text: Sveriges Kommuner och Landsting bytte den 27 november 2019 namn till Sveriges Kommuner och Regioner. 3 Inom ramen för tillsynsärendet har IMY vänt sig till Socialstyrelsen som yttrade sig den 15 maj 2023.

text: Av information på Socialstyrelsens webbplats framgår att Socialstyrelsen har sammanställt koder som används i patientregistret för sjukhus och kliniker, https://www.socialstyrelsen.se/statistik-och-data/klassifikationer-ochkoder/andra-kodverk/sjukhuskoder/ [2024-11-04]. 5 Av information på Inera AB:s webbplats framgår att katalogtjänst HSA är en elektronisk katalog som innehåller kvalitetsgranskade uppgifter om organisationer och personer inom vård och omsorg i Sverige, https://www.inera.se/tjanster/alla-tjanster-a-o/hsa-katalogtjanst/ [2024-11-04]. 6 Information på Socialstyrelsens webbplats om KVÅ-koder, https://www.socialstyrelsen.se/statistik-ochdata/klassifikationer-och-koder/kva/ [2024-11-04]. 7 Information på Socialstyrelsens webbplats om sjukdomsklassifikationen ICD, https://www.socialstyrelsen.se/statistikoch-data/klassifikationer-och-koder/icd-10/ [2024-11-04].

text: EDPB:s:

text: riktlinjer 07/2020

text: angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, version 2.0, antagna den 7 juli 2021, s. 10. 9 EDPB:s:

text: riktlinjer 07/2020

text: angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, version 2.0, antagna den 7 juli 2021, s. 12. 10 EDPB:s:

text: riktlinjer 07/2020

text: angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, version 2.0, antagna den 7 juli 2021, s. 13. 11

text: Riktlinjer 07/2020

text: angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, version 2.0, antagna den 7 juli 2021, s. 12 f.

text: Den nationella lagstiftningen i landet A fastställer en skyldighet för kommunala myndigheter att tillhandahålla sociala förmåner, som exempelvis månatliga utbetalningar till medborgare beroende på deras ekonomiska situation. För att kunna genomföra dessa utbetalningar måste den kommunala myndigheten samla in och behandla data om de ansökandes ekonomiska situation. Även om lagen inte uttryckligen anger att den kommunala myndigheten är personuppgiftsansvarig för denna behandling, är detta underförstått enligt lagbestämmelserna.

text: Prop. 2009/10:67 s. 46

text: . 13 Se Socialstyrelsens yttrande i ärendet den 15 maj 2023.

text: EU-domstolens dom den 24 februari 2022, Valsts ieņēmumu dienests,

text: , EU:C:2022:124, punkt 83, där EU-domstolen uttalar följande: ”I detta sammanhang ska det dock erinras om att för att uppfylla det proportionalitetskrav som föreskrivs i artikel 5.1 c i förordning 2016/679 (se för ett liknande resonemang, dom av den

text: juni 2021, Latvijas Republikas Saeima (Prickning),

text: , EU:C:2021:504, punkt 98 och där angiven rättspraxis), måste de föreskrifter som ligger till grund för behandlingen innehålla tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden samt ange minimikrav, så att de personer vars personuppgifter lämnas ut ges tillräckliga garantier för att uppgifterna på ett effektivt sätt är skyddade mot riskerna för missbruk. Dessa föreskrifter måste även vara rättsligt bindande enligt nationell rätt och i synnerhet ange under vilka omständigheter och på vilka villkor en åtgärd för behandling av sådana uppgifter får vidtas, vilket säkerställer att ingreppet begränsas till vad som är strikt nödvändigt (dom av den 6 oktober 2020, Privacy International,

text: , EU:C:2020:790, punkt 68 och där angiven rättspraxis).”. 15

text: Prop. 2017/18:105 s. 51

text: . 16 Jfr

text: SOU 2017:39 s. 114

text: f., Artikel 29-gruppens yttrande 6/2014,

text: WP 217

text: , s. 20 f. och Förvaltningsrätten i Stockholms dom 2020-06-17 i mål nr 9379-19 och 9408-19. 17

text: Prop. 2017/18:105 s. 188

text: f.

text: Skäl 38 till dataskyddsförordningen. 19

text: Prop. 2009/10:67 s. 46

text: Jfr skäl 41 till dataskyddsförordningen och artikel 6.3 i dataskyddsförordningen. 21

text: Prop. 2017/18:105 s. 188

text: ff.

text: EU-domstolens dom den 21 december 2023, Krankenversicherung Nordrhein,

text: mål C-667/21

text: , ECLI:EU:C:2023:1022, p. 79. 23 Öman, Dataskyddsförordningen (GDPR) m.m. (version 2B, JUNO), kommentaren till artikel 9.2 h. 24

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter.

text: Prop. 2005/06:70 s. 144

text: . 26 1 § lagen om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter. 27 Öman, Dataskyddsförordningen (GDPR) m.m. (version 2B, JUNO), kommentaren till

text: artikel 9.2 g

text: Prop. 2009/10:67 s. 45

text: Jfr

text: prop. 2017/18:232 s. 297

text: om motsvarande bestämmelse I

text: brottsdatalagen (2018:1177)

text: . 30

text: Prop. 2019/20:164 s. 47

text: . 31 IMY noterar i sammanhanget att Utredningen om hälsodataregister har föreslagit att det statliga behovet av uppföljning av väntetider ska tillgodoses genom en utökning av inrapportering av uppgifter till patientregistret som förs av Socialstyrelsen. Utredningen ifrågasätter inte regionernas fortsatta behov av väntetidsdatabasen med det innehåll och de funktioner som den har idag men anser att det kan ifrågasättas om den författningsreglerade uppgiftsskyldigheten till väntetidsdatabasen kan motiveras när det statliga behovet genom utredningens förslag täcks av insamlingen av uppgifter i patientregistret. Därför anser utredningen att regeringen, när nödvändiga väntetidsdata finns i patientregistret, bör överväga att upphäva regionernas rapporteringsskyldighet till väntetidsdatabasen enligt

text: 9 kap. 3 §

text: HSL (

text: SOU 2024:57 s. 200

text: f).

nyckelord:
Dataskydd
Hälso- och sjukvård

amne: Rättslig grund

korrigerandeAtgard: reprimand och förbud att behandla personuppgifter vid förandet av väntetidsdatabasen. Förbudet börjar gälla 24 månader efter att beslutet vunnit laga kraft.

lagrum: Artiklarna 6 och 9 i dataskyddsförordningen, GDPR.

nyckelord: Känsliga personuppgifter, uppgifter om hälsa, rättslig grund

overklagan: Ja, men återkallad

rubrik: Rättslig grund och behandling av känsliga personuppgifter

sammanfattning: IMY har granskat hur personuppgifter behandlas i den nationella väntetidsdatabasen som används för att ta fram väntetidsstatistik i vården och följa upp den statliga vårdgarantin. En stor del av uppgifterna som registreras är hälsouppgifter, vilket är känsliga personuppgifter enligt dataskyddsförordningen, GDPR. IMY bedömde att SKR är personuppgiftsansvarig för behandlingen bland annat eftersom SKR har sådan kontroll över behandlingen att organisationen bestämmer ändamål och medel för behandlingen. IMY bedömde även att den rättsliga grunden för behandlingen inte var tillräckligt precis, tydlig och förutsägbar för att kunna ligga till grund för behandlingen samt att det saknats tillräckliga skyddsåtgärder för behandling av känsliga personuppgifter. SKR ges en reprimand och förbjuds att behandla personuppgifter vid förandet av väntetidsdatabasen. Eftersom databasen fyller en viktig samhällelig funktion börjar förbudet att gälla två år efter att beslutet vunnit laga kraft. Tiden är satt för att författningsstöd ska kunna tas fram alternativt att SKR ska kunna vidta åtgärder så att personuppgifter inte längre behandlas i databasen. Läs tillsynsbeslutet

slug: skrs-vantetidsdatabas

title: Sveriges Kommuner och Regioner, väntetidsdatabas

sammanfattning: Förvaltningsrätten avskriver målet den 8 maj 2025, mål nr 9-25 efter att Sveriges Kommuner och Regioner (SKR) har återkallat sitt överklagande.

text: dataskyddsförordningen och bestämmelsen om behandling av känsliga personuppgifter i artikel 9 i dataskyddsförordningen?

text: SKR har förvaltat väntetidsdatabasen i dess nuvarande form sedan 2010. Eftersom dataskyddsförordningen började tillämpas den 25 maj 2018 är IMY:s prövning enligt dataskyddsförordningen begränsad till tiden därefter. Behandlingen av personuppgifter med anledning av förandet av väntetidsdatabasen innan den 25 maj 2018 ligger därmed utanför IMY:s tillsyn.

text: Tillsynen omfattar endast frågan om SKR:s ansvar för behandling av personuppgifter vid förandet av väntetidsdatabasen. Andra aktörers – till exempel regionernas – eventuella ansvar för personuppgiftsbehandlingen omfattas därför inte av IMY:s tillsyn.

text: 2.3 Vad som framkommit i ärendet

text: SKR har i ärendet uppgett bland annat följande.

text: Regionerna har en skyldighet enligt lag och förordning att rapportera uppgifter om väntetider till den nationella väntetidsdatabasen som förs av SKR. Den lagstadgade skyldigheten att rapportera kompletteras med modeller som SKR utvecklat tillsammans med regionerna. I överenskommelser mellan SKR och staten anges att det finns modeller för uppföljning av tillgänglighet, och att regionerna ska rapportera uppgifter till SKR och väntetidsdatabasen i enlighet med dessa. SKR har förvaltat väntetidsdatabasen i dess nuvarande form sedan vårdgarantin trädde i kraft 2010.

