text: Se bilaga

text: Aller Media AB

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: Artiklarna 5.2 och 24 i dataskyddsförordningen. 3 Se EU-domstolens domar av den 4 maj 2017, Rīgas satiksme,

text: , EU:C:2017:336, punkt 28, av den 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA,

text: , EU:C:2019:1064, punkt 40, av den 17 juni 2021, M.I.C.M.,

text: , EU:C:2020:1063, punkt 106 och av den 4 juli 2023, Meta Platforms m.fl.,

text: , EU:C:2023:537, punkt 106. 4 Se EDPB:s Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, version 1.0, punkt 17. 5 Se Se EU-domstolens dom den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond,

text: , EU:C:2024:857, punkt 49 6 Se EU-domstolens dom

text: , punkt 44.

text: Artikel 5.3

text: Europaparlamentets och Rådets direktiv

text: av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) samt

text: 9 kap. 28 § lagen (2022:482)

text: om elektronisk kommunikation.

nyckelord:
Dataskydd
Internet och appar

slug: aller-media-ab

title: Aller Media AB

sammanfattning: IMY har inlett tillsyn mot Aller Media AB (Aller eller bolaget) i syfte att utreda ett klagomål. Klagomålet är ett av flera klagomål som lämnats in till de europeiska dataskyddsmyndigheterna gällande kakor och kakbanners. Klagomålen rör i huvudsak designen av kakbanners, placering av kakor och efterföljande behandling av personuppgifter efter att kakorna blivit placerade på den klagandes webbläsare eller enhet. IMY konstaterar att Aller Media AB (556002-8325) har brutit mot artikel 6.1 f i dataskyddsförordningen1 genom att behandla klagandens personuppgifter utan laglig grund. IMY ger Aller Media AB en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen.

text: IMY-2023-16452 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Aller Media AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten (IMY) konstaterar att Aller Media AB (556002-8325) har brutit mot artikel 6.1 f i dataskyddsförordningen genom att behandla klagandens personuppgifter utan laglig grund.

text: Redogörelse för tillsynsärendet

text: IMY har inlett tillsyn mot Aller Media AB (Aller eller bolaget) i syfte att utreda ett klagomål. Klagomålet är ett av flera klagomål som lämnats in till de europeiska dataskyddsmyndigheterna gällande kakor och kakbanners. Klagomålen rör i huvudsak designen av kakbanners, placering av kakor och efterföljande behandling av personuppgifter efter att kakorna blivit placerade på den klagandes webbläsare eller enhet. För att underlätta samarbetet kring dessa klagomål skapades en arbetsgrupp (Cookie Banner Taskforce) inom den Europeiska dataskyddstyrelsen (EDPB).

text: Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Österrike, Danmark och Italien.

text: Klaganden har uppgett i huvudsak följande. Aller har inte haft laglig grund att behandla klagandens personuppgifter genom användning av kakor på sin webbplats recept.se den 21 maj 2021. Det har varken funnits ett berättigat intresse eller ett giltigt samtycke. Genom att förstärka i kakbannern att det är samtycke som är den lagliga grunden har Aller fått registrerade att tro att man inte har ett val att invända enligt artikel 6.1. f. Det har inte gått att invända mot behandlingen i första lagret och det har inte funnits något annat enkelt sätt att utöva sin rätt att invända mot behandlingen. Det enda alternativet att invända på har varit gömt i bannern. Det har inte heller varit möjligt att neka kakor i första lagret och bolaget har därmed försvårat möjligheten att neka behandling av

text: personuppgifter. Designen av kakbannern har genom färgval, kontrast och länkar också varit vilseledande vilket inneburit att det inte gått att ge ett informerat och frivilligt samtycke i enlighet med dataskyddsförordningen. Detta strider även mot principen om öppenhet och information.

text: Aller har uppgett i huvudsak följande. Vid den angivna tidpunkten år 2021 använde Aller både berättigat intresse och samtycke som laglig grund, efter rekommendation från bolagets Consent Management Platform (CMP)-leverantör. Detta för att leva upp till både dataskyddsförordningens krav och för att efterleva branschorganisationen Interactive Advertising Bureaus (IAB) rekommendationer. Berättigat intresse behölls således men bolaget genomförde justeringar i enlighet med IAB:s krav samt en anpassning i texten genom att explicit nämna kravet på samtycke i kakbannern. Allers bedömning är att det åtminstone sedan 2023, enbart är samtycke som är den lagliga grunden. Aller har endast kvar två syften som alltid är aktiva och det är nödvändiga kakor och besökarens integritetsval.

text: Klaganden har fått möjlighet att yttra sig över Allers redogörelse och har då uppgett att de delar i klagomålet som avser möjligheten att neka kakor i första lagret, vilseledande länkdesign, vilseledande färg och kontrast på knappar samt att det inte varit lika lätt att återkalla som att lämna samtycke har blivit åtgärdade. Klaganden har även fört fram att Aller inte har rättslig grund att spara uppgifter om att besökare inte samtyckt och att bolaget delar denna information med andra bolag. Till stöd för detta har klaganden lämnat in skärmavbilder från Allers webbplats från 2024.

text: Ärendets avgränsning

text: Post- och telestyrelsen är ensam behörig tillsynsmyndighet över lagen (

text: ) om elektronisk kommunikation (LEK) som ställer upp särskilda krav för lagring av kakor i terminalutrustning eller insamlingen av uppgifter från sådan utrustning. Den personuppgiftsbehandling som sker efter insamling, till exempel analys eller profilering, träffas däremot av dataskyddsförordningens regler där IMY är behörig tillsynsmyndighet. IMY:s granskning har mot den bakgrunden avgränsats till den behandling av personuppgifter som skett efter att uppgifterna samlats in och de brister som görs gällande i klagomålet angående denna efterföljande behandling.

text: Klaganden har under handläggningen av ärendet uppgett att delarna om möjligheten att neka i första lagret, vilseledande länkdesign, vilseledande färg och kontrast på knappar samt att det inte varit lika lätt att återkalla som att lämna samtycke nu är åtgärdade. IMY finner därför inte anledning att utreda detta vidare.

text: IMY:s prövning gäller frågan om Aller har haft laglig grund att behandla klagandens personuppgifter genom användning av kakor på sin webbplats den 21 maj 2021. Klaganden har i samband med yttrandet över Allers redogörelse framfört nya invändningar mot Allers personuppgiftsbehandling som gäller utformningen av kakbannern under 2024. IMY bedömer att klagomålet är utrett i lämplig utsträckning utan att det utvidgas till att omfatta även dessa frågor och kommer därför inte att ta ställning till dessa i ärendet.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: Enligt principen om ansvarsskyldighet ska den personuppgiftsansvarige kunna visa att behandlingen av personuppgifter utförs i enlighet med dataskyddsbestämmelserna.

text: Behandling av personuppgifter är endast laglig om något av de villkor som anges i artikel 6 i dataskyddsförordningen är uppfyllt. Berättigat intresse enligt 6.1 f är en av de lagliga grunderna som kan utgöra stöd för en personuppgiftsbehandling.

text: För att en behandling ska kunna stödja sig på intresseavvägning (även kallad berättigat intresse) enligt artikel 6.1 f i dataskyddsförordningen krävs att tre villkor är uppfyllda. För det första ska den personuppgiftsansvarige eller tredje part ha ett berättigat intresse. För det andra ska personuppgiftsbehandlingen vara nödvändig för att tillgodose det aktuella berättigade intresset. För det tredje krävs att de registrerades intressen eller grundläggande fri- och rättigheter inte väger tyngre än de berättigade intressena (intresseavvägning).

text: I skäl 47 framgår att ett berättigat intresse till exempel kan finnas när det föreligger ett relevant och lämpligt förhållande mellan den registrerade och den personuppgiftsansvarige, som att den registrerade är kund hos eller arbetar för den personuppgiftsansvarige. Ett berättigat intresse kräver under alla omständigheter en noggrann bedömning, som inbegriper huruvida den registrerade vid tidpunkten för inhämtandet av personuppgifter och i samband med detta rimligen kan förvänta sig att en uppgiftsbehandling för detta ändamål kan komma att ske. Den registrerades intressen och grundläggande rättigheter skulle i synnerhet kunna väga tyngre än den personuppgiftsansvariges intressen, om personuppgifter behandlas under omständigheter där den registrerade inte rimligen kan förvänta sig någon ytterligare behandling.

text: I EDPB:s riktlinjer för behandling av personuppgifter som grundar sig på artikel 6.1 f i dataskyddsförordningen anges att det krävs att tre kriterier är uppfyllda för att ett berättigat intresse ska anses föreligga. Intresset ska vara lagligt, vilket innebär att det inte får stå i strid med vare sig EU-rätt eller nationell rätt. Att ett intresse är kommersiellt utesluter inte att intresset är berättigat utan avgörande för denna bedömning är om intresset är lagenligt, specifikt och utgör ett verkligt och faktiskt intresse. Vidare ska intresset vara klart och tydligt formulerat och gälla ett faktiskt intresse som föreligger vid tidpunkten för behandlingen och inte är hypotetiskt.

text: Bedömning

text: Frågan i ärendet är om Aller kunnat stödja behandlingen av klagandens personuppgifter den 21 maj 2021 på artikel 6.1 f i dataskyddsförordningen.

