text: Avanza Bank AB Regeringsgatan 103 111 39 Stockholm

text: Europaparlamentet och

text: rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: IMY:s tillägg: Hashning är en kryptografisk envägsfunktion som kan användas för att åstadkomma pseudonymisering, som är en möjlig säkerhetsåtgärd enligt artikel 32 i dataskyddsförordningen, genom att personuppgifter ersätts med en så kallad hashsumma. Det innebär att de ersatta personuppgifterna inte är tillgängliga i klartext och att det behövs kompletterande uppgifter för att det ska gå att identifiera den registrerade.

text: Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002

text: om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation). 4 Yttrande 5/2019 om samspelet mellan direktivet om integritet och elektronisk kommunikation och den allmänna dataskyddsförordningen, särskilt när det gäller dataskyddsmyndigheternas behörighet, uppgifter och befogenheter, antaget den 12 mars 2019, punkt 68 och 69.

text: EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, antagna den 24 maj 2023. 6 EU-domstolens dom i

text: mål C-683/21

text: Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos mot Valstybinė duomenų apsaugos inspekcija av den 5 december 2023, punkt 81 och dom i mål C 807/21 Deutsche Wohnen av den 5 december 2023, punkt 76

text: Se för bedömningen av oaktsamhet även Kammarrätten i Stockholms dom den 11 mars 2024 i mål 2829-23 s.12. 8 EU-domstolens dom i

text: mål C-97/08

text: P Akzo Nobel NV m.fl. mot EU-kommissionen den 10 september 2009, punkt 59- 61 Anpassa/ensa fotnoter där vi hänvisar till EU-domstolens avgöranden. 9 Jfr. EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, punkt 125 och där redovisade avgöranden.

text: EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, punkt 60. 11 EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, punkt 53.

nyckelord:
Dataskydd
Informationssäkerhet
Dina rättigheter
Internet och appar

amne: Bristande skydd av personuppgifter i digitala tjänster för barn

korrigerandeAtgard: Sanktionsavgifter om 15 miljoner

lagrum: Artikel 32 i dataskyddsförordningen, GDPR

nyckelord: Tekniska och organisatoriska säkerhetsåtgärder

rubrik: Överföring av integritetskänsliga personuppgifter till Meta

sammanfattning: IMY har bedrivit tillsyn mot Avanza Bank AB som använt den så kallade Meta-pixeln på sin webbplats. Genom att aktivera en ny delfunktion i Meta-pixeln förde banken över integritetskänsliga personuppgifter till Meta. De personuppgifter som överförts har bland annat innefattat personnummer och omfattande ekonomisk information. Informationen, däribland detaljerade uppgifter om kunders ekonomi, har i flera fall överförts i klartext. IMY:s granskning visade att banken inte vidtagit tillräckliga skyddsåtgärder för att skydda kundernas personuppgifter. Bristerna bestod av att banken inte vidtagit några tekniska åtgärder för att begränsa vilka uppgifter som fördes över till Meta. Banken hade inte heller de rutiner som krävdes för att själva upptäcka bristerna. Överföringen av personuppgifterna pågick därför under en längre tid och stoppades först efter att banken fått kännedom om händelsen av utomstående. Läs tillsynsbeslutet

sanktionsavgift: 15 miljoner kronor

slug: avanza

title: Avanza

sammanfattning: Integritetsskyddsmyndigheten (IMY) utfärdar en sanktionsavgift på 15 miljoner kronor mot Avanza Bank AB. Detta för att banken använt en så kallad Meta-pixel på sin webbplats och app och som inneburit att uppgifter om exempelvis kunders värdepappersinnehav och kontonummer överförts till Meta.

text: DI-2021-5544 Beslut efter tillsyn enligt

text: dataskyddsförordningen mot Avanza Bank AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Avanza Bank AB (organisationsnummer 556573-5668) har behandlat personuppgifter i strid med artiklarna 5.1 f och 32.1 i dataskyddsförordningen genom att under tiden från den 15 november 2019 till den 2 juni 2021 vid användning av analysverktyget Meta-pixeln inte ha vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå för personuppgifter.

text: Integritetsskyddsmyndigheten beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att Avanza Bank AB ska betala en administrativ sanktionsavgift på 15 000 000 (femton miljoner) kronor för överträdelserna av artiklarna 5.1 f och 32.1 i dataskyddsförordningen.

text: Redogörelse för tillsynsärendet

text: Utgångspunkt för tillsynen

text: Integritetsskyddsmyndigheten (IMY) mottog den 8 juni 2021 en anmälan om en personuppgiftsincident från Avanza Bank AB (banken). Av anmälan framgick att personuppgifter om 500 001 – 1 miljon under tiden från den 15 november 2019 till och med den 2 juni 2021 felaktigt överförts till bankens samarbetspartner Facebook (numera Meta). Bland uppgifterna som överförts fanns personnummer, lånebelopp och kontonummer.

text: Bakgrunden till det inträffade var att banken börjat använda Metas tjänst Facebookpixeln (numera Meta-pixeln) i syfte att optimera bankens marknadsföring. Under 2019 utvecklade Meta en ny delfunktion inom Meta-pixeln, kallad Automatic Advanced Matching (AAM). Den felaktiga överföringen av personuppgifter orsakades av att den nya AAM-funktionen aktiverades av banken av misstag. Banken fick kännedom om överföringen via extern information. Så snart banken fick kännedom om det inträffade avaktiverade banken Meta-pixeln i sin helhet.

text: Mot bakgrund av uppgifterna i anmälan om personuppgiftsincidenten inledde IMY tillsyn mot banken. Tillsynen har avgränsats till att avse i vad mån banken vidtagit lämpliga tekniska och organisatoriska åtgärder för att skydda webbplatsbesökares och appanvändares personuppgifter i enlighet med artiklarna 5.1 f och 32.1 i dataskyddsförordningen under perioden den 15 november 2019 till den 2 juni 2021.

text: Vad banken har uppgett

text: Banken har i huvudsak uppgett följande gällande de frågor som är föremål för IMY:s granskning.

text: Personuppgiftsansvar

text: Banken är personuppgiftsansvarig för införandet av Meta-pixeln och den efterföljande överföringen av personuppgifter till Meta.

text: Den ursprungliga implementeringen av Meta-pixeln

text: Banken har rutiner för att säkerställa korrekt behandling av personuppgifter inför, i samband med och efter införandet av nya funktioner på webbplatsen. Dessa rutiner är formaliserade och finns dokumenterade i bankens styrdokument. Enligt bankens rutiner för att säkerställa korrekt behandling av personuppgifter ska det inledningsvis inför varje ny eller förändrad personuppgiftsbehandling göras en genomgång och bedömning av den planerade behandlingen för att säkerställa att den uppfyller kraven i dataskyddsförordningen. Genomgången görs med hjälp av bland annat en dokumenterad mall för personuppgiftsbehandling vilken innehåller ett flertal steg som den medarbetare som är ansvarig för införandet av en ny eller förändrad personuppgiftsbehandling ska gå igenom. Stegen innebär bland annat att det ska göras en riskanalys av behandlingen, en laglig grund ska kunna fastställas och det ska säkerställas att de registrerade ges korrekt information om den nya personuppgiftsbehandlingen. Vidare ska behandlingen föras in i bankens registerförteckning.

text: Meta-pixeln är ett analysverktyg som tillhandahålls av Meta och som hjälper till att mäta effektiviteten i bankens Facebook-annonsering. Meta-pixeln överförde och kopplade samman en webbplatsbesökares aktivitet och beteende på bankens webbplats med en unik registrerad användare av någon av Metas tjänster. Syftet med att införa och använda Meta-pixeln var att optimera bankens marknadsföring. Ändamålet med personuppgiftsbehandlingen var att använda riktad annonsering på Facebook och kunna marknadsföra banken till en relevant målgrupp. Meta-pixeln möjliggjorde att mer relevant marknadsföring kunde tas fram genom att marknadsföringen kunde baseras på information om vilka sidor på bankens webbplats som en person besökt.

text: Innan banken inledde samarbetet med Meta genomfördes en godkännandeprocess där funktioner hos banken inom risk, compliance, legal och informationssäkerhet involverades. Inom ramen för denna process behandlades frågor om banksekretess och personuppgiftsbehandling. Det var enbart uppgifter om en persons besökta webbsidor, IP-adress samt information om vissa unika händelser, t.ex. produktval och sökningar på webbplatsen, som var nödvändiga att behandla för ändamålet ifråga.

text: Aktivering av nya delfunktioner i Meta-pixeln

text: Under 2019 utvecklade Meta tjänsten Meta-pixeln genom att även tillhandahålla funktionen Automatic Advanced Matching (”AAM”). Detta är en delfunktion inom Metapixeln. Utöver AAM erbjuder Meta-pixeln även funktionen Automatiska Händelser (”AH”) vilken kan aktiveras manuellt och som då på egen hand försöker att detektera och fånga upp händelser och interaktioner, såsom klick, sökningar och menyval, vid besök på bolagets webbplats eller i appen.

text: Under 2019 fick bankens legalavdelning en förfrågan från marknadsavdelningen om möjligheten att få använda en av Metas funktioner genom vilken kunddata skulle överföras till Meta. Bankens legalavdelning fann att den aktuella funktionen inte kunde implementeras. Det är vidare bankens uppfattning att om en implementering av en funktion så som AAM skulle ha blivit föremål för interna processer och rutiner hade det lett till bedömningen att banken inte hade kunnat acceptera villkoren och att det inte skulle vara möjligt att använda sig av funktionen. Detta eftersom funktionen riskerar innebära en överföring av data till Meta som banken inte lagligen kan utföra i sin bankverksamhet.

text: Det har aldrig varit bankens avsikt att använda sig av funktionerna AAM och AH. Banken har inte kunnat verifiera hur funktionerna aktiverats. Skulle funktionen ha aktiverats av någon anställd hos banken är bankens uppfattning att det skett av misstag. Banken har inte tagit något beslut om att aktivera funktionen AAM.

text: Bankens överföring av personuppgifter via funktionen AAM till Meta

text: Funktionen Automatic Advanced Matching (AAM)

text: Funktionen AAM överförde uppgifter i hashad form (med hashningsfunktionen SHA256) till Meta om användaren fyllde i något av de fem olika formulären på bankens webbplats eller i bankens mobilapp. Två formulär låg i nykundsflödet (öppet för besökare, där besökaren hade för avsikt att bli kund). Tre formulär avsåg bolån och låg bakom inloggning och kunde endast överföra uppgifter från befintliga kunder som ingått kundavtal med banken. För att uppgifterna skulle kunna överföras krävdes således att en person var inloggad på bankens webbplats och att personen tackat ja till marknadsföringscookies hos banken. Om dessa förutsättningar inte var uppfyllda aktiverades inte AAM och inga uppgifter överfördes. Om förutsättningarna var uppfyllda kunde följande hashade uppgifter överföras till Meta:

text: • Personnummer • Kontaktuppgifter, såsom telefonnummer, e-postadress, postnummer samt postort • Lånebelopp på befintligt lån • Arbetsgivare • Anställningsform • Kontonummer

text: Genom att funktionen AAM oavsiktligt aktiverats av banken kunde Meta-pixeln matcha de hashade uppgifterna med besökarnas beteende på webbplatsen för profilering. Detta gjorde det möjligt att få en mer detaljerad bild av besökarna. Profileringen gällde endast bankens marknadsföring och användes inte av Meta för egna, eller andra aktörers, affärsmässiga syften.

