text: Regionstyrelsen i Region Skåne 291 89 Kristianstad

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 Lag (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning. 08-657 61 00

text: EU-domstolens

text: mål C-101/01

text: , Lindqvist, EU:C:2003:596, punkt 51. 4 EU-domstolens

text: mål C-184/20

text: , Vyriausioji tarnybinės etikos komisija, EU:C:2022:601, punkt 128. 5 EDPB:s

text: riktlinjer 03/2020

text: om behandling av uppgifter om hälsa för vetenskapliga forskningsändamål i samband med covid-19-utbrottet, s. 5.

text: Se Europeiska dataskyddsstyrelsens (EDPB)

text: riktlinje 07/2020

text: angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, version 2.0, antaget den 7 juli 2021, punkt 19 och artikel 24.1 i dataskyddsförordningen.

text: Jfr EDPB:s

text: riktlinje 07/2020

text: angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, version 2.0, antaget den 7 juli 2021, punkt 19 och 27. 8 Se skälen 75 och 76 till dataskyddsförordningen. 9 Inom både enskild som allmän hälso- och sjukvårdsverksamhet skyddas uppgifter om en enskilds hälsotillstånd eller andra personliga förhållanden av tystnadsplikt, se

text: 6 kap. 12 § patientsäkerhetslagen (2010:659)

text: och

text: 25 kap. 1 § offentlighets- och sekretesslagen (2009:400)

text: . 10 Jfr artikel 87 i dataskyddsförordningen och

text: 3 kap. 10 § dataskyddslagen

nyckelord:
Dataskydd
Informationssäkerhet
Dina rättigheter
Hälso- och sjukvård

amne: Överföring av integritetskänsliga personuppgifter till Meta

korrigerandeAtgard: Sanktionsavgift på 200 000 kronor

lagakraft: Ja

lagrum: Artiklarna 4.7, 32.1 och 32.2 i dataskyddsförordningen, GDPR

nyckelord: Tekniska och organisatoriska säkerhetsåtgärder, Personuppgiftsansvarig, Forskning, Patient, Sjukvård

rubrik: Okrypterat USB-minne med känsliga personuppgifter borttappat

sammanfattning: En region har lagrat hälsouppgifter om cirka 2 000 personer på ett okrypterat usb-minne för ändamålet forskning. Usb-minnet tappades bort. I beslutet bedömde IMY att regionen var personuppgiftsansvarig för behandlingen även om regionen menade att de inte hade brustit i sitt ansvar då överträdelsen uppgavs ha skett på grund av en anställds oaktsamhet. IMY tog även ställning till att säkerhetsåtgärderna inte var tillräckliga och lämpliga avseende behandlingen av hälsouppgifter på usb-minnet. Att det inte var tillräckliga och lämpliga säkerhetsåtgärder beror bland annat på att det rörde behandling på flyttbar lagringsmedia av uppgifter om hälsa som inte ska kunna röjas eller spridas på obehörigt sätt. Läs tillsynsbeslutet

sanktionsavgift: 200 000 kronor

slug: region-skane-usb-minne

title: Regionstyrelsen i Region Skåne

sammanfattning: IMY utfärdar en administrativ sanktionsavgift på 200 000 kronor mot regionen för överträdelse av dataskyddsförordningen.

text: IMY-2022-1290 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Regionstyrelsen i Region Skåne

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten (IMY) konstaterar att Regionstyrelsen i Region Skåne (regionen) i egenskap av personuppgiftsansvarig har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen genom att regionen har lagrat okrypterade personuppgifter om patienter på ett usb-minne och den 1 november 2020 förlorat kontrollen över usb-minnet. Regionen har därigenom behandlat känsliga personuppgifter utan att ha säkerställt en lämplig säkerhetsnivå i förhållande till risken för förlust, obehörigt röjande av eller obehörig åtkomst till personuppgifterna.

text: IMY beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen och

text: 6 kap. 2 § dataskyddslagen

text: att regionen ska betala en administrativ sanktionsavgift för överträdelse av artikel 32.1 i dataskyddsförordningen på 200 000 (tvåhundratusen) kronor.

text: Redogörelse för tillsynsärendet

text: Utgångspunkt för tillsynen

text: IMY mottog från regionen den 18 november 2020 en anmälan om en personuppgiftsincident som skedde den 1 november 2020. Av anmälan framgår att ett usb-minne innehållande personnummer och känsliga personuppgifter om 1 934 registrerade glömdes bort av en medarbetare i fickan på kliniska kläder som lades i en tvättpåse för transport till regionalt tvätteri.

text: IMY har därefter mottagit två klagomål med anledning av personuppgiftsincidenten. Mot denna bakgrund beslutade IMY att inleda tillsyn.

text: IMY har granskat om behandlingen av personuppgifter på det aktuella usb-minnet uppfyller de krav på säkerhet som ställs i artikel 32 i dataskyddsförordningen.

text: Uppgifter från regionen

text: Regionen har inkommit med två yttranden tillsammans med följande dokument.

text: • Instruktion för Region Skånes behandling av personuppgifter, version 2.0, upprättad den 20 juni 2018 och reviderad den 11 december 2020. • Riktlinjer för informationssäkerhet, daterad den 7 december 2017. • Instruktion för tillämpning av riktlinjer för informationssäkerhet, daterad den 22 maj 2020. • Skapa och förvara DIGITAL OCH ANALOG INFORMATION, version 2.2, daterad den 22 april 2016. • Krav på systemstöd för hantering och förvaring av digitala dokument, version 1.0, daterad den 18 december 2020. • Delegationsordning för regionstyrelsen, daterad den 9 februari 2023. • Delegationsbeslut om Region Skånes yttrande gällande Integritetsskyddsmyndighetens tillsyn enligt dataskyddsförordningen IMY- 2022-1290, daterad den 21 februari 2023. • Ansökan om registeruppgifter, från kvalitetsregister, för forskningsändamål, undertecknad den 26 maj 2020. • Beslut kring utlämnande, undertecknad den 24 juni 2020. • Anvisning Årshjul för Region Skånes informationssäkerhetssamordnare, angiven som bilaga 3 och odaterad. • Behandling av personuppgifter för forskning, version 1.1, daterad den 20 maj 2018.

