text: Genom alkoholmätaren registreras uppgift om aktuell utandningsenhet kopplad till fartyg, tidpunkt och resultat av befälhavarens utandningsprov. Uppgift om vem ett utandningsprov hänför sig till registreras inte. De registrerade uppgifterna lagras i alkoholmätaren, kontrollboxen ombord på fartyget och i SL:s datasystem under sju dagar enligt nu gällande gallringsrutiner. Vid resultat upp till laglighetsgränsen, 0,2 promille, visas endast ett grönt resultat. Det är först när resultatet har passerat laglighetsgränsen som ett resultat angivet i promille är synligt och utandningsenheten visar rött. Det är endast ett fåtal behöriga personer hos trafikutövaren som, genom tillgång till resultat från alkoholmätaren som skeppsdagbok, har haft möjlighet att identifiera befälhavarens resultat av ett utandningsprov. Det har varit nödvändigt för att uppnå syftet med användningen av alkoholmätaren som varit att förhindra framförande av fartyg under alkoholpåverkan.

text: När utandningsproven togs i bruk i oktober 2021 saknades gallringsrutiner eftersom SL inte bedömde att resultatet av utandningsproverna utgjorde personuppgifter för bolaget. Förslag till gallringsbeslut presenterades för Regionarkivet den 2 april 2022. Gallring av samtliga uppgifter i systemet genomfördes den 2 maj 2022. Ett formellt gallringsbeslut godkändes av Regionarkivet den 3 oktober 2022. Efter det formella

text: gallringsbeslutet ska automatisk gallring ske efter sju dagar från utandningsprov. En lagringstid om sju dagar är nödvändig för att säkerställa att trafikutövaren hinner följa upp och vidta åtgärder vid ett eventuellt positivt resultat. Det har inte bedömts finnas något intresse av att behålla utandningsprov och loggar under en längre tid då uppgifterna saknar betydelse i andra avseenden. SL uppskattar att klaganden har utfört ungefär två utandningsprov per arbetsdag. Uppgifterna om klaganden finns inte längre sparade. Utandningsproven är pausade sedan den 26 augusti 2022 på grund av IMY:s tillsyn. SL önskar att återuppta kontrollerna så snart som är möjligt.

text: Yttranden från klaganden

text: Klaganden har fått tillfälle att yttra sig över SL:s yttranden och har bland annat uppgett följande. SL anser sig vara ansvarig för säkerheten ombord. Rederiet, i detta fall trafikutövaren, tillsammans med befälhavaren är ansvariga för säkerheten och arbetsmiljön ombord. SL hänvisar vidare till alkohol- och drogpolicy som är branschstandarden oberoende om SL är huvudman eller inte. Denna policy innehåller bland annat nolltolerans mot alkohol och droger på arbetsplatsen, alkohol- och drogtest vid nyanställning, misstanke och olycka och slumpmässiga tester. Klaganden ställer sig frågande till om SL utifrån en proportionalitetsbedömning konstaterat att dessa åtgärder inte har fungerat och om SL har konstaterat problem med alkohol och droger hos sin uppdragstagares personal som motiverar ytterligare åtgärder.

text: Motivering av beslutet

text: IMY ska inledningsvis pröva om resultaten från utandningsproven har utgjort personuppgifter om klaganden. Om så är fallet ska IMY därefter ta ställning till om SL har haft stöd i artiklarna 6 och 9 i dataskyddsförordningen för att behandla klagandens personuppgifter i samband med de utandningsprov som genomförts under perioden oktober 2021–augusti 2022.

text: Behandlingen omfattar personuppgifter

text: Rättslig reglering

text: Begreppet personuppgift definieras i artikel 4.1 i dataskyddsförordningen som varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

text: Av skäl 26 i dataskyddsförordningen framgår bland annat följande. Personuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör anses som uppgifter om en identifierbar fysisk person. För att avgöra om en fysisk person är identifierbar bör man beakta alla hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller av en annan person, rimligen kan komma att användas för att direkt eller indirekt identifiera den fysiska personen. För att fastställa om hjälpmedel med rimlig sannolikhet kan komma att användas för att identifiera den fysiska personen bör man beakta samtliga objektiva faktorer, såsom kostnader och tidsåtgång för identifiering, med beaktande av såväl tillgänglig teknik vid tidpunkten för behandlingen som den tekniska utvecklingen.

text: Begreppet ”personuppgift” ska enligt rättspraxis ges en vid innebörd. EU-domstolen har slagit fast att en upplysning avser en identifierbar fysisk person när den på grund av sitt innehåll, syfte eller verkan är knuten till en identifierbar person. EU-domstolen har vidare konstaterat att det inte är nödvändigt att upplysningen i sig gör det möjligt att identifiera den fysiska personen för att upplysningen ska utgöra en personuppgift. Det följer av artikel 4.1 jämfört med skäl 26 att personuppgifter som genom att använda kompletterande uppgifter skulle kunna tillskrivas en fysisk person ska anses som uppgifter om en identifierbar fysisk person. Det krävs inte att en enda person innehar alla upplysningar som är nödvändiga för att identifiera den registrerade för att en uppgift ska anses utgöra en personuppgift i den mening som avses i artikel 4.1 i dataskyddsförordningen.

text: Vad SL har uppgett

text: Av SL:s yttranden framgår bland annat följande. Uppgift om vem ett utandningsprov hänför sig till registreras inte i systemet. I systemet registreras uppgifter om aktuell utandningsenhet kopplad till fartyg, tidpunkt och resultat av utandningsprov. Två anställda hos trafikutövaren har tillgång till resultatet från utandningsproverna i systemet. Dessa behöriga personer kan i sin tur koppla ihop resultat från utandningsprov med vem som har varit befälhavare för det fartyg som det aktuella utandningsprovet har utförts på. SL har inte tillgång till den informationen. SL har bestämt att endast personal hos trafikutövaren ska ha tillgång till resultat av utandningsprov.

text: Inför att utandningsproven infördes bedömde SL att resultaten inte utgjorde personuppgifter för bolaget, eftersom bolaget inte uppfattade att de medel för att identifiera vilken befälhavare som gjort vilket utandningsprov rimligen eller sannolikt kunde kommas åt av SL. SL har haft en viss möjlighet att genom åtgärder hos leverantören erhålla tillgång till uppgifter som lagras i utandningsenheten, men har primärt uppfattat att möjligheten inte varit inom ramen för vad som anses utgöra en rimlig åtgärd. Efter dialog med bland annat befälhavare rörande utandningsproven under våren 2022 gjorde SL en förnyad bedömning av frågan, varvid bolaget ansåg att hanteringen sannolikt får anses utgöra personuppgiftsbehandling för bolaget.

text: IMY:s bedömning

text: Mot bakgrund av utredningen i ärendet bedömer IMY att resultaten från utandningsproven kan kopplas till den fysiska person som har utfört utandningsprovet genom kompletterande uppgifter, som finns tillgängliga hos trafikutövaren. Det är enligt IMY tillräckligt att resultaten från utandningsproven med de kompletterande uppgifterna i skeppsdagboken kan kopplas till en identifierbar fysisk person. Den omständigheten att SL inte har haft direkt tillgång till resultaten från utandningsproven eller att det inte har registrerats uppgift om vem som utfört ett utandningsprov i systemet där resultaten har lagrats saknar enligt IMY betydelse i sammanhanget. Resultaten från utandningsproven utgör således personuppgifter enligt artikel 4.1. i dataskyddsförordningen.

text: SL är personuppgiftsansvarig

text: Rättslig reglering

text: Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som

text: ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.

text: Vad SL har uppgett

text: SL har angett bland annat följande. SL har bestämt ändamålen med den aktuella personuppgiftsbehandlingen och beslutat hur behandlingen ska genomföras. SL har fattat beslut om installation av mätarna på fartygen. SL har beslutat hur lagring av resultaten av utandningsproven ska ske och om lagringstid. SL har vidare bestämt att endast personal hos trafikutövaren ska ha tillgång till resultat av utandningsprov. Trafikutövaren är personuppgiftbiträde till SL i den del som trafikutövaren hanterar personuppgifter för SL:s räkning. SL har ingått ett personuppgiftsbiträdesavtal med trafikutövaren.

text: IMY:s bedömning

text: IMY bedömer att utredningen visar att SL har bestämt ändamålen och medlen för den aktuella personuppgiftsbehandlingen. SL är därmed personuppgiftsansvarig för den.

text: Rättslig grund för personuppgiftsbehandlingen

text: I artikel 6 i dataskyddsförordningen anges att en behandling av personuppgifter endast är laglig om minst ett av villkoren i artikel 6.1 är uppfyllt. Det måste med andra ord finnas en rättslig grund för personuppgiftsbehandlingen.

text: SL har angett att bolaget har genomfört en dokumenterad intresseavvägning och kommit fram till att den aktuella behandlingen kan grundas på artikel 6.1 f i dataskyddsförordningen. SL har även framfört att om IMY inte bedömer att rättslig grund enligt artikel 6.1 f föreligger så har behandlingen haft stöd i den rättsliga grunden allmänt intresse enligt artikel artikel 6.1 e i dataskyddsförordningen.

text: Rättslig reglering

text: I artikel 6.1 e i dataskyddsförordningen anges att personuppgiftsbehandling är laglig om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Enligt artikel 6.3 i dataskyddsförordningen ska den grund för behandlingen som avses i artikel 6.1 e fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

text: I artikel 6.1 f dataskyddsförordningen anges att en personuppgiftsbehandling är laglig om den är nödvändig för ändamål som rör den personuppgiftsansvariges eller tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter.

text: Bestämmelsen föreskriver således tre kumulativa villkor som måste vara uppfyllda för att personuppgiftsbehandling ska vara tillåten. Den första förutsättningen är att de intressen som behandlingen avser att skydda måste utgöra berättigade intressen för den personuppgiftsansvarige eller en tredje part. Det berättigade intresset ska vara lagligt, vilket innebär att det inte får stå i strid med vare sig EU-rätt eller nationell rätt. Vidare ska intresset vara klart och tydligt formulerat och gälla ett faktiskt intresse som

text: föreligger vid tidpunkten för behandlingen och inte är hypotetiskt. Om en personuppgiftsansvarig inte bara agerar i sitt eget berättigade intresse (t.ex. sitt affärsintresse), utan också i hela samhällets intressen, väger detta intresse i regel tyngre än annars.

