text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). Lagen (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning

nyckelord: Kamerabevakning Utbildning

sanktionsavgift: 200 000 kronor

slug: gymnasienamnden-i-skelleftea-kommun

title: Gymnasienämnden i Skellefteå kommun

sammanfattning: IMY:s beslut har vunnit laga kraft.

text: Skellefteå kommun, Gymnasienämnden

text: Tillsyn enligt EU:s dataskyddsförordning 2016/679 – ansiktsigenkänning för närvarokontroll av elever

text: Innehåll

text: Datainspektionens beslut………………………………………………………………….. 2 Redogörelse för tillsynsärendet…………………………………………………………. 2 Motivering av beslut………………………………………………………………………….. 4 Personuppgiftsansvaret………………………………………………………………… 4 Försöksprojekt………………………………………………………………………………. 4 Rättslig grund för behandlingen av personuppgifter (artikel 6)……. 4 Samtycke som rättslig grund……………………………………………………. 4 Behandlingen är nödvändig för att utföra en uppgift av allmänt Intresse…………………………………………………………………………………….. 6 Känsliga personuppgifter (artikel 9)……………………………………………...7 Grundläggande principer för behandling av personuppgifter (artikel 5)………………………………………………………………………………………..11 Konsekvensbedömning och förhandssamråd (artikel 35, 36)…………13 Tillstånd enligt

text: kamerabevakningslagen

text: ………………………………………..15 Risk att bestämmelserna överträds vid planerad fortsatt behandling…………………………………………………………………………………… 16 Val av ingripande……………………………………………………………………………….. 16 Sanktionsavgift……………………………………………………………………………… 17

text: Varning…………………………………………………………………………………………..19 Hur man överklagar…………………………………………………………………….. 20

text: Datainspektionens beslut

text: Datainspektionen konstaterar att gymnasienämnden i Skellefteå kommun genom att använda ansiktsigenkänning via kamera för närvarokontroll av elever har behandlat personuppgifter i strid med - artikel 5 dataskyddsförordningen genom att behandla elevers personuppgifter på ett för den personliga integriteten mer ingripande sätt och omfattat fler personuppgifter än vad som är nödvändigt för det angivna ändamålet (närvarokontroll), - artikel 9 genom att ha behandlat känsliga personuppgifter (biometriska uppgifter) utan att för behandlingen ha ett giltigt undantag från förbudet att behandla känsliga personuppgifter och - artiklarna 35 och 36 genom att inte ha uppfyllt kraven på en konsekvensbedömning och inte ha kommit in med ett förhandssamråd till Datainspektionen.

text: Datainspektionen beslutar med stöd av

text: 6 kap. 2 § dataskyddslagen

text: och artiklarna 58.2 och 83 i dataskyddsförordningen att Gymnasienämnden i Skellefteå kommun ska betala en administrativ sanktionsavgift på 200 000 kronor.

text: Datainspektionen konstaterar att Gymnasienämnden i Skellefteå kommun sannolikt kommer att bryta mot artikel 5 och 9 vid en fortsatt användning av ansiktsigenkänning för närvarokontroll.

text: Datainspektionen beslutar därför att ge Gymnasienämnden i Skellefteå kommun en varning enligt artikel 58.2 a dataskyddsförordningen.

text: Redogörelse för tillsynsärendet

text: Datainspektionen har genom uppgifter i media uppmärksammats på att Gymnasienämnden i Skellefteå kommun (nedan gymnasienämnden) i ett försöksprojekt på Anderstorps gymnasium i Skellefteå har använt

text: ansiktsigenkänning för att registrera elevers närvaro i en klass under några veckor.

text: Syftet med tillsynen har varit att granska om gymnasienämndens behandlingar av personuppgifter genom ansiktsigenkänning för närvarokontroll har varit i enlighet med dataskyddsreglerna.

text: Datainspektionen har granskat de personuppgiftsbehandlingar som gymnasienämnden har genomfört i det aktuella projektet och även tagit ställning till eventuella framtida behandlingar. Datainspektionen har inom ramen för denna tillsyn inte gjort någon prövning avseende säkerheten eller informationsplikten i samband med de aktuella behandlingarna.

text: Av granskningen har framkommit att gymnasienämnden under tre veckor har behandlat personuppgifter genom ansiktsigenkänning för att kontrollera närvaron av 22 gymnasieelever samt att gymnasienämnden överväger att framöver behandla personuppgifter genom användning av ansiktsigenkänning för närvarokontroll. Syftet har varit att på ett enklare och effektivare sätt registrera närvaron på lektionerna i gymnasieskolan. Att registrera närvaro på ett traditionellt sätt tar enligt gymnasienämnden 10 minuter per lektion och genom att använda ansiktsigenkänningsteknik för närvarokontroll skulle det enligt nämnden spara 17 280 timmar per år på den aktuella skolan.

text: Gymnasienämnden har uppgett att ansiktsigenkänningen har genomförts genom att eleverna har filmats av en kamera när de gått in i ett klassrum. Bilder från kamerabevakningen har jämförts med på förhand registrerade bilder av varje deltagande elevs ansikte. De uppgifter som har registrerats är biometrisk data i form av ansiktsbilder samt för- och efternamn. Uppgifterna har lagrats i en lokal dator utan internetuppkoppling som har förvarats i ett låst skåp. Uttryckliga godkännanden har inhämtats från vårdnadshavare och det har varit möjligt att avstå från registreringen av personuppgifter med biometrisk data.

text: Tillsynsärendet inleddes med en tillsynsskrivelse den 19 februari 2019. Svar på tillsynsskrivelsen kom in den 15 mars 2019, med komplettering av bilagor den 2 april 2019. Senare kompletteringar från gymnasienämnden kom in den 16 augusti och den 19 augusti 2019.

text: Motivering av beslut

text: Personuppgiftsansvaret

text: Gymnasienämnden har uppgett att nämnden är personuppgiftsansvarig för de personuppgiftsbehandlingar som har skett inom ramen för projektet med ansiktsigenkänning för närvarokontroll hos Anderstorps gymnasium i Skellefteå kommun. Datainspektionen delar denna uppfattning.

text: Försöksprojekt

text: De aktuella personuppgiftsbehandlingarna har skett inom ramen för ett försöksprojekt. Datainspektionen konstaterar att dataskyddsförordningen inte innehåller några undantag för pilot- eller försöksverksamheter. Förordningens krav behöver därför uppfyllas även för att genomföra sådana typer av verksamheter.

text: Rättslig grund för behandlingen av personuppgifter (artikel 6)

text: I artikel 6 dataskyddsförordningen anges att en behandling endast är laglig om ett av de angivna villkoren i artikeln är uppfyllt.

text: Samtycke som rättslig grund

text: Gymnasienämnden har i sitt yttrande som kom in till Datainspektionen den 15 mars 2019 bl. a. angett att samtycke har lämnats till behandlingen som har skett inom ramen för närvarohanteringen.

text: I gymnasienämndens yttrande står bl. a. följande. ”D.v.s. elevernas vårdnadshavare får information om projektets syfte och vilken personuppgiftsbehandling som kommer att ske och får ge sitt uttryckliga och frivilliga godkännande för personuppgiftsbehandlingen. Elever som inte vill delta behöver inte delta, närvarokontroll görs då enligt tidigare rutiner. Elever får också information om att de när som helst kan ta tillbaka sitt godkännande till personuppgiftsbehandlingen.

text: (s. 6).”

text: Av artikel 6.1 a dataskyddsförordningen framgår att en personuppgiftsbehandling är laglig om den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.

text: Samtycke av den registrerade definieras i artikel 4.11 i dataskyddsförordningen såsom varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne.

text: I skäl 43 till dataskyddsförordningen anges vidare följande.

text: ”För att säkerställa att samtycket lämnas frivilligt bör det inte utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda

text: situation omfattar.”

text: Det innebär att bedömningen om ett samtycke har lämnats frivilligt inte bara ska ske utifrån vilken valfrihet som råder, utan även vilket förhållande som föreligger mellan den registrerade och den personuppgiftsansvarige. Utrymmet för ett frivilligt samtycke inom det offentliga området är därför begränsat. Inom skolområdet är det tydligt att eleven står i beroendeställning till skolan vad gäller betyg, studiemedel, utbildning och därmed möjlighet till framtida arbete eller fortsatta studier. Det är dessutom ofta frågan om barn.

text: Utbildningsdatautredningen gjorde bedömningen att det ändå är möjligt att för viss personuppgiftsbehandling använda sig av samtycke även i förhållandet mellan ett barns vårdnadshavare och en förskola samt en elevs vårdnadshavare eller eleven själv beroende på ålder och en skola. Ett exempel på när samtycke skulle kunna vara lämplig grund för personuppgiftsbehandling är inför fotografering av eleverna i syfte att skapa elektroniska skolkataloger eller fotografering för att dokumentera verksamheten i förskola och skola, inte minst i syfte att kunna redogöra för den för barnens vårdnadshavare. (

text: SOU 2017:49

text: EU:s dataskyddsförordning och utbildningsområdet s. 137)

text: Närvarokontrollen är ett offentligrättsligt reglerat åliggande för skolverksamheten och redovisningen av närvaron är av betydande vikt för

text: eleven. Denna behandling är därför inte jämförbar med den personuppgiftsbehandling som kan ske för att administrera skolfotografering. Vid närvarokontroll är eleven i en sådan beroendeställning att det råder betydande ojämlikhet. Datainspektionen bedömer därför att samtycke inte kan utgöra en laglig grund för de personuppgiftsbehandlingar som denna tillsyn omfattar.

text: Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse Gymnasienämnden har även angett att den rättsliga grunden för de personuppgiftsbehandlingar som har skett inom ramen för projektet med ansiktsigenkänning är

text: förvaltningslagens

text: krav på en effektiv ärendehantering,

text: skollagens

text: krav på åtgärder vid frånvaro samt skyldigheten för gymnasieskolorna att rapportera ogiltig frånvaro till Centrala studiemedelsnämnden (CSN).

text: Enligt artikel 6.1 e i dataskyddsförordningen är en behandling laglig om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.

text: Av artikel 6.2 dataskyddsförordningen framgår bland annat att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen för att efterleva punkt e i samma artikel. Enligt artikel 6.3 ska uppgiften av allmänt intresse enligt artikel 6.1 e vara fastställd i enlighet med unionsrätten eller nationell rätt.

text: Enligt

text: 15 kap. 16 § första stycket skollagen (2010:800)

text: ska en elev i gymnasieskolan delta i den verksamhet som anordnas för att ge den avsedda utbildningen, om eleven inte har giltigt skäl att utebli.