text: Aller lämnar information om att kakor används på webbplatsen i en så kallad kakbanner som bland annat visas när användaren för första gången går in på webbplatsen. I det första lagret av kakbannern, som den såg ut vid tidpunkten för klagomålet, fanns en knapp för att samtycka och en länk för att visa syften. I informationstexten i första lagret angavs att man kan samtycka eller hantera sina val, inkluderat rätten att invända där berättigat intresse används. Möjligheten att invända fanns inte i första lagret av bannern. Det angavs vidare att bolaget behandlar data för att erbjuda användning av precis geodata, skapa personlig reklam och skapa en personlig profil. För att kunna neka all typ av behandling behövde en registrerad först neka samtycke och sedan gå vidare och hitta alternativet för att invända mot behandling för vissa ändamål.

text: Nedanstående bedömning utgår från denna kakbanner och bolagets dåvarande webbplats.

text: Aller har angett i sin kakbanner att bolaget har ett berättigat intresse av att behandla uppgifter för profilering och precis geodata. I sin kommunikation med IMY har bolaget inte argumenterat för att det faktiskt haft ett berättigat intresse att behandla uppgifterna. Aller har istället hänvisat till att deras CMP-leverantör rekommenderat bolaget att ha både samtycke och berättigat intresse som laglig grund för denna typ av personuppgiftsbehandling. Med hänsyn till ansvarsskyldigheten i dataskyddsförordningen anser IMY inte att en personuppgiftsansvarig kan frånsäga sig ansvaret att säkerställa att det finns en laglig grund för bolagets personuppgiftsbehandlingar genom att hänvisa till en leverantörs rekommendationer. IMY konstaterar därför att Aller är ansvarig för att se till att det finns en laglig grund vid behandling av personuppgifter hos bolaget.

text: IMY anser att kravet på samtycke för att samla in uppgifter via kakor ger ett särskilt starkt integritetsskydd och ger registrerade möjligheten att själva välja och kontrollera hur deras personuppgifter används. Om de insamlade uppgifterna i ett senare skede vidarebehandlas med berättigat intresse som rättslig grund riskerar detta särskilda integritetsskydd att urholkas. Detta särskilda integritetsskydd för den registrerade är därför något som bör tas i beaktande vid en intresseavvägning enligt artikel 6.1 f.

text: Under IMY:s utredning av ärendet har Aller inte tydligt fört fram vad deras berättigade intresse för den aktuella personuppgiftsbehandlingen var eller hur en intresseavvägning ska ha gjorts. IMY:s bedömning är att klaganden inte kan anses ha kunnat förvänta sig en sådan personuppgiftsbehandling endast genom ett besök av Allers webbplats. Vidare har klaganden endast kunnat invända mot behandling först efter att ha nekat samtycke i kakbannern. IMY:s bedömning är mot denna bakgrund att Aller inte har visat att bolaget kunnat stödja personuppgiftsbehandlingen på den rättsliga grunden berättigat intresse. Sammanfattningsvis har Aller brutit mot artikel 6.1 f i dataskyddsförordningen genom att behandla klagandens personuppgifter utan laglig grund.

text: Val av ingripande

text: Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktions-

text: avgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY konstaterar följande relevanta omständigheter. Den aktuella tillsynen omfattar en granskning av om Aller haft laglig grund att behandla en enskild klagandens personuppgifter. IMY har bedömt att bolaget inte har haft laglig grund att behandla den klagandes personuppgifter. Aller har efter att IMY inledde tillsyn gjort vissa ändringar i sin kakbanner och anger numera att de har samtycke som laglig grund. Bolaget har inte tidigare konstaterats överträtt dataskyddsförordningen.

text: Vid en sammanvägd bedömning anser IMY att det är fråga om en sådan mindre överträdelse i den mening som avses i skäl 148 dataskyddsförordningen som medför att Aller Media AB ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för den konstaterade överträdelsen.

text: Detta beslut har fattats av enhetschefen Albin Brunskog efter föredragning av juristen Michaela Prieto Ceric

text: Albin Brunskog

text: Bilaga

text: Klagandens personuppgifter

text: Kopia till

text: Dataskyddsombudet

text: Hur man överklagar

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Se bilaga

text: Aktiebolaget Trav och Galopp

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: EDPB:s

text: riktlinjer 05/2020

text: om samtycke enligt förordning

text: (EU) 2016/679

text: , version 1.1, antagna den 4 maj 2020, punkterna 13 och 84. 3 EDPB:s

text: riktlinjer 03/2022

text: om vilseledande designmönster i gränssnitt på plattformar för sociala medier: hur man känner igen och undviker dem, version 2.0, antagna den 14 februari 2023 maj, punkterna 51 och 84. 4 EDPB:s

text: riktlinjer 05/2020

text: om samtycke enligt förordning

text: (EU) 2016/679

text: , version 1.1, antagna den 4 maj 2020, punkterna 113-114.

text: Rapport om det arbete som utförts av arbetsgruppen inom EDPB, ”Cookie Banner Taskforce”, antagen den 17 januari 2023, punkt. 35 och yttrande 08/2024 om giltiga samtycken gällande “Consent or Pay Models” implementerade av stora onlineplattformar, antaget den 17 April 2024, punkt 169 (IMY:s översättning). 6 Rapport om det arbete som utförts av arbetsgruppen ”Cookie Banner Taskforce”, antagen den 17 januari 2023, punkt. 17.

sprak: sv

titel: Läs beslutet

nyckelord:
Dataskydd
Dina rättigheter

publisher: Integritetsskyddsmyndigheten

slug: aktiebolaget-trav-och-galopp

title: Aktiebolaget Trav och Galopp

org: imy

sammanfattning: IMY har inlett tillsyn mot ATG i syfte att utreda ett klagomål. Klagomålet är ett av flera klagomål som lämnats in till de europeiska dataskyddsmyndigheterna gällande kakor och kakbanners. Klagomålen rör i huvudsak designen av kakbanners, placering av kakor och efterföljande behandling av personuppgifter efter att kakorna blivit placerade på den klagandes webbläsare eller enhet. IMY konstaterar att Aktiebolaget Trav och Galopp (ATG, 556180-4161) har behandlat klagandens personuppgifter i strid med artikel 6 och 7.3 i dataskyddsförordningen1 genom att inte ha gjort det lika lätt att återkalla samtycke som att lämna det och försvårat för klaganden att lämna ett informerat och frivilligt samtycke genom att använda vilseledande design av sin kakbanner. IMY ger ATG en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen för överträdelserna.

text: IMY-2023-16453 Beslut efter tillsyn enligt

type: stycke

text: dataskyddsförordningen – Aktiebolaget Trav och Galopp

type: rubrik

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten (IMY) konstaterar att Aktiebolaget Trav och Galopp (ATG, 556180-4161) har behandlat klagandens personuppgifter i strid med artikel 6 och 7.3 i dataskyddsförordningen genom att inte ha gjort det lika lätt att återkalla samtycke som att lämna det och försvårat för klaganden att lämna ett informerat och frivilligt samtycke genom att använda vilseledande design av sin kakbanner.

text: Redogörelse för tillsynsärendet

text: IMY har inlett tillsyn mot ATG i syfte att utreda ett klagomål. Klagomålet är ett av flera klagomål som lämnats in till de europeiska dataskyddsmyndigheterna gällande kakor och kakbanners. Klagomålen rör i huvudsak designen av kakbanners, placering av kakor och efterföljande behandling av personuppgifter efter att kakorna blivit placerade på den klagandes webbläsare eller enhet. För att underlätta samarbetet kring dessa klagomål skapades en arbetsgrupp (Cookie Banner Taskforce) inom den europeiska dataskyddstyrelsen.

text: Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörd tillsynsmyndighet har varit dataskyddsmyndigheten i Österrike.

text: Klaganden har uppgett i huvudsak följande. ATG har den 21 maj 2021 behandlat klagandens personuppgifter i strid med dataskyddsförordningen eftersom det inte funnits ett giltigt samtycke. Det har inte heller varit möjligt att neka kakor i första lagret och bolaget har därmed försvårat möjligheten att neka behandling av personuppgifter. Designen av kakbannern har genom färgval, kontrast och länkar också varit vilseledande vilket inneburit att det inte gått att ge ett informerat och frivilligt samtycke i enlighet med dataskyddsförordningen. Detta strider även mot principen om öppenhet. Därtill har det inte varit lika enkelt att återkalla ett samtycke som det varit att lämna

text: samtycket. ATG:s information om att kakor används på webbplatsen (i en så kallad kakbanner) har bifogats klagomålet.

text: ATG har uppgett i huvudsak följande. Den 21 maj 2021 hade ATG samtycke som laglig grund för behandlingen. Det var möjligt att neka kakor och detta kunde göras i

text: andra lagret. Det var även möjligt att återkalla samtycket. Information om rätten att återkalla samtycke lämnades i andra lagret. Man återkallade samtycket via ATG:s cookiepolicy under rubriken "Hur hanterar jag godkännande/nekande av

text: cookies?". Det fanns vissa brister i samtycket den 21 maj 2021, därför åtgärdades följande i oktober 2021. ATG införde en tydlig knapp för att neka kakor i stället för en länk. Vidare ändrades färg och kontrast på knapparna. Inga andra kakor än nödvändiga sådana placerades i besökarens webbläsare innan denne gjorde ett aktivt samtycke till kakor. ATG har bifogat bilder på ändringarna i kakbannern.