text: Den andra förutsättningen är att behandlingen är nödvändig för ett ändamål som rör det berättigade intresset. Det innebär att det berättigade intresset inte rimligen kan uppnås på ett lika effektivt sätt genom andra medel som i mindre utsträckning inkräktar på de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till skydd för privatlivet och rätten till skydd för personuppgifter enligt artiklarna

text: och

text: i Europeiska unionens stadga om de grundläggande rättigheterna (EU:s rättighetsstadga). Av praxis följer även att kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen vilken föreskriver att de personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

text: Den tredje förutsättningen är att de registrerades grundläggande fri- och rättigheter (integritetsintresset) inte väger tyngre än det berättigade intresse som behandlingen avser att skydda. Bedömningen ska göras utifrån de konkreta omständigheterna i det enskilda fallet. Den personuppgiftsansvarige ska bland annat identifiera och beakta den registrerades intressen samt rättigheter och friheter, behandlingens påverkan på den registrerade och huruvida den registrerade rimligen kunde förvänta sig behandling för det aktuella ändamålet.

text: I enlighet med principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen är det den personuppgiftsansvariga ansvara för och kunna visa att reglerna i dataskyddsförordningen följs och däribland att behandlingen är laglig.

text: Vad SL har uppgett

text: SL anser att bolaget har ett berättigat intresse av att behandla personuppgifter på det sätt som sker. Det berättigade intresset med behandlingen är att säkerställa säkerheten för resenärerna i kollektivtrafiken. Region Stockholm bedriver kollektivtrafik på vatten utifrån beslut om allmän trafikplikt och ett antal trafikavtal. Kollektivtrafiken på vatten bedrivs genom SL och Waxholms Ångfartygs Aktiebolag (WÅAB). SL är ansvarig för att kollektivtrafiken inom bolagets ansvarsområde bedrivs på ett säkert sätt. SL:s avsikt med att nykterhetstesta befälhavare har varit att garantera säkerheten för passagerare, arbetstagare och trafikanter i kollektivtrafiken. SL har övervägt det integritetstrång det riskerar att medföra för befälhavare i samband med utförande av nykterhetstester. SL har bedömt att intresset av nyktra befälhavare överväger det integritetstrång som riskerar att följa för berörda befälhavare. SL har bedömt att det är nödvändigt att behandla personuppgifter för att uppnå ändamålet. Det går inte att uppnå ändamålet utan att de aktuella personuppgifterna behandlas. SL har genomfört en dokumenterad konsekvensbedömning med resultat att behandlingen kan ske.

text: Trafikförvaltningen i Region Stockholm har i Trafiksäkerhetspolicy för sjötrafiken fastställt att fartyg inom trafikförvaltningens successivt ska förses med tillförlitliga alkolås och att enhetliga rutiner ska finnas för hur dessa ska användas. Av trafikförvaltningens säkerhetsbestämmelser SSA SÄB 0478 framgår vidare att alla fordon inklusive fartyg inom kollektivtrafiken ska ha alkolås och att arbete pågår med

text: införande av alkolås för fartygsflottan. SL:s krav på att alkoholmätare används och kravet på att befälhavare genomför utandningsprov och lagring av resultatet hos trafikutövaren medför att behandlingen får anses bli nödvändig.

text: SL har minimerat antalet personuppgifter som behandlas för att uppfylla syftena med behandlingen. Vid anställning hos trafikutövaren informeras blivande personal om nolltolerans avseende alkohol och droger och de anställda har tillgång till den gällande alkohol- och drogpolicyn.

text: SL har vidtagit och övervägt andra åtgärder för att uppnå syftet med behandlingen. Inga av åtgärderna har bedömts säkerställa det övergripande behovet av att förare inom kollektivtrafik aldrig framför fartyg alkoholpåverkade. SL framställer krav gällande sjösäkerhet relaterad till alkohol och droger vid upphandlingar av kollektiv sjötrafik. Av den senaste upphandlingen framgår krav på att trafikutövare ska ha en fastställd policy för förebyggande arbete mot alkohol och droger. Trafikutövare har en skyldighet att utöva tillsyn och genomföra kontroller för att uppfylla SL:s krav på trygghet och säkerhet. Genomförda kontroller redovisas årligen i syfte att SL tillsammans med trafikutövaren ska kunna utvärdera och vidta åtgärder för säker sjötrafik. Trafikutövaren ska genomföra alkohol- och drogtester på den personal som arbetar med framförande av fartygen genom så kallade stickprov två gånger per år. Utöver stickprovskontroller uppställs krav på alkohol- och drogtester i samband med olyckor och tillbud. Det ska framhållas att det enda sättet att säkerställa att en befälhavare för ett fartyg är nykter vid framförandet av fartyget är att utföra ett nykterhetstest omedelbart innan fartygets avgång. Det är inte tillräckligt att använda sig av slumpmässiga nykterhetstester och informera om gällande alkohol och drogpolicy i samband med anställning.

text: Ett teoretiskt annat sätt för att uppnå syftet med behandlingen skulle vara installation av alkolås i fartyg. SL uppfattar att behandlingen i samband med sådan mekanism skulle medföra likvärdiga intrång i de registrerades integritet, eftersom nödvändig uppföljning av varför ett visst fartyg inte kan framföras på grund av alkolås vid en viss tidpunkt skulle ge upphov till motsvarande typ av personuppgiftsbehandling.

text: Vid införandet av nykterhetstester har SL konstaterat att tidigare genomförda åtgärder inte säkerställer SL:s behov. SL har inte kunnat identifiera några mindre integritetsingripande åtgärder än de som införts i samband med nykterhetstesterna och på det sätt som resultaten av kontrollerna hanteras. SL anser vidare att bolagets berättigade intresse av att genomföra behandlingen väger tyngre än de registrerades intressen.

text: Vad gäller den rättsliga grunden allmänt intresse har SL framfört att den verksamhet som Region Stockholm, som kollektivtrafikmyndighet, bedriver utgör ett allmänt intresse. SL som är ansvariga för kollektivtrafiken har en lagstadgad skyldighet att bedriva kollektivtrafik på ett säkert sätt för såväl resenärer som för anställda.

text: IMY:s bedömning av den rättsliga grunden intresseavvägning

text: Berättigat intresse

text: SL har uppgett att bolaget har ett berättigat intresse av att behandla klagandens personuppgifter för att säkerställa säkerheten i kollektivtrafiken och att fartyg inte framförs under alkoholpåverkan. IMY finner att SL:s intresse av att behandla personuppgifter i syfte att säkerställa säkerheten inom kollektivtrafiken är ett viktigt samhällsintresse som utgör ett berättigat intresse i dataskyddsförordningen mening.

text: Nödvändighet

text: IMY ska vidare pröva om den aktuella behandlingen har varit nödvändig för att uppnå syftet med personuppgiftsbehandlingen.

text: SL har i denna del uppgett att bolaget har undersökt andra lämpliga och mindre integritetskänsliga åtgärder för att uppnå syftet med behandlingen och att bolaget inte har kunnat identifiera några mindre integritetsingripande åtgärder för att uppnå syftet med den aktuella behandlingen. SL har identifierat installation av alkolås i fartyg som ett teoretiskt alternativt sätt att uppnå syftet med behandling. SL har dock bedömt att nödvändig uppföljning av varför ett visst fartyg inte kan framföras på grund av alkolås vid en viss tidpunkt är att anses som motsvarande typ av personuppgiftsbehandling som den behandling som klagomålet gäller.

text: Nödvändighetsrekvisitet ska, som nämnts, prövas tillsammans med principen om uppgiftsminimering. IMY konstaterar att från det att utandningsproverna infördes i oktober 2021 till de stoppades i augusti 2022 har SL saknat formella gallringsrutiner för dessa. Det har medfört att klagandens provresultat, från de i genomsnitt två utandningsproven per arbetspass som han genomfört under perioden, har registrerats och lagrats i SL:s system under en lång tid om flera månader. SL har uppgett att en längre lagringstid än sju dagar inte har varit motiverad vare sig för uppföljning av resultaten eller av några andra skäl. IMY anser att det därmed får anses stå klart att syftet med en säker kollektivtrafik och förhindrande av att fartyg framförs under alkoholpåverkan har kunnat uppnås utan en sådan omfattande behandling av klagandens personuppgifter som genomförts under perioden. Redan mot denna bakgrund bedömer IMY, även med beaktande av att det vid ett tillfälle under perioden gjorts en gallring av samtliga uppgifter i systemet, att behandlingen inte har varit nödvändig för att uppnå det berättigade intresset.

text: Vidare har SL identifierat alkolås som ett alternativt sätt att uppnå syftet med behandlingen. IMY delar inte SL:s bedömning av att den personuppgiftsbehandling som användandet av alkolås skulle medföra, såsom den beskrivits av bolaget, skulle innebära ett likvärdigt intrång i klagandens integritet i förhållande till den som genomförts. IMY anser att personuppgiftsbehandling i form av utredning vid behov och först när ett alkolås förhindrat ett fartygs framförande skulle inskränka klagandens integritetsskydd i mindre utsträckning jämfört med den aktuella behandlingen av personuppgifter, där varje resultat från utandningsprov oavsett resultat har registrerats och, under den tid som tillsynen omfattar, lagrats på obestämd tid i vart fall under flera månader. IMY bedömer därför att det även med beaktande av denna omständighet kan konstateras att den aktuella behandlingen har kunnat uppnås med mindre ingripande åtgärder.

text: Sammanfattningsvis bedömer IMY att behandlingen av klagandens personuppgifter inte har varit nödvändig för att uppnå SL:s berättigade intresse och att samtliga villkor för att behandlingen ska kunna grunda sig på artikel 6.1 f inte är uppfyllda. Behandlingen av klagandens personuppgifter har därmed inte haft stöd i den rättsliga grunden intresseavvägning.

