text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning).

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter.

text: Kompletterande nationell lagstiftning (eller unionsrättslig reglering) förutsätter att det finns bestämmelser i dataskyddsförordningen som medger avvikande eller kompletterande bestämmelser i dataskyddsförordningen. 4

text: Artikel 5.1

text: . 5

text: Artikel 5.1 f

text: . 6

text: Artikel 5.2

text: Artikel 5.1 a

text: . 8 Rättsliga grunder regleras i

text: artikel 6

text: . 9 Artikel 6.1

text: c

text: e

text: . 10 Samtycke kan dock många gånger, när personuppgiftsbehandlingen sker utifrån en annan rättslig grund, användas som en integritetshöjande åtgärd. 11

text: Artikel 6.2

text: . Dataskyddsförordningen innehåller också ett krav att den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med unionsrätt eller medlemsstaternas nationella rätt. Den rättsliga grunden kan även innehålla särskilda bestämmelse för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. 12 Artikel

text: 9.2 h

text: Artikel 9.3

text: . 14

text: Patientdatalagen (2008:355)

text: . 15

text: Patientdataförordningen (2008:360)

text: . 16

text: 1 kap. 4 § patientdatalagen

text: . 17

text: 1 kap. 2 § patientdatalagen

text: . 18

text: 1 kap. 1 § 2 stycket patientdatalagen

text: Prop. 2007/08:126 s. 148

text: . 20 Skäl 76. Även skäl 39 och 83 innehåller skrivningar som ger vägledning om den närmare innebörden av dataskyddsförordningens krav på säkerhet vid behandling av personuppgifter. 21 Skäl 75 till dataskyddsförordningen. 22

text: Prop. 2007/08:126 s. 148

text: . Bestämmelsen i

text: 4 kap. 2 §

text: HSLF-FS 2016:40 motsvarar i princip 8 § vårdregisterlagen. 23

text: Artikel 5.1 c

text: Prop. 2007/08:126 s. 148

text: 0 (15) personuppgiftsansvarige på ett lagligt sätt ska kunna tilldela sina användare en korrekt behörighet. Den personuppgiftsansvarige är ansvarig för, och ska ha kontroll över, den personuppgiftsbehandling som sker inom ramen för verksamheten. Att tilldela användare en vid åtkomst till journalsystem, utan att denna grundas på en utförd behovs- och riskanalys, innebär att den personuppgiftsansvarige inte har tillräcklig kontroll över den personuppgiftsbehandling som sker i journalsystemet och heller inte kan visa att denne har den kontroll som krävs.

text: Se även

text: prop. 2007/08:126 s. 141

text: ff och s. 239. 26

text: Prop. 2007/08:126 s. 247

text: 2 (15) till de som har befogenhet att tilldela behörigheter om hur detta ska gå till och vad som ska beaktas så att det, med behovs- och riskanalysen som grund, blir en korrekt behörighetstilldelning i varje enskilt fall.

text: 4 kap. 3 §

text: HSLF-FS 2016:40.

text: 3 (15) kan påverka patienternas förtroende för vården. Det kan i sin tur påverka såväl patienternas vilja till att dela data, som patienternas vilja att lämna korrekta och fullständiga uppgifter till sin vårdgivare. I en rapport från myndigheten för vård- och omsorgsanalys uppger 8 procent av respondenterna i en enkät att de har hållit inne med uppgifter av oro för över att någon annan skulle kunna se uppgifterna. Ytterligare 8 procent uppger att de övervägt det.

text: Myndigheten för vård- och omsorgsanalys rapport För säkerhets skull - Befolkningens inställning till nytta och risker med digitala hälsouppgifter 2017:10 s. 76-77 29 Artikel 58.2 a–j i dataskyddsförordningen.

text: Från och med den 1 januari 2021 byter Datainspektionen namn till Integritetsskyddsmyndigheten. 31

text: Artikel 83.7

text: dataskyddsförordningen. 32

text: Artikel 83.5 a

text: dataskyddsförordningen. 33 Bland annat

text: artikel 32

text: dataskyddsförordningen.

text: 5 (15) Om det är fråga om en mindre överträdelse får tillsynsmyndigheten utfärda en reprimand i stället för att påföra en sanktionsavgift. Att inte genomföra en behovs- och riskanalys inför tilldelning av behörigheter utgör inte en mindre överträdelse.

text: Skäl 148 till dataskyddsförordningen.

titel: Vägledning

nyckelord:
Dataskydd
Arbetsliv
Hälso- och sjukvård

sanktionsavgift: 30 miljoner kronor

slug: capio-st-gorans-sjukhus-ab

slug: region-ostergotland

slug: region-vasterbotten

slug: sahlgrenska-universitetssjukhuset

slug: karolinska-universitetssjukhuset

slug: kry

slug: aleris-narsjukvard-ab

slug: aleris-sjukvard-ab

title: Capio S:t Görans Sjukhus AB – Vägledning

sammanfattning: Högsta förvaltningsdomstolen meddelar inte prövningstillstånd. Kammarrättens avgörande står därmed fast.

text: Inledning

text: Datainspektionen inledde under våren 2019 tillsyn mot åtta vårdgivare inom hälso- och sjukvården i syfte bland annat att undersöka om tilldelning av behörigheter i vårdgivarnas respektive journalsystem har föregåtts av behovsoch riskanalyser. Granskningarna omfattade också hur tilldelningen av behörigheter genomförts och vilka åtkomstmöjligheter de tilldelade behörigheterna ger inom ramen för dels den inre sekretessen enligt

text: 4 kap.

text: patientdatalagen

text: , dels den sammanhållna journalföringen enligt

text: 6 kap.

text: samma lag.

text: Behovs- och riskanalyser ska ligga till grund för bland annat behörighetstilldelning och är av väsentlig betydelse för att uppgifter om enskilda och deras hälsotillstånd ska skyddas och den personliga integriteten upprätthållas. De centrala och generellt gällande slutsatserna från tillsynerna vad gäller kraven på att genomföra behovs- och riskanalyser sammanfattas i den här vägledningen. Vägledningen syftar till att peka på vikten av att vårdgivare säkerställer att vederbörliga behovs- och riskanalyser sker och att ge stöd till vårdgivare vid genomförandet av sådana analyser inför tilldelning av behörigheter i journalsystem.

text: Gällande regler och normhierarkin

text: Dataskyddsförordningen den primära rättskällan

text: För att skydda den enskildes privatliv finns det EU-gemensamma regler om hur personuppgifter får behandlas. Dataskyddsförordningen, ofta förkortad GDPR , infördes den 25 maj 2018 och är den primära rättsliga regleringen vid behandling av personuppgifter. Den innehåller 99 artiklar, som gäller som svensk lagstiftning och kompletteras av 173 beaktandesatser (skäl) som i delar förklarar eller förtydligar avsikten med de olika artiklarna. Bestämmelserna i dataskyddsförordningen gäller vid all behandling av personuppgifter inom hälso- och sjukvården.

text: Innan dataskyddsförordningen infördes gällde

text: personuppgiftslagen

text: (PUL). Genom PUL infördes 1998 ett EU-direktiv om behandling av personuppgifter i svensk rätt. PUL var sekundär lagstiftning och gällde i den mån inte andra

text: regler rörande personuppgiftsbehandling var tillämpliga. I och med dataskyddsförordningens införande har normhierarkin förändrats på ett centralt sätt när det är frågan om behandling av personuppgifter. Dataskyddsförordningen är istället primär lagstiftning och anger grundläggande regler för all personuppgiftsbehandling. Förordningen reglerar också dataskyddsmyndigheternas roll och ansvar för att övervaka efterlevnaden av förordningen. Det innebär att all svensk lagstiftning, när det är frågan om behandling av personuppgifter, ska ha anpassats efter förordningen och att nationella regler endast kan komplettera och fylla ut dataskyddsförordningen.

text: När personuppgifter behandlas måste därför i första hand dataskyddsförordningens bestämmelser om skydd för den personliga integriteten beaktas och därefter (med avseende på personuppgiftsbehandlingen) kompletterande nationell lagstiftning, som till exempel

text: patientdatalagen

text: , följas.

text: Grundläggande principer måste följas och rättslig grund finnas Dataskyddsförordningen anger i artikel 5 ett antal grundläggande principer för behandling av personuppgifter, som alla som omfattas av förordningen och som hanterar personuppgifter måste följa. Principerna rör krav på laglighet, öppenhet, ändamålsbegränsning, korrekthet, uppgiftsminimering och lagringsminimering.

text: En av de grundläggande principerna rör kravet på säkerhet och innebär att personuppgifter ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna med användning av lämpliga tekniska eller organisatoriska åtgärder. Lämplig säkerhet ska säkerställa exempelvis skydd mot obehörig eller otillåten behandling, förlust, förstöring eller skada genom olyckshändelse.

text: Även den personuppgiftsansvariges ansvar tydliggörs i dataskyddsförord-

text: ningen. Den så kallade ansvarsskyldigheten innebär att den

text: personuppgiftsansvarige ska ansvara för och kunna visa att de grundläggande principerna efterlevs. Kravet avser dels att säkerställa att behandlingen av personuppgifterna utförs i enlighet med dataskyddsförordningen, dels att den

text: personuppgiftsansvarige ska kunna visa att behandlingen av

text: personuppgifterna utförs i enlighet med förordningen.

text: Dataskyddsförordningen och förhållandet till kompletterande nationella

text: bestämmelser

text: Som nämnts är en av de grundläggande principerna i dataskyddsförordningen laglighet. För att behandlingen ska anses vara laglig krävs det att det finns en rättslig grund. De rättsliga grunderna som kan aktualiseras inom hälso- och sjukvården är vanligen uppgift av allmänt intresse, men även rättslig förpliktelse och myndighetsutövning kan vara aktuella. Samtycke kan som regel inte användas som rättslig grund för behandling av personuppgifter inom hälso- och sjukvården eftersom det råder ett ojämlikt förhållande mellan vårdgivaren och vårdtagaren och ett giltigt samtycke därför inte kan lämnas.

text: När det är frågan om de rättsliga grunderna rättslig förpliktelse, allmänt intresse respektive myndighetsutövning får medlemsstaterna behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen till nationella förhållanden. Nationell rätt kan närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Sådana bestämmelser finns för hälso- och sjukvården i

text: patientdatalagen

text: och annan kompletterande lagstiftning som rör personuppgiftsbehandling inom hälsooch sjukvårdsområdet.

text: Uppgifter om hälsa utgör känsliga personuppgifter. Behandling av särskilda

text: kategorier av personuppgifter, så kallade känsliga personuppgifter, är som

text: huvudregel förbjuden.