text: Ändamålet med personuppgiftsbehandlingen är att tillgängliggöra statistik över tillgänglighet till svensk hälso- och sjukvård för att bland annat kunna följa hur den lagstadgade vårdgarantin infrias. I väntetidsdatabasen finns sammanställd statistik över tillgängligheten till svensk hälso- och sjukvård. Statistiken är öppen för alla att ta del av, men är främst riktad till beslutsfattare och utövare inom hälso- och sjukvård (förtroendevalda och tjänstepersoner) samt samhällsbevakare.

text: Väntetidsdatabasen innehåller personuppgifter men endast den region som rapporterat in uppgifterna har möjlighet att identifiera enskilda patienter i väntetidsdatabasen.

text: SKR är inte personuppgiftsansvarig för den personuppgiftsbehandling som sker i den nationella väntetidsdatabasen. Personuppgiftsansvariga är Sveriges 21 regioner. Behandlingen i databasen genomförs på regionernas uppdrag med personuppgiftsbiträdeavtal (inkl. instruktioner) mellan respektive personuppgiftsansvarig region och SKR.

text: SKR anser, i sin roll som personuppgiftsbiträde, att behandlingen i väntetidsdatabasen stöder sig på artikel 6.1 c (rättslig förpliktelse) och 6.1 e (uppgift av allmänt intresse) samt artikel 9.2 g i dataskyddsförordningen. Genom ändamålsbestämmelsen i

text: 2 kap. 4 § patientdatalagen (2008:355)

text: , PDL, är det tillåtet för personuppgiftsansvariga att behandla personuppgifter (inklusive känsliga sådana) för bland annat statistiska ändamål. Vidare får personuppgiftsansvariga i enlighet med 2 kap. 5 § PDL behandla personuppgifter för att fullgöra uppgiftslämnande enligt lag eller förordning. Den behandling av personuppgifter som SKR utför i egenskap av personuppgiftsbiträde grundar sig på ett personuppgiftsbiträdeavtal mellan regionerna och SKR. Vidare finns bestämmelser i

text: 9 kap. 3 § hälso- och sjukvårdslagen (2017:30)

text: , HSL, och

text: 6 kap. 3 § hälso- och sjukvårdsförordningen (2017:80)

text: , HSF, enligt vilka det framgår att

text: uppgiftslämnande ska fullgöras genom att regionerna lämnar uppgifter om väntetider till den nationella väntetidsdatabas som förs av SKR. Behandlingen sker även på grundval av regeringsbeslut om överenskommelser om väntetider i vården i vilka kriterierna för inrapportering av personuppgifterna är fastställda. I sådana överenskommelser anges att det finns modeller för uppföljning av tillgänglighet och att regionerna ska rapportera uppgifter till SKR och väntetidsdatabasen i enlighet med dessa. SKR anser vidare i sin roll som personuppgiftsbiträde att de registrerades rättigheter och intressen skyddas genom tystnadsplikt, dels genom personuppgiftsbiträdesavtal, dels genom lagen (

text: ) om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter.

text: 3. Motivering av beslutet

text: 3.1 De uppgifter som behandlas vid förandet av den nationella väntetidsdatabasen utgör personuppgifter

text: För att dataskyddsförordningen ska vara tillämplig i ärendet krävs det att de uppgifter som behandlas vid förandet av den nationella väntetidsdatabasen utgör personuppgifter.

text: 3.1.1 Tillämpliga bestämmelser m.m.

text: Enligt

text: 9 kap. 3 §

text: HSL ska regionerna rapportera in uppgifter om väntetider till en nationell databas. Rapporteringsskyldigheten ska enligt 6 kap. 3 § HSF fullgöras genom att regionerna lämnar uppgifter om väntetider till den nationella väntetidsdatabas som förs av Sveriges Kommuner och Landsting .

text: Socialstyrelsen får enligt 6 kap. 4 § HSF meddela ytterligare föreskrifter om regionernas rapporteringsskyldighet enligt

text: 9 kap. 3 §

text: HSL. Socialstyrelsen har inte meddelat sådana föreskrifter eller tagit fram nationella riktlinjer som rör rapporteringsskyldigheten.

text: Med personuppgifter avses enligt artikel 4.1 i dataskyddsförordningen varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

text: I skäl 26 till dataskyddsförordningen anges att personuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör anses som uppgifter om en identifierbar fysisk person. I samma skäl anges vidare att man – för att avgöra om en fysisk person är identifierbar – bör beakta alla hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller av en annan person, rimligen kan komma att användas för att direkt eller indirekt identifiera den fysiska personen.

text: 3.1.2 SKR:s uppgifter i ärendet

text: Väntetidsdatabasen hanterar uppgifter om vårdkontakter (planerade/väntande och genomförda/produktion), ålder men där två regioner rapporterar åldersspann, kön,

text: enhet för vårdkontakt, åtgärdskoder i form av KVÅ-koder samt diagnoskoder enligt ICD10SE.

text: Uppgift om vårdenhet utgörs av belägenhet i form av län och kommun, sjukhuskod och klinikkod enligt Socialstyrelsens klassificering samt HSA-id. Från den så kallade HSAkatalogen för SKR in uppgift om vilka vårdenheter som rapporterats in av regionerna, det vill säga vårdenhets-ID.

text: Personuppgifter som lagras i systemet utgörs av avidentifierad vårdkontakt, ålder, kön, folkbokföringskommun, vårdtyp, diagnoser enligt ICD-10 och åtgärder i form av KVÅkoder.

text: För varje datapost som rapporteras in av regionerna väljer regionerna själva ett vårdkontakts-id som fungerar som en kodnyckel. Vårdkontakts-id är den uppgift som gör att regionerna kan koppla uppgiften till en patient. SKR har inte tillgång till de kodnycklar som kopplar ihop den inrapporterade datan med originaluppgifterna i regionernas journal- och tidssystem.

text: Personuppgifter behandlas för att göra beräkningar avseende både väntande för vård och genomförda besök. Det sker genom att SKR även tar in uppgifter om från vilken tidpunkt väntetiden börjat och avslutats.

text: Genom att aggregera data i intervaller säkerställs att det inte är möjligt att identifiera enskilda personer. Därmed säkerställs att SKR i egenskap av personuppgiftsbiträde inte kan använda dessa för att identifiera enskilda individer i väntetidsdatabasen.

text: 3.1.3 IMY:s bedömning

text: Avgörande för frågan om de uppgifter som behandlas vid förandet av den nationella väntetidsdatabasen utgör personuppgifter är om uppgifterna avser identifierade eller identifierbara fysiska personer. Som framgår av skäl 26 till dataskyddsförordningen krävs det inte att behandlingen avser t.ex. namn eller personnummer, utan även information som har kodats men som kan kopplas till en fysisk person med hjälp av kompletterande uppgifter utgör personuppgifter, under förutsättning att någon rimligen kan komma att använda sådana kompletterande uppgifter för att identifiera personen.

text: IMY delar SKR:s uppfattning att de uppgifter som behandlas vid förandet av väntetidsdatabasen utgör personuppgifter eftersom vårdkontakts-id möjliggör för regionerna att koppla uppgifter till en patient. Regionerna har också behörighet att komma åt de inrapporterade uppgifterna och således en faktisk möjlighet att identifiera patienterna.

text: Enligt IMY finns även skäl att bedöma om uppgifterna utgör personuppgifter även utan beaktande av vårdkontakts-id. IMY konstaterar att personuppgifter kan utgöras av en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

text: Utöver vårdkontakts-id behandlas bland annat uppgifter om enhet för vårdkontakt, åtgärdskoder i form av KVÅ-koder och diagnoskoder i form av ICD10SE.

text: Enhet för vårdkontakt består av uppgifter om län och kommun, sjukhuskod och 4 5 klinikkod enligt Socialstyrelsens klassificering samt HSA-id .

text: KVÅ-koder utgörs av uppgifter om åtgärder i hälso- och sjukvården som patientinriktade insatser som huvudsakligen utförs i ett utredande, behandlande eller förebyggande syfte. En medicinsk kroppsundersökning, till exempel att lyssna på hjärta eller lungor på en patient, är en utredande åtgärd. Operativa ingrepp, som blindtarmsoperation eller starroperation, är exempel på behandlande åtgärder. Stöd för att sluta röka är en förebyggande åtgärd.

text: ICD (International Statistical Classification of Diseases and Related Health Problems) är ett klassificeringssystem som syftar till att möjliggöra klassificering och statistisk beskrivning av sjukdomar och andra hälsoproblem som är orsak till människors död eller kontakter med hälso- och sjukvården. Förutom traditionella diagnoser omfattar klassifikationen ett brett spektrum av symtom, onormala fynd, besvär och sociala förhållanden. Den svenska versionen av ICD-10 heter ICD-10-SE, Internationell statistisk klassifikation av sjukdomar och relaterade hälsoproblem – systematisk förteckning.

text: Därutöver behandlas uppgifter om patienters ålder, kön, folkbokföringskommun, vårdtyp och uppgifter om från vilken tidpunkt väntetiden börjat och avslutats.

text: IMY bedömer att de uppgifter som behandlas sammantaget är så pass särskiljande i fråga om enskilda patienter att uppgifterna i många fall möjliggör identifiering av enskilda patienter. Personuppgifter behandlas därför vid förandet av väntetidsdatabasen även i frånvaro av uppgift om vårdkontakts-id.

text: Vad SKR uppgett om att personer inte kan identifieras av SKR eftersom datan aggregeras i intervaller påverkar inte IMY:s bedömning i denna del eftersom uppgifterna även behandlas av SKR i icke aggregerad form.

text: Sammanfattningsvis bedömer IMY att de uppgifter som behandlas vid förandet av den nationella väntetidsdatabasen utgör personuppgifter.