text: Av det första yttrandet från regionen framkommer i huvudsak följande. Personuppgiftsansvarig är den juridiska personen Region Skåne och regionstyrelsen är ytterst ansvarig för organisationen Region Skånes behandling av personuppgifter. På det försvunna usb-minnet finns två typer av personuppgifter; personnummer och särskilda kategorier av personuppgifter hänförliga till artikel 9.1 i dataskyddsförordningen i form av uppgifter om hälsa som rör 1 934 registrerade. Gällande de särskilda kategorierna av personuppgifter som räknas upp i artikel 9.1 i dataskyddsförordningen finns uppgifter om hälsa. Hälsouppgifterna är hänförliga till ett procedurrelaterat kvalitetsregister, SCAAR, gällande kranskärlssjukdom. Uppgifterna är uppgifter om hälsa av typ ”biodata”. Uppgifterna är okrypterade, men flertalet av värdena är inskrivna som ettor och nollor vilket representerar "ja” eller ”nej" och står därmed inte i klartext. Medarbetare i regionen tillåts att använda flyttbart medium i form av usb för behandling av personuppgifter om beslutade organisatoriska och tekniska skyddsåtgärder vidtas. Regionens styrdokument föreskrev som tekniska skyddsåtgärder vid förvaring och transport av lagringsmedia att skyddet ska motsvara det skyddsvärde som informationen har utifrån den informationsklassificering som genomförts samt att lagringsmedia som innehåller skyddsvärd information ska skyddas mot obehörig åtkomst, missbruk eller förvanskning under transport. Vid obligatorisk utbildning av de anställda upplyser regionen om att usb ska undvikas men att anställda vid användning av usb för lagring av känslig eller värdefull information ska använda krypterade usb. Dessa finns att beställa internt. Det försvunna usb-minnet har inte kommit tillrätta trots omfattande arbete med att återfinna det. Eftersökningen av usb-minnet har skett över en längre tid (november 2020 – mars 2021). Utredningen i ärendet talar inte för att uppgifterna har spridits eller att obehöriga fått del av informationen eftersom usb-minnet förkommit inom organisationen, men då det inte återfunnits är det rimligt säkert att anta att ett tillgänglighetsbrott har ägt rum.

text: Av det andra yttrandet från regionen framkommer i huvudsak följande. Personuppgifterna på det förkomna usb-minnet härrörde från ett nationellt kvalitetsregister, SCAAR. Begäran om uttag ur kvalitetsregistret ombesörjs av Uppsala kliniska forskningscentrum, UCR. Den av Region Skåne anställde forskaren hade ansökt om uttag och fått beslut om utlämnande av registeruppgifter från kvalitetsregister SCAAR för forskningsändamål. UCR beskriver i ansökan att överlämnat material ska förvaras på ett betryggande sätt, i krypterad form så att obehöriga inte kan få tillgång till det. Ansvarig forskare, anställd hos forskningshuvudmannen Region Skåne har accepterat och förbundit sig till de säkerhetsåtgärder som den centralt personuppgiftsansvarige har uppställt för utlämnandet av de aktuella personuppgifterna.

text: Region Skånes användning av lagringsmedia följs upp årligen i enlighet med anvisning Årshjul för Region Skånes informationssäkerhetssamordnare. En teknisk säkerhetsåtgärd som driftsattes år 2021 sedan den aktuella händelsen är 7-zip. 7-zip är ett komprimeringsprogram som även kan användas för att kryptera filer. En ytterligare teknisk säkerhetsåtgärd som vidtagits är utvecklandet av en lagringsyta, Säker lagring extern, för hantering av känsliga personuppgifter, sekretessbelagda uppgifter eller annan information som bedöms integritetskänslig och skyddsvärd och som avses att delas med parter utanför Region Skåne. Organisatoriska säkerhetsåtgärder har också vidtagits med anledning av personuppgiftsincidenten. Region Skåne genomför en pågående översyn av instruktion Behandling av personuppgifter för forskning och avser bland annat att uppdatera instruktionen med förtydligande hänvisningar till beslutade befintliga tekniska säkerhetsåtgärder.

text: Förvaltningen Regionservice har även infört skärpta rutiner för enheterna Tvätt och textil och Kundcenter gällande hantering av upphittade föremål på tvätteriet. För att ytterligare stärka följsamheten av de beslutade tekniska och organisatoriska säkerhetsåtgärderna, utöver de aktiviteter som redogjorts för ovan och i tidigare yttrande, har förvaltningen Skånes Universitetssjukvård intensifierat den dataskyddsrättsliga stöttningen till forskningsorganisationen.

text: Region Skåne medger förvisso att personuppgiftsincidenten inneburit en överträdelse av dataskyddsförordningen och har därför beslutat om ersättning till de drabbade registrerade som begärt det, i enlighet med skyldigheten i artikel 82.1 i dataskyddsförordningen. Överträdelsen av dataskyddsförordningen i detta avseende innebär dock inte att Region Skåne har vare sig brustit i sin ansvarsskyldighet som personuppgiftsansvarig eller i de vidtagna säkerhetsåtgärderna, utan överträdelsen beror uteslutande på en enskild anställds oaktsamhet.

text: Motivering av beslutet

text: Gällande regler m.m.

text: Personuppgifter och personuppgiftsansvariges ansvar

text: Artikel 4.1 i dataskyddsförordningen definierar begreppet personuppgifter som varje upplysning som avser en identifierad eller identifierbar fysisk person.

text: Uppgifter om hälsa definieras i artikel 4.15 i dataskyddsförordningen som personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus.

text: Uppgifter om hälsa utgör så kallade känsliga personuppgifter. Även uppgifter som indirekt kan röja känsliga personuppgifter utgör en behandling av känsliga personuppgifter enligt artikel 9.1 i dataskyddsförordningen. Europeiska dataskyddsstyrelsen (EDPB) har uttalat att begreppet uppgifter om hälsa enligt dataskyddsförordningen måste tolkas brett mot bakgrund av bland annat EUdomstolens dom i målet Lindqvist och då det framgår av skäl 53 till dataskyddsförordningen att uppgifter om hälsa förtjänar ett omfattande skydd.

text: Personuppgiftsansvarig är enligt artikel 4.7 i dataskyddsförordningen en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Den personuppgiftsansvarige ansvarar för och ska kunna visa att de grundläggande principerna i artikel 5 i dataskyddsförordningen följs, det framgår av artikel 5.2 i dataskyddsförordningen.

text: Enligt artikel 5.1 f i dataskyddsförordningen ska personuppgifterna behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder.

text: Vidare framgår det av artikel 24.1 att den personuppgiftsansvarige ansvarar för att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Åtgärderna ska genomföras med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers fri- och rättigheter. Åtgärderna ska ses över och uppdateras vid behov.

text: Av skäl 74 till dataskyddsförordningen framgår att personuppgiftsansvariga bör åläggas ansvaret för all behandling av personuppgifter som de utför eller som utförs på deras vägnar. Personuppgiftsansvariga bör särskilt vara skyldiga att vidta lämpliga och effektiva åtgärder och kunna visa att behandlingen är förenlig med dataskyddsförordningen, även vad gäller åtgärdernas effektivitet. Den personuppgiftsansvariga bör inom dessa åtgärder beakta behandlingens art, omfattning, sammanhang och ändamål samt risken för fysiska personers rättigheter och friheter.

text: EDPB har anfört att i princip all behandling av personuppgifter av anställda som sker inom ramen för en organisations verksamhet kan betraktas som att den sker under den organisationens kontroll. Anställda som exempelvis har tillgång till personuppgifter inom en organisation betraktas i allmänhet inte som ”personuppgiftsansvariga” eller ”personuppgiftsbiträden”, utan snarare som ”personer som agerar under den personuppgiftsansvariges eller personuppgiftsbiträdets befogenhet” i den mening som avses i artikel 29 i dataskyddsförordningen. I undantagsfall kan det dock hända att en anställd beslutar att använda personuppgifter för sina egna ändamål och därigenom

text: olagligt överskrider de befogenheter som han eller hon fick (till exempel för att starta sitt eget företag eller liknande).

text: Kravet på säkerhet vid behandling av personuppgifter m.m.