text: Klaganden har fått möjlighet att yttra sig över ATG:s yttrande och har då återkallat klagomålet i de delar det avsåg möjligheten att neka kakor i första lagret och vilseledande länkdesign.

text: Ärendets avgränsning

text: Post- och telestyrelsen är ensam behörig tillsynsmyndighet över lagen (

text: ) om elektronisk kommunikation (LEK) som ställer upp särskilda krav för lagring av kakor i terminalutrustning eller insamlingen av uppgifter från sådan utrustning. Den personuppgiftsbehandling som sker efter insamling, till exempel analys eller profilering, träffas däremot av dataskyddsförordningens regler där IMY är behörig tillsynsmyndighet. IMY:s granskning har mot den bakgrunden avgränsats till den behandling av personuppgifter som skett efter att uppgifterna samlats in och de brister som görs gällande i klagomålet angående denna efterföljande behandling.

text: Klaganden har under handläggningen av ärendet uppgett att delarna om att det inte finns någon möjlighet att neka kakor och att ATG försvårar för klaganden att återkalla eller neka samtycke genom användandet av en vilseledande länk, nu är åtgärdade. IMY noterar därtill att ATG har ändrat sin kakbanner och att det numera finns ett sätt att neka kakor i det första lagret samt att en knapp används istället för länk för att neka kakor. IMY finner därför inte anledning att utreda detta vidare.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: Behandling av personuppgifter är endast laglig om något av de villkor som anges i artikel 6 i dataskyddsförordningen är uppfyllt. Den lagliga grunden som är aktuell i ärendet är samtycke enligt artikel 6.1 a.

text: Samtycke definieras i artikel 4.11 dataskyddsförordningen som varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. För att ett samtycke ska vara giltigt krävs det att alla dessa krav är uppfyllda.

text: Frivilligt och informerat samtycke

text: Att personuppgifter ska behandlas på ett öppet sätt i förhållande till den registrerade följer av öppenhetsprincipen i artikel 5.1 i förordningen. Det är i ljuset av denna princip som kravet på att ett samtycke ska vara informerat ska läsas.

text: I skäl 42 i dataskyddsförordningen anges att samtycke inte bör betraktas som frivilligt om den registrerade inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke.

text: I den europeiska dataskyddsstyrelsens (EDPB:s) riktlinjer om samtycke anges att det ska finnas ett verkligt val och en verklig kontroll för de registrerade. Som en allmän regel gäller att dataskyddsförordningen föreskriver att om den registrerade inte har något verkligt val, känner sig tvingad att samtycka eller kommer att utstå negativa konsekvenser om de inte samtycker, kommer samtycket inte att vara giltigt. I riktlinjerna anges även att personuppgiftsansvariga ska designa samtyckeslösningar som är tydliga för de registrerade.

text: EDPB anser vidare att användande av en liten teckenstorlek eller en färg som inte kontrasterar tillräckligt för att ge tillräcklig läsbarhet (t.ex. svag grå textfärg på en vit bakgrund) kan ha negativ inverkan på användarna, eftersom texten blir mindre synlig och användarna antingen förbiser den eller har svårt att läsa den.

text: Återkalla samtycke

text: Artikel 7.3 i dataskyddsförordningen föreskriver att det krävs att den registrerade ska ha rätt att när som helst återkalla sitt samtycke för att ett samtycke ska vara giltigt. Innan samtycke lämnas ska den registrerade informeras om detta. Det ska vara lika lätt att återkalla som att ge sitt samtycke.

text: I EDPB:s riktlinjer om samtycke anges att samtycke inte måste lämnas och återkallas genom en och samma handling, däremot ska det vara lika enkelt. När samtycke lämnas elektroniskt genom ett enda musklick, en svajp eller ett tangenttryck måste de registrerade i praktiken kunna återkalla samtycket lika lätt. Om samtycke erhålls genom ett tjänstespecifikt användargränssnitt (t.ex. via en webbplats eller en app), måste den registrerade utan tvivel kunna återkalla samtycket via samma elektroniska gränssnitt, eftersom det skulle kräva en omotiverad ansträngning att byta till ett annat gränssnitt enbart för att återkalla samtycket. Dessutom bör den registrerade kunna återkalla samtycket utan problem. Detta innebär bland annat att en personuppgiftsansvarig måste se till att det inte kostar något att återkalla samtycket och att det hela inte innebär att tjänsten försämras.

text: Frågan i ärendet är om det funnits ett giltigt samtycke för att behandla klagandens personuppgifter.

text: Bedömning

text: ATG lämnar information om att kakor används på webbplatsen i en så kallad kakbanner som bland annat visas när användaren för första gången går in på webbplatsen. I det första lagret av kakbannern, som den såg ut den 21 maj 2021,

text: fanns två alternativ att välja på för den registrerade, ”Välj dina cookies” och ”Godkänn alla cookies”. Nedan bedömning utgår från denna kakbanner på bolagets webbplats.

text: Jämförelse av förfarandena för att samtycka och återkalla

text: Klaganden lyfter fram alternativet att ha en permanent hovrande ikon som är synlig på alla sidor på webbplatsen för att återkalla samtycke. IMY anser att en permanent hovrande ikon är ett alternativ som kan uppfylla villkoret på att det ska vara lika enkelt att återkalla som att lämna samtycke. Däremot anser inte IMY att dataskyddsförordningen innefattar ett krav på en viss specifik teknisk lösning som alla personuppgiftsansvariga måste använda för att uppfylla kravet i artikel 7.3. Bedömningen av om det är lika enkelt att återkalla som att lämna samtycke behöver göras i det enskilda fallet utifrån det aktuella förfarandet som används för att lämna ett samtycke. Denna bedömning är i linje med ”Cookie Banner taskforce report” och EDPB:s yttrande om giltigt samtycke.

text: Vid den aktuella perioden när en användare för första gången besökte ATG:s webbplats dykte kakbannern omedelbart upp. Rubriken på ATG:s kakbanner var ”Acceptera cookies”. Där kunde användaren med endast ett knapptryck samtycka till användningen av samtliga (icke-nödvändiga) kakor. När en användare hade lämnat sitt samtycke i kakbannern försvann kakbannern och hemsidan gick att använda. För att återkalla samtycket behövde den registrerade gå in på bolagets cookiepolicy som fanns nere i sidfoten under rubriken ”Personuppgifter”. Där behövde man klicka på knappen ”Cookies” och därefter på knappen ”Hur hanterar jag godkännande/nekande av cookies?”. Det kom då upp information om att godkänna/neka kakor och längst ned fanns alternativet ”klicka här för att öppna cookie-modalen”. Där behövde den registrerade klicka ytterligare en gång och kom sedan in på ett inställningscenter där denne behövde klicka ur de kategorier av kakor som denne tidigare samtyckt till och sedan trycka på ”spara inställningar”. Vid en jämförelse med hur samtycken inhämtades på webbplatsen behövdes det alltså betydligt färre knapptryck för att lämna samtycke än att återkalla samtycke. IMY anser vidare att det var svårt för en registrerad att överhuvudtaget hitta var man kunde återkalla sitt samtycke.

text: Sedan den 21 maj 2021 har ATG genomfört ändringar i sin kakbanner. ATG har bl.a. lagt till förtydligande rubriker om återkallande under knappen ”hur hanterar jag godkännande/nekande av cookies?” i cookiepolicyn. Den registrerade behöver dock fortfarande gå igenom alla steg som beskrivits ovan för att återkalla. IMY:s bedömning är därför att de genomförda ändringarna inte har lett till att en registrerad kan återkalla sitt samtycke lika enkelt som att lämna samtycke.

text: Vilseledande design

text: IMY anser inte att det går att införa en generell standard kring vilka färger och kontraster som en personuppgiftsansvarig ska använda i sin kakbanner. En bedömning av en kakbanner och om den är i enlighet med dataskyddsförordningen behöver göras i det enskilda fallet. Bedömningen ska avse om kontrast och färg är uppenbart vilseledande för den registrerade och inte resulterar i ett oavsiktligt och därmed ogiltigt samtycke. Denna bedömning är i linje med ”Cookie Banner taskforce report”.

text: IMY anser inte att alternativet att neka och att godkänna kakor behöver se exakt likadana ut för att uppfylla dataskyddsförordningens bestämmelser om samtycke. Däremot måste de vara likvärdiga för att den registrerade inte ska vilseledas i sitt val.