text: Exakt hur AAM har påverkat annonseringen är inte fastställt. Att detta resulterat i riktad reklam kan inte uteslutas.

text: Funktionen Automatiska Händelser (AH)

text: Funktionen AH överförde uppgifter i klartext till Meta när en användare navigerade på bankens webbplats eller i mobilappen. En förutsättning för överföring var att användaren tackat ja till marknadsföringscookies hos banken samt var inloggad som kund hos banken (med ett undantag, se nedan).

text: Den data som överfördes i klartext till Meta överfördes omedvetet då det inte fanns någon avsikt att visa informationen för någon annan än kunden. Det var från webbläsare eller app på kundens enhet som överföringen skedde och det på grund av tre huvudfaktorer:

text: 1) Den funktion som oavsiktligt aktiverats av banken hos Meta följer även hur en användare rör sig på en sajt/i mobilen (konverterar). För att göra det skickas information om vilka "knappar" – det vill säga element på sidan/skärmen – användaren trycker på då denne navigerar på sajten/i appen. Meta samlar följaktligen in information som berättar om vilka knapptryck som sker för att förstå vilken kontext användaren konverterar i. Till exempel vill Meta förstå att kunden köper något vid tryck på en knapp med texten ”Köp” även om annonsören inte har taggat upp köpknappen som en konvertering. Denna information skickades till Meta.

text: 2) Banken använder element som Meta uppfattar som knappar, t.ex. knappmarkerade rutor och rullgardinsmenyer, i sin kod för att presentera viss information till bankens användare. Det gäller främst när det finns element på sajten/apparna som går att trycka på för att t.ex. visa mer information. Ofta visas dessa som ett mindre visuellt element som blir större när man trycker på dem, och då visar mer information. När användare har tryckt på dessa element för att se mer information har det registrerats som vanliga knapptryck av Metas script (Meta-pixeln IMY:s anmärkning). Scriptet har då sammanställt informationen och skickat den till Meta som ett registrerat knapptryck.

text: 3) Information om knapptryck pseudonymiseras (hashas IMY:s anmärkning) inte av Meta på det sätt som annan information som de samlar in.

text: Dessa tre faktorer har tillsammans gjort att viss information skickades till Meta i klartext. Det var således en kombination av den (felaktigt) aktiverade funktionaliteten tillsammans med Metas hantering av knapptryck och en specifik teknisk lösning från banken som orsakade överföringen till Meta.

text: Sammanfattningsvis analyserade AH vilka knappar på webbplatsen och mobilappen som användaren tryckte på för att sedan ge förslag om marknadsföring på Facebook. Bankens överföring av uppgifter via AH uppstod eftersom banken kategoriserade visuella fält som knappar på webbplatsen och i mobilappens kod. Via AH kunde följande kategorier av uppgifter överföras till Meta i klartext:

text: • Värdepappersinnehav och värde, såsom tillgängligt belopp för köp, uttag och värdeutveckling • Information om lånebelopp • Kontonummer och kreditlimit • Avgifter, skatter och aktuella räntor • Pågående ordrar och dagens avslut • Firmatecknare och bank som pension flyttas från • E-postadress och personnummer

text: Majoriteten av de uppgifter som överfördes via AH kom från knappar bakom inloggat läge hos banken, det vill säga knappar som endast visades för kunder som ingått kundavtal med banken. På ett ställe på bankens webbplats fanns dock expanderbara paneler i flödet för teckning av tjänstepension, både för enskild firma och för aktiebolag, som låg öppet för alla besökare, det vill säga även uppgifter från ett begränsat antal besökare utan kundavtal med banken och som därmed inte var inloggade.

text: Åtgärder som vidtagits efter personuppgiftsincidenten

text: Meta har bekräftat till banken att de personuppgifter som behandlats har raderats hos Meta på ett sätt som inte gör det möjligt för Meta att återskapa dem.

text: Bankens uppfattning är att överföringen av uppgifterna inte inneburit någon skada eller risk för de registrerade eftersom Meta inte använt uppgifterna för eget ändamål eller överfört dem vidare samt att uppgifterna är raderade. All information har överförts av Meta-pixeln till Meta och bankens eget annonskonto hos Meta.

text: I syfte att upptäcka utgående trafik har banken numera upprättat en process för hur banken inför och hanterar tredjepartsscript. I den beskrivs hur dessa script ska utvärderas ur ett säkerhets- och integritetsperspektiv samt hur de underhålls långsiktigt.

text: Banken har vidare flyttat scripten från tredjepartsleverantörerna till bankens egna system för att undvika att förändringar i scripten införs utan att banken uppmärksammar det.

text: Banken har även kompletterat interna riktlinjer för att tydligare beskriva felscenariot, hur det undviks och vilka förväntningar som åligger bankens utvecklingsteam när de hanterar den här typen av produkter.

text: Utöver detta har banken implementerat ytterligare styrdokument och rutiner som syftar till att säkerställa en korrekt behandling av personuppgifter. Dessa styrdokument innehåller bland annat krav och riktlinjer i relation till behandling av personuppgifter inför, i samband med och efter införandet av nya funktioner på bankens webbplats.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: Av artikel 95 i dataskyddsförordningen följer att dataskyddsförordningen inte ska innebära några ytterligare förpliktelser för fysiska eller juridiska personer som behandlar personuppgifter, för sådana områden som redan omfattas av skyldigheter

text: enligt det så kallade eDataskyddsdirektivet . eDataskyddsdirektivet har genomförts i svensk rätt genom lagen (

text: ) om elektronisk kommunikation (LEK), där bland annat insamling av uppgifter genom webbkakor regleras.

text: Enligt

text: 9 kap. 28 §

text: LEK, som genomför artikel 5.3 i eDataskyddsdirektivet, får uppgifter lagras i eller hämtas från en abonnents eller användares terminalutrustning endast om abonnenten eller användaren får tillgång till information om ändamålet med behandlingen och samtycker till den. Vidare framgår att detta inte hindrar sådan lagring eller åtkomst som behövs för att överföra ett elektroniskt meddelande via ett elektroniskt kommunikationsnät eller som är nödvändig för att tillhandahålla en tjänst som användaren eller abonnenten uttryckligen har begärt. LEK trädde i kraft den 22 augusti 2022. Under den i ärendet aktuella tiden gällde dock samma krav enligt 6 kap. 18 § lagen om (

text: ) om elektronisk kommunikation. Det är Post- och telestyrelsen som är tillsynsmyndighet enligt LEK (

text: 1 kap 5 § förordningen (2022:511)

text: om elektronisk kommunikation).

text: Europeiska dataskyddsstyrelsen (EDPB) har yttrat sig över samspelet mellan eDataskyddsdirektivet och dataskyddsförordningen. Av yttrandet följer bl.a. att den nationella tillsynsmyndighet som utsetts enligt eDataskyddsdirektivet är ensamt behörig att övervaka efterlevnaden av direktivet. Däremot är tillsynsmyndigheten enligt dataskyddsförordningen behörig tillsynsmyndighet för den behandling som inte regleras särskilt i eDataskyddsdirektivet.

text: Personuppgiftsansvarig är enligt artikel 4.7 i dataskyddsförordningen en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

text: Den personuppgiftsansvarige ansvarar för och ska kunna visa att de grundläggande principerna i artikel 5 i dataskyddsförordningen följs. Det framgår av artikel 5.2 i dataskyddsförordningen (principen om ansvarsskyldighet).

text: Enligt artikel 5.1 f i dataskyddsförordningen ska personuppgifter behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder.

text: Av artikel 32.1 i dataskyddsförordningen följer att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Vid bedömningen av vilka tekniska och organisatoriska åtgärder som är lämpliga ska den personuppgiftsansvarige beakta den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter.

text: Enligt artikel 32.1 omfattar lämpliga skyddsåtgärder, när det är lämpligt,

text: a) pseudonymisering och kryptering av personuppgifter, b) förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna, c) förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, och d) ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: Enligt artikel 32.2 i dataskyddsförordningen ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de risker som behandlingen medför, i synnerhet för oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

text: Enligt

text: 3 kap. 10 § lagen (2018:218)

text: med kompletterande bestämmelser till EU:s dataskyddsförordning får personnummer och samordningsnummer behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl.

text: Av

text: 1 kap. 10 § första stycket lagen (2004:297)

text: om bank- och finansieringsrörelse (banklagen) framgår att enskildas förhållanden till kreditinstitut inte obehörigen får röjas.

text: Integritetsskyddsmyndighetens bedömning

text: Av utredningen i ärendet framgår att två funktioner i analysverktyget Meta-pixeln oavsiktligt aktiverats av banken. Som en följd av att funktionerna aktiverats har personuppgifter om ett stort antal personer som varit inloggade på bankens webbplats eller i bankens app obehörigen överförts till Meta. I några fall har även personuppgifter avseende personer som besökt webbplatsen eller appen och använt en specifik tjänst utan att ha varit inloggade överförts. Det är i huvudsak bankens egna kunder som har berörts av överföringen. De personuppgifter som överförts har bland annat innefattat personnummer och omfattande ekonomisk information. Informationen, däribland detaljerade uppgifter om kunders ekonomi, har i flera fall överförts i klartext.

text: Enligt banken har det inte varit möjligt att i efterhand verifiera hur funktionerna aktiverats eller av vem.

text: IMY tar inledningsvis ställning till om dataskyddsförordningen är tillämplig och om IMY är behörig tillsynsmyndighet.

text: IMY är behörig tillsynsmyndighet

text: IMY:s granskning tar sikte på en situation då uppgifter om personer, i huvudsak kunder som varit inloggade hos banken, oavsiktligt överförts av Meta-pixeln till Meta i samband med att de besökt olika delar av bankens webbplats. Denna informationshantering innebär inte att uppgifter lagrats i eller hämtats från en abonnents eller användares terminalutrustning och omfattas därmed inte av 9 kap. 28 § i LEK eller tidigare gällande motsvarande bestämmelse i lagen (

text: ) om elektronisk kommunikation. IMY konstaterar därmed att dataskyddsförordningen är

text: tillämplig på den aktuella personuppgiftsbehandlingen och att IMY är behörig tillsynsmyndighet. Det kan vidare konstateras att IMY:s granskning avser om banken vidtagit tillräckliga säkerhetsåtgärder, vilket inte är något som regleras särskilt i LEK. Även det förhållandet medför således att IMY är behörig tillsynsmyndighet.

text: IMY bedömer härefter frågan om personuppgiftsansvar och om banken har vidtagit lämpliga säkerhetsåtgärder enligt artiklarna 5.1 f och 32 i dataskyddsförordningen för att skydda berörda webbplatsbesökares och appanvändares personuppgifter.

