text: Polismyndigheten Skickas endast per e-post

text: Integritetsskyddsmyndigheten (IMY) mottog i september 2018 och februari 2020 två anmälningar om personuppgiftsincidenter enligt

text: brottsdatalagen

text: (ref.nr PUI-2018-859 och PUI-2020-428) från Polismyndigheten. Den första incidentanmälan avsåg e- postmeddelanden som oavsiktligt hade skickats till obehörig person under perioden mars 2016 till augusti 2018. Enligt myndighetens uppgifter innehöll cirka tio av dessa knappt sextio meddelanden integritetskänsliga personuppgifter, t.ex. uppgifter om 08-657 61 00

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning) 2 Funktionen innebär att all e-post kommer till domänägaren oavsett vad som anges före @-tecknet.

text: Se

text: prop. 2017/18:232

text: Brottsdatalag s. 457 f.

text: Känsliga personuppgifter är bland annat uppgifter om etniskt ursprung, politiska åsikter, hälsa eller biometriska uppgifter, Se

text: 2 kap.

text: 12 §§

text: brottsdatalagen

text: . 5 Personuppgifter rörande lagöverträdelser är t.ex. att någon misstänks för ett brott eller har blivit föremål för straffprocessuella tvångsmedel. Se även IMY:s rättsliga ställningstagande IMYRS 2021:1 - innebörden av begreppet ”personuppgifter som rör lagöverträdelser som innefattar brott” i artikel 10 i dataskyddsförordningen. 6 Se IMY:s rapport Anmälda personuppgiftsincidenter 2022:1 s. 19

text: Se skäl 62 till

text: Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (brottsdatadirektivet). 8 Se skäl 52 till brottsdatadirektivet. 9 EDPB har tagit fram kompletterande riktlinjer (Guidelines 01/2021 on Examples regarding Personal Data Breach Notification) innehållande ett flertal exempel på personuppgiftsincidenter och hur personuppgiftsansvarig bör hantera dessa.

text: Artikel 29-gruppens riktlinjer om anmälan av personuppgiftsincidenter enligt förordning

text: (EU) 2016/679

text: rev.01, s. 25 ff.

text: Se föregående not s. 26.

nyckelord:
Dataskydd
Dina rättigheter
Brottsbekämpning
Myndighet

slug: polisen-e-post

title: Polismyndigheten, e-post

sammanfattning: IMY riktar kritik mot polisens e-posthantering och rekommenderar att polisen ska vidta ytterligare åtgärder för att höja skyddsnivån.

text: DI-2020-3904 Beslut efter tillsyn enligt

text: brottsdatalagen – Polismyndighetens personuppgiftsbehandling vid användning av e-post

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Polismyndigheten under perioden den 1 augusti till den 27 augusti 2018 behandlat personuppgifter i strid med

text: 3 kap.

text: och

text: 8 §§

text: brottsdatalagen (2018:1177)

text: . Detta genom att personuppgifter, som vid en spridning till obehöriga utanför myndigheten kan medföra en allvarlig negativ påverkan på den personliga integriteten, har fått skickas internt via e-post utan att myndigheten vidtagit tillräckliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att personuppgiftsbehandlingen är författningsenlig och för att skydda de personuppgifter som behandlas från obehörig eller otillåten behandling.

text: Integritetsskyddsmyndigheten konstaterar att det finns en risk för att de tekniska och organisatoriska åtgärderna som Polismyndigheten vidtagit inte är tillräckliga för att leva upp till kravet på lämplig skyddsnivå i

text: 3 kap. 8 § brottsdatalagen

text: . Integritetsskyddsmyndigheten rekommenderar därför, med stöd av

text: 5 kap. 6 § första stycket brottsdatalagen

text: , Polismyndigheten att vidta ytterligare åtgärder för att höja skyddsnivån kring hanteringen.

text: Vidare konstaterar Integritetsskyddsmyndigheten att det finns en risk för att Polismyndigheten inte fullgör den skyldighet att underrätta de registrerade som följer av

text: 3 kap. 10 § brottsdatalagen

text: när en personuppgiftsincident har inträffat, om inte åtgärder vidtas för att motverka risken. Integritetsskyddsmyndigheten rekommenderar därför Polismyndigheten, med stöd av

text: , att se över sin hantering av när myndigheten är skyldig att underrätta berörda registrerade om en personuppgiftsincident.

text: Redogörelse för tillsynsärendet

text: misstänkt och brottsoffer, eller uppgifter som i sin tur gav åtkomst till den typen av uppgifter. Den andra incidentanmälan avsåg behörighet till en möteskalender som skickats via e-post. Mot bakgrund av dessa personuppgiftsincidenter inledde IMY en granskning av orsaken till incidenterna, om Polismyndigheten har tillräckliga rutiner för när personuppgifter får skickas via e-post samt om myndigheten i övrigt har vidtagit lämpliga åtgärder för att liknande incidenter inte ska upprepas. I granskningen har det också ingått att kontrollera om Polismyndighetens överväganden och bedömningar avseende frågan om det förelåg en skyldighet att underrätta berörda registrerade om de inträffade personuppgiftsincidenterna har varit förenliga med

text: brottsdatalagen

text: Information som polisanställda skickar via e-post kan hänföras till såväl den brottsbekämpande verksamheten som till Polismyndighetens övriga verksamhet. I det förra fallet ska

text: brottsdatalagens

text: bestämmelser tillämpas medan dataskyddsförordningens bestämmelser gäller i det senare fallet. Denna tillsyn har avgränsats till en granskning enligt

text: brottsdatalagen

text: Polismyndigheten har under tillsynen besvarat ett antal frågor från IMY och skickat in relevanta interna styrdokument. Av myndighetens svar framgår att bakgrunden till incidenterna huvudsakligen varit att e-postmeddelanden av misstag har skickats till obehöriga mottagare genom att anställda vid myndigheten råkat stava fel på ”...@polisen.se” när mottagaradressen har angetts. Vidare har Polismyndigheten uppgett att en utomstående person har registrerat internetdomäner med snarlika stavningar till polisen.se och med en s.k. catch-all funktion obehörigen tagit del av epostmeddelanden som alltså egentligen varit avsedda till polisanställda. Detta har enligt myndigheten kommit till dess kännedom genom att domänägaren kontaktat myndigheten och berättat.

text: Polismyndigheten har uppgett att det av de interna riktlinjer som fanns redan innan incidentanmälan i september 2018 framgår att information inom informationsklasserna öppen till och med högt skyddsvärde får skickas internt via e-post inom myndigheten. Däremot tillåts inte att information med mycket högt skyddsvärde skickas på det sättet. Därutöver framgår att endast information som klassats såsom öppen får skickas till externa mottagare via vanlig e-post (dvs. utan någon form av krypteringslösning).

text: Av riktlinjerna framgår att informationsklassen högt skyddsvärde avser information som kan innebära allvarlig skada eller kränkning för Polismyndigheten, annan myndighet eller enskild fysisk eller juridisk person om den kommer till obehörigas kännedom. Vidare anges, som exempel på information med ett högt skyddsvärde, känsliga personuppgifter enligt

text: personuppgiftslagen

text: (dvs. den lag som gällde innan dataskyddsförordningen trädde i kraft), uppgifter som avser lagöverträdelser eller liknande uppgifter.

text: I riktlinjerna beskrivs informationsklassen mycket högt skyddsvärde som information som kan innebära mycket allvarlig skada eller kränkning för någon om uppgiften kommer till obehörigas kännedom.

text: Den 1 oktober 2022 ersattes de äldre riktlinjerna av nya. Av dessa följer att det fortsatt är tillåtet att skicka information i informationsklasserna öppen till och med högt

text: skyddsvärde internt inom myndigheten via e-post, men det rekommenderas att gemensamma kataloger i första hand används vid delning av filer och vikten av att kontrollera mottagaradressen understryks. I de nya riktlinjerna används begreppet negativ konsekvens istället för skada/kränkning och det har förtydligats att det bland annat ska göras en bedömning av om ett röjande av uppgiften kan innebära en negativ påverkan på integriteten. Informationen har ett högt skyddsvärde om ett röjande bedöms medföra en allvarlig negativ påverkan på den personliga integriteten respektive ett mycket högt skyddsvärde om det bedöms medföra en mycket allvarlig sådan påverkan. Känsliga personuppgifter eller personuppgifter om lagöverträdelser nämns inte särskilt under någon av informationsklasserna.

text: Polismyndigheten har beskrivit att myndigheten har vidtagit ett antal säkerhetsåtgärder för att förhindra att e-postmeddelanden av misstag skickas till obehöriga personer. Redan innan den första incidentanmälan fanns det krav på att en anställd måste ansöka om behörighet för att kunna skicka e-post externt och det kom, precis som nu, upp ett automatiskt varningsmeddelande i form av en notis ovanför mottagaradressen med uppgift om att mottagaren finns utanför organisationen när en anställd skriver in en extern mottagaradress. Vidare har myndigheten uppgett att en e-postadress till en mottagare utanför organisationen, sedan innan den första incidentanmälan, automatiskt får en annan färg än om mottagaradressen går till en anställd inom myndigheten. Den 28 augusti 2018 har Polismyndigheten infört en teknisk spärr, i form av ett filter i polisens it-miljö, som stoppar möjligheten för anställda inom polisen att skicka e-postmeddelanden till bl.a. ett antal olika domännamn som liknar @polisen.se. Det framgår av inlämnat material att denna spärr har uppdaterats kontinuerligt med andra tänkbara felskrivningar.

text: Myndigheten har vidare framfört att den efter den första incidentanmälan lagt ut information på den interna hemsidan i syfte att göra de anställda medvetna om vikten av att skriva rätt mottagaradress. Myndigheten har också efter den första incidentanmälan infört en obligatorisk utbildning om bl.a. säkerhet vid e-posthantering som samtliga anställda med behörighet till myndighetens it-system, t.ex. behörighet att skicka e-post externt, måste genomföra. Därtill har det beskrivits att ytterligare information om säkerheten vid utskick av e-post har publicerats på den interna hemsidan sedan den senare incidenten och att fler åtgärder ska vidtas, t.ex. fler informationsinsatser och utbildningar, samt fastställande av en ny riktlinje för hur medarbetare ska agera vid personuppgiftsincidenter. Riktlinjen uppges kunna öka myndighetens möjligheter att upptäcka och hantera liknande incidenter samt att kunna vidta ytterligare konkreta åtgärder i syfte att förhindra sådana incidenter. Myndigheten har även anfört att de har en riktlinje för dataskydd vid verksamhetsutveckling, bl.a. för att säkerställa att det görs en rättslig bedömning av i vilken utsträckning e-post får användas vid ny eller förändrad behandling av personuppgifter.