text: Under den aktuella perioden använde ATG två olika färger för alternativen ”Välj dina cookies” och ”Godkänn alla cookies”. För alternativet att inte godkänna kakor användes en länk och för att godkänna kakor användes en knapp. Länken utgjordes av grå/svart text och knappen för att godkänna var grön med vit text. Bakgrunden på bannern var vit. Alternativet att inte godkänna kakor, det vill säga länken, upplevs därför inte lika framträdande som en grön knapp mot vit bakgrund. Vidare är det inte tydligt att länken utgör ett möjligt val för en användare. Det framstår mer som att det endast är information eftersom texten ”Välj dina cookies” är utformad på samma sätt som den generella informationen om kakor i bannern. IMY anser därför att designen av kakbannern förstärkte uppfattningen att användaren ska klicka på att godkänna kakor. Detta måste också ses i ljuset av att kakbannern hade som rubrik ”Acceptera cookies”. IMY anser att ATG:s design av kakbannern och valet av färger och kontraster har utformats för att förmå den registrerade att godkänna kakor. ATG har fört fram att bolaget behöver följa bestämmelser för att förbättra tillgänglighet. IMY anser inte att detta motiverar att bolaget behöver förstärka alternativet att godkänna kakor.

text: IMY:s bedömning är att klagandens samtycke inte kan ha varit ett uttryck för dennes otvetydiga viljeyttring eftersom designen gjorde att det upplevdes som att det inte fanns andra alternativ än att samtycka. Klaganden kan alltså inte ha ansetts haft möjlighet att lämna ett informerat och frivilligt samtycke.

text: ATG har ändrat sin design av kakbanner efter klagomålet. IMY anser att dessa ändringar inneburit vissa förbättringar för den registrerade att lämna ett frivilligt och informerat samtycke. Däremot anser IMY att designen trots ändringarna gör att alternativet att tillåta alla kakor är mer framträdande än att avvisa. Detta eftersom alternativet att godkänna kakor fortfarande har en tydligare kontrast mot bakgrunden än alternativet att avvisa kakor. Mot denna bakgrund anser IMY att ATG använt vilseledande design i sitt val av färg och kontrast i sin kakbanner vilket påverkar den klagandens möjlighet att lämna ett informerat och frivilligt samtycke.

text: Sammanfattning

text: ATG har inte gjort det lika enkelt att återkalla samtycke som att lämna det. Därtill har bolaget använt vilseledande design i sitt val av färg och kontrast i kakbannern som påverkat klagandens möjlighet att lämna ett frivilligt och informerat samtycke. Det har därmed inte funnits ett giltigt samtycke och därför inte någon laglig grund att behandla klagandens personuppgifter. ATG har således behandlat klagandens personuppgifter i strid med artikel 6 och 7.3 i dataskyddsförordningen.

text: Val av ingripande

text: Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift

text: utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY konstaterar följande relevanta omständigheter. IMY har bedömt att bolaget inte har haft laglig grund att behandla klagandes personuppgifter. Trots att ATG inte bedöms ha gjort återkallandet lika enkelt som lämnandet av samtycke så har det funnits en möjlighet att återkalla sitt samtycke och bolaget har gjort vissa förbättringar efter klagomålet för att underlätta för den registrerade. ATG har även gjort vissa förbättringar gällande designen av kakbannern även om dessa bedömts vara otillräckliga. Bolaget har inte tidigare konstaterats överträtt dataskyddsförordningen.

text: Vid en sammanvägd bedömning anser IMY att det är fråga om sådana mindre överträdelser i den mening som avses i skäl 148 dataskyddsförordningen som medför att ATG ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna.

text: Detta beslut har fattats av enhetschefen Albin Brunskog efter föredragning av juristen Michaela Prieto Ceric.

text: Albin Brunskog

text: Albin Brunskog

text: Bilaga

text: Klagandens personuppgifter

text: Kopia till

text: dataskyddsombud@atg.se

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

type: avgorande


text: BOUN 00070-2023

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 Lagen (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning. 08-657 61 00

text: Dnr DI-2018-13200 4 Riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679, antagna den 4 april 2017 (

text: WP 248

text: rev. 01).

text: Dnr DI-2018-13200 6 Riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679, antagna den 4 april 2017 (

text: WP 248

text: rev. 01).

titel: Beslut

nyckelord: Dataskydd Informationssäkerhet Utbildning Skola Konsekvensbedömning

amne: Konsekvensbedömning

korrigerandeAtgard: Sanktionsavgift på 300 000 kronor

lagakraft: Ja

lagrum: Artikel 35 i dataskyddsförordningen, GDPR

nyckelord: Konsekvensbedömning, Administrativ sanktionsavgift, Skolverksamhet

overklagan: Nej

rubrik: Konsekvensbedömning vid införande av digital skolplattform

sammanfattning: IMY har beslutat att barn- och utbildningsnämnden i Östersunds kommun ska betala en sanktionsavgift på 300 000 kronor för att ha brustit i skyldigheten att genomföra en konsekvensbedömning i samband med att den digitala skolplattformen Google Workspace infördes på 24 av kommunens skolor. 5 945 elever och 1 303 anställdas personuppgifter har behandlats i tjänsten. En konsekvensbedömning ska göras bland annat om det, som i detta fall, rör personuppgiftsbehandling av stor omfattning och dessutom avser barn. Läs tillsynsbeslutet

sanktionsavgift: 300 000 kronor

title: Barn- och utbildningsnämnden, Östersunds kommun

sammanfattning: IMY utfärdar en sanktionsavgift på 300 000 kronor mot barn- och utbildningsnämnden i Östersunds kommun. Nämnden gjorde inte en nödvändig konsekvensbedömning innan den digitala skolplattformen Google Workspace infördes på 24 av kommunens skolor.

text: IMY-2023-1647 Beslut efter tillsyn enligt

text: dataskyddsförordningen - Barn- och utbildningsnämnden i Östersunds kommun

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Barn- och utbildningsnämnden i Östersunds kommun (nämnden) brustit i sin skyldighet enligt artikel 35.1 i dataskyddsförordningen att genomföra en konsekvensbedömning innan tjänsten Google Workspace for Education (Google Workspace) började användas i 24 av kommunens skolor hösten 2020.

text: Integritetsskyddsmyndigheten beslutar med stöd av

text: 6 kap. 2 § dataskyddslagen

text: och artiklarna 58.2 och 83 i dataskyddsförordningen att Barn- och utbildningsnämnden i Östersunds kommun ska betala en administrativ sanktionsavgift på 300 000 (trehundratusen) kronor för överträdelsen av artikel 35.1 i dataskyddsförordningen.

text: Redogörelse för tillsynsärendet

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot nämnden i syfte att granska om nämnden brustit i sin skyldighet enligt artikel 35.1 i dataskyddsförordningen att genomföra en konsekvensbedömning innan tjänsten Google Workspace började användas i 24 av kommunens skolor under hösten 2020.

text: Nämnden har i yttrande till IMY den 1 mars 2023, som kompletterades den 23 mars 2023, i huvudsak uppgett följande.

text: Under 2014 genomförde Regionförbundet i Jämtlands län en PUL-bedömning och riskanalys av Google Apps for Education, numera Google Workspace for Education. Sammanfattningsvis konstaterades att riskanalysen inte påvisade tillräckliga risker som kunde motivera att verksamheten skulle avstå från att använda molntjänsten. I maj 2020 fattade kommunen beslut om att migrera tjänsten till en egen domän och i juni 2020 startades tjänsten upp i kommunens egna IT-miljö. Nämnden har efter migreringen konstaterat att hanteringen brustit i fråga om upprättande av en ny

text: konsekvensbedömning samt risk- och sårbarhetsanalys. Trots att bedömningen i och med migreringen resulterade i samma risker som vid analysen 2014 borde dokumentation ha upprättats utifrån gällande lagstiftning och den omständigheten att tjänsten flyttats till en egen domän. Nämnden har påbörjat en utbildningsinsats för systemadministratörer på IT-enheten som arbetar specifikt med tjänsten. Vid tidpunkten för nämndens yttrande hade utbildningen kommit halvvägs och det kunde redan då konstateras att tjänsten inte skötts enligt de instruktioner som nämnden fått. När utbildningen slutförts är nästa steg i åtgärdsplanen att genomföra en audit av tjänsten för att klarlägga vilka säkerhetsbrister som finns i systemet och därmed få ett underlag för vilka åtgärder som måste vidtas. Auditen är en del av konsultationen i den konsekvensbedömning som påbörjats. Eftersom auditen inte är färdigställd är konsekvensbedömningen inte heller det.

text: Google Workspace har använts i Östbergsskolan och i 23 skolor till i Östersunds kommun. Nämnden är personuppgiftsansvarig för behandlingen av personuppgifter vid användandet av tjänsten i dessa skolor. Google Workspace har använts för undervisning och kommunikation. Personalen delar ut planering och uppgifter till elever och elever ges möjlighet att lämna in skoluppgifter. Under pandemin har även funktionen Meet använts i viss utsträckning för att möjliggöra fjärrundervisning. Tjänsten används även för kommunikation mellan pedagoger och elever i syfte att kunna ge återkopplingar rörande skoluppgifter om exempelvis något saknas, behöver utvecklas, kompletteras eller liknande. Inga summativa bedömningar eller betyg lämnas genom tjänsten. Tjänsten används även för kommunikation mellan elever gällande skoluppgifter. Viss kommunikation kan även bestå av mer generell information till elever rörande lektioner.