text: 3.2 Personuppgifterna utgör uppgifter om hälsa

text: 3.2.1 Tillämplig bestämmelse

text: Med uppgifter om hälsa avses enligt artikel 4.15 i dataskyddsförordningen personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus.

text: 3.2.2 IMY:s bedömning

text: Som framkommit ovan avser uppgifterna som rapporteras in till den nationella väntetidsdatabasen bland annat uppgift om vårdenhet, vårdtyp, diagnoser och

text: åtgärder. IMY konstaterar att det således är fråga om uppgifter som rör en fysisk persons fysiska eller psykiska hälsa och som ger information om dennes hälsostatus. Vid förandet av väntetidsdatabasen behandlas således uppgifter om hälsa enligt artikel 4.15 i dataskyddsförordningen.

text: 3.3 SKR är personuppgiftsansvarig för behandlingen av personuppgifter vid förandet av den nationella väntetidsdatabasen

text: 3.3.1 Tillämpliga bestämmelser m.m.

text: Med personuppgiftsansvarig avses enligt artikel 4.7 i dataskyddsförordningen en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Vidare framgår av artikeln att om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

text: Med personuppgiftsbiträde avses, enligt artikel 4.8 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning.

text: I Europeiska dataskyddsstyrelsens (EDPB) riktlinjer angående begreppen personuppgiftsansvarig och personuppgiftsbiträde anges bland annat följande. Begreppen personuppgiftsansvarig och personuppgiftsbiträde är funktionella begrepp: de syftar till att fördela ansvar enligt parternas faktiska roller. Detta innebär att en aktörs rättsliga status som antingen ”personuppgiftsansvarig” eller ”personuppgiftsbiträde” i princip måste fastställas av deras faktiska aktiviteter i en specifik situation, snarare än vid den formella tilldelningen av en aktör som antingen en ”personuppgiftsansvarig” eller ett ”personuppgiftsbiträde” (t.ex. i ett avtal). Detta innebär att rollfördelningen vanligtvis bör härröra från en analys av ärendets faktiska element eller omständigheter och är som sådan inte förhandlingsbar.

text: Vid bedömningen av vem som fastställer ändamål och medel kan enligt EDPB två situationskategorier särskiljas, dels kontroll som härrör från lagbestämmelser, dels kontroll som härrör från faktiskt inflytande. I avsaknad av kontroll som följer av lagbestämmelser måste en parts kvalificering som personuppgiftsansvarig fastställas på grundval av en bedömning av de faktiska omständigheterna kring behandlingen. Alla relevanta faktiska omständigheter måste beaktas för att nå en slutsats om huruvida en viss enhet utövar ett avgörande inflytande när det gäller behandlingen av personuppgifterna i fråga.

text: I riktlinjerna anges bland annat följande avseende kontroll som härrör från lagbestämmelser. Det finns fall där kontroll kan utläsas av uttrycklig juridisk kompetens, t.ex. när den personuppgiftsansvarige eller de specifika kriterierna för nominering av denne fastställs av nationell lagstiftning eller unionsrätt. Där den

text: personuppgiftsansvarige har identifierats specifikt av denna lagstiftning, kommer detta att vara fastställande för etablerandet av vem som fungerar som personuppgiftsansvarig. Men vanligare är att istället för att direkt utse den personuppgiftsansvarige eller fastställa kriterierna för utnämnandet, kommer lagen att fastställa en uppgift eller ålägga någon skyldighet att samla in och behandla vissa uppgifter. I sådana fall fastställs ändamålet med behandlingen ofta av rådande lagstiftning. Den personuppgiftsansvarige kommer normalt att vara den som utses av rådande lagstiftning för utförande av detta syfte, detta offentliga åtagande. I så fall anger lagen, om än indirekt, vem som är personuppgiftsansvarig. Mer allmänt kan lagen också ålägga antingen offentliga eller privata enheter att behålla eller tillhandahålla vissa uppgifter. Dessa enheter skulle då normalt betraktas som personuppgiftsansvariga med avseende på den behandling som är nödvändig för att fullgöra denna skyldighet.

text: I samma riktlinjer ges följande exempel:

text: 3.3.2 SKR:s uppgifter i ärendet

text: Det är regionerna och inte SKR som är personuppgiftsansvariga för den personuppgiftsbehandling som sker i den nationella väntetidsdatabasen. SKR:s behandling i databasen genomförs på regionernas uppdrag med personuppgiftsbiträdeavtal mellan respektive personuppgiftsansvarig region och SKR.

text: Regionerna bestämmer över vilka behandlingar som ska göras i väntetidsdatabasen. I egenskap av personuppgiftsansvariga ger regionerna SKR, som personuppgiftsbiträde, olika uppdrag. Gemensam beredning av aktuella uppdrag sker av regionerna via en nätverksstruktur med tillhörande arbets- och beredningsgrupper. Dessutom finns en regiongemensam styrgrupp, med en regionrepresentant som innehar ordförandeskapet. SKR har tillsammans med regionerna utvecklat modeller som regionerna ska rapportera i enlighet med. Styrgruppernas uppdrag omfattar inte endast modellerna utan även helheten och långsiktigt strategiska behov för uppföljningen av vårdens tillgänglighet. SKR arbetar på uppdrag av regionerna enligt den beskrivna nätverksstrukturen. Beslut om rammedel för väntetidsdatabasen beslutas årligen vid överenskommelse mellan staten och SKR som ombud för regionerna, samt via tilläggsfinansiering från regionerna. Tekniska och organisatoriska frågor kopplat till det nationellt gemensamma arbetet med väntetidsdatabasen har regionerna delegerat till SKR.

text: Enligt överenskommelser mellan SKR och staten ska regionerna rapportera data i enlighet med framtagna modeller för uppföljning av tillgänglighet för att få del av medlen i överenskommelsen. SKR kan dock kan inte på något sätt tvinga regionerna att rapportera.

text: Beskrivning av systemet och behandlingen

text: Regionernas rapportering till väntetidsdatabasen går till på så sätt att regionerna samlar ihop data från sina journal- och tidssystem och skickar uppgifterna till Signe, som är ett system som förvaltas av SKR, där uppgifterna från regionerna lagras. I

text: Signe finns uppgifter från innevarande år och föregående år. Signe har funnits sedan år 2007 och har successivt utvecklats. Signe kommunicerar med väntetidsdatabasen och med analysverktyget QlikView som används för att visa uppgifter som finns i Signe.

text: QlikView är en egen databas och rådata finns i både Signe och Qlikview. Analysverktyget finns i QlikView och det är i QlikView som aggregeringarna görs. I QlikView finns både den öppna applikationen och den detaljerade applikationen.

text: I den öppna applikationen i QlikView kan regionerna se uppgifter om alla regioner på aggregerad nivå för att göra jämförelser. Den detaljerade applikationen i QlikView är i grunden lik den öppna applikationen men innehållet är lite annorlunda. Den detaljerade applikationen består inte av aggregerade uppgifter utan av faktiska siffror avseende varje region. Loggar man in som en region visas uppgifter om ens egen region i den detaljerade applikation, men även andra regioners uppgifter visas ner till filteringsnivån klinik. I den detaljerade applikationen går det även att se diagnoskod.

text: Den detaljerade applikationen används främst för lite djupare analys än den öppna, då det går att filtrera på mer detaljerad nivå än i den öppna applikationen. I den detaljerade applikationen finns även en flik som heter datakvalitet, och under den kan SKR göra rimlighetsbedömningar avseende lämnade uppgifter, t.ex. om antal besök.

text: När applikationerna i QlikView används sker en behandling av hela databasmängden.

text: För att kunna utveckla vården återkopplar SKR uppgifter till regionerna efter de beräkningar som SKR gjort, genom att regionerna får tillbaka uppgifter om måluppfyllelsen som SKR har beräknat. Syftet i denna del för SKR är utveckling av verksamhet och tillgänglighet.

text: SKR har tre behörigheter till den detaljerade applikationen. Regionerna kontaktar SKR vid behov av assistans för att förstå hur de ska använda applikationen och få ut mer av sin egna uppgifter. Regionen (genom utsedda väntetidssamordnare) bestämmer vilka som ska ha tillgång till regionens detaljerade data och de olika applikationerna/rapporterna.

text: 3.3.3 IMY:s bedömning

text: Frågan som IMY har att ta ställning till i denna del är om SKR är personuppgiftsansvarig för den behandling av personuppgifter som sker vid förandet av den nationella väntetidsdatabasen, dvs. behandlingen i väntetidsdatabasen och de system som upprättats för att ta emot och bearbeta uppgifterna från regionerna.

text: SKR:s uppfattning är att SKR agerar som personuppgiftsbiträde avseende behandlingen av personuppgifter vid förandet av väntetidsdatabasen och har till stöd för detta bland annat lämnat in ett antal personuppgiftsbiträdesavtal. Enligt IMY måste dock – i likhet med vad som anges i EDPB:s riktlinjer – en aktörs rättsliga status som antingen personuppgiftsansvarig eller personuppgiftsbiträde fastställas av de faktiska omständigheterna i ärendet, snarare än av den formella tilldelningen av en aktör som antingen en personuppgiftsansvarig eller ett personuppgiftsbiträde i till exempel ett avtal. De inlämnade personuppgiftsbiträdesavtalen saknar därför avgörande betydelse för frågan om SKR är personuppgiftsansvarig för den i ärendet aktuella behandlingen.