text: Av artikel 32.1 i dataskyddsförordningen följer att den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Det ska ske med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter. Lämpliga säkerhetsåtgärder kan bland annat inbegripa pseudonymisering och kryptering av personuppgifter.

text: Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Det framgår av artikel 32.2 i dataskyddsförordningen.

text: I skäl 39 till dataskyddsförordningen anges bland annat att personuppgifter bör behandlas på ett sätt som säkerställer lämplig säkerhet och konfidentialitet för personuppgifterna samt förhindrar obehörigt tillträde till och obehörig användning av personuppgifter och den utrustning som används för behandlingen.

text: I skäl 75 till dataskyddsförordningen anges faktorer som bör beaktas vid bedömningen av risken för fysiska personers rättigheter och friheter. Bland annat nämns förlust av konfidentialitet när det gäller personuppgifter som omfattas av tystnadsplikt samt om behandlingen avser uppgifter om hälsa eller sexualliv.

text: Skäl 83 till dataskyddsförordningen ger ytterligare vägledning om den närmare innebörden av dataskyddsförordningens krav på säkerhet vid behandling av personuppgifter, bland annat att personuppgiftsansvariga bör utvärdera riskerna med behandlingen och vidta åtgärder, såsom kryptering, för att minska dem. Vid bedömningen av datasäkerhetsrisken bör man även beakta de risker som personuppgiftsbehandling medför, såsom förstöring, förlust eller ändringar genom olyckshändelse eller otillåtna handlingar eller obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats, framför allt när denna kan medföra fysisk, materiell eller immateriell skada.

text: IMY:s bedömning

text: Utredningen i ärendet visar att regionen har tappat bort ett usb-minne. Usb-minnet lagrar okrypterade personuppgifter om hälsa och personnummer om 1 934 registrerade. Usb-minnet har inte återfunnits.

text: Personuppgiftsansvar

text: Regionen har angett att de är personuppgiftsansvariga för den aktuella behandlingen men menar samtidigt att de inte brustit i sin ansvarsskyldighet då överträdelsen beror på en anställds oaktsamhet.

text: IMY konstaterar följande. Av artikel 4.7 i dataskyddsförordningen framgår bland annat att en personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Personuppgiftsansvariga ska enligt artikel 5.2 i dataskyddsförordningen ansvara för och kunna visa att principerna i artikel 5.1 efterlevs (principen om ansvarsskyldighet). Vidare framgår det av artikel 24.1 att det är den personuppgiftsansvariga som ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen.

text: IMY konstaterar att regionen bestämt ändamål och medel med behandlingen av personuppgifterna i förevarande fall, det vill säga hur och varför personuppgifterna ska behandlas. Det är således regionen som är personuppgiftsansvarig för behandlingen av personuppgifter. Att regionen är personuppgiftsansvarig innebär att de ansvarar för att följa dataskyddsförordningen vid behandlingen av personuppgifterna. Det ansvaret omfattar även kraven på säkerheten för uppgifterna. Den behandling som sker inom verksamheten ansvarar den personuppgiftsansvarige för även om det är frågan om misstag eller felbedömning som skett av exempelvis en anställd. Det är först om den anställde agerar för andra ändamål som inte omfattas av arbetsgivarens ändamål som det kan bli frågan om att den anställde eller någon annan är personuppgiftsansvarig för behandlingen. I detta fall har både lagringen av känsliga personuppgifter på ett okrypterat usb och förlusten av usb-minnet skett inom ramen för den anställdes tjänst. Regionen är således ansvarig för att behandlingen av personuppgifterna skett i enlighet med dataskyddsförordningens krav på säkerhet.

text: Behandlingen har inneburit en hög risk

text: Som personuppgiftsansvarig ska regionen vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till riskerna med behandlingen, se artikel 32 i dataskyddsförordningen. Personuppgifterna som behandlas måste till exempel skyddas mot förlust, obehörigt röjande eller obehörig åtkomst. Vad som är lämplig säkerhetsnivå varierar i förhållande till bland annat de risker för fysiska personers rättigheter och friheter som behandlingen medför samt behandlingens art, omfattning, sammanhang och ändamål. Vid bedömningen måste det exempelvis beaktas vad det är för typ av personuppgifter som behandlas, till exempel om det är fråga om uppgifter om hälsa.

text: Patienter får anses ha en hög förväntan på att obehöriga inte ska kunna ta del av de uppgifter som framkommer i kontakten med vården. Det eftersom patienter har rätt till en konfidentiell kontakt med vården. Behandling av personuppgifter inom hälso- och sjukvården innebär generellt en hög risk för de registrerades fri- och rättigheter.

text: På det aktuella usb-minnet lagrar regionen uppgifter om hälsa som är känsliga personuppgifter. Behandling av känsliga personuppgifter kan innebära betydande risker för den personliga integriteten. Dessutom innehåller usb-minnet personnummer som anses vara särskilt skyddsvärda personuppgifter. Behandlingen av uppgifterna på usb-minnet är därför av en sådan art att uppgifterna kräver ett starkt skydd.

text: Regionen har inte vidtagit tillräckliga säkerhetsåtgärder

text: IMY konstaterar att den aktuella behandlingen innebär att lagring skett av personuppgifter på ett usb-minne utan att dessa skyddats av lämpliga säkerhetsåtgärder som till exempel kryptering. Kryptering innebär att den skyddsvärda informationen omvandlas från ett läsbart till ett kodat format med hjälp av en krypteringsnyckel. Informationen blir då oläslig för alla som inte har tillgång till krypteringsnyckeln. Detta innebär att den skyddsvärda informationen inte kan utläsas direkt där denna lagras utan en krypteringsnyckel.

text: Av utredningen framgår att det direkt och ensamt av uppgifterna på det förlorade usbminnet går att utläsa att det rör uppgifter om hälsa kopplade till patienters personnummer, det vill säga det går att identifiera att de registrerade varit föremål för vård och behandling. IMY konstaterar vidare att även om vissa av värdena är inskrivna som ettor och nollor som ska representera ja eller nej, så fråntar inte det att det rör sig om uppgifter om hälsa och som kan kopplas till en identifierbar person.

text: När personuppgifter behandlas på flyttbar lagringsmedia, till exempel usb, finns betydande risker att personuppgifter sprids på ett oavsiktligt sätt. De säkerhetsåtgärder som ska vidtas utifrån bedömning enligt artikel 32 i dataskyddsförordningen innebär att behandling av integritetskänsliga personuppgifter inte ska kunna gå förlorade, röjas obehörigen eller spridas på oavsiktligt sätt.

text: Regionen ansvarar som personuppgiftsansvarig för att dessa personuppgifter behandlas på ett sätt som säkerställer lämplig säkerhet, vilket inbegriper skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse. Att regionen lagrat hälsouppgifter på ett okrypterat usb-minne som de också tappat bort innebär att en påtaglig risk för att någon som inte har rätt att ta del av dem kan komma att få åtkomst till uppgifterna. Det innebär i sin tur att det även finns risk för att uppgifterna kan komma att spridas vidare. Regionen har därmed inte säkerställt en lämplig säkerhetsnivå i förhållande till risken för förlust, obehörigt röjande av eller obehörig åtkomst till personuppgifterna.