text: Om en elev i gymnasieskolan utan giltigt skäl uteblir från den verksamhet som anordnas för att ge den avsedda utbildningen, ska rektorn se till att elevens vårdnadshavare samma dag informeras om att eleven har varit frånvarande. Om det finns särskilda skäl behöver elevens vårdnadshavare inte informeras samma dag (

text: 15 kap. 16 § andra stycket skollagen

text: Den personuppgiftsbehandling som vanligen sker för att administrera elevers närvaro i skolan bör anses vara nödvändig på grund av huvudmännens uppgift enligt

text: 15 kap. 16 § skollagen

text: och utgör därmed en uppgift av allmänt intresse

text: enligt artikel 6.1 e i dataskyddsförordningen. I vissa delar kan det även föreligga en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen.

text: Enligt förarbetena till

text: dataskyddslagen

text: prop. 2017/18:105

text: Ny dataskyddslag s. 51) ökar emellertid kraven på den kompletterande nationella regleringen avseende precision och förutsägbarhet när det är frågan om ett mer kännbart intrång. Det konstateras även att om intrånget är betydande och innebär övervakning eller kartläggning av den enskildes personliga förhållanden krävs dessutom särskilt lagstöd enligt

text: 2 kap.

text: och

text: 20 §§

text: regeringsformen

text: Datainspektionen kan konstatera att det finns en rättslig grund för att administrera elevers närvaro i skolan, men att det saknas ett uttryckligt lagstöd för att utföra uppgiften genom behandling av känsliga personuppgifter eller på annat mer integritetskränkande sätt.

text: Känsliga personuppgifter (artikel 9)

text: Ansiktsigenkänningen som har skett i det aktuella fallet har inneburit att närvarokontrollen har skett genom att biometriska personuppgifter om barn har behandlats för att entydigt identifiera dessa.

text: Enligt artikel 9.1 i dataskyddsförordningen utgör en behandling av biometriska personuppgifter för att entydigt identifiera en fysisk person en behandling av särskilda kategorier av personuppgifter (så kallade känsliga personuppgifter). Utgångspunkten är att det är förbjudet att behandla sådana uppgifter. För att behandla känsliga personuppgifter krävs det att ett undantag från förbudet enligt artikel 9.2 i dataskyddsförordningen är aktuellt.

text: Såsom ovan angivits har gymnasienämnden menat att samtycke från vårdnadshavarna har getts in i samband med de aktuella behandlingar som tillsynen avser.

text: Enligt artikel 9.2 a i dataskyddsförordningen kan behandling av känsliga personuppgifter vara tillåten om den registrerade uttryckligen har lämnat sitt samtycke till behandlingen av dessa personuppgifter för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella rätt föreskriver att förbudet i punkt 1 inte kan upphävas av den registrerade.

text: Såsom tidigare har redovisats råder generellt ett betydande ojämlikt förhållande mellan gymnasienämnden och eleverna och närvarokontroll är en

text: ensidig kontrollåtgärd där denna ojämlikhet råder. Samtycke kan därför inte, såsom tidigare konstateras, anses lämnas frivilligt inom ramen för skolverksamhet. Samtycke är därför inte möjligt att tillämpa som undantag från förbudet att behandla känsliga personuppgifter i det aktuella fallet.

text: Gymnasienämnden åberopar även i sitt yttrande

text: förvaltningslagens

text: regler om effektiv ärendehantering och

text: skollagens

text: regler om hantering av frånvaro.

text: Av artikel 9.2 g i dataskyddsförordningen följer att förbudet mot att behandla känsliga personuppgifter inte gäller om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

text: Nationella kompletterande bestämmelser gällande undantaget om viktigt allmänt intresse har bl. a. införts i

text: 3 kap. 3 § dataskyddslagen

text: . Enligt

text: 3 kap. 3 § första stycket 2 dataskyddslagen

text: framgår att känsliga personuppgifter får behandlas med stöd av artikel 9.2 g dataskyddsförordningen om det är nödvändigt av hänsyn till ett viktigt allmänt intresse och behandlingen är nödvändig för handläggningen av ett ärende.

text: I förarbetena (

text: prop. 2017/18:105

text: Ny dataskyddslag) anges bl. a. följande.

text: ”Regeringens uppfattning är dock att ärendebegreppet i de allra flesta fall är förhållandevis tydligt (se

text: prop. 2016/17:180 s. 23

text: och s. 286).

text: Begreppet används som avgränsning för

text: förvaltningslagens

text: tillämpningsområde och bör enligt regeringens mening användas även

text: Enskilda skolhuvudmäns behandling av känsliga personuppgifter har reglerats i

text: 26 a kap. 4 § skollagen (2010:800)

text: som motsvarar

text: 3 kap. 3 § dataskyddslagen

text: . Då denna tillsyn avser en kommunal skola och det saknas sektorsspecifika bestämmelser avseende behandling av känsliga personuppgifter i denna typ av skolverksamhet är 3 kap. 3 § datasyddslagen tillämplig.

text: här. Bestämmelsen bör således vara tillämplig vid handläggningen av ett

text: ärende. (s. 87)”

text: Vidare framgår följande av förarbetena till

text: förvaltningslagen

text: prop. 2016/17:180

text: En modern och rättssäker förvaltning - ny förvaltningslag).

text: ”Uttrycket handläggning innefattar alla åtgärder som en myndighet vidtar från det att ett ärende inleds till dess att det avslutas. Uttrycket ärende definieras inte i lagen. Kännetecknande för vad som utgör ett ärende är dock att det regelmässigt avslutas genom ett uttalande från myndighetens sida som är avsett att få faktiska verkningar för en mottagare i det enskilda fallet. Ett ärende avslutas genom ett beslut av något slag. Vid bedömningen av frågan om huruvida en myndighets ställningstagande är att anse som ett beslut i denna mening är det uttalandets syfte och innehåll som avgör uttalandets karaktär, inte dess

text: yttre form (s. 286).”

text: Datainspektionen konstaterar att den närvarokontroll som sker genom ansiktsigenkänning inte utgör någon ärendehandläggning utan att det är fråga om ett faktiskt handlande. Bestämmelsen i

text: är därför inte tillämplig på de personuppgiftsbehandlingar som gymnasienämnden har utfört i samband med ansiktsigenkänning för närvarokontroll av eleverna.

text: Av

text: 3 kap. 3 § första stycket 1 dataskyddslagen

text: framgår att känsliga personuppgifter får behandlas av en myndighet om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag. Gällande denna bestämmelse framgår bl. a. följande av förarbetena (

text: Ny dataskyddslag).

text: ”Bestämmelsen klargör att det är tillåtet för myndigheter att utföra

text: sådan behandling av känsliga personuppgifter som krävs i

text: myndigheternas verksamhet som en direkt följd av framför allt offentlighets- och sekretesslagens och

text: förvaltningslagens

text: bestämmelser om hur allmänna handlingar ska hanteras, exempelvis genom krav på diarieföring och skyldighet att ta emot e-post. Behandling av känsliga

text: personuppgifter med stöd av denna punkt får bara ske om uppgifterna

text: har lämnats till myndigheten. (s. 194)”

text: Datainspektionen konstaterar att

text: inte är relevant för de aktuella behandlingarna av personuppgifter.

text: Enligt

text: 3 kap. 3 § första stycket 3 dataskyddslagen

text: får myndigheter även i annat fall behandla känsliga personuppgifter om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet.

text: I förarbetena (

text: prop. 2017/18:105

text: ”Bestämmelsen är inte avsedd att tillämpas slentrianmässigt i den löpande verksamheten. Det krävs att den personuppgiftsansvarige, i det enskilda fallet, gör en bedömning av om behandlingen innebär ett otillbörligt intrång i den registrerades personliga integritet. Om behandlingen skulle innebära ett sådant intrång, får den inte ske enligt denna bestämmelse. För att avgöra om intrånget är otillbörligt måste myndigheten göra en proportionalitetsbedömning där behovet av att utföra behandlingen viktas mot de registrerades intresse av att behandlingen inte sker. Bedömningen av de registrerades intresse av att behandlingen inte sker bör utgå från det intresse av integritetsskydd som de registrerade typiskt sett har. Den personuppgiftsansvarige måste således inte göra en bedömning i förhållande till varje berörd individ. Vid bedömningen av intrånget i den enskildes personliga integritet ska vikt läggas vid bl.a. uppgifternas känslighet, behandlingens karaktär, den inställning de registrerade kan antas ha till behandlingen, den spridning uppgifterna kan komma att få och risken för vidarebehandling för andra ändamål än insamlingsändamålet. Detta innebär t.ex. att bestämmelsen

text: inte kan läggas till grund för att skapa integritetskänsliga

text: sammanställningar av känsliga personuppgifter. (s. 194)”.

text: Närvarohantering är en omfattande och central uppgift i skolväsendet och sker slentrianmässigt i den löpnade verksamheten. Datainspektionen bedömer därför att

text: inte kan tillämpas på de personuppgiftsbehandlingar som sker för närvarohantering. Bestämmelsen kan således inte tillämpas på de personuppgiftsbehandlingar

text: som gymnasienämnden har utfört. Dessutom anser Datainspektionen att de aktuella personuppgiftsbehandlingarna har inneburit ett otillbörligt intrång i de registrerades integritet då gymnasienämnden genom kameraövervakning i elevernas vardagliga miljö har behandlat känsliga personuppgifter rörande barn som befinner sig i beroendeställning i förhållande till gymnasienämnden för ändamålet närvarohantering.

text: Mot denna bakgrund finner Datainspektionen att de nationella kompletterande bestämmelserna gällande undantaget i 9.2 g i dataskyddsförordningen om viktigt allmänt intresse som har införts i

text: 3 kap. 3 § första stycket dataskyddslagen

text: inte är tillämpliga på de personuppgiftsbehandlingar som omfattas av denna tillsyn.

text: Därutöver framgår det av

text: 3 kap. 3 § andra stycket dataskyddslagen

text: att det är förbjudet att utföra sökningar som sker med stöd av 3 kap. 3 § första stycket i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Eftersom syftet med ansiktsigenkänningen är att identifiera elever, kan Datainspektionen konstatera att närvarokontrollen förutsätter sökningar baserade på känsliga personuppgifter. Det sistnämnda innebär att de aktuella behandlingarna som denna tillsyn omfattar dessutom har varit i strid med

text: Datainspektionen bedömer sammanfattningsvis att undantaget i 9.2 g i dataskyddsförordningen inte är tillämpligt på de aktuella behandlingarna av personuppgifter. Eftersom det som har framkommit i ärendet inte heller innebär att något annat av de övriga undantagen i artikel 9.2 i dataskyddsförordningen kan bli aktuellt, anser Datainspektionen att gymnasienämnden har saknat förutsättningar för att behandla biometriska personuppgifter för att entydigt identifiera elever för närvarohantering såsom har skett. Dessa personuppgiftsbehandlingar har därmed skett i strid med artikel 9 i dataskyddsförordningen.