text: Banken är personuppgiftsansvarig

text: Banken har uppgett att banken är personuppgiftsansvarig för den personuppgiftsbehandling som granskats i ärendet. Av utredningen framgår att syftet med att implementera och använda Meta-pixeln varit att optimera bankens marknadsföring. Genom att behandla uppgifter om t.ex. en persons besökta webbsidor, sökningar och produktval har bankens marknadsföring på Metas tjänst Facebook således kunnat optimeras.

text: IMY konstaterar att banken har bestämt ändamål och medel för behandlingen av personuppgifterna, det vill säga hur och varför personuppgifterna ska behandlas. IMY bedömer att det är banken som enligt artikel 4.7 i dataskyddsförordningen är personuppgiftsansvarig för den personuppgiftsbehandling som tillsynen omfattar.

text: Behandlingen har inneburit en hög risk och krävt en hög skyddsnivå

text: Banken har enligt artikel 32 i dataskyddsförordningen en skyldighet att skydda de personuppgifter som banken behandlar genom att vidta lämpliga tekniska och organisatoriska åtgärder. Åtgärderna ska säkerställa en lämplig säkerhetsnivå. Vid bedömningen av vilken säkerhetsnivå som är lämplig ska den personuppgiftsansvarige beakta kostnaderna, behandlingens art, omfattning, sammanhang och ändamål och de risker för fysiska personers rättigheter och friheter som behandlingen medför.

text: Av 1 kap. 10 § första stycket banklagen följer att den som är eller har varit knuten till en bank inte obehörigen får röja uppgifter som rör en bankkunds mellanhavanden med banken. Även uppgiften att en viss person är kund i banken eller inte, omfattas av tystnadsplikten. Dessa lagkrav om tystnadsplikt gäller således i bankens verksamhet. Det ställer höga krav på skydd för de personuppgifter som behandlas i bankens verksamhet.

text: IMY konstaterar att de uppgifter som hanterats bland annat bestått av särskilt skyddsvärda personuppgifter, nämligen personnummer, som endast får behandlas under vissa förutsättningar. Det har även varit fråga om ekonomiska uppgifter, såsom uppgift om kontonummer, värdepappersinnehav, lånebelopp, och kreditlimit, för vilka de registrerade har berättigade förväntningar på en hög grad av konfidentialitet och ett robust skydd mot obehörig åtkomst. De uppgifter som överförts har omfattats av lagstadgad tystnadsplikt. Personuppgiftsbehandlingen har skett inom ramen för bankens kärnverksamhet, något som medför ännu högre krav på skyddsnivån. Banken borde ha haft god förmåga att säkerställa en säkerhet som varit lämplig utifrån behandlingens omfattning och känslighet.

text: Med hänsyn bland annat till att de uppgifter som banken behandlat har varit av skyddsvärd karaktär och berört ett mycket stort antal personer har bankens behandling av personuppgifterna sammantaget inneburit en hög risk för fysiska personers

text: rättigheter och friheter. Behandlingens art, omfattning och sammanhang har därmed medfört ett krav på en hög skyddsnivå för uppgifterna. Åtgärderna skulle bland annat säkerställa att personuppgifterna skyddades mot obehörigt röjande och obehörig åtkomst.

text: Banken har inte vidtagit tillräckliga åtgärder för att skydda uppgifterna

text: IMY konstaterar inledningsvis att det förhållandet att banken överfört de aktuella uppgifterna till Meta innebär att uppgifterna rent faktiskt inte har skyddats mot obehörigt röjande.

text: Av bankens uppgifter framgår att den har formaliserade rutiner för att säkerställa en korrekt behandling av personuppgifter inför, i samband med och efter införandet av nya funktioner på webbplatsen och att dessa rutiner finns dokumenterade i bankens styrdokument.

text: IMY konstaterar att banken således haft organisatoriska åtgärder på plats i form av rutiner som dokumenterats i bankens styrdokument. Banken har dock i det aktuella fallet inte följt sina rutiner. Banken har haft Meta-pixeln införd på delar av bankens webbplats och app som varit avsedda endast för inloggade kunder och potentiella kunder. De två funktionerna AAM och AH i Meta-pixeln har därefter aktiverats utan att banken varit medveten om det. Som en konsekvens av att banken vid införandet av dessa funktioner inte följt sina rutiner och dokumenterat vad som skett har det inte varit möjligt för banken att i efterhand verifiera hur eller av vem dessa funktioner aktiverades.

text: Som en följd av att de två funktionerna AAM och AH aktiverats utan bankens vetskap har ett obehörigt röjande av uppgifter som omfattas av tystnadsplikt och en obehörig överföring av personuppgifter skett till Meta. Detta pågick i drygt ett och ett halvt år. Att röjandet och den obehöriga överföringen upphörde berodde inte på att banken själv uppmärksammande vad som pågick, utan på att banken via en extern källa fick kännedom om det.

text: Banken har således saknat förmåga att upptäcka röjandet av och den pågående överföringen av personuppgifter till Meta. IMY anser att banken borde ha haft ett sådant systematiskt säkerhetsarbete att detta skulle ha upptäckts av banken. Ett sådant säkerhetsarbete innefattar att kontroller görs med viss regelbundenhet. Eftersom banken endast har haft rutiner för att följa upp dokumenterade förändringar som utförts enligt uppsatta rutiner, har banken saknat förmåga att upptäcka och åtgärda förändringar som, liksom i det aktuella fallet, genomförts utan att rutinerna följts. Mot denna bakgrund konstaterar IMY att banken har saknat tekniska och organisatoriska säkerhetsrutiner för att systematiskt följa upp och upptäcka oavsiktliga förändringar i sina system.

text: Som en följd av att banken dels inte tillämpat sina organisatoriska säkerhetsrutiner när banken införde funktionerna AAM och AH, dels saknat organisatoriska och tekniska säkerhetsrutiner för att upptäcka överföringar har personuppgifter om ett stort antal personer obehörigen förts över till Meta. Utredningen visar att det har varit fråga om personuppgifter om cirka 500 000 – 1 000 000 personer.

text: IMY konstaterar sammanfattningsvis att banken vid användningen av Meta-pixeln inte har vidtagit tillräckliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som varit lämplig i förhållande till risken. Detta innebär att banken under

text: tiden från den 15 november 2019 till den 2 juni 2021 har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen.

text: Enligt den grundläggande säkerhetsprincipen i artikel 5.1 f i dataskyddsförordningen ska personuppgifter behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder. Genom det inträffade har uppgifter om bankens kunder, till exempel uppgifter om personnummer, kontonummer, värdepappersinnehav, lånebelopp och kreditlimit, förts över till Meta i klartext. Därutöver har vissa uppgifter förts över i hashad form vilket möjliggjort matchning med personuppgifter hos Meta. Det har varit fråga om uppgifter som omfattas av lagstadgad tystnadsplikt. Förlust av kontroll av bankinformation kan innebära en hög risk för de registrerades fri- och rättigheter. Att ärendet gäller bankinformation och att personuppgifterna dessutom till övervägande del har röjts och överförts i klartext från ett för kunderna inloggat läge medför enligt IMY att det inträffade är särskilt allvarligt. Bankens underlåtenhet att följa sina formaliserade rutiner och avsaknad av förmåga att upptäcka den obehöriga överföringen av personuppgifter bedöms därför vara av så allvarligt slag att bristen även innebär en överträdelse av artikel 5.1 f i dataskyddsförordningen.

text: Val av ingripande

text: Rättslig reglering

text: IMY har vid överträdelser av dataskyddsförordningen ett antal korrigerande befogenheter, bland annat reprimand, föreläggande och sanktionsavgifter. Det följer av artikel 58.2 a–j i dataskyddsförordningen. IMY ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall.

text: Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen.

text: I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras och vad som kan påverka sanktionsavgiftens storlek. Av betydelse för bedömningen av överträdelsen allvar är bland annat dess karaktär, svårighetsgrad och varaktighet.

text: Enligt artikel 83.4 ska det vid överträdelser av bland annat artikel 32 påföras administrativa sanktionsavgifter på upp till 10 000 000 EUR eller, om det gäller ett företag, på upp till två procent av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.

text: Enligt artikel 83.5 ska det vid överträdelser av bland annat artikel 5 påföras administrativa sanktionsavgifter på upp till 20 000 000 EUR eller, om det gäller ett företag, på upp till fyra procent av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.

text: EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer för beräkning av sanktionsavgifter.

text: Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b i förordningen.

text: IMY:s bedömning

text: Sanktionsavgift ska påföras

text: IMY har gjort bedömningen att banken har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen samt att överträdelsen är av sådant allvarligt slag att det också är fråga om en överträdelse av principerna om integritet och konfidentialitet i artikel 5.1 f.

text: Överträdelsen har skett genom att banken behandlat personuppgifter med en otillräcklig säkerhetsnivå, vilket har medfört att bland annat ekonomiska uppgifter om cirka 500 000 - 1 000 000 personer obehörigen överförts till Meta under drygt ett och ett halvt års tid. Banken har vidare saknat förmåga att under denna tid upptäcka överföringen av personuppgifter till Meta. IMY anser att banken borde ha haft ett sådant systematiskt säkerhetsarbete att överföringen av personuppgifter skulle ha upptäckts i samband med en regelbunden kontroll. Den obehöriga överföringen har medfört en hög risk för de registrerades fri- och rättigheter, bland annat avseende förlust av konfidentialitet för skyddsvärda uppgifter. Mot denna bakgrund bedömer IMY att det inte är fråga om sådana mindre överträdelser som avses i skäl 148 i dataskyddsförordningen.

text: EU-domstolen har klargjort att det krävs att den personuppgiftsansvarige har begått en överträdelse uppsåtligen eller av oaktsamhet för att administrativa sanktionsavgifter ska kunna påföras enligt dataskyddsförordningen. EU-domstolen har uttalat att personuppgiftsansvariga kan påföras sanktionsavgifter för ageranden om de inte kan anses ha varit okunniga om att agerandet utgjorde en överträdelse, oavsett om de varit medvetna om att de åsidosatte bestämmelserna i dataskyddsförordningen.

text: Enligt principen om ansvarsskyldighet som bland annat kommer till uttryck i artikel 5.2 i dataskyddsförordningen ska den som ansvarar för behandlingen av personuppgifter säkerställa och kunna visa att behandlingen är förenlig med dataskyddsförordningen. IMY konstaterar således att banken ansvarar för att de personuppgifter som behandlas i verksamheten, behandlas på ett sätt som säkerställer en lämplig säkerhetsnivå. IMY har vid sin prövning konstaterat att banken inte levt upp till de krav som dataskyddsförordningen ställer i detta avseende. Banken kan inte anses ha varit okunnig om att dess agerande inneburit en överträdelse av förordningen. Det

text: föreligger därmed förutsättningar för att påföra banken en administrativ sanktionsavgift.

text: Vid bestämmande av sanktionsavgiftens storlek ska IMY beakta de omständigheter som anges i artikel 83.2 samt säkerställa att den administrativa sanktionsavgiften är effektiv, proportionell och avskräckande.