text: SKR har även anfört att regionerna delvis finansierar väntetidsdatabasen och att det är regionerna som tillsammans med SKR tagit fram modellerna enligt vilka regionerna

text: ska rapportera in uppgifter. Frågan om SKR är att betrakta som personuppgiftsansvarig är dock inte avhängig bedömningen av om även regionerna i någon del kan anses vara personuppgiftsansvariga för behandlingen eftersom begreppet personuppgiftsansvarig även omfattar situationer där aktören i fråga tillsammans med andra bestämmer ändamål och medel med behandlingen. Som framgått ovan i detta beslut omfattar IMY:s granskning i detta ärende inte regionernas eventuella ansvar för personuppgiftsbehandlingen.

text: IMY konstaterar att det inte uttryckligen reglerats i svensk rätt att SKR eller någon annan aktör är personuppgiftsansvarig för personuppgiftsbehandlingen i väntetidsdatabasen. Genom

text: 9 kap. 3 §

text: HSL och 6 kap. 3 § HSF har dock SKR av lagstiftaren tilldelats uppgiften att i den nationella väntetidsdatabasen behandla de uppgifter om väntetider som regionerna är skyldiga att rapportera till databasen. Vidare anges i överenskommelser med staten att SKR ska förvalta den nationella väntetidsdatabasen.

text: Detta innebär enligt IMY att lagstiftningen indirekt pekar ut SKR som ansvarig för den uppgiftsbehandling som är nödvändig för att föra väntetidsdatabasen. Detta talar enligt IMY:s bedömning med styrka för att SKR är ansvarig för behandlingen av uppgifter i databasen.

text: IMY konstaterar vidare att det övergripande syftet med regionernas rapporteringsskyldighet primärt har bestämts av lagstiftaren. I förarbetena till

text: 9 kap. 3 §

text: HSL anges att de uppgifter som ska rapporteras i första hand bör avse uppgifter som kan användas i syfte att kontrollera efterlevnaden till vårdgarantin samt att ett ytterligare syfte med uppgifterna bör vara information till hälso- och sjukvårdspersonalen och beslutsfattare liksom till befolkningen. Uttalandet gjordes i anslutning till att regeringen konstaterade att det i förordning eller myndighetsföreskrifter bör lämnas mer detaljerad reglering av de uppgifter som landstingen ska rapportera till databasen. Som tidigare angetts har Socialstyrelsen genom 6 kap. 4 § HSF bemyndigats att meddela föreskrifter om regionernas rapporteringsskyldighet, men några sådana föreskrifter har inte meddelats. Däremot kan konstateras att regeringen och SKR i överenskommelser lämnat närmare information om rapporteringsskyldighetens innehåll, t.ex. genom att ange att statistiken i väntetidsdatabasen ska möjliggöra jämförelse av väntetider utifrån kön och ålder och att regionerna ska rapportera i enlighet med de överenskomna modellerna. Dessa modeller har tagits fram av SKR tillsammans med regionerna i enlighet med uppdrag som angetts i överenskommelse med staten.

text: Av överenskommelserna framgår vidare att SKR ska förvalta den nationella väntetidsdatabasen och att SKR årligen tilldelas medel för bland annat detta syfte. Enligt flera av överenskommelserna ska SKR utveckla databasen, genomföra tester och kvalitetssäkring samt utveckla underlag för återkoppling och presentation. Vidare framgår att statistiken i databasen ska möjliggöra jämförelser inom såväl som mellan regioner samt att SKR genom anvisningar och riktlinjer framtagna tillsammans med regionerna ska ge stöd i regionernas kvalitetssäkring av data.

text: SKR får enligt IMY anses ha ett starkt egenintresse av att iaktta den författningsreglerade skyldigheten att föra den nationella väntetidsdatabasen och att uppfylla sina åtaganden i överenskommelserna med staten. IMY konstaterar även att SKR har inrättat digitala system för mottagande och bearbetning av personuppgifterna.

text: SKR sammanställer personuppgifterna och gör dem tillgängliga för regionerna. SKR gör även egna rimlighetsbedömningar avseende lämnade uppgifter.

text: Sammanfattningsvis bedömer IMY att SKR indirekt utpekas som personuppgiftsansvarig i

text: 9 kap. 3 §

text: HSL och 6 kap. 3 § HSF samt att det av de faktiska omständigheterna i ärendet framgår att SKR har sådan kontroll över behandlingen av personuppgifter att de bestämmer ändamålen och medlen för behandlingen av personuppgifter i dataskyddsförordningens mening. SKR är därmed personuppgiftsansvarig för behandlingen av personuppgifter vid förandet av den nationella väntetidsdatabasen.

text: 3.4 SKR har inte rättslig grund för personuppgiftsbehandlingen enligt artikel 6 i dataskyddsförordningen

text: 3.4.1 Tillämpliga bestämmelser m.m.

text: För att en behandling av personuppgifter ska vara laglig krävs att den har stöd i någon av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen. Vid behandling av personuppgifter för hälso- och sjukvårdsändamål är det främst artikel 6.1 c (rättslig förpliktelse) eller 6.1 e (allmänt intresse eller myndighetsutövning) som kan vara tillämpliga.

text: Enligt artikel 6.1 c i dataskyddsförordningen får personuppgifter behandlas om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

text: Av artikel 6.1 e i dataskyddsförordningen följer att personuppgifter får behandlas om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.

text: Enligt artikel 6.3 i dataskyddsförordningen ska den grund för behandlingen som avses i artikel 6.1 c eller e fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning, bland annat: de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX.

text: Av skäl 41 till dataskyddsförordningen framgår att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsebar för personer som omfattas av den, i enlighet med rättspraxis vid EU-domstolen och Europadomstolen. EU-domstolen har i sin praxis ställt höga krav på utformningen av de rättsliga grunder som ska ligga till grund för personuppgiftsbehandling.

text: Enligt

text: 2 kap.

text: och

text: 2 §§

text: lagen (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning (

text: dataskyddslagen

text: ) får personuppgifter behandlas med stöd av artikel 6.1 c och e i dataskyddsförordningen om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse eller för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning.

text: I förarbetena till

text: dataskyddslagen

text: anges bland annat följande. Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig måste enligt regeringen bedömas från fall till fall, utifrån behandlingens och verksamhetens karaktär. En behandling av personuppgifter som inte utgör någon egentlig kränkning av den personliga integriteten kan enligt regeringen ske med stöd av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång, till exempel behandling av känsliga personuppgifter inom hälso- och sjukvården, kräver emellertid att den rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart.

text: En rättslig förpliktelse kan inte utgöra en rättslig grund för behandling av personuppgifter om förpliktelsen är för svepande och ger den personuppgiftsansvarige en alltför stor handlingsfrihet i fråga om hur den ska uppfyllas.

text: Vid bedömningen av om en rättslig förpliktelse, en arbetsuppgift eller myndighetsutövning följer av exempelvis en lagbestämmelse kan bland annat förarbetsuttalanden, bestämmelsens syfte och den rättsliga kontext bestämmelsen befinner sig i behöva beaktas. Det är alltså inte bara lagtextens ordalydelse som är av relevans för att avgöra om något följer av lag.

text: Enligt

text: 9 kap. 3 §

text: HSL ska regionerna rapportera in uppgifter om väntetider till en nationell databas. Rapporteringsskyldigheten ska enligt 6 kap. 3 § HSF fullgöras genom att regionerna lämnar uppgifter om väntetider till den nationella väntetidsdatabas som förs av SKR.

text: 3.4.2 IMY:s bedömning

text: IMY konstaterar inledningsvis att SKR uppgett att SKR behandlar personuppgifter med stöd av personuppgiftsbiträdesavtal mellan SKR och regionerna. Eftersom IMY ovan bedömt att SKR är personuppgiftsansvarig för behandlingen av personuppgifter vid förande av den nationella väntetidsdatabasen kan dock inte personuppgiftsbiträdesavtalen utgöra stöd för SKR att utföra behandlingen.

text: De rättsliga grunder som kan bli aktuella för den personuppgiftsbehandling som föranleds av förandet av den nationella väntetidsdatabasen är enligt IMY rättslig förpliktelse (artikel 6.1 c i dataskyddsförordningen) och uppgift av allmänt intresse

text: (artikel 6.1 e i dataskyddsförordningen). Som framkommit ovan måste den rättsliga förpliktelsen eller uppgiften av allmänt intresse enligt artikel 6.3 i dataskyddsförordningen fastställas i unionsrätten eller nationell rätt.

text: IMY konstaterar att det – i enlighet med vad SKR framfört – finns regler i PDL som möjliggör behandling av personuppgifter för bland annat statistiska ändamål och för att fullgöra uppgiftslämnande enlig lag eller förordning. Eftersom det framgår av 1 kap. 1 § PDL att lagen endast avser vårdgivares behandling av personuppgifter och SKR inte är en vårdgivare kan dock bestämmelserna i PDL inte utgöra rättslig grund för den i ärendet aktuella behandlingen av personuppgifter.

text: Frågan är då om bestämmelserna i

text: 9 kap. 3 §

text: HSL och 6 kap. 3 § HSF kan utgöra rättslig grund för behandlingen.

text: Kravet på utformningen av den rättsliga grunden är högre om det är fråga om en behandling som innebär ett mer kännbart intrång. IMY konstaterar att SKR behandlar personuppgifter om patienter som regionerna samlat från sina journal- och tidssystem och rapporterat in till SKR. De uppgifter som behandlas omfattar uppgifter om patienters hälsa, dvs. känsliga personuppgifter. Regionerna rapporterar drygt 40 miljoner vårdkontakter per år till SKR. Av exempelvis överenskommelsen för år 2023 mellan staten och SKR framgår att överenskommelsen omfattar insatser riktade till barn- och ungdomspsykiatrin. Barns personuppgifter förtjänar särskilt skydd, eftersom barn kan vara mindre medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter. Mot bakgrund av behandlingens art, omfattning och sammanhang bedömer IMY att det måste ställas höga krav på den rättsliga grundens tydlighet, precision och förutsägbarhet för att den ska kunna ligga till grund för den aktuella behandlingen.