text: Grundläggande principer för behandling av personuppgifter (artikel 5)

text: Det kan konstateras att den personuppgiftsansvarige enligt artikel 5.2 dataskyddsförordningen har ansvar för efterlevnaden av förordningen och ska kunna visa att de grundläggande principerna följs.

text: Av artikel 5 i dataskyddsförordningen framgår bl. a. att personuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte

text: senare behandlas på ett sätt som är oförenligt med dessa ändamål (ändamålsbegränsning). Dessutom ska personuppgifter som behandlas vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering). Av skäl 39 följer att personuppgifter får behandlas bara om syftet med behandlingen inte kan uppnås på ett tillfredsställande sätt med andra metoder.

text: På frågan hur gymnasienämnden har gjort proportionalitetsbedömningen gällande de aktuella personuppgiftsbehandlingarna har nämnden lämnat följande svar i sitt yttrande som kom in den 15 mars 2019.

text: ”Det är viktigt med en säker identifiering för att veta vilka elever som är närvarande och uppfylla kraven som finns i

text: skollagen

text: för att åtgärder då elever har hög frånvaro. Metoden för ansiktsigenkänning bedöms behövas för att säkert veta att närvaron registreras korrekt. Ansiktsigenkänningen är också en tydlig kvalitetshöjning jämfört med den tidigare manuella hanteringen som vid kontroll visat sig ha brister på så sätt att den inte alltid är korrekt. Av de olika alternativa metoder som testades bedömdes ansiktsigenkänning vara den metod som bäst motsvarar kraven både från lagstiftningen och från projektets syfte.”

text: Datainspektionen har tidigare konstaterat att de personuppgiftsbehandlingar som denna tillsyn omfattar har inneburit behandling av känsliga personuppgifter rörande barn som befinner sig i beroendeställning i förhållande till gymnasienämnden samt att dessa behandlingar har skett genom kamerabevakning i elevernas vardagliga miljö. Datainspektionen bedömer att dessa behandlingar – även om det är frågan om förhållandevis få elever och en förhållandevis begränsad tidsperiod – har inneburit ett stort intrång i elevernas integritet.

text: Gymnasienämnden har uppgett att syftet med dessa behandlingar har varit närvarokontroll. Närvarokontroll kan ske på andra sätt som är mindre integritetskränkande för eleverna. Datainspektionen anser därför att metoden, att använda ansiktsigenkänning via kamera för närvarokontroll, har varit för omfattande och genomförts för ett för den personliga integriteten för ingripande sätt och därigenom varit oproportionerlig i förhållande till ändamålet. Gymnasienämndens behandlingar har således genomförts i strid med artikel 5 i dataskyddsförordningen.

text: Konsekvensbedömning och förhandssamråd (artikel 35, 36)

text: Enligt artikel 35 ska en personuppgiftsansvarig göra en bedömning av en planerad behandlings konsekvenser för skyddet av personuppgifter, särskilt om en behandling ska ske med ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål sannolikt leder till en hög risk för fysiska personers rättigheter och friheter.

text: På frågan om gymnasienämnden har gjort en konsekvensbedömning enligt artikel 35 inför starten av det aktuella projektet har gymnasienämnden i sitt svar som kom in den 15 mars 2019 hänvisat till en utförd riskbedömning. Följande framgår av den gjorda bedömningen.

text: ”Ansiktsigenkänning är visserligen biometriska uppgifter och enligt dataskyddsförordningen känsliga personuppgifter vilket kräver särskilda beslut för att få hanteras. Uppgifterna är dock inte sekretessbelagda även om de är känsliga. Elevernas målsmän lämnar också sitt medgivande för behandlingen av personuppgifterna och det finns lagligt stöd för behandlingen både i

text: förvaltningslagen

text: och i

text: skollagen

text: . Den hantering som beskrivs av leverantören för hantering av de känsliga uppgifterna som t ex att det inte finns nätanslutning av utrustningen som hanterar

text: informationen, att bara behörig personal har tillgång till personuppgifterna att enbart målgruppen hanteras, att de som

text: registreras ger sitt medgivande och att datat kommer att tas bort efter

text: testperioden gör att hanteringen bedöms ligga inom ramen för dataskyddsförordningen. Sammantaget krävs ingen särskild

text: riskbedömning för att hantera känsliga personuppgifter utan det som behövs är att gymnasienämnden i sin registerförteckning godkänner hanteringen av biometriska uppgifter och även att det läggs in en

text: anledning till att använda uppgifterna. Förvaltningschef för

text: gymnasiekontoret har delegation på att fatta beslut om godkännande av hantering av personuppgifter och även känsliga personuppgifter. (s. 4)”.

text: Nämnden har i sitt svar även hänvisat till bilagan ”Skellefteå kommun – Framtidens klassrum”. I bilagan (s. 5) uppges att en fördel med ansiktsigenkänning är att det enkelt går att massregistrera en stor grupp såsom en klass. Till nackdelarna uppges höra att det är en teknisk avancerad lösning som kräver relativt många bilder av varje individ samt att kameran

text: måste ha fri sikt till alla närvarande elever och att eventuell huvudbonad/sjal kan göra att identifieringen misslyckas.

text: Av artikel 35.7 i dataskyddsförordningen framgår att åtminstone följande ska tas upp i en konsekvensbedömning. En systematisk beskrivning av den planerade behandlingen och behandlingens syften, en bedömning av behovet av och proportionaliteten hos behandlingen i förhållande till syftena, en bedömning av de risker för de registrerades rättigheter och friheter som avses i punkt 1, och de åtgärder som planeras för att hantera riskerna, inbegripet skyddsåtgärder, säkerhetsåtgärder och rutiner för att säkerställa skyddet av personuppgifterna och för att visa att denna förordning efterlevs, med hänsyn till de registrerades och andra berörda personers rättigheter och berättigade intressen.

text: Datainspektionen konstaterar att gymnasienämnden har gjort en riskbedömning. I riskbedömningen har slutsatsen dragits att det rättsliga stöd man hänvisar till och den säkerhet behandlingen omfattas av gör att ingen särskild riskbedömning behöver göras avseende de känsliga personuppgifterna.

text: Enligt Datainspektionens bedömning har de aktuella behandlingarna innefattat ett antal faktorer som talar för att en konsekvensbedömning enligt artikel 35 skulle ha gjorts innan behandlingarna inleddes. Behandlingarna har skett med kamerabevakning som är en systematisk övervakning och de har omfattat känsliga personuppgifter om barn i en miljö där de befinner sig i beroendeställning. Ansiktsigenkänning är också en ny teknik. Krav på en konsekvensbedömning enligt artikel 35 kan därför ställas på de bedömningar som föregick den aktuella användningen.

text: Datainspektionen bedömer att den riskbedömning gymnasienämnden har redogjort för saknar en bedömning av de risker som föreligger för de registrerades rättigheter och friheter liksom en redogörelse för proportionaliteten av behandlingen i förhållande till dess syften varför kraven i artikel 35 inte kan anses vara uppfyllda.

text: Enligt artikel 36 dataskyddsförordningen ska en personuppgiftsansvarig samråda med tillsynsmyndigheten om en konsekvensbedömning avseende dataskydd enligt artikel 35 visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken.

text: Utifrån vad som har framkommit i ärendet har gymnasienämnden inte inkommit med ett förhandssamråd till Datainspektionen. Inspektionen bedömer att det har förelegat ett flertal faktorer som gör att det föreligger hög risk för enskildas rättigheter och friheter med behandlingarna. Till exempel omfattar dessa behandlingar ny teknik som avser känsliga personuppgifter rörande barn som befinner sig i beroendeställning till gymnasienämnden samt att dessa behandlingar har skett genom kamerabevakning i elevernas vardagliga miljö. Eftersom den riskbedömning gymnasienämnden har lämnat in saknar en bedömning av aktuella risker för de registrerades rättigheter och friheter med behandlingarna, har gymnasienämnden inte heller kunnat visa att den höga risken enligt artikel 36 har sänkts. Datainspektionen konstaterar därför att de nu aktuella behandlingarna borde ha föranlett ett förhandssamråd med Datainspektionen enligt artikel 36 innan behandlingen inleddes. Behandlingarna har därmed även skett i strid med artikel 36.

text: Tillstånd enligt

text: kamerabevakningslagen

text: I

text: kamerabevakningslagen

text: finns nationella bestämmelser gällande kamerabevakning som enligt

text: 1 §

text: kompletterar dataskyddsförordningen. Av

text: 2 § kamerabevakningslagen

text: framgår att syftet med lagen är att tillgodose behovet av kamerabevakning för berättigade ändamål och att skydda fysiska personer mot otillbörligt intrång i den personliga integriteten vid sådan bevakning.

text: Definitionen av kamerabevakning i

text: 3 § kamerabevakningslagen

text: innebär bland annat att det ska vara fråga om en utrustning som används på ett sådant sätt som innebär varaktig eller regelbundet upprepad personbevakning.

text: Enligt

text: 7 § kamerabevakningslagen

text: krävs tillstånd till kamerabevakning av en plats dit allmänheten har tillträde, om bevakningen ska bedrivas av en myndighet.

text: Datainspektionen konstaterar att det varit fråga om varaktig och regelbundet upprepad personbevakning när gymnasienämnden använt sig av kamerabevakning med teknik för ansiktsigenkänning i samband med sitt projekt för närvarokontroll under en treveckorsperiod.

text: Gymnasienämnden är en myndighet och måste därför som utgångpunkt ha tillstånd för att kamerabevaka en plats dit allmänheten har tillträde. Frågan är då om allmänheten anses ha tillträde till den plats som gymnasienämnden

text: kamerabevakat genom användning av teknik för ansiktsigenkänning i samband med närvaroregistrering av elever. Av praxis framgår att begreppet ”plats dit allmänheten har tillträde” ska tolkas vitt (se Högsta förvaltningsrättens avgörande

text: RÅ 2000 ref. 52

text: Generellt anses en skola vara en plats dit allmänheten inte har tillträde, dock finns det vissa områden på en skola där man anser att allmänheten har tillträde. Exempel på sådana områden är huvudentréer och korridorer som leder fram till rektorsexpeditionen. Av utredningen framgår att eleverna registrerades med hjälp av ansiktsigenkänning varje gång de gick in i ett klassrum. Ett klassrum är inte att anse som en plats dit allmänheten har tillträde.