text: IMY konstaterar att överträdelser av artikel 5.1 f i dataskyddsförordningen omfattas av artikel 83.5 vilket innebär att en sanktionsavgift på upp till tjugo miljoner euro eller fyra procent av den globala årsomsättningen under föregående budgetår, beroende på vilket som är högst, kan påföras.

text: Avanza-koncernens årsomsättning enligt moderbolagets koncernredovisning ska

text: läggas till grund för beräkningen

text: Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag ska den definition av begreppet företag användas som EU-domstolen använder vid tillämpning av artiklarna

text: och

text: i EUF-fördraget (se skäl 150 i dataskyddsförordningen). Av domstolens praxis framgår att detta omfattar varje enhet som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering samt även om enheten i juridisk mening består av flera fysiska eller juridiska personer.

text: Bedömningen av vad som utgör ett företag ska således utgå från konkurrensrättens definitioner. Reglerna för koncernansvar i EU:s konkurrenslagstiftning kretsar kring begreppet ekonomisk enhet. Ett moderbolag och ett dotterbolag betraktas som en del av samma ekonomiska enhet när moderbolaget utövar ett avgörande inflytande över dotterbolaget. Det avgörande inflytandet (det vill säga kontrollen) kan antingen uppnås genom ägande eller genom avtal. Av rättspraxis framgår att ett hundraprocentigt eller nästan hundraprocentigt ägande innebär en presumtion för att kontroll ska anses föreligga. Presumtionen kan dock motbevisas om företaget lämnar tillräcklig bevisning för att styrka att dotterbolaget agerar självständigt på marknaden. För att motbevisa presumtionen måste företaget alltså tillhandahålla bevis som rör de organisatoriska, ekonomiska och rättsliga kopplingarna mellan dotterbolaget och dess moderbolag som visar att de inte utgör en ekonomisk enhet trots att moderbolaget innehar 100 procent eller nästan 100 procent av aktierna.

text: Avanza Bank AB är ett helägt dotterbolag till moderbolaget Avanza Bank Holding AB (publ). Enligt den ovan beskrivna presumtionen är det därför omsättningen för Avanzakoncernen enligt Avanza Bank Holding AB:s (publ) koncernredovisning som ska läggas till grund för beräkning av det maximala sanktionsavgiftsbeloppet.

text: Av Avanza Bank Holding AB:s koncernredovisning för 2023 framgår att den totala globala årsomsättningen var ca 4 716 000 000 kr. Fyra procent av den årsomsättningen är ca 189 000 000 kr. Då detta belopp understiger det maxbelopp som framgår av artikel 83.5 är det högsta sanktionsbelopp som kan fastställas i ärendet 20 000 000 euro.

text: Överträdelsens allvar

text: Av EDPB:s riktlinjer framgår att tillsynsmyndigheten ska bedöma om överträdelsen är av låg, medelhög eller hög allvarlighetsgrad.

text: IMY bedömer att följande faktorer har betydelse för bedömningen av överträdelsens allvarlighet.

text: IMY har konstaterat att banken inte följt sina rutiner i samband med att funktionerna AAM och AH i Meta-pixeln aktiverades och att banken har saknat det systematiska säkerhetsarbete som krävts för att upptäcka det obehöriga röjandet och överföringen av personuppgifter till Meta. De aktuella säkerhetsbristerna har lett till en incident som har berört ett stort antal registrerade och Meta har kunnat ta del av en stor mängd personuppgifter, i många fall i klartext, som inte skulle ha överförts till Meta. Uppgifterna har omfattat ekonomiska uppgifter och uppgifter om personnummer, dvs. uppgifter som kräver en hög skyddsnivå. Överträdelsen har pågått under en längre tid, från den 15 november 2019 till och med den 2 juni 2021 då banken blev uppmärksammad på den obehöriga överföringen av uppgifterna. Behandlingen av personuppgifterna på bankens webbplats är en del av bankens kärnverksamhet där uppgifterna omfattats av lagstadgad tystnadsplikt, vilket gör att överträdelsen ska betraktas som mer allvarlig än om så inte varit fallet.

text: IMY har konstaterat att överträdelsen är så allvarlig att den utöver en överträdelse av artikel 32.1 i dataskyddsförordningen även utgör en överträdelse av den grundläggande principen om integritet och konfidentialitet enligt artikel 5.1 f. IMY bedömer sammantaget, att den aktuella överträdelsen har en låg allvarlighetsgrad inom spannet för överträdelser av artikel 5.1 f.

text: IMY ska vid sin bedömning av sanktionsavgiftens storlek även ta hänsyn till sådana försvårande och förmildrande faktorer som förtecknas i artikel 83.2 i dataskyddsförordningen. IMY konstaterar att banken vidtagit vissa åtgärder för att lindra den skada som de registrerade lidit enligt artikel 83.2 c. Banken stängde omedelbart av pixelfunktionerna när banken medvetandegjordes om överföringen. Banken tog även kontakt med Meta för att försäkra sig om att Meta inte behandlat uppgifterna för egna syften och att uppgifterna raderats hos Meta. Utöver detta har banken implementerat ytterligare styrdokument och rutiner som syftar till att säkerställa en korrekt behandling av personuppgifter. IMY bedömer att banken genom dessa åtgärder gjort vad som kunde förväntas med tanke på behandlingens karaktär, ändamål och omfattning. De vidtagna åtgärderna utgör därför inte en förmildrande faktor. IMY konstaterar att det inte heller i övrigt framkommit några omständigheter som påverkar IMY:s bedömning av sanktionsavgiftens storlek varken i försvårande eller förmildrande riktning

text: Sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande

text: Den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande. Det innebär att beloppet ska bestämmas så att den administrativa sanktionsavgiften leder till rättelse, att den ger en preventiv effekt och att den dessutom är proportionerlig i förhållande till såväl aktuella överträdelser som till tillsynsobjektets betalningsförmåga.

text: Mot bakgrund av överträdelsens allvar bestämmer IMY att banken ska betala en administrativ sanktionsavgift på 15 000 000 kr för de konstaterade överträdelserna. IMY bedömer att detta belopp är effektivt, proportionerligt och avskräckande.

text: Detta beslut har fattats av vikarierande generaldirektören David Törngren efter föredragning av seniora juristen Hans Kärnlöf. Vid den slutliga handläggningen har även tillförordnade rättschefen Cecilia Agnehall och enhetschefen Catharina Fernquist samt it- och informationssäkerhetsspecialisten Petter Flink medverkat.

text: David Törngren, 2024-06-24 (Det här är en elektronisk signatur)

text: Kopia till

text: DSO

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Länsförsäkringar AB

text: DI-2021-5568 106 50 Stockholm

text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om 08-657 61 00 upphävande av direktiv

text: (allmän dataskyddsförordning)

text: IMY:s tillägg: Hashning är en kryptografisk envägsfunktion som kan användas för att åstadkomma pseudonymisering, som är en möjlig säkerhetsåtgärd enligt artikel 32 i dataskyddsförordningen, genom att personuppgifter ersätts med en så kallad hashsumma. Det innebär att de ersatta personuppgifterna inte är tillgängliga i klartext och att det behövs kompletterande uppgifter för att det ska gå att identifiera den registrerade.

text: Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002

text: om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation).

text: Yttrande 5/2019 om samspelet mellan direktivet om integritet och elektronisk kommunikation och den allmänna dataskyddsförordningen, särskilt när det gäller dataskyddsmyndigheternas behörighet, uppgifter och befogenheter, antaget den 12 mars 2019, punkt 68 och 69. 5 EDPB:s riktlinjer Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, punkt 61–63. 6 Ibid, punkt 34.

sprak: sv

titel: Beslut

publisher: Integritetsskyddsmyndigheten

slug: lansforsakringar

title: Länsförsäkringar

org: imy

sammanfattning: Integritetsskyddsmyndigheten konstaterar att Länsförsäkringar AB (organisationsnummer 502010-9681) behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen1 genom att under perioden den 10 mars 2021 till och med den 4 juni 2021 inte ha vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå för personuppgifter vid användning av analysverktyget Meta-pixeln. Integritetsskyddsmyndigheten ger Länsförsäkringar AB en reprimand enligt artikel 58.2 b i dataskyddsförordningen för den konstaterade överträdelsen.

text: Beslut efter tillsyn enligt dataskyddsförordningen - Länsförsäkringar AB

type: rubrik

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Länsförsäkringar AB (organisationsnummer 502010-9681) behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen genom att under perioden den 10 mars 2021 till och med den 4 juni 2021 inte ha vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå för personuppgifter vid användning av analysverktyget Meta-pixeln.

type: stycke

text: Redogörelse för tillsynsärendet

text: Utgångspunkt för tillsynen

text: Integritetsskyddsmyndigheten (IMY) mottog den 7 juni 2021 en anmälan om en personuppgiftsincident från Länsförsäkringar AB och ytterligare 26 bolag inom Länsförsäkringsgruppen. Av anmälan framgick att bolagen vid användning av Facebooks (ägarbolaget numera Meta) tjänst Facebook-pixel (numera Meta-pixel) obehörigen fört över personuppgifter till Meta för matchning mot Facebookprofiler om ett okänt antal personer som besökt webbplatsen www.lansforsakringar.se och som där lämnat information i formulär. Överföringen orsakades av att funktionen Avancerad matchning aktiverats av misstag. Överföringen till Meta pågick under perioden den 10 mars 2021 till och med den 4 juni 2021. Bland de uppgifter som förts över fanns identifierande information och kontaktinformation. Länsförsäkringar AB fick kännedom

text: om det inträffade av en utomstående. Så snart Länsförsäkringar AB fick kännedom om det inträffade avaktiverade Länsförsäkringar AB funktionen.

text: Den 8 juni 2021 kompletterades anmälan om personuppgiftsincident till att omfatta ytterligare ett bolag i Länsförsäkringsgruppen. Med hänsyn till att det av anmälan framgick att samtliga bolag som omfattades av anmälan var personuppgiftsansvariga för den incident som inträffat på webbplatsen www.länsförsäkringar.se inledde IMY tillsyn mot Länsförsäkringar AB och de övriga bolag inom Länsförsäkringsgruppen som omfattades av personuppgiftsincidenten i syfte att utreda de uppgifter som förekom i bolagens anmälan om personuppgiftsincident. Detta ärende har mot den bakgrunden handlagts tillsamman med tillsynsärendena mot de övriga bolagen. Tillsynerna har avgränsats till att avse i vad mån bolagen vidtagit lämpliga tekniska och organisatoriska åtgärder för att skydda webbplatsbesökares personuppgifter i enlighet 32.1 i dataskyddsförordningen under perioden den 10 mars 2021 till och med den 4 juni 2021 i samband med den överföring av personuppgifter som skett till Meta genom Meta-pixelns funktion Avancerad matchning.

text: Handläggningen vid IMY har skett genom skriftväxling.