text: Polismyndigheten har beträffande båda personuppgiftsincidenterna bedömt att det inte funnits någon skyldighet att underrätta berörda registrerade om det inträffade enligt

text: 3 kap. 10 § första stycket brottsdatalagen

text: , eftersom incidenterna inte kunde antas medföra särskild risk för otillbörligt intrång i de registrerades personliga integritet. Vad myndigheten närmare har framfört avseende denna bedömning framgår nedan.

text: Motivering av beslutet

text: Polismyndighetens skyldighet att vidta tekniska och organisatoriska åtgärder för att skydda de personuppgifter som skickas via e-post

text: Tillämpliga bestämmelser

text: Polismyndigheten är enligt

text: 3 kap. 1 § brottsdatalagen

text: och

text: 1 kap. 4 § lagen (2018:1693)

text: om polisens behandling inom

text: brottsdatalagens

text: område personuppgiftsansvarig för all behandling av personuppgifter som utförs under myndighetens ledning eller på myndighetens vägnar. Som personuppgiftsansvarig ansvarar Polismyndigheten för att behandlingen av personuppgifter inom myndigheten är författningsenlig och följer de grundläggande principerna för behandling av personuppgifter. Som ett led i det ansvaret ska Polismyndigheten enligt

text: 3 kap. 2 § brottsdatalagen

text: genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och visa att behandlingen utförs i enlighet med

text: brottsdatalagens

text: bestämmelser. Det innebär till exempel att det måste finnas tydliga rutiner och riktlinjer för anställdas behandling av personuppgifter vid användning av e-post. Av

text: 3 kap. 1 § brottsdataförordningen (2018:1202)

text: framgår att de tekniska och organisatoriska åtgärder som den personuppgiftsansvarige ska vidta ska vara rimliga med hänsyn till behandlingens art, omfattning, sammanhang och ändamål och de särskilda riskerna med behandlingen.

text: Vidare föreskrivs i

text: 3 kap. 8 § brottsdatalagen

text: en skyldighet att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas mot bl.a. obehörig eller otillåten behandling. Sådana åtgärder kan till exempel vara kontroller, utbildning i datasäkerhet och information om vikten av att följa gällande säkerhetsrutiner. Åtgärderna ska enligt

text: 3 kap. 11 § brottsdataförordningen

text: åstadkomma en skyddsnivå som är lämplig med hänsyn till tekniska möjligheter, kostnader för åtgärderna, behandlingens art, omfattning, sammanhang och ändamål, de särskilda riskerna med behandlingen och hur integritetskänsliga personuppgifterna som behandlas är. Av

text: 3 kap. 3 § brottsdatalagen

text: följer även en skyldighet att se till att skyddsåtgärder integreras i behandlingen, när medlen för behandlingen bestäms och under själva behandlingen.

text: IMY:s bedömning

text: Av den incidentanmälan som skedde i september 2018 framgår att medarbetare vid Polismyndigheten utan avsikt har röjt personuppgifter avseende bland annat individer som varit föremål för brottsmisstankar eller ingått i brottsutredningar, i samband med att uppgifterna har behandlats i e-post. Av anmälan framgår att incidenten inträffade mellan den 28 mars 2016 och den 9 augusti 2018. Incidenten har således till väldigt stor del inträffat innan

text: brottsdatalagen

text: trädde ikraft den 1 augusti 2018.

text: I tillsynen har det framkommit att Polismyndigheten vid den första incidentanmälan hade riktlinjer som redogör för hur och när uppgifter får skickas via e-post. Riktlinjerna har nyligen ersatts av nya. Enligt både de äldre och de nya riktlinjerna är bedömningen av hur informationen klassas utifrån sitt skyddsvärde avgörande för frågan hur uppgifterna får skickas och hanteras i e-postsystemet. Av båda riktlinjerna följer att information med en informationsklass från öppen till och med högt skyddsvärde får

text: skickas internt via e-post inom myndigheten. Som beskrivits ovan definieras informationsklassen högt skyddsvärde på olika sätt i de två riktlinjerna. IMY har dock uppfattat det som att den nya definitionen inte innebär någon väsentlig skillnad i förhållande till den tidigare avseende bedömningen av hur personuppgifter får skickas. De nya riktlinjerna tydliggör dock att eventuell påverkan på integriteten är en av faktorerna som ska tas med i bedömningen.

text: IMY konstaterar utifrån detta att Polismyndigheten, både enligt sina tidigare och nuvarande riktlinjer, tillåter att personuppgifter, som vid ett röjande kan medföra en allvarlig negativ påverkan på någons personliga integritet, får skickas internt via epost. Således tillåts personuppgifter som är särskilt integritetskänsliga att skickas via e-post internt, såvida uppgifterna i det enskilda fallet inte bedöms ha ett mycket högt skyddsvärde, trots att det i samma system är möjligt att skicka e-post till externa mottagare. Det kan t.ex. röra sig om känsliga personuppgifter , personuppgifter om lagöverträdelser eller liknande kategorier av personuppgifter såsom personnummer, skyddade personuppgifter eller uppgift om att någon är målsägande eller vittne. De anmälda incidenterna visar också att personuppgifter inom dessa kategorier behandlades i interna e-postmeddelanden. Behandlingen av sådana personuppgifter är särskilt känslig när behandlingen sker inom Polismyndighetens operativa verksamhet, dvs. för brottsbekämpande och brottsutredande ändamål. En spridning av sådana uppgifter kan få långtgående konsekvenser för enskilda genom att det exempelvis kan leda till skadat anseende, hot och våld, diskriminering, identitetsbedrägeri eller brott mot regelverket om sekretess.

text: Det bör även framhållas att personuppgiftsincidenter ofta orsakas just av den mänskliga faktorn. I och med att Polismyndigheten tillåter att personuppgifter som vid ett röjande kan medföra en allvarlig negativ påverkan på någons personliga integritet får skickas internt via e-post har myndigheten också ett stort ansvar för att vidta åtgärder som säkerställer en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen.

text: Detta innebär sammantaget att det måste ställas mycket höga krav på de tekniska och organisatoriska åtgärder som Polismyndigheten behöver vidta enligt

text: 3 kap.

text: och

text: 8 §§

text: brottsdatalagen

text: för att skydda de registrerades rättigheter och de personuppgifter som behandlas.

text: Av Polismyndighetens svar till IMY framgår att det som avgör om ett epostmeddelande går via e-post internt till en intern mottagare, eller via det öppna nätet till en extern mottagare är angivandet av mottagaradressen. Mottagaradressen har alltså en avgörande betydelse för vilket skydd uppgifterna i e-postmeddelandet får.

text: Polismyndigheten har angett att den innan incidentanmälan i september 2018 hade vidtagit ett antal säkerhetsåtgärder för att motverka att anställda av misstag skickar epost till obehörig extern mottagare genom att felaktigt uppge en extern mejladress istället för en intern. Åtgärderna som beskrivs närmare ovan innebär att ett automatiskt varningsmeddelande uppkommer och att mejladressen får en avvikande färg när en

text: extern mejladress anges samt att särskild behörighet krävs för att kunna skicka e-post externt.

text: IMY:s bedömning är att de tekniska åtgärder som hade vidtagits före den första incidentanmälan, dvs. varningsmeddelande och avvikande färg på mottagaradressen, är sådana att de lätt kan förbigås omedvetet av den anställde. Det kan konstateras att det under denna period inte fanns någon teknisk spärr mot utskick till externa mejladresser som liknar Polismyndighetens egna mejladresser. Det fanns därför en påtaglig risk för att anställda, genom att oavsiktligt ange en extern mejladress istället för en intern, spred personuppgifter som var menade att gå till en intern mottagaren till obehöriga personer. Enligt de anmälda personuppgiftsincidenterna har detta också inträffat vid flera tillfällen, vilket påvisar att åtgärderna inte har varit tillräckligt effektiva för att begränsa risken för att personuppgifter av misstag skickas till extern mottagare. IMY gör mot den bakgrunden bedömningen att de tekniska och organisatoriska åtgärder som Polismyndigheten hade vidtagit vid

text: brottsdatalagens

text: ikraftträdande den 1 augusti 2018 och fram till slutet av augusti 2018 inte var tillräckliga för att uppfylla kraven i

text: 3 kap.

text: och

text: 8 §§

text: brottsdatalagen

text: Polismyndigheten har beskrivit att man efter incidentanmälan i september 2018 genomfört ett antal ytterligare säkerhetsåtgärder. Myndigheten har t.ex. genomfört utbildnings- och informationsinsatser för att medvetandegöra medarbetarna om vikten av att skriva rätt mottagaradress. Det framhålls också särskilt i de nya riktlinjerna. Därutöver har myndigheten enligt vad som framgår närmare ovan infört en teknisk spärr i slutet av augusti 2018 som fångar upp och stoppar e-postmeddelanden som har skickats till domännamn som liknar @polisen.se. Myndigheten har uppgett att spärren kontinuerligt utökas med fler tänkbara felskrivningar av domäner. Vidare har myndigheten förklarat att den tekniska spärren inte aktualiserades vid den incident som skedde under 2020 eftersom e-postmeddelandet vid det tillfället inte skickades från Polismyndighetens e-postsystem.

text: De åtgärder som Polismyndigheten vidtagit efter den första incidentanmälan har höjt säkerhetsnivån och IMY lägger särskild vikt vid den tekniska spärr, dvs. funktionen som fångar upp och stoppar e-postmeddelande, som har införts för att motverka risken för att personuppgifter oavsiktligt sprids till obehöriga mottagare. Enligt IMY finns det emellertid en kvarvarande osäkerhet kring om de vidtagna åtgärderna sammantaget säkerställer en lämplig skyddsnivå och är tillräckligt effektiva för att förhindra nya liknande incidenter. Som IMY konstaterat ovan ställs mycket höga krav på de tekniska och organisatoriska åtgärder som Polismyndigheten behöver vidta för den aktuella behandlingen.

text: IMY konstaterar vidare att det finns ytterligare säkerhetsåtgärder som kan vara rimliga att överväga. Det kan t.ex. vara fråga om att helt separera den e-post som går internt inom myndigheten från den e-post som går externt eller att införa tekniska kontroller som innebär att den anställde aktivt måste bekräfta att denne är medveten om att meddelandet kommer att skickas till en extern mottagare via öppet nät och bekräfta att det säkerställts att informationen är sådan att den får skickas externt. Ett annat alternativ kan vara att myndigheten inte tillåter att sådana personuppgifter som bedöms omfattas av ett högt skyddsvärde får skickas internt via e-post. Det har i ärendet inte framkommit några tekniska hinder eller kostnadsaspekter som talar emot att Polismyndigheten skulle ha möjlighet att vidta ytterligare säkerhetsåtgärder för att förstärka skyddet.