text: Personuppgifter i form av förnamn, efternamn, e-postadress, klasstillhörighet och grupptillhörighet behandlas i tjänsten. I tjänsten behandlas uppgifter om 5 945 elever och 1 303 anställda. Ansvarig klasslärare kan bjuda in vårdnadshavare, som själv väljer om de vill acceptera eller neka inbjudan, till tjänsten för att ta del av klassuppgifter och veckosammanställningar. Den nuvarande tjänsten startades upp till skolstarten 2020, läsåret 2020/2021.

text: Nämnden genomförde inte en konsekvensbedömning inför införandet av tjänsten, men den har påbörjats och nämnden avvaktar nu konsultation (audit). Den påbörjade konsekvensbedömningen innefattar också frågan om användningen av tjänsten innebär en överföring av personuppgifter till ett tredje land (dvs. ett land utanför EU/EES).

text: Nämnden har i samband med slutkommunicering i ärendet inkommit med yttrande daterat den 12 september 2023 och uppgett bland annat följande. Den audit som vid senaste yttrandetillfället planerades att genomföras, som en del av konsultationen i konsekvensbedömningen, har slutförts. De säkerhetsbrister som framkommit i auditen har kommunen arbetat med att åtgärda. Utifrån att auditen påvisat många risker, har behovet varit stort att försöka arbeta fram lösningar så effektivt som möjligt, utan att kvalitén och säkerheten i arbetet påverkas. Många av åtgärderna är redan på plats. Nämnden har exempelvis tecknat avtal med Google om utökad licens, vilket bland annat innebär att data grundkrypteras, samt möjliggör för kommunens utbildade systemadministratörer att arbeta med de säkerhetsinställningar som krävs enligt genomförd audit. Likaså är många styrdokument fastställda, utbildningar är under framtagande, informationshanteringsplaner uppdaterade, begränsningar för lagring/behandling av information samt personuppgifter genomförda och starkare krypteringsarbete påbörjat. Nämnden har därefter den 7 november 2023 uppgett att

text: konsekvensbedömningen i princip var klar. Det som kvarstod var en fråga kring dataflöden.

text: Motivering av beslutet

text: Konsekvensbedömning

text: Tillämpliga bestämmelser m.m.

text: Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.

text: Av artikel 35.1 i dataskyddsförordningen framgår att om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige före behandlingen utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter, en så kallad konsekvensbedömning.

text: I skäl 75 till dataskyddsförordningen anges faktorer som ska beaktas vid bedömningen av risken för fysiska personers rättigheter och friheter. En faktor som kan beaktas är om behandlingen avser uppgifter som innefattar bedömningar av personliga aspekter såsom arbetsprestationer. Vidare ska beaktas om behandlingen innefattar personuppgifter om sårbara fysiska personer, framförallt barn, och gäller ett stort antal registrerade. I skäl 76 till dataskyddsförordningen anges att risken bör utvärderas på grundval av en objektiv bedömning, genom vilken fastställs huruvida behandlingen inbegriper en risk eller hög risk.

text: I artikel 35.3 i dataskyddsförordningen anges exempel på situationer när en konsekvensbedömning krävs. Därutöver anges i artikel 35.4 i dataskyddsförordningen att tillsynsmyndigheten ska upprätta och offentliggöra en förteckning över det slags behandlingsverksamheter som omfattas av kravet på sådan konsekvensbedömning. IMY har upprättat en sådan förteckning, se bilaga, som baseras på Artikel 29gruppens riktlinjer . Av förteckningen framgår att en konsekvensbedömning avseende dataskydd ska göras om den planerade behandlingen uppfyller minst två av följande kriterier:

text: 1. utvärderar eller poängsätter människor, till exempel ett företag som erbjuder genetiska tester till konsumenter för att bedöma och förutse risker för sjukdomar, ett kreditupplysningsföretag eller ett företag som profilerar internetanvändare, 2. behandlar personuppgifter i syfte att fatta automatiserade beslut som har rättsliga följder eller liknande betydande följder för den registrerade, 3. systematiskt övervakar människor, till exempel genom kameraövervakning av en allmän plats eller genom att samla in personuppgifter från internetanvändning i offentliga miljöer,

text: 4. behandlar känsliga personuppgifter enligt artikel 9 eller uppgifter som är av mycket personlig karaktär, till exempel ett sjukhus som lagrar patientjournaler, ett företag som samlar in lokaliseringsuppgifter eller en bank som hanterar finansiella uppgifter, 5. behandlar personuppgifter i stor omfattning, 6. kombinerar personuppgifter från två eller flera behandlingar på ett sätt som avviker från vad de registrerade rimligen kunnat förvänta sig, till exempel när man samkör register, 7. behandlar personuppgifter om personer som av något skäl befinner sig i ett underläge eller i beroendeställning och därför är sårbara, till exempel barn, anställda, asylsökande, äldre och patienter, 8. använder ny teknik eller nya organisatoriska lösningar, till exempel en sakernas internet-applikation (Internet of things, IoT), 9. behandlar personuppgifter i syfte att hindra registrerade från att få tillgång till en tjänst eller ingå ett avtal, till exempel när en bank granskar sina kunder mot en databas för kreditupplysning för att besluta om de ska erbjudas lån.

text: Integritetsskyddsmyndighetens bedömning

text: Nämnden har uppgett att den är personuppgiftsansvarig för den behandling av personuppgifter som sker vid användandet av tjänsten Google Workspace i de aktuella skolorna, vilket stöds av utredningen i ärendet. IMY konstaterar att nämnden har bestämt ändamål och medel med behandlingen av personuppgifterna. Nämnden är därför personuppgiftsansvarig för den aktuella behandlingen.

text: Av utredningen i ärendet framgår att en tidigare version av tjänsten, Google Apps for Education, användes av nämnden, men inte på en egen domän. Av utredningen framgår vidare att Östersunds kommun, i maj 2020, fattade beslut om att migrera den nya versionen av tjänsten, Google Workspace, till en egen domän och att tjänsten i juni 2020 startades upp i kommunens egen IT-miljö. Under hösten 2020 började nämnden använda tjänsten i 24 av kommunens skolor. IMY bedömer att de förändringar i användandet av tjänsten, som kommunen fattat beslut om i maj 2020, resulterat i en ny personuppgiftsbehandling hos nämnden.

text: I artikel 35.1 i dataskyddsförordningen anges att om en typ av behandling sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige före behandlingen utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter, en så kallad konsekvensbedömning. Den fråga som IMY har att bedöma är om det funnits en skyldighet att utföra en konsekvensbedömning innan nämnden inledde personuppgiftsbehandlingen under hösten 2020.

text: För att fastställa vilka behandlingar som sannolikt leder till en hög risk ska tillsynsmyndigheten, enligt artikel 35.4 i dataskyddsförordningen, upprätta en förteckning över behandlingar där en konsekvensbedömning krävs. IMY har som

text: nämnts ovan upprättat en sådan förteckning som baseras på Artikel 29-gruppens riktlinjer . Av förteckningen framgår att konsekvensbedömningar ska göras om en personuppgiftsbehandling uppfyller minst två av de kriterier som anges i förteckningen. I förteckningen finns ett antal exempel på när två av kriterierna ska anses uppfyllda och en konsekvensbedömning alltså måste göras. I ett av dessa exempel anges att konsekvensbedömningar ska utföras inom offentlig sektor inför behandling av barns personuppgifter i skolverksamhet, om det är ett större antal registrerade (kriterium 5 och 7).

text: IMY konstaterar att den i ärendet aktuella behandlingen är en sådan behandling som anges i det nämnda exemplet. Behandlingen utförs i skolverksamhet och rör ett stort antal registrerade som i huvudsak är barn. Barnen befinner sig i egenskap av elever i en utsatt position i förhållande till den personuppgiftsansvarige. Vidare har behandlingen avsett anställda som befinner sig i ett beroendeförhållande gentemot nämnden. Behandlingen har dessutom till viss del innefattat återkoppling på skoluppgifter vilket får anses utgöra en utvärdering av de registrerades prestationer. IMY bedömer att den aktuella behandlingen, med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt har inneburit en hög risk för de registrerades frioch rättigheter. Nämnden hade således en skyldighet att genomföra en konsekvensbedömning innan behandlingen inleddes hösten 2020.

text: Av utredningen framgår att nämnden inte utförde en konsekvensbedömning innan Google Workspace började användas i de aktuella skolorna hösten 2020 samt att arbetet med att genomföra en konsekvensbedömning ännu inte slutförts.

text: IMY bedömer mot den bakgrunden att nämnden brustit i sin skyldighet enligt artikel 35.1 i dataskyddsförordningen att genomföra en konsekvensbedömning innan tjänsten Google Workspace började användas i 24 skolor i Östersunds kommun under hösten 2020.

text: Val av ingripande

text: Tillämpliga bestämmelser

text: Vid överträdelser av dataskyddsförordningen har IMY ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 a–j i dataskyddsförordningen, bland annat reprimand, föreläggande och sanktionsavgifter.