text: Sammantaget finner IMY att regionen inte vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen genom att regionen har använt ett flyttbart medium för lagring av känsliga personuppgifter utan att säkerställa att obehöriga inte kan ta del av dem och därefter förlorat kontrollen över usb-minnet. Regionen har därför behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen.

text: Val av ingripande

text: Tillämpliga bestämmelser

text: Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 istället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: Medlemsstaterna får fastställa regler för om och i vilken utsträckning administrativa sanktionsavgifter kan påföras offentliga myndigheter. Det framgår av artikel 83.7 i dataskyddsförordningen. Sverige har i enlighet med detta beslutat att tillsynsmyndigheten ska få ta ut sanktionsavgifter av myndigheter. För överträdelser av bland annat artikel 32 ska avgiften uppgå till högst 5 000 000 kronor. Det framgår av

text: 6 kap. 2 § dataskyddslagen

text: och artikel 83.4 i dataskyddsförordningen.

text: Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen.

text: Sanktionsavgift ska påföras

text: IMY har ovan bedömt att regionen har överträtt artikel 32.1 i dataskyddsförordningen. Överträdelser av den bestämmelsen kan, som framgår ovan, föranleda sanktionsavgifter. IMY finner vid en samlad bedömning av de omständigheter som beskrivs under rubriken Sanktionsavgiftens storlek att det finns skäl att påföra nämnden en sanktionsavgift och att det därmed inte är fråga om en sådan mindre överträdelse att det finns skäl att i stället utfärda en reprimand.

text: Sanktionsavgiftens storlek

text: För överträdelser av bland annat artikel 32 i dataskyddsförordningen får sanktionsavgiften för offentliga myndigheter uppgå till högst 5 000 000 kronor. Det framgår av

text: 6 kap. 2 § dataskyddslagen

text: och artikel 83.4 i dataskyddsförordningen. I bedömningen av överträdelsens allvarlighet beaktar IMY i enlighet med artikel 83.2 g i dataskyddsförordningen att behandlingen har omfattat känsliga personuppgifter om hälsa.

text: Vidare beaktar IMY vad som framkommit om överträdelsens karaktär, svårighetsgrad och varaktighet utifrån vad som anges i artikel 83.2 a i dataskyddsförordningen. Överträdelsen har skett genom att regionen har lagrat okrypterade personuppgifter om patienter på ett usb-minne och förlorat kontrollen över usb-minnet. Det har inneburit att regionen inte har säkerställt en lämplig säkerhetsnivå i förhållande till risken för förlust, obehörigt röjande av eller obehörig åtkomst till personuppgifterna. Behandlingen har inneburit att ett större antal patienter kan identifieras direkt genom personnummer tillsammans med uppgifter om hälsa, vilket innebär en hög risk för de registrerades frioch rättigheter. Att regionen inte har uppfyllt säkerhetskraven är allvarligt eftersom det är frågan om personuppgifter av sådan typ att uppgifterna kräver ett starkt skydd utifrån behandlingens art.

text: Det avser dessutom personuppgifter som skyddas av sekretess. Mot bakgrund av att regionen uppgett att det rör sig om 1 934 registrerade kan det även konstateras att överträdelsen berör ett stort antal registrerade.

text: IMY anser att det är en försvårande omständighet att usb-minnet inte återfunnits och det är oklart vilken spridning personuppgifterna har fått.

text: IMY bestämmer utifrån en samlad bedömning att regionen ska betala en administrativ sanktionsavgift på 200 000 (tvåhundratusen) kronor.

text: Detta beslut har fattats av den tillförordnade enhetschefen Linn Sandmark efter föredragning av juristen Anna Hellgren Westerlund. Vid den slutliga handläggningen av ärendet har enhetschefen Katarina Tullstedt medverkat. Vid handläggningen av ärendet har it- och informationssäkerhetsspecialisten Joyce Wong medverkat.

text: Linn Sandmark, 2023-04-26 (Det här är en elektronisk signatur)

text: Bilaga

text: Information om betalning av sanktionsavgift

text: Kopia till

text: Dataskyddsombudet Klaganden

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.


text: Svea Inkasso AB

text: Inkassoverksamhet ska bedrivas enligt god inkassosed (

text: 4 § inkassolagen

text: ). Vad som är god inkassosed framgår av

text: 11 §§

text: inkassolagen

text: , av de allmänna råden ”Tillämpning av

text: inkassolagen

text: ” och IMY:s praxis i inkassofrågor.

sprak: sv

titel: Beslut

nyckelord:
Kreditupplysning
Dina rättigheter

publisher: Integritetsskyddsmyndigheten

slug: svea-inkasso

title: Svea inkasso

org: imy

sammanfattning: IMY konstaterar att bolaget utsatt gäldenärer för otillbörlig påtryckning genom att i inkassokrav som riktas till privatpersoner ange att utebliven betalning inom den tidsfrist som anges för betalning i inkassokravet innebär att gäldenären kan få en betalningsanmärkning. IMY förutsätter att bolaget nu formulerar om och tydliggör informationen om betalningsanmärkning i inkassokrav som riktas till privatpersoner.

text: IMY-2022-1292 Beslut efter tillsyn enligt

text: inkassolagen

type: stycke

text: – Svea Inkasso AB

type: rubrik

text: Integritetsskyddsmyndighetens beslut

text: IMY konstaterar att Svea Inkasso AB i strid med

text: 4 § inkassolagen (1974:182)

text: har utsatt gäldenärer för en otillbörlig påtryckning genom att i inkassokrav som riktas till privatpersoner ange att utebliven betalning inom tidsfristen innebär att gäldenären kan få en betalningsanmärkning.

text: Integritetsskyddsmyndigheten förutsätter att Svea Inkasso AB vidtar åtgärder för att komma tillrätta med den påpekade bristen.

text: Ärendet avslutas.

text: Redogörelse för ärendet

text: Den 28 april 2022 genomförde Integritetsskyddsmyndigheten (IMY) en inspektion hos Svea Inkasso AB (fortsättningsvis Svea Inkasso). Inspektionen företogs med anledning av att IMY rutinmässigt besöker stora aktörer som har inkassotillstånd.

text: Syftet med inspektionen var att få förståelse för hur verksamheten bedrivs och att granska Svea Inkassos rutiner för inkassoförfarandet. Frågor som togs upp vid inspektionen omfattade bland annat eventuella förändringar i verksamheten, inkassoförfarandet initialt, inkassokravets utformning, användning av digital brevlåda och utskick av inkassokrav via sms, hantering av bestridanden och val av processform, amorteringsplan och efterbevakning. Vid inspektionstillfället gjordes även en uppföljning av de tidigare tillsynsärendena dnr 1016-2014, dnr 271-2015 och dnr 1940-2014.

text: Motivering av beslutet

text: Tillämpliga bestämmelser Formulering i inkassokrav om betalningsanmärkning

text: Tillämpliga bestämmelser m.m.

text: Enligt

text: 4 § inkassolagen

text: ska inkassoverksamhet bedrivas i enlighet med god inkassosed, dvs. gäldenären får inte vållas onödig skada eller olägenhet eller utsättas för otillbörlig påtryckning eller annan otillbörlig inkassoåtgärd.