text: Av

text: 9 kap. 3 §

text: HSL framgår att regionerna ska rapportera in uppgifter om väntetider till en nationell databas och av 6 kap. 3 § HSF framgår att denna skyldighet ska fullgöras genom att uppgifter om väntetider redovisas till den nationella väntetidsdatabasen som förs av SKR. Genom regleringen i HSF har SKR således fått en uppgift att ta emot uppgifter från regionerna. IMY bedömer att detta är en uppgift av allmänt intresse. Frågan är om regleringen av denna uppgift kan ligga till grund för behandlingen av personuppgifter vid förandet av väntetidsdatabasen.

text: Av förarbetena till

text: 9 kap. 3 §

text: HSL framgår att det under remissbehandlingen uttryckligen efterfrågades överväganden kring integritetsaspekterna om inrapporteringen av väntetidsdata skulle innefatta personuppgifter. Regeringen konstaterade dock att de uppgifter som skulle rapporteras var avidentifierade och inte utgjorde personuppgifter enligt den då gällande

text: personuppgiftslagen (1998:204)

text: . Därför bedömde regeringen att det inte fanns några integritetsaspekter att ta hänsyn till. Det framgår således tydligt av förarbetena att avsikten inte var att regionernas rapportering av uppgifter till SKR skulle omfatta personuppgifter. Redan detta innebär, enligt IMY:s bedömning, att regleringen i HSL och HSF inte kan läggas till grund för SKR:s personuppgiftsbehandling.

text: Därutöver kan konstateras att varken HSL eller HSF innehåller några närmare bestämmelser om vilka uppgifter som ska rapporteras, och inte heller några bestämmelser om förandet av själva väntetidsdatabasen. Socialstyrelsen har inte meddelat några ytterligare föreskrifter om rapporteringsskyldigheten. Detta innebär att,

text: även om regleringen hade syftat till att möjliggöra behandling av personuppgifter, saknar bestämmelserna i

text: 9 kap. 3 §

text: HSL och 6 kap. 3 § HSF den tydlighet, precision och förutsägbarhet som krävs för att kunna ligga till grund för den omfattande och integritetskänsliga personuppgiftsbehandlingen som är aktuell i ärendet.

text: SKR har vidare anfört att behandlingen sker på grundval av regeringsbeslut om överenskommelser med SKR.

text: Som redovisats syftar inte regleringen i

text: 9 kap. 3 §

text: HSL och 6 kap. 3 § HSF till att ge stöd för personuppgiftsbehandling. Det innebär att överenskommelserna inte kan ge stöd för behandlingen som ett komplement till författningsregleringen.

text: IMY bedömer inte heller att regeringens beslut att ingå överenskommelser med SKR kan utgöra rättslig grund för behandlingen på egen hand. Enligt

text: 2 kap.

text: och

text: 2 §§

text: dataskyddslagen

text: får personuppgifter behandlas med stöd av artikel 6.1 c och e i dataskyddsförordningen om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse eller för att utföra en uppgift av allmänt intresse som följer av bland annat beslut som har meddelats med stöd av lag eller annan författning. I förarbetena till

text: dataskyddslagen

text: anges visserligen att ett regeringsbeslut kan utgöra ett sådant beslut som avses i

text: 2 kap.

text: och

text: 2 §§

text: dataskyddslagen

text: och som därmed kan utgöra rättslig grund för behandling av personuppgifter. Som exempel anges situationen att en uppgift av allmänt intresse tilldelas en statlig myndighet eller ett statligt bolag genom ett regeringsbeslut. Det är dock i förevarande fall enligt IMY:s bedömning inte fråga om regeringsbeslut som fastställer en uppgift av allmänt intresse. Regeringsbesluten är i stället beslut om att ingå en överenskommelse som förhandlats med SKR respektive beslut om att ge delegation till viss person att ingå en sådan överenskommelse. De aktuella överenskommelserna är därför enligt IMY:s uppfattning närmast av civilrättslig karaktär och kan inte uppfylla kravet i artikel 6.3 i dataskyddsförordningen på att en uppgift av allmänt intresse ska vara fastställd i nationell rätt.

text: Därutöver anser IMY att regeringens beslut att ingå de aktuella överenskommelserna saknar tillräcklig tydlighet, precision och förutsägbarhet för att kunna ligga till grund för den i ärendet aktuella personuppgiftsbehandlingen. I överenskommelserna anges visserligen att inrapportering ska ske i enlighet med de modeller som SKR tagit fram tillsammans med regionerna. Modellerna får dock enligt IMY anses som svåröverskådliga för en registrerad. De är därutöver inte bilagerade överenskommelserna och kan inte anses vara tillgängliga för den registrerade. Överenskommelserna ingås därutöver årligen vilket i sig innebär en minskad förutsägbarhet.

text: Sammanfattningsvis bedömer IMY att SKR inte kan stödja behandlingen på artikel 6.1 c eller e i dataskyddsförordningen. Det har inte heller framkommit att SKR har stöd för behandlingen i någon av de andra rättsliga grunderna i artikel 6.1 i dataskyddsförordningen. SKR har därmed inte rättslig grund för behandlingen av patienters personuppgifter vid förandet av den nationella väntetidsdatabasen. Det innebär att SKR har behandlat personuppgifter i strid med artikel 6 i dataskyddsförordningen sedan den 25 maj 2018.

text: 3.5 SKR behandlar känsliga personuppgifter i strid med artikel 9 i dataskyddsförordningen

text: 3.5.1 Tillämpliga bestämmelser

text: Uppgifter om hälsa utgör så kallade känsliga personuppgifter. Det är enligt artikel 9.1 i dataskyddsförordningen förbjudet att behandla sådana personuppgifter, om inte behandlingen omfattas av något av undantagen i artikel 9.2.

text: Enligt artikel 9.2 g i dataskyddsförordningen får känsliga personuppgifter behandlas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

text: Av artikel 9.2 h framgår att känsliga personuppgifter får behandlas om behandlingen är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av unionsrätten eller medlemsstaternas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet och under förutsättning att de villkor och skyddsåtgärder som avses i punkt 3 är uppfyllda.

text: En förutsättning för att behandling av känsliga personuppgifter enligt artikel 9.2 h ska vara tillåten är enligt artikel 9.3 att personuppgifter behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ eller av en annan person som också omfattas av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ.

text: 3.5.2 IMY:s bedömning

text: IMY konstaterar inledningsvis att en förutsättning för att behandling av känsliga personuppgifter ska vara laglig enligt någon av punkterna i artikel 9.2 är att behandlingen har rättslig grund enligt artikel 6. Eftersom IMY ovan bedömt att SKR saknar rättslig grund enligt artikel 6 kan det redan av det skälet konstateras att behandlingen av personuppgifter inte heller är tillåten enligt artikel 9.

text: Enligt IMY finns skäl att ändå bedöma huruvida någon av punkterna i artikel 9.2 kan vara tillämplig, om laglig grund enligt artikel 6 hade förelegat.

text: IMY bedömer att den i ärendet aktuella personuppgiftsbehandlingen hör samman med hälso- och sjukvård i den mening som avses i artikel 9.2 h. I litteraturen har uttalats att uppräkningen av syften i artikel 9.2 h i praktiken lär täcka nästan all behandling av känsliga personuppgifter som förekommer inom hälso- och sjukvårdsområdet. I det svenska lagstiftningsarbetet har det avseende motsvarande bestämmelse i dataskyddsdirektivet uttalats att det inte är rimligt att ge bestämmelsen en alltför

text: snäv räckvidd och att även aktiviteter med bäring på hälso- och sjukvård utanför det primära vårdområdet måste kunna inbegripas. IMY anser mot denna bakgrund att artikel 9.2 h i dataskyddsförordningen kan vara tillämplig på behandlingen.

text: En förutsättning för att känsliga personuppgifter ska kunna behandlas med stöd av artikel 9.2 h är enligt artikel 9.3 att det finns en författningsreglerad tystnadsplikt. SKR har anfört att de registrerades rättigheter och intressen skyddas genom tystnadsplikt, dels genom personuppgiftsbiträdesavtal, dels genom lagen om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter.

text: IMY har ovan bedömt att SKR inte är personuppgiftsbiträde i förhållande till regionerna och konstaterar att tystnadsplikt enligt avtal inte är tillräckligt för att uppfylla kraven i artikel 9.3 i dataskyddsförordningen. SKR:s behandling av personuppgifter utgör inte heller endast teknisk bearbetning eller lagring på uppdrag av en myndighet, varför lagen om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring inte är tillämplig. SKR är inte heller vårdgivare och organisationens personal omfattas inte av tystnadsplikt enligt

text: patientsäkerhetslagen (2010:659)

text: . Det har inte heller framkommit att SKR:s personal omfattas av tystnadsplikt enligt någon annan reglering. IMY bedömer mot denna bakgrund att förutsättningarna för att behandla känsliga personuppgifter med stöd av artikel 9.2 h inte är uppfyllda.

text: IMY konstaterar att SKR har anfört att behandlingen av känsliga personuppgifter stödjer sig på artikel 9.2 g eftersom det är fråga om ett viktigt allmänt intresse på ett övergripande plan att regler om väntetider ska kunna följas upp av berörda. IMY bedömer dock att inte heller förutsättningarna för att behandla personuppgifter enligt den artikeln är uppfyllda. En förutsättning för att artikel 9.2 g ska vara tillämplig är att den reglering i nationell rätt som ger stöd för behandlingen innehåller bestämmelser om lämpliga och särskilda skyddsåtgärder. I litteraturen har uttalats att detta lär innebära att behandling av känsliga personuppgifter enligt artikel 9.2 g i de allra flesta fall förutsätter ett stöd för själva behandlingen i en registerförfattning eller motsvarande. I registerförfattningar finns det som regel bestämmelser om skyddsåtgärder som till exempel sökbegränsningar, restriktioner för elektronisk åtkomst, behörighetstilldelning och loggkontroll och restriktioner för vad som får vara mer allmänt tillgängligt i den aktuella organisationen. Några sådana bestämmelser finns inte i

text: 9 kap. 3 §

text: HSL eller 6 kap. 3 § HSF. IMY bedömer – särskilt med beaktande av den stora mängd känsliga personuppgifter som hanteras vid förandet av den nationella väntetidsdatabasen – att det saknas tillräckliga skyddsåtgärder för att behandlingen av känsliga personuppgifter ska vara laglig enligt artikel 9.2 g.