text: I dataskyddsförordningen finns ett antal undantag som medger när känsliga personuppgifter ändå får behandlas. Känsliga personuppgifter får behandlas inom hälso- och sjukvården om det är nödvändigt för att tillhandahålla hälsooch sjukvård på grundval antingen av unionsrätten eller medlemsstaternas

text: nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet. En förutsättning är att det finns en reglerad tystnadsplikt.

text: Behandling av personuppgifter med stöd av de rättsliga grunderna allmänt intresse, myndighetsutövning och rättslig förpliktelse samt behandling av känsliga personuppgifter kräver att det finns stöd för det i kompletterande regler.

text: Patientdatalagen

text: , patientdataförordningen och Socialstyrelsens föreskrifter

text: innehåller kompletterande nationella bestämmelser

text: För svenskt vidkommande är såväl grunden för behandlingen som de särskilda villkoren för att behandla personuppgifter inom hälso- och sjukvården 14 15 reglerade i

text: patientdatalagen

text: och patientdataförordningen . I

text: patientdatalagen

text: anges uttryckligen att lagen kompletterar dataskyddsförordningen.

text: Av

text: patientdatalagen

text: framgår att lagens syfte är att informationshanteringen inom hälso- och sjukvården ska vara organiserad så att den tillgodoser patientsäkerhet och god kvalitet samt främjar kostnadseffektivitet. Vidare ska personuppgifter utformas och i övrigt behandlas så att patienters och övriga registrerades integritet respekteras. Dessutom ska dokumenterade personuppgifter hanteras och förvaras så att obehöriga inte får tillgång till dem.

text: De kompletterande bestämmelserna i

text: patientdatalagen

text: syftar till att omhänderta både integritetsskydd och patientsäkerhet. Lagstiftaren har således genom regleringen gjort en avvägning när det gäller hur informationen ska behandlas för att uppfylla såväl kraven på patientsäkerhet som rätten till personlig integritet vid behandlingen av personuppgifter.

text: Socialstyrelsen har med stöd av patientdataförordningen utfärdat föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården (

text: HSLF-FS 2016:40

text: , Socialstyrelsens föreskrifter). Föreskrifterna utgör kompletterande regler som ska tillämpas vid vårdgivares behandling av personuppgifter inom hälso- och sjukvården.

text: Personuppgiftsansvariges ansvar för säkerheten vid behandling av personuppgifter

text: Att personuppgiftsansvariga har ett generellt ansvar för att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandling av personuppgifter utförs i enlighet med dataskyddsförordningen framgår av de grundläggande principerna i artikel 5 men regleras även i artikel 24 i förordningen. Åtgärderna ska genomföras med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers frioch rättigheter. Åtgärderna ska ses över och uppdateras vid behov.

text: Personuppgiftsansvariges mer preciserade ansvar för säkerheten i samband med behandling av personuppgifter regleras i artikel 32 i förordningen. Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Vid bedömningen ska beaktas den senaste utvecklingen, genomförandekostnaderna, behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter, som kan vara av varierande sannolikhetsgrad och allvar. Särskild hänsyn ska tas till de risker som behandlingen medför, i synnerhet för oavsiktlig eller olaglig förstöring, förlust eller ändring eller för obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

text: Dataskyddsförordningen anger således att lämpliga åtgärder ska vara såväl tekniska som organisatoriska och att de ska säkerställa en säkerhetsnivå som är lämplig i förhållande till de risker för fysiska personers rättigheter och friheter som behandlingen medför. Det krävs därför att man som personuppgiftsansvarig dels identifierar de möjliga riskerna för de registrerades rättigheter och friheter, dels bedömer sannolikheten för att riskerna inträffar och allvarligheten om de inträffar. Vad som är ”lämpligt” varierar inte bara i förhållande till riskerna utan även utifrån behandlingens art, omfattning, sammanhang och ändamål. Det har således betydelse för bedömningen vilka tekniska och organisatoriska åtgärder som är lämpliga vad det är för personuppgifter som behandlas, hur många uppgifter det är frågan om, hur många som behandlar uppgifterna, under hur lång tid osv.

text: Hälso- och sjukvården har stort behov av information i sin verksamhet. Sedan

text: patientdatalagen

text: infördes har en mycket omfattande digitalisering skett inom vården. Såväl uppgiftssamlingarnas storlek som hur många som delar information med varandra har ökat väsentligt. Det är dessutom frågan om känsliga personuppgifter. Uppgifterna rör personer som befinner sig i en beroendesituation då de är i behov av vård. Det är också ofta fråga om många

text: personuppgifter om var och en av dessa personer och uppgifterna kan över tid komma att behandlas av många personer inom vården. Detta innebär att kraven på säkerheten ökar eftersom bedömningen vad som är lämplig säkerhet, som beskrivits ovan, påverkas av behandlingens art och omfattning.

text: Här är det också centralt att framhålla att uppgifter som behandlas inom vården ska skyddas såväl mot aktörer utanför verksamheten som mot obefogad åtkomst inifrån verksamheten då riskerna, till exempel för oavsiktlig eller olaglig förstöring, förlust eller för obehörigt röjande eller obehörig åtkomst, även omfattar behandling av aktörer inom verksamheten.

text: Nationella bestämmelser som kompletterar dataskyddsförordningens krav på säkerhet återfinns främst i 4 och

text: 6 kap.

text: patientdatalagen

text: samt 3 och 4 kap. Socialstyrelsens föreskrifter,

text: HSLF-FS 2016:40

text: En behovs- och riskanalys ska genomföras innan tilldelning av behörighet till journalsystem sker

text: Behovs- och riskanalysen en central organisatorisk säkerhetsåtgärd Det framgår av

text: 4 kap. 2 § patientdatalagen

text: att vårdgivaren ska bestämma villkor för tilldelning av behörighet för åtkomst till uppgifter om patienter som förs helt eller delvis automatiserat. Sådan behörighet ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter inom hälso- och sjukvården.

text: Av 4 kap. 2 § Socialstyrelsens föreskrifter följer att vårdgivaren ska ansvara för att varje användare tilldelas en individuell behörighet för åtkomst till personuppgifter. Vårdgivarens beslut om tilldelning av behörighet ska föregås av en behovs- 0ch riskanalys. Det innebär att nationell rätt föreskriver krav på en lämplig organisatorisk säkerhetsåtgärd som ska vidtas innan tilldelning av behörigheter till journalsystem sker.

text: Att genomföra en behovs- och riskanalys som uppfyller kraven enligt dataskyddsförordningen och nationell lagstiftning är i första ledet frågan om en strategisk analys på strategisk nivå.

text: Behovsanalysen behöver kompletteras med en bedömning av risken för

text: patienters fri- och rättigheter

text: Det framgår, som redovisats, av dataskyddsförordningens bestämmelser om säkerhet och framhålls även i förarbetena till

text: patientdatalagen

text: och i Socialstyrelsens föreskrifter att det inte bara är frågan om behovsanalyser utan även om riskanalyser i vilka man ska ta hänsyn till olika slags risker för

text: enskilda fysiska personers fri- och rättigheter som kan följa av en alltför vid tillgänglighet avseende vissa slags uppgifter.

text: Det framgår av dataskyddsförordningens beaktandesatser att bedömningen av hur sannolik och allvarlig risken för den registrerades rättigheter och friheter är bör fastställas utifrån behandlingens art, omfattning, sammanhang och ändamål. Risken bör utvärderas på grundval av en objektiv bedömning, genom vilken det fastställs om uppgiftsbehandlingen inbegriper en risk eller en hög risk.

text: Faktorer som bör beaktas vid bedömningen av risken för patienters rättigheter och friheter är bland annat om det är frågan om personuppgifter som omfattas av tystnadsplikt, uppgifter om hälsa eller sexualliv, om det sker behandling av personuppgifter rörande sårbara fysiska personer – framför allt barn – eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort antal registrerade. Även skyddade personuppgifter som är sekretessmarkerade, uppgifter om allmänt kända personer, uppgifter från vissa mottagningar eller medicinska specialiteter är exempel på kategorier av uppgifter som kan kräva särskilda riskbedömningar.

text: Åtkomstbegränsning ska ske till vad varje befattningshavare behöver för att

text: kunna utföra sina arbetsuppgifter

text: Enligt

text: 4 kap. 2 § patientdatalagen

text: ska behörighet för personalens elektroniska åtkomst till uppgifter om patienter begränsas till vad befattningshavaren behöver för att kunna utföra sina arbetsuppgifter inom hälso- och sjukvården. Däri ligger enligt förarbetena bland annat att behörigheter ska följas upp och förändras eller inskränkas efter hand som ändringar i den enskilde befattningshavarens arbetsuppgifter ger anledning till det. Syftet med bestämmelsen angavs enligt förarbetena vara att ”inpränta skyldigheten för den ansvariga vårdgivaren att göra aktiva och individuella behörighetstilldelningar utifrån analyser av vilken närmare information olika personalkategorier och olika slags verksamheter behöver”. Här kan noteras att förarbetena skrevs långt före dataskyddsförordningen, men att förarbetsuttalandena stämmer väl överens med vad som nu gäller enligt den grundläggande principen om uppgiftsminimering i förordningen.

text: Enligt förarbetena till

text: patientdatalagen

text: bör avgörande för beslut om behörighet för till exempel olika kategorier av hälso- och sjukvårdspersonal till elektronisk åtkomst till uppgifter i patientjournaler vara att behörigheten ska begränsas till vad befattningshavaren behöver för ändamålet en god och säker patientvård. Förarbetena framhåller att en mer vidsträckt eller grovmaskig behörighetstilldelning bör – även om den skulle ha poänger utifrån effektivitetssynpunkt – anses som en obefogad spridning av journaluppgifter inom en verksamhet och bör inte accepteras. Idag strider en alltför vid behörighetstilldelning mot den grundläggande principen om uppgiftsminimering

text: Olika behörighetsnivåer och skikt för att begränsa åtkomsten kan behövas Vid tilldelning av behörighet framgår det av förarbetena till

text: patientdatalagen

text: bland annat att det ska finnas olika behörighetskategorier i journalsystemet. Ju mer omfattande ett informationssystem är, desto fler behörighetsnivåer måste det finnas.

text: Uppgifter bör enligt förarbetsuttalanden också lagras i olika skikt så att mer känsliga uppgifter kräver aktiva val eller annars inte är lika enkelt åtkomliga för personalen som mindre känsliga uppgifter. Här kan noteras att användning av aktiva val inte i sig utgör en sådan begränsning av behörighet som avses i

text: 4 kap. 2 § patientdatalagen

text: . Denna bestämmelse kräver att behörigheten ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter inom hälso- och sjukvården, det vill säga endast de som har behov av uppgifter ska ha åtkomstmöjlighet till dem. För en medarbetare som ska ha åtkomstmöjligheter till vissa, särskilt känsliga, uppgifter ska dock aktiva val användas som en integritetshöjande åtgärd, genom att säkerställa att det krävs medvetna ställningstaganden innan åtkomst sker till uppgifterna.