text: Bakgrund

text: I inkassokrav som Svea Inkasso använder i sin verksamhet finns följande information angiven ”Det här kravet skickas enligt

text: 6 § inkassolagen

text: vilken säger att rättslig åtgärd inte får vidtas innan krav enligt

text: 5 § inkassolagen

text: har skickats. Om du inte betalat senast DATUM kan vi vidta rättsliga åtgärder. Du riskerar då att få ökade kostnader

text: Enligt vad Svea Inkasso uppgett vid inspektionen syftar Svea Inkassos formulering i inkassokravet vad avser ”…och kan även få en betalningsanmärkning” till att ge gäldenären information om vad som kan komma att ske vid utebliven betalning, dvs. att gäldenären i ett senare skede riskerar att få en betalningsanmärkning i fall skulden fastställs genom en tredskodom eller genom ett utslag från Kronofogdemyndigheten. Utöver formuleringen i inkassokravet kan gäldenären via ”Mina sidor” eller genom att ringa till Svea Inkasso få mer utförlig information om bland annat hur och i vilket skede en betalningsanmärkning uppkommer.

text: Integritetsskyddsmyndighetens bedömning

text: Svea Inkasso lämnar information om betalningsanmärkning i sina inkassokrav enligt följande: ”Du riskerar då att få ökade kostnader och kan även få en betalningsanmärkning.”

text: IMY anser att det generellt inte föreligger några hinder för inkassobolag att i inkassokrav informera om att gäldenären riskerar att få en betalningsanmärkning vid utebliven betalning. Med hänsyn särskilt till att en betalningsanmärkning kan få allvarliga konsekvenser för gäldenärer, till exempel vad avser möjlighet att ta lån, hyra bostad och liknande, är det dock viktigt att sådan information är sakligt korrekt. Det måste därvid vara tydligt för gäldenären i vilket skede en betalningsanmärkning kan komma att registreras.

text: Om en gäldenär inte har betalat inom den på inkassokravet föreskrivna tiden har ett inkassobolag möjlighet att väcka talan vid domstol genom en ansökan om stämning eller ansöka om betalningsföreläggande hos Kronofogdemyndigheten för att försöka få betalt för fordran. Båda dessa förfaranden är förenade med kostnader som inkassobolaget har rätt att kräva ersättning för av gäldenären. Risken för ökade kostnader för gäldenären är således en direkt följd vid utebliven betalning om inkassobolaget väljer att använda sig av tillämpliga förfaranden för att få betalt för fordran. Informationen därom i aktuellt inkassokrav – ”Du riskerar då att få ökade kostnader…” - överensstämmer således med verkliga förhållanden.

text: Betalningsanmärkning förutsätter däremot, i de fall då kravet riktas mot en privatperson, att skulden först har fastställts genom en tredskodom eller genom ett utslag från Kronofogdemyndigheten i ärende om betalningsföreläggande. En betalningsanmärkning är således inte en direkt följd av att betalning uteblir utan förutsätter dels att inkassobolaget ansöker om stämning alternativt ansöker om betalningsföreläggande dels att skulden därefter har fastställts.

text: IMY konstaterar att den information som Svea Inkasso lämnar i sina inkassokrav riktade till privatpersoner om betalningsanmärkning inte innehåller några tydliggöranden om i vilket skede en betalningsanmärkning kan komma att påföras. Genom att denna information anges i samma mening som risken för att påföras ökade kostnader, ges istället snarare sken av att betalningsanmärkning skulle vara en direkt följd av att betalning uteblir, vilket är felaktigt när gäldenären är en privatperson. Detta kan få till följd att gäldenären, utan att närmare kontrollera kravet, betalar inkassokravet av rädsla för att annars få en betalningsanmärkning.

text: Genom att utforma informationen i inkassokravet, i fall då kravet riktas mot en privatperson, på ett sätt som ger sken av att betalningsanmärkning kan vara en direkt följd av att gäldenären inte betalar i tid anser IMY att gäldenären utsätts för otillbörlig påtryckning och att den aktuella informationen i Svea Inkassos inkassokrav därför är i strid med god inkassosed och

text: 4 § inkassolagen

text: IMY förutsätter att Svea Inkasso AB formulerar om och tydliggör informationen i sina inkassokrav riktade mot privatpersoner i denna del.

text: Övrigt

text: Vad som i övrigt har framkommit i ärendet föranleder inga synpunkter från IMY.

text: Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av juristen Karin Ekström.

text: Catharina Fernquist, 2022-06-30 (Det här är en elektronisk signatur)

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Integritetsskyddsmyndigheten sänder överklagandet vidare till Förvaltningsrätten i Stockholm för prövning, om myndigheten inte själv ändrar beslutet på det sätt ni har begärt. Även Justitiekanslern får överklaga beslutet för att tillvarata allmänna intressen. Tiden för överklagande för Justitiekanslern räknas dock från den dag beslutet meddelades.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

type: avgorande


text: Verisure Sverige AB

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: Enligt Verisures webbplats har bolaget ca 500 000 svenska kunder, se Verisure, ”Om oss”. https://www.verisure.se/om-oss [2024-11-27]

text: Jfr EU-domstolens dom Pankki S,

text: , EU:C:2023:501, punkt 37-83.

nyckelord: Dataskydd Kamerabevakning

slug: verisure

title: Verisure Sverige AB

sammanfattning: Integritetsskyddsmyndigheten (IMY) konstaterar att Verisure Sverige AB under tiden den 20 april 2022 till augusti 2022 har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen genom att inte ha vidtagit lämpliga åtgärder för att säkerställa en lämplig skyddsnivå för personuppgifter i form av bildmaterial från kameror i privatpersoners hem. IMY ger bolaget en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen för den konstaterade överträdelsen.

text: IMY-2022-1558 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Verisure Sverige AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten (IMY) konstaterar att Verisure Sverige AB (556153- 2176) under tiden den 20 april 2022 till augusti 2022 har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen genom att inte ha vidtagit lämpliga åtgärder för att säkerställa en lämplig skyddsnivå för personuppgifter i form av bildmaterial från kameror i privatpersoners hem.

text: IMY ger Verisure Sverige AB en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen för den konstaterade överträdelsen.

text: Redogörelse för tillsynsärendet

text: Bakgrund

text: Integritetsskyddsmyndigheten (IMY) har tagit del av uppgifter i media som bland annat gör gällande att anställda hos Verisure Sverige AB (härefter ”Verisure” eller bolaget”) i samband med inkomma larm har delat bildmaterial från kameror i privatpersoners hem mellan sig på olika sätt utan att det varit befogat. IMY har därför inlett tillsyn mot Verisure i syfte att utreda bolagets interna hantering av bildmaterial från kameror uppsatta i kunders hem.

text: IMY har efter tillsynens inledande mottagit tips gällande Verisures tekniska och organisatoriska säkerhetsåtgärder. Verisure har fått tillfälle att yttra sig med anledning därav.

text: Vad som framkommit i ärendet

text: Verisure har bland annat uppgett följande.