text: IMY:s bedömning av den rättsliga grunden allmänt intresse

text: IMY har bedömt att SL inte har kunnat stödja behandlingen av klagandens personuppgifter på artikel 6.1 f i dataskyddsförordningen eftersom den inte varit nödvändig för att uppnå syftet med behandlingen. IMY konstaterar att för att en behandling ska kunna stödja sig på artikel 6.1 e i dataskyddsförordningen krävs det att

text: behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse som följer av unionsrätt eller nationell rätt. Bestämmelsen innehåller alltså ett motsvarande krav på nödvändighet som i artikel 6.1 f i förordningen. IMY har bedömt att behandlingen av klagandens personuppgifter inte har varit nödvändig för att uppnå syftet med en säker kollektivtrafik eftersom behandlingen har kunnat uppnås på ett lika effektivt sätt genom mindre ingripande personuppgiftsbehandling. Mot bakgrund av att kravet på nödvändighet inte är uppfyllt har därmed behandlingen av klagandens personuppgifter inte heller kunnat göras med stöd av den rättsliga grunden allmänt intresse.

text: IMY konstaterar sammanfattningsvis att SL inte har haft rättslig grund för behandlingen av klagandens personuppgifter i samband med utandningsprov som genomförts under perioden oktober 2021–augusti 2022. SL har därmed behandlat klagandens personuppgifter i strid med artikel 6 i dataskyddsförordningen.

text: Behandling av känsliga uppgifter

text: Rättslig reglering

text: Uppgifter om hälsa utgör sådana särskilda kategorier av personuppgifter, så kallade känsliga personuppgifter, som ges ett särskilt starkt skydd enligt dataskyddsförordningen. Det är som huvudregel förbjudet att behandla sådana personuppgifter enligt artikel 9.1 i dataskyddsförordningen, om inte behandlingen omfattas av något av undantagen i artikel 9.2 i förordningen.

text: Av artikel 9.2 g följer att förbudet mot att behandla känsliga personuppgifter inte gäller om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

text: Enligt praxis ska begreppet känsliga personuppgifter ges en vid tolkning och omfattar även uppgifter som indirekt avslöjar sådan information.

text: Uppgifter om hälsa definieras i artikel 4.15 i dataskyddsförordningen som personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa vilka ger information om dennes hälsostatus. Av skäl 35 till dataskyddsförordningen framgår att personuppgifter om hälsa bör innefatta alla de uppgifter som hänför sig till en registrerad persons hälsotillstånd som ger information om den registrerades tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd, inbegripande bland annat uppgifter som härrör från tester eller undersökning av en kroppsdel eller kroppssubstans.

text: Av lydelsen i artikel 4.15 i dataskyddsförordningen, som preciseras genom skäl 35 i förordningen, följer att det som är avgörande för att fastställa huruvida vissa personuppgifter utgör uppgifter om hälsa är huruvida det är möjligt att utifrån uppgifterna i fråga dra slutsatser om den registrerades hälsotillstånd.

text: Europeiska dataskyddsstyrelsen (EDPB) har uttalat i riktlinjer om automatiserat individuellt beslutsfattande och profileringatt profilering kan skapa känsliga personuppgifter genom att dra slutsatser från och kombinera uppgifter som inte är känsliga. Enligt EDPB kan det exempelvis vara möjligt att dra en slutsats om någons

text: hälsostatus från uppgifter om deras matinköp tillsammans med uppgifter om matens kvalitet och energiinnehåll.

text: Vad SL har uppgett

text: Den eventuella behandlingen av känsliga personuppgifter har stöd i artikel 9.2 g i dataskyddsförordningen. SL har bedömt att det har varit nödvändigt att behandla personuppgifter för att uppnå en säker kollektivtrafik. SL utför arbete där människors liv kan vara i direkt fara om befälhavare ombord är alkoholpåverkade i samband med arbete på fartygen. Trafiksäkerheten utgör ett viktigt allmänt intresse och kräver att SL nykterhetstestar befälhavare för att tillförsäkra personal, passagerare och medtrafikanter en trygg kollektivtrafik. Vid en sammantagen bedömning av de säkerhetskrav som framgår i

text: sjölagen (1994:1004)

text: och

text: fartygssäkerhetslagen (2003:365)

text: har SL funnit att behandlingen är nödvändig. SL har ansett att nykterhetstesterna är en obligatorisk åtgärd för att tillgodose säkerheten ombord och de skyldigheter som följer av lag. Den metod som använts vid testerna har varit noga avvägd och bedömts vara den minst integritetskränkande för ändamålet.

text: SL har vidare uppgett att något positivt resultat vid utförande av nykterhetstester aldrig påträffats. SL kan således inte anses ha behandlat känsliga personuppgifter. Avsaknaden av ett positivt resultat kan inte anses utgöra behandling av känsliga personuppgifter om hälsa. Vidare är den tekniska utrustning som använts för genomförande av nykterhetstester utformad på ett sådant sätt att promillenivån endast visas då resultatet överskridit laglighetsgränsen. Resultatet lagras endast under sju dagar, vilket innebär att det inte är möjligt att uppmärksamma eventuella mönster eller riskbeteenden över tid som i eventuella fall skulle kunna innebära en behandling av känsliga personuppgifter. SL är därför av uppfattningen att känsliga personuppgifter varken faktiskt har, eller potentiellt skulle kunna, behandlas genom systemet för nykterhetstester som SL infört.

text: IMY:s bedömning

text: Det framgår av utredningen i ärendet att uppgifter från samtliga utandningsprov som klaganden utfört har lagrats under perioden oktober 2021–maj 2022 och gallrats i maj 2022. IMY konstaterar vidare att det framgår att behandlingen därefter har fortsatt och att det, även om SL i april 2022 framställt ett förslag till beslut om gallring efter sju dagar, saknades det ett formellt beslut som möjliggjorde gallring av uppgifterna även under perioden maj 2022–augusti 2022. Det är således fråga om en omfattande och regelbunden behandling av uppgifter om resultat av klagandens utandningsprov under längre tidsperiod. Inga positiva resultat om klaganden har registrerats.

text: I bedömningen av om behandlingen har omfattat känsliga personuppgifter beaktar IMY särskilt att begreppet ”uppgifter om hälsa” ska ges en vid tolkning och att det är möjligt att skapa känsliga uppgifter genom insamling av icke-känsliga uppgifter. Vidare beaktas att en uppgift om hälsa kan ha olika grad av känslighet. Känsligheten i en viss uppgift är dock inte av betydelse för huruvida en uppgift utgör en uppgift om hälsa i dataskyddsförordningens mening. Det kan vidare konstateras att även uppgifter som gör det möjligt att dra slutsatsen att någon inte lider av ett visst sjukdomstillstånd kan vara en uppgift om den personens hälsa.

text: I det aktuella ärendet är det fråga om behandling av en stor mängd personuppgifter i form av resultat från alkoholutandningsprov under flera månaders tid. Mot bakgrund av omfattningen av behandlingen i det enskilda fallet bedömer IMY att det utifrån de

text: insamlade uppgifterna har varit möjligt att dra slutsats om klagandens hälsostatusgenom. SL har därmed behandlat uppgifter om klagandens hälsa i den mening som avses i artikel 4.15 i dataskyddsförordningen.

text: För att en behandling av känsliga personuppgifter om hälsa ska vara laglig måste den omfattas av något av undantagen i artikel 9.2 i dataskyddsförordningen. SL har uppgett att den aktuella behandlingen haft stöd i artikel 9.2 g.

text: IMY konstaterar att en förutsättning för att behandling av känsliga personuppgifter ska vara laglig enligt någon av punkterna i artikel 9.2 är att behandlingen har stöd i en rättslig grund. Eftersom IMY ovan bedömt att SL saknat rättslig grund för behandlingen kan det redan av det skälet konstateras att behandlingen inte heller är tillåten enligt artikel 9 i dataskyddsförordningen.

text: Vidare har IMY bedömt att SL inte har kunnat stödja behandlingen av klagandens personuppgifter på artikel 6.1 f i dataskyddsförordningen eftersom den inte varit nödvändig för att uppnå syftet med behandlingen. IMY konstaterar att undantaget i artikel 9.2 g är tillämpligt på behandling som är nödvändig med hänsyn till ett viktigt allmänt intresse som följer av unionsrätten eller nationell rätt. Även denna bestämmelse innehåller således alltså ett motsvarande krav på nödvändighet som i artikel 6.1 f. Eftersom IMY bedömt att detta krav inte är uppfyllt i förhållande till det av SL åberopade allmänna intresset av säker kollektivtrafik har behandlingen av känsliga personuppgifter inte kunnat grunda sig på artikel 9.2 g i dataskyddsförordningen.

text: IMY bedömer sammanfattningsvis att SL saknat stöd i något av undantagen i artikel 9.2 från förbudet att behandla känsliga personuppgifter. SL har därmed behandlat klagandens personuppgifter i strid med artikel 9 i dataskyddsförordningen.

text: Val av ingripande

text: Rättslig reglering

text: Vid överträdelser av dataskyddsförordningen har IMY ett antal korrigerande befogenheter att tillgå enligt dataskyddsförordningen. Av artikel 58.2 i dataskyddsförordningen följer att IMY i enlighet med artikel 83 ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall.

text: Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen.

text: I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras, men också vad som ska påverka sanktionsavgiftens storlek. Av betydelse för bedömningen av överträdelsens allvar är bland annat dess karaktär, svårighetsgrad och varaktighet. EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer för beräkning av sanktionsavgifter.

text: Enligt artikel 83.5 ska det vid överträdelser av bland annat artiklarna 6 och 9 påföras administrativa sanktionsavgifter på upp till 20 000 000 EUR eller, om det gäller ett

text: företag, på upp till 4 procent av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.

text: I artikel 83.3 anges att om en personuppgiftsansvarig, med avseende på en och samma eller sammankopplade uppgiftsbehandlingar, överträder flera av bestämmelserna i förordningen får den administrativa sanktionsavgiften inte överstiga det belopp som fastställs för den allvarligaste överträdelsen.

text: Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b i förordningen.