text: När det gäller personal som arbetar med verksamhetsuppföljning, statistikframställning, central ekonomiadministration och liknande verksamhet som inte är individorienterad torde det för flertalet befattningshavare enligt förarbetena räcka med tillgång till uppgifter som endast indirekt kan härledas till enskilda patienter. Elektronisk åtkomst till kodnycklar, personnummer och andra uppgifter som direkt pekar ut enskilda patienter bör på detta område, enligt förarbetena, kunna vara starkt begränsad till enstaka personer.

text: När en behovs- och riskanalys saknas inför tilldelning av behörighet i ett journalsystem inom hälso- och sjukvården, saknas grunden för att den

text: Kravet på en behovs- och riskanalys omfattar både det så kallade inre

text: sekretessområdet och sammanhållen journalföring

text: Bestämmelserna i

text: 4 kap.

text: patientdatalagen

text: rör den inre sekretessen, det vill säga reglerar hur integritetsskyddet ska hanteras inom en vårdgivares verksamhet och särskilt medarbetares möjligheter att bereda sig tillgång till personuppgifter som finns elektroniskt tillgängliga i en vårdgivares organisation. Som nämnts har en vårdgivare enligt

text: 4 kap. 2 § patientdatalagen

text: att bestämma villkor för tilldelning av behörighet för åtkomst till sådana uppgifter om patienter som förs helt eller delvis automatiserat. Sådan behörighet ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter inom hälso- och sjukvården. Kravet på en behovs- och riskanalys omfattar naturligt medarbetare som finns i vårdgivarens organisation.

text: Bestämmelserna i

text: 6 kap.

text: patientdatalagen

text: rör sammanhållen journalföring. Detta innebär att en vårdgivare – under de villkor som anges i

text: 6 kap. 2 § patientdatalagen

text: – får ha direktåtkomst till personuppgifter som behandlas av andra vårdgivare för ändamål som rör vårddokumentation. Tillgången till information sker genom att en vårdgivare gör uppgifter om en patient som vårdgivaren registrerar om patienten tillgängliga för andra vårdgivare som deltar i den sammanhållna journalföringen. Av

text: 6 kap. 7 § patientdatalagen

text: följer att bestämmelserna i 4 kap. 2 § även gäller för behörighetstilldelning vid sammanhållen journalföring. Kravet på att vårdgivaren ska utföra en behovs- och riskanalys innan tilldelning av behörigheter i systemet sker, gäller således även i system för sammanhållen journalföring.

text: Genomförande av behovs- och riskanalysen – sex steg

text: I avsnittet ges en översiktlig bild av de sex steg som bör följas när behovs- och riskanalysen genomförs. Behovs- och riskanalysens sex grundläggande steg. 1. Analysera och fastställ verksamhetens behov 2. Identifiera och analysera riskerna för enskildas personliga integritet 3. Identifiera och vidta lämpliga tekniska och organisatoriska åtgärder för att minska riskerna 4. Fastställ, utifrån analyserna, en behörighetsstruktur som stödjer behoven och minimerar riskerna 5. Dokumentera samtliga steg 6. Se kontinuerligt över behörighetsstrukturen och vilka åtgärder som är lämpliga för att minska riskerna.

text: En behovs- och riskanalys inleds vanligen med en analys av behoven. Verksamhetetens behov av åtkomst till uppgifter om patienter för att kunna erbjuda adekvat vård fastställs genom analysen, och ska omfatta vad medarbetare behöver för att kunna fullgöra sina arbetsuppgifter. Behovs- och riskanalysen ska också, som har beskrivits i föregående avsnitt, omfatta en analys av risker utifrån ett integritetsperspektiv som kan vara förknippade med en alltför vid tilldelning av behörighet till åtkomst av patientuppgifter.

text: Riskanalysen ska omfatta en objektiv bedömning av hur sannolik och allvarlig risken för de registrerades rättigheter och friheter är och i vart fall fastställa om det är frågan om en risk eller en hög risk.

text: Det är genom behovs- och riskanalysen som den personuppgiftsansvarige tar reda på vem som behöver åtkomst, vilka uppgifter åtkomstmöjligheten ska omfatta, vid vilka tidpunkter och i vilka sammanhang eller processer åtkomsten behövs. Samtidigt analyseras vilka risker för den enskildes fri- och rättigheter som behandlingen kan leda till.

text: Analysen ska sedan leda till att identifiera de tekniska och organisatoriska åtgärder som behövs för att dels kunna ge nödvändiga behörigheter, dels säkerställa att ingen tilldelning av behörighet ger vidare åtkomstmöjligheter än den som behovs- och riskanalysen visar är befogad. Dessa tekniska och organisatoriska åtgärder ska sedan genomföras.

text: Den strategiska analysen ska resultera i en behörighetsstruktur som är anpassad till verksamhetens behov såväl på organisatorisk som på individuell nivå. Denna behöver mynna ut i instruktioner om behörighetstilldelning som sedan genomförs. En viktig organisatorisk åtgärd är således att ge anvisning

text: En väl genomarbetad dokumentation av gjorda analyser och bedömningar är central för att vårdgivaren ska kunna visa att behörighetstilldelningen är ändamålsenlig och uppfyller de krav som ställs enligt dataskyddsförordningen,

text: patientdatalagen

text: och Socialstyrelsens föreskrifter.

text: I den mån en verksamhet inte är statisk är behörigheter en färskvara. För att säkerställa en korrekt behörighetstilldelning behöver tilldelade behörigheter löpande kontrolleras och behörighetsstrukturen löpande hållas uppdaterad.

text: Som redan har framhållits utgör en behovs- och riskanalys grunden för att den personuppgiftsansvarige på ett lagligt sätt ska kunna tilldela sina användare en korrekt behörighet. Den är också grunden för den personuppgiftsansvariges kontroll över den personuppgiftsbehandling som sker i journalsystemet och att denne kan visa att denne har den kontroll som krävs.

text: Konsekvenser av att en behovs- och riskanalys inte har genomförts

text: Som nämnts är behovs- och riskanalysen grundläggande för att en korrekt behörighetstilldelning ska kunna ske.

text: Att tilldelningen av behörigheter inte har föregåtts av en behovs- och riskanalys innebär att personuppgiftsansvarige inte har analyserat användarnas behov av åtkomst till uppgifterna, riskerna som denna åtkomst kan medföra och därmed inte heller identifierat vilka åtkomstmöjligheter som är befogade att tilldela användarna. Den ansvarige har i sådana fall inte använt sig av lämpliga åtgärder för att begränsa behörigheter för åtkomst till journalsystemet till enbart vad som behövs för att användaren ska kunna fullgöra sina arbetsuppgifter inom hälso- och sjukvården.

text: Om bristen på analys leder till en för snäv tilldelning av behörigheter kan det leda till att personalen inte kan ta del av de uppgifter de behöver för att utföra sitt arbete, vilket utgör en risk för patientens liv och hälsa.

text: Om bristen på analys istället leder till att användarnas behörigheter inte begränsas till vad som enbart behövs för att de ska kunna fullgöra sina arbetsuppgifter kan det leda till att uppgifterna hamnar i orätta händer och används för otillåtna syften. Att patientens rätt till privatliv inte respekteras

text: Det är därför väsentligt för hälso- och sjukvården att ha en behörighetsstruktur som har sin grund i väl genomförda behovs- och riskanalyser så att användarna vare sig tilldelas för vida eller för snäva behörigheter för åtkomst till journalsystemen.

text: Eftersom en behovs- och riskanalys är en föreskriven organisatorisk åtgärd som ska vidtas innan tilldelning av behörigheter sker kan det också leda till rättsliga konsekvenser om personuppgiftsansvarige underlåter att genomföra behovs- och riskanalyser.

text: Den personuppgiftsansvarige har i ett sådant fall inte använt sig av lämpliga åtgärder för att begränsa användarnas åtkomst till patienternas uppgifter i journalsystemet till vad som enbart behövs för att användaren ska kunna fullgöra sina arbetsuppgifter inom hälso- och sjukvården. Detta strider såväl mot principen om uppgiftsminimering enligt artikel 5.1 c dataskyddsförordningen och kravet på att säkerställa lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig åtkomst eller otillåten behandling enligt artikel 5.1 f, vilket även framgår av artikel 32, som mot

text: 4 kap. 2 § patientdatalagen

text: och 4 kap. 2 § Socialstyrelsens föreskrifter.

text: Kan den personuppgiftsansvarige inte visa att bestämmelsen om uppgiftsminimering följs och att den personuppgiftsansvarige vidtagit åtgärder för att kunna säkerställa en lämplig säkerhet för personuppgifterna, har den personuppgiftsansvarige inte heller uppfyllt ansvarsskyldigheten enligt artikel 5.2 i dataskyddsförordningen.

text: När det skett en överträdelse av dataskyddsförordningen har Datainspektionen ett antal korrigerande befogenheter att tillgå. Tillsynsmyndigheten kan bland annat förelägga den personuppgiftsansvarige att se till att behandlingen sker i enlighet med förordningen och om så krävs på ett specifikt sätt och inom en specifik period.

text: Av artikel 58.2 dataskyddsförordningen följer att tillsynsmyndigheterna, i Sverige Datainspektionen , i enlighet med artikel 83 ska påföra sanktionsavgifter utöver, eller i stället för, andra korrigerande åtgärder beroende på omständigheterna i varje enskilt fall. Sanktionsavgifter enligt dataskyddsförordningen är inte obetydliga och ska vara effektiva, proportionella och avskräckande. En eventuell sanktionsavgift kan inom vårdområdet för samma överträdelse medföra helt olika utfall, beroende på om det är frågan om en privat eller offentlig vårdgivare.

text: Beroende på om överträdelsen avser artiklar som omfattas av artikel 83.4 eller 83.5 i dataskyddsförordningen kan sanktionsavgifterna bli olika höga. Vid överträdelse av mer centrala artiklar kan sanktionsavgifterna för företag uppgå till 20 miljoner EUR eller till max 4 procent av den globala årsomsättningen under föregående budgetår, beroende på vilket belopp som är högst. Alternativt är maxgränsen för sanktionsbeloppet 10 miljoner EUR eller max 2 procent av den globala årsomsättningen under föregående budgetår, beroende på vilket belopp som är högst.