text: Om uppgifterna i media

text: Bolaget har tagit uppgifterna i medierapporteringen mycket allvarligt och har tillsatt stora resurser för att utreda påståendena i aktuell tidningsartikel. Verisure tar dock

text: avstånd från uppgifterna i media i och med att ingenting i bolagets omfattande interna utredning tyder på att det skulle finnas utrymme för sådan behandling av bildmaterial som beskrivits eller att liknande behandling faktiskt sker. Den interna utredningen har bland annat bestått i intervjuer med anställda och tidigare anställda, en teknisk genomgång av logguppgifter för att kontrollera om bildmaterial har hanterats på ett avvikande sätt, genomgång av larmoperatörernas chattgrupper samt en genomgång av de tekniska begränsningarna i bolagets system för att identifiera eventuella brister som skulle kunna möjliggöra felaktig behandling av bildmaterialet. Bolagets internutredning har även inneburit en genomgång av listan för hanterade ärenden avseende begäran om registerutdrag i enlighet med dataskyddsförordningen, samt en granskning av efterlevnaden av det gällande dataskyddsregelverket och det interna regelverket. Vidare har internutredningen omfattat en granskning av de dataskyddsrelaterade utbildningsinsatser som bolaget genomför för nyanställda och i det löpande arbetet.

text: Resultatet av den interna utredningen visar att det inte finns något som tyder på att det har förekommit felaktig delning av personlig kundinformation på det sätt som beskrivits i media. I internutredningen kunde Verisure inte heller finna något bevis eller annars något som antyder pågående eller aktuella överträdelser av det interna regelverket. Bolaget har även en etablerad visselblåsarkanal som har använts av medarbetare i andra sammanhang men det finns inga rapporterade händelser som tyder på att felaktig behandling av bildmaterial har rapporterats via den kanalen.

text: Hade påståendena i media varit sanna hade det dock inte funnits någon laglig grund för en sådan uppenbart otillåten personuppgiftsbehandling.

text: Om Verisures hantering av personuppgifter från kunders kameror i övrigt

text: Verisure är en auktoriserad larmcentral vilket ställer omfattande regulatoriska krav på verksamheten. Verisure tar sitt ansvar som personuppgiftsansvarig på största allvar och arbetar strukturerat med integritets- och dataskyddsfrågor för att tillvarata de registrerades intressen. Kundernas integritet är en integrerad och avgörande del av Verisures verksamhet. Bolaget har bland annat ett omfattande internt regelverk i form av riktlinjer och rutiner.

text: I bolagets interna policy framgår tydligt hur larmoperatörerna får hantera bildmaterial och i vilka situationer de får titta på bilderna eller be en kollega att titta. Som en integritetshöjande åtgärd har Verisure även implementerat detaljerade instruktioner avseende hur kamerorna får installeras för att inte riskera att kränka den personliga integriteten. Verisure har även implementerat tekniska begränsningar som säkerställer att bildmaterial enbart behandlas om det är nödvändigt för att uppnå syftet med behandlingen.

text: Bildmaterialet är tillgängligt för behörig personal i bolagets system en viss tid, därefter raderas det automatiskt från systemet men arkiveras ytterligare en tid bland annat för behovet av att kunna dela bilder med brottsbekämpande myndigheter. Verisure har gjort bedömningen att den tid bildmaterialet sparas är en tillräckligt lång period för bolaget att lagra bildfilerna för att med beaktande av det tydliga integritetsintresset ändå kunna uppfylla bolagets ändamål med behandlingen. Till exempel kan det finnas behov av att kunna följa upp hur en viss incident har hanterats eller kunna besvara kunders frågor om en viss incident som kräver tillgång till bildmaterial.

text: Samtliga bildvisningar i bolagets system loggas. Det är tekniskt omöjligt att få tillgång till bildmaterialet utan att det loggas. Det innebär att om det inte finns en logg om

text: hantering av bilder i systemet kan Verisure med säkerhet konstatera att det inte förekommit någon åtkomst. Att all hantering av bildmaterialet loggas möjliggör utredning av otillåten åtkomst till materialet.

text: Som huvudregel ska bildmaterial inte exporteras från Verisures system. Det finns dock undantag där Veirsure är berättigad att dela bilder varför det finns en möjlighet att exportera bilder i särskilda fall. Denna funktion omfattas av accessbegränsningar och åtgärder loggas varför det alltid går att spåra hur en bild har delats.

text: Verisure har enbart möjlighet att eftersöka missförhållanden av det slag som påståtts i media under en viss period bakåt i tiden då bildmaterial raderas från systemet i enlighet med bolagets automatiska gallringsrutiner. Logguppgifter i form av bildernas filnamn har dock sparats en något längre tid, nämligen 100 dagar, innan även dessa uppgifter raderades. Med denna uppgift har Verisure kunnat kontrollera hur många gånger en viss operatör har öppnat en bild. Sedan augusti 2022 har en justering av lagringstiden för logguppgifter skett. Justeringen innebär att samtliga logguppgifter, förutom bilder, lagras i fem år. Justeringen avseende lagringstiden för logguppgifterna är delvis ett resultat av behovet av att kunna utreda bildhantering under en längre period bakåt i tiden.

text: Om tipsen

text: Gällande det första tipset som inkommit till IMY om inloggningsuppgifter stämmer uppgifterna i stora delar inte överens med Verisures uppfattning. Det har funnits goda skäl till det aktuella användandet av en viss typ av inloggningsuppgifter och förfarandet har utformats med beaktande av relevant dataskyddslagstiftning. Användningen har dessutom pågått under en begränsad tid och har nu avvecklats. Avseende de två andra tipsen är Verisure inte att anse som personuppgiftsansvarig för de beskriva behandlingarna. I det ena tipset har en av Verisures franchisetagare tillika personuppgiftsbiträde tydligt agerat utanför sin instruktion och det bolaget är därmed att anse som personuppgiftsansvarig för den aktuella händelsen. Trots att Verisure inte är personuppgiftsansvarig för den aktuella behandlingen har bolaget dock tagit tipset på stort allvar och agerat därefter. Verisure har bland annat bistått den aktuella franchisetagaren i utredningen av händelsen som beskrivs i tipset. Det andra tipset rör ett annat bolag.

text: Omfattningen av IMY:s prövning i ärendet

text: Dataskyddsförordningen innehåller ett stort antal regler som måste följas i samband med behandling av personuppgifter. Inom ramen för detta tillsynsärende granskar IMY inte samtliga regler och frågeställningar som kan aktualiseras i Verisures verksamhet.

text: IMY:s prövning i ärendet har avgränsats till att omfatta den i media beskriva personuppgiftsbehandlingen samt att avse i vad mån bolaget vidtagit lämpliga tekniska och organisatoriska åtgärder för att skydda bolagets kunders personuppgifter vid den interna hanteringen av bildmaterial i enlighet med artikel 32 i dataskyddsförordningen.

text: Motivering av beslutet

text: Tillämpliga bestämmelser

text: Personuppgiftsansvarig är enligt artikel 4.7 i dataskyddsförordningen en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller

text: tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.

text: Enligt principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen ska den personuppgiftsansvarige ansvara för efterlevnaden av principerna som beskrivs i första stycket i artikeln, däribland säkerhetsprincipen (artikel 5.1 f i dataskyddsförordningen). Ansvarsskyldighetsprincipen har vidareutvecklats i artikel 24 där det framgår att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen.

text: Av artikel 28.10 i dataskyddsförordningen följer att om ett personuppgiftsbiträde överträder denna förordning genom att fastställa ändamålen med och medlen för behandlingen, ska personuppgiftsbiträdet anses vara personuppgiftsansvarig med avseende på den behandlingen, utan att det påverkar tillämpningen av artiklarna 82, 83 och 84.