text: Vad SL har uppgett

text: SL har uppgett att för det fall IMY bedömer att bolaget har behandlat personuppgifter utan lagligt stöd bör i första hand en reprimand påföras i stället för en sanktionsavgift.

text: SL:s enda syfte med nykterhetstesterna är att trygga resenärers och anställdas säkerhet i kollektivtrafiken. SL har vidtagit långtgående åtgärder för att säkerställa att integritetsintrånget för den registrerade utgjort det minsta möjliga. SL har begränsat antalet personer som varit föremål för nykterhetstester samt har minimerat lagringstid, antalet uppgifter som lagrats och personer som har haft möjlighet att avläsa resultatet för att kunna vidta åtgärder vid ett positivt resultat. Därutöver har kontinuerlig dialog mellan trafikutövaren och SL skett för att säkerställa att nykterhetstester genomförs på ett ändamålsenligt sätt. SL har som ett resultat av dialogen vid flera tillfällen pausat användandet av nykterhetstester för att åtgärda och utreda frågor som uppkommit under tiden. Inga känsliga personuppgifter har faktiskt eller potentiellt kunnat behandlas. Det har inte heller skett någon säkerhetsincident som inneburit risker för klaganden. En sanktionsavgift skulle vid beaktande av situationen som helhet och de omständigheter som framförts av SL innebära en oproportionell åtgärd som är kontraproduktiv. En reprimand med föreläggande om hur behandlingen bör justeras för att den ska vara laglig framstår som mer ändamålsenlig.

text: Om IMY beslutar att påföra en sanktionsavgift ska beaktas att behandlingen har varit proportionerlig och nödvändig i förhållande till behandlingens ändamål. Den utrustning som använts vid utförande av nykterhetstester har efter utredning ansetts vara den minst integritetskränkande för det fastställda ändamålet. Nykterhetstesterna har under flera tillfällen avbrutits på grund av tekniska skäl och för att utreda synpunkter. Den faktiska tiden för bruk av nykterhetstester har därför varit mycket begränsad och antalet utförda tester har därmed varit förhållandevis få. SL har sedan IMY beslutat att inleda tillsyn samarbetat och tillhandahållit information vid begäran. SL har också varit noggranna med att inkomma med rättelser för det fall felaktig information har lämnats.

text: SL ägs tills 100 procent av Region Stockholm. Regionen utövar ett aktivt ägande i SL och har ett betydande rättsligt inflytande i beslutsfattande över hur bolaget ska bedriva sin verksamhet och fullgöra myndighetens uppdrag. SL utgör således ett offentligägt bolag där majoriteten finansieras med skattefinansierade medel och bolaget bör därför inte påföras en högre sanktionsavgift än vad som kan påföras en myndighet. SL är aktiebolag men ska mot bakgrund av gällande struktur väsentligt likställas med en myndighet vid fullgörande av Region Stockholms uppdrag som kollektivtrafikmyndighet. En eventuell sanktionsavgift bör vara väsentligt lägre än för ett kommersiellt bolag med vinstsyfte och ska endast bedömas utifrån omständigheterna i det aktuella ärendet. Vidare bör beaktas att tillhandahållandet av kollektivtrafik på

text: vatten utgör en liten del av SL:s sammantagna verksamhet. SL noterar vidare att handläggningen för tidigare tillsynsärende och nuvarande tillsyn pågått i drygt två år.

text: IMY:s bedömning

text: Sanktionsavgift ska påföras

text: IMY har funnit att SL har behandlat klagandens personuppgifter i strid med artiklarna 6 och 9 i dataskyddsförordningen. Det innebär att SL, även med beaktande av att behandlingen periodvis pausats, under en längre tid har samlat in och lagrat känsliga personuppgifter om klaganden i hans egenskap av anställd utan rättsligt stöd. Mot denna bakgrund bedömer IMY att det inte är fråga om sådana mindre allvarliga överträdelser som kan medföra att en reprimand utfärdas i stället för en sanktionsavgift.

text: EU-domstolen har klargjort att det krävs att den personuppgiftsansvariga har begått en överträdelse uppsåtligen eller av oaktsamhet för att administrativa sanktionsavgifter ska kunna påföras enligt dataskyddsförordningen. EU-domstolen har härvid uttalat att personuppgiftsansvariga kan påföras sanktionsavgifter för ageranden om de inte kan anses ha varit okunniga om att agerandet utgjorde en överträdelse, oavsett om de varit medvetna om att de åsidosatte bestämmelserna i dataskyddsförordningen.

text: SL är i egenskap av personuppgiftsansvarig för den personuppgiftsbehandling som sker inom bolaget och för att den sker i enlighet med gällande regelverk. SL har behandlat klagandens personuppgifter i strid med dataskyddsförordningen genom att behandla personuppgifterna utan rättslig grund i artikel 6 och utan att något av undantagen från förbudet mot att behandla känsliga personuppgifter i artikel 9 varit tillämpligt. IMY bedömer att bolaget inte kan anses ha varit okunnigt om att agerandet inneburit en överträdelse av förordningen. IMY anser mot denna bakgrund att bolaget har varit oaktsamt i förhållande till de överträdelser av dataskyddsförordningen som konstaterats. Det finns därmed förutsättningar för att påföra bolaget en administrativ sanktionsavgift.

text: Utgångspunkter för beräkningen av sanktionsavgiften

text: Den maximala sanktionsavgiften som gäller för företag vid överträdelser av artiklarna 6 och 9 uppgår till det belopp som är högst av 20 000 000 EUR respektive 4 procent av den totala globala årsomsättningen under föregående budgetår. Det finns inte stöd för att i stället tillämpa de lägre högsta beloppen för sanktionsavgifter som gäller för myndigheter enligt

text: 6 kap. 2 § andra stycket i lagen (2018:218)

text: med kompletterande bestämmelser till EU:s dataskyddsförordning eftersom SL inte är en myndighet utan ett privaträttsligt organ.

text: Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag ska den definition av begreppet företag användas som EU-domstolen använder vid tillämpning av artiklarna

text: och

text: i EUF-fördraget. Beräkningen av maxbeloppet för en personuppgiftsansvarig som utgör ett sådant företag eller ingår i ett sådant företag ska ske på grundval av en procentandel av det berörda företagets totala globala

text: årsomsättningen under föregående räkenskapsår. Begreppet företag ska även beaktas för att bedöma den faktiska eller materiella ekonomiska kapaciteten hos den person som påförs sanktionsavgiften och därigenom kontrollera om sanktionsavgiften är effektiv, proportionell och avskräckande.

text: och

text: i EUF-fördraget.

text: Moderbolag och dotterbolag betraktas som en del av samma ekonomiska enhet när moderbolaget utövar ett avgörande inflytande över dotterbolaget. Det avgörande inflytandet (dvs. kontrollen) kan antingen uppnås genom ägande eller genom avtal. Av rättspraxis framgår att ett hundraprocentigt eller nästan hundraprocentigt ägande innebär en presumtion för att kontroll ska anses föreligga (den så kallade Akzoprincipen). Presumtionen kan dock motbevisas om företaget lämnar tillräcklig bevisning för att styrka att dotterbolaget agerar självständigt på marknaden.

text: SL är moderbolag i en koncern där SL står som ensam ägare till bolagen SL Nya Tunnelbanan AB, AB SL Finans och WÅAB. Mot denna bakgrund bedömer IMY att SL-koncernen, i enlighet med Akzo-principen som inte bedöms ha motbevisats, är en sådan ekonomisk enhet som utgör ett företag enligt de utpekade bestämmelserna i EUF-fördraget.

text: Överträdelsernas allvar

text: Den behandling som överträdelserna gäller har med hänsyn till att den pågått under en lång period om totalt drygt 9 månader och att klaganden uppskattningsvis har testats två gånger per arbetspass varit omfattande. Behandlingen har vidare omfattat känsliga personuppgifter om klaganden som samlats in inom ramen för hans anställning, en situation då han befunnit sig i en beroendeställning i förhållande till sin arbetsgivare.

text: I bedömningen av allvarlighetsgraden fäster IMY dock även stor vikt vid att behandlingen skett i syfte att upprätthålla säkerhet i kollektivtrafik och att tillsynen endast omfattar behandling av en enskild klagandes personuppgifter. Vidare har klaganden inte varit direkt identifierbar och till följd av åtgärder som SL vidtagit har

text: endast ett fåtal personer haft tillgång till samtliga uppgifter som krävts för att identifiera klaganden.

text: IMY ska vid sin bedömning av sanktionsavgiftens storlek även ta hänsyn till sådana försvårande och förmildrande faktorer som förtecknas i artikel 83.2 i dataskyddsförordningen. SL har numer vidtagit åtgärder för att begränsa lagringstiden och har även lyft fram att bolaget vid flera tillfällen pausat alkoholtesterna för att åtgärda och utreda frågor som uppkommit under behandlingen. IMY anser inte att de vidtagna åtgärderna går utöver vad som förväntas av bolaget i det aktuella fallet och att de därför inte utgör sådana faktorer som ska påverka bedömningen av sanktionsavgiftens storlek i förmildrande riktning. IMY konstaterar vidare att SL har haft en skyldighet att samarbeta med IMY inom ramen för tillsynen och det är en sådan omständighet som ska anses neutral vid bestämmandet av sanktionsavgiften. IMY bedömer att det inte heller i övrigt framkommit några försvårande eller förmildrande omständigheter, utöver de som beaktas vid bedömningen av allvarlighetsgraden, som påverkar sanktionsavgiftens storlek. Mot bakgrund av ärendets komplexitet bedömer IMY att det inte heller att ärendets handläggningstid ska leda till en lägre sanktionsavgift.

text: IMY bestämmer utifrån en samlad bedömning att SL ska betala en administrativ sanktionsavgift på 75 000 kr. IMY bedömer att detta belopp är effektivt, proportionerligt och avskräckande.