text: För myndigheter får nationella regler ange att myndigheter kan påföras administrativa sanktionsavgifter. Enligt

text: 6 kap. 2 § dataskyddslagen

text: kan sanktionsavgifter beslutas för myndigheter, men till högst 5 miljoner kronor alternativt 10 miljoner kronor beroende på om överträdelsen avser artiklar som omfattas av artikel 83.4 eller 83.5 i dataskyddsförordningen.

text: När det är frågan om överträdelser av grundläggande principer och känsliga personuppgifter aktualiseras den högre skalan av sanktionsavgifterna.

text: Av artikel 83.2 dataskyddsförordningen framgår de faktorer som Datainspektionen har att beakta för att bestämma om en administrativ sanktionsavgift ska påföras, men också vad som ska påverka sanktionsavgiftens storlek. Av central betydelse för bedömningen av en överträdelses allvar är dess karaktär, svårighetsgrad och varaktighet samt graden av ansvar hos den personuppgiftsansvarige (och personuppgiftsbiträdet) med beaktande av de tekniska och organisatoriska åtgärder som genomförts enligt dataskyddsförordningen.

text: Det kan sammanfattningsvis konstateras att det är av central betydelse att personuppgiftsansvarige gör en behovs- och riskanalys innan tilldelning av behörigheter sker. Det är frågan om känsliga personuppgifter, ofta stora uppgiftssamlingar, många har tillgång till uppgifterna och risken för de registrerades grundläggande fri- och rättigheter om uppgifter obehörigen röjs är vanligen förhållandevis hög. Avsaknad av en behovs- och riskanalys som har lett till en för bred eller grovmaskig behörighetstilldelning medför vanligen att sanktionsavgift ska utgå.


text: Personuppgiftslagen (1998:204)

text: , PuL, trädde i kraft den 24 oktober 1998 och upphörde att gälla den 24 maj 2018. Datainspektionen var tillsynsmyndighet enligt PuL fram till att Dataskyddsförordningen började tillämpas den 25 maj 2018.

text: Se till exempel DI-1309-2011, DI-1787-2011 och DI-1057-2016.

sprak: sv

titel: Beslut

nyckelord:
Dataskydd
Dina rättigheter
Internet och appar
Hälso- och sjukvård

publisher: Integritetsskyddsmyndigheten

sanktionsavgift: 120 000 kronor

title: Hälso- och sjukvårdsnämnden i Region Örebro län

org: imy

sammanfattning: Vi har granskat behandlingen av personuppgifter och fattat ett beslut.

text: Hälso- och sjukvårdsnämnden i Region Örebro län

type: stycke

text: Hälso-och sjukvårdsnämnden i Region Örebro län – tillsyn enligt dataskyddsförordningen Datainspektionens beslut

type: rubrik

text: Datainspektionen konstaterar att Hälso- och sjukvårdsnämnden i Region Örebro län mellan september 2019 och januari 2020 behandlade personuppgifter i strid med artikel 5, artikel 6 och artikel 9 i dataskyddsförordningen. Detta genom att ha publicerat känsliga personuppgifter på Region Örebro läns webbplats utan att det varit förenligt med principerna om ändamålsbegränsning och uppgiftsminimering, utan att det funnits laglig grund för det och i strid med förbudet mot att behandla känsliga personuppgifter. Hälso- och sjukvårdsnämnden i Region Örebro län har vid samma publicering även behandlat personuppgifter i strid med artikel 87 i dataskyddsförordningen och

text: 3 kap. 10 § lag (2018:218)

text: med kompletterande bestämmelser till EU:s dataskyddsförordning (

text: dataskyddslagen

text: ) genom att ha behandlat personnummer utan att ha stöd för det.

text: Datainspektionen konstaterar att Hälso- och sjukvårdsnämnden i Region Örebro län vid granskningen i februari 2020 befanns behandla personuppgifter i strid med artikel 32 i dataskyddsförordningen genom att inte ha vidtagit tillräckliga organisatoriska åtgärder för att se till att personuppgifter skyddas från otillåten publicering på regionens webbplats, såsom att upprätta skriftliga instruktioner och säkerställa att den som publicerar personuppgifter på webbplatsen gör detta i enlighet med instruktionerna.

text: Datainspektionen beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen och

text: 6 kap. 2 § dataskyddslagen

text: att Hälso- och sjukvårdsnämnden i Region Örebro län för överträdelserna av artikel 5, artikel 9 och artikel 32 i dataskyddsförordningen samt

text: 3 kap. 10 § dataskyddslagen

text: kronor. Av detta belopp avser 80 000 kronor överträdelserna av artiklarna 5, 6 och 9 samt 3 kap. 10 § i dataskyddsförordningen och 40 000 kronor avser överträdelsen av artikel 32.

text: Datainspektionen förelägger med stöd av artikel 58.2 d i dataskyddsförordningen Hälso- och sjukvårdsnämnden i Region Örebro län att upprätta skriftliga instruktioner och införa rutiner som säkerställer att den som publicerar personuppgifter på öppna webbplatser gör detta i enlighet med instruktionerna.

text: Redogörelse för tillsynsärendet

text: Datainspektionen tog emot ett klagomål mot Hälso- och sjukvårdsnämnden i Region Örebro län angående att en anmälan till JO mot rättspsykiatriska kliniken i Örebro hade publicerats i sin helhet på regionens öppna webbplats. Publiceringen hade skett inför ett nämndsammanträde den 25 september 2019. Anmälan innehöll anmälarens identitetsuppgifter (inklusive personnummer), kontaktuppgifter, uppgift om att anmälaren var inlagd på den rättspsykiatriska kliniken och uppgift om att anmälaren var föremål för urinprovtagning. Med anledning av detta beslutade Datainspektionen i slutet av januari 2020 att inleda en tillsyn mot Hälso- och sjukvårdsnämnden i Region Örebro län i syfte att undersöka nämndens hantering av personuppgifter vid webbpubliceringar. I samband med att tillsynen inleddes och Datainspektionen uppmärksammade nämnden om publiceringen tog nämnden bort den publicering som klagomålet rörde.

text: Hälso- och sjukvårdsnämnden i Region Örebro län har i huvudsak uppgett följande.

text: Den publicerade handlingen togs genast bort från den öppna webbplatsen. Vidare granskades alla publicerade kallelser och protokoll i syfte att kontrollera så att ytterligare röjande inte hade skett. Därefter gjordes en personuppgiftsincidentsanmälan till Datainspektionen, en intern avvikelseanmälan upprättades och det undersöktes vad som kunde göras för att något liknande inte skulle hända igen.

text: Region Örebro län publicerar normalt sett personuppgifter i kallelser och protokoll på sin webbplats som hänför sig till förtroendevalda politiker eller tjänstepersoner i deras tjänste-/förtroendeuppdrag. Vid webbpublicering

text: bedöms Region Örebro län kunna åberopa allmänt intresse för att publicera protokoll och kallelser, inklusive personuppgifter, utifrån artikel 6 i dataskyddsförordningen samt

text: 2 kap. 2 § dataskyddslagen

text: . Känsliga personuppgifter enligt artikel 9 i dataskyddsförordningen och

text: 3 kap. 3 § dataskyddslagen

text: ska aldrig publiceras på regionens webbplats. I det aktuella fallet borde publicering inte ha skett.

text: Hälso- och sjukvårdsnämnden saknar skriftliga rutiner rörande publicering av handlingar och personuppgifter på webbplatsen. Det är ett fåtal personer som har som arbetsuppgift att publicera hälso- och sjukvårdsnämndens kallelser och protokoll på webbplatsen. Rutiner kring publiceringen delges muntligt. I detta fall har de muntliga rutinerna inte följts och handlingen publicerades av misstag.

text: Region Örebro län har påbörjat arbetet med att skapa skriftliga riktlinjer och rutiner för delgivning av kallelser och protokoll till förtroendevalda samt för publicering på webbplatsen.

text: Övrigt som framkommit i ärendet

text: Datainspektionen har gått igenom den information som nämnden lämnat om händelsen i en personuppgiftsanmälan (dnr PUI-2020-339). Nämnden uppger i denna handling bland annat att incidenten inträffade på grund av ”Mänskliga faktorn: fel i det enskilda fallet” (ett förtryckt svarsalternativ), att handlingen tagits bort från den externa webben, att borttagning av handlingen åtföljdes av en omedelbar granskning av alla publicerade kallelser och protokoll för att säkerställa att röjande inte har förekommit på annat sätt eller i andra handlingar, att ett datum bestämts för information och genomgång till berörd personalgrupp kring regler för publicering på webben, samt att den registrerade informerats om incidenten.

text: I en bilaga till anmälan om personuppgiftsincident skrev regionen följande. ”Region Örebro län anser det vara mycket viktigt att personuppgifter behandlas korrekt och i enlighet med vid varje tidpunkt gällande regler. Därför strävar Region Örebro län efter att i de olika stegen i beredningen av ärenden, uppmärksamma förekomsten av personuppgifter i olika typer av handlingar, och att om det inte är nödvändigt att de finns där, antingen ta bort dem eller presentera dem i en sådan form att de inte kan härledas till enskild person. Detta arbete sker systematiskt och igenom ett antal beredningssteg./…/I förevarande fall har det emellertid varit så att de

text: aktuella uppgifterna till följd av ett misstag, som inte på sedvanligt sätt har uppmärksammats i beredningsgången, har följt med ut i publiceringen på den publika webben.”

text: Motivering av beslut

text: Datainspektionen konstaterar att det bland de personuppgifter som publicerades på Region Örebro läns öppna webbplats funnits uppgifter som varit känsliga enligt artikel 9 i dataskyddsförordningen. Detta gäller för uppgiften om att den registrerade är intagen på den rättspsykiatriska kliniken och att hen är föremål för urinprovstagning. Detta då den förstnämnda uppgiften avslöjar att personen kan lida av en allvarlig psykisk störning och den sistnämnda uppgiften att personen har eller har haft en drogproblematik. Därmed utgör de uppgifter om hälsa. Vidare har personnummer omfattats av publiceringen.

text: Rättslig reglering

text: Personuppgifter får endast behandlas om det finns en rättslig grund för det som framgår av artikel 6 i dataskyddsförordningen. Ett sådant rättsligt stöd kan till exempel bestå i att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse, till exempel att ge allmänheten insyn i den kommunala verksamheten. Behandling av känsliga personuppgifter är som huvudregel förbjuden och sådana personuppgifter får endast behandlas om behandlingen omfattas av ett undantag i artikel 9 i dataskyddsförordningen. Personnummer får endast behandlas med stöd av

text: 3 kap. 10 § dataskyddslagen

text: , det vill säga om det finns (ett enligt dataskyddsförordningens bestämmelser giltigt) samtycke eller om behandlingen är klart motiverad med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl.