text: Mot bakgrund av vad som framkommit om platsen för bevakningen bedömer Datainspektionen att det inte är fråga om en plats dit allmänheten har tillträde. Något krav på att söka tillstånd finns därmed inte. Att kamerabevakningen är tillståndsfri behöver dock inte innebära att det är en tillåten bevakning. Om kamerabevakning innefattar personuppgiftsbehandling ska dataskyddsreglerna följas bl.a. skyldigheten att tydligt informera om kamerabevakningen.

text: Risk att bestämmelserna överträds vid planerad fortsatt behandling

text: Utifrån vad som har framkommit i ärendet har gymnasienämnden övervägt att i framtiden på nytt behandla personuppgifter genom ansiktsigenkänning för närvarokontroll av elever. Datainspektionen har ovan funnit att gymnasienämndens behandlingar har varit i strid med artiklarna 5 och 9 dataskyddsförordningen. Datainspektionen konstaterar därför att gymnasienämnden riskerar att bryta mot nämnda bestämmelser även vid planerade behandlingar.

text: Val av ingripande

text: I artikel 58 i dataskyddsförordningen anges samtliga befogenheter som Datainspektionen har. Enligt artikel 58.2 har Datainspektionen ett antal korrigerande befogenheter, bl. a. varningar, reprimander eller begränsningar av behandling.

text: Enligt artikel 58.2 (i) i dataskyddsförordningen framgår att tillsynsmyndigheten ska påföra administrativa sanktionsavgifter i enlighet med artikel 83. Enligt artikel 83.2 ska administrativa sanktionsavgifter, beroende på omständigheterna i det enskilda fallet, påföras utöver eller i stället för de åtgärder som avses i artikel 58.2 a–h och j. Vidare framgår av artikel 83.2 n vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter överhuvudtaget ska påföras och vid bestämmande av avgiftens storlek.

text: Istället för sanktionsavgifter får i vissa fall enligt skäl 148 till dataskyddsförordningen en reprimand utfärdas istället för sanktionsavgifter om det är frågan om en mindre överträdelse. Hänsyn ska dock tas till omständigheter såsom överträdelsens karaktär, svårighetsgrad och varaktighet.

text: För myndigheter får enligt artikel 83.7 nationella kompletterande bestämmelser införas gällande administrativa sanktionsavgifter. Av

text: 6 kap. 2 § dataskyddslagen

text: framgår att tillsynsmyndigheten får ta ut en sanktionsavgift av en myndighet vid överträdelser som avses i artikel 83.4, 83.5 och 83.6 i dataskyddsförordningen. Då ska artikel 83.1, 83.2 och 83.3 i förordningen tillämpas.

text: Sanktionsavgift

text: Datainspektionen har ovan bedömt att gymnasienämnden i de aktuella behandlingarna av personuppgifter har överträtt artikel 5, artikel 9, artikel 35 och artikel 36 i dataskyddsförordningen. Dessa artiklar omfattas av artikel 83.4 och 83.5 och vid en överträdelse av dessa ska tillsynsmyndigheten överväga att påföra administrativ sanktionsavgift utöver, eller i stället för, andra korrigerande åtgärder.

text: Mot bakgrund av att de personuppgiftsbehandlingar som denna tillsyn omfattar har inneburit behandling av känsliga personuppgifter rörande barn som befinner sig i ett beroendeförhållande till gymnasienämnden samt att dessa behandlingar har skett genom kamerabevakning i elevernas vardagliga miljö, är det inte frågan om en mindre överträdelse. Det finns således inte skäl att ersätta sanktionsavgiften med en reprimand.

text: Någon annan korrigerande åtgärd är inte heller aktuell för den behandling som skett. Gymnasienämnden ska således påföras administrativa sanktionsavgifter.

text: Bestämmande av sanktionsbeloppets storlek

text: Enligt artikel 83.1 i dataskyddsförordningen ska varje tillsynsmyndighet säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande.

text: Den administrativa sanktionsavgiften får enligt artikel 83.3 inte överstiga beloppet för den grövsta överträdelsen om det är frågan om en eller samma uppgiftsbehandlingar eller sammankopplade uppgiftsbehandlingar.

text: För myndigheter gäller enligt

text: 6 kap. 2 § andra stycket dataskyddslagen

text: att sanktionsavgifterna ska bestämmas till högst 5 000 000 kronor vid överträdelser som avses i artikel 83.4 i dataskyddsförordning och till högst 10 000 000 kronor vid överträdelser som avses i artikel 83.5 och 83.6. Överträdelser av artikel 5 och 9 omfattas av den högre sanktionsavgiften enligt artikel 83.5, medan överträdelser av artikel 35 och 36 omfattas av det lägre maxbeloppet enligt artikel 83.4. I detta fall är det frågan om samma uppgiftsbehandlingar varför beloppet inte får överstiga 10 miljoner kronor.

text: I artikel 83. 2 i dataskyddsförordningen anges samtliga faktorer som ska beaktas vid bestämmande av sanktionsavgiftens storlek. Vid bedömningen av storleken på sanktionsavgift ska bl. a. hänsyn tas till artikel 83.2 a (överträdelsens karaktär, svårighetsgrad och varaktighet), b (uppsåt eller oaktsamhet), g (kategorier av personuppgifter), h (hur överträdelsen kom till Datainspektionens kännedom) och k (annan försvårande eller förmildrande faktor till exempel direkt eller indirekt ekonomisk vinst) dataskyddsförordningen.

text: Vid Datainspektionens bedömning av sanktionsavgift har hänsyn tagits till att det har varit överträdelser rörande flera artiklar i dataskyddsförordningen, varvid överträdelse av artikel 5 och 9 är att bedöma som allvarligare och omfattas av den högre sanktionsavgiften. Vidare har hänsyn tagits till att överträdelsen har avsett känsliga personuppgifter, rörande barn som har varit i beroendeställning i förhållande till gymnasienämnden. Behandlingarna har skett för att effektivisera verksamheten, behandlingen har således skett uppsåtligen. Dessa omständigheter är försvårande.

text: Hänsyn har också tagits till att behandlingen har kommit till Datainspektionens kännedom via uppgifter i media.

text: Som förmildrande omständigheter beaktas att behandlingen har pågått under en begränsad period av tre veckor och endast har omfattat 22 elever.

text: Datainspektionen bestämmer utifrån en samlad bedömning att gymnasienämnden i Skellefteå kommun ska betala en administrativ sanktionsavgift på 200 000 kronor.

text: Varning

text: Enligt artikel 58.2 a har Datainspektionen befogenhet att utfärda varningar till en personuppgiftsansvarig eller personuppgiftsbiträde om att planerade behandlingar sannolikt kommer att bryta mot bestämmelserna i denna förordning.

text: Gymnasienämnden i Skellefteå kommun har angett att de avser att fortsätta använda ansiktsigenkänning för närvarokontroll av elever. Dessa behandlingar kommer på motsvarande sätt att bryta mot bestämmelserna i dataskyddsförordningen. På grund av risken för framtida överträdelser i samband med de planerade behandlingarna ges nu en varning i enlighet med artikel 58.2 a dataskyddsförordningen.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristerna Ranja Bunni och Jenny Bård. Vid den slutliga handläggningen har chefsjuristen Hans-Olof Lindblom och enhetscheferna Katarina Tullstedt och Charlotte Waller Dahlberg samt juristen Jeanette Bladh Gustafson medverkat.

text: Lena Lindgren Schelin, 2019-08-20 (Det här är en elektronisk signatur)

text: Bilagor

text: Bilaga 1 – Hur man betalar sanktionsavgift

text: Kopia för kännedom till:

text: Dataskyddsombud för gymnasienämnden i Skellefteå Kommun

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: På webbplatsen 1177.se anges ”Ring telefonnummer 1177 för sjukvårdsrådgivning dygnet runt.”. 2 EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning).

text: Jämför med artiklarna 83.4 i dataskyddsförordningen.

sprak: sv

titel: Beslut

nyckelord:
Dataskydd
Informationssäkerhet
Dina rättigheter
Hälso- och sjukvård

publisher: Integritetsskyddsmyndigheten

sanktionsavgift: 500 000 kronor

slug: voice-integrate-nordic-ab

title: Voice Integrate Nordic AB – Beslut

org: imy

sammanfattning: Kammarrätten i Stockholm har i beslut den 12 februari 2024, mål nr 4118-22, inte meddelat prövningstillstånd för Voice Integrate Nordic AB. Förvaltningsrättens dom står därför fast.

text: Integritetsskyddsmyndighetens beslut

type: rubrik

text: Integritetsskyddsmyndigheten (IMY) konstaterar att Voice Integrate Nordic AB (Voice) såsom personuppgiftsbiträde från okänt datum fram till den 18 februari 2019 i lagringsservern Voice NAS har exponerat personuppgifter i ljudfiler med inspelade telefonsamtal till 1177 mot internet utan skydd mot obehörigt röjande av eller obehörig åtkomst till personuppgifterna. Voice har därigenom i strid med artikel 32.1 i dataskyddsförordningen underlåtit att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå för uppgifterna.

type: stycke

text: IMY beslutar med stöd av artikel 58.2 och 83 i dataskyddsförordningen att Voice ska betala en administrativ sanktionsavgift på 650 000 (sexhundrafemtio tusen) kronor för överträdelse av artikel 32.1 i dataskyddsförordningen.

text: Bakgrund

text: Computer Sweden publicerade den 18 februari 2019 en artikel med rubriken ”2,7 miljoner inspelade samtal till 1177 Vårdguiden helt oskyddade på internet”. I artikeln uppges bland annat att ”På en öppen webbserver, helt utan lösenordsskydd eller annan säkerhet, har vi hittat 2,7 miljoner inspelade samtal till rådgivningsnumret 1177.”

text: IMY inledde tillsyn mot Voice och genomförde en inspektion hos Voice den 6 mars 2019 för att kontrollera hur Voice behandlade personuppgifter inom ramen för 1177.

text: IMY inledde även tillsyn mot Inera AB och MedHelp AB (MedHelp). Det framkom att tre regioner anlitade dels MedHelp som vårdgivare när vårdsökande ringer 1177 för sjukvårdsrådgivning och dels Inera AB för att koppla fram samtalen till MedHelp. IMY inledde därför tillsyn mot Hälso- och sjukvårdsnämnden Region Stockholm, Regionstyrelsen Region Sörmland och Regionstyrelsen Region Värmland.