text: Nidia Nordenström

text: Bilagor

text: Kopia till

text: Dataskyddsombudet

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Sveriges ambassad i Bangkok Skickas endast per e-post ambassaden.bangkok@gov.se

text: 1Europaparlamentets och

text: rådets förordning (EG) nr 767/2008 av den 9 juli 2008

text: om informationssystemet för

text: viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS-förordningen 2

text: Europaparlamentets och rådets förordning (EU) 2018/1861 av den 28 november 2018

text: om inrättande, drift och användning av Schengens informationssystem (SIS) på området in- och utresekontroller, om ändring av konventionen om tillämpning av Schengenavtalet och om ändring och upphävande av förordning

text: (EG) nr 1987/2006

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning)

text: Europaparlamentets och rådets förordning (EG) nr 810/2009 av den 13 juli 2009

text: om införande av en gemenskapskodex om viseringar (viseringskodex). 5 Se även skäl 36 gränsförordningen.

titel: Läs beslutet

slug: sveriges-ambassad-i-bangkok

title: Sveriges ambassad i Bangkok

sammanfattning: IMY har genomfört granskning av hur Sveriges ambassad i Bangkok hanterar personuppgifter i samband med visumansökningar enligt reglerna i VIS-förordningen, gränsförordningen samt dataskyddsförordningen, GDPR. Granskningarna har även omfattat ambassadens användning av extern tjänsteleverantör för hanteringen av visumansökningar. För ambassaden i Bangkok konstaterar IMY det inte framgått några brister i efterlevnaden av VIS-förordningen, gränsförordningen eller dataskyddsförordningen på det sätt som utretts inom ramen för den aktuella tillsynen.

text: IMY-2024-2600 Beslut efter tillsyn enligt VIS-, SIS-

text: samt dataskyddsförordningen – Sveriges ambassad i Bangkok

text: 1. Integritetsskyddsmyndighetens beslut

text: Ärendet avslutas.

text: 2. Redogörelse för tillsynsärendet

text: 2.1 Granskningens syfte och metod

text: IMY har inlett tillsyn mot Sveriges ambassad i Bangkok (fortsättningsvis ambassaden) i syfte att utreda ambassadens behandling av personuppgifter vid viseringar enligt VIS- 1 2 3 förordningen , gränsförordningen samt dataskyddsförordningen . Tillsynen har även omfattat ambassadens användning av en extern tjänsteleverantör, VFS Global, för hanteringen av visumansökningar.

text: IMY är enligt VIS-förordningen och gränsförordningen skyldig att regelbundet granska hur s.k. slutanvändare, som utlandsmyndigheter, hanterar personuppgifter i viseringssystemet (VIS) och Schengens informationssystem (SIS). Ambassaden har främst blivit utvald för granskning främst på grund av den höga andel visumansökningar som ambassaden hanterar.

text: IMY har granskat behandlingen av personuppgifter vid en platsinspektion av ambassaden i Bangkok i april 2024. Under granskningen har IMY ställt frågor till de anställda samt har observerat när de anställda handlagt viseringsärenden.

text: Platsinspektionen har även omfattat en inspektion av den externa tjänsteleverantören. IMY har ställt frågor till representanter för tjänsteleverantören samt observerat de anställdas arbete med mottagande av visumansökningar, värdehandlingar, samt

text: upptagande av alfanumeriska uppgifter och biometri. IMY har även inspekterat tjänsteleverantörens hantering av de handlingar som lämnas in av sökanden.

text: Utöver detta har ett frågeformulär samt kompletterande frågor tillsänts ambassaden, som inkommit med kompletterande yttranden.

text: Avslutningsvis har IMY besökt Migrationsverket i Norrköping för att kontrollera loggarna från slagningarna som gjordes i samband med inspektionen av ambassaden.

text: 2.2 Om ambassadens hantering av personuppgifter vid visumansökningar

text: Under tillsynen har i huvudsak följande framkommit.

text: Ambassaden är slutanvändare av både VIS- och SIS-systemen samt användare av Migrationsverkets system Wilma och W2. Under inspektionen iakttog IMY när lokalanställda och beslutsfattare handlade och utförde slagningar i systemen Wilma och W2, innefattande den kontroll som sker mot visuminformationssystemet, VIS, och Schengens informationssystem.

text: Ambassaden fungerar som en s.k. HUB för visumansökningar och hanterar ansökningar från Vietnam, Filippinerna, Myanmar, Sydkorea, Indonesien, Japan, Malaysia, Kambodja och Singapore utöver de från Thailand.

text: Migrationsenheten vid ambassaden handlägger de visumansökningar som kommer in från samtliga de länder vilka ambassaden är HUB för. Vid ambassaden arbetar utsända från Migrationsverket som beslutsfattare samt lokalanställda, vilka handlägger inkomna ärenden. Personalen på ambassaden handlägger visumansökningar i Migrationsverkets system Wilma och W2 som nås via UM Net, utlandsmyndigheternas intranät, som i sin tur nås genom Regeringskansliets intranät. De lokalanställda och de utsända har olika behörigheter till Wilma och W2

text: Visumsökanden lämnar sina uppgifter och handlingar till den externa tjänsteleverantören VFS Global. De biometriska och alfanumeriska uppgifter som tas upp av VFS Global skickas elektroniskt till ambassaden medan de fysiska handlingarna, som pass och intyg m.m. skickas i låsta försändelser.

text: Var nionde månad görs inspektion hos varje VFS-center inom regionen då bland annat dataskyddet granskas. De nordiska ländernas ambassader samarbetar vid genomförandet av inspektionerna och delar upp ansvaret för detta

text: 2.3 VFS Globals hantering av personuppgifter som personuppgiftsbiträde

text: Under tillsynen har IMY även inspekterat den externa tjänsteleverantörens viseringscenter i Bangkok, vilket tar emot sökanden för ambassadens räkning. Under inspektionen har IMY följt ärendehanteringsprocessen hos VFS Global. VFS Global har även svarat på skriftliga frågor från IMY.

text: Mellan Regeringskansliet och VFS Global finns ett ramavtal upprättat med ett bilagerat personuppgiftsbiträdesavtal mellan Migrationsverket och VFS Global som reglerar den personuppgiftsbehandling VFS Global utför vid visumansökningar till Sverige. Därtill

text: finns ett lokalt avtal mellan VFS Global och Sveriges ambassad i Bangkok / Migrationsverket.

text: Under tillsynen har VFS Global uppgett i huvudsak följande.

text: All personal hos VFS Global är lokalanställda och det finns tio anställda som arbetar med ärenden gällande visum till Sverige. Varje anställd arbetar primärt med hanteringen av visum till ett land, och sekundärt med visumansökan avseende ett annat land. Samtliga nyanställda genomgår obligatoriska kurser avseende dataskydd samt informationssäkerhet. Innan anställningar påbörjas utförs även en bakgrundskontroll.

text: I lokalerna är fyra deskar tillägnade sökanden avseende Sverige. Information om registrerades rättigheter finns på engelska på olika posters i VFS Globals lokaler. Information finns även på VFS Globals webbsida, då även på det lokala språket. Därutöver lämnas viss information avseende enskildas rättigheter i samband med att ansökan görs i och med att sökanden får skriva på ett medgivande om personuppgiftsbehandling. Informationen lämnas då på engelska och thailändska.

text: VFS Global har under tillsynen även redogjort för datasäkerheten vid personuppgiftsbehandlingen. VFS har bl.a. redogjort för hur de fysiska handlingarna hanteras, hur biometriska uppgifter kvalitetssäkras samt hur informationssäkerheten garanteras både i de fysiska lokalerna samt i den digitala miljön.

text: 3. Motivering av beslutet

text: 3.1 Redogörelse för gällande lagstiftning

text: Reglerna kring medlemsstaternas hantering av visumansökningar till Schengenområdet framgår i VIS-förordningen samt av den s.k. viseringskodexen . Vid visumansökningar kontrolleras sökanden mot Schengens Informationssystem (SIS) för att kontrollera om några registreringar avseende personen finns i systemet. Behandlingen av personuppgifter i SIS för viseringsmyndigheterna regleras främst i den s.k. gränsförordningen. Av artikel 51 gränsförordningen följer att dataskyddsförordningen ska vara tillämplig på den personuppgiftsbehandling som utförs av behöriga myndigheter enligt gränsförordningen. Av skäl 17 i VISförordningen samt av artikel 94 i dataskyddsförordningen framgår att bestämmelserna i dataskyddsförordningen är tillämplig för medlemsstaternas behandling av personuppgifter enligt VIS-förordningen. Migrationsverkets och utlandsmyndigheternas personuppgiftsbehandling regleras även av kompletterande lagstiftning i

text: utlänningsdatalagen (2016:27)

text: IMY:s korrigerande befogenheter följer av dataskyddsförordningen.

text: 3.2 Vad granskningen omfattat och IMY:s bedömning

text: IMY har kontrollerat om ambassadens personuppgiftsbehandling följer den lagstiftning som redogjorts för under 3.1 ovan. Vid granskningen har IMY särskilt fokuserat på enskildas rättigheter, säkerheten för de uppgifter som behandlas samt att de anställda

text: har den utbildning som krävs. IMY har iakttagit handläggningen av ärenden hos både ambassaden och VFS Global. Under inspektionen har ingen brist avseende den personuppgiftsbehandling som VFS Global utför för ambassaden konstaterats. IMY konstaterar att det av utredningen i ärendet inte framkommit något som fått IMY att ifrågasätta att Sveriges ambassad i Bangkok skulle ha brustit i efterlevnaden av VIS-förordningen, gränsförordningen eller dataskyddsförordningen. Ärendet ska därför avslutas. __________________________ Detta beslut har fattats av enhetschefen Jonas Agnvall efter föredragning av juristen Elena Mazzotti Pallard.

text: Jonas Agnvall

text: Kopia till

text: Migrationsverkets dataskyddsombud

text: Hur man överklagar

type: avgorande


text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2

text: Europaparlamentets och rådets förordning (EU) 2016/399 av den 9 mars 2016

text: om en unionskodex om

text: gränspassage för personer (kodex om Schengengränserna). 3

text: Europaparlamentets och rådets förordning (EU) 2018/1861 av den 28 november 2018

text: om inrättande, drift och användning av Schengens informationssystem (SIS) på området in- och utresekontroller, om ändring av konventionen om tillämpning av Schengenavtalet och om ändring och upphävande av förordning

text: (EG) nr 1987/2006

text: . 4

text: Europaparlamentets och rådets förordning (EG) nr 767/2008 av den 9 juli 2008

text: om informationssystemet för viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS- 08-657 61 00 förordningen).