text: Av artikel 83.2 i dataskyddsförordningen framgår att IMY ska påföra administrativa sanktionsavgifter utöver eller i stället för de andra åtgärder som avses i artikel 58.2 beroende på omständigheterna i det enskilda fallet. Medlemsstaterna får fastställa regler för om och i vilken utsträckning administrativa sanktionsavgifter kan påföras offentliga myndigheter. Det framgår av artikel 83.7 i dataskyddsförordningen. Av

text: 6 kap. 2 § dataskyddslagen

text: framgår att IMY får ta ut sanktionsavgifter av myndigheter vid överträdelser som avses i artikel 83.4, 83.5 och 83.6 i dataskyddsförordningen och att artikel 83.1, 83.2 och 83.3 i förordningen då ska tillämpas.

text: I artikel 83.2 i dataskyddsförordningen anges de faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt skäl 148 till

text: dataskyddsförordningen utfärda en reprimand istället för att påföra en sanktionsavgift. De faktorer som anges i artikel 83.2 i dataskyddsförordningen ska beaktas även vid bestämmandet av sanktionsavgiftens storlek. Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det framgår av artikel 83.1 i dataskyddsförordningen.

text: Sanktionsavgift ska påföras

text: IMY har bedömt att nämnden har brustit i sin skyldighet enligt artikel 35.1 i dataskyddsförordningenatt genomföra en konsekvensbedömning innan tjänsten Google Workspace började användas.

text: IMY konstaterar att behandlingen har innefattat 5 945 barn, vars personuppgifter är särskilt skyddsvärda samt att uppgifterna behandlas i ett sammanhang där barnen i egenskap av elever befinner sig i beroendeställning till den personuppgiftsansvarige. Vidare beaktar IMY att konsekvensbedömningen ännu inte slutförts trots att ca tre år har gått sedan behandlingen inleddes hösten 2020. IMY konstaterar vidare att underlåtelsen inneburit en förhållandevis hög grad av oaktsamhet eftersom det varit tydligt att behandlingen omfattades av kravet på konsekvensbedömning bland annat utifrån IMY:s förteckning enligt artikel 35.4. IMY bedömer därför att nämnden ska påföras en administrativ sanktionsavgift för överträdelsen.

text: Sanktionsavgiftens storlek

text: För överträdelser av bland annat artikel 35 i dataskyddsförordningen får sanktionsavgiften för offentliga myndigheter uppgå till högst 5 000 000 kronor. Det framgår av

text: 6 kap. 2 § dataskyddslagen

text: samt artikel 83.4 i dataskyddsförordningen. Vid bestämmande av sanktionsavgiftens storlek ska IMY beakta de omständigheter som anges i artikel 83.2 samt säkerställa att den administrativa sanktionsavgiften är effektiv, proportionell och avskräckande.

text: I bedömningen av överträdelsens allvarlighet beaktar IMY i enlighet med artikel 83.2 g i dataskyddsförordningen att behandlingen har omfattat uppgifter om barn, som är särskilt skyddsvärda enligt dataskyddsförordningen. Behandlingen har även till viss del innefattat särskilt skyddsvärda uppgifter som återkoppling på skoluppgifter.

text: När det gäller överträdelsens karaktär, svårighetsgrad och varaktighet enligt artikel 83.2 a i dataskyddsförordningen framgår av utredningen att det gått ca tre år sedan behandlingen inletts utan att nämnden slutfört konsekvensbedömningen. Vidare framgår att behandlingen har berört ett stort antal registrerade, såväl elever som anställda. Dessutom har tjänsten använts inom skolan – dvs. en verksamhet där den registrerade eleven befinner sig i en beroendeställning och utsatt position i förhållande till den personuppgiftsansvarige. Behandlingen har även avsett anställda som befinner sig i ett beroendeförhållande gentemot nämnden

text: IMY konstaterar vidare att nämnden varit medveten om att den inte har genomfört en konsekvensbedömning och att nämnden anser att den skulle genomfört en sådan bedömning. IMY konstaterar att denna underlåtelse inneburit en förhållandevis hög grad av oaktsamhet eftersom det varit tydligt att behandlingen omfattades av kravet på konsekvensbedömning bland annat utifrån IMY:s förteckning enligt artikel 35.4.

text: IMY konstaterar vidare att behandling av personuppgifter i en molntjänst som tillhandahålls av ett amerikanskt bolag sannolikt inneburit risk för att personuppgifterna överförs till tredjeland utan en skyddsnivå som är väsentligt likvärdig med den nivå

text: som garanteras inom unionen genom dataskyddsförordningen om inte särskilda skyddsåtgärder vidtas.

text: Utöver bedömningen av överträdelsens allvar ska IMY bedöma om det föreligger några försvårande eller förmildrande omständigheter som får betydelse för sanktionsavgiftens storlek. De åtgärder nämnden vidtagit efter att IMY inlett insyn, vilka framgår av yttrande från den 12 september 2023, bedömer IMY inte som förmildrande. Detta då det är fråga om åtgärder nämnden borde ha fastställt och genomfört innan tjänsten började användas. IMY bedömer att det saknas ytterligare försvårande eller förmildrande omständigheter, utöver de som beaktas vid bedömningen av allvarlighetsgraden ovan, som påverkar sanktionsavgiftens storlek.

text: IMY bestämmer utifrån en samlad bedömning av omständigheterna i ärendet att Barnoch utbildningsnämnden i Östersunds kommun ska betala en administrativ sanktionsavgift på 300 000 kronor. IMY bedömer att detta belopp är effektivt, proportionerligt och avskräckande.

text: IMY konstaterar att nämnden uppgett att konsekvensbedömningen är i princip klar och att det därför saknas skäl att förelägga nämnden att genomföra en konsekvensbedömning.

text: Detta beslut har fattats av vikarierande generaldirektören Karin Lönnheden efter föredragning av juristen Nina Hellgren. Vid den slutliga handläggningen har även rättschefen David Törngren, juristen Cecilia Agnehall och enhetschefen Nidia Nordenström medverkat.

text: Karin Lönnheden, 2023-11-28 (Det här är en elektronisk signatur)

text: Bilaga

text: Förteckning enligt artikel 35.4 i dataskyddsförordningen Information om betalning av sanktionsavgift

text: Kopia till

text: Nämndens dataskyddsombud

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Sjukhusstyrelsen i Region Uppsala

text: IMY:s granskning omfattar frågan om Sjukhusstyrelsen uppfyller de krav på säkerhet

text: EU-domstolen dom den 14 december 2023, Natsionalna agentsia za prihodite,

text: mål C-340/21

text: , ECLI:EU:C:2023:986, punkt 30.

titel: Läs beslutet mot Region Uppsala

nyckelord:
Dataskydd
Hälso- och sjukvård
Personuppgiftsincident

title: Region Uppsala, gällande hantering av e-post

sammanfattning: Vi är klara med granskningen och utfärdar en reprimand mot sjukhusstyrelsen.

text: IMY-2023-2522 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Sjukhusstyrelsen i Region Uppsala

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten (IMY) konstaterar att Sjukhusstyrelsen i Region Uppsala från den 25 maj 2018 till den 29 november 2022 i egenskap av personuppgiftsansvarig har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen genom att inte ha vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till riskerna med behandlingen av patienters personuppgifter i verksamhetens e-posttjänst.

text: IMY ger Sjukhusstyrelsen i Region Uppsala en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen för den konstaterade överträdelsen.

text: Redogörelse för tillsynsärendet

text: Bakgrund

text: Sjukhusstyrelsen i Region Uppsala (hädanefter Sjukhusstyrelsen) bedriver och utför vård enligt hälso- och

text: sjukvårdslagen (2017:30)

text: , HSL, vid Uppsala Akademiska sjukhus och Lasarettet i Enköping. Den 29 november 2022 mottog IMY en anmälan om en personuppgiftsincident som skett inom ramen för Sjukhusstyrelsens vårdverksamhet. Anmälan avsåg upptäckten att personuppgifter om patienter, innefattande personnummer och uppgifter om hälsa, under perioden 2014–2022, hade behandlats i e-posttjänsten Microsoft Outlook. Enligt anmälan har incidenten berott på bristande organisatoriska rutiner eller processer.

text: Med anledning av anmälan inledde IMY tillsyn mot Sjukhusstyrelsen i syfte att kontrollera om Sjukhusstyrelsen, i sin verksamhet som utförande vårdgivare enligt HSL, har vidtagit lämpliga åtgärder för att säkerställa skyddet av patienters personuppgifter vid behandling av deras personuppgifter i e-posttjänsten Microsoft Outlook. Som ett led i tillsynen genomfördes den 8 mars 2023 en inspektion på plats i Sjukhusstyrelsens lokaler.

text: som uppställs i artikel 32 i dataskyddsförordningen avseende behandling av personuppgifter i e-posttjänsten. Prövningen i ärendet har avgränsats till frågan om

text: Sjukhusstyrelsen vidtagit tillräckliga organisatoriska och tekniska åtgärder för att 08-657 61 00

text: förhindra och upptäcka otillåten personuppgiftsbehandling i e-posttjänsten. Granskningen omfattar inte om behandlingen är förenlig med regleringen i dataskyddsförordningen i övrigt.

text: Dataskyddsförordningen började tillämpas den 25 maj 2018. IMY:s tillsyn omfattar därför perioden från den 25 maj 2018 till den 29 november 2022 när anmälan om personuppgiftsincident kom in.