text: Motivering av beslutet

text: Rättslig bakgrund

text: Personuppgiftsansvarig definieras som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt, artikel 4.7 i dataskyddsförordningen. Enligt 2 kap. 6

text: patientdatalagen (2008:355)

text: , PDL, är en vårdgivare personuppgiftsansvarig för behandling av personuppgifter som vårdgivaren utför i verksamhet enligt exempelvis hälso- och

text: sjukvårdslagen (2017:30)

text: , HSL, bland annat vid behandling av personuppgifter för ändamål som rör vårddokumentation enligt

text: 2 kap. 4 § första stycket 1

text: och 2 PDL. I

text: 3 kap.

text: PDL regleras skyldigheten att föra patientjournal.

text: Ett personuppgiftsbiträde är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning, artikel 4.8 i dataskyddsförordningen.

text: Enligt artikel 32.1 i dataskyddsförordningen ska både den personuppgiftsansvarige och personuppgiftsbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå till skydd för de uppgifter som behandlas. Vid bedömningen av vilka tekniska och organisatoriska åtgärder som är lämpliga ska den personuppgiftsansvarige och personuppgiftsbiträdet beakta den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter. Enligt artikel 32.1 omfattar lämpliga skyddsåtgärder, när det är lämpligt, a) pseudonymisering och kryptering av personuppgifter, b) förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna, c) förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, och d) ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: Enligt artikel 32.2 i dataskyddsförordningen ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de risker som behandlingen medför, i synnerhet för oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

text: Voice roll vid behandlingen av personuppgifterna

text: Uppgifter från Voice, MedHelp och Medicall i incidentanmälningarna

text: I anmälan av en personuppgiftsincident den 21 februari 2019 (IMY:s ärende PUI-2019- 705) uppger Voice bland annat att Voice är personuppgiftsansvarig och att ett säkerhetshål i en lagringsserver upptäcktes av Computer Sweden som publicerat denna information i sin tidning.

text: IMY mottog den 20 februari 2019 MedHelps anmälan av en personuppgiftsincident (IMY:s ärende PUI-2019-689). I anmälan uppger MedHelp att Voice och MediCall är personuppgiftsbiträde. MedHelp uppger i tillsynsärendet DI-2019-3375 att MedHelp har anlitat MediCall som underleverantör för sjukvårdsrådgivning via telefon när enskilda ringer 1177.

text: IMY mottog den 21 februari 2019 MediCalls anmälan av en personuppgiftsincident (IMY:s ärende PUI-2019-698) i vilken incidenten beskrivs som ”Intrång i underleverantörs (Voice Integrate Nordic ab) server.” Efter att IMY ställt frågor till MediCall uppger MediCall den 19 juni 2019 bland annat att samtalen spelades in av Biz och lagrades hos Voice på uppdrag av MedHelp.

text: Voice:s uppgifter i tillsynsärendet

text: Voice har uppgett bland annat följande i detta tillsynsärende.

text: Voice är ett utvecklingsbolag som tar fram programvara. Ingen anställd har legitimation inom hälso- och sjukvården. Voice är inte personuppgiftsansvarig i dataskyddsförordningens mening. Anmälan av en personuppgiftsincident har getts in för att vara på den säkra sidan. Voice har inte heller varit personuppgiftsbiträde i dataskyddsförordningens mening.

text: Det uppstår ett samtalsflöde när en person ringer till 1177. De inspelade samtalen är samtal från personer som ringt 1177 och sedan kopplats vidare till MedHelp och MediCall. Genom att lyssna på filerna kan man höra vad inringande säger, som exempelvis namn, adress och vad man vill ha hjälp med. Voice uppdrag i avtal med MedHelp och MediCall har varit att leverera samtal via sina växlar samt ge support för funktioner och programvaror som omfattats av avtalet. Voice har tagit fram programvaran Biz.

text: Voice och MedHelp har ingått Leveransavtal – tjänster, som är daterat och undertecknat den 1 september 2012, där det framgår att Voice och MedHelp sedan många år har haft ett tätt samarbete inom teknik, säkerhet och möjliga förbättringar inom både teknik, tjänster samt produktion. Avtalet beskriver tjänster och omfattning som bland annat ”Recording (inom system) CC-50, ”Inspelning av samtal”, ”Sökfunktioner för återsökning” och ”Filtrering eller borttagning av inspelningar enligt kunds önskemål”. Leveransavtalet gäller fr.o.m. 2012-09-01 t.o.m. 2019-06-30 och därefter årsvis till dess endera part säger upp avtalet.

text: Ett avtal benämnt ”Personuppgiftsbiträdesavtal” undertecknades av MedHelp den 7 maj 2018 och av Voice den 10 maj 2018. Voice benämns som leverantören i avtalet, där bland annat framgår följande. MedHelp har ingått avtal med kunder och partners t.ex. vad avser ett avtal om att MedHelp ska tillhandahålla sjukvårdsrådgivning till kunder och partners. Avtalet reglerar MedHelp-koncernens överlämnande av personuppgifter till leverantören i anledning av tjänsteavtal och övriga avtal träffade mellan MedHelp och leverantören.

text: Bilaga 1 till ”Personuppgiftsbiträdesavtal” innehåller instruktioner till personuppgiftsbiträdet. Av instruktionen framgår bland annat följande. Om syfte och ändamål i punkt 3 att ”Leverantören ska för MedHelps räkning Behandla de Personuppgifter som är nödvändiga för att Leverantören ska kunna uppfylla sina förpliktelser i enlighet med Tjänsteavtal och för att MedHelp ska kunna leverera tjänster till MedHelps kunder och partners i enlighet med Kundavtal.” Om kategorier av personuppgifter i punkt 5 framgår att de personuppgifter som behandlas avser bland andra ”hälsodata”.

text: Voice stängde ner lagringsservern den 18 februari 2019 och ändrade så att servern inte längre var nåbar via internet genom att ip-tables (ett brandväggsverktyg för att tillåta eller blockera åtkomstmöjligheter i nätverk) infördes direkt i servern. Efter att incidenten uppmärksammats ville MedHelp att it-forensiker skulle undersöka Voice NAS. MedHelp fick därför tillstånd att komma in på Voice NAS den 20 februari 2019. MedHelp ska även ha börjat flytta över innehållet i Voice NAS till MedHelps egna servrar. Om flytten av uppgifterna skedde genom enbart kopiering av filerna eller genom att filerna togs bort i samband med kopieringen är idag okänt för Voice.

text: På IMY:s fråga den 14 mars 2019 om det fanns några samtalsfiler kvar på Voice NAS har Voice uppgett att samtalen hade raderats på begäran av MedHelp den 7 mars 2019.

text: IMY:s bedömning av Voice:s roll

text: Voice har i tillsynsärendet uppgivit att de varken är personuppgiftsansvariga eller personuppgiftsbiträde i dataskyddsförordningens mening. Här konstateras att det är de faktiska omständigheterna som avgör vilken roll en aktör har vid behandling av personuppgifter.

text: Voice har inte legitimerad hälso- och sjukvårdspersonal anställd. I ärendet har inte framkommit någon annan omständighet som innebär att Voice bedriver verksamhet enligt HSL och därmed skulle ha en skyldighet att föra patientjournal enligt 3 kap. PDL och skulle vara en personuppgiftsansvarig vårdgivare enligt 2 kap. 6 § PDL. Det har inte heller i övrigt framkommit omständigheter som innebär att Voice ska betraktas som personuppgiftsansvarig enligt artikel 4.7 i dataskyddsförordningen.

text: Däremot behandlade Voice personuppgifter för MedHelps räkning.

text: Voice har med MedHelp ingått Leveransavtal – tjänster och Personuppgiftsbiträdesavtal med tillhörande instruktion, som omfattar inspelning av samtal, sjukvårdsrådgivning och hälsodata. Voice behandlade inspelade samtal från enskilda som ringt 1177 i lagringsservern Voice NAS när incidenten upptäcktes den 18 februari 2019 och Voice stängde ner lagringsservern och ändrade så att servern inte längre var nåbar via internet genom att ip-tables infördes.

text: Voice har även gett MedHelp tillgång till Voice NAS den 20 februari 2019 och senare den 7 mars 2019 raderat uppgifterna på MedHelps begäran. MedHelp uppger i anmälan av personuppgiftsincident att Voice är personuppgiftsbiträde. MediCall uppger i ärendet om anmälan av en personuppgiftsincident att den rör ”Intrång i underleverantörs (Voice Integrate Nordic ab) server.” samt att samtalen spelades in av Biz och lagrades av Voice på uppdrag av MedHelp.

text: IMY konstaterar att Voice genom att spela in och lagra ljudfiler med personuppgifter i form av telefonsamtal till 1177 i lagringsservern Voice NAS, i vart fall fram till den 7 mars 2019, har varit personuppgiftsbiträde för MedHelp enligt definitionen i artikel 4.8 i dataskyddsförordningen.

text: Ansvaret för personuppgiftsincidenten i lagringsservern Voice NAS

text: Uppgifter från MedHelp, Medicall och Voice i incidentanmälningarna

text: I MedHelps anmälan av personuppgiftsincident beskrivs incidenten som att känsliga personuppgifter hade exponerats mot internet utan några skyddsmekanismer och att ett okänt antal ljudfiler varit tillgängliga. Incidenten rör patienter och anställda hos den personuppgiftsansvariges underleverantör. Personuppgifter som omfattats av incidenten anges vara hälsa, sexualliv, personnummer, födelsedatum, identifierande information, till exempel för- och efternamn samt kontaktinformation. Vidare framgår att MedHelp fick kännedom om personuppgiftsincidenten av Inera AB:s vice vd.

text: I MediCalls anmälan av en personuppgiftsincident beskrivs incidenten som ”Intrång i underleverantörs (Voice Integrate Nordic ab) server.” Incidenten rör patienter. Personuppgifter som omfattats av incidenten anges vara hälsa, personnummer och identifierande information, till exempel för- och efternamn. Efter att IMY ställt frågor till MediCall uppgav MediCall den 19 juni 2019 bland annat att samtalen lagrades av Voice på uppdrag av MedHelp.

text: I Voice:s anmälan av personuppgiftsincident beskrivs incidenten som att ett säkerhetshål i en lagringsserver upptäcktes av Computer Sweden som publicerade denna information i en artikel. Incidenten rör patienter och företagsanvändare i mindre omfattning. Personuppgifter som omfattats av incidenten anges vara hälsa, personnummer, identifierande information till exempel för- och efternamn samt kontaktinformation.

text: Uppgifter från Voice i tillsynsärendet

text: Voice stängde ned lagringsservern den 18 februari 2019 och ändrade så att servern inte längre var nåbar via internet genom att ip-tables infördes direkt i servern.