text: 6 Det följer av både VIS-förordningen och gränsförordningen att även dataskyddsförordningen är tillämplig när behöriga myndigheter behandlar personuppgifter enligt respektive förordning. Polismyndighetens behandling av personuppgifter i samband med gränskontroll enligt gränskodexen behöver därför vara i överensstämmelse med ovan nämnda förordningar.

text: Jfr skäl 17 i VIS-förordningen. Numera även reglerat i

text: artikel 36

text: a.2 vilken är införd genom

text: Europaparlamentets och rådets förordning (EU) 2021/1134 av den 7 juli 2021

text: om ändring av Europaparlamentets och rådets förordningar

text: (EG) nr 767/2008

text: (EG) nr 810/2009

text: (EU) 2016/399

text: (EU) 2017/2226

text: (EU) 2018/1240

text: (EU) 2018/1860

text: (EU) 2018/1861

text: (EU) 2019/817

text: och

text: (EU) 2019/1896

text: och om upphävande av

text: rådets beslut 2004/512/EG

text: och 2008/633/RIF, i syfte att reformera Informationssystemet för viseringar. 6 Jfr

text: artikel 51.2

text: gränsförordningen. 7 Jfr artikel 94 i dataskyddsförordningen. 8 Se även Artikel 29-arbetsgruppens riktlinje

text: rev.01 om öppenhet och information till de registrerade. 9 Se skäl 60 i dataskyddsförordningen.

text: Jfr skäl 39 i dataskyddsförordningen och Artikel 29-arbetsgruppens riktlinje

text: rev.01 om öppenhet och information till de registrerade. 11 Lag (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning.

titel: Beslut

slug: polismyndigheten-vis

title: Polismyndigheten, VIS och gränsförordningen

sammanfattning: IMY konstaterar att Polismyndigheten har behandlat personuppgifter i strid med artikel 13 i dataskyddsförordningen genom att inte tillhandahålla tillräcklig information till registrerade om den personuppgiftsbehandling som sker vid gränskontrollen på Arlanda flygplats. IMY ger Polismyndigheten en reprimand för överträdelsen.

text: IMY-2024-2904 Beslut efter tillsyn enligt bl.a. VIS-

text: förordningen och gränsförordningen – Polismyndigheten

text: Integritetsskyddsmyndigheten beslut

text: Integritetsskyddsmyndigheten konstaterar att Polismyndigheten (202100-0076) har behandlat personuppgifter i strid med artikel 13 i dataskyddsförordningen genom att inte tillhandahålla tillräcklig information till registrerade om den personuppgiftsbehandling som sker vid gränskontrollen på Arlanda flygplats.

text: IMY beslutar med stöd av artikel 58.2 b i dataskyddsförordningen att ge Polismyndigheten en reprimand för överträdelsen av artikel 13.

text: Redogörelse för tillsynsärendet

text: Granskningens syfte

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot Polismyndighetens gränssektion vid Arlanda flygplats. Syftet med tillsynen har varit att kontrollera om den personuppgiftsbehandling som utförs i gränskontrollen (enligt gränskodexen ) vid användning av Schengens informationssystem (SIS) och Informationssystemet för 3 4 viseringar (VIS) är i överensstämmelse med gränsförordningen , VIS-förordningen samt dataskyddsförordningen.

text: Granskningens metod och avgränsning

text: Tillsynen genomfördes genom en inspektion på Arlanda flygplats som sedan följdes upp med kompletterande frågor. Inspektionen var begränsad på så sätt att den endast omfattade gränskontrollen i en av de ankomsthallar på Arlanda flygplats dit resenärer ankommer från tredjeland. IMY har särskilt granskat vilken information om

text: registrerades rättigheter som finns tillgänglig på plats, vilken utbildning avseende dataskydd de som arbetar i gränskontrollen får samt vilka personuppgifter som behandlas i gränskontrollen. IMY har även undersökt anställdas behörigheter och hur användningen av systemen loggas. Därtill har IMY granskat hanteringen av personuppgiftsincidenter kopplat till behandlingen av personuppgifter vid polisens gränskontroll samt vilka säkerhetsåtgärder Polismyndigheten har vidtagit avseende behandlingen.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: Vilka regelverk gäller för behandlingen?

text: Information till de registrerade

text: Av artikel 13 i dataskyddsförordningen framgår att den personuppgiftsansvarige ska tillhandahålla den registrerade viss information om behandlingen av de personuppgifter som samlas in från en registrerad i samband med att dessa erhålls. Denna information ska bl.a. innehålla vem som är personuppgiftsansvarig, ändamål samt rättslig grund för behandlingen och kontaktuppgifter till dataskyddsombudet. Vidare ska denna information, enligt artikel 12 i dataskyddsförordningen, som grundregel tillhandahållas skriftligen på ett lättillgängligt och lättbegripligt sätt.

text: Av skäl 39 i dataskyddsförordningen framgår att det bör vara klart och tydligt för fysiska personer hur personuppgifter som rör dem samlas in, används, konsulteras eller på annat sätt behandlas samt i vilken utsträckning personuppgifterna behandlas eller kommer att behandlas.

text: Vid lämnandet av information om en behandling av personuppgifter ska personuppgiftsbehandlingens specifika omständigheter och sammanhang tas i beaktande. En personuppgiftsansvarig kan använda sig av en stegvis metod för att tillhandahålla den information som framgår av artikel 13. Den stegvisa metoden innebär att den information som är av störst vikt för den registrerade ska redovisas redan innan den registrerade får sina personuppgifter behandlade, t.ex. på en skylt. Skylten bör innehålla information om ändamålet för behandlingen och den personuppgiftsansvariges identitet samt en beskrivning av den registrerades

text: rättigheter. Övrig information kan lämnas på annat sätt, t.ex. på en webbplats eller i ett komplett informationsblad eller en broschyr.

text: IMY:s bedömning

text: Vid inspektionen framgick att Polismyndigheten vid gränskontrollen för inresande från tredjeland behandlar personuppgifter från samtliga resenärer genom att scanna passhandlingen. Vissa resenärer behöver även lämna sitt fingeravtryck. De uppgifter som inhämtas körs, beroende på situation, mot olika system för gränskontroll, t.ex. VIS och SIS.

text: Vid inspektionen noterade IMY att det saknades skriftlig information om personuppgiftsbehandlingen till de ankommande resenärerna i samband med att de lämnade fingeravtryck samt andra uppgifter i gränskontrollen. Det fanns varken skyltar, broschyrer eller annan skriftlig information att ta del av direkt i den aktuella ankomsthallen. Den information som fanns tillgänglig var endast den som var publicerad på Polismyndighetens webbplats, men till denna information saknades hänvisning i ankomsthallen.

text: Även om information avseende den aktuella behandlingen fanns publicerad på Polismyndighetens webbplats behöver det tas i beaktande att alla resenärer inte kan antas ha möjlighet att hitta och tillgodogöra sig informationen på webbplatsen under den tiden man befinner sig i ankomsthallen. Resenärer från tredjeland kan heller inte förväntas veta att det är Polismyndigheten som ansvarar för gränskontroller i Sverige, eftersom det ser olika ut i medlemsländerna, och därför utan särskild upplysning förstå att de ska vända sig till Polismyndighetens webbplats för information om personuppgiftsbehandlingen.

text: Polismyndigheten har framfört att de en månad efter inspektionen, i samband med ett test inför driftsättningen av ett nytt system (in- och utresesystemet EES), satt upp skyltar vid gränskontrollerna på Arlanda flygplats med information om myndighetens personuppgiftsbehandling. IMY konstaterar dock att skylten huvudsakligen innehöll information om själva testverksamheten och endast mycket kortfattad samt generell information om myndighetens personuppgiftsbehandling, således ingen anpassad information om den behandling som sker i gränskontrollen.

text: Mot den bakgrunden finner IMY att det saknats möjlighet för de som skulle passera gränskontrollen att på ett lättillgängligt sätt tillgodogöra sig information om den personuppgiftsbehandling som Polismyndigheten genomför i gränskontrollen. Polismyndigheten, såsom personuppgiftsansvarig för behandlingen, har därmed brustit i sin informationsskyldighet enligt artikel 13 i dataskyddsförordningen.

text: Vad som i övrigt har framkommit i granskningen ger inte IMY anledning att konstatera några ytterligare brister.

text: Val av ingripande

text: Vid överträdelser av dataskyddsförordningen har IMY ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 a-j i förordningen, bland annat reprimand, föreläggande och sanktionsavgift. Det följer vidare av

text: 6 kap. 2 § dataskyddslagen

text: att

text: IMY får ta ut sanktionsavgifter av myndigheter vid överträdelser av bl.a. artikel 13 i dataskyddsförordningen. Av förordningens artikel 83.2 framgår att IMY ska påföra administrativa sanktionsavgifter utöver eller i stället för de andra åtgärder som avses i artikel 58.2 beroende på omständigheterna i det enskilda fallet. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 till dataskyddsförordningen i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b i dataskyddsförordningen. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY har bedömt att Polismyndigheten har brustit i sin informationsskyldighet enligt artikel 13 i dataskyddsförordningen eftersom det har saknats möjlighet för de som passerat gränsen att på ett lättillgängligt sätt, tillgodogöra sig information om bl.a. vilka personuppgifter som samlas in, hur de behandlas och vilka rättigheter de registrerade har. Vid bedömningen av val av ingripande beaktar IMY att det vid den aktuella gränskontrollen på Arlanda flygplats behandlas bl.a. känsliga uppgifter såsom biometriska uppgifter från ett stort antal resenärer, även barn, varje dag. Det är av stor vikt att den enskilde förstår varför dennes personuppgifter behandlas och vilka rättigheter som följer med det. Det utgör därmed enligt IMY en betydande brist att det har saknats lättillgänglig information om detta vid gränskontrollen.