text: IMY bedömer mot den bakgrunden att det finns skäl som talar för att Polismyndigheten behöver vidta ytterligare åtgärder för att leva upp till kravet på lämplig skyddsnivå i

text: 3 kap. 8 § brottsdatalagen

text: och

text: 3 kap 11 § brottsdataförordningen

text: . Det finns således en risk för att Polismyndigheten kommer att behandla personuppgifter i strid med dessa bestämmelser. Enligt IMY ger dock inte utredningen i ärendet tillräckligt stöd för att konstatera en överträdelse av bestämmelserna.

text: Polismyndighetens skyldighet att underrätta berörda registrerade om en personuppgiftsincident

text: Tillämpliga bestämmelser

text: Av

text: följer att den personuppgiftsansvarige utan onödigt dröjsmål ska informera den registrerade om en incident om den har medfört eller kan antas medföra särskild risk för otillbörligt intrång i den registrerades personliga integritet. Det finns ett antal undantag från denna underrättelseskyldighet, vilka följer av paragrafens andra stycke och

text: 3 kap. 11 § brottsdatalagen

text: . Syftet med underrättelsen är framförallt att den registrerade ska kunna vidta nödvändiga åtgärder för att skydda sig själv.

text: IMY:s bedömning

text: Denna tillsyn har inletts mot bakgrund av att Polismyndigheten har gjort två anmälningar om personuppgiftsincidenter till IMY och inom ramen för tillsynen har IMY granskat de överväganden och bedömningar som Polismyndigheten har gjort avseende frågan om det föreligger en skyldighet att underrätta berörda registrerade om incidenterna eller inte. Anmälningarna har i båda fallen gjorts mot bakgrund av

text: brottsdatalagens

text: bestämmelser, eftersom incidenterna huvudsakligen avsåg personuppgifter som Polismyndigheten behandlade inom ramen för den brottsbekämpande verksamheten.

text: Det åligger Polismyndigheten som personuppgiftsansvarig att i det enskilda fallet bedöma om det föreligger en skyldighet att underrätta de registrerade om en personuppgiftsincident. Vid bedömningen ska hänsyn tas till hur allvarliga konsekvenserna kan bli för den registrerade med anledning av incidenten och hur sannolikt det är att dessa konsekvenser inträffar, med beaktande av behandlingens art, omfattning, sammanhang och ändamål. Den s.k. Artikel 29-gruppen, som numera är ersatt av Europeiska dataskyddstyrelsen, har tagit fram riktlinjer om anmälan av personuppgiftsincidenter enligt dataskyddsförordningen (

text: rev0.1). Riktlinjerna är i tillämpliga delar vägledande även för personuppgiftsbehandling enligt

text: brottsdatalagen

text: . I riktlinjerna rekommenderas att en personuppgiftsansvarig tar hänsyn till följande kriterier vid riskbedömningen: typen av incident, personuppgifternas natur, känslighet och volym, hur lätt det är att identifiera enskilda personer, konsekvensernas svårighetsgrad för enskilda personer, den enskildes speciella egenskaper, den

text: personuppgiftsansvariges speciella egenskaper, antalet personer som påverkas och andra allmänna aspekter.

text: Polismyndigheten har beträffande båda incidenterna bedömt att det inte funnits någon skyldighet att underrätta de registrerade om det inträffade eftersom incidenterna inte kunde antas medföra en särskild risk för otillbörligt intrång i de registrerades personliga integritet.

text: Enligt incidentanmälan 2018 fick en obehörig person kännedom om knappt sextio epostmeddelanden, varav tio enligt Polismyndigheten innehöll integritetskänsliga personuppgifter bl.a. uppgift om brott. Myndigheten har framfört att bedömningen avseende underrättelseskyldigheten i det fallet gjordes mot bakgrund av att det inte fanns anledning att anta att den som obehörigen fått del av uppgifterna hade avsikt att använda eller sprida dessa, eftersom denne själv kontaktade Polismyndigheten och berättade om incidenten.

text: Enligt incidentanmälan 2020 var det fråga om ett e-postmeddelande innehållande inloggningsuppgifter till en bokningskalender av förhör som kom obehörig tillhanda. I kalendern fanns enligt Polismyndigheten vissa integritetskänsliga personuppgifter inskrivna. Beträffande denna händelse så har Polismyndigheten angett att det vid bedömningen av om underrättelseskyldighet föreligger beaktat att bokningskalendern innehöll endast en mycket liten del uppgifter som möjliggjorde identifiering av någon registrerad och att dessa uppgifter var mycket svåra att hitta för en vanlig användare samt att det ändå inte framgick vilken förhörsroll den registrerade hade eller vilket brott det rörde sig om. Vidare har myndigheten även tagit hänsyn till att uppgifterna fanns tillgängliga endast under en begränsad tid eftersom myndigheten raderade dessa strax efter att incidenten blev känd och att det, även i detta fall, saknades indikationer på att uppgifterna skulle sparas, spridas eller användas.

text: Enligt IMY ska följande beaktas vid bedömningen av risken för otillbörligt intrång i de registrerades personliga integritet med anledning av de aktuella incidenterna. Vid båda incidenterna har det rört sig om särskilt skyddsvärda personuppgifter, t.ex. personuppgifter avseende kontaktförbud eller kallelser till polisförhör, som obehöriga personer fått tillgång till. Det gäller framförallt vid den tidigare incidenten 2018, eftersom incidenten år 2020 enligt myndigheten omfattade ett begränsat antal uppgifter. Vid båda tillfällena har uppgifterna skickats okrypterat via ett öppet nät, vilket inneburit att andra än den direkta mottagaren kan ta del av de uppgifter som kommuniceras i nätet. Det är därför inte möjligt att, som Polismyndigheten har gjort, dra slutsatsen att uppgifterna genom incidenterna blivit tillgängliga för endast en obehörig person.

text: Det har vidare framgått att Polismyndigheten har beaktat mottagarens avsikter i sin riskbedömning. Artikel 29-gruppen nämner i sina riktlinjer att en mottagare som bedöms vara ”betrodd” kan göra incidenten mindre allvarlig. Med betrodd avses enligt riktlinjerna att den personuppgiftsansvarige i viss grad kan vara säker på att mottagaren inte kommer att läsa eller försöka få åtkomst till de uppgifter som felaktigt skickats till denne eller att vidta ytterligare åtgärder med uppgifterna, utan istället kommer följa den personuppgiftsansvariges instruktioner om att t.ex. förstöra uppgifterna. Som exempel på när en mottagare kan anses betrodd anges en situation där uppgifter av misstag skickats till fel avdelning inom en organisation eller en ofta använd leverantör och där den personuppgiftsansvarige har ett pågående

text: förhållande med mottagaren samt känner till deras rutiner, historik och andra relevanta detaljer. IMY kan konstatera att det inte har rört sig om en sådan situation i de aktuella fallen och inte heller en situation som kan jämföras med angivna exempel.

text: IMY finner mot denna bakgrund att det finns brister i de riskbedömningar som Polismyndigheten vidtagit som underlag för att avgöra om det i dessa fall funnits en skyldighet att underrätta registrerade om personuppgiftsincidenterna. Omständigheterna tyder på att detta utgör en systematisk brist i hur riskbedömningar görs hos Polismyndigheten. IMY konstaterar därför att det föreligger en risk för att Polismyndigheten inte fullgör sin underrättelseskyldighet enligt

text: 3 kap. 10 § brottsdatalagen

text: om inte myndigheten vidtar åtgärder för att motverka den risken.

text: Val av ingripande

text: Korrigerande befogenheter

text: Av

text: 5 kap. 7 § brottsdatalagen

text: framgår de korrigerande befogenheter IMY har att tillgå vid överträdelser av nämnda lag. Dessa utgörs av bl.a. förelägganden, förbud mot behandling samt utfärdande av sanktionsavgift.

text: Ovan har IMY konstaterat att Polismyndigheten, under perioden 1 augusti till 27 augusti 2018, överträtt

text: 3 kap.

text: och

text: 8 §§

text: brottsdatalagen

text: . Av

text: 6 kap.

text: och

text: 2 §§

text: brottsdatalagen

text: följer att IMY kan utfärda sanktionsavgift vid överträdelse av dessa bestämmelser. I

text: 6 kap. 4 § brottsdatalagen

text: anges de faktorer som särskilt ska beaktas för att bestämma om en sanktionsavgift ska påföras samt vad som ska påverka sanktionsavgiftens storlek. Av denna bestämmelse följer att IMY särskilt ska ta hänsyn till om överträdelsen varit uppsåtlig eller berott på oaktsamhet, den skada, fara eller kränkning som överträdelsen inneburit, överträdelsens karaktär, svårhetsgrad och varaktighet, vad den personuppgiftsansvarige gjort för att begränsa verkningarna av överträdelsen, och om den personuppgiftsansvarige tidigare ålagts att betala en sanktionsavgift. Uppräkningen är inte uttömmande utan anger de omständigheter som är särskilt viktiga.

text: IMY ska beroende på omständigheterna i varje enskilt fall välja en korrigerande åtgärd som är effektiv, proportionell och avskräckande.

text: IMY konstaterar att överträdelsen av

text: brottsdatalagens

text: bestämmelser har pågått under knappt en månad och att den kan medföra allvarliga konsekvenser för de registrerade med hänsyn till att det är fråga om personuppgifter som, om de sprids, kan innebära stora risker för intrång i den personliga integriteten. Den konstaterade bristen har inneburit att åtminstone en obehörig person har tagit del av ett antal personuppgifter som var särskilt integritetskänsliga. Den omständigheten att Polismyndigheten fick kännedom om det inträffade först när personen självmant kontaktade myndigheten tyder på att myndigheten inte har haft full kontroll över hur ofta e-postmeddelanden felaktigt har skickats utanför myndigheten istället för internt, varför det kan ha skett vid fler tillfällen än vad som framgår av de incidenter som rapporterats till IMY. Det är mot den bakgrunden svårt att bedöma hur många registrerade som har drabbats av att deras personuppgifter oavsiktligt har skickats till en mejladress utanför myndigheten under tiden för den aktuella överträdelsen av

text: brottsdatalagen

text: . Beträffande eventuell

text: skada så har det inte inom ramen för tillsynen funnits förutsättningar att närmare utreda om överträdelserna har lett till att enskild har lidit någon faktisk skada

text: Samtidigt bör beaktas att Polismyndigheten har vidtagit flera tekniska och organisatoriska åtgärder både innan och efter att incidenterna anmälts till IMY, vilket tyder på att myndigheten arbetar kontinuerligt och systematiskt med informationssäkerhetsarbetet avseende den behandling av personuppgifter som tillsynen avser.

text: Vid en samlad bedömning anser IMY att det inte är proportionerligt att påföra en sanktionsavgift för den konstaterade bristen. Inte heller är det aktuellt med ett föreläggande eller varning då den konstaterade bristen inte är pågående.