text: Efter att incidenten uppmärksammats ville MedHelp att it-forensiker skulle undersöka lagringsservern Voice NAS. MedHelp fick därför tillstånd att komma in på Voice NAS den 20 februari 2019. MedHelp ska även ha börjat flytta över innehållet i Voice NAS till MedHelps egna servrar. Om flytten av uppgifterna skedde genom enbart kopiering av filerna eller genom att filerna togs bort i samband med kopieringen var okänt för Voice. Voice har uppgett på IMY:s fråga den 14 mars 2019, om det fanns några samtalsfiler kvar på Voice NAS, att samtalen hade raderats på begäran av MedHelp den 7 mars 2019.

text: Syftet med Voice NAS var att hantera och lagra Voice interna filer, inte att hantera kunders datafiler. Den incident som föranlett tillsynsärendet hos IMY ägde rum på en ”passiv” server. Med ”passiv” avses Voice egen lagringserver, vilken passivt tog emot datafiler. Inga inloggningskonton fanns. Voice interna server hade ett säkerhetscertifikat som aktiverats mot en publik ip-adress samt en publik domän. På grund av en felkonfigurering hade lagringsservern blivit ”aktiv” och kunde därmed nås utanför callcentersystemet via ett säkerhetshål i programvaran, Apache webbserver. I samband därmed har servern också tillåtit kommunikation via okrypterad http istället, för som avsett, bara tillåta https.

text: Det uppstår ett samtalsflöde när en person ringer till 1177. De inspelade samtalen är samtal från personer som ringt 1177 och sedan kopplas vidare till MedHelp och MediCall. Per den 18 februari 2019 fanns 2,7 miljoner filer på lagringsservern Voice NAS, att dessa filer inte motsvarar 2,7 miljoner samtal, men att ett samtal motsvarar i genomsnitt cirka tre till fyra filer och att ett samtal kan utgöra upp till tio filer.

text: Voice uppdrag enligt avtal med MedHelp och MediCall har varit att leverera samtal via sina växlar samt ge support för funktioner och programvaror som omfattats av avtalet. Voice har tagit fram programvaran Biz för inspelning av samtal. Det är riktigt att datafiler med inspelade samtal kommit att överföras från MedHelp till lagringsservern Voice NAS, en nätverksansluten lagringsenhet. Det har föranletts av att Medhelps egen server hade kraschat. Medhelps serverproblem började redan 2013 för att därefter eskalera och leda till en akut situation hösten 2015. Voice ledning deltog inte i detta beslut eller verkställde det, utan fick kännedom om att filerna fanns där den 18 februari 2019 när incidenten uppmärksammades i media.

text: Inga inspelningar skulle ha lagrats hos Voice. En månad innan dataskyddsförordningen skulle träda i kraft skickade MedHelp plötsligt över ett personuppgiftsbiträdesavtal. Något sådant hade inte tidigare funnits mellan parterna. Avtalet presenterades som ett standardavtal som alla avtalsparter behövde ingå inför att dataskyddsförordningen trädde i kraft.

text: I ”Personuppgiftsbiträdesavtal”, som undertecknades av MedHelp den 7 maj 2018 och av Voice den 10 maj 2018 framgår av punkt 11 bland annat att part ska löpande under avtalsperioden genomföra kontroll av att informationssäkerhetsarbetet är i enlighet med vid var tid gällande lagar och förordningar vilket bland annat innebär att part ska genomföra interna granskningar, skyddsåtgärder samt riskanalyser.

text: Av instruktionen i Bilaga 1 till ”Personuppgiftsbiträdesavtal” framgår bland annat följande. Punkt 7 om informationssäkerhet innehåller bland annat att ”Leverantören har en rutin för att identifiera hot och risker, avseende informationssäkerhet och Behandling av Personuppgifter, inom verksamheten och inom varje enskilt informationssystem.” och att ”Leverantörens informationssäkerhetsarbete innefattar säkerhet beträffande informationstillgångar rörande förmågan att upprätthålla konfidentialitet.” Som ett exempel på krav som leverantören minst ska uppfylla finns ”Begränsad extern åtkomst” som innebär att ”Leverantören ska tillse att Leverantörens datasystem är skyddade från extern åtkomst genom tekniska lösningar såsom brandvägg och inloggningskontroll vid extern åtkomst via Internet eller modem.”

text: MedHelps uppgifter i tillsynsärendet DI-2019-3375

text: MedHelp har uppgett bland annat följande i tillsynsärendet.

text: MedHelp kände till att MediCall lagrade samtal hos Voice, men MedHelp kände inte till att servern gjorts nåbar utan skyddsmekanismer från internet. Medicalls sjuksköterskor kopplades till Medhelps nät från den 23 februari 2019, istället för till telefonilösningen Biz hos Voice. Detta innebar att samtalen som ringdes in omdirigerades till Medhelps servrar och infrastruktur, bland annat till Collab som är en är telefonilösning som Medhelp själva driftar.

text: MedHelp mottar cirka 3 miljoner samtal per år inom ramen för 1177. Åttio procent av dessa hanteras av MedHelp och tjugo procent hanteras av Medicall, som tidigare använde it-lösningen Biz där det ingår ljudfilslagring. Av för MedHelp okänd anledning kom det lagrade innehållet sedan ut på nätet. Då samtalen inte kunde lagras hos Voice längre fördes de över till MedHelps servrar. MedHelps lagringsenheter har aldrig kraschat. MedHelp hade inte några serverproblem som ledde till en akut situation hösten 2015. Det har aldrig skett någon överföring av datafiler med inspelade patientsamtal från MedHelp till Voice. MedHelp har vid all tid lagrat inspelningar av patientsamtal uteslutande i egen regi på egna lagringsenheter. Voice har aldrig lagrat inspelningar på uppdrag av MedHelp. Däremot har Voice lagrat inspelningar av patientsamtal på uppdrag av MedHelps underleverantör MediCall.

text: IMY:s bedömning

text: Ljudfilerna i lagringsservern Voice NAS hos Voice innehöll inspelade samtal till 1177 i samband med sjukvårdsrådgivning. Såsom konstateras ovan är Voice personuppgiftsbiträde för behandlingen av dessa personuppgifter. Av ”Leveransavtal – tjänster” samt ”Personuppgiftsbiträdesavtal” och den tillhörande instruktionen framgår att uppdraget till Voice innefattade bland annat inspelning av samtal, sjukvårdsrådgivning och hälsodata.

text: Behandlingen av personuppgifterna har ägt rum hos Voice i verksamhet där Voice åtagit sig att leverera tjänster och där Voice är personuppgiftsbiträde. Voice har därvid också ansvaret för säkerheten i samband med behandlingen enligt artikel 32 i dataskyddsförordningen.

text: Voice måste därför i egenskap av personuppgiftsbiträde vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats, artikel 32.1

text: och 2 i dataskyddsförordningen. Att säkerställa en lämplig säkerhet innebär att man måste anpassa säkerhetsnivån till riskerna för den aktuella behandlingen.

text: MedHelp uppger i tillsynsärendet DI-2019-3375 att Medicalls behandling avsåg 20 procent av de cirka 3 miljoner telefonsamtal som MedHelp tog emot årligen via 1177, totalt ca 600 000 samtal per år.

text: Voice uppger i tillsynsärendet att det per den 18 februari 2019 fanns 2,7 miljoner filer på lagringsservern Voice NAS, att dessa filer inte motsvarar 2,7 miljoner samtal, men att ett samtal motsvarar i genomsnitt cirka tre till fyra filer och att ett samtal kan utgöra upp till tio filer. IMY uppskattar utifrån genomsnittet antalet lagrade samtal i Voice NAS till mellan 650 000 och 900 000. Det är med andra ord frågan om ett mycket stort antal samtal.

text: Beträffande samtalens karaktär kan konstateras att de rör sjukvårdsrådgivning och att hälsouppgifterna är det centrala. Hälsouppgifter utgör känsliga personuppgifter enligt artikel 9 i dataskyddsförordningen och ställer höga krav på säkerheten för uppgifterna.

text: Behandling av personuppgifter inom hälso- och sjukvården innebär generellt en hög risk för de registrerades fri- och rättigheter.

text: Vården ska särskilt bygga på respekt för patientens självbestämmande och integritet,

text: 5 kap. 1 § 3

text: HSL. Personuppgifter ska utformas och i övrigt behandlas så att patienters och övriga registrerades integritet respekteras samt ska dokumenterade personuppgifter hanteras och förvaras så att obehöriga inte får tillgång till dem, vilket framgår av artikel 32 i dataskyddsförordningen samt av 1 kap. 2 § andra och tredje styckena PDL.

text: Alla som är sjuka har rätt att få tillgång till vård. Vårdsökande personer som ringer till 1177 får anses ha en hög förväntan på att obehöriga inte ska kunna ta del av uppgifter som förmedlas i ett samtal eftersom patienter har rätt till en konfidentiell och förtroendefull kontakt med vården. Hälso- och sjukvårdspersonal som tar emot dessa telefonsamtal omfattas vanligen av bestämmelser om tystnadsplikt i

text: 6 kap.

text: 15 §§

text: patientsäkerhetslagen (2010:659)

text: samt i offentlighets- och

text: sekretesslagen (2009:400)

text: Enligt artikel 32.1 i dataskyddsförordningen ska ett personuppgiftsbiträde vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken till skydd för de uppgifter som behandlas. Enligt artikel 32.2 ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

text: Förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystem och -tjänster är enligt artikel 32.1 b i dataskyddsförordningen en åtgärd som kan vara lämplig när det gäller att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. En annan åtgärd som kan vara lämplig när det gäller att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken är enligt artikel 32.1 d i dataskyddsförordningen ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: Mot bakgrund av personuppgifternas känsliga karaktär, att personuppgifterna samlats in i ett förtroligt sammanhang som rör sjukvårdsrådgivning, behandlingens omfattning och behandlingens höga risker ställs enligt IMY:s uppfattning sammanfattningsvis höga krav på att vidta långtgående säkerhetsåtgärder enligt artikel 32.1 i dataskyddsförordningen.

text: IMY konstaterar att ett stort antal samtal till 1177 som lagrats i Voice NAS exponerats mot internet under okänd tid utan skydd fram till den 18 februari 2019. En exponering av personuppgifter mot internet utan skydd innebar att personuppgifterna var åtkomliga för alla som hade en internetuppkoppling. Det innebar en hög risk för obehörigt röjande av eller obehörig åtkomst till personuppgifterna.

text: Voice:s ansvar omfattar skyddet för den lagring av personuppgifter om vårdsökande som skett i Voice NAS och att säkerställa säkerheten för uppgifterna genom lämpliga tekniska och organisatoriska åtgärder. Uppgifterna har exponerats mot internet helt utan skydd och Voice har uppgett att Voice fick kännedom om personuppgiftsincidenten genom en artikel i Computer Sweden.