text: Tidigare beslut

text: Den 26 januari 2022 utfärdade IMY en administrativ sanktionsavgift mot Sjukhusstyrelsen efter att ha funnit att Sjukhusstyrelsen behandlat personuppgifter i strid med artiklarna 5.1 f och 32.1 i dataskyddsförordningen genom att ha skickat okrypterade känsliga personuppgifter till patienter och remittenter i tredjeland samt lagrat känsliga personuppgifter i e-posttjänsten (DI-2021-5595). Tillsynen inleddes mot bakgrund av en personuppgiftsincident som inkom till IMY under 2019. IMY bedömde att Sjukhusstyrelsen inte hade vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som var lämplig i förhållande till risken med behandlingen.

text: Redogörelse från sjukhusstyrelsen

text: Inom ramen för tillsynen har Sjukhusstyrelsen bland annat uppgett följande.

text: Personuppgiftsansvar

text: Sjukhusstyrelsen bedriver och utför vård enligt HSL vid Uppsala Akademiska sjukhus och Lasarettet i Enköping. Sjukhusstyrelsen är personuppgiftsansvarig enligt

text: 2 kap. 6 § patientdatalagen (2008:355)

text: , PDL. Den är således personuppgiftsansvarig då den behandlar personuppgifter om patienter enligt ändamålen i 2 kap. 4 § PDL, såsom att dokumentera uppgifter i patientjournal.

text: Allmänt om e-posttjänsten

text: Inom verksamheterna på Uppsala Akademiska sjukhus och Lasarettet i Enköping används e-posttjänsten Microsoft Outlook sedan 2014. Microsoft tillhandahåller driften av e-posttjänsten i sina datacenter samt ger stöd till Region Uppsalas förvaltningsobjekt Digital arbetsplats som i sin tur administrerar tjänsten inom regionen.

text: Den aktuella e-posttjänsten har omkring 8 300 användare inom Sjukhusstyrelsens verksamhet, varav majoriteten (ca 6 400) av dessa arbetar med vård.

text: Personuppgiftsincidenten

text: Vid handläggning av en begäran om registerutdrag den 24 november 2022 upptäcktes att personuppgifter om patienter hade skickats i ett e-postmeddelande mellan medarbetare inom ramen för Sjukhusstyrelsen vårdverksamhet. E-postmeddelandet som lagrats i e-posttjänsten innehöll excel-filer med uppgifter om patienter där det framgick namn, personnummer, antal sjukhusbesök och antal vårddagar.

text: Sjukhusstyrelsen startade efter denna upptäckt en utredning och fann då ytterligare okrypterade e-postmeddelanden som hade skickats under perioden 2010–2022 innehållandes personuppgifter om patienter. Under utredningen upptäcktes 15 stycken e-postmeddelanden med personuppgifter om patienter samt ett återkommande automatutskick för personnummersammanslagningar.

text: Det har varit fråga om e-postmeddelanden mellan personal på sjukhusen och det har inte framkommit några indikationer på e-postkonversation direkt mellan vårdpersonal och patienter.

text: Tekniska och organisatoriska åtgärder

text: Det finns styrande dokumenthanteringsplaner för Uppsala Akademiska sjukhus och Lasarettet i Enköping där det framgår vilka handlingar och informationsmängder som hanteras, i vilka system de ska lagras och hur länge informationen ska bevaras. Det finns även en arkivhandbok som generellt beskriver regler och rutiner för gallring, inklusive gallring av e-post, samt en bevarande- och gallringsplan för administrativa handlingar i vilken anges specifika regler om gallring av e-post.

text: När ett e-postmeddelande mottas är utgångspunkten att det ska omhändertas och registreras i det system där handlingarna hör hemma. Därefter ska handlingarna raderas från e-posttjänsten. Korrespondens av tillfällig och ringa betydelse kan raderas vid inaktualitet.

text: På regionövergripande nivå finns riktlinjer och beslut som anger att känsliga uppgifter inte ska hanteras via e-post. Uppsala Akademiska sjukhus och lasarettet i Enköping har var för sig regler för hantering av e-post där det framgår att känsliga uppgifter, såsom sekretessbelagda uppgifter och känsliga personuppgifter, inte får förekomma i e-post såvida filerna inte krypteras. Som standard är e-post krypterad med TLS under transport. Det kan dock inte garanteras att all e-post är krypterad med TLS under transport då denna inställning är beroende på mottagaren/avsändaren. Om e-post används för att skicka känsliga uppgifter ska de krypteras med de krypteringslösningar som Region Uppsala har godkänt för att skicka sådana uppgifter.

text: Det framgår även i ett regiondirektörsbeslut från år 2019 och i riktlinjen Informationssäkerhet för medarbetare att om e-post ska användas för känsliga uppgifter ska informationen krypteras. Andra informationsvägar där vikten av säker e-post poängteras är till exempel chefsbrev och obligatoriska utbildningar.

text: Trots åtgärderna som vidtagits kan det finnas enskilda individer som av okunskap eller av misstag mejlar känsliga personuppgifter okrypterat. Mognadsnivån gällande säker hantering av känsliga uppgifter upplevs av Sjukhusstyrelsen som hög. Eftersom vårdpersonal inte primärt arbetar i e-posttjänsten finns det dock en risk att rutiner för korrekt handhavande av känslig information blir mindre kända.

text: Enskilda medarbetares e-postinnehåll övervakas inte. Medarbetare arbetar utifrån ett förtroende som erhålls i samband med anställning att följa de interna regelverken kring lagring och gallring. Det är enbart den enskilde medarbetaren som kommer åt sin e-post och kan radera sina e-postmeddelanden som innehåller känsliga uppgifter.

text: När en anställd slutar avslutas e-postkontot och all e-post tas bort, men det finns inte någon stadigvarande, teknisk funktionalitet för att automatiskt gallra e-postmeddelanden. Det pågår dock ett arbete för att se över förutsättningarna för gallring av e-post äldre än 2014.

text: Åtgärder efter incidenten

text: När incidenten upptäcktes anmäldes den till dataskyddsombudet och det kallades till möten för att snabbt utreda omfattningen av incidenten och för att bedöma vad det var för typ av information som hittats. En gruppering tillsattes med ansvar för att hantera incidenten samt identifiera och genomföra de omedelbara åtgärder som krävdes. I det

text: akuta läget efter att incidenten upptäckts och anmälts gallrades de identifierade e-postmeddelandena. De e-postmeddelanden som tidigare hade automatgenererats togs också bort. Information skickades ut till medarbetarna för att bland annat förtydliga hur känsliga personuppgifter hanteras på rätt sätt.

text: Sjukhusstyrelsen slutförde under våren 2022 – dvs. efter IMY:s tidigare beslut (DI- 2021-5595) – en risk- och sårbarhetsanalys. Detta resulterade i en lista med åtgärder (aktivitetslistan) för att komma till rätta med en rad identifierade risker kopplade till bland annat e-posthantering. I samband med den nu aktuella incidenten gjordes omprioriteringar i det pågående arbetet med aktivitetslistan. Det pågår fortsatt arbete med de åtgärder som identifierats.

text: Exempel på åtgärder som genomförts är att utreda möjligheter för gallring av delmängder i e-posttjänsten och att införa funktioner i e-posttjänsten som kan upplysa och varna användare som försöker skicka e-post som innehåller personnummer. Möjligheten att skicka säkra meddelanden mellan användare har driftsatts och det pågår även arbete för att ansluta Region Uppsala till den av Myndigheten för digital förvaltning (DIGG) tillhandahållna nationella tjänsten Säker Digital Kommunikation . Vad gäller de automatiska utskicken ska de upphöra i den form som fanns vid incidenten.

text: Motivering av beslutet

text: Gällande regler

text: Den personuppgiftsansvariges ansvar

text: Den som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter är personuppgiftsansvarig. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Det framgår av artikel 4.7 i dataskyddsförordningen.

text: Enligt 2 kap. 6 § första stycket PDL är en vårdgivare personuppgiftsansvarig för den behandling av personuppgifter som vårdgivaren utför. I en region och en kommun är varje myndighet som bedriver hälso- och sjukvård personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför.

text: Den personuppgiftsansvarige har ett ansvar för att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandling av personuppgifter utförs i enlighet med dataskyddsförordningen. Detta framgår av de grundläggande principerna i artikel 5, men regleras även i artikel 24 i förordningen. Åtgärderna ska genomföras med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers fri- och rättigheter. Åtgärderna ska ses över och uppdateras vid behov.

text: Kravet på säkerhet vid behandling av personuppgifter m.m.

text: Uppgifter om hälsa utgör så kallade känsliga personuppgifter. Det är förbjudet att behandla sådana personuppgifter enligt artikel 9.1 i dataskyddsförordningen, såvida behandlingen inte omfattas av något av undantagen i artikel 9.2 i förordningen.

text: Av artikel 32.1 i dataskyddsförordningen framgår det att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med personuppgiftsbehandlingen. Det ska ske med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter. Detta inbegriper, när det är lämpligt, förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna samt ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Det framgår av artikel 32.2 i dataskyddsförordningen.

text: I skäl 75 i dataskyddsförordningen anges de faktorer som ska beaktas vid bedömningen av risken för fysiska personers rättigheter och friheter som kan uppkomma vid behandling av personuppgifter. Bland annat ska beaktas om behandlingen gäller personuppgifter om hälsa eller om sårbara fysiska personer, framförallt barn, eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort antal registrerade.