text: Förebyggande befogenheter

text: Om det finns en risk för att viss personuppgiftsbehandling kan komma att stå i strid med lag eller annan författning ska IMY genom de förebyggande befogenheterna som följer av

text: 5 kap. 6 § brottsdatalagen

text: försöka förmå den personuppgiftsansvarige att vidta åtgärder för att motverka den risken. Det kan ske genom råd, rekommendationer eller påpekanden. Om det inte bedöms tillräckligt har IMY även möjlighet att utfärda en varning.

text: IMY har ovan kommit fram till att det föreligger en risk för att de tekniska och organisatoriska åtgärderna som Polismyndigheten vidtagit inte är tillräckliga för att leva upp till kravet på lämplig skyddsnivå enligt

text: 3 kap. 8 § brottsdatalagen

text: och

text: 3 kap 11 § brottsdataförordningen

text: Vidare har IMY enligt vad som framgår ovan kommit fram till att det föreligger en risk för att Polismyndigheten inte fullgör den skyldighet att underrätta som följer av

text: 3 kap. 10 § brottsdatalagen

text: när en personuppgiftsincident har inträffat, om inte åtgärder vidtas för att motverka detta.

text: Ingen av riskerna är av sådan karaktär att det enligt IMY är motiverat att tilldela en varning. IMY finner däremot skäl att rekommendera Polismyndigheten dels att vidta ytterligare åtgärder för att höja skyddsnivån och förhindra att personuppgifter, som kan medföra en allvarlig negativ påverkan på den personliga integriteten, sprids via e-post till obehöriga utanför myndigheten och dels att se över sin hantering av när myndigheten är skyldig att underrätta berörda registrerade om en personuppgiftsincident.

text: Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Jonas Agnvall. Vid den slutliga handläggningen av ärendet har även rättschefen David Törngren och juristen Lisa Zettervall samt it-säkerhetsspecialisten Magnus Bergström medverkat.

text: Charlotte Waller Dahlberg, 2023-01-16 (Det här är en elektronisk signatur)

text: Kopia för kännedom till:

text: Polismyndighetens dataskyddsombud

text: Hur man överklagar


text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning).

text: EU-domstolens dom i

text: mål C-13/16

text: Rigas Satikisme punkt 28. 3 EU-domstolens dom i

text: mål C-708/18

text: TK punkt 42.

text: Europeiska unionens stadga om de grundläggande rättigheterna (2010/C 83/02). 4

text: TK punkt 47-48. 5

text: TK, punkt 50.

text: Se Datainspektionens beslut av den 21 juni 2011 i ärende med dnr 1745-2010. EDPB Guidelines 3/2019 on processing of personal data through video devices, s. 13

sprak: sv

nyckelord:
Kamerabevakning
Dina rättigheter

publisher: Integritetsskyddsmyndigheten

sanktionsavgift: 300 000 kronor

slug: uppsalahem-ab

title: Uppsalahem AB

org: imy

sammanfattning: Vi har granskat behandlingen av personuppgifter och fattat ett beslut.

text: Datainspektionens beslut

type: rubrik

text: Datainspektionen konstaterar att Uppsalahem AB har behandlat personuppgifter i strid med artikel 6.1 f) dataskyddsförordningen genom att bedriva kamerabevakning av gemensamma utrymmen i ett flerbostadshus samt delar av bostäder i samma hus mellan den 25 februari 2020 och den 14 maj 2020 då intresset av att bevaka inte väger tyngre än de registrerades intressen samt grundläggande friheter och rättigheter på platsen.

type: stycke

text: Datainspektionen beslutar med stöd av artiklarna 58.2 och 83 dataskyddsförordningen för överträdelse av artikel 6.1 f) att Uppsalahem AB ska betala en administrativ sanktionsavgift på 300 000 kronor.

text: Redogörelse för tillsynsärendet

text: Datainspektionen har den 9 mars 2020 tagit emot ett klagomål om kamerabevakning i ett flerbostadshus. Klagomålet gör gällande att Uppsalahem AB bedriver kamerabevakning i ett flerbostadshus med en kamera som är monterad på så vis att den filmar rakt mot klagandens lägenhetsdörr. Datainspektionen har inlett tillsyn mot Uppsalahem AB i syfte att utreda bevakningens omfattning samt huruvida den personuppgiftsbehandling som bevakningen innebär (hädanefter ”bevakningen”) har rättsligt stöd enligt artikel 6 dataskyddsförordningen.

text: Uppsalahem AB (hädanefter ”bolaget”) har i huvudsak uppgett följande. Bolaget är personuppgiftsansvarig för bevakningen. Kameran har varit monterad i bostadshuset på så vis som görs gällande i klagomålet och filmar det våningsplan där klaganden bor. I kamerans upptagningsområde syns två lägenhetsdörrar tydligt i bild, varav den ena tillhör klaganden och den andra tillhör en boende i huset som varit utsatt för störningar och trakasserier. Klagandens dörr filmas från sidan och den andra dörren filmas framifrån. Om klaganden öppnar sin lägenhetsdörr filmas en smal vinkel av hallen i lägenheten. Om den andra hyresgästen öppnar sin lägenhetsdörr filmas hallen i lägenheten.

text: Kameran monterades i flerbostadshuset den 25 februari 2020 och bevakningen har pågått dygnet runt sedan dess fram till och med den 14 maj 2020. Bevakning sker endast med bildinspelning, utan realtidsbevakning eller avlyssning eller upptagning av ljud. Åtkomst till materialet är begränsat till fem befattningshavare inom bolaget – en jurist, en förvaltare, två boendestödjare och en boendekonsulent – och materialet lagras endast lokalt i kameran. Boendesamordnare, boendekonsulent och förvaltare behöver åtkomst till materialet i sitt arbete med att hantera störningsärenden. Jurist behöver åtkomst till materialet i de fall en rättslig bedömning behöver göras och om material behöver användas som bevismaterial i tvister. För att kunna ta del av materialet måste man ladda ner materialet på plats från kameran till en extern enhet. Under tiden då bevakningen pågick så har ingen åtkomst till materialet faktiskt skett, och material har heller inte delats med någon extern aktör.

text: Syftet med bevakningen är att komma tillrätta med de ordningsstörningar som har pågått i trapphuset under en längre tid, men som eskalerade i början av 2019. Det har rört sig om potentiellt brottsliga beteenden i form av skadegörelse och ofredande samt andra typer av störande beteende som inte nödvändigtvis är brottsliga. Klaganden har pekats ut av andra boende som den som är ansvarig för problemen. Kameran har riktats mot en lägenhetsdörr som tillhör en boende som varit särskilt utsatt för trakasserier i syfte att identifiera gärningspersonen när denne uppehåller sig vid dörren.

text: Bolaget stödjer sin bevakning på den rättsliga grunden intresseavvägning enligt artikel 6.1 f) dataskyddsförordningen. I sin intresseavvägning har bolaget vägt sitt eget intresse av att bedriva bevakningen mot de enskildas intresse av skydd för den personliga integriteten. Bolaget har uppgett att man i huvudsak har beaktat följande omständigheter i stärkande riktning för sitt bevakningsintresse.

text:  Hyresvärdens skyldighet enligt

text: jordabalken

text: 12 kap.

text: att vidta åtgärder för att få störningar i hyresfastigheten att upphöra samt hyresgästers rätt till ersättning om hyresvärden inte vidtar sådana åtgärder,  den befintliga problematiken och de incidenter som inträffat på platsen,  vikten av att identifiera gärningspersonen eller gärningspersonerna,  den potentiellt avskräckande effekt som bevakningen kunde ha på framtida incidenter samt

text:  den trygghetsskapande funktion bevakningen kunnat ha för de boende som utsatts för trakasserier och skadegörelse.

text: Bolaget har uppgett att man har vägt sitt bevakningsintresse mot de enskildas intresse av att inte bli bevakade på platsen. Bolaget har samtidigt uppgett att man bedömt att integritetsintrånget som bevakningen innebär har begränsats av följande åtgärder som vidtagits i samband med bevakningen.

text:  Det faktum att personal på Uppsalahem inte har direktåtkomst till inspelat material samt  att åtkomst till material endast ska ske när starka skäl föreligger.

text: Bolaget bedömer med hänsyn till detta att bevakningsintresset väger tyngre än integritetsintresset och att bevakningen därmed är tillåten enligt artikel 6.1 f dataskyddsförordningen.

text: Motivering av beslut

text: Vad omfattas av Datainspektionens prövning i ärendet?

text: Dataskyddsförordningen innehåller ett stort antal regler som måste följas vid behandling av personuppgifter, inklusive sådan som sker genom kamerabevakning. Inom ramen för detta tillsynsärende behandlar Datainspektionen inte samtliga regler och frågeställningar som kan aktualiseras vid en sådan personuppgiftsbehandling som den aktuella bevakningen innebär. Prövningen är avgränsad till frågan om bolaget har haft stöd för behandlingen i någon av de rättsliga grunderna som framgår av artikel 6 dataskyddsförordningen. Datainspektionen tar därmed inte ställning till om bolaget har följt eller inte följt några andra av dataskyddsförordningens bestämmelser inom ramen för detta ärende, såsom exempelvis bestämmelserna om de registrerades rättigheter enligt artiklarna 12-22 dataskyddsförordningen. Tillsynen omfattar inte heller bestämmelserna i

text: kamerabevakningslagen (2018:1200)

text: , exempelvis om tillståndsplikt, upplysningsplikt eller tystnadsplikt.

text: Datainspektionens bedömning

text: Artikel 6.1 f) - intresseavvägning

text: Bolaget har uppgett den aktuella bevakningen har stöd av artikel 6.1 f) dataskyddsförordningen. Det finns tre förutsättningar som måste vara uppfyllda för att så ska vara fallet. Den första förutsättningen är att de intressen som bevakningen avser att skydda måste utgöra berättigade intressen. Den andra förutsättningen är att bevakningen är nödvändig för att skydda det aktuella intresset eller intressena. Den tredje förutsättningen är att den registrerades grundläggande fri- och rättigheter inte väger tyngre än det berättigade intresse som bevakningen avser att skydda. Dessa rekvisit ska därför prövas var för sig inom ramen för detta ärende.

text: Är bolagets bevakningsintresse berättigat?

text: Den första delen av bedömningen avser karaktären av de intressen som bevakningen ska skydda. Inte alla tänkbara intressen som skulle kunna uppnås eller skyddas genom kamerabevakning kan anses vara berättigade. Ett berättigat intresse är ett intresse som, i allmänhet, åtnjuter rättsordningens skydd eller i övrigt anses som legitimt, etiskt eller försvarbart. Ett intresse som skyddas av EU-rätten eller relevant nationell rätt måste exempelvis betraktas som berättigat. Datainspektionen ska därför ta ställning till huruvida bolagets bevakningsintresse kan anses vara berättigat i detta fall.