text: Vad Länsförsäkringar AB har uppgett

text: Länsförsäkringar AB och de övriga bolag inom Länsförsäkringsgruppen som omfattas av IMY:s tillsyn har yttrat sig gemensamt till IMY. Av yttrandet och bolagens anmälan om personuppgiftsincident framgår i huvudsak följande gällande de frågor som är föremål för IMY:s granskning.

text: Personuppgiftsansvar

text: Länsförsäkringar AB och de övriga bolag som omfattas av IMY:s tillsyn är personuppgiftsansvariga för införandet av Meta-pixeln, funktionen Avancerad matchning och den efterföljande överföringen av personuppgifter till Meta.

text: Den ursprungliga implementeringen av Meta-pixeln

text: Länsförsäkringar AB har interna styrdokument och formaliserade rutiner för behandling av personuppgifter. Till exempel finns en för personalen lättillgänglig handbok om behandling av personuppgifter med innehåll om vad som ska iakttas angående pågående eller planerade nya personuppgiftsbehandlingar. Handboken innehåller även checklistor som ska användas så att tillräckligt underlag ska kunna tas fram för de bedömningar, beslut och åtgärder som krävs innan nya personuppgiftsbehandlingar påbörjas eller pågående personuppgiftsbehandlingar förändras. Syftet är att bestämmelserna i dataskyddsförordningen och övrig tillämplig dataskyddslagstiftning ska kunna efterlevas. Sådana dokument och rutiner är tillämpliga bland annat vid införande av nya funktioner på webbplatsen.

text: All personal genomgår en grundläggande utbildning i dataskydd och riktade utbildningsinsatser görs avseende vissa personalkategorier beroende på om och i vilken utsträckning deras arbetsuppgifter innebär att de deltar vid pågående eller planerade behandlingar av personuppgifter.

text: Meta-pixeln har införts på webbplatsen för att Länsförsäkringar AB ska kunna bedriva effektiv digital marknadsföring genom att rikta relevanta kommersiella budskap till användare utifrån vilka finansiella tjänster som användarna visat intresse för på webbplatsen.

text: Aktivering av delfunktionen Avancerad matchning i Meta-pixeln

text: Länsförsäkringar AB har inte i behörig ordning fattat beslut om att tjänsten Avancerad matchning skulle tas i bruk. Länsförsäkringar AB har inte haft för avsikt att aktivera tjänsten. Det har inte varit Länsförsäkringar AB:s avsikt att behandla andra personuppgifter än IP-adresser inom ramen för användningen av Meta-pixeln. Vid en närmare undersökning av orsaken till att tjänsten Avancerad matchning kom att aktiveras, har det kunnat konstateras att personal hade vidtagit vissa åtgärder utan att inse att åtgärderna ledde till att tjänsten togs i bruk av samtliga bolag som använder webbplatsen länsförsäkringar.se.

text: Länsförsäkringar AB:s överföring av personuppgifter via funktionen Avancerad matchning till Meta

text: Under den period som Avancerad matchning var i bruk har personuppgifter överförts till Meta i så kallad hashad krypteringsform om de användare som har fyllt i uppgifter i formulär på webbplatsen.

text: Personuppgifterna har matchats med facebookprofiler för att rikta annonser på Facebook utifrån de sidor som användaren besökt på webbplatsen.

text: Exakt hur Avancerad matchning har påverkat annonseringen är inte fastställt. Att detta resulterat i riktad kommunikation från Länsförsäkringar AB på Facebook kan inte uteslutas. Funktionen bidrog till att följande uppgifter överfördes:

text: • För- och efternamn, • Telefonnummer, • E-postadress och • Boendeort.

text: Det har dock inte i samtliga fall varit samtliga uppgifter för varje registrerad som förts över till Meta, utan det kan ha förekommit enskilda uppgifter, exempelvis enbart en epostadress.

text: Uppgifterna lämnades ut från formulär på Länsförsäkringar AB:s webbplats och ingen särskiljning kring huruvida det var en kund eller inte som fyllde i formulären har gjorts. De formulär som kunde fyllas i av användare och som medförde att de ifyllda uppgifterna överfördes till Meta var exempelvis formulär för anmälan till nyhetsbrev eller intresse av att få veta mer om en produkt eller tjänst. Inga uppgifter om att en användare var eller blev kund framgick av den information i formulären som delades med Meta.

text: Enligt uppgift från Meta har personuppgifterna raderats inom 48 timmar efter mottagandet. På grund av att personuppgifterna överfördes till Meta i hashad krypteringsform och har raderats har det inte varit möjligt att identifiera vilka eller hur många registrerade som har påverkats av incidenten.

text: Åtgärder som vidtagits efter personuppgiftsincidenten

text: Med anledning av incidenten har Länsförsäkringar AB sett över sina rutiner och webbplatsens kodstruktur för att förhindra att liknande situationer inträffar. En dialog

text: med Meta och distributörer av Metas tjänster har också inletts för att minimera risken för att personal oavsiktligt aktiverar Metas tjänster och funktioner som skett i detta fall.

text: Länsförsäkringar AB har vidtagit följande tekniska och organisatoriska säkerhetsåtgärder för att förebygga och upptäcka otillåten utgående trafik motsvarande den som upptäcktes den 4 juni 2021.

text: Ett flertal organisatoriska säkerhetsåtgärder har vidtagits såsom översyn av samtliga behörigheter och behörighetsnivåer för medarbetare med tillgång till webbaserade verktyg. Skärpta behörighetskrav har införts, exempelvis kräver samtliga kodförändringar rörande spårning på webbplatsen godkännande av två behöriga medarbetare. Berörda medarbetare har också erhållit ytterligare utbildning för att öka medarbetarnas kunskap om lagstiftning kring mätning och spårning i digitala kanaler.

text: För att ytterligare minska risken för otillåten utgående trafik genomförs regelbundet även manuella kontroller av inställningar och dataflöden i de verktyg som används som en del i marknadsprocessen. En utredning pågår även internt för att se över förutsättningarna för att automatiskt kunna genomföra kontroller av dataflöden från webbplatser till tredje part.

text: Den aktuella Meta-pixeln är avstängd och det finns inte någon plan på att aktivera den igen. Länsförsäkringar AB har vidtagit tekniska säkerhetsåtgärder som omöjliggör tjänsten Avancerad matchning även om Meta-pixeln i framtiden skulle återinföras. Länsförsäkringar AB har även utvecklat ett filter för att hindra överföring av personuppgifter från fritextfält.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: Av artikel 95 i dataskyddsförordningen följer att dataskyddsförordningen inte ska innebära några ytterligare förpliktelser för fysiska eller juridiska personer som behandlar personuppgifter, för sådana områden som redan omfattas av skyldigheter enligt det så kallade eDataskyddsdirektivet . eDataskyddsdirektivet har genomförts i svensk rätt genom lagen (

text: ) om elektronisk kommunikation (LEK), där bland annat insamling av uppgifter genom webbkakor regleras.

text: Enligt

text: 9 kap. 28 §

text: LEK, som genomför artikel 5.3 i eDataskyddsdirektivet, får uppgifter lagras i eller hämtas från en abonnents eller användares terminalutrustning endast om abonnenten eller användaren får tillgång till information om ändamålet med behandlingen och samtycker till den. Vidare framgår att detta inte hindrar sådan lagring eller åtkomst som behövs för att överföra ett elektroniskt meddelande via ett elektroniskt kommunikationsnät eller som är nödvändig för att tillhandahålla en tjänst som användaren eller abonnenten uttryckligen har begärt. LEK trädde i kraft den 3 juni 2022. Under den i ärendet aktuella tiden gällde dock samma krav enligt 6 kap. 18 § lagen om (

text: ) om elektronisk kommunikation. Det är Post- och telestyrelsen som är tillsynsmyndighet enligt LEK (

text: 1 kap 5 § förordningen (2022:511)

text: om elektronisk kommunikation).

text: Europeiska dataskyddsstyrelsen (EDPB) har yttrat sig över samspelet mellan eDataskyddsdirektivet och dataskyddsförordningen. Av yttrandet följer bl.a. att den nationella tillsynsmyndighet som utsetts enligt eDataskyddsdirektivet ensamt är behörig att övervaka efterlevnaden av direktivet. Däremot är tillsynsmyndigheten enligt dataskyddsförordningen behörig tillsynsmyndighet för den behandling som inte regleras särskilt i eDataskyddsdirektivet.

text: EDPB har den 7 oktober 2024 antagit riktlinjer gällande den tekniska omfattningen av artikel 5.3 i eDataskyddsdirektivet. I riktlinjerna anges bland annat att ett vanligt tillvägagångssätt för företag är användningen av unika identifierare eller beständiga identifierare. Sådana identifierare kan härledas från beständiga personuppgifter (namn, efternamn, mejladress, telefonnummer etc.) vilka hashas på användarens enhet, samlas in och delas mellan flera personuppgiftsansvariga för att unikt identifiera en person genom olika datamängder (användardata som samlats in genom användandet av en webbsida eller applikation, kundrelationshantering som avser online- eller offlineköp eller prenumerationer etc.). I riktlinjerna klargörs att omständigheten att informationen matas in av användaren inte utesluter tillämpligheten av artikel 5.3 i eDataskyddsdirektivet eftersom informationen tillfälligt lagras på terminalen innan den samlas in. När det gäller insamling genom unika identifierare på webbsidor eller mobilapplikationer ger den insamlande parten instruktioner till webbläsaren (genom kod som distribueras till terminalen/klienten) som skickar informationen. Därmed sker en hämtning av uppgifter och artikel 5.3 är tillämplig. Den omständigheten att den insamlande parten som instruerar terminalen att skicka tillbaka informationen inte är densamma som den som tar emot informationen utesluter inte tillämpligheten av artikel 5.3 i eDataskyddsdirektivet.

text: Personuppgiftsansvarig är enligt artikel 4.7 i dataskyddsförordningen en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

text: Den personuppgiftsansvarige ska enligt artikel 5.2 i datasskyddförordningen ansvara för och kunna visa att de grundläggande principerna i artikel 5.1 i dataskyddsförordningen följs (principen om ansvarsskyldighet).

text: Av artikel 32.1 i dataskyddsförordningen följer att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Vid bedömningen av vilka tekniska och organisatoriska åtgärder som är lämpliga ska den personuppgiftsansvarige beakta den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter.

text: Enligt artikel 32.1 omfattar lämpliga skyddsåtgärder, när det är lämpligt,

text: • Pseudonymisering och kryptering av personuppgifter.

text: • Förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och tjänsterna. • Förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident. • Ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: Enligt artikel 32.2 i dataskyddsförordningen ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de risker som behandlingen medför, i synnerhet för oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

text: I skäl 75 till dataskyddsförordningen anges faktorer som ska beaktas vid bedömningen av risken för fysiska personers rättigheter och friheter. Bland annat nämns förlust av konfidentialitet när det gäller personuppgifter som omfattas av tystnadsplikt samt om behandlingen avser uppgifter om hälsa eller sexualliv. Vidare ska beaktas om behandlingen gäller personuppgifter om sårbara fysiska personer, framförallt barn, eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort antal registrerade.