text: IMY:s bedömning

text: Personuppgiftsansvar

text: Sjukhusstyrelsen har uppgett att den bedriver och utför vård vid Uppsala Akademiska sjukhus och Lasarettet i Enköping samt är personuppgiftsansvarig enligt 2 kap. 6 § PDL. Sjukhusstyrelsen är således personuppgiftsansvarig för den personuppgiftsbehandling som Sjukhusstyrelsen utför inom ramen för sin vårdverksamhet, vilket enligt IMY innefattar den personuppgiftbehandling som sker när personuppgifter om patienter inom Sjukhusstyrelsens verksamhet behandlas i e-posttjänsten. Sjukhusstyrelsen är därmed personuppgiftsansvarig för den i ärendet aktuella behandlingen av personuppgifter i e-posttjänsten.

text: Tekniska och organisatoriska åtgärder

text: Behandlingen har inneburit en hög risk och krävt en hög skyddsnivå

text: Sjukhusstyrelsen bedriver vårdverksamhet vilket innebär att känsliga och särskilt skyddsvärda personuppgifter behandlas inom verksamheten i stor omfattning. IMY kan även konstatera att majoriteten av Sjukhusstyrelsens användare av e-posttjänsten utgörs av ca 6 400 personer som arbetar med vård. Detta innebär en påtaglig risk för att personuppgifter, inklusive känsliga och särskilt skyddsvärda sådana, kan komma att hanteras i e-posttjänsten. Att så är fallet får stöd av att Sjukhusstyrelsen uppgett att

text: det finns en risk för att en användare av misstag kan skicka känsliga personuppgifter i e-posttjänsten.

text: Det övergripande syftet med en e-posttjänst är att kunna ta emot, sprida och kommunicera information. IMY har i tidigare tillsyn mot Sjukhusstyrelsen (DI-2021- 5595) bedömt att e-postsystem generellt sett är en olämplig lagringsplats för känsliga personuppgifter. Ett e-postsystem är exponerat mot internet vilket innebär att uppgifterna i systemet riskerar att bli åtkomliga för obehöriga. Att det främst är de enskilda användarna som har kännedom om vilka uppgifter användarna hanterar i e-posttjänsten kan vidare medföra svårigheter för den personuppgiftsansvarige att säkerställa att uppgifter inte hanteras i tjänsten på ett otillåtet sätt. Behandling av personuppgifter i en e-posttjänst innebär således i sig särskilda risker.

text: Mot denna bakgrund anser IMY att det måste ställas höga krav på de tekniska och organisatoriska åtgärder som Sjukhusstyrelsen behöver vidta för att säkerställa en lämplig säkerhetsnivå avseende behandling av personuppgifter i e-posttjänsten.

text: Sjukhusstyrelsen har inte vidtagit tillräckliga säkerhetsåtgärder

text: Som framgår av artikel 32.2 i dataskyddsförordningen ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de risker som behandling medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som behandlats. Den personuppgiftsansvarige ska alltså vidta åtgärder för att i möjligaste mån undvika personuppgiftsincidenter.

text: Åtgärderna kan bland annat inbegripa förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna samt ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: Det är mot denna bakgrund av vikt att den personuppgiftsansvarige vidtar åtgärder för att kunna förhindra och upptäcka otillåten behandling av personuppgifter.

text: Av utredningen i ärendet framgår att det under den i ärendet aktuella tidsperioden funnits centrala dokument och regler som tillämpas inom Sjukhusstyrelsens verksamhet och som bland annat tar sikte på hantering av handlingar och informationsmängder samt hantering av personuppgifter i e-post. I dessa framgår bland annat att integritetskänsliga uppgifter såsom personnummer, sekretessbelagda uppgifter och känsliga personuppgifter inte får förekomma i e-post såvida filerna inte krypteras med den krypteringslösning som godkänts. Anställda får även genomgå obligatoriska utbildningar, bland annat avseende informationssäkerhet och hantering av personuppgifter i e-posttjänsten.

text: Sjukhusstyrelsen hade alltså vidtagit ett antal åtgärder för att förhindra otillåten behandling av personuppgifter i e-posttjänsten. Mot bakgrund av att det vid den i ärendet aktuella personuppgiftsincidenten framkom att känsliga och särskilt skyddsvärda personuppgifter behandlats i e-posttjänsten framgår det dock att medarbetare inte följt de riktlinjer som funnits avseende behandling av sådana personuppgifter i e-posttjänsten. Det kan även konstateras att det funnits uppsatta

text: tjänster för automatiska utskick som kontinuerligt skickade personuppgifter om patienter via e-post i strid med riktlinjerna.

text: De åtgärder som vidtagits för att förhindra otillåten personuppgiftsbehandling i e-posttjänsten har enligt IMY främst omfattats av organisatoriska säkerhetsåtgärder med exempelvis regler, riktlinjer och utbildning för hur personal som arbetar inom verksamheten ska hantera känsliga uppgifter. Sjukhusstyrelsen har visserligen efter den inträffade incidenten bland annat vidtagit ett antal tekniska åtgärder för att förhindra otillåten behandling, till exempel avseende funktioner för att upplysa och varna användare som försöker skicka e-post som innehåller personnummer. Några sådana funktioner fanns dock inte på plats vid tidpunkten för incidenten.

text: Flera av de e-postmeddelanden som omfattades av incidenten hade lagrats i e-posttjänsten under lång tid, vilket talar för att Sjukhusstyrelsen inte haft ett effektivt förfarande för att kunna följa upp och utvärdera effektiviteten av de åtgärder som vidtagits. Även den omständigheten att upptäckten av en stor mängd känsliga och särskilt skyddsvärda personuppgifter som behandlats under en längre tid i e-posttjänsten skedde vid handläggning av en begäran om registerutdrag talar för en avsaknad av proaktiva åtgärder för att upptäcka otillåten behandling. IMY konstaterar vidare att det vid tidpunkten för personuppgiftsincidenten varit upp till enskilda medarbetare att upptäcka och radera e-postmeddelanden som innehåller känsliga eller särskilt skyddsvärda personuppgifter.

text: Sammantaget bedömer IMY att Sjukhusstyrelsen inte vidtagit tillräckliga åtgärder för att förhindra och upptäcka otillåten personuppgiftsbehandling i e-posttjänsten. Sjukhusstyrelsen har därmed från den 25 maj 2018 till den 29 november 2022 i egenskap av personuppgiftsansvarig behandlat personuppgifter i strid med artikel 32.1 genom att inte ha vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till riskerna med behandlingen av patienters personuppgifter i e-posttjänsten.

text: Val av ingripande

text: Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra en administrativ sanktionsavgift. Beroende på omständigheterna i det enskilda fallet ska en administrativ sanktionsavgift påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om en administrativ sanktionsavgift ska påföras och vid bestämmande av avgiftens storlek. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b.

text: IMY har ovan bedömt att Sjukhusstyrelsen har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen. En överträdelse av den bestämmelsen kan föranleda en sanktionsavgift.

text: Sjukhusstyrelsen har under den i ärendet aktuella perioden inte vidtagit tillräckliga tekniska och organisatoriska åtgärder för att förhindra och upptäcka otillåten personuppgiftsbehandling i e-posttjänsten. De otillräckliga åtgärderna har lett till att en stor mängd känsliga och särskilt skyddsvärda personuppgifter behandlats i

text: e-posttjänsten i strid med Sjukhusstyrelsens riktlinjer. Sjukhusstyrelsen har i ett tidigare tillsynsbeslut från IMY ålagts att betala en administrativ sanktionsavgift för bland annat överträdelse av artikel 32.1 vid hantering av personuppgifter i eposttjänsten (DI-2021-5595). Sjukhusstyrelsen slutförde efter IMY:s tidigare beslut en risk- och sårbarhetsanalys som resulterade i en aktivitetslista för att komma till rätta med identifierade risker kopplade till bland annat e-postanvändning. I samband med den i detta ärende aktuella personuppgiftsincidenten gjordes omprioriteringar i det pågående arbetet med aktivitetslistan. Av aktivitetslistan framgår både genomförda och planerade tekniska och organisatoriska åtgärder som bland annat syftar till att öka förmågan att förhindra och upptäcka otillåten behandling av personuppgifter. Sjukhusstyrelsen har även beslutat om upphörande av de automatiska utskicken med personnummersammanslagningar i den form som var aktuell vid incidenten.

text: Vid en sammantagen bedömning av omständigheterna i ärendet bedömer IMY att det inte är proportionerligt att besluta om sanktionsavgift för den överträdelse som konstaterats inom ramen för denna tillsyn. Sjukhusstyrelsen ska därför, istället för sanktionsavgift, ges en reprimand enligt 58.1 b i dataskyddsförordningen.

text: Detta beslut har fattats av enhetschefen Christelle Bourquin efter föredragning av itoch informationssäkerhetsspecialisten Johnny Gordon Tornesjö. Vid den slutliga handläggningen av ärendet har även avdelningsjuristen Andreas Persson medverkat.

text: Christelle Bourquin

text: Kopia till

text: Dataskyddsombudet

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.