text: Ändamålet med bevakningen i det här fallet har varit att komma till rätta med de ordningsstörningar som förekommit i fastigheten under en längre tid. Ordningsstörningarna har till stor del bestått av potentiellt brottsliga angrepp på boendes frihet, frid, hälsa eller egendom. Intresset av att förebygga, förhindra eller upptäcka brott anses normalt sett vara ett berättigat intresse. EU-domstolen har vidare slagit fast i

text: mål C-708/18

text: att en bostadsrättsförening har ett berättigat intresse enligt äldre dataskyddslagstiftning att skydda bostadsrättsinnehavares egendom, hälsa och liv. Det saknas anledning att anta att ikraftträdandet av dataskyddsförordningen medfört någon förändring av rättsläget i den delen. Det får vidare antas att en hyresvärd har samma intresse i förhållande till sina hyresgäster som en bostadsrättsförening har i förhållande till sina

text: medlemmar. Datainspektionen bedömer därför att bolagets intresse av att bedriva bevakning på platsen har utgjort ett berättigat intresse.

text: Är bevakningen nödvändig för att tillvarata bevakningsintresset? Vidare ska bevakningen vara nödvändig för att skydda de nämnda intressena. I denna bedömning ska Datainspektionen kontrollera att det berättigade intresset som framkommit i ärendet inte rimligen kan skyddas på ett lika effektivt sätt genom andra medel som i mindre utsträckning inkräktar på de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till skydd för privatlivet och rätten till skydd för personuppgifter enligt artiklarna

text: och

text: i EU:s rättighetsstadga . Villkoret om att personuppgiftsbehandlingen ska vara nödvändig ska vidare prövas tillsammans med principen om uppgiftsminimering, som framgår av artikel 5.1 c dataskyddsförordningen.

text: Det framgår av utredningen i ärendet att bolaget har vidtagit alternativa och mindre integritetskänsliga åtgärder till kamerabevakning innan kameran monterades. Dessa åtgärder har dock inte fått avsedd effekt. Sedan kameran monterades upphörde ordningsstörningarna i trapphuset i princip helt och hållet. Detta talar för att bevakningen varit nödvändig för att skydda bolagets och hyresgästernas berättigade intressen.

text: Det ska även beaktas i prövningen av om bevakningen varit nödvändig eller inte om kameran har använts på ett sätt som begränsar det intrång i den personliga integriteten som bevakningen innebär utan att för den sakens skull äventyra bevakningens effektivitet. I förevarande fall har integritetsintrånget begränsats av de åtgärder som bolaget har vidtagit vad gäller åtkomst till det inspelade materialet. Bolaget har även valt att bedriva bevakningen endast med en kamera och på den plats där man bedömt att bevakningen haft potential att ge störst effekt, vilket är förenligt med principen om uppgiftsminimering. Samtidigt hade man kunnat minimera uppgiftsinsamlingen ytterligare genom att maskera delar av kamerans upptagningsområde, särskilt de lägenhetsdörrar som tydligt synts i bild. Man hade även av samma anledning kunnat överväga att montera kameran så att man filmat ur en annan vinkel eller på något annat sätt justera kamerans upptagningsområde. Därigenom hade man kunnat undvika att filma in i

text: bostäderna på våningsplanet, vilket med stor sannolikhet har skett under den tid då kameran varit i drift.

text: Med hänsyn till att de alternativa åtgärder som bolaget vidtagit innan kameran monterades varit utan verkan bedömer Datainspektionen dock sammantaget att bevakningen varit nödvändig för att tillvarata bolagets och de boendes berättigade intressen.

text: Väger de registrerades intressen tyngre än bevakningsintresset? Inledningsvis kan det konstateras att kamerabevakning per definition innebär en inskränkning av rätten till skydd för personuppgifter, som garanteras av

text: artikel 8 i rättighetsstadgan

text: . Eftersom bevakningen i det här fallet har bedrivits i nära anslutning till enskildas privatbostäder har den även inneburit en inskränkning av rätten till respekt för privat- och familjelivet och den egna bostaden som garanteras av

text: artikel 7 i rättighetsstadgan

text: . Eftersom bevakningen har skett på fastighetens första våningsplan har alla boende i huset blivit föremål för bevakning på väg till och från sin bostad under hela den period då kameran var igång. Detta gäller särskilt för klaganden och boenden i lägenheten intill klaganden, eftersom deras lägenhetsdörrar så tydligt ingår i kamerans upptagningsområde.

text: Det ska vidare beaktas att rättspraxis kring bevakning av gemensamma utrymmen i flerbostadshus har varit restriktiv. Det har exempelvis beskrivits att bevakning av entréer till flerbostadshus – där integritetsintresset kan antas vara något lägre än i förevarande fall – kan godtas endast i rena undantagsfall. Europeiska dataskyddsstyrelsen (EDPB) har vidare uttalat att den registrerade inte rimligen bör förvänta sig att bli föremål för bevakning på privat tomtmark eller i boendemiljöer. Dessa omständigheter innebär att integritetsintresset på platsen som utgångspunkt väger mycket tungt.

text: Integritetsintresset försvagas dock något av omständigheten att bevakningen delvis syftar till att skydda de personer som blivit föremål för bevakningen samt av omständigheten att personal vid bolaget inte haft direktåtkomst till det inspelade materialet. Datainspektionen vill i sammanhanget erinra om att det vid all personuppgiftsbehandling ankommer på den personuppgiftsansvarige att implementera rutiner som innebär att åtkomst

text: till personuppgifter endast sker när det finns skäl för det. Att bolaget i förevarande fall har haft en sådan rutin på plats påverkar därför inte integritetsintresset i vare sig stärkande eller försvagande riktning. Vid en sammantagen bedömning anser Datainspektionen att integritetsintresset på platsen väger mycket tungt.

text: Vad gäller bevakningsintresset finner Datainspektionen ingen anledning att göra någon annan bedömning av de omständigheter som ska vägas in än vad bolaget har gjort. Mot bakgrund av dessa bedömer Datainspektionen att bevakningsintresset på platsen väger relativt tungt.

text: Bolaget har således haft ett betydande bevakningsintresse, men med hänsyn till det mycket tungt vägande integritetsintresset bedömer Datainspektionen att integritetsintresset väger tyngre. Datainspektionen konstaterar därför att Uppsalahem AB har brutit mot artikel 6 i dataskyddsförordningen genom att man har bedrivit kamerabevakning för att skydda ett intresse som inte väger tyngre än de registrerades intressen samt grundläggande friheter och rättigheter på platsen.

text: Val av ingripande

text: I artikel 58 i dataskyddsförordningen anges samtliga befogenheter som Datainspektionen har. Enligt artikel 58.2 har Datainspektionen ett antal korrigerande befogenheter, bland annat varningar, reprimander eller begränsningar av behandling.

text: Enligt artikel 58.2 (i) i dataskyddsförordningen framgår att tillsynsmyndigheten ska påföra administrativa sanktionsavgifter i enlighet med artikel 83. Enligt artikel 83.2 ska administrativa sanktionsavgifter, beroende på omständigheterna i det enskilda fallet, påföras utöver eller i stället för de åtgärder som avses i artikel 58.2 a-h och j. Vidare framgår av artikel 83.2 n vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter överhuvudtaget ska påföras och vid bestämmande av avgiftens storlek.

text: Istället för sanktionsavgifter får i vissa fall enligt skäl 148 till dataskyddsförordningen en reprimand utfärdas istället för sanktionsavgifter om det är frågan om en mindre överträdelse. Hänsyn ska vid bedömningen

text: tas till omständigheter såsom överträdelsens karaktär, svårighetsgrad och varaktighet.

text: Sanktionsavgift

text: Datainspektionen har ovan bedömt att bolaget genom sin kamerabevakning av ett våningsplan i ett lägenhetshus, inklusive lägenhetsdörrar och delar av bostäder, har överträtt artikel 6.1 f) i dataskyddsförordningen.

text: Mot bakgrund av att den personuppgiftsbehandling som denna tillsyn omfattar har inneburit olaglig kamerabevakning rörande privatpersoner i sin hemmiljö är det inte fråga om en mindre överträdelse. Datainspektionen vill i sammanhanget framhålla att bevakningen av boendes lägenhetsdörrar och delar av deras bostäder har utgjort en särskilt integritetskänslig del av bevakningen och att det med anledning av detta inte finns skäl att ersätta sanktionsavgiften med en reprimand.

text: Eftersom bevakningen har upphört är det inte aktuellt att framgent förbjuda bevakningen. Av samma anledning är det inte heller aktuellt att förelägga bolaget att begränsa behandlingen på ett sätt som skulle göra den lagenlig. Någon annan korrigerande åtgärd än sanktionsavgifter är därmed inte aktuell för den behandling som har skett. Bolaget ska därför påföras en administrativ sanktionsavgift.

text: Bestämmande av sanktionsavgift

text: Enligt artikel 83.1 i dataskyddsförordningen ska varje tillsynsmyndighet säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Den administrativa sanktionsavgiften får enligt artikel 83.3 inte överstiga beloppet för den grövsta överträdelsen om det är frågan om en eller samma uppgiftsbehandlingar eller sammankopplade uppgiftsbehandlingar.

text: I artikel 83.2 i dataskyddsförordningen anges samtliga faktorer som ska beaktas vid bestämmande av sanktionsavgiftens storlek. Vid bedömningen av storleken på sanktionsavgiften ska bland annat hänsyn tas till artikel 83.2 a (överträdelsens karaktär, svårighetsgrad och varaktighet), b (uppsåt eller oaktsamhet), g (kategorier av personuppgifter), h (hur överträdelsen kom till Datainspektionens kännedom) och k (annan försvårande eller förmildrande faktor till exempel direkt eller indirekt ekonomisk vinst) dataskyddsförordningen.

text: Enligt artikel 83.5 a i dataskyddsförordningen ska, vid överträdelser av de grundläggande principerna för behandling, inklusive villkoren för samtycke, enligt artiklarna 5, 6, 7 och 9, administrativa sanktionsavgifter påföras på upp till 20 000 000 (tjugo miljoner) EUR eller, om det gäller företag, på upp till 4 % av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst. Enligt bolagets årsredovisning för 2019 omsatte bolaget ca 1 450 000 000 (en miljard fyrahundrafemtio miljoner) kronor under det budgetåret. 4 % av det beloppet är 58 000 000 (femtioåtta miljoner) kronor. Eftersom detta belopp är lägre än 20 000 000 EUR ska sanktionsavgiften bestämmas till ett belopp mellan 0 och 20 000 000 EUR.