text: I skäl 76 till dataskyddsförordningen anges att hur sannolik och allvarlig risken för den registrerades rättigheter och friheter är bör fastställas utifrån behandlingens art, omfattning, sammanhang och ändamål. Risken bör utvärderas på grundval av en objektiv bedömning, genom vilken det fastställs huruvida uppgiftsbehandlingen inbegriper en risk eller hög risk.

text: Integritetsskyddsmyndighetens bedömning

text: IMY ska inledningsvis ta ställning till om dataskyddsförordningen är tillämplig och om IMY är behörig tillsynsmyndighet. Om så är fallet ska IMY pröva frågan om Länsförsäkringar AB är personuppgiftsansvarig och om bolaget i så fall har vidtagit lämpliga säkerhetsåtgärder enligt artikel 32 i dataskyddsförordningen för att skydda de personuppgifter som behandlats vid användning av Meta-pixeln med funktionen Avancerad matchning aktiverad under perioden den 10 mars till och med den 21 juni 2021.

text: IMY är behörig tillsynsmyndighet

text: IMY:s granskning tar sikte på Länsförsäkringar AB:s användning av Meta-pixeln, ett scriptbaserat verktyg i form av ett kodstycke, på Länsförsäkringar AB:s webbplats, där funktionen Avancerad matchning senare kom att aktiveras. Funktionen Avancerad matchning har medfört att Meta-pixeln instruerat användarnas webbläsare att samla in och hasha information i form av de personuppgifter som användarna angett på sidan. Utifrån dessa uppgifter har en unik identifierare skapats som tillfälligt lagrats i användarens terminal och sedan förts över till, och därmed hämtats av, Meta för matchning. Den aktuella behandlingen har därmed omfattat både sådan lagring i och hämtning från användares terminalutrustning som avses i 9 kap. 28 § i LEK, och motsvarande bestämmelse i 6 kap. 18 § lagen om (

text: ) om elektronisk kommunikation.

text: Post- och telestyrelsen är ensamt behörig att utöva tillsyn över tillämpningen av LEK. IMY:s granskning avser dock om Länsförsäkringar AB vidtagit tillräckliga

text: säkerhetsåtgärder, vilket inte är något som regleras särskilt i LEK. IMY är därmed behörig att utreda den fråga som tillsynsärendet gäller.

text: Länsförsäkringar AB är personuppgiftsansvarig

text: Länsförsäkringar AB har uppgett att Länsförsäkringar AB är personuppgiftsansvarig för den personuppgiftsbehandling som granskats i ärendet. Av utredningen framgår att syftet med att implementera och använda Meta-pixeln varit att optimera Länsförsäkringar AB:s marknadsföring. Genom att behandla uppgifter om besökares beteende på webbplatsen har Länsförsäkringar AB:s marknadsföring på Metas tjänst Facebook således kunnat optimeras.

text: IMY konstaterar att Länsförsäkringar AB har bestämt hur behandlingen ska gå till och för vilket ändamål personuppgifterna ska behandlas. IMY bedömer därför att det är Länsförsäkringar AB som enligt artikel 4.7 i dataskyddsförordningen är personuppgiftsansvarig för den personuppgiftsbehandling som tillsynen omfattar.

text: Har Länsförsäkringar AB säkerställt en lämplig säkerhetsnivå för personuppgifterna?

text: Behandlingen har innefattat en risk

text: Den personuppgiftsansvarige ska vidta åtgärder för att säkerhetsställa en skyddsnivå som är lämplig utifrån riskerna med behandlingen. Bedömningen av lämplig skyddsnivå ska göras med beaktande av bland annat behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter. På grundval av en objektiv bedömning ska fastställas huruvida behandlingen innebär en risk eller hög risk.

text: Av utredningen i ärendet framgår att Länsförsäkringar AB genom att införa Meta-pixeln och funktionen Avancerad matchning oavsiktligt fört över uppgifter till Meta om namnoch kontaktuppgifter avseende webbplastbesökare som lämnat ifrån sig sådana uppgifter i formulär på Länsförsäkringar AB:s webbplats.

text: IMY gör följande bedömning av riskerna med behandlingen av de registrerades personuppgifter.

text: De registrerade har lämnat ifrån sig bland annat namn- och kontaktuppgifter till ett företag som bedriver försäkringsverksamhet och uppgifterna har därmed förekommit i ett sammanhang där de registrerade måste ha kunnat förvänta sig en hög grad av konfidentialitet. Länsförsäkringar AB har haft rutiner på plats som följts vid införandet av Meta-pixeln. Meta-pixeln har därmed varit införd på ett sådant sätt att när funktionen Avancerad matchning slogs på möjliggjordes endast överföring av ett begränsat antal uppgifter om en registrerad och som inte avslöjade om den registrerade var kund hos Länsförsäkringar AB eller som rörde uppgifter i en registrerads eventuella kundförhållande med Länsförsäkringar AB. Hur många registrerade som har påverkats av incidenten har inte kunnat identifieras.

text: Sammanfattningsvis bedömer IMY att behandlingen, med hänsyn till sin art, omfattning och sammanhanget, har inneburit en risk som medfört ett krav på Länsförsäkringar AB att säkerställa en skyddsnivå som är lämplig i förhållande till den aktuella risken. Åtgärderna skulle bland annat säkerställa att personuppgifterna skyddades mot förlust av kontroll.

text: Länsförsäkringar AB har inte vidtagit tillräckliga skyddsåtgärder

text: IMY ska därefter bedöma om Länsförsäkringar AB har säkerställt den skyddsnivå som krävts för att skydda de registrerades personuppgifter.

text: Av Länsförsäkringar AB:s uppgifter framgår att de har formaliserade rutiner för att säkerställa en korrekt behandling av personuppgifter inför, i samband med och efter införandet av nya funktioner på webbplatsen och att dessa rutiner finns dokumenterade i Länsförsäkringar AB:s styrdokument.

text: IMY konstaterar att Länsförsäkringar AB således haft organisatoriska åtgärder på plats i form av rutiner som dokumenterats i Länsförsäkringar AB:s styrdokument. Länsförsäkringar AB har dock i det aktuella fallet inte följt sina rutiner. Länsförsäkringar AB har haft Meta-pixeln införd på Länsförsäkringar AB:s webbplats och funktionen Avancerad matchning i Meta-pixeln har därefter aktiverats utan att Länsförsäkringar AB varit medvetet om det. Som en konsekvens av att Länsförsäkringar AB vid införandet av denna funktion inte följt sina rutiner och dokumenterat vad som skett har det inte varit möjligt för Länsförsäkringar AB att upptäcka och i efterhand verifiera hur eller av vem denna funktion aktiverades.

text: Som en följd av att funktionen Avancerad matchning aktiverats utan Länsförsäkringar AB:s vetskap har Länsförsäkringar AB fört över uppgifter till Meta om webbplatsbesökare som inte var avsedda att överföras.

text: Länsförsäkringar AB har således saknat förmåga att upptäcka den pågående överföringen av personuppgifter till Meta. IMY anser att Länsförsäkringar AB borde ha haft ett sådant systematiskt säkerhetsarbete att detta skulle ha upptäckts av Länsförsäkringar AB. Ett sådant säkerhetsarbete innefattar att kontroller görs med viss regelbundenhet. Eftersom Länsförsäkringar AB endast har haft rutiner för att följa upp dokumenterade förändringar som utförts enligt uppsatta rutiner, har Länsförsäkringar AB saknat förmåga att upptäcka och åtgärda förändringar som, liksom i det aktuella fallet, genomförts utan att rutinerna följts. Mot denna bakgrund konstaterar IMY att Länsförsäkringar AB har saknat tekniska och organisatoriska säkerhetsrutiner för att systematiskt följa upp och upptäcka oavsiktliga förändringar i sina system.

text: Som en följd av att Länsförsäkringar AB dels inte tillämpat sina organisatoriska säkerhetsrutiner när Länsförsäkringar AB införde funktionen Avancerad matchning, dels saknat organisatoriska och tekniska säkerhetsrutiner för att upptäcka överföringar har personuppgifter om ett okänt antal personer obehörigen förts över till Meta.

text: IMY konstaterar sammanfattningsvis att Länsförsäkringar AB vid användningen av Meta-pixeln inte har vidtagit tillräckliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som varit lämplig i förhållande till risken. Detta innebär att Länsförsäkringar AB under perioden den 10 mars 2021 till och med den 4 juni 2021 har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen.

text: Val av ingripande

text: Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY bland annat har befogenhet att påföra en administrativ sanktionsavgift. Beroende på omständigheterna i det enskilda fallet ska en administrativ sanktionsavgift påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som t.ex. förelägganden och förbud. Om det är fråga om en mindre överträdelse får IMY enligt

text: vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: Den konstaterade överträdelsen har skett genom att Länsförsäkringar AB behandlat personuppgifter med en otillräcklig säkerhetsnivå vilket lett till att Länsförsäkringar AB fört över fler personuppgifter än vad som varit avsett om ett okänt antal registrerade till Meta under knappt tre månaders tid. Länsförsäkringar AB har saknat förmåga att under denna tid på egen hand upptäcka överföringen av personuppgifter till Meta. Överträdelsen har skett i försäkringsverksamhet där de registrerade måste anses ha haft en berättigad förväntan på hög grad av konfidentialitet. Länsförsäkringar AB har dock vidtagit åtgärder som begränsat intrånget i de registrerades personliga integritet. Länsförsäkringar AB har vid införandet av Meta-pixeln placerat den på ett sådant sätt på webbplatsen att uppgifter om att en registrerad var kund hos Länsförsäkringar AB inte kunnat utläsas av de uppgifter som fördes över till Meta när funktionen Avancerad matchning aktiverades. Det har därmed inte varit fråga om uppgifter som omfattats av tystnadsplikt. Det har varit fråga om relativt få personuppgifter avseende varje registrerad som förts över till Meta och det har inte avsett integritetskänsliga uppgifter. Vidare har överföringen skett under ett kortare tidsintervall. Personuppgifterna har förts över i hashat, det vill säga oläsligt, format till en enda mottagare och det rör sig därmed inte om ett okontrollerat röjande där uppgifterna exempelvis delats till många obehöriga eller funnits publikt tillgängliga. Vid en sammantagen bedömning finner IMY att det är fråga om en sådan mindre överträdelse som avses i skäl 148 till dataskyddsförordningen och att Länsförsäkringar AB därför ska ges en reprimand.

text: Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av seniora juristen Hans Kärnlöf. Vid den slutliga handläggningen av ärendet har även itoch informationssäkerhetsspecialisten Petter Flink medverkat.

text: Catharina Fernquist

text: Kopia till

text: Länsförsäkringar AB:s dataskyddsombud

text: Hur man överklagar

type: avgorande


text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 Lagen (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning.

text: Opportunistic Transport Layer Security.

text: Se skälen 75 och 76 i dataskyddsförordningen.

text: [1] Se Datainspektionens rapport Anmälda personuppgiftsincidenter 2019 (rapport 2020:2).

titel: Beslut: Sjukhusstyrelsen

nyckelord: Dataskydd Personuppgiftsincident

sanktionsavgift: 300 000 kronor och 1,6 miljoner kronor

slug: region-uppsala-personuppgiftsincidenter

title: Region Uppsala, personuppgiftsincidenter – Beslut: Sjukhusstyrelsen

sammanfattning: IMY utfärdar två administrativa sanktionsavgifter, en på 300 000 kronor mot regionstyrelsen i Region Uppsala och en på 1,6 miljoner kronor mot sjukhusstyrelsen i Region Uppsala.