text: De som behandlar personuppgifter måste förutom att ha en rättslig grund alltid uppfylla de grundläggande principer som framgår av artikel 5 i dataskyddsförordningen. Bland annat får personuppgifter endast användas för särskilda, uttryckligt angivna och berättigade ändamål (principen om ändamålsbegränsning) och det får inte behandlas fler personuppgifter än nödvändigt för ändamålen (uppgiftsminimeringsprincipen). Av artikel 32

text: följer att den personuppgiftsansvarige har att vidta lämpliga tekniska och organisatoriska åtgärder för personuppgifter för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken för fysiska personers rättigheter och friheter. Vidare ska den personuppgiftsansvarige, enligt artikel 32.4, vidta åtgärder för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges överinseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansvarige.

text: Datainspektionens bedömning av publiceringen

text: Datainspektionen bedömer att publiceringen av en privatpersons korrespondens till en myndighet gått utöver ett tänkbart ändamål med att publicera delar av det aktuella ärendet på webben (att ge allmänheten insyn i den kommunala verksamheten). Därmed har det inte funnits något särskilt, uttryckligt angivet och berättigat ändamål med publiceringen av de aktuella personuppgifterna. Vidare har det inte funnits någon laglig grund för att publicera personuppgifterna och publiceringen har inte omfattats av något undantag mot förbudet att behandla känsliga personuppgifter. Personnummer har publicerats utan att de villkor som framgår av

text: 3 kap. 10 § dataskyddslagen

text: varit uppfyllda.

text: Hälso- och sjukvårdsnämnden har enbart arbetat med muntliga instruktioner till de medarbetare som ansvarat för publicering av nämndens handlingar på webben. Publiceringen borde ha föregåtts av en bedömning av om den var tillåten enligt dataskyddsförordningen. Att så inte har skett tyder på att nämnden brustit i instruktionerna till de som arbetar under nämndens överinseende. Det innebär att nämnden inte vidtagit lämpliga organisatoriska säkerhetsåtgärder för att skydda mot otillåten publicering av personuppgifter på webben.

text: Datainspektionen har i en rad beslut om kommuners webbpubliceringar enligt

text: personuppgiftslagen

text: uttalat att en lämplig organisatorisk åtgärd för att skydda personuppgifter från otillbörlig publicering är skriftliga rutiner för webbpublicering. Sådana rutiner ska användas av personalen och bör fastställa när personuppgifter får publiceras, vem som ska göra

text: bedömningen, hur länge uppgifterna ska bevaras på webben, arbetsrutin för maskering av känsliga eller sekretessbelagda uppgifter, hantering av länkade dokument samt angivande av vem som ansvarar för publicering och eventuell borttagning av uppgifter. Andra lämpliga åtgärder kan vara att se till att personalen får tillräcklig utbildning i dataskyddsförordningen och hur den ska arbeta så att personuppgifter inte hanteras i strid med regelverket. Sådan utbildning kan säkerställa att den som publicerar personuppgifter på webbplatsen gör detta i enlighet med instruktionerna från den personuppgiftsansvarige.

text: De rutiner som hälso- och sjukvårdsnämnden haft har inte räckt till för att skydda personuppgifter från publicering i strid med dataskyddsförordningen. Tillräckliga åtgärder har inte vidtagits för att säkerställa att de som publicerar personuppgifter under nämndens överinseende gör det i enlighet med nämndens instruktioner för publiceringen.

text: Datainspektionen konstaterar därför att Hälso- och sjukvårdsnämnden i Region Örebro län har överträtt artiklarna 5, 6, 9 och 32 i dataskyddsförordningen, samt

text: 3 kap. 10 § dataskyddslagen

text: Val av ingripande

text: Datainspektionen har konstaterat att nämnden har publicerat känsliga personuppgifter och personnummer på Region Örebro läns webbplats och att nämnden saknar skriftliga rutiner för webbpublicering. Den publicering som har skett har saknat berättigat ändamål och laglig grund. Publiceringen har inte omfattats av något av undantagen till förbudet mot att behandla känsliga personuppgifter. Detta innebär att nämnden har behandlat personuppgifter i strid med principerna om ändamålsbegränsning och uppgiftsminimering i artikel 5 i dataskyddsförordningen, bestämmelsen om laglig behandling i artikel 6 och förbudet mot behandling av känsliga personuppgifter i artikel 9. Publiceringen av personnummer uppfyller inte villkoren i

text: 3 kap. 10 § dataskyddslagen

text: och strider därför mot den bestämmelsen.

text: I artikel 58 i dataskyddsförordningen anges Datainspektionens samtliga befogenheter. Datainspektionen har vid överträdelser av

text: dataskyddsförordningen ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 a -j, bland annat reprimand, föreläggande och sanktionsavgifter.

text: Av artikel 58.2 i dataskyddsförordningen följer att Datainspektionen i enlighet med artikel 83 ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall. Om det är fråga om en mindre överträdelse får tillsynsmyndigheten, enligt skäl 148 i dataskyddsförordningen, utfärda en reprimand i stället för att påföra en sanktionsavgift.

text: Sanktionsavgift ska utgå

text: Datainspektionen har bedömt att nämnden har överträtt artiklarna 5, 6, 9 och 32 i dataskyddsförordningen samt

text: 3 kap. 10 § dataskyddslagen

text: , antagen på grundval av artikel 87 i dataskyddsförordningen. Dessa artiklar omfattas av artiklarna 83.4 och 83.5. Vid en överträdelse av dessa ska tillsynsmyndigheten överväga att påföra administrativa sanktionsavgifter utöver, eller istället för, andra korrigerande åtgärder.

text: Datainspektionen bedömer att det inte är fråga om en mindre överträdelse. Detta mot bakgrund av att de personuppgifter som publicerades var känsliga och rörde en patient. Vidare kunde personen inte rimligen förvänta sig att dennes korrespondens gjordes tillgänglig för en stor krets. Dessutom var personuppgifterna publicerade under en längre tid utan att det upptäcktes av nämnden. Det finns inte skäl att ersätta sanktionsavgiften med någon annan korrigerande åtgärd. Hälso- och sjukvårdsnämnden ska således påföras en administrativ sanktionsavgift.

text: Bestämmande av sanktionsbeloppets storlek

text: Enligt artikel 83.1 i dataskyddsförordningen ska varje tillsynsmyndighet säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande.

text: För myndigheter gäller enligt

text: 6 kap. 2 § andra stycket dataskyddslagen

text: att sanktionsavgiften ska bestämmas till högst 5 000 000 kronor vid överträdelser som avses i artikel 83.4 i dataskyddsförordningen och högst 10 000 000 kronor vid överträdelser som avses i artikel 83.5. Överträdelser av artikel 5, 6, 9 och 3 kap.

text: 10 § dataskyddslagen

text: (som antagits på grundval av artikel 87) omfattas av de högre sanktionsavgifterna enligt artikel 83.5 och

text: överträdelser av artikel 32 omfattas av det lägre maxbeloppet enligt artikel 83.4.

text: I artikel 83.2 i dataskyddsförordningen anges faktorer som ska beaktas vid bestämmande av sanktionsavgiftens storlek. Dessa faktorer är bland annat a) överträdelsens karaktär, svårighetsgrad och varaktighet, b) om överträdelsen skett med uppsåt eller genom oaktsamhet, c) de åtgärder som den personuppgiftsansvarige har vidtagit för att lindra den skada som de registrerade lidit, d) graden av ansvar hos den personuppgiftsansvarige med beaktande av de tekniska åtgärder som genomförts i enlighet med artikel 32, g) de kategorier av personuppgifter som omfattas av överträdelsen, h) det sätt på vilket överträdelsen kom till tillsynsmyndighetens kännedom, särskilt huruvida och i vilken omfattning den personuppgiftsansvarige anmälde överträdelsen.

text: Vid Datainspektionens bedömning av sanktionsavgiftens storlek har hänsyn tagits till följande.

text: Överträdelsen har avsett känsliga personuppgifter avseende en person i beroendeställning för vilken publiceringen av uppgifterna kan ha fått allvarliga följder. Vidare har uppgifterna legat publicerade öppet på regionens webbplats under en längre tid. Att det saknats lämpliga tekniska och organisatoriska åtgärder för att se till sådana personuppgifter inte publiceras utgör en risk för att liknande händelser ska inträffa igen. Avsaknaden av lämpliga säkerhetsåtgärder avspeglar sig i att nämnden inte själv upptäckt den felaktiga publiceringen. Emellertid har publiceringen inte skett avsiktligt och det finns inte något som tyder på att fler än en person i realiteten skulle ha drabbats av felaktiga publiceringar av känsliga personuppgifter. Till detta kommer att nämnden så fort den fått kännedom om händelsen agerat genom att ta bort den publicerade handlingen, informera den registrerade och informera den berörda personalen samt att det påbörjats ett arbete med att ta fram skriftliga rutiner. Datainspektionen konstaterar även att regionen har gjort en personuppgiftsincidentsanmälan för nämndens räkning till Datainspektionen och följt de föreskrifter som finns i det avseendet.

text: Publiceringen av personuppgifter på nämndens öppna webbplats avser ett och samma agerande och omfattar överträdelse av artiklarna 5, 6 och 9 i dataskyddsförordningen samt

text: 3 kap. 10 § dataskyddslagen

text: Sanktionsavgiften för överträdelsen av artikel 32 avser nämndens organisatoriska säkerhetsåtgärder vid publicering på öppna webbplatser och fastställs därmed separat.

text: Datainspektionen bestämmer utifrån en samlad bedömning att Hälso- och sjukvårdsnämnden i Region Örebro län ska betala en administrativ sanktionsavgift på 120 000 kronor för överträdelserna av artiklarna 5, 6, 9 och 32 i dataskyddsförordningen och

text: 3 kap. 10 § dataskyddslagen

text: . Av detta belopp avser 80 000 kronor överträdelserna av artiklarna 5, 6 och 9 i dataskyddsförordningen samt

text: 3 kap. 10 § i dataskyddslagen

text: och 40 000 kronor avser överträdelsen av artikel 32 i dataskyddsförordningen.

text: Föreläggande om ytterligare organisatoriska åtgärder

text: Enligt artikel 58.2 d har Datainspektionen befogenhet att förelägga en personuppgiftsansvarig att se till att en behandling sker i enlighet med dataskyddsförordningens bestämmelser. Det framgår av artikel 58.2 att administrativa sanktionsavgifter kan kombineras med förelägganden. Hälso- och sjukvårdsnämnden har inte vidtagit tillräckliga organisatoriska åtgärder enligt artikel 32 i dataskyddsförordningen för att se till att personuppgifter skyddas från otillåten publicering på regionens webbplats, såsom att upprätta skriftliga instruktioner och säkerställa att den som publicerar personuppgifter på webbplatsen gör detta i enlighet med instruktionerna.