text: Av artikel 32.1 i dataskyddsförordningen följer att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Vid bedömningen av vilka tekniska och organisatoriska åtgärder som är lämpliga ska den personuppgiftsansvarige beakta den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter.

text: Enligt artikel 32.1 omfattar lämpliga skyddsåtgärder, när det är lämpligt,

text: a) pseudonymisering och kryptering av personuppgifter, b) förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna, c) förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, och d) ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: Enligt artikel 32.2 i dataskyddsförordningen ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de risker som behandlingen medför, i synnerhet för oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

text: Personuppgiftsansvar

text: Personuppgiftsansvar i tipsen

text: Verisure har uppgett att bolaget är personuppgiftsansvarig för den personuppgiftsbehandling som det första tipset om inloggningsuppgifter har avsett, vilket stöds av utredningen i ärendet. IMY bedömer att Verisure är personuppgiftsansvarig för den behandlingen i den mening som avses i artikel 4.7 i dataskyddsförordningen.

text: Vad gäller de två andra tipsen har Verisure anfört att bolaget inte är personuppgiftsansvarig för de beskrivna behandlingarna. Avseende det ena tipset

text: bedömer IMY att det mot bakgrund av den i tipset aktuella personuppgiftsbehandlingens art inte finns skäl att ifrågasätta att behandlingen gått utanför de instruktioner som personuppgiftsbiträdet fått och att Verisure därför inte är att anse som personuppgiftsansvarig. Avseende det andra tipset konstaterar IMY att det inte finns skäl att ifrågasätta att ett annat bolag är personuppgiftsansvarig för den behandlingen. IMY bedömer därför att Verisure inte är personuppgiftsansvarig för behandlingarna som dessa två tips avser varför dessa behandlingar inte omfattas av den fortsatta prövningen i detta beslut.

text: Personuppgiftsansvar i övrigt

text: Verisure har anfört att bolaget är personuppgiftsansvarig för behandling av personuppgifter i form av bildmaterial inom ramen för bolagets incidenthantering. Verisure har även anfört att bolaget är gemensamt personuppgiftsansvarig med kunden för den övervakning som kunden själv företar genom att använda Verisures monitoreringsfunktion i sin bostad, tomt och andra privata byggnader. Enligt Verisure blir bolaget trots detta dock att anse som ensamt personuppgiftsansvarig även avseende den behandlingen om det så kallande privatundantaget i artikel 2.2 c i dataskyddsförordningen är tillämpligt för kunden. Detta då kundens behandling av personuppgifter i det fallet faller utanför dataskyddsförordningens tillämpningsområde.

text: Vad Verisure anfört vinner stöd av övrig utredning i ärendet. IMY bedömer därför att Verisure är personuppgiftsansvarig för den aktuella personuppgiftsbehandlingen i den mening som avses i artikel 4.7 i dataskyddsförordningen.

text: Tipset om inloggningsuppgifter

text: I tipset har gjorts gällande att Verisure använt en viss typ av inloggningsuppgifter på ett sätt som skulle kunna strida mot dataskyddsförordningen. Mot bakgrund av vad Verisure uppgett om användandet av de aktuella inloggningsuppgifterna och vad som i övrigt framkommit i utredningen kan IMY dock inte konstatera någon brist i förhållande till dataskyddsförordningen.

text: Den i media påstådda hanteringen av bilder

text: I medierapporteringen som IMY tog del av innan tillsynen mot Verisure inleddes gjordes det gällande att anställda på Verisure delat uppgifter om bilder på lättklädda personer mellan sig och att flera av de anställda tagit del av bilderna genom bolagets larmhanteringssystem i syfte att roa sig. Den aktuella nyhetsartikeln gjorde också gällande att bilder kunde skickas mellan de anställda, bland annat i ett chattprogram.

text: IMY konstaterar att den behandling av bildmaterial som har beskrivits i media är mycket allvarlig och skulle kunna innebära ett stort intrång i enskildas personliga integritet. En sådan behandling skulle, som även Verisure har anfört, sakna rättslig grund i artikel 6 i dataskyddsförordningen och därmed vara otillåten. För att kunna konstatera en brist enligt dataskyddsförordningen måste det dock stå klart att den behandling av bildmaterial som beskrivits i media har skett.

text: Verisure har redogjort för den interna utredning som bolaget vidtagit för att utreda uppgifterna i media och har uppgett att det inte framkommit något i utredningen som tyder på att hantering av bildmaterial har skett på det sätt som har beskrivits i media.

text: IMY konstaterar att Verisure har vidtagit en omfattande intern utredning för att utreda den påstådda hanteringen av bildmaterial. Bolagets internutredning har inte visat att

text: det som påståtts i media har inträffat. Det har inte heller genom IMY:s utredning i ärendet i övrigt kunnat visas att det som beskrivits i media har skett. IMY bedömer därför att utredningen i ärendet inte ger stöd för att Verisure har brustit i efterlevnaden av dataskyddsförordningen på det sätt som har beskrivits i media.

text: Verisure har inte vidtagit lämpliga säkerhetsåtgärder

text: Mot bakgrund av vad som framkommit av utredningen i ärendet finner IMY dock skäl att pröva om Verisure vidtagit lämpliga åtgärder för att säkerställa en skyddsnivå som är lämplig utifrån riskerna med behandlingen.

text: Behandlingen har inneburit stora integritetsrisker och krävt en hög skyddsnivå

text: Den personuppgiftsansvariga ska säkerhetsställa en säkerhet som är lämplig utifrån riskerna med behandlingen. Bedömningen av lämplig skyddsnivå ska göras med beaktande av bland annat behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter. Vid bedömningen ska särskild hänsyn tas till de risker som behandlingen medför, bland annat obehörigt röjande av eller obehörig åtkomst till personuppgifterna.

text: IMY konstaterar att Verisure i sin verksamhet hanterar personuppgifter från ett stort antal registrerade. IMY konstaterar vidare att det är fråga om en larmhanteringstjänst där kameror uppsatta i privatpersoners hem är en del av den tjänsten. Den behandling av personuppgifter som sker i och med detta är således bland annat insamling och hantering av bildmaterial beståendes av personer som befinner sig i sin hemmiljö. Detta är en mycket integritetskänslig behandling. Vidare kan konstateras att personer som är kunder hos Verisure har anlitat bolaget i trygghets- och säkerhetssyfte och förlitar sig på att de kameror som finns uppsatta i hemmet endast används av Verisure för att säkerställa detta syfte. Det är således fråga om behandling av personuppgifter för vilka de registrerade har berättigade förväntningar på en hög grad av konfidentialitet och ett robust skydd mot obehörig och otillåten behandling. Denna typ av personuppgiftsbehandling sker dessutom inom ramen för Verisures kärnverksamhet, något som medför ännu högre krav på skyddsnivå.

text: Med hänsyn bland annat till att de uppgifter som Verisure behandlat har varit av integritetskänslig karaktär och berört ett stort antal personer har bolagets behandling av personuppgifter sammantaget inneburit en hög risk för fysiska personers rättigheter och friheter. Behandlingens art, omfattning och sammanhang har därmed medfört ett krav på en hög skyddsnivå för uppgifterna. Åtgärderna ska bland annat säkerställa att personuppgifter skyddas mot obehörigt röjande och obehörig åtkomst.