text: IMY konstaterar mot denna bakgrund att Voice har saknat tillräcklig förmåga att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna. Enligt IMY har Voice även saknat ett verkningsfullt förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: IMY konstaterar att det är frågan om ett mycket stort antal personuppgifter, som både är känsliga och föremål för tystnadsplikt inom hälso- och sjukvården, och att personuppgifter exponerats mot internet helt utan skydd vilket inneburit de varit åtkomliga för alla som hade en internetuppkoppling. Voice har således inte skyddat personuppgifterna mot obehörigt rörande eller obehörig åtkomst och därmed inte iakttagit sin skyldighet som personuppgiftsbiträde att vidta lämpliga tekniska och organisatoriska åtgärder som säkerställt en säkerhetsnivå som är lämplig i förhållande till risken i enlighet med artikel 32.1 i dataskyddsförordningen

text: Val av ingripande

text: Möjliga ingripandeåtgärder

text: IMY har ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 i dataskyddsförordningen, bland annat att förelägga personuppgiftsbiträdet att se till att behandlingen sker i enlighet med förordningen och om så krävs på ett specifikt sätt och inom en specifik period.

text: Enligt artiklarna 58.2 och 83.2 i dataskyddskyddsförordningen framgår att IMY kan påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om att administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek.

text: Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i dataskyddsförordningen i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b i dataskyddsförordningen. Hänsyn ska tas till försvårande och

text: förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: Sanktionsavgift ska påföras

text: IMY har ovan konstaterat att Voice har överträtt artikel 32.1 i dataskyddsförordningen i samband med behandlingen av de personuppgifter som omfattades av personuppgiftsincidenten. Denna artikl omfattas av artikel 83.4 och vid en sådan överträdelse ska tillsynsmyndigheten överväga att påföra administrativ sanktionsavgift utöver, eller i stället för, andra korrigerande åtgärder.

text: Mot bakgrund av att den konstaterade överträdelsen har rört ett mycket stort antal vårdsökande som hänvisats att ringa 1177 för sjukvårdsrådgivning samt omfattat brister i hantering av känsliga och integritetskänsliga personuppgifter såsom uppgifter om hälsa, är det inte frågan om en mindre överträdelse.

text: Det finns således inte skäl att ersätta sanktionsavgiften med en reprimand. Voice ska därför påföras administrativa sanktionsavgifter.

text: Fastställande av sanktionsavgiftens storlek

text: Generella bestämmelser

text: Enligt artikel 83.1 i dataskyddsförordningen ska varje tillsynsmyndighet säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. I artikel 83.2 anges de faktorer som ska beaktas vid bestämmande av sanktionsavgiftens storlek gällande överträdelsen. Vid bedömningen av storleken på sanktionsavgiften ska hänsyn tas till bland annat överträdelsens karaktär, svårighetsgrad och varaktighet, om det varit frågan om uppsåt eller oaktsamhet, vilka åtgärder som vidtagits för att lindra den skada som de registrerade har lidit, graden av ansvar med beaktande av de tekniska och organisatoriska åtgärder som genomförts i enlighet med artiklarna 25 och 32, hur tillsynsobjektet har samarbetat med tillsynsmyndigheten, vilka kategorier av personuppgifter som berörs, hur överträdelsen kom till IMY:s kännedom och om det finns andra försvårande eller förmildrande faktorer, till exempel direkt eller indirekt ekonomisk vinst av förfarandet.

text: Överträdelse av artikel 32.1 omfattas av den lägre sanktionsavgiften enligt artikel 83.4. Sanktionsavgiften ska således bestämmas upp till 10 000 000 EUR eller, när det gäller ett företag, upp till två procent av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst för överträdelsen rörande denna artikel.

text: För att sanktionsavgifter ska vara effektiva och avskräckande ska den personuppgiftsansvariges omsättning beaktas särskilt vid bestämmande av sanktionsavgifters storlek. En proportionalitetsbedömning måste också göras i varje enskilt fall. Vid proportionalitetsbedömningen får den sammanlagda sanktionsavgiften inte blir för hög i förhållande till de aktuella överträdelserna och inte heller för hög i förhållande till den som åläggs att betala sanktionsavgiften.

text: Av årsredovisningen för räkenskapsåret 2019 framgår att Voice hade en omsättning om 5 889 000 kr.

text: Bedömning av förmildrande och försvårande omständigheter

text: IMY har konstaterat att Voice har exponerat personuppgifter i form av ljudfiler med inspelade telefonsamtal till 1177 mot internet utan skydd mot obehörigt röjande av eller obehörig åtkomst till personuppgifterna i strid med artikel 32.1 i dataskyddsförordningen.

text: Voice har lagrat inspelningar av vårdsökandens samtal till 1177 på lagringsservern Voice NAS. Av utredningen framgår det att den 18 februari 2019 fanns 2,7 miljoner filer på Voice NAS och att ett samtal motsvarar i genomsnitt cirka tre till fyra filer. IMY har mot den bakgrunden gjort uppskattningen att det rör sig om mellan 650 000 och 900 000 samtal.

text: Alla som är sjuka har rätt att få vård. Vårdsökande som inte är akut sjuka hänvisas till att ringa 1177. Det rör sig om en förtroendefull kontakt med vården där vårdsökande får anses ha en hög förväntan på att obehöriga inte ska få del av uppgifter som förmedlas under samtalet.

text: Mot bakgrund av arten av uppgifterna, att det är frågan om känsliga personuppgifter som omfattas av tystnadsplikt, och de högt ställda kraven på säkerhet för personuppgifter om vårdsökande, är det en försvårande omständighet att Voice såsom personuppgiftsbiträde har saknat kontroll över säkerheten för personuppgifterna. Voice kände inte till att personuppgifterna i Voice NAS blivit nåbara helt utan skyddsmekanismer och fick kännedom om personuppgiftsincidenten genom en artikel i Computer Sweden.

text: Det är allvarligt att en stor mängd hälsouppgifter exponerats utan skydd och därigenom varit åtkomliga för alla som har en internetuppkoppling under okänd tid.

text: IMY kan konstatera att Voice agerat direkt när Voice fick kännedom om personuppgiftsincidenteten, men att detta inte påverkar bedömningen av incidentens allvarlighet i sig.

text: Mot bakgrund av överträdelsernas allvar och att den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande bestämmer IMY den administrativa sanktionsavgiften till 650 000 kronor för överträdelsen av artikel 32.1 i dataskyddsförordningen.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av it-säkerhetsspecialisten Magnus Bergström och avdelningsdirektören Suzanne Isberg. I handläggningen har enhetschefen Katarina Tullstedt och juristen Mattias Sandström medverkat. Vid den slutliga handläggningen har även rättschefen David Törngren och enhetschefen Malin Blixt medverkat.

text: Lena Lindgren Schelin, 2021-06-07 (Det här är en elektronisk signatur)

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

text: Bilaga

text: Bilaga – Information om betalning av sanktionsavgift.

text: Kopia till

text: Voice Integrate Nordic ABs vd via e-post.


text: Inera AB registrator@inera.se

nyckelord:
Dataskydd
Informationssäkerhet
Internet och appar
Hälso- och sjukvård

slug: inera-ab

title: Inera AB – Beslut

sammanfattning: Ärendet avslutas utan åtgärd.

text: DI-2019-2900 Beslut efter tillsyn enligt

text: dataskyddsförordningen mot Inera AB

text: Integritetsskyddsmyndighetens beslut

text: Ärendet avslutas.

text: Bakgrund

text: Computer Sweden publicerade den 18 februari 2019 en artikel med rubriken ”2,7 miljoner inspelade samtal till 1177 Vårdguiden helt oskyddade på internet”. I artikeln uppges bland annat att ”På en öppen webbserver, helt utan lösenordsskydd eller annan säkerhet, har vi hittat 2,7 miljoner inspelade samtal till rådgivningsnumret 1177.”

text: Det framgick av Ineras webbplats att Inera AB förvaltar och utvecklar de gemensamma systemen för 1177 Vårdguiden på telefon som regionerna behöver i sin verksamhet. IMY inledde skriftlig tillsyn mot Inera AB den 5 mars 2019 för att kontrollera hur Inera behandlade personuppgifter om vårdsökande inom ramen för rådgivningsnumret 1177.

text: IMY inledde även tillsyn mot Voice Integrate Nordic AB och MedHelp AB. Det framkom att tre regioner anlitade dels MedHelp som vårdgivare när vårdsökande ringer 1177 för sjukvårdsrådgivning och dels Inera AB för att koppla fram samtalen till MedHelp. IMY inledde därför tillsyn mot Hälso- och sjukvårdsnämnden Region Stockholm, Regionstyrelsen Region Sörmland och Regionstyrelsen Region Värmland.

text: Motivering av beslutet

text: Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Med personuppgiftsbiträde avses, enligt artikel 4.8 i

text: förordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning. Enligt artikel 32 har både den som är personuppgiftsansvarig och personuppgiftsbiträdet skyldigheter som avser säkerheten i samband med behandlingen av personuppgifterna.

text: Inera uppger bland annat följande. I egenskap av personuppgiftsbiträde för regionerna Stockholm, Sörmland och Värmland behandlar Inera telefonnummer för personer som ringer till 1177. Samtliga 1177-samtal styrs initialt till Ineras kontaktcenter där det görs en kontroll om kommun-ID är lika med Stockholm, Sörmland eller Värmland. Är så fallet skapas ett utgående samtal från Ineras kontaktcenter till MedHelp AB:s kontaktcenter varpå MedHelp AB tar över samtalet. Samtalet lämnar då Ineras system helt. Inera lagrar inga av MedHelps inspelade samtal och har inga avtal med MedHelp.

text: IMY konstaterar att Inera behandlar personuppgifter i samband med att vårdsökande ringer 1177. Denna behandling utför Inera på uppdrag av regionerna i egenskap av personuppgiftsbiträde. Inera har dock inte ansvar, vare sig som personuppgiftsansvarig eller personuppgiftsbiträde, för den personuppgiftsbehandling som MedHelp AB utför vid själva sjukvårdsrådgivningen eller för lagring av ljudfiler med inspelade samtal till 1177 när MedHelp AB är den vårdgivare som svarar på samtalen.

text: Ärendet avslutas därför utan åtgärd.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av avdelningsdirektören Suzanne Isberg. Vid handläggningen har enhetschefen Katarina Tullstedt medverkat. Vid den slutliga handläggningen har även itsäkerhetsspecialisten Magnus Bergström, rättschefen David Törngren och enhetschefen Malin Blixt medverkat.