text: Sanktionsavgifterna ska i det enskilda fallet vara effektiva, proportionerliga och avskräckande. Vid Datainspektionens bedömning av överträdelsens karaktär har hänsyn tagits till följande faktorer i försvårande riktning.

text:  Överträdelsen har kommit till Datainspektionens kännedom genom ett klagomål från en enskild som berörts av överträdelsen.  Kamerabevakning har skett av hyresgäster i deras hemmiljö, vilka befinner sig i beroendeställning till bolaget.

text: Följande faktorer har beaktats i förmildrande riktning.

text:  Det intresse som bevakningen har varit avsedd att skydda har bedömts som ett berättigat intresse och bevakningen har varit nödvändig för att tillvarata detta intresse.  Överträdelsen har begåtts av oaktsamhet snarare än uppsåtligen.  Överträdelsen har pågått under en kortare tid.

text: Sammantaget finner Datainspektionen att en effektiv, proportionell och avskräckande sanktionsavgift för den konstaterade överträdelsen är 300 000 (trehundra tusen) kronor.

text: Uppsalahem AB ska därför betala en administrativ sanktionsavgift på 300 000 kronor.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av Gustav Linder. Vid den slutliga handläggningen har även enhetschefen Charlotte Waller Dahlberg medverkat. Lena Lindgren Schelin, 2020-12-14 (Det här är en elektronisk signatur)

text: Bilaga

text: Bilaga – Hur man betalar sanktionsavgift

text: Kopia för kännedom till:

text: Uppsala kommun

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

type: avgorande


titel: Beslut

slug: svenska-europainkasso-ab

title: Svenska Europainkasso AB

sammanfattning: Vi har granskat inkassoverksamheten och fattat ett beslut.

text: Svenska Europainkasso AB Box 1187 432 36 Varberg

text: Tillsyn enligt

text: inkassolagen (1974:182)

text: mot Svenska Europainkasso AB

text: Datainspektionens beslut

text: Svenska Europainkasso AB har brutit mot

text: 4 § inkassolagen

text: genom felaktigt processval.

text: Datainspektionen förutsätter att Svenska Europainkasso AB vidtar åtgärder för att säkerställa att man framöver beaktar inkomna invändningar vid valet av processform.

text: Ärendet avslutas.

text: Redogörelse för tillsynsärendet

text: Datainspektionen har mottagit ett klagomål mot Svenska Europainkasso AB. Enligt klaganden har inkassobolaget ansökt om betalningsföreläggande hos Kronofogdemyndigheten trots att fordran har bestritts.

text: Datainspektionen har inlett tillsyn mot Svenska Europainkasso AB för att granska bolagets rutiner vid val av processform samt vad som skett i det enskilda ärendet.

text: Svenska Europainkasso AB har inkommit med sina generella rutiner för val av processform samt i ett yttrande till Datainspektionen anfört bland annat följande.

text: Den 13 november 2019 tog Svenska Europainkasso AB per mejl emot en invändning mot ett inkassokrav som Svenska Europainkasso AB skickat ut till gäldenären den 11 november 2019. Svenska Europainkasso AB bedömde att invändningen var ett bestridande.

text: I efterföljande telefonsamtal uppger sig en mansperson vara ombud för gäldenären och Svenska Europainkasso AB begär under telefonsamtalet in fullmakt för ombudet. Vid förberedelse av stämning mot gäldenären går Svenska Europainkasso AB igenom samtliga handlingar och kontaktar uppdragsgivaren. Då har det fortfarande inte inkommit någon fullmakt. Av den anledningen kan det inte uteslutas att det är en annan person än gäldenären som fört talan. Samtlig mejlkonversation kommer från mejladress som kan antas inte tillhöra gäldenären. Vid kontakt med uppdragsgivaren påtalas även att det aldrig varit några problem med gäldenären, däremot är det närstående till gäldenären som haft annan uppfattning.

text: Med anledning av osäkerheten kring om det var gäldenären som framfört sin ståndpunkt bedömde Svenska Europainkasso AB att en ansökan om betalningsföreläggande hos Kronofogdemyndigheten var den för gäldenären mest lämpliga processformen eftersom Kronofogdemyndigheten måste delge gäldenären betalningsföreläggande som då, om oinformerad, själv kan ta ställning. Om Svenska Europainkasso AB hade valt att lämna in stämningsansökan hade klaganden kunnat hävda att Svenska Europainkasso AB inte följt god inkassosed genom att acceptera en talan som inte kommit från gäldenären.

text: Efter att ansökan om betalningsföreläggande gjorts har Svenska Europainkasso AB i mejl påtalat fullmakt och i samma mejl felaktigt meddelat att det saknas ”grund för bestridandet” när det skulle vara att det saknas ”fullmakt för bestridandet”.

text: Skäl för beslutet

text: Tillämpliga bestämmelser m.m.

text: Inkassoverksamhet ska bedrivas enligt god inkassosed (

text: 4 § inkassolagen

text: ). Vad som är god inkassosed framgår av

text: 11 §§

text: inkassolagen

text: , Datainspektionens allmänna råd ”Tillämpning av

text: inkassolagen

text: ” och Datainspektionens praxis i inkassofrågor.

text: En summarisk process är inte meningsfull när gäldenären har gjort en saklig invändning som medför att fordringsanspråket måste prövas materiellt. Om det tydligt framgår att gäldenärens invändning är sakligt grundad bör en eventuell talan i stället väckas vid domstol genom en stämningsansökan. Enligt god inkassosed får en ansökan om betalningsföreläggande därför inte lämnas in om gäldenären har gjort klart att fordran bestrids och angett en saklig grund för sitt bestridande (Datainspektionens allmänna råd s. 36 f.).

text: Ett felaktigt val av processform kan vidare leda till en ansökan eller ett utslag i mål om betalningsföreläggande, vilket i sin tur innebär att gäldenären på felaktiga grunder noteras i kreditupplysningsregister (Datainspektionens allmänna råd s. 37).

text: Datainspektionens bedömning

text: Det är ostridigt att det som Svenska Europainkasso AB har mottagit är en sådan sakligt grundad invändning som fråntar inkassobolaget möjligheten att använda den summariska processen och medför att inkassobolaget istället ska väcka talan vid domstol genom en stämningsansökan. Frågan är om de omständigheter som Svenska Europainkasso AB redogjort för verkligen ger ett inkassobolag rätt att ändå ansöka om betalningsföreläggande.

text: God inkassosed ställer inte upp några särskilda krav på formerna för ett bestridande eller på identifiering i samband med ett bestridande. Ett inkassobolag bör i normalfallet utgå från att det är gäldenären som framfört en invändning då den uppges komma från gäldenären.

text: Såsom Datainspektionen har uppfattat det har Svenska Europainkasso AB angett tre omständigheter till stöd för sitt antagande att gäldenären själv inte står bakom den invändning som gjorts. Invändningen har getts in via en

text: mejladress som ser ut att vara kopplad till en annan person än gäldenären, någon annan än gäldenären har senare framfört invändningen via telefon utan att uppvisa fullmakt och uppdragsgivaren uppger sig aldrig ha haft problem med gäldenären men med en till gäldenären närstående person.

text: Datainspektionen anser att ingen av dessa omständigheter, eller omständigheterna sammantaget, ger anledning att anta att gäldenären själv inte står bakom den invändning som gjorts. Invändningen skulle således ha beaktats vid valet av processform och därvid lett fram till en ansökan om stämning istället för en ansökan om betalningsföreläggande.

text: Datainspektionen konstaterar att Svenska Europainkasso AB genom sitt felaktiga antagande också gjort ett felaktigt processval. Agerandet strider mot god inkassosed och därmed även mot

text: 4 § inkassolagen

text: Datainspektionen förutsätter att bolaget vidtar åtgärder för att säkerställa att man framöver beaktar inkomna invändningar vid valet av processform.

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag ni fick del av beslutet. Datainspektionen sänder överklagandet vidare till Förvaltningsrätten i Stockholm för prövning, om inspektionen inte själv ändrar beslutet på det sätt ni har begärt. Även Justitiekanslern får överklaga beslutet för att tillvarata allmänna intressen. Tiden för överklagande för Justitiekanslern räknas dock från den dag beslutet meddelades.

text: Förutsatt att överklagandet inte innehåller några integritetskänsliga personuppgifter eller uppgift som kan omfattas av sekretess, kan ni e-posta överklagandet till .

text: Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av juristen Karin Ekström.

text: Catharina Fernquist, 2020-10-09 (Det här är en elektronisk signatur)

text: Kopia till:

text: Klaganden Justitiekanslern


text: Tullverket Skickas endast per e-post

text: VER 2020-933

text: Prop. 2017/18:232 s. 171

text: f., 319 och 452 f.

text: Se

text: prop. 2017/18:232 s. 453

text: 3 Se

text: prop. 2017/18:232 s. 457

text: f. 4 Jfr IMY:s beslut den 26 november 2013 (279-2013) och IMY:s beslut den 30 januari 2014 (280-2013). 5 Jfr IMY:s beslut den 8 maj 2013 (1552-2012).

text: Jfr IMY:s beslut den 8 maj 2013 (1552-2012). 7

text: Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF.

text: Jfr

text: prop. 2017/18:232 s. 485

text: . 9 Se

text: prop. 2017/18:232 s. 484

text: . 10 Se

text: prop. 2017/18:232 s. 331

nyckelord: Dataskydd Brottsbekämpning

slug: tullverket

title: Tullverket, tjänstemobiler

sammanfattning: IMY utfärdar en administrativ sanktionsavgift på 300 000 kronor mot Tullverket.

text: DI-2020-5868 Beslut efter tillsyn enligt

text: brottsdatalagen – Tullverkets personuppgiftsbehandling på tjänstemobiler

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Tullverket har behandlat personuppgifter i strid med

text: 3 kap.

text: och

text: 8 §§

text: brottsdatalagen (2018:1177)

text: , BDL, genom att under okänd tid fram till den 8 november 2019 inte ha vidtagit tillräckliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att personuppgiftsbehandlingen var författningsenlig och för att skydda de personuppgifter som behandlades på tjänstemobiler från att kopieras och lagras i en molntjänst.

text: Integritetsskyddsmyndigheten beslutar med stöd av 6 kap. 1 § BDL att Tullverket ska betala en sanktionsavgift på 300 000 (trehundratusen) kronor.

text: Redogörelse för tillsynsärendet

text: Integritetsskyddsmyndigheten (IMY) mottog den 8 november 2019 en anmälan om personuppgiftsincident enligt BDL från Tullverket. Anmälan kompletterades den 14 och 15 november 2019 samt den 11 december 2019. Av incidentanmälan framgick att anställda har kunnat använda tjänstemobiler på ett sätt som inte var tillåtet. Det var fråga om användning av ett program som medförde att personuppgifter som behandlades enligt BDL kom att lagras i en molntjänst och därigenom spridas på ett otillåtet sätt. Mot bakgrund av informationen i anmälan beslutade IMY att inleda en granskning av vad som orsakat den beskrivna personuppgiftsincidenten och vilka åtgärder Tullverket vidtagit för att undvika att liknande incidenter upprepas.