text: Det har inte heller framkommit att behandlingen av känsliga personuppgifter skulle kunna ske med stöd av någon annan punkt i artikel 9.2 i dataskyddsförordningen.

text: Sammanfattningsvis bedömer IMY att SKR sedan den 25 maj 2018 behandlar personuppgifter i strid med artikel 9 i dataskyddsförordningen.

text: 3.7 Val av ingripande

text: 3.7.1 SKR ska ges en reprimand för överträdelserna

text: Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden eller förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Påförande av administrativ sanktionsavgift ska enligt artikel 83.1 i varje enskilt fall vara effektivt, proportionellt och avskräckande. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY har konstaterat att SKR tar emot en omfattande mängd personuppgifter om patienter från regionernas journal- och tidssystem. Rapporteringen från regionerna omfattar drygt 40 miljoner vårdkontakter per år. Det är fråga om personuppgifter om enskilda personer, även barn, och deras hälsa. Personalen hos SKR omfattas inte av någon författningsreglerad tystnadsplikt. Enligt IMY är SKR:s överträdelser av artiklarna 6 och 9 i dataskyddsförordningen av sådant slag att överträdelserna normalt bör föranleda en administrativ sanktionsavgift.

text: I detta tillsynsärende finns dock omständigheter som talar mot en sanktionsavgift. SKR har förvaltat väntetidsdatabasen i dess nuvarande form sedan vårdgarantin trädde i kraft år 2010. Regionernas rapportering till väntetidsdatabasen är författningsreglerad och baseras även på överenskommelser mellan staten och SKR. I förarbetena angavs att det i förordning eller myndighetsföreskrifter borde lämnas mer detaljerad reglering av de uppgifter som landstingen ska rapportera till databasen. Socialstyrelsen, som enligt 6 kap. 4 § HSF får meddela ytterligare föreskrifter om regionernas rapporteringsskyldighet enligt

text: 9 kap. 3 §

text: HSL, har inte meddelat föreskrifter och inte heller tagit fram nationella riktlinjer som rör rapporteringsskyldigheten. Vidare har SKR och regeringen ingått överenskommelser avseende förandet av den nationella väntetidsdatabasen. Detta innebär sammantaget att SKR haft visst fog för att uppfatta att behandlingen av personuppgifter vid förandet av väntetidsdatabasen varit laglig.

text: I tillsynsärendet har vidare framkommit att SKR visserligen behandlar personuppgifter som rapporteras av regionerna, men att det inte rör sig om direkta personuppgifter i form av patienters namn eller personnummer, vilket även det talar i förmildrande riktning.

text: IMY bedömer mot denna bakgrund att det inte är proportionerligt att påföra SKR en sanktionsavgift. SKR ska därför, med stöd av artikel 58.2 b i dataskyddsförordningen, ges en reprimand för de konstaterade överträdelserna av artiklarna 6 och 9 i dataskyddsförordningen.

text: 3.7.2 SKR ska förbjudas att behandla personuppgifter om patienter vid förandet av den nationella väntetidsdatabasen

text: Nästa fråga är om IMY även bör besluta om ett föreläggande eller förbud för att säkerställa att den olagliga personuppgiftsbehandlingen upphör.

text: Tillsynsmyndigheten får enligt artikel 58.2 d i dataskyddsförordningen förelägga den personuppgiftsansvarige eller personuppgiftsbiträdet att se till att behandlingen sker i enlighet med bestämmelserna i förordningen och om så krävs på ett specifikt sätt och inom en specifik period. Enligt artikel 58.2 f får tillsynsmyndigheten införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandling.

text: SKR:s behandling av personuppgifter vid förandet av den nationella väntetidsdatabasen sker i strid med dataskyddsförordningen och innebär behandling av känsliga personuppgifter om ett stort antal personer utan tillräckliga författningsreglerade skyddsåtgärder. Detta talar för att IMY bör använda sina korrigerande befogenheter för att den olagliga personuppgiftsbehandlingen ska upphöra.

text: Ett förbud mot behandling är en ingripande åtgärd som bör tillämpas restriktivt och endast om bristerna är sådana att de inte kan åtgärdas på annat sätt än att behandlingen upphör. IMY konstaterar dock att den aktuella personuppgiftsbehandlingens brist på rättsligt stöd i artiklarna 6 och 9 i dataskyddsförordningen inte kan åtgärdas genom ett föreläggande om att behandlingen ska ske på ett visst sätt enligt artikel 58.2 d. Det finns därför skäl att besluta om ett förbud mot den olagliga behandlingen av personuppgifter.

text: Det kan dock konstateras att ett förbud mot behandling av patienters personuppgifter vid förandet av den nationella väntetidsdatabasen skulle få betydande konsekvenser inte bara för SKR utan även för regionerna, staten och enskilda medborgare. Syftet med uppföljningen i väntetidsdatabasen är att ge underlag till verksamhetsutveckling och möjlighet till jämförelser både inom och mellan regioner som i sin tur möjliggör utveckling och förbättring av hälso- och sjukvårdens tillgänglighet. I överenskommelsen mellan staten och SKR för år 2023 framgår att regeringen årligen avsätter över tre miljarder kronor för att stödja regionernas arbete med att korta väntetider och vårdköer, i syfte att fler patienter ska få vård i rimlig tid. Även om IMY bedömt att SKR saknar rättsligt stöd för behandlingen enligt nuvarande reglering finns alltså ett betydande samhällsintresse av den nationella väntetidsdatabasen.

text: IMY bedömer mot denna bakgrund att ett förbud endast kan vara proportionerligt under förutsättning att det förenas med en väl tilltagen tidsfrist för förbudets ikraftträdande. Detta möjliggör enligt IMY framtagande av nationella bestämmelser som ger SKR ett rättsligt stöd för den pågående behandlingen av personuppgifter i väntetidsdatabasen. Det möjliggör också för SKR att vidta åtgärder för att säkerställa att personuppgifter inte behandlas vid förandet av den nationella väntetidsdatabasen.

text: IMY bedömer att 24 månader efter att detta beslut vunnit laga kraft är en lämplig tidsperiod.

text: SKR ska mot denna bakgrund, med stöd av artikel 58.2 f i dataskyddsförordningen förbjudas att behandla personuppgifter om patienter vid förandet av den nationella väntetidsdatabasen. Förbudet ska börja att gälla 24 månader efter att detta beslut vunnit laga kraft.

text: Detta beslut har fattats av generaldirektören Eric Leijonram efter föredragning av avdelningsjuristen Andreas Persson. Vid den slutliga handläggningen har även rättschefen David Törngren, enhetschefen Linn Sandmark, juristen Cecilia Agnehall och seniore it- och informationssäkerhetsspecialisten Magnus Bergström medverkat.

text: Eric Leijonram

text: Kopia till

text: Dataskyddsombudet Socialdepartementet Socialstyrelsen

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Lensway Group AB

text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om 08-657 61 00 upphävande av direktiv

text: (allmän dataskyddsförordning).

text: EDPB, Guidelines 01/2022 on data subject rights - Right of access, Version 1.0 (EDPB:s

text: Riktlinjer 01/2022

text: om rätten till tillgång). Riktlinjerna har varit ute på publik konsultation och väntar på att bli slutligt antagna. 3 IMY:s översättning, original: In cases where the controller requests the provision of additional information necessary to confirm the identity of the data subject, the controller shall each time assess what information will allow it to confirm the data subject’s identity and possibly ask additional questions to the requesting person or request the data subject to present some additional identification elements, if it is proportionate (see section 3.3). Such additional information should not be more than the information initially needed for the verification of the data subject’s identity (authentication). In general, the fact that the controller may request additional information to assess the data subject’s identity cannot lead to excessive demands and to the collection of personal data which are not relevant or necessary to strengthen the link between the individual and the personal data requested. 4 IMY:s översättning, original: It should be emphasised that using a copy of an identity document as a part of the authentication process creates a risk for the security of personal data and may lead to unauthorised or unlawful processing, and as such it should be considered inappropriate, unless it is strictly necessary, suitable, and in line with national law. In such cases the controllers should have systems in place that ensure a level of security appropriate to

text: mitigate the higher risks for the rights and freedoms of the data subject to receive such data. It is also important to note that identification by means of an identity card does not necessarily help in the online context (e.g. with the use of pseudonyms) if the person concerned cannot contribute any other evidence, e.g. further characteristics matching to the user account.