text: Uppgifterna har inte skyddats på ett lämpligt sätt

text: IMY ska därefter bedöma om Verisure har säkerställt den höga skyddsnivå som krävts. För att kunna upprätthålla säkerheten för de personuppgifter som behandlas i en verksamhets system är det grundläggande att kunna ha kontroll över vad som sker, och vad som har skett med uppgifterna. För den registrerade finns även en rätt att få tillgång till sina personuppgifter och information om hur uppgifterna har behandlats. För att den registrerade ska kunna utöva denna rättighet och därigenom bland annat kunna kontrollera lagligheten av behandlingen är det grundläggande att den

text: personuppgiftsansvarige har kontroll över hur uppgifterna behandlas eller har behandlats. Detta kan exempelvis ske genom loggföring.

text: Av utredningen i ärendet framgår att bildmaterialet lagras i en viss på förhand bestämd tid och raderas därefter från systemet. Efter denna period går det inte att eftersöka operatörers hantering av enskilda bilder. Inom ramen för bildhantering loggas däremot även andra uppgifter med nära anknytning till bildhanteringen under en något längre tid. Innan augusti 2022 sparades logguppgifter i form av bildernas filnamn i sammanlagt 100 dagar. Denna logguppgift gör det möjligt att kontrollera hur många gånger en viss operatör har öppnat en bild.

text: Vad gäller lagringstiden för Verisures logguppgifter gör IMY följande bedömning. Bildmaterial från kunders kameror i hemmet är som tidigare konstaterats förknippade med ett tungt vägande integritetsintresse. Mot bakgrund av detta samt de ändamål med behandlingen som Verisure har beskrivit och vad bolaget i övrigt uppgett anser IMY att den tid Verisure lagrar bildmaterialet är proportionerlig.

text: Det finns dock andra mindre integritetskänsliga logguppgifter som kan användas för att kontrollera att bildmaterial inte hanteras på ett otillbörligt sätt och därmed säkerställa att personuppgifter skyddas mot obehörigt röjande och obehörig åtkomst. Logguppgifter i form av bildernas filnamn är en sådan logguppgift med vilken man kan eftersöka hur många gånger en viss bild har öppnats i systemet. Enligt Verisure har dock dessa logguppgifter endast lagrats i 100 dagar vilket gjort att någon eftersökning av eventuell felhantering av bildmaterial inte kunnat göras efter denna period. Med beaktande av den höga skyddsnivå som har krävts för personuppgifterna bedömer IMY att den aktuella lagringstiden för logguppgifter om bildernas filnamn har varit för kort för att skydda uppgifterna mot obehörigt röjande eller obehörig åtkomst i tillräcklig grad och att säkerställa konfidentialiteten för personuppgifterna som behandlas i deras system.

text: IMY bedömer därför att Verisure inte har vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som var lämplig i förhållande till risken med behandlingen. Anledningen till detta är att Verisure inte lagrat logguppgifter om bildernas filnamn tillräckligt länge för att kunna eftersöka eventuell felhantering av personuppgifter i form av bildmaterial från kunders kameror. Genom detta har Verisure också saknat förmåga att i tillräcklig grad säkerställa skyddet för de registrerades rättigheter.

text: Verisure har dock inom ramen för en generell översyn av lagringstider under tiden för IMY:s tillsyn, implementerat en ny lagringstid för bildernas filnamn som innebär att logguppgifter om filnamnen sedan augusti 2022 sparas i fem år. Verisure har uppgett att justeringen av lagringstiden för filnamnen delvis är ett resultat av behovet att kunna utreda bildhantering under en längre period bakåt i tiden. Genom denna justering anser IMY att Verisure sedan augusti 2022 inte längre brister i efterlevnaden av dataskyddsförordningen på det sätt som beskrivits ovan.

text: Inom ramen för denna tillsyn har Verisure även redogjort för andra tekniska och organisatoriska säkerhetsåtgärder som bolaget har vidtagit för att skydda kunders personuppgifter vid den interna hanteringen av bildmaterial. Med anledning av vad

text: Verisure uppgett i denna del konstaterar IMY att det inte framkommit annat än att de övriga skyddsåtgärderna framstår som lämpliga.

text: Sammantaget bedömer IMY att Verisure har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen. Av utredningen i ärendet kan utläsas att den begränsade lagringstiden för de aktuella logguppgifterna har förelegat åtminstone sedan tiden för tillsynens inledande den 20 april 2022 fram till augusti 2022. IMY bedömer därför att Verisure har behandlat personuppgifter i strid med dataskyddsförordningen under tiden den 20 april 2022 till augusti 2022.

text: Val av ingripande

text: Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: Vid bedömningen av valet av ingripande beaktar IMY följande. IMY har bedömt att Verisure har överträtt artikel 32.1 i dataskyddsförordningen genom att under tiden den 20 april 2022 till augusti 2022 inte ha lagrat logguppgifter om bildernas filnamn tillräckligt länge för att kunna eftersöka eventuell felhantering av personuppgifter och på så sätt bland annat kunna säkerställa att personuppgifterna skyddades mot obehörigt röjande och obehörig åtkomst. En överträdelse av den bestämmelsen kan föranleda en sanktionsavgift.

text: Bildmaterial innehållandes personer i deras hemmiljö är mycket integritetskänsliga personuppgifter. Ett obehörigt röjande eller åtkomst till sådana personuppgifter medför en hög risk för de registrerades fri- och rättigheter. Verisure har saknat förmåga att eftersöka eventuell felhantering av personuppgifterna längre tillbaka i tiden än 100 dagar vilket innebär en risk för att obehörigt röjande eller åtkomst har kunnat ske utan att Verisure haft förmåga att kontrollera detta och vidta eventuella lämpliga åtgärder.

text: Verisure har dock inom ramen för en intern översyn, bland annat för att göra det möjligt att utreda bildhantering längre tillbaka i tiden, ändrat lagringstiden för de aktuella logguppgifterna på så sätt att de nu lagras i fem år. Detta gjordes visserligen efter att IMY inlett den nu aktuella tillsynen men innebär att Verisure därmed åtgärdat bristen. Vidare har den konstaterade bristen i sig inte inneburit att personuppgifter har behandlats på ett otillåtet sätt utan rör möjligheten att i efterhand kunna kontrollera behandlingen av uppgifterna.

text: IMY finner vid en samlad bedömning av omständigheterna i ärendet att det är fråga om en sådan mindre överträdelse i den mening som avses i skäl 148 att det finns anledning att avstå från att påföra Verisure en sanktionsavgift för den konstaterade överträdelsen. Verisure ska därför, med stöd av artikel 58.2 b i dataskyddsförordningen, i stället ges en reprimand för den konstaterade överträdelsen.

text: Detta beslut har fattats av enhetschefen Jenny Bård efter föredragning av avdelningsjuristen Sarah Bodlander. Vid den slutliga handläggningen av ärendet har även avdelningsjuristen Andreas Persson och it- och informationssäkerhetsspecialisten Petter Flink medverkat.

text: Jenny Bård

text: Kopia till

text: Dataskyddsombudet

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.