text: Under tillsynen har Tullverket besvarat ett antal frågor och av Tullverkets svar framgår i huvudsak följande. Två medarbetare vid Tullverkets tullkriminalverksamhet har använt molntjänsten Google Foto i sina tjänstemobiler. Tjänstemännen hade kopplat sina privata Google Foto-konton till sina tjänstemobiler som automatiskt synkat de tjänsterelaterade upptagningarna till molnlagringsfunktionen. Tjänstemännen måste anses ha oavsiktligt röjt eventuella personuppgifter tillhörande individer som varit föremål för brottsmisstankar eller ingått i brottsutredningar genom att fotografier och filmer som tagits i tjänsten har hamnat i programvaran som lagrar information i molnet. När medarbetarna upptäckte att dessa arbetsrelaterade upptagningar legat lagrade i molnet har de kontinuerligt raderats från kontot som varit kopplade till tjänstemobilen. 08-657 61 00

text: Det skedde redan innan den anmälda personuppgiftsincidenten uppdagades. Användningen av den aktuella tjänsten var inte tillåten. Tullverkets bedömning är att risken för att personuppgifterna har spridits är låg eftersom uppgifterna har funnits på lösenordskyddade konton hos Google.

text: I samband med incidenten stoppade verksamheten användandet av molntjänsten via meddelande den 8 november 2019 till ansvariga chefer och medarbetare inom avdelningen att tjänsten inte får användas. Den 20 november 2019 infördes en ny skyddsåtgärd för tjänstemobilen där möjligheten att ladda ner applikationer från App Store blockerades och alla applikationer som kunde innehålla sårbarheter avinstallerades från tjänstemobilerna. Enbart applikationer distribuerade via Tullverkets EMM-plattform (Enterprise Mobility Management) är i nuläget tillgängliga i medarbetarnas tjänstemobiler. Införande av nya applikationer till tjänstemobilerna hanteras numera enligt en särskild rutin. Information om hur tjänstemobilerna får användas har kommunicerats till medarbetare i Tullverket på nytt.

text: Tullverket bedriver ett kontinuerligt arbete med säkerhets- och integritetsfrågor. I detta arbete ingår att löpande utvärdera befintliga säkerhetsåtgärder, såväl tekniska som organisatoriska, och att vid behov justera och uppdatera dem i förhållande till riskerna för myndighetens IT-säkerhet samt registrerades rättigheter. En stor del av Tullverkets medarbetare är i behov av applikationer i tjänstemobilen för att kunna utföra sina arbetsuppgifter. Att helt förbjuda användning av applikationer har av denna anledning inte varit möjligt. Mobil- och appsäkerhet är och har varit ett område i fokus för Tullverket. Av säkerhetsskäl genomfördes 2017 ett byte av mobilleverantör. Funktionalitet i vissa applikationer har också varit begränsad eller avstängd. Under hösten 2019 annonserades att man skulle genomföra en större upptrappning av mobilskyddet som innebar att tillgängliga applikationer för nedladdning begränsades samt att befintliga applikationer som inte uppfyllde Tullverkets krav raderades. Det förstärkta mobilskyddet skulle träda ikraft den 11 november 2019. Redan innan detta hade Tullverkets IT-avdelning emellertid gjort ett arbete för att minska antalet applikationer på medarbetarnas tjänstemobiler. I det arbetet begränsades applikationer som hade för få användare eller som visat sig vara uppenbart skadliga. Google Foto hade laddats ner innan möjligheten att ladda ner applikationer begränsades. För Tullverkets brottsbekämpande verksamhet – inom vilken den aktuella incidenten inträffade - fanns emellertid instruktioner om att enbart godkända applikationer och andra datamedier fick användas i tjänsten.

text: Visserligen har Tullverket inte omedelbart spärrat nedladdningen av applikationer från App Store i samband med att tjänstemobilerna byttes ut, men myndigheten har kontinuerligt utvärderat risker med användningen av applikationer och snabbt trappat upp begränsningar i användningen av dessa i samband med att befintliga säkerhetsåtgärder följts upp.

text: Tullverket har också vidtagit organisatoriska åtgärder för att skydda de personuppgifter som behandlas i verksamheten. Tullverket har bland annat tagit fram riktlinjer, genomfört utbildningar, publicerat information på intranätet och upprättat villkor för användning av mobila enheter för att öka anställdas medvetenhet kring informationssäkerhetsfrågor i allmänhet, och användningen av tjänstemobil och molntjänster i synnerhet. För att få börja använda tjänstemobil som medarbetare i Tullverket krävs att man tar del av och godkänner en text. I texten anges bl.a. att information som tillhör Tullverket endast får hanteras och sparas i Tullverkets informationssystem, eller i IT-utrustning eller kringutrustning som har godkänts av Tullverket. Texten är ett utdrag ur Tullverkets interna regel för verksamhetsskydd STY

text: 2018-132 som även ingår i Tullverkets introduktionsutbildning. Likartad information om hur tjänstemobilen får användas har även publicerats på Tullverkets intranät. Gällande användning av applikationer anges exempelvis att intern och/eller skyddad information aldrig ska hanteras i applikationer och/eller tjänster som inte är tillhandahållna av Tullverket. Vidare har anställda varnats i artiklar som publicerats på intranätet om att användning av vissa applikationer som laddas ner kan medföra att informationen inte längre är privat då många applikationer och tjänster lagrar information i molnet. Anställda påminns även om att ta hänsyn till informationsklassningen när de laddar ner eller använder applikationer eftersom det kan ha direkt påverkan på Tullverkets informationssäkerhet. Anställda som inte har kunskap om vad som händer när man laddar ned en viss applikation till sin mobila enhet rekommenderas också att avstå från sådana nedladdningar.

text: Med tanke på att de upptagningar som föranlett anmälan av personuppgiftsincidenten har raderats går det inte att ange vilka eller hur många personer som kan ha berörts. Av den anledningen har Tullverket bedömt det som omöjligt att informera eventuella berörda personer.

text: Tullverket har i ärendet lämnat in interna dokument som reglerar användningen av mobila kommunikationsenheter, bland annat myndighetens riktlinjer för hantering av information i tjänstemobiler och information om telefonanvändning som publicerats på intranätet före respektive efter incidenten samt kursplaner avseende utbildningar i informationssäkerhet, verksamhetsskydd och personuppgiftsbehandling.

text: Motivering av beslutet

text: Tullverket är personuppgiftsansvarig för hur anställda behandlar personuppgifter på tjänstemobiler

text: Tullverket är enligt 3 kap. 1 § BDL och

text: 1 kap. 3 § lagen (2018:1694)

text: om Tullverkets behandling av personuppgifter inom

text: brottsdatalagens

text: område (Tullverkets brottsdatalag) personuppgiftsansvarig för all behandling av personuppgifter som utförs under myndighetens ledning eller på myndighetens vägnar. Det innebär att Tullverket ansvarar för den personuppgiftsbehandling som anställda hos Tullverket utför inom

text: brottsdatalagens

text: område, till exempel den behandling som sker för att förebygga, förhindra eller upptäcka brottslig verksamhet. Som ett led i det ansvaret behöver Tullverket bland annat se till att lämpliga tekniska och organisatoriska åtgärder vidtas för att säkerställa och visa att myndighetens personuppgiftsbehandling är författningsenlig och för att skydda de personuppgifter som behandlas. Det behöver till exempel finnas tydliga rutiner och riktlinjer för anställdas användning av tjänstemobiler och de anställda behöver också få utbildning och information om hur personuppgifter får behandlas på telefonerna.

text: Tullverket har angett att användningen av Google Foto inte var tillåten inom myndigheten. Medarbetarna har dock använt programmet på tjänstemobiler när de utfört sina arbetsuppgifter på myndigheten. Den omständigheten att användningen av Google Foto var otillåten fråntar inte Tullverket det ansvar som myndigheten har som personuppgiftsansvarig. Tullverket är mot denna bakgrund ansvarig för den behandling som medarbetarna har utfört i samband med användningen av Google Foto.

text: Tullverket måste vidta lämpliga tekniska och organisatoriska åtgärder för att skydda informationen på tjänstemobiler

text: Utredningen visar att Tullverket, genom användning av applikationen Google Foto, har behandlat ett okänt antal personuppgifter från den brottsbekämpande verksamheten i en molntjänst. Som Tullverket konstaterar har myndigheten vid användningen av molntjänsten oavsiktligt röjt personuppgifter tillhörande individer som varit föremål för brottsmisstankar eller ingått i brottsutredningar.

text: Som personuppgiftsansvarig har Tullverket enligt 3 kap. 2 § BDL en skyldighet att, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa och kunna visa att myndighetens behandling av personuppgifter är författningsenlig och att den registrerades rättigheter skyddas. Detta innebär bland annat åtgärder i form av att anta interna strategier för dataskydd, att informera och utbilda personalen och säkerställa teknisk spårbarhet genom loggning och logguppföljning. Av

text: 3 kap. 1 § brottsdataförordningen (2018:1202)

text: , BDF, framgår att de tekniska och organisatoriska åtgärder som den personuppgiftsansvarige ska vidta ska vara rimliga med hänsyn till behandlingens art, omfattning, sammanhang och ändamål och de särskilda riskerna med behandlingen.

text: Tullverket ska enligt 3 kap. 8 § BDL också vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada. Sådana åtgärder kan till exempel vara utbildning i datasäkerhet och information om vikten av att följande gällande säkerhetsrutiner. Säkerhetsåtgärderna ska enligt 3 kap. 11 § BDF åstadkomma en skyddsnivå som är lämplig med hänsyn till bland annat behandlingens art, omfattning, sammanhang och ändamål, de särskilda riskerna med behandlingen och hur integritetskänsliga personuppgifterna som behandlas är.

text: När personuppgifter hanteras på mobila kommunikationsenheter, t.ex. en tjänstemobil, finns det betydande risker att personuppgifter sprids på ett oavsiktligt sätt. För att säkerhetsnivån ska anses vara tillräcklig krävs därför att det finns genomtänkta skriftliga instruktioner för denna typ av hantering. Det måste även finnas en medvetenhet inom organisationen om att behandlingen av integritetskänsliga uppgifter i mobila enheter kan innebära vissa särskilda risker som kan få svåra konsekvenser för den vars personuppgifter riskerar att spridas. På en tjänstemobil går det att utnyttja olika typer av tjänster och ladda ner applikationer som kan påverka säkerheten och innebära oavsiktlig spridning av personuppgifter. Att en tjänstemobil även kan användas för privat bruk innebär vidare en risk för sammanblandning mellan arbetsrelaterat och privat material.