sprak: sv

titel: Beslut

nyckelord:
Dataskydd
Dina rättigheter

amne: Registrerades rättigheter

korrigerandeAtgard: Reprimand

lagakraft: Nej

lagrum: Artiklarna 12.2 och 12.6 i dataskyddsförordningen, GDPR

nyckelord: Kunder

overklagan: Nej

rubrik: Inte nödvändigt med ID-kort för att begära radering

sammanfattning: När två kunder hos en e-handelsbutik begärde att företaget skulle radera deras personuppgifter krävde företaget att kunderna skickade en kopia av sina ID-handlingar. Företaget krävde också att en signerad begäran skulle skickas via fysisk post. IMY ansåg att företaget inte fick kräva fler personuppgifter när kunderna ville utöva sina rättigheter än vad som krävdes när kundförhållandet uppkom. IMY betonade också att kravet att lämna en kopia på sin ID-handling är en ingripande åtgärd, som bara är lämplig när den personuppgiftsansvarige tidigare har säkerställt personens faktiska identitet och det saknas andra metoder för att bekräfta identiteten. Eftersom identifiering hade kunnat ske på annat sätt, till exempel via Mina Sidor eller kontrollfrågor, ansåg IMY att det inte varit nödvändigt att kräva att kunderna lämnade ID-handlingar eller signaturer. IMY ansåg också att företaget hade försvårat för kunderna att utöva sin rätt till radering genom att kräva att begäran skickades via post. Läs tillsynsbeslutet här

publisher: Integritetsskyddsmyndigheten

slug: lensway-group-ab

title: Lensway Group AB

org: imy

sammanfattning: Integritetsskyddsmyndigheten ger Lensway Group AB en reprimand enligt artikel 58.2 b i dataskyddsförordningen för överträdelse av artiklarna 12.2 och 12.6 i dataskyddsförordningen.

text: IMY-2022-1032IMY-2022-1032 Beslut efter tillsyn enligt

type: stycke

text: dataskyddsförordningen - Lensway Group AB

type: rubrik

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Lensway Group AB vid hantering av begäran om radering som gjordes den 20 februari 2020 av klaganden i klagomål 1, och den 25 juni 2020 av klaganden i klagomål 2, har behandlat personuppgifter i strid med:

text: • artikel 12.6 i dataskyddsförordningen genom att begära kopia av identitetshandling och signatur när detta inte varit nödvändigt för att bekräfta de klagandes identiteter samt • artikel 12.2 i dataskyddsförordningen genom att kräva att klagandena vid begäran om radering ska skicka in uppgifter för att bekräfta sina identiteter via postgång vilket inte underlättat klagandenas utövande av sin rätt till radering.

text: Redogörelse för tillsynsärendet

text: Handläggning

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn beträffande Lensway Group AB (bolaget) med anledning av två klagomål, i huvudsak för att utreda om Lensway Group AB har tagit emot och hanterat klagandenas begäran om radering på ett korrekt sätt enligt artiklarna 12 och 17 i dataskyddsförordningen. Klagomålen har lämnats över till IMY, i egenskap av ansvarig tillsynsmyndighet enligt artikel 56 i dataskyddsförordningen. Överlämningen har skett från tillsynsmyndigheterna i det land där klagandena har lämnat in sina klagomål (Finland och Danmark) i enlighet med förordningens bestämmelser om samarbete vid gränsöverskridande behandling.

text: Handläggningen vid IMY har skett genom skriftväxling. Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Danmark, Norge och Finland.

text: Klagomålen

text: I klagomålen anförs i huvudsak följande.

text: Klagomål 1 (Klagomål från Finland med nationellt diarienummer 1576/153/2020)

text: Klaganden har varit i kontakt med bolaget den 20 februari 2020 och begärt radering. Bolaget har svarat klaganden att han behöver skicka sin postadress till dem så att de kan skicka handlingar rörande hans begäran till honom. Dessa handlingar skulle klaganden signera och skicka tillbaka. Vidare har bolaget begärt att klaganden ska verifiera sin identitet genom att skicka en kopia på sin identitetshandling via e-post. Av säkerhetsskäl har inte klaganden varit villig att inkomma med det som begärts av honom.

text: Klagomål 2 (Klagomål från Danmark med nationellt diarienummer 2020-31-3616)

text: Klaganden har begärt radering av sin information på lensway.dk. För att tillmötesgå begäran har bolaget begärt att han ska uppge sitt socialförsäkringsnummer och inkomma med en kopia på sin identitetshandling. Bolaget kan dock inte berätta för klaganden varför de behöver denna information utöver att de behöver den för att kunna bekräfta hans identitet. Klaganden ifrågasätter att bolaget behöver samla in personuppgifter för att radera personuppgifter. Klaganden föreslog att bolaget istället kunde bekräfta hans identitet genom att skicka ett e-postmeddelande till adressen som fanns registrerad på honom men de vägrade.

text: Vad bolaget har uppgett

text: Bolaget har i yttrande från den 20 april, den 12 maj och den 11 augusti 2022 i huvudsak uppgett följande. Bolaget är personuppgiftsansvarig för de behandlingar som klagomålen gäller.

text: Klagomål 1

text: Bolaget har mottagit klagandens begäran om radering men klaganden har inte fullföljt bolagets vid tiden gällande verifieringsprocess. Bolaget har begärt att klaganden ska skicka in en kopia av sin identitetshandling. Det är det enda sättet som bolaget hittills har kunnat säkerställa kundens identitet på. Kopian skulle skickas via ordinarie postgång. Bolaget har även begärt att klaganden ska skicka in en undertecknad begäran om radering. Bolaget har hittills inte kunnat ta emot dessa uppgifter digitalt. För att säkerställa att de mottagit underlag i original har de bett klaganden skicka in detta via ordinarie postgång.

text: Klagomål 2

text: Bolaget har mottagit begäran om radering den 25 juni 2020 men klaganden har inte fullföljt bolagets vid tiden gällande verifieringsprocess. Det stämmer att bolaget efterfrågat klagandens socialförsäkringsnummer i det skriftliga underlaget men det har varit frivilligt att uppge denna uppgift. Som tillägg till uppgifterna i det skriftliga underlaget har bolaget begärt att klaganden ska skicka in en kopia av sin identitetshandling. Bolaget har hittills inte kunnat identifiera klaganden på något annat

text: sätt. Klaganden har ombetts att skicka in uppgifterna via ordinarie postgång i syfte att säkerställa att bolaget mottagit underlag i original.

text: Vad avser båda klagomålen har bolaget uppgett följande

text: Vad avser den skriftliga begäran som båda klagandena skulle skicka in, uppger bolaget följande gällande vilka personuppgifter som varit obligatoriska att uppge och varför uppgifterna varit nödvändiga.

text: • Namn är en obligatorisk uppgift som begärs in för att för att bekräfta den registrerades identitet. • E-postadress är en obligatorisk uppgift som begärs in för att den används som en unik identifikator av kunder i bolagets system. • Signatur är en obligatorisk uppgift för att bolaget ska kunna försäkra sig om att den registrerade läst igenom informationen och gett sitt godkännande.

text: Bolaget anför att de alltid bör säkerställa att det är rätt person som kontaktar dem då det gäller begäranden om att utöva en rättighet enligt dataskyddsförordningen. Då bolaget tidigare inte kunnat identifiera kunden på ett bra och säkert sätt när de kontaktat bolaget via kundservice har den manuella processen via ordinarie postgång varit den de använt sig av. På detta sätt har de fått till en tvåstegsverifiering. Funktionalitet för att möjliggöra bekräftelse av kundens identitet via kundservice har inte funnits på plats.

text: Kundförhållandet till bolaget kan etableras på två sätt, antingen genomför kunden ett köp eller så loggar kunden in på Mina Sidor. När kunden skapar ett konto på Mina Sidor anger kunden sin e-postadress och ett e-postmeddelande med bekräftelse skickas till kunden. Kunden kan sedan via länken i e-postmeddelandet komma till en webbsida där hen kopplar ett lösenord till e-postadressen. Kundkontot är därefter skapat och bolaget får på detta sätt en tvåstegsverifiering. Klagandena har använt sig av det andra sättet genom vilket kundförhållandet kan etableras på.

text: Klagandena har genomfört köp hos bolaget och de har då identifierats via bolagets betaltjänst som tillhandahålls av Klarna. För de flesta betalalternativ kräver Klarna att kunden verifierar sig via bankID. För vissa betalmetoder, exempelvis betalning med kreditkort, kan kunden själv välja att inte behöva verifiera sig via bankID genom Klarnas app.

text: Bolagets befintliga digitala kontaktväg är Mina Sidor. Det har dock inte funnits någon funktionalitet för att hantera begäranden om att utöva en rättighet enligt dataskyddsförordningen på Mina Sidor. Sedan april 2022 kan bolagets kunder numera begära att bli raderade eller få en kopia av sina personuppgifter direkt via Mina Sidor. Kundens identitet verifieras då via ordinarie inloggning.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: Enligt artikel 17.1 ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om någon av de förutsättningar som räknas upp i artikeln föreligger, till exempel om uppgifterna inte

text: längre är nödvändiga för de ändamål för vilka de har samlats in eller om samtycke för behandling återkallas.

text: Enligt artikel 12.2 ska den personuppgiftsansvarige underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22.

text: I artikel 12.6 anges att utan att det påverkar tillämpningen av artikel 11 får den personuppgiftsansvarige, om denne har rimliga skäl att betvivla identiteten hos den fysiska person som lämnar in en begäran enligt artiklarna 15–21, begära att ytterligare information som är nödvändig för att bekräfta den registrerades identitet tillhandahålls.

text: I Europeiska dataskyddsstyrelsens (EDPB)

text: Riktlinjer 01/2022

text: om tillgång anges bland annat följande.

text: 65. Om den personuppgiftsansvarige begär ytterligare information som är nödvändig för att bekräfta den registrerades identitet ska den personuppgiftsansvarige varje gång bedöma vilken information som kommer att göra det möjligt för den personuppgiftsansvariga att bekräfta den registrerades identitet och eventuellt ställa ytterligare frågor till den begärande personen eller begära att den registrerade lägger fram ytterligare identifieringsuppgifter, om det är proportionerligt (se avsnitt 3.3). Sådan ytterligare information bör inte vara mer än den information som ursprungligen behövdes för att kontrollera den registrerades identitet (autentisering). I allmänhet kan det faktum att den personuppgiftsansvarige kan begära ytterligare information för att bedöma den registrerades identitet inte leda till alltför stora krav och till insamling av personuppgifter som inte är relevanta eller nödvändiga för att stärka kopplingen mellan den enskilde och de personuppgifter som begärs.