text: Hälso- och sjukvårdsnämnden i Region Örebro län ska därför föreläggas att upprätta skriftliga instruktioner och införa rutiner som säkerställer att den som publicerar personuppgifter på öppna webbplatser gör detta i enlighet med instruktionerna.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av [juristen] Elin Hallström. Vid den slutliga handläggningen har även chefsjuristen Hans-Olof Lindblom, enhetschefen Malin Blixt och enhetschefen Katarina Tullstedt medverkat. It-säkerhetsspecialisten Magnus Bergström har deltagit i de bedömningar som rör informationssäkerhet.

text: Lena Lindgren Schelin, 2020-05-11 (Det här är en elektronisk signatur)

text: Bilaga

text: Hur man betalar sanktionsavgift

text: Kopia för kännedom till:

text: Dataskyddsombudet

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

type: avgorande


text: Ert diarienr

nyckelord: Dataskydd Brottsbekämpning Myndighet

slug: polismyndighetens-belastningsregister

title: Polismyndighetens belastningsregister

text: Polismyndigheten

text: Tillsyn av Polismyndighetens belastningsregister enligt lagen om belastningsregister

text: Datainspektionens beslut

text: Datainspektionen konstaterar att Polismyndigheten har åtgärdat det tekniska fel som inneburit att utskick av registerutdrag ur belastningsregistret under perioden 19 november 2019 till och med den 13 januari 2020 har blivit felaktiga. Datainspektionen vidtar därför inga ytterligare åtgärder.

text: Ärendet avslutas.

text: Redogörelse för tillsynsärendet

text: Granskningens syfte och avgränsning

text: Datainspektionen har den 20 januari 2020 mottagit en anmälan från Polismyndigheten om personuppgiftsincident, ref A026.530/2020. Incidenten avsåg utdrag ur belastningsregistret till enskilda personer som under perioden 19 november 2019 till och med den 13 januari 2020 har innehållit för få eller för många uppgifter. Mot bakgrund av informationen i anmälan har Datainspektionen beslutat att granska Polismyndighetens personuppgiftsbehandling i belastningsregistret. Syftet med tillsynsärendet har avgränsats till att omfatta kontroll av myndighetens hantering av

text: personuppgifter i registerutdragen under den period som anmälan om personuppgiftsincidenten avser.

text: Genomförande och metod

text: Vid granskningen har i huvudsak följande framkommit.

text: Datainspektionen har den 25 februari 2020 ställt ett antal frågor till Polismyndigheten för skriftligt besvarande.

text: Av Polismyndighetens svar framgår att belastningsregistret under november 2019 migrerades till en ny teknisk plattform, vilket krävde förändringar i kommunikationen med systemet för registerutdrag (RUT). Den nu aktuella funktionen genomgick såväl enhetstest, systemtest som acceptanstest innan den driftsattes. Systemet är komplext och det uppdagades ett par brister som orsakade felaktigheter i vissa typer av utdrag ur belastningsregistret. Totalt är 448 enskilda personer som har begärt uppgifter om sig själva berörda av det inträffade. Registerutdragen som har skickats till berörda personer har innehållit för få eller för många uppgifter. Av de felaktiga utdragen avsåg 407 stycket sådana fullständiga utdrag som enskilda kan begära för att utöva sin insynsrätt i belastningsregistret och de resterande 41 felaktiga utdragen avsåg sådana begränsade utdrag som enskilda kan begära för att visa upp eller lämna till arbetsgivare. När omfattningen av problemet blev känt stoppades registerutdragstjänsten tillfälligt i avvaktan på att felet åtgärdades. Polismyndigheten har härefter kompletterat kodning och gallringslogik i systemet med det som saknades efter migreringen till den nya plattformen. Polismyndigheten har uppgett att när en modernisering eller uppdatering av den tekniska plattformen blir aktuell igen kommer testerna att organiseras och utformas så att liknande fel inte ska uppstå på nytt. Polismyndigheten avser vidare att utreda möjligheterna till automatiska tester för att undvika fel i framtiden orsakade av den mänskliga faktorn.

text: Med anledning av de felaktiga registerutdragen har Polismyndigheten vidtagit ett antal åtgärder. Myndigheten har bland annat publicerat ett pressmeddelande med generell information om det inträffade samt underrättat samtliga enskilda som fått ett felaktigt utdrag. Vidare har korrekta utdrag skickats ut till berörda personer och de felaktiga utdragen har begärts in för att förhindra att dessa används. Polismyndigheten har vidare uppgett att de följt upp vilka utdrag som skickats in och har gjort en

text: noggrann utredning och riskbedömning av de 41 felaktiga utdrag som kan användas för att söka vissa typer av arbeten.

text: Motivering av beslut

text: Datainspektionens bedömning

text: Av

text: 1 § lagen (1998:620)

text: om belastningsregister framgår att Polismyndigheten med hjälp av automatiserad behandling ska föra ett belastningsregister. Myndigheten är personuppgiftsansvarig för behandlingen av personuppgifter i registret. Lagen innehåller bestämmelser när det gäller registrering av personer som dömts eller fått åtalsunderlåtelse för brott och gäller utöver

text: brottsdatalagen (2018:1877)

text: Av 2 § lagen om belastningsregister framgår att belastningsregistret ska föras för att ge information om sådana belastningsuppgifter som behövs i brottsbekämpande myndigheters verksamheter. Registret får också användas för att till en enskild lämna uppgift som är av särskild betydelse i hans eller hennes verksamhet. Det kan t.ex. röra sig om larminstallationsföretag eller enskilda arbetsgivare inom vårdsektorn som behöver få information om personer som ska anställas i verksamheten.

text: Av utredningen framgår att Polismyndigheten har vidtagit ett antal åtgärder i direkt anslutning till att myndigheten fick vetskap om det nu aktuella tekniska problemet som innebar att ett antal felaktiga registerutdrag ur belastningsregistret skickats under perioden 19 november 2019 till och med den 13 januari 2020. Bland annat stoppades registerutdragstjänsten tillfälligt i avvaktan på att problemet åtgärdades, korrekta utdrag och information skickades till berörda personer och Polismyndigheten anmälde utan dröjsmål händelsen till Datainspektionen. Den inträffade personuppgiftsincidenten har inte påverkat vilka uppgifter som finns om personer i belastningsregistret eller hur länge uppgifterna sparas.

text: Sammanfattningsvis konstaterar Datainspektionen att Polismyndigheten har åtgärdat det tekniska fel som inneburit att utskick av registerutdrag ur belastningsregistret under perioden 19 november 2019 till och med den 13 januari 2020 har blivit felaktiga. Datainspektionen vidtar därför inga ytterligare åtgärder.

text: Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Linda Olander. Vid den slutliga handläggningen har även datarådet Agneta Runmarker och it-säkerhetsspecialisterna Johan Ma och Ulrika Sundling medverkat. Charlotte Waller Dahlberg, 2020-06-22 (Det här är en elektronisk signatur) Kopia för kännedom till: Dataskyddsombudet


text: Polismyndigheten Skickas endast per e-post registrator.kansli@polisen.se

text: Webbtjänsten uppger att de samlat tre miljarder ansiktsbilder från Facebook, YouTube och miljoner andra webbplatser. IMY rapport 2021:1; Integritetsskyddsrapport 2020 – redovisning av utvecklingen på it-området när det gäller integritet och ny teknik, sid. 70. 2 https://clearview.ai, 2020-11-25. 3 it-stöd inom Polismyndigheten där underrättelseuppgifter förmedlas till den brottsbekämpande verksamheten.

text: Prop. 2017/18:232 s. 171

text: f., 319 och 452. 5 Se vidare nedan under rubriken Polismyndighetens skyldighet att genom tekniska och organisatoriska åtgärder säkerställa och visa att myndighetens personuppgiftsbehandling är författningsenlig. 6

text: Prop. 2017/18:232 s. 172

text: f. 7 Sandén, H-O, 2019, SFS 2018:1177 Lagkommentar, Norstedts juridik. 8

text: Prop 2017/18:232, s. 453

text: Artikel 10 i Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF. 10 EDPB response to MEPs Sophie in ‘t Veld, Moritz Körner, Michal Šimečka, Fabiene Keller, Jan-Christoph Oetjen, Anna Donáth, Maite Pagazaurtundúa, Olivier Chastel, concerning the facial recognition app developed by Clearview AI.

text: Prop. 2017/18:232

text: s.181 f. 12

text: Prop. 2017/18:232 s. 309

text: f.

text: Prop. 2017/18:232 s. 483

text: . 14 Eu-domstolens domar i målen

text: punkt 35 samt

text: punkt 70.

text: Prop 2017/18:232 s. 485

text: . 16

text: Prop 2017/18:232

text: s.465 17

text: Prop. 2017/18:232 s. 465

nyckelord:
Dataskydd
Internet och appar
Brottsbekämpning
Myndighet

slug: polismyndigheten

title: Polismyndigheten, Clearview AI

sammanfattning: Kammarrätten i Stockholms län upphävde förvaltningsrättens dom och IMY:s beslut om sanktionsavgift den 7 november 2022, mål nr 7678-21. Domen överklagades till Högsta förvaltningsdomstolen, som beslutade att inte meddela prövningstillstånd den 17 november 2023 i mål 6943-22. Kammarrättens dom står därför fast.

text: DI-2020-2719 Beslut efter tillsyn enligt

text: brottsdatalagen – Polismyndighetens användning av Clearview AI

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Polismyndigheten har behandlat personuppgifter i strid med 2 kap. 12 § samt 3 kap. 2 § och 7 § första stycket brottsdatalagen genom att använda applikationen Clearview AI under perioden hösten 2019 till och med 3 mars 2020.

text: Integritetsskyddsmyndigheten beslutar med stöd av 6 kap. 1 § brottsdatalagen att Polismyndigheten ska betala en sanktionsavgift på 2 500 000 (två miljoner femhundra tusen) kronor.

text: Integritetsskyddsmyndigheten förelägger Polismyndigheten enligt 5 kap. 7 § första stycket 2 brottsdatalagen att vidta utbildningsåtgärder och övriga organisatoriska åtgärder som krävs enligt 3 kap. 2 § brottsdatalagen för att säkerställa att de rutiner som finns når hela organisationen och att myndigheten därmed kan visa och säkerställa att all behandling av personuppgifter är författningsenlig. Åtgärderna ska ha vidtagits senast den 15 september 2021.