type: avgorande


nyckelord:
Kreditupplysning
Dina rättigheter
Dataskydd

slug: yellow-belly-decision-systems-ab

title: Yellow-Belly Decision Systems AB

sammanfattning: Förvaltningsrätten i Stockholm fastställde IMY:s beslut i dom den 10 juli 2020. IMY:s beslut har vunnit laga kraft.

text: Yellow-Belly Decision Systems AB Surbrunnsgatan 32 113 48 Stockholm

text: Tillsyn enligt

text: kreditupplysningslagen (1973:1173)

text: – Yellow-Belly Decision Systems AB

text: Datainspektionens beslut

text: Datainspektionen återkallar med stöd av

text: 17 § kreditupplysningslagen (1973:1173)

text: Yellow-Belly Decision Systems AB:s (org. nr 556912-4885) tillstånd att bedriva kreditupplysningsverksamhet.

text: Redogörelse för tillsynsärendet

text: Datainspektionen uppmärksammade i december 2018 att företaget Nusvar AB (Nusvar) lanserat webbplatsen www.Mrkoll.se (Mrkoll). På webbplatsen publicerades uppgifter om samtliga personer som är folkbokförda i Sverige. Webbplatsen Mrkoll omfattas av ett sådant utgivningsbevis som regleras i

text: 1 kap. 5 § yttrandefrihetsgrundlagen

text: . En grundlagsskyddad webbplats omfattas normalt sett inte av bestämmelserna i dataskyddsförordningen (GDPR). Datainspektionen noterade dock att det rörande vissa av de registrerade fanns uppgift bl.a. om att ”x saknar betalningsanmärkningar”. Datainspektionen bedömde mot bakgrund av detta att Mrkoll kan antas omfattas av bestämmelserna i

text: kreditupplysningslagen

text: . Datainspektionen inledde mot bakgrund därav tillsyn enligt

text: kreditupplysningslagen

text: mot Nusvar den 18 december 2018, DI-2018-22737. Det framkom i samband därmed att mycket av den information som Nusvar publicerade på Mrkoll hade inhämtats från Yellow-Belly Decision Systems AB (bolaget). Bolaget har inte ansökt om Datainspektionens medgivande om att få överlåta eller upplåta sitt kreditupplysningsregister till Nusvar. Datainspektionen inledde med anledning därav tillsyn mot bolaget den 9 januari 2019.

text: Datainspektionen har inhämtat yttrande från bolaget. Datainspektionen har även genomfört en inspektion hos bolaget. Bolaget har i yttrandet och i samband med inspektionen bland annat uppgett följande.

text: Bolaget ingår i koncernen Nodeus Group AB. Bolaget är personuppgiftsansvarigt för sin egen kreditupplysningsdatabas. Bolaget har inte några andra register.

text: I slutet av 2018 genomförde bolaget ett baslyft av grunddata från sin databas till Nusvars databas. Därefter har bolaget tillhandahållit Nusvar leveranser om eventuella ändringar (inkrementell leverans) av grunddata (namn, adress, bostadstyp och i förekommande fall bolag) var 14:e dag på Sveriges population över 18 år. Den informationen används för att skapa söktjänsten Mrkoll. I den leveransen ingår även aggregerad information om inkomst och betalningsanmärkningar. Den ekonomiska informationen är aggregerad i kluster om minst 30 personer. Ekonomiska uppgifter och uppgift om betalningsanmärkningar lämnas således inte ut på individnivå. Aggregeringar är förgjorda eller förpreparerade. När bolaget gjort klustren genererar bolaget en fil som en excel-lista och Nusvar importerar den till sin databas. Bolaget vet inte hur Nusvar läser in information som Nusvar hämtar från bolagets server. Bolaget har inte fått indikation på att Nusvar har något problem med att hämta in datan. Det sker inte i realtid. Filöverföringen mellan bolaget och Nusvar är krypterad.

text: Bolaget lämnar enligt specifikation ut följande information till Nusvar;

text: Persondata: Exempelvis uppgift om personnummer, folkbokföringsdatum, namn, folkbokföringsadress, personnummer för make, maka registrerad partner.

text: Hushållsdata: Exempelvis uppgift om olika adresstyper såsom enfamiljsadress, flerfamiljsadress om bostadsrättsförening eller annat, medlemmar i hushållet innehåller en lista av id-nummer.

text: Styrelseengagemang: Exempelvis uppgift om personnummer på styrelsemedlemmen och funktion i styrelsen.

text: Företagsnamn: Exempelvis uppgift om personnummer på styrelsemedlem, postnummer, postort, omsättning, företagets status idag.

text: Aggregeringar område: Är en av bolaget framtagen tabell som innehåller personnummer och vilket område som personen tillhör.

text: Områdesdata: Baseras på bolagets framtagna kluster och innehåller aggregeringar av data, bl.a. ekonomiska data inklusive förekomst av betalningsanmärkningar, för ett område. Klustren består av t.ex. maxinkomst, medelinkomst, minimuminkomst, medianinkomst för boende i området.

text: Med kluster avses matematisk statistik utifrån postkod och gatukod, kombinerat så att man ser till att innehållet i klustret blir tillräckligt stort med spridningsmått.

text: Bolaget anser inte att bolaget överlåtit eller upplåtit sitt kreditupplysningsregister till Nusvar. Bolaget levererar endast klusterinformation och adressinformation till Nusvar. Bolaget anser att bolaget inte överlåter kreditinformation utan de facto skapar ett annat register, som skickas till Nusvar. Det är således fråga om olika register. Bolaget har därför inte ansökt om något medgivande enligt

text: 13 § första stycket kreditupplysningslagen

text: Nusvar har i tillsynsärende DI-2018-22737 lämnat information som bekräftar vad bolaget har uppgett om parternas affärsrelation. Samarbetsavtalet mellan bolaget och Nusvar sades upp den 8 april 2019 med omedelbar verkan.

text: Skäl för beslutet

text: Tillämpliga bestämmelser

text: Av

text: framgår att register som används i kreditupplysningsverksamhet får överlåtas eller upplåtas till annan endast efter medgivande av Datainspektionen.

text: Av

text: 17 § kreditupplysningslagen

text: framgår att för det fall den som har tillstånd att bedriva kreditupplysningsverksamhet åsidosätter en bestämmelse i

text: kreditupplysningslagen

text: får Datainspektionen förelägga honom att vidta rättelse eller meddela ett villkor. Om rättelse inte kan åstadkommas på något annat sätt får Datainspektionen återkalla tillståndet. Detsamma gäller, om förutsättningarna för tillståndet i övrigt inte längre föreligger.

text: Enligt

text: 19 § första stycket 2 kreditupplysningslagen

text: kan den som uppsåtligen eller av oaktsamhet bryter mot 13 § första stycket dömas till böter eller fängelse i högst ett år. Av 20 § framgår att ett kreditupplysningsregister kan förklaras förverkat om registret överlåtits eller upplåtits i strid med 13 § första stycket.

text: Datainspektionens bedömning

text: Datainspektionen konstaterar att bolaget genom baslyftet av grunddata från sitt kreditupplysningsregister till Nusvars databas överlåtit sitt kreditupplysningsregister till Nusvar. Bolaget har därefter upplåtit sitt kreditupplysningsregister till Nusvar genom leveranser av uppdateringar och information var 14:e dag från november 2018 till april 2019.

text: En viss del av utlämnandet har avsett information i klustrad form. Datainspektionen anser att detta saknar betydelse vad gäller frågan om bolagets kreditupplysningsregister har upplåtits eller inte. All information om fysiska och juridiska personer som ett kreditupplysningsföretag behandlar för kreditupplysningsändamål omfattas av bestämmelserna i

text: 13 § kreditupplysningslagen

text: oavsett hur informationen organiseras. Det är inte möjligt att kringgå bestämmelserna i 13 § genom att tillfälligtvis skilja av viss kreditupplysningsinformation från ett kreditupplysningsregister och placera informationen i ett separat register som sedan kallas för något annat än ”kreditupplysningsregister”. De aktuella uppgifterna hämtas från kreditupplysningsregistret även om bolaget bearbetar informationen enligt Nusvars önskemål innan den lämnas vidare till Nusvar. Det rör sig således inte om två olika register.

text: Bolaget har genom att överlåta och upplåta sitt kreditupplysningsregister till Nusvar utan att först införskaffa Datainspektionens medgivande handlat i strid med

text: . Handlingen är att betrakta som allvarlig eftersom Datainspektionen sannolikt skulle ha avslagit en ansökan om medgivande om en sådan hade gjorts.

text: Datainspektionen har vid tidigare tillfällen avslagit kreditupplysningsföretags begäran om medgivande att överlåta eller upplåta kreditupplysningsregister åt företag som tillhandahåller kreditupplysningsinformation på webbplatser endast med stöd av utgivningsbevis. Ett företag vars verksamhet omfattas av grundlagsskydd behöver inte Datainspektionens tillstånd för att bedriva kreditupplysningsverksamhet. Denna omständighet innebär att Datainspektionen inte kan bedöma om företagets verksamhet kan antas bli bedriven på ett sakkunnigt och omdömesgillt sätt. Datainspektionen saknar dessutom möjlighet att besluta om villkor enligt

text: kreditupplysningslagen

text: för sådana företag. Datainspektionens avslagsbeslut har fastställts genom dom i kammarrätten i Stockholm, Mål nr 8023-08.

text: Återkallelse av tillstånd

text: Bolaget har handlat i strid med

text: genom att överlåta och upplåta sitt kreditupplysningsregister till Nusvar utan Datainspektionens medgivande. Datainspektionen anser att det är en väsentlig försummelse som är oåterkallelig och som inte kan åtgärdas genom ett föreläggande om att vidta rättelse eller genom att ett nytt villkor meddelas. Datainspektionen finner därför anledning att återkalla tillståndet.

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag ni fick del av beslutet. Datainspektionen sänder överklagandet vidare till Förvaltningsrätten i Stockholm för prövning, om inspektionen inte själv ändrar beslutet på det sätt ni har begärt. Även Justitiekanslern får överklaga beslutet för att tillvarata allmänna intressen. Tiden för överklagande för Justitiekanslern räknas dock från den dag beslutet meddelades.

text: Förutsatt att överklagandet inte innehåller några integritetskänsliga personuppgifter eller uppgift som kan omfattas av sekretess, kan ni e-posta överklagandet till .

text: Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av avdelningsdirektören Hans Kärnlöf. Vid den slutliga handläggningen har chefsjuristen Hans-Olof Lindblom medverkat. Catharina Fernquist, 2020-01-31 (Det här är en elektronisk signatur)

text: Kopia till:

text: JK