text: I detta fall är dock tillsynen begränsad på så sätt att inspektionen endast omfattat en ankomsthall på Arlanda flygplats, vilket utgör en begränsad del av Polismyndighetens gränskontrollverksamhet i Sverige. IMY delar även Polismyndighetens bedömning att det får anses vara allmänt känt bland majoriteten resenärer att deras personuppgifter i viss utsträckning kommer att behandlas i samband med en gränskontroll. Det tas även i beaktande att IMY informerats om att Polismyndigheten under handläggningen av tillsynen bl.a. tagit fram skyltar med anpassad information avseende den personuppgiftsbehandling som sker i gränskontrollen. Det har vidare inte framkommit några tidigare relevanta överträdelser från Polismyndighetens sida.

text: Vid en samlad bedömning anser IMY därför att det är fråga om en sådan mindre överträdelse som avses i skäl 148 i dataskyddsförordningen och att en reprimand är en tillräcklig och proportionerlig åtgärd för att markera överträdelsen och säkerställa efterlevnaden av dataskyddsförordningen.

text: Mot den bakgrunden bedömer IMY att Polismyndigheten ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för överträdelsen.

text: Detta beslut har fattats av enhetschef Jonas Agnvall efter föredragning av juristen Linda Markus. Vid den slutliga handläggningen av ärendet har även avdelningsjuristen Lisa Zettervall och it- och informationssäkerhetsspecialisten Mats Juhlén medverkat.

text: Jonas Agnvall

text: Kopia till

text: Dataskyddsombudet

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Se bilaga

text: Sverigedemokraterna har i huvudsak uppgett följande. Sverigedemokraterna är inte personuppgiftsansvarig för den behandling av personuppgifter som klagomålet gäller. Sverigedemokraterna har inte lagrat klagandens personuppgifter utan har anlitat ett externt företag för att göra sms-utskicket. Partiet har bestämt innehållet i meddelandet

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: Se Europeiska dataskyddsstyrelsen EDPB:s riktlinjer Guidelines 07/2020 on the concepts of controller and processor in the GDPR, punkt 45 och EU-domstolens dom av den 5 juni 2018, Wirtschaftsakademie,

text: , ECLI:EU:C:2018:388, punkt 38. 3 Se bland annat EU-domstolens domar av den 4 maj 2017, Rīgas satiksme,

text: , EU:C:2017:336, punkt 28, av den 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA,

text: , EU:C:2019:1064, punkt 40, av den 17 juni 2021, M.I.C.M.,

text: , EU:C:2020:1063, punkt 106 och av den 4 juli 2023, Meta Platforms m.fl.,

text: , EU:C:2023:537, punkt 106. 4 Se EU-domstolens dom den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond,

text: , EU:C:2024:857, punkt 49. 5 Se Asociaţia de Proprietari bloc M5A-ScaraA,

text: , punkt 44. 6 Se Koninklijke Nederlandse Lawn Tennisbond,

text: , punkt 50.

text: Se Meta Platforms m.fl.,

text: , punkt 126 och EDPB:s

text: riktlinjer 1/2024

text: , punkterna 28 och 29. Observera att riktlinjerna inte har blivit slutligt antagna av EDPB vid tidpunkten för det här beslutet. 8 Se bland annat Asociaţia de Proprietari bloc M5A-ScaraA,

text: , punkterna 47 och 48 och Meta Platforms m.fl.,

text: , punkterna 108 och 109. 9 Se bland annat Asociaţia de Proprietari bloc M5A-ScaraA, punkterna 52–58. 10 Se EDPB:s

text: riktlinjer 1/2024

text: , punkt 32–34.

text: Se

text: 19 § marknadsföringslagen (2008:486)

text: och Levin,

text: Marknadsföringslagen (1942:740)

text: 19 §

text: , Lexino 2025-08-25 (JUNO).

titel: Beslut efter klagomålstillsyn Sverigedemokraterna

nyckelord:
Dataskydd
Dina rättigheter

slug: sverigedemokraterna

title: Sverigedemokraterna

sammanfattning: IMY har efter att ha tagit emot klagomål granskat Sverigedemokraternas behandling av personuppgifter i samband med partiets utskick av sms inför Europaparlamentsvalet 2024. IMY bedömer att Sverigedemokraterna saknat rättslig grund för behandlingen och inte har informerat om behandlingen på det sätt som krävs enligt dataskyddsförordningen. IMY ger Sverigedemokraterna en reprimand för överträdelsen.

text: IMY-2024-7737 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Sverigedemokraterna

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten (IMY) konstaterar att Sverigedemokraterna (802018- 1791) har brutit mot artikel 6.1 i dataskyddsförordningen genom att behandla klagandens personuppgifter utan rättslig grund.

text: IMY konstaterar att Sverigedemokraterna även har brutit mot artiklarna 12.2 och 14 i dataskyddsförordningen genom att inte underlätta för klaganden att utöva sina rättigheter och inte tillhandahålla tillräcklig information om behandlingen av klagandens personuppgifter.

text: IMY ger Sverigedemokraterna en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen för överträdelserna.

text: Redogörelse för tillsynsärendet

text: IMY har inlett tillsyn mot Sverigedemokraterna i syfte att utreda ett klagomål. Av klagomålet framgår i huvudsak följande. Klaganden har tagit emot ett sms från Sverigedemokraterna med uppmaning om att rösta på partiet i valet till Europaparlamentet 2024. Klaganden har inte lämnat ut sina personuppgifter till Sverigedemokraterna eller någon organisation med koppling till partiet. Det har inte varit möjligt att avanmäla sig från utskicket eller att kontakta Sverigedemokraterna eftersom avsändarens uppgifter varit dolda.

text: IMY:s granskning i ärendet gäller om Sverigedemokraterna har haft rättslig grund för behandlingen av klagandens personuppgifter vid utskick av det aktuella meddelandet och om partiet gett klaganden tillräcklig information om behandlingen och klagandens rättigheter enligt dataskyddsförordningen.

text: och att det skulle skickas till röstberättigade personer inom vissa postnummerområden och valkretsar där partiet har lågt sympatistöd, enligt bland annat information om valresultat som inhämtats från Valmyndigheten. Det företag som Sverigedemokraterna anlitat har i sin tur inhämtat telefonnummer som tillhör personer som bor inom dessa områden från en extern aktör som hämtar uppgifter från bland annat Skatteverket och operatörer. Personuppgifterna har lagrats av det anlitade företaget och raderats så snart kampanjen avslutats.

text: Partiet har vidare uppgett att den rättsliga grunden för behandlingen av klagandens personuppgifter är Sverigedemokraternas berättigade intresse av att sprida information om sin politik och verksamhet, till röstberättigade inom aktuella postorter, inför EU-valet 2024. Utskicket har begränsats till att avse röstberättigade personer. Partiet har valt att skicka sms för att nå ut med kortfattad information på ett så snabbt och effektivt sätt som möjligt. I anslutning till allmänna val är det nödvändigt för att information ska nå mottagarna, då det är en särskilt informationsintensiv period med mycket samhällsinformation som sprids i offentligheten. Det har därför varit nödvändigt att behandla personuppgifterna för att uppnå syftet med kampanjen. Sverigedemokraterna anser att det bör ligga i väljarnas rimliga förväntningar att kontaktas med samhällsinformation från politiska partier i anslutning till allmänna val. Av sms:et framgick tydligt att Sverigedemokraterna var avsändare av informationen. Därutöver har partiet begränsat sig till att använda telefonnummer från allmänt tillgängliga källor. Telefonnumren har inte kopplats till någon annan känslig information om de registrerade och har sparats under en mycket begränsad tid. Intrånget i mottagarnas integritet är därför högst begränsat. Vid framtida utskick av denna karaktär kommer det ges en tydligare hänvisning till Sverigedemokraternas hemsida i sms:et, där det finns mer information om hur partiet behandlar personuppgifter och de registrerades rättigheter. Sverigedemokraterna har en funktion för att spärra registrerade som inte vill ta emot några utskick från partiet och utskicken har inte gjorts till någon av dessa personer. Därmed tillgodoser partiet de registrerades rättigheter enligt dataskyddsförordningen. Sammantaget bedömer Sverigedemokraterna att partiets berättigade intresse av att genomföra den aktuella behandlingen väger tyngre än de registrerades fri- och rättigheter.

text: Klaganden har fått tillfälle att yttra sig över Sverigedemokraternas redogörelse men har inte återkommit.

text: Motivering av beslutet

text: IMY ska inledningsvis ta ställning till om Sverigedemokraterna är personuppgiftsansvarig för den behandling av personuppgifter som klagomålet gäller. IMY prövar därefter om Sverigedemokraterna haft rättslig grund för den aktuella behandlingen av personuppgifter och om partiet gett klaganden tillräcklig information om behandlingen och klagandens rättigheter enligt dataskyddsförordningen.

text: Personuppgiftsansvar

text: Tillämpliga bestämmelser

text: Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behand-

text: lingen av personuppgifter. En aktör kan vara att betrakta som personuppgiftsansvarig även om den saknar faktiskt tillgång till personuppgifterna som behandlas.

text: IMY:s bedömning

text: Sverigedemokraterna har uppgett att partiet inte är personuppgiftsansvarig för den personuppgiftsbehandling som klagomålet gäller.

text: Av utredningen i ärendet framgår att Sverigedemokraterna anlitat ett externt företag för att skicka ut sms i syfte att sprida information om partiets politik inför EU-valet. Sverigedemokraterna har bestämt hur och varför meddelandet skulle skickas, vilket innehåll det skulle ha och urvalet av mottagare. Sverigedemokraterna har därmed bestämt hur behandlingen ska gå till och för vilket ändamål personuppgifterna ska behandlas. IMY bedömer därför att Sverigedemokraterna, trots att partiet inte haft faktisk tillgång till personuppgifterna som behandlats, är personuppgiftsansvarig för den behandling som klagomålet gäller.

text: Rättslig grund för behandlingen

text: Tillämpliga bestämmelser m.m.

text: I enlighet med principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen är det den personuppgiftsansvarige som ansvarar för och ska kunna visa att reglerna i dataskyddsförordningen följs, däribland att behandlingen är laglig.