text: Integritetsskyddsmyndigheten förelägger med stöd av 5 kap. 7 § första stycket 2 brottsdatalagen Polismyndigheten att enligt 4 kap. 2 § brottsdatalagen informera de registrerade, vars personuppgifter Polismyndigheten matat in i Clearview AI, i den utsträckning skyldigheten att lämna information inte är begränsad enligt 4 kap. 5 § brottsdatalagen. Informationen ska ha lämnats senast den 15 september 2021.

text: Integritetsskyddsmyndigheten förelägger med stöd av 5 kap. 7 § första stycket 2 brottsdatalagen Polismyndigheten att vidta möjliga och relevanta åtgärder för att de personuppgifter som Polismyndigheten matat in i Clearview AI raderas från applikationen. Sådana åtgärder ska ha vidtagits den 15 september 2021.

text: Redogörelse för tillsynsärendet

text: Integritetsskyddsmyndigheten (IMY), tidigare Datainspektionen, uppmärksammades i februari 2020 genom uppgifter i media på att brottsbekämpande myndigheter i Sverige kunde ha använt sig av applikationen Clearview AI. IMY inledde mot bakgrund av uppgifterna omgående en granskning där Polismyndigheten ombads besvara om myndigheten använt sig av applikationen samt med vilket rättsligt stöd behandling i så fall skett. Av yttranden från Polismyndigheten under våren 2020 framgick att applikationen använts av några anställda inom myndigheten vid ett antal tillfällen utan att myndigheten tillhandahållit applikationen till de anställda. IMY inledde därför en fördjupad granskning av Polismyndighetens användning av Clearview AI.

text: Clearview AI är en applikation tillhandahållen av ett amerikanskt företag som erbjuder en ansiktsigenkänningstjänst där användaren, efter att ha laddat ner applikationen på en digital enhet, laddar upp en bild som genom biometri matchas mot ett mycket stort antal bilder som skrapats från det öppna internet. Användaren får sedan ett resultat i form av ett antal webbadresser där eventuella matchningar finns.

text: Polismyndighetens användning av applikationen Clearview AI

text: Polismyndigheten har uppgett att applikationen Clearview AI använts vid ett antal tillfällen under perioden hösten 2019 till och med 3 mars 2020.

text: Det är medarbetare vid den Nationella Operativa Avdelningen (NOA) samt region Syd som har använt sig av Clearview AI. Vid NOA har applikationen använts av totalt sex medarbetare varav fem använt applikationen i operativ verksamhet, bl.a. för att identifiera målsäganden i misstänkta sexualbrott mot barn samt i spaningsverksamheten för att försöka identifiera okända personer vid spaning av grov organiserad brottslighet. Vid polisregion Syd har applikationen använts vid utredning av sexualbrott mot barn samt testats av medarbetare mot bilder i Polismyndighetens s.k. OBS-portal. När Polismyndighetens användning av Clearview AI blev känd genom uppgifter i media gick myndighetens dataskyddsombud ut med en rekommendation om att Nationellt Forensiskt Centrum och NOA skulle klargöra och sprida att sådan användning inte var tillåten.

text: Motivering av beslutet

text: Polismyndighetens ansvar för anställdas behandling av personuppgifter inom den brottsbekämpande verksamheten

text: Polismyndigheten är en stor organisation med ett särskilt uppdrag att upprätthålla lag och ordning. Polismyndigheten styrs därtill av tydlig lagstiftning kring hur personuppgifter ska behandlas, särskilt inom den brottsbekämpande verksamheten. Den stora mängd personuppgifter, även känsliga sådana, som myndigheten behandlar samt de långtgående maktbefogenheter Polismyndigheten har gör att myndigheten har ett särskilt ansvar för att personuppgifter behandlas korrekt.

text: Polismyndigheten är, som personuppgiftsansvarig, ansvarig för all personuppgiftsbehandling som sker under myndighetens ledning eller på myndighetens vägnar enligt 3 kap. 1 § brottsdatalagen. Det innebär att all personuppgiftsbehandling som utförs vid myndigheten faller under Polismyndighetens personuppgiftsansvar, även den behandling personuppgiftsbiträden, anställda, personer som är att jämställa med anställda (t.ex. inhyrd personal) eller uppdragstagare utför. Även av

text: 2 kap. 1 § lagen (2018:1693)

text: om polisens behandling inom brottsdatalagens område (PBDL) framgår att Polismyndigheten är ansvarig för den personuppgiftsbehandling som utförs vid myndigheten. Det innebär att det är Polismyndighetens skyldighet att tillse att all behandling som sker inom myndigheten har bl.a. en rättslig grund, ett berättigat ändamål och att tillräckliga skyddsåtgärder är på plats genom lämpliga tekniska och organisatoriska åtgärder. Polismyndigheten ska tillse att det finns tydliga riktlinjer och rutiner avseende de it-verktyg som de anställda får använda och att de anställda är tillräckligt utbildade och informerade om hur personuppgifter får behandlas.

text: Enligt Polismyndigheten är det ett fåtal anställda som använt Clearview AI utan att myndigheten tillhandahållit applikationen till de anställda. Behandlingen har dock skett vid utförande av de anställdas arbetsuppgifter på myndigheten. Behandlingen har dessutom utförts med personuppgifter hämtade från aktuella utredningar och vid majoriteten av tillfällena under pågående brottsutredningar, dvs. under myndighetsutövning. Att det skett utan att myndigheten tillhandahållit Clearview AI eller godkänt användningen av it-verktyget fråntar därmed inte Polismyndigheten det ansvar som myndigheten har som personuppgiftsansvarig.

text: IMY konstaterar mot denna bakgrund att Polismyndigheten är ansvarig för de anställdas behandling av personuppgifter vid användningen av Clearview AI.

text: Som personuppgiftsansvarig har Polismyndigheten enligt 3 kap. 2 § brottsdatalagen en skyldighet att, genom tekniska och organisatoriska åtgärder, säkerställa och kunna visa att myndighetens behandling av personuppgifter är författningsenlig och att den registrerades rättigheter skyddas. Det ska i varje enskilt fall bedömas vilka sådana åtgärder som behövs med beaktande av bl.a. vilka personuppgifter som behandlas. Organisatoriska åtgärder kan bl.a. vara att anta interna strategier för dataskydd, informera och utbilda anställda samt säkerställa en tydlig ansvarsfördelning. Åtgärder som kan vidtas för att visa att behandlingen är författningsenlig kan t.ex. vara dokumentation av it-system, behandlingar och vidtagna åtgärder m.m.

text: Polismyndigheten har i ärendet lämnat in en intern rutin för personuppgiftsbehandling inom myndigheten. Något ytterligare styrdokument för de anställdas behandling av personuppgifter har inte lämnats in. Inte heller något underlag kring hur utbildning av anställda eller hur den interna rutinen ska nå hela organisationen har lämnats in eller redogjorts för. Det saknas också uppgift om att någon utbildning eller motsvarande aktivitet faktiskt har genomförts inom myndigheten. Att anställda vid två olika

text: organisatoriska enheter använt sig av Clearview AI i strid med gällande reglering visar att rutinen inte fått tillräckligt genomslag inom myndigheten. Polismyndigheten har mot denna bakgrund inte kunnat visa att det finns tillräckliga organisatoriska åtgärder, i form av t.ex. interna strategier eller utbildning, på plats för att säkerställa att behandlingen är författningsenlig.

text: IMY konstaterar att Polismyndigheten inte har vidtagit lämpliga organisatoriska åtgärder för att säkerställa och kunna visa att myndighetens behandling av personuppgifter varit författningsenlig. Polismyndigheten har därmed överträtt 3 kap. 2 § brottsdatalagen.

text: Polismyndighetens behandling av biometriska uppgifter i samband med användningen av Clearview AI

text: Enligt Polismyndighetens uppgifter har bilder på personer, som sedan omvandlats till biometriska uppgifter, i pågående operativa ärenden lästs in i Clearview AI vid ett flertal tillfällen.

text: Polismyndigheten har inte redogjort för hur de biometriska uppgifterna som lästs in i Clearview AI behandlas i applikationen, t.ex. om och i så fall hur länge uppgifterna sparas, hur matchningen av biometriska uppgifter går till, om uppgifterna överförs till tredjeland eller om uppgifterna lämnas ut till andra i samband med användningen. Det beror enligt uppgifter från Polismyndigheten på att inga rättsliga bedömningar har gjorts före användningen av Clearview AI.

text: Biometriska personuppgifter är känsliga personuppgifter och får enligt 2 kap. 12 § brottsdatalagen endast behandlas om det är särskilt föreskrivet och absolut nödvändigt för ändamålet med behandlingen. Av 2 kap. 4 § PBDL framgår att Polismyndigheten får behandla biometriska uppgifter om användningen är absolut nödvändig för ändamålet med behandlingen.

text: Användningen av en tjänst som Clearview AI innebär att enskildas biometriska personuppgifter matchas mot stora mängder personuppgifter som ofiltrerat inhämtats från det öppna internet. Enligt IMY:s bedömning kan en brottsbekämpande myndighets behandling av personuppgifter vid användning av en sådan tjänst sannolikt inte uppfylla det strikta krav på nödvändighet som följer av brottsdatalagen och det bakomliggande brottsdatadirektivet. Europeiska dataskyddsstyrelsen har gett uttryck för en liknande uppfattning.

text: Den behandling av biometriska uppgifter som skett vid Polismyndighetens användning av Clearview AI har utförts utan någon kontroll eller kunskap från Polismyndigheten om hur uppgifterna hanteras av Clearview AI. Någon bedömning av om behandlingen varit absolut nödvändig enligt 2 kap. 12 § brottsdatalagen har inte skett. Genom den information som lämnats in i ärendet har Polismyndigheten inte visat att myndighetens behandling av biometriska uppgifter i tjänsten Clearview AI varit absolut nödvändig för ändamålet för behandlingen.

text: IMY konstaterar att Polismyndighetens behandling av biometriska uppgifter har skett i strid med 2 kap. 12 § brottsdatalagen.

text: Skyldighet att genomföra en konsekvensbedömning

text: Enligt 3 kap. 7 § första stycket brottsdatalagen är en personuppgiftsansvarig skyldig att genomföra en konsekvensbedömning innan påbörjan av en ny behandling som kan antas medföra särskild risk för intrång i den registrerades personliga integritet.

text: Av förarbetena till brottsdatalagen och det bakomliggande brottsdatadirektivet framgår att vid bedömningen av om en konsekvensbedömning behövs ska behandlingens omfattning, art, sammanhang och art beaktas. Särskilt ska beaktas om behandlingen innefattar någon ny teknik.