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten (IMY) konstaterar att Sjukhusstyrelsen i Region Uppsala (sjukhusstyrelsen) som personuppgiftsansvarig har, under tiden från den 25 maj 2018 till den 7 maj 2019, behandlat personuppgifter i strid med artiklarna 5.1 f och 32.1 i dataskyddsförordningen på följande sätt:

text:  Sjukhusstyrelsen har skickat känsliga personuppgifter som inte var krypterade via öppet nät till patienter och remittenter. Behandlingen har också skett i strid med Region Uppsalas egna riktlinjer. Det innebär att sjukhusstyrelsen inte har vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen.

text:  Sjukhusstyrelsen har lagrat känsliga personuppgifter i e-postvärdtjänsten Outlook. Det innebär att sjukhusstyrelsen inte har vidtagit lämpliga tekniska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen.

text: IMY beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen och

text: 6 kap. 2 § dataskyddslagen

text: att sjukhusstyrelsen, för överträdelse av artiklarna 5.1 f och 32.1 i dataskyddsförordningen, ska betala en administrativ sanktionsavgift på 1 600 000 (en miljon sexhundratusen) kronor.

text: Redogörelse för tillsynsärendet

text: Utgångspunkten för tillsynsärendet

text: IMY beslutade att inleda en tillsyn mot Region Uppsala med anledning av regionens anmälan den 7 maj 2019 om personuppgiftsincident.

text: IMY:s granskning omfattar den personuppgiftsbehandling som sjukhusstyrelsen utför i samband med att Akademiska sjukhuset skickar e-post med patientuppgifter till patienter och remittenter i tredjeland. IMY:s granskning omfattar även lagringen av patientuppgifter i e-postvärdtjänsten Outlook.

text: IMY har inom ramen för denna tillsyn granskat om den aktuella personuppgiftsbehandlingen uppfyller de krav på säkerhet som ställs i artiklarna 5.1 f och 32 i dataskyddsförordningen. IMY har inte granskat om personuppgiftsbehandlingen är förenlig med regleringen i dataskyddsförordningen i övrigt, till exempel bestämmelserna om överföring av personuppgifter till tredjeland.

text: Dataskyddsförordningen började tillämpas den 25 maj 2018. IMY:s tillsyn omfattar därför perioden från den 25 maj 2018 till den 7 maj 2019 (då anmälan kom in). IMY har

text: inte granskat de åtgärder som sjukhusstyrelsen har uppgett att den vidtagit efter den 7 maj 2019.

text: Uppgifter från sjukhusstyrelsen

text: Regionstyrelsen i Region Uppsala har uppgett att den har rätt att företräda regionen utåt. Sjukhusstyrelsen har uppgett att den instämmer i det som regionstyrelsen anfört.

text: Sjukhusstyrelsen har, genom regionstyrelsen, uppgett bland annat följande.

text: Personuppgiftsansvar

text: Sjukhusstyrelsen är personuppgiftsansvarig för den personuppgiftsbehandling som sker när e-post skickas från och till patienter eller remittenter i utlandet. Behandlingen sker på förvaltningen, Akademiska sjukhuset, som är placerad under nämnden sjukhusstyrelsen. Denna bedömning görs mot bakgrund av att sjukhusstyrelsen är en självständig förvaltningsmyndighet som bestämmer ändamål och medel med personuppgiftsbehandlingen.

text: E-post som skickas okrypterad över öppet nät till tredjeland

text: Behandling av personuppgifter i e-post

text: Akademiska sjukhuset skickar e-post till patienter och remittenter (det vill säga hemsjukhuset) i utlandet på patientens eller remittentens initiativ. Det är upp till patienten alternativt remittenten att välja hur uppgifterna ska skickas in. Dialogen mellan patienten eller remittenten och Akademiska sjukhuset sker huvudsakligen via e-post.

text: En patient från utlandet som får vård vid Akademiska sjukhuset registreras i huvudjournalsystemet Cosmic. Journalhandlingar som erhålls från patienten om hens hälsotillstånd scannas in i Cosmic. Även den vård som utförs vid Akademiska sjukhuset dokumenteras i Cosmic. När vården avslutas skriver ansvarig läkare en sammanställning av vården i en så kallad Medical report i Cosmic. Medical report skickas till patienten eller remittenten per post, men om det är brådskande skickas den via e-post.

text: Syftet med behandlingen är att bedriva högspecialiserad hälso- och sjukvård vid Akademiska sjukhuset.

text: Akademiska sjukhuset skickar uppskattningsvis 500–1 000 dylika e-postmeddelanden per månad. E-postmeddelandena skickades under 2018 till patienter alternativt remittenter i Libanon, Marocko, Nepal, Pakistan, Peru, Ryssland, Saudiarabien, Schweiz, Thailand, Turkiet, USA, Argentina, Australien, Indien, Irak, Iran, Israel, Kanada, Kenya och Kina.

text: E-postmeddelandena innehåller oftast journalhandlingar och vidarebefordras till berörd verksamhetschef, specialist och i vissa fall annan personal inom Akademiska sjukhuset. Två personer har tillgång till personuppgifterna. Det är administrativ personal med vårdbakgrund som har tillgång till personuppgifterna och personalen omfattas av sekretess.

text: Personuppgifterna som behandlas är uppgifter om hälsa samt uppgifter om patientens namn, reservpersonnummer, hemadress, e-postadress, telefonnummer, remittent,

text: berört verksamhetsområde och tidpunkt för inbokad vård. De registrerade är anställda, patienter och barn. Vad gäller anställda förekommer uppgifter om dem endast i sändande och mottagande e-postadresser.

text: Personuppgiftsbehandlingen rörde cirka 300 registrerade per år räknat från 2014 till maj 2019. Antalet gäller både personer som kommit in med förfrågningar om vård och de som behandlats på Akademiska sjukhuset.

text: Personuppgiftsbehandlingen har pågått sedan 2014 och pågår fortfarande. Det framgår av en skrivelse från sjukhusstyrelsen daterad den 2 juni 2021.

text: Kryptering

text: Personuppgifterna skickas okrypterade över öppet nät. Det innebär att överföringen av e-posten och informationen i e-postmeddelandena inte är skyddad av kryptering.

text: Sjukhusstyrelsen har sedan införandet av Outlook använt Microsofts standardinställningar, vilket innebär att överföringen av e-posten sker med det opportunistiska kryptografiska kommunikationsprotokollet, OTLS . Sjukhusstyrelsen använder versionen 1.2 av det kryptografiska kommunikationsprotokollet (TLS 1.2). Det innebär att om mottagarens e-postleverantör inte har denna version av TLS, väljs en föregående version av TLS.

text: Om det saknas stöd för TLS hos mottagarens e-postleverantör skickas epostmeddelandena okrypterade vid överföringen. Det rör enligt sjukhusstyrelsen cirka 1 av 9 000 e-postmeddelanden. Sjukhusstyrelsen har dock inte verifierat exakt hur många av dessa e-postmeddelanden per dag som skickas okrypterade i denna personuppgiftsbehandling.

text: Sjukhusstyrelsen har inte uppfyllt kraven på att överföring av personuppgifter i öppna nät ska göras på ett sådant sätt att inte obehöriga kan ta del av dem. Detta då överföringen gjordes okrypterad via Outlook.

text: Styrdokument

text: Enligt Region Uppsalas styrdokument om hantering av e-post får känsliga personuppgifter inte kommuniceras via e-post.

text: Vidtagna åtgärder efter incidenten

text: Sjukhusstyrelsen införde i september 2019 en krypteringslösning för filer, vilket möjliggjorde en säker överföring via e-post.

text: Det pågår ett systematiskt förbättringsarbete och sjukhusstyrelsen har arbetat med en riskanalys och en konsekvensbedömning.

text: Lagring i e-postvärdtjänsten Outlook

text: I Outlook lagras e-postmeddelandena mellan patient eller remittent och Akademiska sjukhuset. Journalhandlingarna lagras också i Outlook.

text: Motivering av beslutet

text: Gällande regler

text: Den personuppgiftsansvariges ansvar

text: Den som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter är personuppgiftsansvarig. Det framgår av artikel 4.7 i dataskyddsförordningen.

text: Den personuppgiftsansvarige ansvarar för och ska kunna visa att de grundläggande principerna i artikel 5 i dataskyddsförordningen följs (artikel 5.2).

text: Den personuppgiftsansvarige ansvarar för att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Åtgärderna ska genomföras med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers fri- och rättigheter. Åtgärderna ska ses över och uppdateras vid behov. Det framgår av artikel 24.1 i dataskyddsförordningen.

text: Kravet på säkerhet vid behandling av personuppgifter m.m.

text: En grundläggande princip för behandling av personuppgifter är kravet på säkerhet enligt artikel 5.1 f i dataskyddsförordningen, där det anges att personuppgifterna ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder.

text: Uppgifter om hälsa utgör så kallade känsliga personuppgifter. Det är förbjudet att behandla sådana personuppgifter enligt artikel 9.1 i dataskyddsförordningen, såvida behandlingen inte omfattas av något av undantagen i artikel 9.2 i förordningen.

text: Av artikel 32.1 i dataskyddsförordningen följer att den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Det ska ske med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter.

text: Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Det framgår av artikel 32.2 i dataskyddsförordningen.

text: I skäl 75 i dataskyddsförordningen anges de faktorer som ska beaktas vid bedömningen av risken för fysiska personers rättigheter och friheter som kan uppkomma vid behandling av personuppgifter. Bland annat ska beaktas om behandlingen gäller personuppgifter om hälsa eller om sårbara fysiska personer, framförallt barn, eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort antal registrerade.

text: Även skälen 39 och 83 ger vägledning om den närmare innebörden av dataskyddsförordningens krav på säkerhet vid behandling av personuppgifter.

text: IMY:s bedömning

text: Personuppgiftsansvar

text: Sjukhusstyrelsen har uppgett att den är personuppgiftsansvarig för den personuppgiftsbehandling som sker när e-post skickas från Akademiska sjukhuset till patienter och remittenter i utlandet. Detta stöds av den övriga utredningen i ärendet. IMY bedömer därför att sjukhusstyrelsen är personuppgiftsansvarig för de epostöverföringar som det är fråga om i ärendet. Vidare bedömer IMY att sjukhusstyrelsen också är personuppgiftsansvarig för den personuppgiftsbehandling som sker vid lagringen i e-postvärdtjänsten Outlook eftersom e-postöverföringarna sker därifrån.