text: Det hör till sakens natur att den information Tullverket hanterar enligt BDL och Tullverkets brottsdatalag ofta är integritetskänslig. Uppgifter om brott eller misstanke om brott är exempel på sådana kategorier av personuppgifter som är särskilt integritetskänsliga. Sådana uppgifter omfattas också ofta av sekretess, till exempel enligt

text: 35 kap. 1 § offentlighets- och sekretesslagen (2009:400)

text: . Bilder och filmer som hanteras inom ramen för den brottsbekämpande verksamheten kan i sig vara mycket integritetskänsliga.

text: När integritetskänsliga uppgifter behandlas på en tjänstemobil, som innebär särskilda risker ur integritetssynpunkt, krävs det som framgår ovan tydliga riktlinjer samt genomtänkta och väl implementerade skriftliga instruktioner för att undvika att integritetskänslig och sekretessbelagd information oavsiktligt sprids. Därutöver måste tekniska åtgärder vidtas för att begränsa risken för att instruktionerna inte följs.

text: Den information som fanns på Tullverkets intranät innan incidenten berörde förvisso risker som finns vid användande av applikationer t.ex. att bilder kan komma att lagras både i mobiltelefonen och i molnet. I instruktionen angavs bland annat att intern eller skyddad information aldrig ska hanteras i applikationer som inte är tillhandahållna av Tullverket och att användare bör avvakta med att ladda ner en applikation om denne är tveksam till vad applikationen samlar in för information. I instruktionerna lämnades dock inte någon detaljerad information om vilka applikationer som är tillåtna att ladda ner eller information om begränsningar för privat användning. Inte heller i övrigt har Tullverket visat att myndigheten lämnat sådan information till medarbetarna före incidenten. Det har inte heller funnits någon teknisk begränsning för vilka applikationer som kunde laddas ner.

text: Sammantaget bedömer IMY de tekniska och organisatoriska åtgärder som vidtagits före den aktuella incidenten inte var tillräckliga för att Tullverket ska anses ha uppfyllt kraven i 3 kap. 2 och 8 §§ BDL på att säkerställa och kunna visa att personuppgiftsbehandlingen var författningsenlig samt på att skydda personuppgifterna från obehörig eller otillåten behandling. Tullverket har därför överträtt dessa bestämmelser.

text: IMY noterar att Tullverket, efter att incidenten inträffat, har förtydligat sina riktlinjer för hantering av information i tjänstemobiler samt har tagit fram nya rutiner för införande av nya applikationer och infört tekniska begräsningar avseende vilka applikationer som kan användas i tjänsten.

text: Val av ingripande

text: I 5 kap. 7 § BDL anges de korrigerande befogenheter IMY kan använda vid överträdelser av nämnda lag. Dessa utgörs av bland annat förelägganden, förbud mot behandling samt utfärdande av sanktionsavgift.

text: Enligt 6 kap. 1 och 2 §§ BDL kan IMY utfärda sanktionsavgift vid överträdelse av bland annat bestämmelserna i 3 kap. 2 och 8 §§ BDL. Sanktionsavgiften ska uppfylla de krav som ställs i artikel 57 i brottsdatadirektivet på att sanktioner ska vara proportionella, avskräckande och effektiva. Av 6 kap. 3 § andra stycket BDL följer att för en överträdelse av 3 kap. 2 och 8 §§ BDL får en sanktionsavgift uppgå till högst tio miljoner kronor.

text: Vid bedömningen av om en sanktionsavgift ska tas ut och sanktionsavgiftens storlek ska särskild hänsyn tas till de omständigheter som anges i 6 kap. 4 § BDL, dvs. om överträdelsen varit uppsåtlig eller berott på oaktsamhet, den skada, fara eller kränkning som överträdelsen inneburit, överträdelsens karaktär, svårhetsgrad och varaktighet, vad den personuppgiftsansvarige eller personuppgiftsbiträdet gjort för att begränsa verkningarna av överträdelsen, samt om den personuppgiftsansvarige eller

text: personuppgiftsbiträdet tidigare ålagts att betala en sanktionsavgift. Uppräkningen är inte uttömmande utan anger de omständigheter som är särskilt viktiga och det finns utrymme att beakta andra försvårande eller förmildrande omständigheter.

text: Enligt 6 kap. 5 § BDL får en sanktionsavgift sättas ned helt eller delvis om överträdelsen är ursäktlig eller det skulle vara oskäligt att utfärda sanktionsavgift. Den omständigheten att en överträdelse berott på att den personuppgiftsansvarig inte haft tillräckligt bra rutiner är inte en anledning att sätta ned sanktionsavgiften.

text: IMY konstaterar att Tullverket brustit i sitt personuppgiftsansvar när medarbetare på myndigheten har använt sig av Google Foto i tullkriminalverksamheten. När det gäller skadan som överträdelserna inneburit har det saknats förutsättningar för att utreda om de personer som förekommit på bilder eller i filmer som laddats upp i Google Foto har lidit någon faktisk skada. Det har i huvudsak att göra med att upptagningarna som lagrats i molnet kontinuerligt raderats. Av samma skäl har det inte varit möjligt att närmare utreda vilka eller hur många som förekommit på de aktuella bilderna och filmerna. Det står dock klart att Tullverket tappat kontrollen över ett okänt antal olika kategorier av uppgifter som inneburit risk för skada. Detta gäller oavsett att kontona varit skyddade med lösenord.

text: Enligt IMY finns det anledning att se allvarligt på risken för spridning i situationer som det är fråga om i detta fall. Detta särskilt då det handlar om kategorier av personuppgifter som förekommer inom brottsbekämpande verksamhet och som till sin natur är integritetskänsliga och behöver ett särskilt skydd. De bristande tekniska och organisatoriska åtgärderna har medfört att behandlingen av personuppgifter har skett utanför Tullverkets kontroll hos en privat tjänsteleverantör och utan någon förhandsbedömning av behandlingens intrång i enskildas personliga integritet. Den omständigheten att det saknats möjlighet att utreda incidenten närmare visar på vikten av att säkerställa att uppgifter behandlas inom det egna verksamhetsstödet så att kontrollen över personuppgifter eller information som omfattas av sekretess inte förloras. Det faktum att det med hög sannolikhet varit fråga om uppgifter om brott eller misstanke om brott eller andra integritetskänsliga uppgifter är att betrakta som en försvårande omständighet.

text: IMY bedömer att de omständigheter som redogjorts för ovan innebär att det är fråga om en allvarlig överträdelse som dels motiverar att en sanktionsavgift tas ut, dels att avgiften bestäms till ett förhållandevis högt belopp.

text: I ärendet har dock även framkommit ett antal förmildrande omständigheter. Det har till att börja med endast varit fråga om ett fåtal medarbetare som utan myndighetens godkännande använt den aktuella molntjänsten. Sedan de aktuella medarbetarna upptäckt att material lagrats i molntjänsten har de kontinuerligt raderat de bilder och filmer som laddats upp, vilket minskat riskerna med behandlingen. Vidare har Tullverket efter den inträffade incidenten vidtagit både tekniska och organisatoriska åtgärder för att förebygga liknande incidenter, bland annat genom att förtydliga riktlinjer och begränsa möjligheterna att ladda ner applikationer. Även den omständigheten att incidenten kommit till IMY:s kännedom genom anmälan från Tullverket talar i mildrande riktning. IMY konstaterar dock att det i detta fall är fråga om en incident som Tullverket enligt 3 kap. 9 § BDL är skyldig att anmäla till IMY. Att incidenten kommit till IMY:s kännedom genom Tullverkets anmälan kan därför endast

text: anses vara mildrande i en begränsad utsträckning. De förmildrande omständigheterna är sådana att sanktionsavgiften ska bestämmas till ett avsevärt lägre belopp än vad som annars varit motiverat.

text: Utifrån en samlad bedömning bestämmer IMY att Tullverket ska betala en sanktionsavgift på 300 000 kronor. Skäl att enligt 6 kap. 5 § BDL helt eller delvis sätta ned sanktionsavgiften har enligt IMY inte framkommit.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Jonas Agnvall. Vid den slutliga handläggningen har även rättschefen David Törngren och enhetschefen Charlotte Waller Dahlberg medverkat. Itsäkerhetsspecialisten Johan Ma har medverkat i de bedömningar som rör informationssäkerhet.

text: Lena Lindgren Schelin, 2022-03-14 (Det här är en elektronisk signatur)

text: Bilaga

text: Hur man betalar sanktionsavgift

text: Kopia för kännedom till

text: Dataskyddsombudet: dataskyddsombud@tullverket.se

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning).

nyckelord: Dataskydd Arbetsliv

slug: abb-ab

title: ABB AB

text: ABB AB

text: Tillsyn enligt dataskyddsförordningen – ABB:s formulär vid rekrytering

text: Datainspektionens beslut

text: Datainspektionen avskriver ärendet.

text: Redogörelse för tillsynsärendet

text: Datainspektionen har inlett tillsyn mot ABB AB, 559193-0903 (fortsättningsvis bolaget) med anledning av ett klagomål. Klaganden har bland annat gjort gällande att bolaget i samband med rekrytering ber arbetssökande fylla i ett formulär som innehåller frågor om bland annat alkohol- och drogberoende, ärenden hos Kronofogden och fällande brottmålsdomar. Formuläret har bifogats klagomålet.

text: Bolaget har yttrat sig i ärendet och uppgett bl.a. följande. Det aktuella formuläret har tidigare används vid rekrytering. Formuläret har skickats till kandidaterna som ombetts fylla i formuläret och ta med det ifyllda formuläret till intervjutillfället. I samband med intervjutillfälligt går kandidaten och rekryteringsanvarig tillsammans igenom svaren i formuläret. Därefter förstörs formuläret eller återlämnas till kandidaten. Formuläret sparas inte av bolaget på något sätt. Avsikten är att formuläret inte ska registreras elektroniskt av bolaget utan hanteringen har skett helt manuellt.

text: Motivering av beslut

text: Datainspektionens tillsyn avser endast bolagets behandling av personuppgifter som samlats in genom det formulär som Datainspektionen tagit del av.

text: Av artikel 2.1 i dataskyddsförordningen framgår att förordningen ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.

text: Bolagets hantering av de personuppgifter som efterfrågas i formuläret innebär inte en sådan automatiserad behandling, eller icke-automatiserad behandling i register som avses i artikel 2.1 i dataskyddsförordningen. Den aktuella hanteringen av personuppgifter omfattas således inte av dataskyddsförordningens tillämpningsområde. Ärendet ska därför avskrivas från vidare handläggning.

text: Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av juristen Albin Brunskog.

text: Catharina Fernquist, 2020-10-09 (Det här är en elektronisk signatur)