text: 73. Det bör betonas att användningen av en kopia av en identitetshandling som en del av autentiseringsprocessen utgör en risk för personuppgifternas säkerhet och kan leda till otillåten eller olaglig behandling, och därför bör den anses olämplig, såvida det inte är absolut nödvändigt, lämpligt och i enlighet med nationell lagstiftning. I sådana fall bör de personuppgiftsansvariga ha system som säkerställer en säkerhetsnivå som är lämplig för att minska de högre riskerna för den registrerades fri- och rättigheter att ta emot sådana uppgifter. Det är också viktigt att notera att identifiering med hjälp av ett identitetskort inte nödvändigtvis hjälper i onlinesammanhang (t.ex. vid användning av pseudonymer) om den berörda personen inte kan bidra med några andra bevis, t.ex. ytterligare egenskaper som matchar användarkontot.

text: Integritetsskyddsmyndighetens bedömning

text: IMY har med utgångspunkt i de aktuella klagomålen i ärendet granskat bolagets agerande i dessa två enskilda fall.

text: Har bolaget agerat i enlighet med 12.6 i dataskyddsförordningen när bolaget begärt in aktuella uppgifter av klagandena?

text: Har Lensway Group haft rimliga skäl att betvivla identiteten hos klagandena?

text: Det är endast när den personuppgiftsansvarige har rimliga skäl att betvivla identiteten hos den som gjort begäran som ytterligare information för att bekräfta identiteten får begäras. Vad som utgör ”rimliga skäl” i artikel 12.6 i dataskyddsförordningen bör bedömas utifrån omständigheterna i det enskilda fallet. Bedömningen av om det finns rimliga skäl att i ett enskilt fall betvivla identiteten hos den som gör begäran görs normalt mot bakgrund av den information som lämnas i samband med begäran. Det gäller särskilt i situationer där den personuppgiftsansvarige saknar närmare kännedom om denna person. Att det krävs en individuell bedömning utesluter dock inte att det fastställs rutiner för hur den personuppgiftsansvarige normalt sätt verifierar den registrerades identitet.

text: Bolaget har getts tillfälle att motivera vilken individuell bedömning gjorts utifrån klagandenas situation om de ansett att de haft rimliga skäl att betvivla identiteten hos klagandena när de framfört sina begäranden. Gällande båda klagandena har bolaget i huvudsak anfört följande. Bolaget bör alltid säkerställa att det är rätt person som kontaktar dem då det gäller begäranden om att utöva en rättighet enligt dataskyddsförordningen. Kunden har inte tidigare kunnat identifieras på ett bra och säkert sätt när de kontaktat bolaget via Kundservice. Funktionalitet för hantering av begäranden om att utöva en rättighet enligt dataskyddsförordningen har varken funnits hos Kundservice eller på Mina Sidor.

text: IMY konstaterar att det av utredningen i ärendet inte tydligt framgår vilka uppgifter som klagandena lämnade i samband med sin begäran och om det utifrån dessa funnits anledning för bolaget att betvivla deras identitet. IMY anser dock att det mot bakgrund av vad som framkommit i ärendet saknas anledning att ifrågasätta bolagets uppgift om att bolaget haft anledning att betvivla identiteten hos klagandena. I bedömningen väger IMY in det faktum att skyldigheten att säkerställa identiteten på den som gör en begäran även har till syfte att skydda registrerade mot att någon annan felaktigt gör begäranden i deras namn, vilket kan leda till negativa konsekvenser för den registrerade. Riskerna för dessa negativa konsekvenser vid falska begäranden är särskilt uppenbara när det rör sig om mer ingripande åtgärder, så som utövande av rätten till radering. IMY finner därför det inte visat annat än att bolaget i de aktuella fallen haft rimliga skäl att betvivla identiteten hos klagandena.

text: Har uppgifterna som Lensway Group begärt varit nödvändiga för att bekräfta

text: klagandenas identitet?

text: Även om den personuppgiftsansvarige har rimliga skäl att betvivla identiteten hos de klagande ska den personuppgiftsansvarige inte samla in fler personuppgifter än vad som är nödvändigt för att möjliggöra identifiering av den begärande registrerade.

text: Bolaget har i huvudsak uppgett följande avseende nödvändigheten av den information de begärt av båda klaganden. Kopia av identitetshandling har begärts då det var det enda sättet som bolaget hittills har kunnat säkerställa kundens identitet. I tillägg till kopia av identitetshandling skulle klagandena skicka in ett skriftligt underlag. De uppgifter som har begärts i det skriftliga underlaget och varför de varit nödvändiga, redogörs av bolaget i huvudsak enligt följande. Namnet har begärts för att bekräfta den registrerades identitet. E-postadressen har begärts för att den används som en unik identifikator av kunder i bolagets system. Signaturen har också begärts och är enligt bolaget en nödvändig uppgift för att bolaget ska kunna försäkra sig om att den registrerade läst igenom informationen och gett sitt godkännande till hanteringen av begäran.

text: Vad avser huruvida klagandenas identitet har verifierats har bolaget uppgett att båda klaganden har genomfört köp där de har identifierats via bolagets betaltjänst som tillhandahålls av Klarna.

text: Av bolagets yttrande framgår att det inte krävts att bolaget själva verifierat klagandenas riktiga identitet när kundförhållandet etablerades d.v.s. vid köpet. IMY konstaterar att bolaget inte kan kräva mer personuppgifter när klaganden vill tillvarata sina rättigheter än vad som krävdes vid etablerandet av kundförhållandet. Kopia av identitetshandling och signatur är sådana uppgifter som bolaget inte begärt vid kundförhållandets etablerande i dessa två aktuella fall. Vidare beaktar IMY att enligt EDPB:s riktlinjer om rätten till tillgång bör användningen av kopia av identitetshandling som en del av autentiseringsprocessen anses olämplig, såvida det inte är absolut nödvändigt, lämpligt och i enlighet med nationell lagstiftning. IMY anser att kravet att förse den personuppgiftsansvarige med en kopia på sin identitetshandling är en ingripande åtgärd, som enbart är lämplig när den personuppgiftsansvarige tidigare har säkerställt den faktiska identiteten hos den registrerade och då alternativa mindre ingripande verifieringsmetoder är olämpliga. IMY bedömer att det inte framkommit några omständigheter som talar emot att andra, mindre ingripande, verifieringsmetoder hade kunnat användas i de aktuella fallen, till exempel inloggning via Mina Sidor eller kontrollfrågor. IMY konstaterar att det i ärendet därmed inte framkommit att begäran om kopian av identitetshandling eller signaturen skulle ha varit absolut nödvändig eller lämplig.

text: Mot bakgrund av detta bedömer IMY att kopian av identitetshandling samt signaturen därmed inte kan anses ha varit nödvändiga för att bekräfta identiteten hos klagandena i enlighet med artikel 12.6 i dataskyddsförordningen.

text: Har bolaget agerat i enlighet med 12.2 i dataskyddsförordningen när bolaget begärt att klagandena ska skicka uppgifterna per postgång?

text: Nästa fråga är om det har varit tillåtet att kräva att klagandena skulle skicka de begärda uppgifterna till bolaget via vanlig postgång.

text: Mot bakgrund av kraven om att underlätta utövandet av den registrerades rättigheter i artikel 12.2 i dataskyddsförordningen kan det endast i undantagsfall godtas att en personuppgiftsansvarig som enda kontaktväg hänvisar enskilda till vanlig postgång om de måste lämna in uppgifter för att deras identiteter ska kunna säkerställas, exempelvis om det är försvarbart med hänsyn till säkerhetsskäl. Utgångspunkten bör vara att alternativa sätt att skicka in begärda uppgifter ska erbjudas. Bolaget har i

text: denna del i huvudsak uppgett att de har krävt att uppgifterna ska skickas via ordinarie postgång för att säkerställa att de mottagit det skriftliga underlaget i original.

text: IMY bedömer att översändande av kopia på identitetshandling visserligen kan innebära särskilda risker vilket kan motivera att det ställs krav på att handlingen skickas per post. Detta under förutsättning att det är en nödvändig uppgift för att bekräfta identiteten hos den registrerade.

text: I de aktuella fallen bedömer IMY ovan att kopia av identitetshandling inte varit nödvändig för att bekräfta identiteten hos de klagande. Genom att kräva av klagandena att uppgifterna dessutom ska skickas via ordinarie postgång anser IMY att bolaget inte har underlättat för de klagande att utöva sin rätt till radering. IMY bedömer därmed att bolaget därigenom agerat i strid med artikel 12.2 i dataskyddsförordningen.

text: Val av ingripande

text: Av artiklarna 58.2 i och 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY konstaterar följande relevanta omständigheter. Det har av utredningen i ärendet framkommit att kopia av identitetshandling samt signatur inte längre begärs av Lensway Group AB vid begäranden från registrerade om att få utöva sin rättighet till radering enligt dataskyddsförordningen. Vidare har de konstaterade överträdelserna inträffat relativt långt tillbaka i tiden (2020) och har drabbat två registrerade. Mot denna bakgrund finner IMY att det är fråga om en sådana mindre överträdelser i den mening som avses i skäl 148 som innebär att Lensway Group AB ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna.

text: __________________________________________________

text: Detta beslut har fattats av den särskilda beslutsfattaren juristen Evelin Palmér efter föredragning av juristen Anna Mlynska.

text: Evelin Palmér, 2023-01-19 (Det här är en elektronisk signatur)

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

type: avgorande