text: För att en personuppgiftsbehandling ska vara laglig krävs att den har stöd i någon av de rättsliga grunderna i dataskyddsförordningen vilket innebär att åtminstone ett av villkoren i artikel 6.1 i dataskyddsförordningen är uppfyllt.

text: För att en behandling ska kunna stödja sig på den rättsliga grunden intresseavvägning (även kallad berättigat intresse) i artikel 6.1 f i dataskyddsförordningen krävs att tre villkor är uppfyllda. För det första ska det finnas ett berättigat intresse för den personuppgiftsansvarige eller tredje part. För det andra ska personuppgiftsbehandlingen vara nödvändig för att tillgodose det berättigade intresset. För det tredje krävs att de registrerades intressen eller grundläggande fri- och rättigheter inte väger tyngre än den personuppgiftsansvariges eller tredje partens berättigade intresse (intresseavvägning).

text: Det berättigade intresset ska vara lagligt, vilket innebär att det inte får stå i strid med vare sig EU-rätt eller nationell rätt. Vidare ska intresset vara klart och tydligt formulerat och gälla ett faktiskt intresse som föreligger vid tidpunkten för behandlingen och inte är hypotetiskt. För att strävan efter ett sådant berättigat intresse ska kunna möjliggöra en behandling av personuppgifter med stöd av artikel 6.1 f måste den personuppgiftsansvarige uppfylla alla andra skyldigheter enligt dataskyddsförordningen.

text: Av EU-domstolens praxis framgår att kravet på nödvändighet är uppfyllt om det berättigade intresset inte rimligtvis kan uppnås på ett lika effektivt sätt genom andra medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till respekt för privatlivet och rätten till skydd för personuppgifter enligt artiklarna

text: och

text: i Europeiska unionens stadga om de grundläggande rättigheterna. Det räcker inte att behandlingen är användbar för att uppfylla det berättigade intresset, EU-domstolen har också angett att behandlingen måste vara strängt nödvändig. Kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen. Det innebär att personuppgifterna som behandlas ska vara adekvata och relevanta och inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas.

text: Den intresseavvägning som krävs enligt det tredje villkoret ska göras mot bakgrund av de konkreta omständigheterna i det aktuella fallet. Den personuppgiftsansvarige ska identifiera och beakta den registrerades intressen samt rättigheter och friheter, behandlingens påverkan på den registrerade och huruvida den registrerade rimligen kunde förvänta sig behandling för det aktuella ändamålet. Vid bedömningen av behandlingens påverkan ska hänsyn tas till karaktären på uppgifterna som behandlas samt behandlingens sammanhang och övriga konsekvenser av denna. Utifrån dessa omständigheter ska en avvägning göras av motstående rättigheter och intressen, som ska inkludera möjligheten till ytterligare förmildrande åtgärder som går utöver vad den personuppgiftsansvarige är skyldig att göra för att följa reglerna i dataskyddsförordningen.

text: IMY:s bedömning

text: Sverigedemokraterna har uppgett att behandlingen av klagandens personuppgifter har varit laglig eftersom partiet har haft ett berättigat intresse att informera om partiets politik och verksamhet inför EU-valet 2024.

text: IMY ska därför ta ställning till om samtliga tre villkor för behandling av personuppgifter med stöd av den rättsliga grunden berättigat intresse är uppfyllda.

text: Sverigedemokraternas intresse av att sprida information om sin politik till röstberättigade inför ett kommande allmänt val är lagenligt, verkligt och faktiskt. IMY konstaterar därför att det aktuella intresset är ett berättigat intresse i den mening som avses i artikel 6.1 f i dataskyddsförordningen.

text: För att behandlingen ska vara laglig krävs det även att den är nödvändig för att tillgodose det berättigade intresset. Nödvändighetsrekvisitet ska, som nämnts, prövas tillsammans med principen om uppgiftsminimering. Den aktuella personuppgiftsbehandlingen har varit begränsad vad avser mängden personuppgifter om klaganden, telefonnummer och postnummer, och uppgifterna har raderats direkt efter att kampanjen har genomförts. IMY bedömer att det inte framkommit att syftet rimligtvis hade kunnat tillgodoses på ett lika effektivt sätt genom alternativa kommunikationsvägar som inneburit att färre personuppgifter behövt behandlas. Mot den bakgrunden

text: finner IMY att behandlingen av klagandens personuppgifter skulle kunna anses nödvändig för det uppgivna ändamålet.

text: Vad gäller det tredje villkoret ska utgångspunkten vid en intresseavvägning vara klagandens intressen och fundamentala rättigheter som framförallt avser respekt för privatlivet och rätten till skydd för personuppgifter i det aktuella fallet.

text: Som redan konstaterats omfattar behandlingen en begränsad mängd personuppgifter som behandlats under en kort tid i syfte att göra ett utskick vid ett tillfälle.

text: IMY konstaterar dock att utskick av ett politiskt meddelande som riktas direkt till en enskild via sms utan att personen själv efterfrågat sådan information kan uppfattas som påträngande. I

text: marknadsföringslagen

text: har det införts ett särskilt starkt integritetsskydd vid utskick av obeställd reklam via sms eller e-post. Skyddet innebär att sådana utskick som huvudregel bara är tillåtna om samtycke har inhämtats på förhand. Det primära syftet med regleringen är att skydda konsumenter mot särskilt påträngande obeställd reklam.

text: Marknadsföringslagen

text: är visserligen inte tillämplig vid politisk marknadsföring, men lagstiftarens ställningstagande kring behovet av särskilt integritetsskydd visar att de registrerades intressen väger tungt vid obeställda utskick av reklam via sms och e-post.

text: Enligt IMY innebär detta att utrymmet för att använda sms för politisk reklam till den som inte är medlem eller aktivt har visat intresse för informationen är ytterst begränsat. Mot denna bakgrund samt med beaktande av att klaganden inte själv har lämnat sina personuppgifter eller haft en tidigare relation till partiet, anser IMY att behandlingen inte kan anses ha legat inom ramen för klagandens rimliga förväntningar.

text: Vid bedömningen av klagandens intressen har IMY även beaktat att det aktuella meddelandet inte innehållit någon information om behandlingen av klagandens personuppgifter. Klaganden har därmed inte kunnat bilda sig en uppfattning om vilka personuppgifter som behandlats och hur behandlingen gått till. Klaganden har inte heller informerats om sina rättigheter enligt dataskyddsförordningen eller kontaktuppgifter till den personuppgiftsansvarige och det har inte heller gått att svara på meddelandet. Bristen på sådan information har påverkat klaganden på ett betydande sätt eftersom det försvårat utövandet av klagandens rättigheter enligt dataskyddsförordningen. Vid en sammantagen bedömning finner IMY att klagandens intressen och grundläggande rättigheter och friheter väger tyngre än Sverigedemokraternas intresse av att nå ut med den aktuella informationen. Därmed är inte det tredje villkoret i artikel 6.1 f uppfyllt.

text: Samtliga villkor för att behandlingen ska kunna grunda sig på artikel 6.1 f är således inte uppfyllda. Det har inte heller framkommit att Sverigedemokraterna haft stöd för behandlingen i någon av de andra rättsliga grunderna i artikel 6.1 i dataskyddsförordningen. Det innebär att Sverigedemokraterna inte har haft rättslig grund för den behandling av personuppgifter som klagomålet gäller. Partiet har därmed behandlat klagandens personuppgifter i strid med artikel 6.1 i dataskyddsförordningen.

text: Information om behandlingen och möjlighet att invända

text: Tillämpliga bestämmelser

text: I artikel 12.2 i dataskyddsförordningen anges att den personuppgiftsansvarige ska underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22 i förordningen.

text: I artikel 14 framgår vilken information som den personuppgiftsansvarige ska ge den registrerade vid behandling av personuppgifter som inte tillhandahållits av den registrerade själv. Av bestämmelsen framgår att den personuppgiftsansvarige bland annat ska informera om identitet och kontaktuppgifter för den personuppgiftsansvarige, ändamålen för behandlingen, den personuppgiftsansvariges berättigade intressen, förekomsten av rätten att begära radering och att invända mot behandlingen.

text: IMY:s bedömning

text: Av utredningen framgår att det aktuella meddelandet inte innehöll någon information om personuppgiftsbehandlingen eller vem som var ansvarig för denna. Det som framgick om avsändaren var att meddelandet kom från ”SD” och att det innehöll en uppmaning om att rösta på Sverigedemokraterna. Det fanns inga kontaktuppgifter till den personuppgiftsansvarige och det gick inte att svara på meddelandet. Klaganden har inte heller fått information om exempelvis ändamålen och den rättsliga grunden för behandlingen eller om sina rättigheter enligt dataskyddsförordningen. Mot denna bakgrund bedömer IMY att Sverigedemokraterna inte har underlättat för klaganden att utöva sina rättigheter enligt förordningen och inte heller gett klaganden tillräcklig information om den aktuella behandlingen. Sverigedemokraterna har därmed behandlat klagandens personuppgifter i strid med artiklarna 12.2 och 14 i dataskyddsförordningen.

text: Val av ingripande

text: Av artiklarna 58.2 och 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83 för överträdelserna av artiklarna 6.1, 12.2 och 14 i förordningen. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY har bedömt att Sverigedemokraterna har saknat rättslig grund för den behandling av personuppgifter som klagomålet gäller. Vidare har Sverigedemokraterna inte underlättat för klaganden att utöva sina rättigheter eller gett den information som krävs enligt dataskyddsförordningen. Den aktuella behandlingen har dock gällt en begränsad mängd personuppgifter, som behandlats under kort tid vid ett tillfälle och har således inte varit av systematisk karaktär.

text: Vid en samlad bedömning anser IMY att det är fråga om en mindre överträdelse i den mening som avses i skäl 148 i dataskyddsförordningen. IMY ger därför Sverigedemokraterna en reprimand för överträdelsen.

text: Detta beslut har fattats av enhetschefen Nidia Nordenström efter föredragning av avdelningsjuristen Maja Welander. Vid den slutliga handläggningen av ärendet har även juristen Michaela Prieto Ceric och rådgivaren Victor Hagstedt medverkat.

text: Nidia Nordenström

text: Bilaga

text: Klagandens personuppgifter

text: Hur man överklagar