text: De personuppgifter som har behandlats i applikationen är biometriska uppgifter och dessa får, som redovisats ovan, endast behandlas om det är särskilt föreskrivet och absolut nödvändigt med hänsyn till ändamålet med behandlingen. Eftersom användningen av Clearview AI har inneburit behandling av biometriska uppgifter, som omfattar ansiktsigenkänning, med ny teknik tillhandahållen av en extern aktör i tredjeland kan behandlingen antas ha inneburit en särskild risk för intrång i registrerades personliga integritet. En konsekvensbedömning skulle därför ha genomförts innan behandlingen påbörjades. Användningen av applikationen Clearview AI påbörjades dock utan att några rättsliga överväganden eller beaktande av risker för intrång i de registrerades personliga integritet ägde rum.

text: Polismyndigheten har inte använt applikationen systematiskt i sin verksamhet och applikationen har inte rekommenderats av myndigheten. Som IMY konstaterat ovan är dock Polismyndigheten ansvarig för den behandling anställda utfört vid användningen av Clearview AI. Bristen på organisatoriska åtgärder har medfört att anställda använt applikationen utan att dessförinnan genomföra en konsekvensbedömning, trots att det krävs enligt 3 kap. 7 § brottsdatalagen.

text: IMY konstaterar att Polismyndigheten i strid med 3 kap. 7 § första stycket brottsdatalagen underlåtit att genomföra en konsekvensbedömning före användningen av Clearview AI.

text: Val av ingripande

text: Av 5 kap. 7 § brottsdatalagen följer de korrigerande befogenheter IMY har att tillgå vid överträdelser av nämnda lag. Dessa utgörs av bl.a. förelägganden, förbud mot behandling samt utfärdande av sanktionsavgift.

text: Av 6 kap. 1 och 2 §§ brottsdatalagen följer att IMY kan utfärda sanktionsavgift vid överträdelse av bl.a. bestämmelserna i 2 kap. 12 § samt 3 kap. 2 och 7 §§ brottsdatalagen. Sanktionsavgiften ska uppfylla de krav som ställs i brottsdatadirektivet på att sanktioner ska vara proportionella, avskräckande och effektiva.

text: Vid bedömningen av om en sanktionsavgift ska tas ut och sanktionsavgiftens storlek ska särskild hänsyn tas till de omständigheter som anges i 6 kap. 4 § brottsdatalagen, dvs. om överträdelsen varit uppsåtlig eller berott på oaktsamhet, den skada, fara eller

text: kränkning som överträdelsen inneburit, överträdelsens karaktär, svårhetsgrad och varaktighet, vad den personuppgiftsansvarige eller personuppgiftsbiträdet gjort för att begränsa verkningarna av överträdelsen, och om den personuppgiftsansvarige eller personuppgiftsbiträdet tidigare ålagts att betala en sanktionsavgift.

text: IMY konstaterar att Polismyndigheten brustit i flera avseenden i sitt personuppgiftsansvar vid användningen av Clearview AI. Polismyndigheten har inte vidtagit tillräckliga organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter i det aktuella fallet varit författningsenlig, behandlat biometriska uppgifter i strid med brottsdatalagen samt underlåtit att genomföra en konsekvensbedömning.

text: Som IMY konstaterat ovan innebär detta att Polismyndigheten behandlat personuppgifter i strid med 2 kap. 12 § samt 3 kap. 2 § och 7 § första stycket brottsdatalagen.

text: Det har inte kunnat utredas om de registrerade lidit någon faktiskt skada vid Polismyndighetens användning av Clearview AI. Detta är dock inte avgörande för om sanktionsavgift ska tas ut, utan det faktum att risk för skada förelegat är enligt förarbetena tillräckligt för detta. Genom användningen av Clearview AI har anställda vid Polismyndigheten fått tillgång till integritetskänsliga uppgifter om ett stort antal registrerade. EU-domstolen har uttalat att tillgång till stora mängder av personuppgifter av en myndighet måste ses som ett särskilt intrång, oavsett om de enskilda lidit någon skada av behandlingen eller inte. Även de uppgifter som Polismyndigheten matat in i applikationen har varit av integritetskänsligt slag och det har inte kunnat klarläggas vad som hänt med dessa personuppgifter efter inmatningen. Med anledning av vad som nu anförts bedömer IMY risken för skada för de registrerade som hög i det aktuella fallet.

text: Polismyndigheten har behandlat personuppgifter utan rättsliga överväganden och utan någon kontroll över eller bedömning av behandlingens intrång i enskildas personliga integritet. Vad avser användningen av Clearview AI har Polismyndigheten inte kunnat redogöra för vad som skett med de personuppgifter myndigheten matat in i applikationen samt med det resultat man erhållit. Det kan förutsättas att de uppgifter som matats in i applikationen ofta omfattats av någon form av sekretess, t.ex.

text: 35 kap. 1 § offentlighets- och sekretesslagen (2009:400)

text: , och Polismyndigheten har inte presenterat någon sekretessbrytande grund som kunnat motivera utlämnande av uppgifterna. Dessa omständigheter innebär att det finns skäl att se allvarligt på överträdelserna.

text: Också omfattningen och varaktigheten av behandlingen ska beaktas vid bestämmandet av sanktionsavgiftens storlek. En förmildrande omständighet är att det endast är ett fåtal registrerade vars personuppgifter delats med Clearview AI. Användningen av Clearview AI har dock sammanlagt skett under några månaders tid, och upphörde först sedan Integritetsskyddsmyndighetens granskning påbörjats. Dessutom har Polismyndigheten genom användningen av Clearview AI fått tillgång till ett stort antal personuppgifter och det är oklart hur länge de inmatade personuppgifterna och de uppgifter som erhållits genom matchningen behandlats.

text: Det får vidare anses försvårande att de registrerades uppgifter matchats mot en applikation med personuppgifter från hela det öppna internet samt att Polismyndigheten inte har någon kunskap om vad som hänt med de uppgifter som

text: matats in. Det faktum att det varit biometriska, dvs. känsliga personuppgifter, som behandlats och att uppgifterna använts för ansiktsigenkänning gör därutöver att det finns skäl att se allvarligt på överträdelsen.

text: Sammanfattningsvis medför de redovisade omständigheterna att en sanktionsavgift ska tas ut och att en förhållandevis kännbar sanktionsavgift är motiverad.

text: Sanktionsavgiftens storlek

text: Enligt 6 kap. 5 § brottsdatalagen får en sanktionsavgift sättas ned helt eller delvis om överträdelsen varit ursäktlig eller att det vore oskäligt att utfärda sanktionsavgift. Den omständigheten att den personuppgiftsansvariga inte känt till regler eller haft bristfälliga rutiner är inte en anledning att sätta ned sanktionsavgiften. IMY konstaterar att det inte heller i övrigt framkommit skäl för att sätta ned sanktionsavgiften enligt 6 kap. 5 § brottsdatalagen.

text: Av 6 kap. 3 § första stycket brottsdatalagen följer att en sanktionsavgift för överträdelse av

text: 3 kap. 7 § samma lag

text: högst får uppgå till fem miljoner kronor. Av andra stycket följer att för en överträdelse av bl.a. 2 kap. 12 § och 3 kap. 2 § brottsdatalagen får en sanktionsavgift uppgå till högst tio miljoner kronor. Det högsta beloppet som kan fastställas är således tio miljoner kronor.

text: IMY bestämmer utifrån en samlad bedömning att Polismyndigheten ska betala en sanktionsavgift på 2 500 000 kronor.

text: Förelägganden

text: Polismyndigheten ska föreläggas att vidta utbildningsåtgärder och övriga organisatoriska åtgärder som krävs enligt 3 kap. 2 § brottsdatalagen för att säkerställa att de rutiner som finns når hela organisationen och att myndigheten därmed kan visa och säkerställa att all behandling av personuppgifter är författningsenlig. Åtgärderna ska ha vidtagits senast den 15 september 2021.

text: Enligt 4 kap. 2 § brottsdatalagen ska den personuppgiftsansvarige i ett enskilt fall lämna viss information till den registrerade, om det behövs för att han eller hon ska kunna ta till vara sina rättigheter. Informationen ska bl.a. omfatta den rättsliga grunden för behandlingen, kategorier av mottagare av personuppgifterna och hur länge personuppgifterna får behandlas. Av förarbetena framgår att bestämmelsen är tillämplig t.ex. i fall där den registrerade riskerar att lida rättsförlust om han eller hon inte får del av informationen eller om det av annat skäl är viktigt för honom eller henne att känna till behandlingen för att kunna tillvarata sina rättigheter. Ett annat exempel som tas upp i förarbetena är att känsliga personuppgifter har behandlats i strid med 2 kap. 11 § om känsliga personuppgifter.

text: Informationsskyldigheten enligt 4 kap. 2 § brottsdatalagen gäller inte i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut bl.a. av hänsyn till intresset av att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, att andra rättsliga utredningar eller undersökningar inte

text: hindras, eller att någon annans rättigheter och friheter skyddas (4 kap. 5 § brottsdalagen).

text: Som IMY konstaterat har det inte kunnat klarläggas vad som hänt med de personuppgifter som Polismyndigheten matat in i Clearview AI. Det är därför viktigt att de registrerade får kännedom om behandlingen för att kunna tillvarata sina rättigheter, särskilt som det är fråga om känsliga personuppgifter som behandlats i strid med 2 kap. 11 § BDL. IMY bedömer därför att Polismyndigheten har en skyldighet att lämna information enligt 4 kap. 2 § BDL. Under utredningen har Polismyndigheten inte framfört något om att de registrerade ska ha informerats om användningen.

text: Polismyndigheten ska mot denna bakgrund föreläggas att lämna information till de registrerade, vars personuppgifter Polismyndigheten matat in i Clearview AI, enligt 4 kap. 2 § brottsdatalagen med de begränsningar som följer av

text: 4 kap. 5 § samma lag

text: . Informationen ska ha lämnats senast den 15 september 2021.

text: Som IMY konstaterat har Polismyndigheten matat in känsliga personuppgifter i Clearview AI. Då det saknas information om vad som skett med de personuppgifter som delats med Clearview AI och om dessa ännu lagras hos applikationen ska Polismyndigheten slutligen föreläggas att vidta möjliga och relevanta åtgärder för att tillse att de personuppgifter som matats in i Clearview AI raderas från applikationen. Sådana åtgärder ska ha vidtagits senast den 15 september 2021.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Elena Mazzotti Pallard. Vid handläggningen har även juristen Frida Orring och processägaren för tillsynsprocessen Katarina Tullstedt deltagit. Vid den slutliga handläggningen har rättschefen David Törngren och enhetschefen Charlotte Waller Dahlberg medverkat.

text: Lena Lindgren Schelin, 2021-02-10 (Det här är en elektronisk signatur)

text: Bilaga:

text: Hur man betalar sanktionsavgift.

text: Kopia för kännedom till:

text: Dataskyddsombudet: dataskyddsombud@polisen.se

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.