text: Känsliga personuppgifter har skickats okrypterat via öppet nät

text: Som personuppgiftsansvarig ska sjukhusstyrelsen vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till riskerna (artikel 32 i dataskyddsförordningen). Personuppgifterna som behandlas måste till exempel skyddas mot obehörigt röjande eller obehörig åtkomst.

text: Vad som är lämplig säkerhetsnivå varierar i förhållande till bland annat de risker för fysiska personers rättigheter som behandlingen medför samt behandlingens art, omfattning, sammanhang och ändamål. Vid bedömningen måste det exempelvis beaktas vad det är för typ av personuppgifter som behandlas, till exempel uppgifter om hälsa.

text: Sjukhusstyrelsen har skickat ett stort antal personuppgifter via e-post till patienter och remittenter i utlandet. Det rör sig om uppskattningsvis 500–1 000 skickade epostmeddelanden per månad. De aktuella e-postmeddelandena innehöll personuppgifter om hälsa som är känsliga personuppgifter. Behandling av känsliga personuppgifter kan innebära betydande risker för den personliga integriteten och därför krävs ett starkt skydd vid behandling av sådana uppgifter. Det innebär att om sådana personuppgifter skickas via e-post måste de skyddas på ett sådant sätt att obehöriga inte kan ta del av dem. Personuppgifterna kan till exempel skyddas genom kryptering.

text: Av sjukhusstyrelsens uppgifter framgår att sjukhusstyrelsen använde en teknik, så kallad OTLS, som innebär att överföringen av e-posten krypteras för det fall mottagande e-postserver stödjer TLS. Om mottagande e-postserver inte har stöd för TLS, blir överföringen av e-posten okrypterad. Det innebär att sjukhusstyrelsen använder en teknik som är avhängig mottagarens tekniska inställningar, vilket innebär att sjukhusstyrelsen inte kan säkerställa att överföringen av e-posten är krypterad. Eposten har skickats externt (det vill säga utanför Region Uppsala), vilket har medfört att det inte gått att säkerställa att e-posten som skickas från Akademiska sjukhuset mottas med en kryptering som är lämplig i förhållande till risken med behandlingen. Sjukhusstyrelsen har själv uppgett att den inte har verifierat hur många av epostmeddelandena som skickades okrypterade via öppet nät per dag.

text: I det aktuella fallet skickas informationen i e-postmeddelandena utan kryptering, det vill säga uppgifterna har kunnat läsas i klartext via öppet nät (internet). Det innebär att

text: obehöriga har kunnat få åtkomst till personuppgifterna i e-postmeddelandena och att andra än avsedda mottagare har kunnat ta del av uppgifterna både under överföringen, i de fall då mottagarens e-postserver inte haft stöd för TLS, och efter överföringen av e-posten. Enligt IMY finns det en risk för att uppgifterna kommer i orätta händer efter överföringen, eftersom personen som skickar uppgifterna skulle kunna skriva en felaktig mottagaradress .

text: IMY finner att informationen i e-postmeddelandena borde ha skyddats mot obehörigt röjande eller obehörig åtkomst, och detta alldeles oavsett om överföringen av e-posten varit krypterad eller inte. Sjukhusstyrelsen borde ha vidtagit tekniska åtgärder, till exempel i form av kryptering, för att skydda personuppgifterna och därigenom säkerställa en lämplig skyddsnivå för uppgifterna.

text: Att ett stort antal känsliga personuppgifter under en längre tid har exponerats mot internet utan skydd mot obehörigt röjande eller obehörig åtkomst, innebär enligt IMY att bristen i säkerheten varit av sådant allvarligt slag att den även innebär en överträdelse av artikel 5.1 f i dataskyddsförordningen.

text: Enligt sjukhusstyrelsen anges i Region Uppsalas styrdokument om hantering av post och e-post att känsliga personuppgifter inte får kommuniceras via e-post. Sjukhusstyrelsen har således identifierat de risker som behandlingen av känsliga personuppgifter i e-post medför men inte vidtagit tillräckliga åtgärder för att följa riktlinjerna. IMY finner därmed att sjukhusstyrelsen inte har vidtagit de lämpliga organisatoriska åtgärder som krävs för att säkerställa behandlingens säkerhet.

text: Sammantaget finner IMY att sjukhusstyrelsen, genom att inte ha vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen, har behandlat personuppgifter i strid med artiklarna 5.1 f och 32.1 i dataskyddsförordningen.

text: Känsliga personuppgifter har lagrats i Outlook

text: Sjukhusstyrelsen har uppgett att journalhandlingarna även lagras i Outlook utöver lagringen i huvudjournalsystemet Cosmic.

text: Journalhandlingarna innehåller personuppgifter om hälsa som är känsliga personuppgifter. Behandling av känsliga personuppgifter kan innebära betydande risker för den personliga integriteten och därför krävs ett starkt skydd vid behandling av sådana uppgifter. Det innebär bland annat att dessa personuppgifter måste skyddas på ett sådant sätt att obehöriga inte kan ta del av dem.

text: Syftet med ett e-postsystem (i detta fall Outlook) är att sprida och kommunicera information. Ett e-postsystem är exponerat mot internet vilket innebär att uppgifterna i systemet riskerar att bli åtkomliga för obehöriga. Outlook är därför generellt sett en olämplig lagringsplats för känsliga personuppgifter.

text: Genom att lagra journalhandlingar i Outlook, har de aktuella uppgifterna utsatts för en hög risk att de röjs eller att obehöriga får åtkomst till dem. Det innebär att sjukhusstyrelsen inte har vidtagit de tekniska åtgärder som krävs enligt artikel 32 i dataskyddsförordningen för att säkerställa ett lämpligt skydd för uppgifterna.

text: att bristen i säkerheten varit av sådant allvarligt slag att den även innebär en överträdelse av artikel 5.1 f i dataskyddsförordningen.

text: Sammanfattningsvis anser IMY att sjukhusstyrelsen inte har vidtagit lämpliga tekniska åtgärder för att förhindra obehörigt röjande av eller obehörig åtkomst till personuppgifterna som lagrats i Outlook. Sjukhusstyrelsen har därigenom inte säkerställt en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Sjukhusstyrelsen har därmed behandlat personuppgifterna i strid med artiklarna 5.1 f och 32.1 i dataskyddsförordningen.

text: Val av ingripande

text: Rättslig reglering

text: IMY har vid överträdelser av dataskyddsförordningen ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 a–j i dataskyddsförordningen, bland annat reprimand, föreläggande och sanktionsavgifter.

text: IMY ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall.

text: Medlemsstaterna får fastställa regler för om och i vilken utsträckning administrativa sanktionsavgifter kan påföras offentliga myndigheter. Det framgår av artikel 83.7 i förordningen. Sverige har i enlighet med detta beslutat att tillsynsmyndigheten ska få ta ut sanktionsavgifter av myndigheter. För överträdelser av bland annat artikel 32 ska avgiften uppgå till högst 5 000 000 kronor. För överträdelser av bland annat artikel 5 i förordningen ska avgiften uppgå till högst 10 000 000 kronor. Det framgår av

text: 6 kap. 2 § dataskyddslagen

text: samt artikel 83.4 och 83.5 i dataskyddsförordningen.

text: Om en personuppgiftsansvarig eller ett personuppgiftsbiträde, med avseende på en och samma eller sammankopplade uppgiftsbehandlingar, uppsåtligen eller av oaktsamhet överträder flera av bestämmelserna i denna förordning får den administrativa sanktionsavgiftens totala belopp inte överstiga det belopp som fastställs för den allvarligaste överträdelsen. Det framgår av artikel 83.3 i dataskyddsförordningen.

text: Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen.

text: I artikel 83.2 i dataskyddsförordningen anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras, men också vid bestämmandet av sanktionsavgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b i förordningen. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: Påförande av sanktionsavgift

text: IMY har ovan bedömt att sjukhusstyrelsen har överträtt artiklarna 5.1 f och 32.1 i dataskyddsförordningen. Överträdelser av dessa bestämmelser kan, som framgår ovan, föranleda sanktionsavgifter.

text: Överträdelserna har skett genom att sjukhusstyrelsen har skickat en stor mängd patientuppgifter genom okrypterad e-post via öppet nät till patienter och remittenter i tredjeland samt genom att patientuppgifterna har lagrats i Outlook. Personuppgifterna som behandlades var känsliga personuppgifter, vilket innebär en hög risk för de registrerades fri- och rättigheter. Behandlingarna som beskrivs i ärendet har skett systematiskt och under en längre tid. Behandlingarna via e-post har också skett i strid med Region Uppsalas egna riktlinjer. Dessa faktorer innebär sammantaget att en sanktionsavgift bör påföras.

text: IMY bedömer att behandlingarna via e-post och lagringen avser två sammankopplade uppgiftsbehandlingar enligt artikel 83.3 i dataskyddsförordningen. Detta eftersom behandlingarna rör hantering av samma personuppgifter i Outlook och avser överträdelse av samma bestämmelser.

text: Vid bestämmande av sanktionsavgiftens storlek ska IMY beakta både försvårande och förmildrande omständigheter samt att den administrativa sanktionsavgiften ska vara effektiv, proportionell och avskräckande.

text: Det är försvårande att personuppgiftsbehandlingarna har pågått en längre tid, det vill säga under den granskade perioden från den 25 maj 2018 till den 7 maj 2019, och att sjukhusstyrelsen inte skyndsamt vidtog åtgärder för att skydda personuppgifterna trots att sjukhusstyrelsen var medveten om bristerna i säkerheten. Det är även försvårande att behandlingarna omfattat en stor mängd hälsouppgifter som okrypterade skickats via öppet nät och som lagrats i Outlook. Det har rört sig om uppskattningsvis mellan 500 och 1 000 e-postmeddelanden per månad som obehöriga har kunnat få åtkomst till via internet och omfattat cirka 300 registrerade per år. Genom de uppgifter som behandlas kan de registrerade identifieras direkt genom namn, kontaktuppgifter och uppgifter om hälsa. IMY anser därför att uppgifternas karaktär, omfattning och de registrerades beroendeställning ger sjukhusstyrelsen ett särskilt ansvar att säkerställa ett lämpligt skydd för personuppgifterna, vilket inte skett.

text: Det är vidare försvårande att behandlingarna har skett systematiskt och att de skett i strid med Region Uppsalas egna riktlinjer om att känsliga personuppgifter inte ska skickas via e-post.

text: Som förmildrande omständighet beaktas att sjukhusstyrelsen i september 2019 införde tekniska åtgärder i form av en krypteringslösning för filer.

text: IMY bestämmer utifrån en samlad bedömning att sjukhusstyrelsen ska påföras en administrativ sanktionsavgift på 1 600 000 (en miljon sexhundratusen) kronor.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Linda Hamidi. Vid den slutliga handläggningen har även rättschefen David Törngren, enhetschefen Malin Blixt och it-säkerhetsspecialisten Ulrika Sundling medverkat.

text: Lena Lindgren Schelin, 2022-01-26 (Det här är en elektronisk signatur)

text: Bilaga

text: Information om betalning av sanktionsavgift.

text: Kopia till

text: Dataskyddsombudet.

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.